工業(yè)控制系統(tǒng)基礎(chǔ)知識

工業(yè)控制系統(tǒng)基礎(chǔ)知識

目錄

前言............................................................................1

1.數(shù)據(jù)采集與監(jiān)視控制系統(tǒng)......................................................1

2.分布式控制系統(tǒng)..............................................................3

3.工業(yè)控制系統(tǒng)中的常用控制器.................................................5

4.工業(yè)控制系統(tǒng)現(xiàn)場設(shè)備的種類.................................................6

4.1.智能電子設(shè)備(IntelligentElectronicDevice,IED)............................................................6

4.2.人機(jī)界面(HMI)......................................................................................................................6

5.PLC設(shè)備......................................................................6

6.安全漏洞繼續(xù)困擾SCADA工業(yè)控制系統(tǒng)..........................................7

7.有效保衛(wèi)工業(yè)控制系統(tǒng)的七個(gè)步驟..............................................8

7.1.前述.....................................................................8

7.2.有效保衛(wèi)工業(yè)控制系統(tǒng)的七個(gè)步驟..........................................9

7.2.1.實(shí)現(xiàn)白名單策略應(yīng)生白名單(AWL).............................................................................9

7.2.2.合理配置，及時(shí)更新.................................................10

7.2.3.縮小攻擊面.........................................................10

7.2.4.構(gòu)建防御環(huán)境體系...................................................10

7.2.5.加強(qiáng)身份管理認(rèn)證...................................................10

7.2.6.加強(qiáng)遠(yuǎn)程訪問安全...................................................11

7.2.7.監(jiān)測與應(yīng)急響應(yīng).....................................................11

前言

通常情況下，工業(yè)控制系統(tǒng)的子系統(tǒng)或功能組件包括但不限于數(shù)據(jù)采集與

監(jiān)視控制(SCADA)系統(tǒng)、分布式控制系統(tǒng)(DCS)、可編程邏輯控制器(PLC)、遠(yuǎn)程

測控單元(RTU)等相關(guān)信息系統(tǒng)。

1.數(shù)據(jù)采集與監(jiān)視控制系統(tǒng)

1、工業(yè)控制數(shù)據(jù)采集與監(jiān)視控制(SupervisoryControlAndDataAcquisition,

SCADA)系統(tǒng)是由計(jì)算機(jī)設(shè)備、工業(yè)過程控制組件和網(wǎng)絡(luò)組成的控制系統(tǒng)，對工

第1頁共11頁

業(yè)生產(chǎn)過程進(jìn)行數(shù)據(jù)采集、監(jiān)測和控制，保證工業(yè)生產(chǎn)過程的正常運(yùn)轉(zhuǎn)，它是

電力、石油、冶金、天然氣、鐵路、供水、化工等關(guān)系國家命脈的基礎(chǔ)產(chǎn)業(yè)的

神經(jīng)中樞。

2、SCADA系統(tǒng)主要用于控制分散設(shè)備。SCADA系統(tǒng)集成數(shù)據(jù)采集系統(tǒng)、數(shù)

據(jù)傳輸系統(tǒng)和HMI軟件，以提供一個(gè)集中的監(jiān)視和控制系統(tǒng)，用于許多過程的

輸入和輸出。SCADA系統(tǒng)可收集現(xiàn)場信息，將信息傳遞到一個(gè)中央計(jì)算機(jī)設(shè)

備，并以圖形或文本方式給操作員顯示該信息，以便操作員監(jiān)視或從實(shí)時(shí)的中

心位置控制整個(gè)系統(tǒng)。

（）廣域網(wǎng)）/網(wǎng)制解兩器RTU

圖2」典型的SCADA系統(tǒng)架構(gòu)

圖1典型的SCADA系統(tǒng)架構(gòu)

3、SCADA系統(tǒng)是工業(yè)控制網(wǎng)絡(luò)調(diào)度自動(dòng)化系統(tǒng)的基礎(chǔ)和核心。SCADA負(fù)責(zé)

采集和處理工控系統(tǒng)運(yùn)行中的各種實(shí)時(shí)和非實(shí)時(shí)數(shù)據(jù)，是工業(yè)控制網(wǎng)絡(luò)調(diào)度中

心各種應(yīng)用軟件的主要數(shù)據(jù)來源。SCADA系統(tǒng)包括實(shí)時(shí)數(shù)據(jù)采集、數(shù)據(jù)通信、

SCADA系統(tǒng)支撐平臺、前置子系統(tǒng)、后臺子系統(tǒng)等。

4、一個(gè)SCADA系統(tǒng)通常由一個(gè)主站和多個(gè)子站（遠(yuǎn)方終端裝置RTU或其他

自動(dòng)化系統(tǒng)）組成。主站通常在調(diào)度控制中心（主站端），子站安裝在廠站端，主

站通過廣域網(wǎng)實(shí)現(xiàn)與子站的通信，完成數(shù)據(jù)采集和監(jiān)視控制，主站除了接收子

站的信息外，還以數(shù)據(jù)通信的方式接收從下級調(diào)度控制中心主站轉(zhuǎn)發(fā)來的信

息，又向上級調(diào)度控制中心主站轉(zhuǎn)發(fā)本站的信息。廠站端是SCADA系統(tǒng)的實(shí)時(shí)

數(shù)據(jù)源，又是進(jìn)行控制的目的地。SCADA所采集的數(shù)據(jù)包括模擬量測量、狀態(tài)

測點(diǎn)和脈沖累加量。SCADA系統(tǒng)的主站分為前置子系統(tǒng)和后臺子系統(tǒng)，二者通

過局域網(wǎng)相連并相互進(jìn)行通信。前置子系統(tǒng)主要完成與廠站端及其他調(diào)度控制

中心的通信，并將獲得的數(shù)據(jù)發(fā)送給后臺子系統(tǒng)，后臺子系統(tǒng)進(jìn)行數(shù)據(jù)處理。

第2頁共11頁

遠(yuǎn)程站遠(yuǎn)將站

2-2SCADA系統(tǒng)實(shí)痕但孑

圖2SCADA系統(tǒng)實(shí)現(xiàn)例子

SCADA把這些最近掃描的已經(jīng)被監(jiān)視系統(tǒng)處理完的反映狀態(tài)的數(shù)據(jù)存儲在

數(shù)據(jù)庫中。畫面數(shù)據(jù)直接連接到數(shù)據(jù)庫，因此畫面可以直觀地給出該系統(tǒng)狀態(tài)

的實(shí)際景象。

2.分布式控制系統(tǒng)

1、DCS是一個(gè)由過程控制級和過程監(jiān)控級組成的以通信網(wǎng)絡(luò)為紐帶的多級

計(jì)算機(jī)系統(tǒng)，綜合了計(jì)算機(jī)(Computer)、通信(Communication)、終端顯示(CRT)

和控制(Control)技術(shù)而發(fā)展起來的新型控制系統(tǒng)。其基本思想是分散控制、集

中操作、分級管理、配置靈活以及組態(tài)方便。它滿足了大型工業(yè)生產(chǎn)和日益復(fù)

雜的過程控制要求，從綜合自動(dòng)化的角度出發(fā)，按功能分散、管理集中的原則

構(gòu)思，采用了多層分級、合作自治的結(jié)構(gòu)形式。

2、DCS網(wǎng)絡(luò)是整體的基礎(chǔ)和核心。網(wǎng)絡(luò)對于DCS整個(gè)系統(tǒng)的實(shí)時(shí)性、可靠

性和擴(kuò)充性起著決定性作用，因此對于DCS網(wǎng)絡(luò)來說，它必須滿足實(shí)時(shí)性的要

求，即在確定的時(shí)間限度內(nèi)完成信息的傳送。這里所說的“確定”的時(shí)間限

度，是指無論在何種情況下，信息傳送都能在這個(gè)時(shí)間限度內(nèi)完成，而這個(gè)時(shí)

間限度則是根據(jù)被控制過程的實(shí)時(shí)性確定的。因此，衡量系統(tǒng)網(wǎng)絡(luò)性能的指標(biāo)

第3頁共11頁

I?l2-4DCS的結(jié)構(gòu)圖

圖4DCS的結(jié)構(gòu)圖

3.工業(yè)控制系統(tǒng)中的常用控制器

控制器(Controller)是指按照預(yù)定順序通過改變主電路或控制電路的接線和

改變電路中電阻值來控制電動(dòng)機(jī)的啟動(dòng)、調(diào)速、制動(dòng)和反向的主令裝置，是發(fā)

布命令的“決策機(jī)構(gòu)”，完成協(xié)調(diào)和指揮整個(gè)計(jì)算機(jī)系統(tǒng)的操作。

可編程邏輯控制器(ProgrammableLogicController,PLC)是-一種特殊的控

制器，是專為工業(yè)環(huán)境應(yīng)用而設(shè)計(jì)的數(shù)字運(yùn)算電子系統(tǒng)。

2、可編程自動(dòng)化控制器(PAC)的定義為：由一個(gè)輕便的控制引擎支持，且

對多種應(yīng)用使用同一種開發(fā)工具。

3、PAC與PLC根本的不同在于它們的基礎(chǔ)不同。PLC的性能依賴于專用硬

件，應(yīng)用程序的執(zhí)行是依靠專用硬件芯片實(shí)現(xiàn)的。

4、遠(yuǎn)程終端單元(RemoteTerminalUnit,RTU)是安裝在遠(yuǎn)程現(xiàn)場的電子設(shè)

備，用來對遠(yuǎn)程現(xiàn)場的傳感器和設(shè)備狀態(tài)進(jìn)行監(jiān)視和控制，負(fù)責(zé)對現(xiàn)場信號、

工業(yè)設(shè)備的監(jiān)測和控制，獲得設(shè)備數(shù)據(jù)，并將數(shù)據(jù)傳給SCADA系統(tǒng)的調(diào)度中

心。

5、在遠(yuǎn)程測控系統(tǒng)中，RTU是實(shí)現(xiàn)遠(yuǎn)程通信的關(guān)鍵設(shè)備，承擔(dān)著中心站

和測站間信息的上傳下達(dá)工作，它主要有遙信、遙測、遙控卻遙調(diào)4個(gè)功能。

遙信功能：要求采用無源接點(diǎn)方式即某一路遙信量的輸入應(yīng)是一對繼電器

的觸點(diǎn)，或者是閉合，或者是斷開。

遙測功能：通過采集現(xiàn)場各種傳感器和變送器的信號獲得現(xiàn)場各種物理參

數(shù)，將采集到的變量存儲、編碼成遙測信息，按通信規(guī)約傳送給監(jiān)控中心。

第5頁共11頁

遙控功能：由監(jiān)控中心充現(xiàn)場設(shè)備實(shí)行遠(yuǎn)程操控，如啟動(dòng)或關(guān)停某設(shè)備、

打開或關(guān)閉某閥門。

遙調(diào)功能：監(jiān)控中心對被控站某些設(shè)備的工作狀態(tài)和參數(shù)的調(diào)整。

4.工業(yè)控制系統(tǒng)現(xiàn)場設(shè)備的種類

現(xiàn)場設(shè)備是工業(yè)控制系統(tǒng)的基本組成部分。

4.1.智能電子設(shè)備(IntelligentElectronicDevice,IED)

由一個(gè)或多個(gè)處理器組成，從外部源接收和傳送數(shù)據(jù)或控制外部源的任何

設(shè)備(即電子多功能儀表、微機(jī)保護(hù)、控制器)，在特定的環(huán)境下接口所限定范圍

內(nèi)能夠執(zhí)行一個(gè)或多個(gè)邏輯節(jié)點(diǎn)任務(wù)的實(shí)體。

4.2.人機(jī)界面(HMI)

人機(jī)界面(Human-MachineInterface,HMI)是連接可編程邏輯控制器(PLC)、

變頻器、直流調(diào)速器、儀表等工業(yè)控制設(shè)備，利用顯示屏顯示，通過輸入單元

(如觸摸屏、鍵盤、鼠標(biāo)等)寫入工作參數(shù)或輸入操作命令，實(shí)現(xiàn)人與機(jī)器信息交

互的數(shù)字設(shè)備。

5.PLC設(shè)備

中央處理單元/

存儲器―/

程序、數(shù)據(jù)/

圖2?7PLC的組成結(jié)構(gòu)示意圖

圖5PLC的組成結(jié)構(gòu)

典型PLC的組成如圖所示，分別是中央處理單元(CPU)、存儲器、輸入/輸

出(I/O)模塊、電源和編程器。

第6頁共11頁

6.安全漏洞繼續(xù)困擾SCADA工業(yè)控制系統(tǒng)

美國國JL安全部ICS-CERT本周發(fā)布了關(guān)于工業(yè)控制系統(tǒng)（簡稱IC5）的三項(xiàng)安

全公告，再次強(qiáng)調(diào)基礎(chǔ)設(shè)施與工業(yè)網(wǎng)絡(luò)當(dāng)前所面臨的嚴(yán)重安全威脅。

在最近一篇匯總ICS當(dāng)前威脅形勢的博文當(dāng)中，F(xiàn)ortinet公司的Ruchna

Nigam強(qiáng)調(diào)指出：“大多數(shù)工業(yè)控制系統(tǒng)來自不同供應(yīng)商且運(yùn)行著專有操作系

統(tǒng)、應(yīng)用程序以及協(xié)議（包括通用電氣、羅克韋爾、DNP3以及Modbus）。結(jié)果

就是，基于主機(jī)且面向IT部門開發(fā)的安全方案幾乎根本不適用于ICS。"

這無疑使得ICS的安全性更為薄弱，而且需要完全由供應(yīng)商負(fù)責(zé)找到并解

決安全漏洞。此次發(fā)布的三項(xiàng)公告所援引的全部已發(fā)現(xiàn)漏洞皆由供應(yīng)商獨(dú)立識

別并報(bào)告一一然而，我們卻很難驗(yàn)證其修復(fù)手段是否真正解決了問題。

最近曾發(fā)現(xiàn)羅克韋爾IAB安全漏洞的IvanSanchez對此感到相當(dāng)震驚。在

日常工作當(dāng)中，他不斷搜索并發(fā)現(xiàn)新的ICS安全漏洞。就在去年，他發(fā)布報(bào)告

指出，單是羅克韋爾公司一家的產(chǎn)品就存在超過150項(xiàng)風(fēng)險(xiǎn)問題。一般來講，

在報(bào)告相關(guān)問題之后，相關(guān)企業(yè)都會向他做出進(jìn)一步咨詢。

“在95%的情況下，企業(yè)會請求我重新進(jìn)行測試，然后再發(fā)布最終公告意

見，"Sanchez在接受采訪時(shí)指出。“我認(rèn)為企業(yè)應(yīng)當(dāng)詢問相關(guān)安全漏洞的具體

細(xì)節(jié)，而非對只對當(dāng)前發(fā)現(xiàn)的問題表示‘感謝‘。"

公告ICSA-16-056-01描述了羅克韋爾自動(dòng)化公司旗下集成化架構(gòu)構(gòu)建工具

（簡稱IAB）應(yīng)用中的一項(xiàng)內(nèi)存訪問沖突錯(cuò)誤。一旦被成功利用，其將允許攻擊者

以等同于IAB工具的權(quán)限執(zhí)行惡意代碼。其只能由本地用戶加以利用，而且目

前已經(jīng)得到修復(fù)。不過在安裝最新版本之前，仍然建議用戶避免利用IAB.exe打

開任何非受信項(xiàng)目文件；

另外，應(yīng)以‘用戶'角色運(yùn)行全部軟件，而非以‘管理員'角色運(yùn)行。

公告ICSA-16-061-03描述了一項(xiàng)基于cookie的安全漏洞，其允許遠(yuǎn)程攻擊

者通過EG2WebControl對EatonLightingSystems進(jìn)行配置。Eaton方面已經(jīng)修

復(fù)了這項(xiàng)漏洞，但仍需時(shí)間將其推廣至全部系統(tǒng)當(dāng)中。

公告ICSA-16-096-01描述了Pro-face旗下GP-ProEXHMI軟件中的四項(xiàng)安全

漏洞：其一導(dǎo)致信息泄露，兩項(xiàng)屬于緩沖區(qū)溢出，另一項(xiàng)則為硬編碼憑證問

題。目前四項(xiàng)漏洞皆已得到修復(fù)。

第7頁共11頁

一系列強(qiáng)有力的證據(jù)表明，目前ICS安全問題要遠(yuǎn)比Fortinet博文中的陳述

更加可怕。

事實(shí)上，IvanSanchez在采訪中表示，“ICS業(yè)界必須改進(jìn)自身代碼質(zhì)量并

引入安全與審計(jì)控制機(jī)制。我己經(jīng)對三成已經(jīng)發(fā)現(xiàn)的問題進(jìn)行了公布，而該行

業(yè)還沒有充足的時(shí)間將其全部修復(fù)一一因此我得說，這絕對是個(gè)大麻煩。”

盡管問題的客觀性己經(jīng)成為共識，但就目前而言其很大程度上仍只是種潛

在問題。

《化工設(shè)施安全新聞》作者PatrickCoyle解釋稱，“一方面，幾乎每一套

控制系統(tǒng)當(dāng)中都存在著大量安全漏洞，我們需要對其認(rèn)真評估并阻止一切將其

作為目標(biāo)的入侵活動(dòng)。而在另一方面，這些ICS控制系統(tǒng)實(shí)在太過復(fù)雜，組織

起有效的進(jìn)攻方案需要極為豐富的ICS相關(guān)專業(yè)知識?！?/p>

他預(yù)計(jì)未來攻擊活動(dòng)將持續(xù)增加，但這種增加主要體現(xiàn)在質(zhì)量而非數(shù)量層

面?！拔艺J(rèn)為我們將看到更多指向ICS的低效攻擊行為。正如Verizon報(bào)告的水

力系統(tǒng)入侵事件一樣，攻擊者僅僅是隨意修改了設(shè)定值，但其很快被發(fā)現(xiàn)，而

安全系統(tǒng)或警報(bào)操作員則輕松解決了問題?！笔聦?shí)上，那些蓄謀已久的惡意活

動(dòng)才最為可怕。

不過他提醒稱，“我最擔(dān)心的問題在于，一部分惡意人士可能會利用勒索

軟件鎖定關(guān)鍵性基礎(chǔ)設(shè)施。這并不需要什么高深的專業(yè)知識，只要能夠侵入該

系統(tǒng)即可?！?/p>

7.有效保衛(wèi)工業(yè)控制系統(tǒng)的七個(gè)步驟

7.1.前述

美國人得出的結(jié)論是：攻擊者的能力已被證明，網(wǎng)絡(luò)事件的頻率和復(fù)雜性

正在持續(xù)增加。

以今年的例子來看，美國主要燃油管道運(yùn)營商殖民管道公司(Colonial

Pipeline)遭到了網(wǎng)絡(luò)攻擊，不得不關(guān)閉整個(gè)燃油管道輸送系統(tǒng)以控制威脅的傳

播，科洛尼爾(ColonialPipeline)供應(yīng)占美國東海岸燃料消耗量45%。由于受勒

索軟件攻擊而停止了運(yùn)營，這再次證明了基礎(chǔ)設(shè)施面對網(wǎng)絡(luò)攻擊是何其脆弱。

ColonialPipeline網(wǎng)站上發(fā)布的聲明。大致意思是：5月7日公司得知成為

網(wǎng)絡(luò)安全攻擊的受害者，并確定此事件涉及勒索軟件。作為應(yīng)對策略該公司主

第8頁共11頁

動(dòng)使某些系統(tǒng)脫機(jī)以降低威脅，本次威脅暫時(shí)停止了所有管道的運(yùn)行，并影響

到某些IT系統(tǒng)。

Colonial管道是美國最大的成品油管道，一個(gè)5,500英里(8851公里)的系

統(tǒng)，用于將超過1億加侖的汽油從德克薩斯州休斯敦市運(yùn)送到紐約港。

據(jù)彭博社和《華爾街日報(bào)》報(bào)道，網(wǎng)絡(luò)安全公司FireEye的Mandiant事件

響應(yīng)部門正在協(xié)助調(diào)查，該攻擊可能與名為DarkSide的勒索軟件有關(guān)。

美國網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局(CISA)表示，正在就此情況與Colonial及其

跨部門合作伙伴進(jìn)行接觸。并鼓勵(lì)每個(gè)組織采取行動(dòng)，加強(qiáng)其網(wǎng)絡(luò)安全狀況，

以減少遭受此類威脅的可能性。

美國燃料管道被黑客攻擊后，世界肉類加工企業(yè)巨頭JBS也在近日被

“黑”，北美地區(qū)和澳大利亞的部分工廠受到影響，據(jù)報(bào)道美國的肉類批發(fā)價(jià)

格應(yīng)聲出現(xiàn)上漲。

從機(jī)器吃的燃料?，到人吃的食品，都是關(guān)乎我們衣食住行的，而信息化帶

來便利之時(shí)，也是其安全隱憂凸顯之日，兩起安全事件足以在美國引發(fā)恐慌，

以工業(yè)控制系統(tǒng)為主的關(guān)鍵信息基礎(chǔ)設(shè)施的脆弱性由此凸顯，而工業(yè)控制如何

有效保衛(wèi)呢？其實(shí)，說著容易做著難，其實(shí)在早前NIST已經(jīng)給出過一些建議，

我相信殖民管道公司是沒有按照NIST建議工作的。

美國很多安全專家認(rèn)為網(wǎng)絡(luò)入侵美國的關(guān)鍵基礎(chǔ)設(shè)施系統(tǒng)的網(wǎng)絡(luò)攻擊干擾

事件越來越頻繁發(fā)生。對于許多工業(yè)控制系統(tǒng)(ICSs)來說，不是入侵是否會發(fā)生

的問題，而是何時(shí)發(fā)生的問題。

傳統(tǒng)的工業(yè)控制保護(hù)的認(rèn)知明顯是不夠的，若想保護(hù)ICSs免受現(xiàn)代威脅需

要精細(xì)的、良好的安全策略，優(yōu)秀的策略將為網(wǎng)絡(luò)防御團(tuán)隊(duì)提供快速、有效地

檢測、提供了對抗和驅(qū)逐攻擊者的機(jī)會。

7.2.有效保衛(wèi)工業(yè)控制系統(tǒng)的七個(gè)步驟

NIST提出七種策略，認(rèn)為在建造控制系統(tǒng)時(shí)若可以實(shí)現(xiàn)，可以對付常見的

可利用的弱點(diǎn)。

7.2.1.實(shí)現(xiàn)白名單策略應(yīng)用白名單(AWL)

可以有效檢測和阻止由攻擊者上傳的惡意軟件的執(zhí)行嘗試。工業(yè)控制系

統(tǒng)，如數(shù)據(jù)庫服務(wù)器和人機(jī)界面(HMI)計(jì)算機(jī)的操作相對固定的性質(zhì)，使運(yùn)行

第9頁共11頁

AWL成為理想的選項(xiàng)。需要運(yùn)營商與供應(yīng)商合作，找準(zhǔn)基線進(jìn)行校準(zhǔn)，進(jìn)行最

優(yōu)的AWL部署。

7.2.2.合理配置，及時(shí)更新

明確資產(chǎn)，需要梳理資產(chǎn)清底數(shù)，才能更好的跟蹤需要哪些補(bǔ)丁。優(yōu)先處

理在HMI、數(shù)據(jù)庫服務(wù)器和工程工作站角色中使用的“PC”機(jī)器的補(bǔ)丁和配置

管理，攻擊者顯然對這些IT常規(guī)的設(shè)備具有顯著的網(wǎng)絡(luò)攻擊能力。受感染的筆

記本電腦就是一個(gè)重要的惡意軟件載體。規(guī)范的管理程序?qū)⑾拗仆獠抗P記本電

腦與控制網(wǎng)絡(luò)的連接，最好為供應(yīng)商提供自己公司已知安全的筆記本電腦。規(guī)

范的程序鼓勵(lì)先測試系統(tǒng)安裝更新。包括先對更新進(jìn)行惡意軟件檢測功能，再

安裝在實(shí)際運(yùn)行的操作系統(tǒng)上。系統(tǒng)入侵者往往瞄準(zhǔn)那些未打補(bǔ)丁的系統(tǒng)。以

安全輸入和可信補(bǔ)丁的實(shí)現(xiàn)為中心的配置和補(bǔ)丁管理程序，將有助于保持控制

系統(tǒng)更加安全。

7.2.3.縮小攻擊面

將ICS網(wǎng)絡(luò)與其他任何不可信的網(wǎng)絡(luò)隔離，尤其是互聯(lián)網(wǎng)。關(guān)閉鎖定所有

未使用的端口。關(guān)閉所有未使用的服務(wù)。如果有定義的業(yè)務(wù)需求或控制功能，

只允許實(shí)時(shí)連接到外部網(wǎng)絡(luò)。如果單向通信可以完成任務(wù)，則使用光分離。如

果雙向通信是必要的，那么在受限網(wǎng)絡(luò)路徑上使用單個(gè)開放端口。

7.2.4.構(gòu)建防御環(huán)境體系

如果需要從安全區(qū)域到不安全區(qū)域的單向數(shù)據(jù)傳輸，請考慮使用經(jīng)批準(zhǔn)的

可移動(dòng)介質(zhì)而不是網(wǎng)絡(luò)連接。如果需要實(shí)時(shí)數(shù)據(jù)傳輸，請考慮使用光電隔離。

允許獲取數(shù)據(jù)而不使控制系統(tǒng)處于危險(xiǎn)之中。

7.2.5.加強(qiáng)身份管理