今日頭條
官方微信
官方抖音
案例頻道1 實驗平臺目標和概述
1.1 主要目標
“智能制造安全監測與運營管理平臺”主要實現對智能制造企業工控系統通信數據和安全日志進行快速、自動化的關聯分析，及時發現智能制造行業工控系統異常和針對工控系統的威脅，通過可視化的技術將這些威脅和異常的總體安全態勢展現給用戶，通過對告警和響應的自動化發布、跟蹤、管理實現安全風險的閉環管理。
通過建設智能制造安全監測與運營管理平臺，實現企業內網IT和OT安全的統一管理，企業內部通過全網流量監測，提前洞悉企業內部各種工業安全威脅，降低智能制造企業在進行工業互聯網轉型過程中的安全門檻，促進智能制造相關產業高速發展。
1.2 總體概述
智能制造監測與運營管理平臺主要包括流量傳感器、日志采集探針、關聯規則引擎和分析平臺4個硬件模塊。如下圖所示：
平臺組成架構
（1）流量傳感器
流量傳感器的功能主要是采集工控網絡中的工業協議流量數據，將原始的工控網絡全流量轉化為按session方式記錄的格式化流量日志，全流量日志會加密傳輸給分析平臺存儲用于后期的審計和分析。
（2）日志采集探針
日志采集器的主要功能是對工控網絡內工控設備（PLC/DCS/RTU/HMI等）、安全設備、工業以太網、上位機、服務器等設備通過主動采集或被動接收等方式對日志進行采集并進行歸一化預處理，方便數據流后面的關聯規則和數據分析能夠快速使用。同時日志采集器還負責對內網資產進行掃描識別，收集資產數據。
（3）關聯規則引擎
關聯規則引擎主要負責對來自日志采集器的大量日志信息進行實時流解析，并匹配關聯規則，對異常行為產生關聯告警。
（4）分析平臺
分析平臺用于存儲流量傳感器和日志采集器提交的流量日志、設備日志和系統日志，并同時提供應用交互界面。分析平臺底層的數據檢索模塊采用了分布式計算和搜索引擎技術對所有數據進行處理，可通過多臺設備建立集群以保證存儲空間和計算能力的供應。
2 應用場景介紹
本平臺主要面向智能制造領域，對中小企業建設具有監測、預警的管理平臺，利用平臺的實時監測能力，有效加強企業的工業互聯網安全水平。
為保證智能制造設備的安全運行、預防系統突發性重大事故的發生，并在事故發生后迅速有效地控制和處理，最大限度地減少事故損失和相關系統的影響，在企業內部建立安全運營管理平臺，以數據為驅動，以安全分析為工作重點，立足于安全策略防護，充分利用大數據平臺的數據收集、查詢能力進行持續的監控與分析；在持續監控的基礎上，實現安全管理體系、預警監測體系、安全服務體系、縱深安全防護之間的有效協同和共同作用，最終形成可以有效落實的體系化安全解決方案。
2.1 預期成果
（1）工控系統關鍵資產管理
該平臺能夠提供對企業內網資產的被動發現、手工管理、資產變更比對、資產信息整合展示等基本功能。同時，提供長期的服務、流量、威脅相關的監控，所有資產相關的監控數據均可在資產詳情頁查看。
（2）工控系統操作行為監測
該平臺能夠實時監測工控系統控制器下裝、上傳、啟動、停止等關鍵操作行為，包括智能制造行業常用西門子S7-300、施耐德昆騰、羅克韋爾Control Logix等系列工控系統。
（3）提升威脅發現能力
利用多種新型威脅監測手段，再結合威脅情報的使用，該平臺能夠更快地發現隱藏在各類日志中的安全問題。更早地發現威脅，一方面可以幫助企業或單位在安全管理上更為從容，無需面臨可能被通報追查的窘境，另一方面可以留下更多挽回損失的機會，為快速地彌補安全問題提供寶貴的時間窗口。
（4）安全運營
該平臺可以在多種安全功能基礎之上提供安全運營，幫助用戶快速、宏觀地了解整個企業的安全情況。對各種威脅采取措施的控制指令下發至控制系統，形成監控、分析、控制的閉環。
2.2 技術的示范效應
通過全網流量監測，發現工業網絡中的各類威脅，并進行情報挖掘與云端關聯分析，提前洞悉企業內部各種工業安全威脅，并將威脅情報以可機讀格式推送到本地系統，供本地威脅檢測和分析時使用。
2.3 商業價值
傳統工業領域安全防護常用的分層分域的隔離與邊界防護思路以及傳統的IT安全手段已不能有效識別和抵御所有可能的攻擊。安全監測與運營管理平臺為智能制造中小企業的工業控制系統信息安全保障提供了一種有效解決方案。通過該平臺的部署，可以實時監控企業內網的流量，及時發現智能制造網絡空間的可疑行為和風險，大大提高了整個工業控制過程自動化領域的信息安全保障水平，同時提高用戶對自己使用的工業控制系統信息安全的自主把控能力。本平臺作為智能制造行業工業互聯網建設和正常運行的重要支撐和保護，其建設具有良好的經濟效益。
2.4 社會價值
智能制造行業工業控制系統在我國經濟生產生活中起著舉足輕重的作用，如果工業控制的信息被竊取或者被修改，可能造成人身傷亡、財產損失等嚴重后果，更嚴重的甚至會影響到國家安全。本平臺建成后，將快速面向智能制造中小企業，形成良好的工業互聯網和網絡安全產業生態，加快工業物聯網在工業信息化產業中的布局，降低企業工業控制信息化的復雜度，從而讓工業充分享受信息化產業帶來的便利，社會效益十分顯著。
3 實驗平臺技術可行性
該平臺將建設成一個以多種安全問題管理為目標、以智能制造工業數據為核心、威脅情報為特色、打通安全運營中的檢測、響應、預警、防御多個領域環節的完整安全體系，能夠覆蓋安全管理與運營的各個環節，功能架構圖如下：
平臺功能架構
該平臺數據采集部分，除了對智能制造行業傳統的Syslog、Flow、各種系統日志和安全設備日志以外還突破性地針對原始流量日志（依賴于流量傳感器或360下一代防火墻）和終端日志（依賴于天擎EDR模塊）進行采集。依賴于更加原始的日志信息，平臺可以發現隱藏更深的各種威脅，同時能夠提供完整的事件回溯分析能力。
平臺在數據的存儲和分析中大量使用大數據相關技術，在標準化組件中可以依賴于分布式全文檢索技術提供接近PB級日志量的存儲和快速計算，同時能夠提供良好的可靠性保證，以解決意外斷電、磁盤故障可能對系統帶來的可靠性問題。
平臺使用多種分析引擎針對不同的管理目標提供相應支撐，關聯分析、統計分析、快速搜索等功能相較于傳統產品具有明顯的性能優勢。
平臺最外層提供友好、高效的交互管理頁面，既滿足了使用需求，又能夠提升工作效率。再結合威脅情報、安全服務等來自于360特有的安全知識輸入，該平臺可以極大地提升本地安全運營的效率。
3.1 物理平臺
平臺主要包括流量傳感器、日志采集探針、關聯規則引擎和分析平臺4個硬件模塊。通常部署在網絡出口交換機旁，或者其他需要監聽流量的網絡節點旁，接收鏡像流量，不會對企業廠區內部生產本身造成影響。
3.2 軟件平臺
所用設備操作系統為linux。
3.3 配置和控制接口
3.4 數據通訊接口
工控通信協議Modbus/TCP、OPC DA、S7等。
3.5 安全措施
智能制造安全監測與運營管理平臺是安全產品，能夠連接工控防火墻、工業安全審計、工業主機防病毒軟件、工控交換機等設備，統一管理安全事件。
同時，該平臺在出廠時已經通過公司內部安全審查和評估。
3.6 軟件開發和模擬環境
開發環境為python環境和C環境
4 和ECC技術及測試臺的關系
4.1 ECC總體架構
邊緣計算參考架構2.0
邊緣計算參考架構在每層均提供了模型化的開放接口，實現了架構的全層次開放；邊緣計算參考架構通過縱向管理服務、數據全生命周期服務、安全服務，實現業務的全流程、全生命周期的智能服務。
安全監測和運營管理平臺在邊緣計算參考架構中提供安全服務，網絡邊緣側接入的終端類型廣泛，數量巨大，承載的業務繁雜，被動的安全防御往往不能起到良好的效果。因此，需要采用更加積極主動的安全防御手段，包括基于大數據的態勢感知和高級威脅檢測，以及統一的全網安全策略執行和主動防護，從而更加快速響應和防護。再結合完善的運維監控和應急響應機制，則能夠最大限度保障邊緣計算系統的安全、可用、可信。
4.2 ECC實驗平臺
參考邊緣計算產業聯盟已發布的17個測試床，主要集中在智能水務、智慧農業、智慧物流、智能樓宇、照明物聯網、智能車輛等方面?，F有成果沒有從安全角度考慮建設測試床，因此，智能制造安全監測與運營管理平臺的部署是非常有必要的，同時需要亟待落實。
智能制造安全監測與運營管理平臺架構本身即為邊緣計算架構，平臺對接360云端威脅情報中心，可對海
量數據情報對各種告警中的IP、域名、文件MD5進行進一步分析和解釋，本地分析平臺對原始日志和流量信息進行分析，實現本地處理，分析平臺本身可看作邊緣節點。
5 交付件
智能制造安全監測與運營管理平臺本身是一個系統，提供流量傳感器、日志采集探針、關聯規則引擎和分析平臺四個硬件設備。
6 實驗平臺使用者
智能制造安全監測與運營管理平臺建設成功后，可用于工業控制系統安全國家地方聯合工程實驗室展示，同時用于威派格智慧水務系統的安全監測、分析預警、安全態勢展現、威脅情報發布與使用。
7 知識產權說明
（1）項目實施過程中所產生的知識產權：
·各方獨立完成的成果所有權歸各自所有；共同完成的成果所有權，按照參與方的貢獻大小進行分配。
·共同完成的項目成果轉讓，須經參與各方同意的前提下進行，任何一方不得私自開展。
（2）獨立完成的知識產權成果各方可獨立組織成果鑒定。
（3）共同完成的項目成果申報各級獎項，應根據各方貢獻大小排名。具體事宜另行商定。
8 部署、操作和訪問使用
流量傳感器通常部署在網絡出口交換機旁，或者其他需要監聽流量的網絡節點旁，接收鏡像流量。關聯規則引擎、日志采集器和分析平臺部署在流量傳感器同一個網段即可，不會對企業廠區內部生產造成影響。
摘自《自動化博覽》2018年增刊《邊緣計算2018專輯》
北京市公安局海淀分局備案號：11010802023656號