鋼鐵企業(yè)工控網(wǎng)絡(luò)安全分析及安全示范線建設(shè)

武漢鋼鐵有限公司 程曦 王晶

結(jié)合某鋼鐵制造基地及下屬產(chǎn)線的工控系統(tǒng)的網(wǎng)絡(luò)實(shí)際情況，分析工控網(wǎng)絡(luò)中存在的安全隱患，從主機(jī)安全防護(hù)、邊界安全管理、準(zhǔn)入安全管控、網(wǎng)絡(luò)入侵檢測(cè)等方面提出安全防護(hù)方案，結(jié)合國(guó)家等級(jí)保護(hù)制度相關(guān)要求開(kāi)展工控網(wǎng)絡(luò)安全示范線建設(shè)，提升企業(yè)的管控網(wǎng)絡(luò)安全防護(hù)能力，完善安全架構(gòu)和技術(shù)支撐體系，確保生產(chǎn)穩(wěn)定運(yùn)行。

近年來(lái)，工控系統(tǒng)安全風(fēng)險(xiǎn)持續(xù)增加，大量安全威脅不斷滲透至工控網(wǎng)絡(luò)，安全形勢(shì)日趨嚴(yán)峻。2022 年伊朗胡齊斯坦鋼鐵公司在遭受網(wǎng)絡(luò)攻擊后被迫停止生產(chǎn)，這是近年來(lái)針對(duì)該國(guó)戰(zhàn)略工業(yè)部門(mén)最大規(guī)模網(wǎng)絡(luò)攻擊之一，這一事件也為我們敲醒了警鐘！隨著鋼鐵行業(yè)智能制造及兩化融合推進(jìn)，打破了工控系統(tǒng)原有“孤島式”的管理模式，對(duì)工控系統(tǒng)安全提出了更高要求，如何有效地防御內(nèi)、外部攻擊，降低工控網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，筑牢工控網(wǎng)絡(luò)安全防線，確保生產(chǎn)穩(wěn)定順行，工控網(wǎng)絡(luò)穩(wěn)定可靠，是鋼鐵行業(yè)工控網(wǎng)絡(luò)安全所關(guān)注和需要解決的問(wèn)題。

1 鋼鐵企業(yè)工控系統(tǒng)網(wǎng)絡(luò)架構(gòu)

鋼鐵企業(yè)生產(chǎn)信息系統(tǒng)主要包括L1（基礎(chǔ)自動(dòng)化系統(tǒng)）例如現(xiàn)場(chǎng)采集設(shè)備、PLC、DCS 等、L2（過(guò)程自動(dòng)化系統(tǒng)）各生產(chǎn)單元生產(chǎn)過(guò)程控制系統(tǒng)、控制模型等、L3（各廠作業(yè)層生產(chǎn)執(zhí)行系統(tǒng)）負(fù)責(zé)生產(chǎn)計(jì)劃編排、生產(chǎn)指令存儲(chǔ)管理、質(zhì)量控制計(jì)劃管理等、L4（公司層制造管理系統(tǒng)）、L5（公司一體化經(jīng)營(yíng)決策ERP 系統(tǒng)）。某鋼鐵企業(yè)生產(chǎn)信息系統(tǒng)構(gòu)架，如圖1 所示。

L2 及以下層級(jí)統(tǒng)稱(chēng)廠級(jí)工控系統(tǒng)，L3 及以上層級(jí)稱(chēng)公司信息管理系統(tǒng)，承載工控系統(tǒng)的網(wǎng)絡(luò)為各廠工控網(wǎng)絡(luò)，實(shí)現(xiàn)信息系統(tǒng)交互的網(wǎng)絡(luò)為公司信息主干網(wǎng)。各層級(jí)相互協(xié)調(diào)，完成從煉焦到軋制等一系列連續(xù)的生產(chǎn)控制任務(wù)，在生產(chǎn)過(guò)程中如果遭受惡意攻擊、發(fā)生病毒感染和擴(kuò)散，就會(huì)使整改生產(chǎn)流程中斷，工控系統(tǒng)的控制組件被迫停止運(yùn)轉(zhuǎn)，造成嚴(yán)重的生產(chǎn)故障和巨大的經(jīng)濟(jì)損失[1]。

2 現(xiàn)狀及存在問(wèn)題

“智慧制造”推進(jìn)要求實(shí)現(xiàn)與生產(chǎn)業(yè)務(wù)相關(guān)網(wǎng)絡(luò)之間互聯(lián)互通，公司、生產(chǎn)廠內(nèi)新增業(yè)務(wù)系統(tǒng)有工控網(wǎng)絡(luò)與信息主干網(wǎng)連接訪問(wèn)要求，打破了原有相對(duì)封閉的工控網(wǎng)絡(luò)管理模式，對(duì)整體安全提出了更高的要求。通過(guò)對(duì)近年發(fā)生的工控安全事件進(jìn)行分析，發(fā)現(xiàn)70%以上都是由于蠕蟲(chóng)病毒、漏洞利用或網(wǎng)絡(luò)攻擊導(dǎo)致，隨著網(wǎng)絡(luò)架構(gòu)逐步向“高可用、扁平化”趨勢(shì)發(fā)展，基于網(wǎng)絡(luò)傳播的各種安全威脅將帶來(lái)重大安全隱患[2]。

2.1 工控主機(jī)安全加固實(shí)施難度大

各生產(chǎn)廠的控制系統(tǒng)中存在大量硬件和操作系統(tǒng)老舊的工控主機(jī)，部分控制設(shè)備還在使用Windows XP、Windows 2000 Server 等操作系統(tǒng)，微軟已不再對(duì)這些系統(tǒng)提供安全技術(shù)服務(wù)，存在大量高危安全漏洞，對(duì)已知漏洞的修復(fù)需要升級(jí)操作系統(tǒng)版本，降低主機(jī)運(yùn)行速度，且漏洞修復(fù)后可能造成控制系統(tǒng)應(yīng)用或通信異常。

現(xiàn)有殺毒軟件基于黑名單方式，需要相關(guān)技術(shù)人員定期對(duì)病毒庫(kù)進(jìn)行更新，在鋼鐵企業(yè)生產(chǎn)環(huán)境不適用，無(wú)法及時(shí)發(fā)現(xiàn)和查殺新型病毒，對(duì)無(wú)法識(shí)別的工控系統(tǒng)程序會(huì)存在誤殺風(fēng)險(xiǎn)，對(duì)工控主機(jī)進(jìn)行定期病毒查殺占用系統(tǒng)資源，影響工控主機(jī)的性能，導(dǎo)致生產(chǎn)作業(yè)線運(yùn)行狀態(tài)不穩(wěn)定。

工控系統(tǒng)在防病毒軟件方面的選擇面非常狹窄，經(jīng)廠商認(rèn)證的防病毒軟件主要是國(guó)外的McAfee、Symantec、Trend 產(chǎn)品，少數(shù)使用國(guó)產(chǎn)火絨，有些甚至指定版本，殺毒軟件全面覆蓋和國(guó)產(chǎn)防病毒軟件替代難度和阻力將很大。

2.2 移動(dòng)存儲(chǔ)介質(zhì)管控缺乏技術(shù)手段

目前工控系統(tǒng)終端USB 端口的管控，主要通過(guò)修改系統(tǒng)注冊(cè)表禁用空閑USB 端口，主機(jī)的外設(shè)接口張貼一次性的密封條方式進(jìn)行管控，但現(xiàn)場(chǎng)人員工控網(wǎng)絡(luò)安全、保密意識(shí)不強(qiáng)，仍使用未經(jīng)過(guò)授權(quán)移動(dòng)存儲(chǔ)介質(zhì)或其他USB 設(shè)備進(jìn)行報(bào)表下載、程序修改及數(shù)據(jù)拷貝等情況。缺乏必要的技術(shù)手段控制外部存儲(chǔ)介質(zhì)的非授權(quán)接入，需要對(duì)USB 端口授權(quán)管理和動(dòng)態(tài)監(jiān)控，利用未授權(quán)的移動(dòng)存儲(chǔ)介質(zhì)將病毒、蠕蟲(chóng)等惡意代碼滲透進(jìn)入工業(yè)控制系統(tǒng)的安全事件屢見(jiàn)不鮮[3]。

2.3 網(wǎng)絡(luò)邊界存在的風(fēng)險(xiǎn)

通過(guò)長(zhǎng)期以來(lái)的檢查、整改，逐步落實(shí)公司安全管理要求，各生產(chǎn)廠工控網(wǎng)和信息主干網(wǎng)基本實(shí)現(xiàn)物理隔離，PLC、DCS 等L1 基礎(chǔ)自動(dòng)化層級(jí)接入?yún)^(qū)域內(nèi)部工控網(wǎng)交換機(jī)，部分L2 層級(jí)服務(wù)器需要與L3 進(jìn)行交互，接入信息主干網(wǎng)前配了防火墻，而且對(duì)安全防護(hù)策略也進(jìn)行配置。

總體上工控網(wǎng)較封閉，安全防護(hù)有保障，但是隨著兩化融合的推進(jìn)，各類(lèi)自動(dòng)化、智能化項(xiàng)目的實(shí)施，工控網(wǎng)、信息網(wǎng)之間的通訊越來(lái)越多，界限越來(lái)越模糊，為實(shí)現(xiàn)現(xiàn)場(chǎng)實(shí)時(shí)數(shù)據(jù)的高效采集，需要工控網(wǎng)與信息網(wǎng)、主干網(wǎng)建立廣范的連接，部分工控設(shè)備甚至通過(guò)無(wú)線網(wǎng)卡接入互聯(lián)網(wǎng)絡(luò)，違規(guī)接入工控網(wǎng)情況屢見(jiàn)不鮮，例如表檢儀、孔洞儀等測(cè)量系統(tǒng)、區(qū)域數(shù)據(jù)采集設(shè)備等，為實(shí)現(xiàn)不同網(wǎng)段間的數(shù)據(jù)共享及信息主干網(wǎng)的業(yè)務(wù)發(fā)布，配備有多塊網(wǎng)卡和IP 地址，接入工控網(wǎng)絡(luò)未經(jīng)過(guò)審核、評(píng)估，容易導(dǎo)致原有的網(wǎng)絡(luò)邊界防線失效，一旦某臺(tái)服務(wù)器感染惡意代碼或遭受黑客攻擊，可能會(huì)導(dǎo)致擴(kuò)散到其他工控主機(jī)被感染或被攻擊。

2.4 安全策略配置漏洞，弱口令和遠(yuǎn)程、共享等問(wèn)題難以根除

由于生產(chǎn)或操作需要，共享服務(wù)無(wú)法棄用，例如Wincc、Intoch 等控制軟件Clinte 與Server 端通過(guò)共享文件方式實(shí)現(xiàn)數(shù)據(jù)交互功能，如果工控主機(jī)的445、139 端口被封鎖，可能造成組態(tài)軟件無(wú)法正常運(yùn)行，系統(tǒng)運(yùn)行終斷，然而Wannercry 勒索病毒正是利用了微軟 MS17-010 漏洞并通過(guò)445 端口傳播?！跋蛉湛乜亍钡冗h(yuǎn)程應(yīng)用軟件已禁止在工控系統(tǒng)中使用，但現(xiàn)場(chǎng)技術(shù)人員為提高故障處理效率，未遵循“最小原則”，開(kāi)啟139、445、3389等端口、FTP、Telnet 等非業(yè)務(wù)必須的服務(wù)及Windows遠(yuǎn)程桌面服務(wù)。因通信賬戶(hù)被編譯到程序中，涉及底層的應(yīng)用開(kāi)發(fā)而無(wú)能為力，對(duì)弱密鑰進(jìn)行修改，技術(shù)難度較大，無(wú)法完全避免弱口令問(wèn)題。

3 改進(jìn)措施

結(jié)合《工業(yè)控制系統(tǒng)信息安全防護(hù)指引》與《等級(jí)保護(hù)2.0-工業(yè)控制系統(tǒng)安全擴(kuò)展要求》等相關(guān)制度、法規(guī)要求，基于某企業(yè)工控系統(tǒng)實(shí)際應(yīng)用情況，以終端安全加固和網(wǎng)絡(luò)邊界防護(hù)、加強(qiáng)移動(dòng)介質(zhì)管控為重點(diǎn)，強(qiáng)化工控網(wǎng)絡(luò)安全監(jiān)管，降低工控網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，保障區(qū)域內(nèi)工控網(wǎng)絡(luò)安全穩(wěn)定運(yùn)行[4]。

3.1 終端主機(jī)的安全加固

通過(guò)管理制度要求工控網(wǎng)絡(luò)運(yùn)維人員關(guān)注工控安全形勢(shì)，及時(shí)知悉重大安全漏洞和補(bǔ)丁發(fā)布情況，對(duì)安全補(bǔ)丁進(jìn)行安裝后對(duì)工控主機(jī)可能造成的安全風(fēng)險(xiǎn)評(píng)估，在測(cè)試環(huán)境做好充分的測(cè)試、驗(yàn)證，確保安全可行后在生產(chǎn)環(huán)境中為工控主機(jī)安裝安全補(bǔ)丁。

對(duì)于已安裝殺毒軟件但不方便定期更新病毒庫(kù)的工控主機(jī)，使用應(yīng)用程序白名單軟件來(lái)防范風(fēng)險(xiǎn)，僅允許通過(guò)業(yè)務(wù)單位授權(quán)和安全評(píng)估的軟件在工控主機(jī)中運(yùn)行。對(duì)于配置老舊不具備安裝條件的，以殺毒U 盤(pán)的方式定期對(duì)終端病毒進(jìn)行查殺。

在生產(chǎn)線進(jìn)行升級(jí)改造時(shí)，逐步實(shí)現(xiàn)工控終端及核心網(wǎng)絡(luò)設(shè)備的國(guó)產(chǎn)化升級(jí)替代，避免被外方“卡脖子”。

3.2 加強(qiáng)移動(dòng)介質(zhì)管控

定期開(kāi)展工控網(wǎng)絡(luò)安全檢查，檢查內(nèi)容包括工控主機(jī)外部設(shè)備接口情況，對(duì)非必要USB 接口、光驅(qū)等設(shè)備接口封閉或拆除，做好外接設(shè)備的授權(quán)管理。比如:部署移動(dòng)介質(zhì)授權(quán)管理系統(tǒng)，僅允許被授權(quán)的安全移動(dòng)介質(zhì)通過(guò)指定的方式接入工控主機(jī)，禁止沒(méi)有授權(quán)的U盤(pán)、光驅(qū)等外部設(shè)備接入工控主機(jī)，防范病毒、木馬等惡意代碼程序通過(guò)移動(dòng)存儲(chǔ)介質(zhì)侵入工控系統(tǒng)。

3.3 邊界隔離與訪問(wèn)控制

建立清晰的工控系統(tǒng)網(wǎng)絡(luò)邊界，加強(qiáng)工控網(wǎng)絡(luò)的縱向安全隔離和橫向安全認(rèn)證。

做好縱向安全隔離，通過(guò)終端雙網(wǎng)卡加前置防火墻、網(wǎng)閘等網(wǎng)絡(luò)安全設(shè)備，合理配置訪問(wèn)控制策略，實(shí)現(xiàn)不同層面間設(shè)備的授權(quán)訪問(wèn)，允許L2 與L3 層進(jìn)行生產(chǎn)計(jì)劃、生產(chǎn)實(shí)績(jī)數(shù)據(jù)交互等合法業(yè)務(wù)數(shù)據(jù)，阻止非授權(quán)訪問(wèn)流量通過(guò)邊界，例如在熱軋生產(chǎn)線L3 和L2 的網(wǎng)絡(luò)邊界部署工業(yè)網(wǎng)閘，實(shí)現(xiàn)工控網(wǎng)絡(luò)與主干信息網(wǎng)絡(luò)邊界隔離，避免L3 及以上網(wǎng)絡(luò)非授權(quán)訪問(wèn)工控系統(tǒng)網(wǎng)絡(luò)的風(fēng)險(xiǎn)。

做好橫向安全認(rèn)證，在工業(yè)系統(tǒng)網(wǎng)絡(luò)中，在交換機(jī)上按照區(qū)域、工藝流程和功能等維度劃分不同的安全防護(hù)區(qū)域，例如:煉鐵、煉鋼、條材、熱軋區(qū)域，分廠的工控網(wǎng)絡(luò)都匯聚至集中控制中心核心交換機(jī)，通過(guò)核心交換機(jī)劃分VLAN，前置工業(yè)防火墻、工業(yè)安全網(wǎng)閘等防護(hù)設(shè)備，有效對(duì)工業(yè)通信協(xié)議的數(shù)據(jù)包進(jìn)行深度檢查和識(shí)別，實(shí)現(xiàn)篩選并屏蔽非法指令，避免安全風(fēng)險(xiǎn)在不同區(qū)域進(jìn)行擴(kuò)散，便于風(fēng)險(xiǎn)源追溯。保證只有可信任的流量可以在工業(yè)網(wǎng)絡(luò)上傳輸，實(shí)現(xiàn)對(duì)非法操作指令的攔截和告警。

3.4 根據(jù)業(yè)務(wù)配置合理的安全策略，減少安全漏洞

加強(qiáng)設(shè)備的口令防護(hù)強(qiáng)度，根據(jù)業(yè)務(wù)需求為工控主機(jī)配置合理的密碼策略。遵循“最小原則”開(kāi)放工控主機(jī)端口或服務(wù)。所有非必要的遠(yuǎn)程桌面、遠(yuǎn)程登錄等服務(wù)關(guān)閉，如廠部有遠(yuǎn)程維護(hù)需求，應(yīng)在有安全措施和策略的通道下進(jìn)行，具體的措施如下：如運(yùn)維人員需從外網(wǎng)使用VPN 等遠(yuǎn)程登錄工業(yè)系統(tǒng)網(wǎng)絡(luò)，應(yīng)限制用戶(hù)數(shù)量，防火墻上配置安全策略，僅允許限制的時(shí)間內(nèi)從指定的IP 地址進(jìn)行遠(yuǎn)程訪問(wèn)。

清理工控主機(jī)、網(wǎng)絡(luò)設(shè)備中的賬戶(hù)，確認(rèn)賬戶(hù)使用情況，禁用冗余賬號(hào)、過(guò)期賬號(hào)。同時(shí)，按照“最小原則”為賬號(hào)賦權(quán)，分配與工作角色、工作職責(zé)相符的權(quán)限。

4 安全示范線建設(shè)

以煉鋼廠區(qū)域?yàn)樵圏c(diǎn)進(jìn)行工控網(wǎng)絡(luò)安全示范線建設(shè)，基于煉鋼區(qū)域現(xiàn)場(chǎng)情況，設(shè)計(jì)了工控安全整體架構(gòu)。參照《工業(yè)控制系統(tǒng)安全防護(hù)指引》相關(guān)要求，建設(shè)工控網(wǎng)絡(luò)安全示范線，關(guān)注工控系統(tǒng)邊界安全、終端安全加固、遠(yuǎn)程運(yùn)維管控、安全威脅感知、安全管理中心建設(shè)等方面內(nèi)容[5]，如圖2 所示。

圖2 煉鋼廠工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全建設(shè)示意圖Fig.2 Schematic diagram of network security construction of industrial control system in steel mill

4.1 工控系統(tǒng)邊界安全

在L1 與L2 邊界處部署工控防火墻，通過(guò)工業(yè)協(xié)議的深度解析確保過(guò)程控制系統(tǒng)與現(xiàn)場(chǎng)控制設(shè)備之間、HMI 和現(xiàn)場(chǎng)控制設(shè)備之間通訊與控制的合法性，有效阻止利用工控協(xié)議進(jìn)行漏洞攻擊，并同步管控網(wǎng)絡(luò)非法入侵、惡意訪問(wèn)的威脅。

4.2 終端安全加固

終端設(shè)備安裝基于白名單方式主機(jī)安全衛(wèi)士，實(shí)現(xiàn)已知、未知病毒的防范。由于傳統(tǒng)殺毒軟件的“黑名單”方式嚴(yán)重依賴(lài)病毒庫(kù)，所以在遠(yuǎn)程控制中心操作員站、工程師站，服務(wù)器上部署工控主機(jī)衛(wèi)士，采用更適用于工業(yè)網(wǎng)絡(luò)環(huán)境的輕量級(jí)“白名單”機(jī)制，可以有效阻止未知病毒、木馬、蠕蟲(chóng)等惡意代碼的執(zhí)行。

4.3 安全威脅發(fā)現(xiàn)

提高已知、未知威脅攻擊防御能力，在生產(chǎn)控制層與生產(chǎn)管理層網(wǎng)絡(luò)邊界處部署高級(jí)威脅檢測(cè)系統(tǒng)，采用基于沙箱行為的未知威脅檢測(cè)技術(shù)，實(shí)時(shí)檢測(cè)威脅情報(bào)、密碼暴力破解、潛在隱私策略等APT 攻擊行為，解決勒索病毒、變種病毒、未知威脅無(wú)法定位的問(wèn)題。

4.4 移動(dòng)介質(zhì)管控

在工控示范區(qū)規(guī)劃部署移動(dòng)介質(zhì)管控系統(tǒng)，實(shí)現(xiàn)工控網(wǎng)絡(luò)終端外設(shè)統(tǒng)一管理，并同步存儲(chǔ)外設(shè)的接入控制與內(nèi)容檢查，存儲(chǔ)外設(shè)掃描通過(guò)內(nèi)置防病毒引擎及病毒特征庫(kù)，實(shí)現(xiàn)對(duì)存儲(chǔ)外設(shè)內(nèi)的文件進(jìn)行病毒特征掃描。存儲(chǔ)外設(shè)殺毒，通過(guò)內(nèi)置防病毒引擎對(duì)掃描出來(lái)的染毒文件進(jìn)行清除。

4.5 遠(yuǎn)程運(yùn)維管控

“智慧制造”建設(shè)帶來(lái)大量遠(yuǎn)程運(yùn)維需求，其接入工控系統(tǒng)需要實(shí)現(xiàn)安全訪問(wèn)、權(quán)限管理及安全審計(jì)要求。運(yùn)維人員通過(guò)VPN 設(shè)備連接至主干網(wǎng)內(nèi)，登錄堡壘機(jī)進(jìn)行認(rèn)證授權(quán)，基于堡壘機(jī)操作錄屏功能實(shí)現(xiàn)運(yùn)程運(yùn)維操作審計(jì)功能。通過(guò)堡壘機(jī)發(fā)布中心平臺(tái)連接至廠部遠(yuǎn)程通信服務(wù)器，廠部設(shè)備管理員可以通過(guò)遠(yuǎn)程通信服務(wù)器完成遠(yuǎn)程接入人員的賬戶(hù)創(chuàng)建、刪除、禁止以及用戶(hù)授權(quán)等操作，并可記錄和追溯設(shè)備與人員訪問(wèn)日志，支持多人同時(shí)訪問(wèn)多個(gè)設(shè)備，默認(rèn)封閉遠(yuǎn)程通信服務(wù)器訪問(wèn)端口，網(wǎng)絡(luò)管理員可按需進(jìn)行配置管理，保障遠(yuǎn)程訪問(wèn)安全?，F(xiàn)場(chǎng)遠(yuǎn)程運(yùn)維設(shè)備通過(guò)工業(yè)遠(yuǎn)程網(wǎng)關(guān)設(shè)備進(jìn)行連接，網(wǎng)關(guān)部署在工控網(wǎng)現(xiàn)場(chǎng)，如圖3 所示。

圖3 遠(yuǎn)程運(yùn)維方案Fig.3 Remote operation and maintenance scheme

4.6 安全管理中心建設(shè)

構(gòu)建工控案示范區(qū)統(tǒng)一管理平臺(tái)，對(duì)部署的所有安全設(shè)備進(jìn)行統(tǒng)一管理、策略配置，解決安全設(shè)備難運(yùn)維的問(wèn)題，同時(shí)將工控系統(tǒng)告警信息集中展現(xiàn)，包括告警監(jiān)控終端列表、告警類(lèi)型統(tǒng)計(jì)、業(yè)務(wù)異常分布圖、攻擊行為分布、用戶(hù)行為分布圖、未處理告警信息實(shí)時(shí)監(jiān)視統(tǒng)計(jì)等[6]。

5 結(jié)語(yǔ)

通過(guò)對(duì)某鋼鐵企業(yè)工控網(wǎng)絡(luò)安全體系全面診斷，分析存在問(wèn)題，制定針對(duì)性的提升措施，完善工控網(wǎng)絡(luò)安全防護(hù)體系。以煉鋼廠工控網(wǎng)絡(luò)安全示范線建設(shè)為切入點(diǎn)，阻止勒索、蠕蟲(chóng)等病毒、木馬、惡意程序在生產(chǎn)區(qū)域之間的傳播和擴(kuò)散，防范違規(guī)接入設(shè)備對(duì)生產(chǎn)控制系統(tǒng)惡意操作、違規(guī)指令的下發(fā)，加強(qiáng)邊界安全管控，防范工控網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，避免工控安全事件的發(fā)生，確保工控網(wǎng)絡(luò)的安全、穩(wěn)定和可靠，煉鋼廠由于網(wǎng)絡(luò)安全事件導(dǎo)致的故障停機(jī)時(shí)間由平均0.6 小時(shí)/月降低為零。管理方式和技術(shù)經(jīng)驗(yàn)可廣泛應(yīng)用于類(lèi)似系統(tǒng)構(gòu)架的鋼鐵企業(yè)，有助于提高鋼鐵企業(yè)工控網(wǎng)絡(luò)安全防護(hù)水平。