余梦达IT&OT融合下的场景化安全防护实践.pdf

1、 让工业更智能，让客户更成功 股票代码：688777.SH SUPCON.SWIT&OT融合下的场景化安全防护实践 Scenario security protection practice under IT&OT integration中控技术股份有限公司 余梦达 2024年 9月个人简介：高级工程师、中控工业信息安全业务负责人（SPDT主任，产品线总经理）/浙江国利网安公司副总经理。杭州高层次人才，工信部工业信息安全产业发展联盟应急组专家，浙江省经信厅、新疆工信厅工控安全专班技术组成员。拥有近10年工业控制系统及工业信息安全业务市场和方案规划设计、项目管理经验。包括九江石化、北海炼化、浙石

2、化等全厂工控安全建设，陕煤榆林化学、大金氟化工等智能工厂信息安全建设。国家重点研发项目：工业控制系统安全保护技术应用示范（所属专项：网络空间安全）中控技术 余梦达演讲嘉宾助力浙石化数据安全防护国内外石化行业信息安全焦点IMI&中控技术交流中控技术&ATG技术沙龙沙特阿美&中控技术合作IT&OT融合背景下工业信息安全三级运营体系国内油气行业网络安全研究内建安全在大型炼化装置案例移动介质防护&数据安全摆渡“白+黑”防护 采用“白名单+黑名单”双重防护机制，内置多种国内外TOP病毒查杀引擎（Kaspersky（国际领先）、奇安信（国内顶尖）、ClamAV（全球公认）等），采用特有融合检测技术，已知恶

3、意代码检出率超过99.9%。无感、便捷的病毒库更新超高细粒度管理与审计 支持IT网NG USB Guard联网自动升级病毒库，借助中控安全U盘安全数据摆渡能力，完成OT网NG USB Guard病毒库的自动升级；支持NG USB Guard病毒库发布功能，全域主机安全卫士可借助NG USB Guard完成自身病毒库无感自动升级。NG USB Guard 支持Windows域控管理，可接入现有的域控系统，实现了移动介质绑定、账户授权管理、用户行为管控等安全管理，落实责任到人；支持时间、用户、操作、路径、目标文件、设备标识等多维安全审计，支持非法设备接入报警，从物理设备层面建立或完善工厂移动介质使

4、用规范与审计流程。移动介质防护&安全数据摆渡工业现场安全运维保障运维电脑安全运维系统安全区非安全区USB Key运维人员企业技术人员设备厂商技术人员等保评测人员上级检查人员 外联检查 外设检查 屏幕录屏 攻击拦截 恶意代码检查 高危指令拦截 访问控制 过程审计 二次授权作为运维电脑进入工业控制系统进行检修工作的“门闸”，对整个检修作业全程进行安全管控。被运维对象控制系统资产可视可管摸不清的资产情况监测探测解析知识库全息展示清晰明了的资产空间状态资产梳理资产类别（上位机、交换机、控制器等）资产信息（硬件、软件版本、诊断信息）状态监测运行状态（控制器、网络设备、安全设备、组态）风险识别基线核查资产

5、核查（组态基线、设备基线、安全基线）网络核查控制器监测&恢复基线组态工程逆向还原与映射恢复模式判断组态恢复模块使能控制器暴露出多个严重漏洞补丁影响系统运行不敢安装补丁识别专门针对控制器的攻击方式并进行阻断，为控制器架设安全护盾，不影响正常业务专业识别控制器攻击风险，无扰恢复工业控制器的基线组态工程“1+1+2”三级运营体系中控-控制系统安全防护装置级安全管理中心工控系统内建安全增强工控网络域间及边界防护工控系统数据备份与恢复工业主机及服务器加固移动介质防护&数据摆渡工控网络安全监测审计非中控-控制系统安全防护控制器行为防护控制器完整性监测与恢复全景工控资产识别与监测工业主机及服务器加固移动介质

6、防护&数据摆渡生产工艺边界划分与防护工厂级安全预警中心通信网络诊断计算环境加固区域边界防护应用及数据安全控制系统运行状态工业信息安全日志控制网络诊断信息集团级安全运营中心园区态势感知工控威胁情报托管安全运营云上专家接入安全实训验证定制化工单业务布局基础安全建设关基保护密评要求行业标准企业标准进阶安全合规行业纵深安全设备接入安全跨域通信安全工艺操作安全场景化业务安全可视化态势流程化运维简易化运营统一化管理智能化安全运营产学研融合知识成果产出行业创新应用安全联合开发创新性安全应用