打字猴:1.704018639e+09
1704018639
1704018640 要实现的保护目标是由风险分析得出的。以此为依据来实施相应的组织措施和安全措施。措施实施完成后需要进行验证和改进。如果发生变化,如威胁情况发生变化,则必须再次进行风险分析。此流程也必须重新开始。
1704018641
1704018642 安全措施的制定取决于对工厂所面临的危害和风险分析。利用严格且有持续性的安全管理流程达到并保持所需要的安全等级。
1704018643
1704018644 7.7.3 网络安全
1704018645
1704018646 网络安全包括对自动化系统未经授权的访问保护和对连接到其他网络(如办公网络和由于远程访问的需求连接到互联网)的所有接口的安全审查。网络安全也包括通信保护,即防止通信被拦截和操纵。例如:数据加密传输和通信节点间的身份认证。
1704018647
1704018648 1.网络分段和单元保护概念
1704018649
1704018650 网络分段是把工厂网络划分成几个独立被保护的自动化单元。这样可以减小风险,更进一步地增强网络的安全性。一个网络部分(例如一个IP子网)通过一个安全措施来保护。通过网络分段来实现网络安全。因此,“单元”中的设备可以防止来自外部未经授权的访问且不影响实时性能或者其他功能。
1704018651
1704018652 防火墙可以控制对单元的访问,操作员可以定义哪些网络节点之间能通过哪些协议相互通信。通过此方式不仅可拒绝未经授权人员的访问,也降低了网络的通信负载,而只允许所需要的通信数据通过。
1704018653
1704018654 根据网络站点的通信和保护需求,划分单元并分配设备到相应的单元。单元间的数据传输是通过安全设备的VPN进行加密处理的。这样有效地防止了窥探和操纵数据的行为。通过VPN技术认证了通信的节点并授权它们访问某些地方。例如,单元保护可以通过集成安全功能的组件SCALANCE S或SIMATIC S7自动化系统的安全CP卡来实现(见图7-12)。
1704018655
1704018656
1704018657
1704018658
1704018659 图7-12 通过集成安全的产品实现网络分段和单元保护
1704018660
1704018661 网络分段和单元保护可归纳如下:
1704018662
1704018663 1)“单元”和“区域”是出于安全的目的对网络进行分段隔离产生的。
1704018664
1704018665 2)通过设置信息安全网络组件,对“单元入口”进行访问控制。
1704018666
1704018667 3)将没有独立访问保护机制的设备置于安全单元内加以保护,这种方式主要是针对已经正常运行的设备进行改造。
1704018668
1704018669 4)划分各个单元可以防止由于带宽限制造成的网络过载,保护单元内部的数据通信不受干扰。
1704018670
1704018671 5)在各个单元内部不影响实时通信。
1704018672
1704018673 6)在网络单元内部,对功能安全设备提供保护。
1704018674
1704018675 7)在单元和单元之间通过建立安全通道实现安全通信。
1704018676
1704018677 网络分段的单元防护是防止未经授权访问的一种防护措施。在安全单元内部的数据不受信息安全设备的控制,因此假设各分段网络内部是安全的,或者在各个单元内部部署了更进一步的安全措施,例如,保证交换机的端口安全。
1704018678
1704018679 各个安全单元的大小划分主要取决于被保护对象所包含的内容,具有相同需求的组件可能会划分在同一个安全单元以内。建议根据生产流程规划网络结构。这样可以保证网络分段时各个网络单元之间的通信数据量最少,同时,可以使防火墙配置的例外规则最小化。
1704018680
1704018681 为了保证性能需求,建议客户遵循如下针对网络规模和网络分段的规则:
1704018682
1704018683 1)一个PROFINET I/O系统中的所有设备都规划到一个网络单元中。
1704018684
1704018685 2)在设备和设备之间的通信数据量非常大的情况下,应该将它们规划到一个网络单元中。
1704018686
1704018687 3)如果一台设备仅仅和一个网络单元之间存在数据通信,同时保护目标是一致的,则应该将该设备和网络单元合并到一个网络单元中。
1704018688
[ 上一页 ]  [ :1.704018639e+09 ]  [ 下一页 ]