聚焦工业互联网安全 |融安网络梁鼎铭:可信验证助力主机安全加固升级,构建完整“信任链”

2022-05-25 16:36:41来源:深圳融安网络科技有限公司

5月23日,ISC 2022第十届互联网安全大会正式开幕。众多安全厂商和科技型企业云聚盛会,纷纷就各自相关主题发表演讲,精彩纷呈。

作为国内领先的工业互联网安全厂商,融安网络受邀参与本次会议,解决方案部总监梁鼎铭在工业互联网安全论坛上就电力监控系统可信主动防御平台为议题,讲述了以可信主动安全防御系统底层逻辑,在系统和应用中加入可信验证能够减少由于使用未知或遭到篡改的系统/软件遭到攻击的可能性,助力工业控制系统主机安全加固升级,构建完整“信任链,为电力、能源等关键基础设施保驾护航。以下为此次演讲内容的精彩回顾:

首先,在主题分享中,梁鼎铭讲述了可信计算的概念、可信计算发展的历程,以及可信与安全的关系。


什么是可信计算?


可信计算(Trusted Computing),是一种基于密码的运算与防护并存的计算机体系安全技术,保证全程可检测可监控。可信计算的原理是出击,整个链路都经过可信认证,所以无论从应用、操作系统还是硬件,必须经过授权才能使用,这无疑降低了病毒、网络攻击的概率。可信的核心目标之一是保证系统和应用的完整性,从而确定系统或软件运行在设计目标期望的可信状态。


可信计算的发展历程,以及可信与安全的关系


梁鼎铭提到,可信计算发展至今,目前已经进入了3.0时代。在我国比较通行的实践方式是以中国沈昌祥院士为代表提出的基于网络可信服务验证动态度量实时感知的双节点主动免疫可信计算构架,即“可信≈可靠+安全”。

可信和安全是相辅相成的,可信不等同于安全,但可信是安全的基础。因为安全方案、策略只有运行在未被篡改的环境下才能进一步确保安全目的。


其次,总结了当前电力监控系统主机安全面临的常见安全问题,以及基于政策和行业规范等相关要求,讲解开展可信防御的必要性。



当前电力监控系统主机存在一下的四大常见安全问题:


第一,因电力监控系统的特殊性原因,没办法对主机开展相关的防护措施,比如说难以打补丁导致累计大量安全漏洞,传统终端管控软件过程复杂、运维难度大;

第二,因电力系统生命周期15至20年,生命周期较长,导致业务现场很多主机配置低、性能差,以及操作系统版本较低的问题;

第三,当前大多电力系统未安装杀毒软件,即使安装也无法识别漏洞攻击、无法升级病毒库、且占用资源高;

第四,电力监控系统复杂多样,技术兼容要求高,固定软件功能单一或各种兼容性问题。



符合电力行业监管要求和相关网络安全标准规范,以及展开可信防御的必要性



《 GBT22239-2019 信息安全技术网络安全等级保护基本要求》(等保2.0)确立了可信计算技术的重要地位。等保2.0的一至四级均新增“可信验证”控制点。通过可信计算技术来实现对系统中应用和配置文件参数进行验证,保障系统在可信环境下运行。

能源局36号文以及《电力监控系统网络安全防护导则》等相关行业规范要求也提出了对可信技术防护的要求,应逐步基于可信计算免疫防护技术。另外在国调中心,2021年颁布的《关于加强电力监控系统网络安全防护工作指导通知》也明确要求建立可信验证模块,在调度控制系统重要服务器,(包括前置机、SCADA、AGC、AVC服务器和跨安全区传输的服务器等)部署可信验证模块,提升系统自身安全主动免疫能力。

因此,结合当前的主机安全现状、基于电力行业监管要求和国家相关安全标准规范,开展可信防御具有迫切性和必要性。


最后,重点对电力监控系统可信主机加固防御产品的整体防护方案和框架的实现、以及该产品的主要核心功能做了主要阐述。



电力监控系统主机防御产品


电力监控系统可信主机安全加固防御系统是一款基于操作系统内核层开发的安全加固软件。提供对可信计算的支持,可对上层应用程序提供可信启动、动态监控等功能。该软件工作在最贴近用户数据的操作系统层面,不仅可以避免外部的黑客攻击,同样可以预防来自内网攻击的风险。该软件采用ROST技术和三权分立思想,规避了原系统管理员“一权独大”的风险,实现从根本上免疫各类病毒、木马和黑客攻击。


该产品还与融安网络其他安全产品形成良好的互补,完善当前国内用户整体安全解决方案中最为重要的环节,填补了国内长期在操作系统层面安全产品的空白,并符合国家等级保护、分级保护以及电力、轨交、石油石化等多个行业的网络安全建设要求。


可信主机安全加固防御系统由可信启动、可信终端安全模块、可信安全管理中心等组成。其中,可信终端安全模块由可信根及可信软件基组成。可信根有硬件和软件两种形态,硬件是以板卡的形式内置于可信计算节点中,软件则是集成到可信软件基中,均应提供密码支撑、策略保护的功能;可信软件基可基于可信根实现对操作系统引导程序、系统程序、应用程序、重要配置参数的可信验证。可信终端安全模块对操作系统、业务系统来说应是透明的,在正常情况下应不对操作系统和业务系统的功能产生影响。可信安全管理中心实现对多个可信计算节点的集中管理,提升管控效率,在可信计算节点较多时选配。


可信主机安全加固系统防护架构


核心功能


01

可信白名单:

可信白名单:可信白名单可以有效实现对未知程序的拦截,可信白名单是指规则中设置的允许执行的名单列表。“应用程序白名单”是一组应用程序名单列表,在此列表中的应用程序是允许在系统中运行,不受控制。

02

双因子身份认证:

双因子认证是指结合系统密码和实物(UKEY、动态口令等)两种条件对用户进行身份认证的方法。目前系统主要实现了基于UKEY和动态口令方式的双因子认证方式。

03

USB外设控制:

USB外设访问控制功能提供内网USB管理,支持对U盘的认证、权限设置以及行为记录,从而实现对内网U盘的行为管理。


作为专注于工业控制系统网络安全创新的全生命解决方案提供商。融安网络坚持以技术为本,有着60%以上的研发人员的团队,在研发方面有着很大的投入,包括在专利转化、技术研究和产品的定制化,已研发推出了6+2条安全产品线,以及30多个自主研发产品,为电力、轨道交通等国家关键基础设施提供相关技术支持和产品服务。在电力行业客户方面,已经和两大电网,以及五大发电公司有深度的合作和落地,完成近千个变电站、发电厂安全的防护和项目交付。

未来,融安网络将继续秉承精进软硬件实力,为工业智能化——“中国制造2025”植入安全基因,实现从“工业控制系统的安全”到“安全的工业控制系统”的跨越,构建可持续发展的工业互联网安全防护体系。

分享:

微博
微信公众号