方案架構
嚴格的網絡邊界防護
將(jiang)信號系統(tong)劃分(fen)為獨立的(de)安全域，不同安全域之間通(tong)過添加(jia)防火(huo)墻實現(xian)邏輯隔離，只(zhi)允許信號系統(tong)和其他互聯(lian)系統(tong)正常業務(wu)的(de)連(lian)接(jie)和數據能夠(gou)通(tong)過該網(wang)絡(luo)邊(bian)界，其他非法(fa)連(lian)接(jie)和數據均(jun)被禁止。通(tong)過在(zai)信(xin)號系(xi)(xi)統(tong)與外(wai)網系(xi)(xi)統(tong)邊界部署協議(yi)隔(ge)離(li)設備(bei)，實現外(wai)部系(xi)(xi)統(tong)與信(xin)號系(xi)(xi)統(tong)之間的安全隔(ge)離(li)，基(ji)于(yu)白名單方式設置通(tong)訊規則，其他非法連接和數據均(jun)被禁止(zhi)，提高系(xi)(xi)統(tong)安全性。實時的入侵檢測防護
在SCADA控制系統內(nei)(nei)部(bu)部(bu)署工業入侵檢測(ce)系統，對(dui)信號系統的(de)安全(quan)網(wang)(wang)、非(fei)安全(quan)網(wang)(wang)和(he)維護網(wang)(wang)的(de)網(wang)(wang)絡(luo)等若干關鍵(jian)點(dian)收集信息，并分(fen)析這些信息，查看網(wang)(wang)絡(luo)中是否有違反安全(quan)策略的(de)行為(wei)和(he)遭到(dao)襲擊的(de)跡象(xiang)。網(wang)(wang)絡(luo)入侵檢測(ce)是防火(huo)墻之后的(de)第二道安全(quan)閘門，在不影響(xiang)網(wang)(wang)絡(luo)性能(neng)的(de)情況(kuang)下能(neng)對(dui)網(wang)(wang)絡(luo)進(jin)行監(jian)測(ce)，從(cong)而提供對(dui)內(nei)(nei)部(bu)攻(gong)擊、外部(bu)攻(gong)擊、病毒木馬(ma)攻(gong)擊等行為(wei)實時保護。全面的安全審計防護
在SCADA控制系統(tong)內部(bu)部(bu)署日志(zhi)審(shen)計(ji)系統(tong)，對網絡中的(de)監控系統(tong)、信號系統(tong)等(deng)行為進(jin)行審(shen)計(ji)，以保(bao)證觸發(fa)審(shen)計(ji)系統(tong)的(de)事(shi)件存儲在審(shen)計(ji)系統(tong)內，并且能夠根據存儲的(de)記錄和操(cao)作者(zhe)的(de)權限進(jin)行查詢、統(tong)計(ji)、管理、維護等(deng)操(cao)作，并且能夠在必要時從記錄中抽取所需(xu)要的(de)資料(liao)。細粒度的安全運維管控
在SCADA控(kong)(kong)制系(xi)統(tong)內部(bu)部(bu)署運(yun)(yun)維(wei)安全(quan)審計系(xi)統(tong)（堡壘(lei)主機）全(quan)面(mian)禁止廠家通(tong)過(guo)互聯網(wang)遠程運(yun)(yun)維(wei)，通(tong)過(guo)運(yun)(yun)維(wei)管(guan)控(kong)(kong)平臺集中運(yun)(yun)維(wei)SCADA系(xi)統(tong)內的(de)網(wang)絡設備和服務器(qi)設備，并對(dui)運(yun)(yun)維(wei)人實(shi)名認證，對(dui)運(yun)(yun)維(wei)過(guo)程能實(shi)時(shi)監(jian)控(kong)(kong)、實(shi)時(shi)阻(zu)斷、全(quan)面(mian)審計，實(shi)現對(dui)SCADA系(xi)統(tong)運(yun)(yun)維(wei)過(guo)程全(quan)面(mian)管(guan)控(kong)(kong)，符(fu)合等保、二(er)次安防等方面(mian)的(de)要求。統一的安全管理平臺
在控制(zhi)中心部署安(an)全(quan)(quan)管理平臺，實現對信(xin)號(hao)控制(zhi)系(xi)統部署的(de)所有的(de)安(an)全(quan)(quan)防(fang)護設備進(jin)行(xing)統一管理和維(wei)護，統一的(de)安(an)全(quan)(quan)策略(lve)配(pei)置(zhi)與(yu)實施、統一的(de)日志存儲(chu)與(yu)審計，提高全(quan)(quan)面的(de)安(an)全(quan)(quan)態勢感(gan)知能力；監測信(xin)號(hao)系(xi)統網絡(luo)的(de)通信(xin)流量(liang)與(yu)安(an)全(quan)(quan)事件，對信(xin)號(hao)系(xi)統網絡(luo)內(nei)的(de)安(an)全(quan)(quan)威脅進(jin)行(xing)分析，從整體視角進(jin)行(xing)安(an)全(quan)(quan)事件分析、安(an)全(quan)(quan)攻擊溯源等(deng)，重點解決(jue)安(an)全(quan)(quan)防(fang)護設備各自(zi)運(yun)維(wei)而導致的(de)信(xin)息不暢和事件處置(zhi)效率低下(xia)等(deng)問題。