摘要：钢铁行业所涉及的几类工控系统在组网方式和系统构成方面基本一致，结合工业控制系统安全防护思路。在钢铁行业工控系统中，现场控制设备主要是以PLC为主完成现场各类设备的控制工作，并采集现场设备运行状态等参数上传到生产管理层，管理人员对现场控制设备进行实时监控。

背景概述

钢铁行业所涉及的几类工控系统在组网方式和系统构成方面基本一致，结合工业控制系统安全防护思路。在钢铁行业工控系统中，现场控制设备主要是以PLC为主完成现场各类设备的控制工作，并采集现场设备运行状态等参数上传到生产管理层，管理人员对现场控制设备进行实时监控。

钢铁行业工控系统的智能化建设极有可能引入信息安全风险，且钢铁行业工控安全建设往往滞后于智能化、智慧化建设，无法应对日益增长的网络威胁，可能导致其遭受网络攻击而使生产停滞。因此需加快钢铁行业工控安全建设，保障钢铁行业工控系统安全稳定运行。

需求分析

01/ 标准合规性需求
钢铁企业要加快完成工控安全防护体系的建设工作，使之符合《信息安全技术网络安全等级保护基本要求》（GB/T 22239-2019）、《信息安全技术信息系统密码应用基本要求》（GB/T 39786-2021）、《工业控制系统信息安全防护指南》及钢铁企业工控安全相关要求。

02/ 业务安全性需求
从钢铁企业现场控制层、过程监控层、生产管理层、企业资源层等多个层面进行需求分析：

现场控制层及过程监控层：有钢铁行业的工控系统种类较多，如铸流系统、切割系统、冷轧系统、转炉系统等。这些系统在建设初期主要考虑易用性和快速部署，因此存在数据流向不清晰、隔离措施不完善、隔离强度不达标等问题，容易引发各跨网交换非授权访问风险以及系统间病毒横向传播风险。

各工控系统的上位机、服务器等主机，可能存在系统及工控应用漏洞、管理员不允许打补丁、身份鉴别过于单一等情况；同时主机无针对已知、未知病毒的防护措施，容易发生误操作、非法攻击、勒索病毒感染等安全事件，钢铁企业迫切需要提升工控主机安全防御能力。
各工控系统内部缺少对工业流量监测审计的手段，无法针对工控系统协议层面存在的恶意攻击、异常流量进行审计，更无法对工控指令攻击和控制参数篡改进行实时监测和告警，极易产生网络入侵事件，最终导致安全生产事故的发生。

生产管理层及企业资源层：生产管理层中运行着MES系统等重要业务系统。企业资源层运行ERP、OA等系统，同时连接互联网。因此需加强边界安全、入侵检测、日志审计、终端保护、运维审计、态势分析等防护能力。

解决方案

针对钢铁行业的网络架构特点及相关标准规范要求，进行分层、分区、划域，各层次、区域之间采用合理的安全防护措施。

钢铁行业工控安全防护拓扑示意图

01/ 现场控制层安全
现场控制层安全由不同的生产装置去实现，并进行现场物理环境安全防护。通过工控安全整体方案设计，提供各生产装置的防护目标。

02/ 过程监控层安全

安全区域边界、安全通讯网络

分别在各生产装置OPC到生产管理层部署工业安全隔离装置。提升外联安全接入区隔离强度，实现接近于物理隔离的高安全隔离目标。分别在各生产装置到集中监控边界部署工业防火墙。精准按域进行防护。采用工业应用审计系统对工控网络中的全流量通信、操作行为、异常行为等进行审计及预警；通过部署入侵检测系统实时监测工控网络异常流量，对异常的、入侵行为的数据进行检测和报警。对异常操作行为与数据进行实时检测和报警。

安全计算环境
在集中控制室及各装置的操作员站、工程师站、服务器等部署工控主机卫士软件或机甲卫士系统。以白名单方式阻止非法进程运行及非法USB等外设接入，防止工业主机被破坏。

安全管理中心
建设钢铁企业安全管理中心，实现终端保护、运维安全管控、日志审计、安全管理平台等系统。对工业生产全景进行安全态势感知、分析、预警及准入控制，并对异常报警行为形成工单分配给人工进行干预处理，同时与相应防护设备进行协同防御。

03/ 生产管理层
在生产管理层操作员站、工程师站、服务器等部署工控主机卫士软件或机甲卫士系统。以白名单方式阻止非法进程运行及非法USB等外设接入，防止工业主机被破坏。
采用工业应用审计系统、入侵检测对工控网络中的全流量通信、操作行为、异常行为等进行审计及预警。对异常操作行为与数据进行实时检测和报警。