一、 项目概述
工业洁净厂房FMCS厂务管理系统，主要对主生产设备以外的公辅设备进行监控管理，以工业网络安全为基础，通过健全的数字化建设，消除各子系统之间的信息孤岛，对厂务设备以全生命周期的管理提高设备运行效率，并且依托标准化的能源管理模式，为企业的节能减碳提供支撑。系统接入的子系统包含但不限于如下：能源管理系统、空压系统、空调系统、门禁系统、视频系统、灯光系统、特气系统、污水处理系统、废气排放系统、大宗气体、纯水系统等
二、 安全风险与现状分析
FMCS厂务管理系统通常由综合监控系统与各子系统的生产车间控制系统组成，同时FMCS厂务管理系统网络与办公网和集团网络打通，以实现企业数字化生产。从既有的系统结构上来分析，其主要存在如下几大问题：
（1）网络边界缺乏隔离控制措施
FMCS厂务管理系统网络与办公网和集团网络打通，网络边界处缺少隔离措施与安全防护手段，病毒/网络攻击可通过互联网/办公网感染FMCS厂务管理系统网络。
FMCS厂务管理系统内部子系统数量多，子系统网络边界缺少隔离措施与安全防护手段，无法防止子系统之间的非法访问，也无法阻止病毒/网络攻击在子系统之间跨区域传播，从而造成整个控制系统瘫痪。
（2）网络与操作行为“无章可循”
FMCS厂务管理系统运行状态、流量模型及业务模型不可视，网络中恶意控制指令与正常操作行为难以区分，生产异常难定位，无法及时发现网络攻击并告警，降低控制系统遭受的损失，也无法在受到攻击后进行审计回溯，及时恢复控制系统的正常运行。
（3）风险暴露面被无限放大
操作员站、工程师站、服务器操作系统、工控软件存在漏洞，缺乏有效的防病毒手段，缺少外设与服务端口管控措施，极易遭到病毒感染。
大量核心设备依然依赖进口，并且设备品牌种类繁杂，不能实现统一管理和自主可控，国外品牌的系统设备，为企业提供自动化服务的同时也存在核心技术不透明和隐藏后门的风险。
系统资产存在大量已知和未知漏洞，无法及时发现并修复或作针对性防护措施，极易遭到木马病毒的攻击。
（4）运维人员危险操作风险
FMCS厂务管理系统内的业务服务器承载着所有的业务数据信息，针对业务服务器、数据库等核心资产运维缺乏相应的权限管理与审计措施，无法阻止运维人员有意、无意的违规运维操作，使得信息系统变得更加脆弱，违规操作后的责任划分和威胁追踪也非常困难。
第三方运维体系复杂，包括系统控制厂商、网络设备厂商、自动化设备厂商等，针对第三方运维行为缺乏足够的安全管理措施，比如身份认证、移动介质管控、运维行为审计等，使得运维安全难以管控，出现问题难以追溯。
三、 洁净厂房FMCS厂务管理系统安全建设方案
洁净厂房FMCS厂务管理系统安全建设方案设计图纸
（1）安全管理体系建设
根据《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019），结合客户现场实际情况，帮助客户建设安全管理体系，其中包含安全管理制度、安全管理机构、人员安全管理、系统建设管理、系统运维管理等内容。
（2）网络边界隔离控制
在FMCS厂务管理系统网络与办公网/集团网络边界、监控系统与现地控制网络边界、各子系统网络边界部署工业防火墙系统，建立安全防护边界，通过访问控制、应用层过滤防护、工业入侵防御、工业协议深度解析、工业白名单等技术，有效防止病毒/网络攻击在不同安全区域之间交叉感染，大规模扩散。
（3）操作行为监测审计
在FMCS厂务管理系统核心网络节点旁路部署工业网络审计与入侵检测系统，通过提取分析交换机的镜像流量，对工业控制协议及流量进行全程监测。设备内置工业通讯协议的解析引擎，能够对工业控制系统内的多种工业协议进行解析及审计，及时发现网络中的操作业务的异常行为、流量异常情况，进行独特的工业安全事件告警，包括工业白名单规则事件，工业入侵特征规则事件等其他工业安全事件。
（4）日志集中分析审计
在FMCS厂务管理系统部署日志审计与分析系统，实时采集网络系统中产生的日志、事件、报警等信息，对采集到的数据进行集中存储、关联分析、展现、查询和审计。通过分析日志中的安全事件，识别各类性能故障、非法访问控制、不当操作、攻击入侵，以及违规与信息泄露等行为，协助用户对自控系统进行安全监视、审计追踪、调查取证、应急处置，并生成各类报表报告。
（5）终端主机安全防护
在FMCS厂务管理系统的所有操作员站、工程师站及服务器安装基于“白名单+”的工业主机卫士软件，通过白名单过滤策略、外设管控策略、敏感动作管理策略等技术手段，从病毒传播途径、病毒检测、运行动作、病毒执行、数据保护等方面加强病毒防范，有效防护终端主机免受病毒侵扰。同时，通过主机加固功能，对操作系统的安全基线进行管理，增强操作系统的免疫能力，保障企业生产稳定。
（6）资产漏洞扫描管理
在FMCS厂务管理系统中部署工业漏洞扫描系统，运维人员通过工业漏洞扫描系统定期、全面、精准地检测FMCS厂务管理系统中存在的各种脆弱性问题，包括各种安全漏洞、安全配置问题、不合规行为等，在系统受到危害之前为运维人员提供专业、有效的漏洞分析和修补建议，防患于未然。
（7）系统资产运维管控
在FMCS厂务管理系统中部署运维管理与审计系统（堡垒机），对FMCS厂务管理系统的运维账号权限及操作行为进行统一管理与安全审计。通过账号管理划分运维人员的权限，防止非法访问、越权操作等危险行为，通过屏幕录制等审计方式详细记录运维人员对资源的访问及操作情况，重点管控系统运维过程中的关键操作行为并对所有操作行为进行取证。
（8）集中安全运营管理
在FMCS厂务管理系统中部署工业安全监管系统，对部署的安全防护设备的数量、种类、在线状态、安全风险事件进行统计分析，对安全防护设备的安全策略的进行统一配置，实现对系统网络安全的统一管理与运维，建设系统的整体安全状态监测、安全事件处理及应急响应的能力，同时，可以集中监测网络中的安全事件，提升安全管理人员的工作效率。
四、 方案应用效果
（1）网络安全集中运维管理
通过建设工业安全监管系统，将安全威胁的监控情况和分析结果通过图形可视化的方式直观的呈现在大屏幕之上，以整体安全视角对系统内部安全情况进行审查，实现对FMCS厂务管理系统的信息安全问题全面监控。同时可通过工业安全监管平台对部署的安全设备进行集中监控与策略下发，大幅度提升运维工作效率，系统发现异常攻击后还可自动下发相关设备拦截策略，第一时间阻止攻击在系统网络中扩散。
（2）系统网络安全常态化运营
通过FMCS厂务管理系统安全管理体系的建立，规范单位安全管理制度，提升人员安全运维能力，结合完善的安全防护技术措施，使FMCS厂务管理系统的网络安全运营管理形成常态化，能够实现系统网络安全日常的主动预警、实时监控、发现威胁、响应处置，形成安全防御闭环。
（3）安全设备工作机制高可靠
安全设备采用自研嵌入式操作系统，控制与转发平面分离，计算资源更多专注于安全业务，整机性能比同等配置高出50%以上，可满足控制系统对低时延、低抖动、高时序的严苛要求。
安全设备硬件采用金属外壳、无风扇散热设计，减少易损件，大幅度延长了设备的使用寿命；同时，使用工业级电子元器件，增强设备的温度适应性，保证设备在严酷环境中依然稳定运行。
串联部署在网络中的工业防火墙采用BYPASS硬件接口设计，当工业防火墙断电或死机后，自动将防火墙两端网络物理导通，不影响生产业务的正常运行。
（4）满足法律法规要求
FMCS厂务管理系统通过本次网络安全的建设，能够对系统网络进行有效的安全防护，符合《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019）三级建设标准，保证网络安全合规。
