一、背景概述

随着数据安全上升到国家安全高度，近年来国家有关机关和监管机构站在国家安全和长远战略的高度提出了推动国密算法应用实施、加强行业安全可控的要求。摆脱对国外技术和产品的过度依赖，建设行业网络安全环境，增强我国行业信息系统的”安全可控”能力，有利于保护国家信息安全。

我国近年来推出一系列政策强调对密码的应用，尤其《密码法》在2020年逐步实施，要求关键系统运营者开展密码应用安全性评估。各类信息系统通过密评已经成为刚需。此外2024年2月，工信部印发《工业领域数据安全能力提升实施方案（2024—2026年）》，以分步骤、有重点地指导各方扎实推进工业领域数据安全工作。该方案是指导未来三年工业领域数据安全工作的纲领性规划文件，以“到2026年底基本建立工业领域数据安全保障体系”为总体目标。数据加密以及加密算法的选择显得尤为重要。

二、2024年上半年全球重大数据泄露事件

仅在2024年上半年，数据泄露事件频发，规模之大、影响之广，堪称史无前例。从电信巨头到医疗IT领袖，从金融机构到云存储服务商，无一不遭受了严重的数据安全挑战。这些数字风暴震撼了业界，更是引发了全社会对数据保护问题的深刻反思。

美国电信巨头AT&T，其客户数据在第三方AI数据云平台发生大规模泄露，超过1亿条用户数据被黑客获取。涉及几乎所有AT&T移动客户的通话和短信记录，近半个美国的个人隐私面临威胁。

戴尔约4900万客户信息遭泄露。戴尔门户网站遭黑客入侵，客户姓名、地址及订单详情等信息被窃取。

全球范围内最大的银行之一桑坦德银行发生数据泄露事件，因第三方服务商数据库被非法访问，导致其西班牙、智利、乌拉圭客户和员工受到影响。

三、标准要求

在通信网络中常常使用VPN隧道来构建安全通道，对数据进行加密传输，已达到保护数据安全的作用。常规的IPSecVPN网关采用的都是国际加密算法，随着国家推动国密算法的应用实施，于之相对应的IPSec网关国密标准也在2024年进行了更新，IPSecVPN密码产品类要求就包括《GM/T0022-2023 IPSec VPN技术规范》、《GM/T 0023-2023 IPSec VPN网关产品规范》，其中GM/T 0022主要是对IPSec VPN的技术协议、产品管理和检测进行了规定，而GM/T 0023则是对IPSec网关产品的功能、硬件、软件和密码算法、密钥管理、安全性要求等进行规定。

GM/T 0022-2023，IPSec VPN技术规范摘要

（1）密码算法-非对称密码算法（SM2椭圆曲线密码算法，用于实体验证、数字签名和数字信封）、对称密码算法（SM4分组密码算法，用于密钥交换数据和报文数据的加密保护，工作模式支持CBC或GCM模式）、密码杂凑算法（SM3，用于完整性校验）、随机数生成。

（2）密钥类别（设备密钥-非对称算法使用的公私钥对、工作密钥-在密钥交换第一阶段得到的密钥、会话密钥-在密钥交换第二阶段得到的密钥）。

（3）协议-密钥交换协议（IKE、第一阶段主模式6条消息、第二阶段快速模式3条消息）、安全报文协议（鉴别头协议AH，协议值51，认证范围包括整个IP报文，不单独使用；封装安全载荷ESP，协议值50、和AH结合使用时不应选择数据源鉴别服务、认证范围大于加密范围但都小于AH的认证范围）。

（4）产品功能要求-随机数生成、工作模式（隧道模式必备、传输模式）、密钥交换（IKE一阶段产生工作密钥、二阶段产生会话密钥）、安全报文封装（AH+ESP、ESP）、NAT穿越（支持ESP单独使用时NAT穿越）、实体鉴别功能（应支持数据证书方式）、抗重放攻击、密钥更新。

（5）密钥管理-设备密钥（签名证书加密密钥对能导入、设备密钥对按设定的安全策略更新、安全形式备份并在需要是能够恢复）、工作密钥（保存在易失性存储器中，更新条件立即更新、在连接断开设备断电时应销毁）、会话密钥（同工作密钥）。

（6）数据管理-配置数据（所有的配置数据应保证其设备中的完整性、可靠性、管理员身份鉴别）、日志数据可被查看导出（操作行为、安全事件、异常事件）

（7）人员管理-管理员应持有表征用户身份（如证书、公私钥对等）信息的硬件装置，与登录口令相结合登录系统。

（8）设备管理-硬件安全（独立的密码部件中进行）、软件安全（裁剪一切不需要模块）、设备初始化、注册和监控（向管理中心注册和接受管理中心对其运行状态的实时监控，通信加密和身份鉴别）。

GM/T 0023-2023，IPSec VPN网关产品规范摘要

（1）产品功能要求-包过滤（5元组决定其处理方式支持丢弃、明文转发和密文转发）。

（2）远程监控管理-参数查询（配置信息和日志查询）、状态监控（运行状态、系统信息、网络流量、是否在线、隧道状态实时查询）、远程控制（重启、故障诊断、功能关闭启动等）、时间同步。

（3）硬件要求-对外接口（至少2个工作网口），支持双臂（串接方式1进1出）和单臂（1个网络接口旁路接入）、密码部件（通过商密检测认证的密码模块或安全芯片）、随机数发生器（至少采用2个独立的物理噪声源芯片实现）。

四、博智工业互联网安全网关应用

博智工业互联网安全网关遵循上述国密标准，具备以下优点：

先进防护机制，精准阻断威胁：采用加密通信协议、芯片级加密技术、国家密码管理局认证的国密算法（SM1、SM2、SM3、SM4），以及工控协议深度解析与入侵防御系统等尖端技术，实现区域间的高效隔离与潜在威胁的即时阻断，确保工业网络环境的纯净与安全。

国密算法与芯片加密，双重保障：遵循国家商用密码技术标准，将国密算法与高性能加密芯片深度融合，不仅提升了数据加密的强度和效率，更在身份认证与通信链路加密方面达到了前所未有的安全高度，为用户数据传输构建了一条无懈可击的安全通道。

灵活应对，满足多样需求：支持多种网络架构与接入方式，适用于工业企业、中小企业，特别是需要实现远程连接与安全通信的企业。它能够有效解决工业企业据安全传输、分支机构安全互联等痛点问题，助力企业构建灵活、高效且安全的网络架构。

安全区域之间的访问控制和安全防护

目前工业网络结构中现场过程控制网络、生产管理网络、企业信息网络被打通，网络纵向分层、横向分区的模式正在形成。由于各个层次、各个区域网络的业务不同、作用不同，对于安全防护的要求也就不同，所以需要在不同安全区域之间进行必要的防护和控制。安全网关可以帮助用户很好的实现这一目标。

首先通过在纵向不同层次网络之间部署安全网关，并配置合理的访问规则，可以控制不必要的跨层访问，防止攻击者通过上层网络向下层网络的渗透和攻击，减少由于网络互联互通所带来的安全风险。同时可以对不同层次之间的工业协议数据交换进行深度过滤，屏蔽非法操作，保障生产安全。

其次还可以在同一网络层次中平行的厂区、工艺流程和业务子系统之间部署安全网关，将它们划分成不同的安全区域，配置不同的访问规则，屏蔽不同安全区域之间不必要的访问，对不同安全区域之间的工业协议数据交换进行深度过滤，减少安全区域之间安全问题的扩散和影响。

多样的IPSecVPN 应用场景

支持多种接入场景，可以在公司总部的出口网关与分支机构/合作方的出口网关之间建立 IPSec 隧道。出差员工也可以通过 PC终端或者手机移动端直接向公司总部出口网关发起 IPSec 连接建立IPSec 隧道。

支持点到点场景，总部的安全网关可与合作方或单个分支机构的安全网关建立IPSecVPN隧道。

支持点到多点场景，当存在多个分支机构时，总部的安全网关作为中心站点，多个分支机构的安全网关作为分支站点与中心站点进行对接。

出口网关处的入侵防御

工业网络的设备可能分布于厂区各处，甚至野外、山区。由于网络基础设施的限制，经常需要通过租用公共的无线网络、卫星、GPRS/CDMA、4G 等公用网络传输线路实现与调度中心的连接和数据交换。公用网络没有足够的安全保护和加密措施，很容易出现网络窃听、数据劫持、第三人攻击等安全隐患，而且攻击者还可以利用公用网络作为攻击工业控制网络的入口，实现对整个工业控制网络的渗透和控制。为了解决公用网络带来的安全隐患，用户通常都会租用或架设专用的通信线路， 这样不但建设和运营成本高、而且需要专业的技术人员进行线路的保障和维护。

入侵防御是一种安全机制，通过分析网络流量和入侵检测，并通过一定的响应方式，实时地中止入侵行为，保护企业资产和网络架构免受侵害。在这种应用环境下，可以在分散的作业区与公用网络接口的位置部署安全网关。通过网关的部署可以对作业区内部的工业网络进行安全方面的保护，阻断来自公用网络的网络攻击，实现作业区网络的边界安全防护。

五、结束语

博智工业互联网安全网关全面提升和扩展了入侵防御、URL 过滤、病毒过滤、网络扫描防护、IP/MAC 绑定等功能，可识别和预防网络中病毒传播、恶意攻击等行为，避免其影响控制网络和破坏生产流程。提供IPSecVPN、流量带宽管理、NAT 及 IPv6 隧道等功能，可满足更多维度的网络环境需求，更加适应当前工业网络环境与信息化网络环境相融合的发展趋势。同时具备高可用性及全透明无间断部署功能，有效保证业务连续性。采用这样的结构，形成立体的防护体系，安全网关能够最直接的保证系统安全。