网络安全等级保护：工业控制安全扩展测评PPT

该PPT是我2022年为某学校录播等级保护测评相关课程时，结合等级测评标准及北京培训的课程，整理的这套PPT中的一个PPT。因本人对等级保护工作的理解水平限制，其中还存在诸多不足之处。虽然，我个人能力是有限的，但是我传递的却是我国网络安全领域最精彩的部分，由于个人能力限制未能传递更好罢了。

工业控制系统非常重要，在不同的资料里都会给出一定的概念分享，总的来说其涵盖内容大体保持一致。工业控制系统是多种类型的控制系统的总称、通常用于电力、石油和天然气、化工、交通运输、水和污水处理、制药、纸浆和造纸、制造（例如汽车、航空航天和耐用品）等行业。工业控制系统安全扩展要求主要针对现场控制层和现场设备层提出特殊安全要求，并与安全通用要求一起构成完整的安全要求，主要包括室外控制设备物理防护、网络架构、通信传输、访问控制、拨号使用控制、无线使用控制、控制设备安全、产品采购和使用、外包软件开发等。

其实，谈工业控制安全绕不开普度模型，虽然测评过程中，不一定谈及太多关于普度模型的知识，不过理解普度模型对于我们理解工业控制安全是非常有必要的。而且我们关于工业控制系统安全的知识，也大量的借鉴了普度模型的知识。

Purdue Reference Model 开发于1990 年代，是 Purdue Enterprise Reference Architecture (PERA) 的一部分，是计算机集成制造(CIM) 的参考数据流模型，即使用计算机控制整个生产过程。 

Purdue Reference Model，“95”为企业提供了一个模型，最终用户、集成商和供应商可以在该模型中协作，在企业网络和流程基础设施的关键层集成应用程序。 

Purdue Reference Model 被ISA-99 采用并用作 ICS 网络分段的概念模型。它显示了典型工业控制系统 (ICS)的所有主要组件的互连和相互依赖关系，将 ICS 架构分为两个区域 - 信息技术 (IT)和运营技术 (OT) - 并将这些区域细分为六个级别在 0 级。 

•0 级： 0 级包括构建产品的物理组件。0级设备包括电机、泵、传感器、阀门等。

•第 1 级：第 1 级由监控和向 0级设备发送命令的系统组成。示例包括可编程逻辑控制器 (PLC)、远程终端单元 (RTU) 和智能电子设备 (IED)。

•2 级：2 级是控制系统内整体过程的设备。例如，人机界面 (HMA)和SCADA软件使人类能够监控和管理流程。

•3 级：3 级支持生产工作流程的管理。示例包括批次管理、制造运营管理/制造执行系统 (MOMS/MES) 和数据历史记录。

•工业 DMZ (iDMZ) 区：iDMZ 在 IT 和 OT 网络之间形成一道屏障。跳箱之类的解决方案可以提供从 IT 环境对 ICS 系统的有限访问，但这种缓冲区还可以帮助防止 IT 环境中的感染传播到 OT系统，反之亦然。

•第 4 级：在第 4 级，企业资源规划 (ERP)软件、数据库、电子邮件服务器和其他系统等系统管理制造运营的物流并提供通信和数据存储。

•第 5 级：第 5 级是企业网络。虽然不是 ICS环境，但该网络从 ICS 系统收集数据以进行业务决策。

工业控制系统通常对实时性要求较高。工业控制系统安全扩展要求重点对现场设备层 和现场控制层的设备提出了补充要求，同时在安全通用要求的基础上对工业控制系统的网 络架构、通信传输、访问控制等提出了特殊要求。

以第三级等级保护对象为例，说明等级测评实施过程中对工业控制系统安全扩展 要求的安全物理环境（室外控制设备物理防护）、安全通信网络（网络架构、通信传输）、 安全区域边界（访问控制、拨号使用控制、无线使用控制）、安全计算环境（控制设备安 全）、安全建设管理（产品采购和使用、外包软件开发）等控制环节进行检查和获取证据的方法。

1. >>>等级保护<<<
2. 开启等级保护之路：GB 17859网络安全等级保护上位标准
3. 回看等级保护：重要政策规范性文件43号文（上）
4. 网络安全等级保护：安全管理中心测评PPT
5. 网络安全等级保护：等级保护测评过程要求PPT
6. 网络安全等级保护：安全管理制度测评PPT
7. 等级保护测评之安全物理环境测评PPT
8. 网络安全等级保护：云计算安全扩展测评PPT
9. 网络安全等级保护：第三级网络安全设计技术要求整理汇总
10. 网络安全等级保护：等级测评中的渗透测试应该如何做
11. 网络安全等级保护：等级保护测评过程及各方责任
12. 网络安全等级保护：政务计算机终端核心配置规范思维导图
13. 网络安全等级保护：什么是等级保护？
    
14. 网络安全等级保护：信息技术服务过程一般要求
15. 闲话等级保护：网络安全等级保护基础标准（等保十大标准）下载
16. 闲话等级保护：什么是网络安全等级保护工作的内涵？
17. 闲话等级保护：网络产品和服务安全通用要求之基本级安全通用要求
    
18. 闲话等级保护：测评师能力要求思维导图
    
19. 闲话等级保护：应急响应计划规范思维导图
    
20. 闲话等级保护：浅谈应急响应与保障
    
21. 闲话等级保护：如何做好网络总体安全规划
    
22. 闲话等级保护：如何做好网络安全设计与实施
    
23. 闲话等级保护：要做好网络安全运行与维护
    
24. 闲话等级保护：人员离岗管理的参考实践

25. 网络安全等级保护：浅谈物理位置选择测评项

26. 信息安全服务与信息系统生命周期的对应关系
27. >>>工控安全<<<
28. 工业控制系统安全：信息安全防护指南
29. 工业控制系统安全：工控系统信息安全分级规范思维导图
30. 工业控制系统安全：DCS防护要求思维导图
31. 工业控制系统安全：DCS管理要求思维导图
32. 工业控制系统安全：DCS评估指南思维导图
33. 工业控制安全：工业控制系统风险评估实施指南思维导图
34. 工业控制系统安全：安全检查指南思维导图（内附下载链接）
35. 工业控制系统安全：DCS风险与脆弱性检测要求思维导图
36. >>>数据安全<<<

37. 数据安全风险评估清单

38. 成功执行数据安全风险评估的3个步骤

39. 美国关键信息基础设施数据泄露的成本

40. VMware 发布9.8分高危漏洞补丁

41. 备份：网络和数据安全的最后一道防线

42. 数据安全：数据安全能力成熟度模型

43. 数据安全知识：什么是数据保护以及数据保护为何重要？

44. 信息安全技术：健康医疗数据安全指南思维导图

45. >>>供应链安全<<<

46. 美国政府为客户发布软件供应链安全指南
    

47. OpenSSF 采用微软内置的供应链安全框架
    

48. 供应链安全指南：了解组织为何应关注供应链网络安全
    

49. 供应链安全指南：确定组织中的关键参与者和评估风险
    

50. 供应链安全指南：了解关心的内容并确定其优先级

51. 供应链安全指南：为方法创建关键组件

52. 供应链安全指南：将方法整合到现有供应商合同中

53. 供应链安全指南：将方法应用于新的供应商关系

54. 供应链安全指南：建立基础，持续改进。

55. 思维导图：ICT供应链安全风险管理指南思维导图
    

56. 英国的供应链网络安全评估

57. >>>其他<<<

58. 网络安全十大安全漏洞

59. 网络安全等级保护：做等级保护不知道咋定级？来一份定级指南思维导图

60. 网络安全等级保护：应急响应计划规范思维导图

61. 安全从组织内部人员开始

62. 影响2022 年网络安全的五个故事

63. 2023年的4大网络风险以及如何应对

64. 网络安全知识：物流业的网络安全

65. 网络安全知识：什么是AAA（认证、授权和记账）？

原文始发于微信公众号（祺印说信安）：网络安全等级保护：工业控制安全扩展测评PPT