近日，北京信安世紀科技股份有限公司（以下簡稱“信安世紀”）貴州省水庫工業(yè)控制系統(tǒng)密碼應用案例憑借行業(yè)典型性和方案先進性，成功入選 “工業(yè)互聯(lián)網(wǎng)安全”方向“2022安全樣板工程”。
2018年，國家發(fā)布關于金融和重要領域的密碼應用工作規(guī)劃相關政策文件，在文件中對水利行業(yè)密碼應用的建設提出了要求。水利部辦公廳發(fā)布的《2020年水利網(wǎng)信工作要點》文件中要求，落實、持續(xù)推進三峽水利樞紐、南水北調工程等重要水利基礎設施和國家水資源管理系統(tǒng)等重要信息系統(tǒng)的密碼應用。
貴州省水庫是貴州省重要的水利工程，也是國家級民生重點項目，作為水庫關鍵的業(yè)務系統(tǒng)，其工業(yè)控制系統(tǒng)的數(shù)據(jù)保護是重中之重。信安世紀通過深入分析該水庫業(yè)務系統(tǒng)信息安全的現(xiàn)狀，發(fā)現(xiàn)存在如下痛點：
用戶身份難鑒別：業(yè)務系統(tǒng)采用傳統(tǒng)賬號口令登錄方式，用戶口令易遭到惡意破解，用戶身份安全難以得到保障。
數(shù)據(jù)傳輸未加密：水庫應用系統(tǒng)與水投集團間數(shù)據(jù)傳輸未進行密碼保護，易造成數(shù)據(jù)的泄露和篡改。
數(shù)據(jù)存儲隱患高：數(shù)據(jù)庫及存儲中數(shù)據(jù)文件易被竊取、損壞或修改，存在數(shù)據(jù)泄露風險。
實施過程
根據(jù)國家相關法律、法規(guī)及技術標準，結合了水利行業(yè)信息化發(fā)展趨勢，兼顧了當前該水庫業(yè)務系統(tǒng)商用密碼應用需求，信安世紀為貴州水庫的業(yè)務系統(tǒng)建設了統(tǒng)一管理、配置合理、安全可控的商用密碼應用平臺，構建了從前端采集單元到水庫分支節(jié)點、分支節(jié)點到中心端的全流程數(shù)據(jù)安全防護密碼應用解決方案，保證了水庫業(yè)務系統(tǒng)身份安全、數(shù)據(jù)傳輸安全、數(shù)據(jù)存儲安全。
該方案綜合采用SSL加密、數(shù)字證書、簽名驗簽、動態(tài)密碼等成熟的密碼技術，實現(xiàn)了工業(yè)采集端數(shù)據(jù)的加密、水庫工業(yè)控制系統(tǒng)本地機房管理端與服務器端數(shù)據(jù)傳輸加密，采集端設備接入水庫中心機房、水庫管理公司接入水投集團、系統(tǒng)用戶登錄應用系統(tǒng)的身份鑒別，以及數(shù)據(jù)庫業(yè)務數(shù)據(jù)的安全存儲以及系統(tǒng)所有設備的統(tǒng)一運維管理。
圖 1 貴州省水庫密碼應用拓撲圖
實施效果
1. 身份安全性驗證
信安世紀通過動態(tài)密碼、動態(tài)令牌、數(shù)字證書技術等為整體業(yè)務流程構建了雙因素認證登錄方案，實現(xiàn)了針對用戶、運維人員以及采集端設備接入水庫中心機房、水庫管理公司接入水投集團、系統(tǒng)用戶登錄應用系統(tǒng)的身份鑒別，保證身份的真實性與唯一性。
2.工業(yè)數(shù)據(jù)采集端的數(shù)據(jù)加密保護
工業(yè)采集端通過加密模塊與后臺密鑰管理系統(tǒng)相結合，并通過數(shù)字信封技術及HMAC-SM3技術，實現(xiàn)工業(yè)采集重要數(shù)據(jù)在傳輸過程中的機密性及完整性。
3.水庫中心機房與水投集團之間數(shù)據(jù)傳輸加密
水庫工業(yè)控制系統(tǒng)本地機房管理端與服務器端通信采用信安世紀SSL客戶端與SSL應用網(wǎng)關完成通道的加密，保證通信雙方數(shù)據(jù)的機密性、完整性及身份的真實性，為水情、工情、墑情的數(shù)據(jù)傳輸提供了安全保障。
4.數(shù)據(jù)存儲安全
業(yè)務系統(tǒng)在對重要數(shù)據(jù)進行存儲時，通過對關鍵業(yè)務數(shù)據(jù)進行加密，將密文存儲至數(shù)據(jù)庫中，實現(xiàn)對各業(yè)務系統(tǒng)關鍵數(shù)據(jù)、用戶信息數(shù)據(jù)、審計數(shù)據(jù)、應用配置數(shù)據(jù)等的完整性及機密性保護。
5.工控系統(tǒng)統(tǒng)一運維管理
該水庫工業(yè)控制系統(tǒng)所有設備通過SSL VPN技術建立安全的信息傳輸通道，實現(xiàn)統(tǒng)一、集中的安全運維管理；當運維人員從外部訪問內部運維區(qū)域時，采用數(shù)字證書技術對運維人員進行身份鑒別，實現(xiàn)通信數(shù)據(jù)完整性、保密性。
隨著智慧水利建設的推進，水利領域的網(wǎng)絡安全建設也上升到新高度。作為信息安全專業(yè)企業(yè)，信安世紀將積極響應國家水利建設相關政策，深入研究行業(yè)信息化安全建設需求，運用信息安全技術手段，保障智慧水利的高質量發(fā)展，為國家水治理體系和治理能力的現(xiàn)代化提供強有力的安全支撐。
