案例精选丨年度汽车制造企业网络安全建设精华全在这

某汽车集团股份有限公司，是一家集全系列商用车、乘用车及动力总成研产销和服务于一体，涵盖汽车出行和金融服务等众多领域的综合型汽车企业集团，先后荣获中国汽车品牌前5强。近年来，随着集团信息化建设的不断深入，生产网络内各类资产互联互通水平不断提高，生产网络内部核心资产的暴露面逐渐增多。集团十分重视网络安全建设工作，尤其是生产网络的安全防护和监测预警体系建设。本次工控安全建设项目覆盖了集团各生产制造基地的工控安全建设，包括集团生产数据中心以及下属若干家生产制造基地，涉及集团新能源汽车、乘用车、轻型卡车、重型卡车、发动机等生产业务。

经过系统的交流和调研，了解到客户生产网络主要涉及集团总部数据中心和下属若干分公司。各分公司与集团数据中心之间地理距离较远，为了保证数据传输的稳定性和保密性，集团数据中心与各分公司之间通过专线连接，各分公司日常的核心生产数据都会上传到集团数据中心进行集中存储和汇总分析。各分公司内部生产网络与办公网络之间物理隔离，在制造车间内通过工业环网连接操作员站、PLC、机台等生产用终端和设备，工艺人员通过操作员站下发控制指令到PLC控制机床和机器人等生产设备完成生产。

1）安全运营需求

作为典型的离散制造行业，汽车集团现有“集团-分公司”的网络架构使得整体网络对外的暴露面较多，且分公司缺少专业的安全运营人员，一旦某一分公司遭受网络攻击，集团侧安全人员很难及时做出威胁处置动作，导致处置时间过长，可能导致更大的经济损失。所以迫切需要构建“集团-分公司”一体化的安全运营能力，将集团总部专业的安全运营能力下沉赋能至各分公司，提升威胁处置能力。

2）工业控制协议深度解析需求

因生产网络中工控设备类型丰富，且采用OPC、Modbus、S7等工业控制协议进行通讯，但已部署的传统防火墙无法识别现场工业控制协议，存在非法指令下发、恶意指令下发等风险，迫切需要提升客户对OPC、Modbus、S7等工业控制协议深度解析能力，防止黑客将攻击流量隐藏在工业协议下对生产网络进行破坏，如伊朗的震网病毒事件就是采用这种方式发起的攻击。

3）外设接口管控需求

生产网内工控主机通过USB移动存储等介质在办公网和生产网之间交叉使用，极易感染恶意代码程序，进而导致工控主机被攻击，引发安全风险，迫切需要提升外设管控能力。

4）漏洞防护需求

生产网内工控主机多数使用Windows 7、Windows 10等微软操作系统，由于生产控制网络的封闭及控制系统要求极高的稳定性，所以无法进行正常的操作系统补丁升级，导致存在大量的安全漏洞，迫切需要提升漏洞防护能力。

5）生产网络监测预警需求

生产网络为“黑盒”状态，存在对工业控制协议的网络攻击、用户误操作、用户违规操作等行为无法被监测、安全问题被隐藏的风险，迫切需要提升生产网络监测预警水平，提升对未知威胁的识别发现能力。

6）统一管理需求

各分公司与集团总部之间物理距离较远，针对分公司存在的各类安全告警集团无法及时处理，且存在单个分公司遭受网络攻击后向其他分公司扩散的风险，所以迫切需要提升针对生产内网各工控主机、网络设备、安全设备的统一管理能力。

本项目根据《中华人民共和国网络安全法》、《信息安全技术 网络安全等级保护基本要求》、《工业控制系统信息安全防护指南》、《工业互联网企业网络安全分类分级指南（试行）》等法律法规及标准的要求，以保障汽车智能制造生产线工控网络信息安全，构建汽车智能制造生产线全生命周期网络安全防护体系为核心目标。

1）构建汽车集团一体化安全运营中心

通过“一个中心，两个体系”匹配汽车智能制造的典型应用场景，对汽车集团智能制造生产线网络安全防护体系进行整体设计与实施，实现在“保护、检测、响应、审计、恢复”等多个维度对智能生产线进行网络安全防护体系建设，为制造行业工业控制系统提供网络资产测绘、漏洞防护、监测预警、检测防御、态势感知、信息共享、攻击溯源等丰富功能构成的一体化安全运营管理中心。

2）全面提升生产线整体网络安全防护水平

在确保与智能制造生产系统具备良好兼容性前提下，部署完成全生命周期的网络安全防护产品，突破智能制造行业网络安全防护能力薄弱的现状，最终从整体上提升汽车智能制造生产线网络安全防护水平，保障生产线的可靠连续运营及业务安全，为国家智能制造行业的网络安全防护建设提供示范经验。

依据网络安全法及行业相关标准、规范和最佳实践，对汽车制造生产系统进行网络安全建设，通过搭建一体化安全运营中心，实现对企业工控网络中的安全设备、网络设备和主机系统等各类资产进行统一管理；实时监视网络和资产的运行状态、健康状态和安全状态；抵御黑客、病毒、恶意代码对生产系统的破坏和攻击；阻止内部人员的非法访问；在遭受攻击和破坏后能及时恢复系统的能力，提高关键业务数据的可用性、机密性、完整性，极大地提高安全管理人员的运营与安全管理能力。

项目主要建设目标如下：

1）建设全工业场景一体化安全运营平台

以工业安全态势感知平台为技术基础，通过资产风险管理中心、溯源取证中心、事件处置中心、监控预警中心和威胁检测中心等五大中心构建平台中心层；以IOT基础设施/业务系统、安全能力资源池和安全威胁采集系统为基础支撑层，形成自上而下的整体安全态势感知和监测预警与处置。

2）建立“白环境”安全能力资源池

依照“一个中心，三重防护”进行安全设计，通过“白环境”的安全防护技术思路对生产控制系统的通信网络、区域边界、计算环境进行安全加固，形成常态化、体系化、实战化的防护体系。

3）构建安全服务体系和安全运营体系

安全服务体系和安全运营体系是安全运营中心之两翼，安全服务体系是对安全运营平台的服务保障，包含基础平台服务保障和智能制造生产系统生命周期安全服务保障；安全运营体系是安全运营平台发挥其功能特点的运营管理保障，包含运营组织、运维流程、日常运维机制、应急响应机制和管理制度流程。

本项目提出围绕“一个平台、两个体系”为主体的汽车智能制造一体化安全运营解决方案，搭建安全运营中心，通过对汽车智能制造生产系统的通信网络、区域边界、计算环境进行安全加固形成安全运营中心的能力资源池，从而形成可防御、可检测、可响应、可预测的全生命周期的防护体系；孵化出动态防御、主动防御、纵深防御、精准防护、整体防控、联防联控的六大安全能力。

技术路线：工业安全运营中心技术思路是围绕“一个平台、两个体系”进行建设，一平台指的是安全运营平台；两体系指的是安全服务体系和安全运营体系。

一平台：安全运营平台以工业安全态势感知平台为技术基础，核心包含平台中心层和基础支撑层。通过资产风险管理中心、溯源取证中心、事件处置中心、监控预警中心和威胁检测中心等五大中心构建平台中心层，以IOT基础设施/业务系统、安全能力资源池和安全威胁采集系统为基础支撑层，平台中心层与基础支撑层之间涉及策略下发、采集资产和威胁告警、威胁数据收集等交互，形成自上而下的整体安全态势感知和监测预警与处置。

两体系：安全服务体系和安全运营体系是安全运营中心之两翼，安全服务体系是对安全运营平台的服务保障，包含基础平台服务保障和智能制造生产系统生命周期安全服务保障；安全运营体系是安全运营平台发挥其功能特点的运营管理保障，包含运营组织、运维流程、日常运维机制、应急响应机制和管理制度流程。

首先在各厂区智能制造生产系统中依照“一个中心，三重防护”进行安全设计，通过“白环境”的安全防护技术思路对生产控制系统的通信网络、区域边界、计算环境进行安全加固，形成常态化、体系化、实战化的防护体系；其次在数据中心管理网搭建一套安全运营中心实现对多个厂区内的安全设备进行资源整合，形成一体化的安全运营。

3.3.1 工业安全运营平台-五大功能中心设计方案

在数据中心部署工业安全态势感知平台作为整个集团的安全运营平台，工业安全态势感知平台从五个维度对整个网络进行分析，具体如下：

资产风险管理中心：工业安全态势感知平台能够基于工控协议指纹、物联网协议指纹、工控设备指纹、物联网设备指纹、工控系统应用指纹进行资产发现，帮用户建立完善的资产管理台帐，实现基于资产一体化的管控，并基于工业安全态势感知平台中内置的资产漏洞库，描绘以资产的漏洞、告警、不合规配置项、资产风险值等不同维度的资产安全画像，提供资产的台账梳理、变更记录、运行状态监控、漏洞和风险排查一站式全生命周期管理服务。

溯源取证中心：工业安全态势感知平台针对统一安全管理平台上传的日志进行海量分析，针对安全事件，挖掘与之关联的所有日志，从纵向时间维度和横向访问维度来还原攻击路径。

事件处置中心：结合其它安全设备事件关联分析，基于时间模型和会话数据，深入挖掘历史数据，发现生产控制大区的潜在威胁，并通过报表、短信、工单等方式及时通知管理人员，从而实现协防联动处置。

监控预警中心：识别整个智能制造生产系统不同工控设备资产数量和资产类别，实时监测并展示资产CPU、内存、硬盘等信息，并统计分析网络、安全、主机、工控等设备的漏洞数量，从而分析出网络内部可能面临的威胁。

威胁检测中心：工业安全态势感知平台内置威胁情报库、病毒库、入侵检测特征库、资产指纹库、范化规则库、关联分析规则库，可以基于系统通信基线模型，对不同机组业务系统、不同区域之间的信息流动进行监测，对智能制造生产系统内的网络异常行为和业务异常行为进行分析，及时发现信息泄露、越权访问和违规操作行为。

3.3.2 通信网络安全防护

在数据中心网络节点部署高级威胁检测系统和工控安全监测与审计系统，同时也作为安全通信网络层面安全数据采集探针。首先通过高级威胁检测系统发现基于内外网流量的漏洞攻击、恶意入侵等行为进行实时检测和告警；其次通过工控安全监测与审计系统对现场的工业协议和网络进行分析和记录，实时监测智能制造生产系统内部的异常工业协议，提高生产控制系统的网络安全审计能力。

3.3.3 网络边界安全防护

在各分公司或厂区边界部署工业互联防火墙，实现对OPC、Modbus、S7等工业控制协议的识别与深度解析，实时拦截非法指令下发、恶意指令下发等违规行为；强化对工业控制系统的边界隔离与防护，确保控制系统的持续稳定运行。

3.3.4 工控主机安全防护与加固

在各车间工控主机上部署工控主机卫士，通过“白名单”技术、漏洞防御、安全基线及外设管控等技术措施实现对工控主机的安全防护与加固，提高工控主机的安全防护能力与安全防护等级。

3.3.5 统一安全管理

在集团总部数据中心部署统一安全管理平台，对生产网络中部署的工业互联防火墙、工控主机卫士、工控安全监测与审计系统、高级威胁检测系统等进行集中管控；同时统一安全管理平台兼备基于资产的集中管理功能，有效帮助运维人员提升网络安全运维工作效率，降低安全运维成本。

3.3.6 全网设备日志审计分析

在集团总部数据中心部署日志审计与分析系统，集中收集存储全网工控主机、网络设备、安全设备等各类运行日志，并进行关联分析，发现潜藏在网络中的安全攻击，并能分阶段展示安全攻击流程，在实现安全合规的同时切实发挥设备日志的安全价值。

3.3.7 数据库安全审计

在集团总部数据中心部署数据库审计系统，监控数据库的多重状态和通信内容，准确评估数据库所面临的风险，通过日志记录提供事后追查机制，加强数据库系统日常使用的规范化管理以保护集团关键业务。

3.3.8 运维管理与审计

在集团总部数据中心部署安全运维管理系统，实现工控系统安全运维、威胁可视化、已知和未知威胁检测、持续攻击检测以及管理人员和第三方人员在运维工业现场上位机、服务器、应用系统、工业网络设备、工业安全设备时的安全合规。

全网风险态势可视化预警

通过建立基于态势感知技术和威胁情报检测技术的动态防御体系，实现态势可知，态势可控，威胁预测，建立“全天候”态势感知能力。实现态势感知、安全运营、数据关联、威胁预测，将静态防御转为积极动态防御，避免像丰田、本田等车企因病毒攻击、工控设备及系统漏洞而造成的直接经济损失。

厂区白环境安全建设

实现汽车集团各个业务部及分厂区的资产分析、威胁分析、脆弱性分析，最终摸清全厂家底，发现威胁风险点，抵御内外病毒入侵影响生产的风险；建立汽车集团生产工控系统正常工作环境下的安全状态基线和模型，进而构筑工业控制系统的网络安全“白环境”。

引领行业建设标杆

建立生产网络安全管理体系，基于工业互联网技术发展，为全国树立了汽车生产制造企业工控安全建设标杆和示范，为行业内加快工业互联网技术和应用落地和产业转型数字化工厂提供了示范与引导。