案例背景

某汽车零部件制造商成立于2003年，经过十多年的发展，企业在汽车零部件相关领域取得了国内领先的技术地位，随着集团信息化建设的不断深入，其制造控制系统具备了高度自动化、智能化和网络化的生产线控制和管理系统，广泛应用了自动化总线技术、PLC、变频器、机器人等汽车制造行业的自动化设备。生产网络内各类资产互联互通水平不断提高的同时，核心资产的暴露面也逐渐增多，网络安全风险也随之增加。企业十分重视网络安全建设工作，尤其是生产网络的安全防护和监测预警体系建设。本项目案例依据等保2.0“一个中心，三重防护”要求，构建“识别(I)-防护(P)-检测(D)-响应(R)”一体化汽车制造行业工控网络安全保障体系，确保企业生产的连续性和合规性。

案例需求

汽车零部件制造控制系统面临的安全问题如下：

（1）边界模糊：生产和办公区域缺乏有效的安全措施，导致边界模糊，容易受到外部威胁。

（2）区域未隔离：生产线中的各子系统虽然进行了区域划分，但由于逻辑互联，缺乏有效的隔离和防护手段，增加了安全风险。

（3）主机系统安全配置不足：操作站、工程师站及相关服务器等主机系统未进行合理的安全配置，缺乏病毒和恶意代码的防护机制，容易成为攻击目标。

（4）威胁发现机制缺乏：缺乏合理的威胁发现和防护机制，无法及时告警和响应内部出现的风险，如操作不规范导致的安全风险。

（5）工控系统脆弱性：工控系统自身存在各类安全漏洞和后门，未进行常态化的安全检查与风险评估，增加了脆弱性风险。

（6）安全设备管理不足：大量安全设备无法进行统一管控，缺乏统一收集、可视化分析以及及时发现复杂问题的能力。

方案概述

方案基于等保三级防护的标准要求进行安全建设，构建汽车制造行业“识别(I)-防护(P)-检测(D)-响应(R)”网络安全防护模型，在满足不同业务系统、不同安全级别网络间能够进行数据实时交互的同时，做好生产网络跨系统、跨区域边界的访问控制以及网络内部非法设备接入、异常通信监测及处置等工作，形成安全闭环，确保生产网络整体平稳运行。

方案部署

某汽车零部件生产企业工控网络安全部署拓扑如下所示：

风险识别检测

在生产大区部署工控漏洞扫描系统工具，对生产大区中的网络设备、工控设备进行主机安全扫描、网站安全扫描、弱口令发现、基线配置核查，全面、快速、准确地发现被扫描网络中的存活主机、网络设备数据库，准确识别其属性。漏洞检测能够发现系统漏洞、工控设备漏洞、工控协议洞、Web漏洞等并提供解决方案。

区域隔离与网络边界防护

在生产网和办公网纵向之间部署工控防火墙，并配置合理的访问规则，可以控制不必要的跨层访问，防止攻击者通过上层网络向下层网络的渗透和攻击，减少由于网络互联互通所带来的安全风险。同时可以对不同层次之间的工业协议数据交换进行深度过滤，屏蔽非法操作，保障生产安全。

区域划分与安全防护

可以在同一网络层次中平行的工艺流程和业务子系统之间部署工控防火墙，将它们划分成不同的安全区域，配置不同的访问规则，屏蔽不同安全区域之间不必要的访问，对不同安全区域之间的工业协议数据交换进行深度过滤，减少安全区域之间安全问题的扩散和影响。

在线监测及告警

在生产网交换机旁路部署工业审计系统，将控制网络中的所有流通的数据信息通过镜像端口传输至工控审计系统，对网络行为进行综合监控，对工控设备流量异常、非法设备接入、用户违规操作、网络扫描等行为进行综合监控分析，对不合规行为进行告警。

终端防护

在生产大区终端设备、服务器，以及上位机部署工控卫士系统，防止设备非法外联，保障企业核心数据安全；通过应用程序的黑白名单机制，阻止恶意代码入侵系统及工控软件；通过外设管控功能，实现对USB口、手机、光驱等相关外设设备的准入管理，杜绝数据外泄和感染病毒的风险，从基础配置方面杜绝可能产生的安全隐患。

信息综合分析与资产统一管理

在生产网部署工业安全管理平台，基于大数据分析技术，对边界隔离、网络监测、主机防护等安全产品进行集中管控，对生产网中设备的日志、流量等信息进行综合分析，有效联动各类安全设备，实现精准的威胁识别，降低告警误报率，提升安全事件处理效率，实现汽车制造企业安全可视化、自动化、智能化。

用户收益

提升汽车制造行业工控网络安全防护能力

通过部署工控安全产品，建立涵盖汽车制造行业工控系统区域边界、计算环境、通信网络的安全防护框架。有效防止未经授权的访问、恶意软件传播以及潜在的网络攻击并实时告警，减少安全事故的发生，科学合理的处置和辅助决策降低企业工控安全风险，维护系统稳定，避免网络安全事故造成的经济损失。

应急响应闭环高效应对网络安全事件

方案采用的IPDR防护模型通过各阶段的相互关联和支持，形成一个闭环式的安全管理体系。相关阶段的检测、分析、研判等流程可以快速地对安全事件进行应急处置，使用工业安全管理平台自动化安全策略功能或者脚本化工具，自动封禁IP，并实现终端安全产品、边界防火墙等安全设备的联动处理，更加快捷高效地应对网络安全事件，保护企业自身的网络安全。