声明
本文是学习GB-T 37955-2019 信息安全技术 数控网络安全技术要求. 而整理的学习笔记,分享出来希望更多人受益,如果存在侵权请及时联系我们
数控网络安全技术要求
网络架构
基本要求
应将数控网络与管理网络进行逻辑分区，数控网络内部关键网络区域与其他网络区域进行逻辑分区。宜在数控网络内部划分出DMZ区域。
逻辑分区可通过划分VLAN等方式实现，在数控网络内部可以根据设备所处的位置、网络层次、设备完成的生产功能等进行逻辑分区。
增强要求
应将数控网络和其他网络进行物理隔离。宜在数控网络内部不同区域进行物理隔离。
边界防护
基本要求
基本要求包括：
- 应监视和控制数控网络和管理网、互联网之间的通信以及数控网络内各区域之间的通信；
- 应在各边界默认拒绝所有网络数据流，仅允许例外的网络数据流；
- 应能够对非授权设备私自连接到数控网络内部的行为进行限制或检查，并进行有效阻断；
- 应能够对数控网络内部用户私自连接到外部网络的行为进行限制或检查，并进行有效阻断。
增强要求
增强要求包括：
- 应在数控网络和管理网络边界、数控网络内部的区域边界部署保护设备，保证跨越边界的访问和数据通过受控接口进行通信；
- 当数控网络与管理网络的边界防护机制出现操作失效时，应阻止数控网络与管理网络之间的边界通信；
- 当数控网络内部安全域之间的边界防护机制失效时，应能够进行告警，并确保不影响关键设备的通信。
访问控制
基本要求
基本要求包括：
- 在数据传输之前，应能够对通信的双方进行身份鉴别；
- 远程维护数控设备时，应通过可信信道接入，采用单向访问控制措施，禁止从数控设备获取NC代码等工艺信息，应采用加密技术防止鉴别信息在网络传输过程中泄露；
- 应通过设定终端接入方式或网络地址范围对通过网络进行管理的终端进行限制；
- 应支持配置非活动时间，超过非活动时间后，应终止远程会话；
- 应在数控设备层和监督控制层之间、监督控制层和管理网络之间部署保护设备对进出网络的数据流量进行深度解析，对数据流量的源地址、目的地址、源端口、目的端口和协议等信息进行检查过滤，以允许/拒绝数据包进出数控网络。
增强要求
增强要求包括：
- 应禁止通过互联网等公共网络进行远程访问；
- 应能够对NC服务器和数控设备之间传输的NC代码进行内容过滤以防止恶意修改。
入侵防范
基本要求
基本要求包括：
- 应在数控设备层和监督控制层之间、监督控制层和管理网络之间的关键网络节点处检测、防止或限制从外部发起的网络攻击行为；
- 应能够通过网络行为分析实现对网络攻击的检测；
- 应在数控设备层和监督控制层之间、监督控制层和管理网络之间的关键网络节点处检测和限制从内部发起的网络攻击行为；
- 应能够对检测到的入侵行为进行告警。
增强要求
增强要求包括：
- 应能够通过网络行为分析实现对未知的新型网络攻击的检测；
- 当检测到攻击行为时，应能够记录包括但不限于攻击源IP、攻击类型、攻击对象、攻击时间等信息。
无线使用控制
基本要求
基本要求包括：
- 应能够对数控网络中参与无线通信的设备进行唯一标识和鉴别；
- 应能够对数控网络中进行的无线传输进行加密；
- 应能够对数控网络中无线连接的使用进行授权验证和监控。
增强要求
应能够识别在数控网络中使用的未经授权的无线设备，并告警。
安全审计
基本要求
基本要求包括：
- 应在数控网络和管理网络、数控设备层和监督控制层之间的关键网络节点处采取审计机制进行安全审计，安全审计应包括但不限于流量审计、协议审计、内容审计、行为审计；
- 应允许用户配置审计记录的存储容量；
- 审计记录应包括但不限于时间戳、来源、类别、协议类型、事件标识和事件结果；
- 在审计失败时（包括但不限于软件或硬件出错、审计捕获机制失败、审计存储容量饱和或溢出）应能够进行告警并能够采取恰当的措施（如覆盖最早的审计记录或停止审计日志生成）；
- 应通过加密存储、权限控制、身份鉴别等方式保护审计信息和审计工具，防止其在未授权情况下被获取、修改和删除；
- 应定期备份审计记录，避免受到未预期的删除、修改或覆盖等而丢失审计信息；
- 应保护时间源防止非授权改动，一旦改动则生成审计事件。
增强要求
增强要求包括：
- 应能够对数控设备的远程访问提供全面的审计记录，包括但不限于访问时间、访问地址、访问人员、具体操作内容等；
- 应能够配置审计存储容量的阈值，当审计记录存储量达到审计存储容量的阈值时应能够进行告警；
- 应能够对时钟同步频率进行配置，按照设定的频率进行系统时钟同步；
- 应能够为集中审计管理提供接口，将生成的审计记录上传；
- 应能够把审计记录写入非易失性存储介质；
- 应能够通过编程接口访问审计记录。
集中管控
基本要求
无。
增强要求
- 应划分出特定的管理区域，对分布在数控网络中的安全设备或安全组件进行管理；
- 应能够建立一条安全的信息传输路径，对数控网络中的安全设备或安全组件进行管理；
- 应对网络链路、安全设备、网络通信设备、NC服务器、采集服务器、数控设备等的运行状况进行集中监控；
- 应对分散在各个设备上的审计数据进行收集汇总和集中分析；
- 应对安全策略、恶意代码、补丁升级、系统日志等安全相关事项进行集中管理；
- 应对数控网络中发生的各类安全事件进行识别、告警和分析。
延伸阅读
更多内容 可以 GB-T 37955-2019 信息安全技术 数控网络安全技术要求. 进一步学习