JB/T 11962-2014 工业通信网络 网络和系统安全 工业自动化和控制系统信息安全技术

ICs25.040
N10    JB
备案号：45862-2014
中华人民共和国机械行业标准
JB/T11962-2014/EC/PAS62443-3-1:2009
工业通信网络网络和系统安全工业自动化和控制系统信息安全技术
Industrial communication networks-Network and system security-Security technologies for industrial automation and control systems(IEC/PAS62443-3-1:2009,DT)
2014-05-06发布2014-10-01实施
中华人民共和国工业和信息化部发布

1范围
本标准提供了对不同网络信息安全工具、缓解对抗措施和技术的评估，它们可有效地用在基于现代电子的ACS中，以调整和监视数量众多的工业关键基础设施。它描述了若干不同种类的控制系统网络信息安全技术、这些种类中可用的产品类别、在自动化ACS环境中使用这些产品的正面和反面理由、相对于预期的威胁和已知的网络脆弱性，更重要的是，对于使用这些网络信息安全技术产品和/或对抗措施的初步建议和指南。在本标准中所用到的IACS网络信息安全的概念是，最大可能地在所有工业关键基础设旅中包含所有类型的部件、工厂、设施和系统。LACS包括，但不限于：
·硬件（如历史数据服务器）和软件系统（如操作平台、配置、应用），例如分布式控制系统(DCS)、可编程序控制器(PLC)、监测控制和数据采集(SCADA)系统、网铬化电子传感系统，以及监视、诊断和评估系统。包含在此硬件和软件范围的是必要的工业网络，以及任何相连的或相关的信总技术(T)设备和对成功运行整个控制系统关键的链路。就这点而言，此范围也包括，但不限于防火墙、服务器、路由器、交换机、网关、现场总线系统、入侵检测系统、智能电子引终端设备、远程终端单元(TU),以及有线和无线远程调制解调器。
·用于连续的、批处理的、分蔽的或组合过程的相关内部的人员、网络或机器接口，用来提供控制、数据记录、诊断、（功能）安全、监视、雏护、质量保证、法规符合性、审计和其他类型的操作功能。类似地，网络信息安全技术和对抗措施的概念也是广泛用于本标准，并包括但不限于如下技术：
·鉴别和授权；
·过滤、阻塞和访问控制；
·加密；
·数据确认；
·审计；
·措施；
·监视和检测工具；
·操作系统。
此外，非网络信息安全技术，即物理信总安全控制，对于网络信息安全的某些方面来说也是一个基木要求，并在本标准中进行了讨论。
本标准的目的是分类和定义网络信息安全技术、对抗措施和目前可用的工具，为后续技术报告和标准提供一个通用基陆。本标准中的每项技术从以下几方面进行讨论：此技术、工具和或对抗措随针对的信息安全脆弱性：
·典型部署；
·已知问题和弱点；
·在IACS环境中使用的评估；
·未来方向；
建议和指南；
信息源和参考材料。

本标准自在记录适用于IACS环境的信息安全技术、工具和对抗措施的已知技术发展水平，明确定义目前可采用哪种技术，并定义了需要进一步研究的领域。
2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）通用于本文件。
EC62443-2-1:2010工业通信网络网络和系统安全第2-1部分：建立工业自动化和控制系统信息安全程序(ndustrial communication networks-一Network and system security一Part2-l:Establishing an industrial automation and control system security program)
3术语、定义和缩略语
3.1术语和定义
下列术可和定义适用于本标准
3.1.1
访问授权access authority
负责视利授予其他授权实体筋可ACS及英关联网路权限的实
3.1.2
访问控制access control
a)保护系统资源以防正沫授权的访可。
b)系统资板使用的过程是根安全策略规定的，并且根据核策略只允许被授权的体（用户、程过程或者其他系统。
3.1.3
问责制accountability
系统属性（包痔其系统的所有资源，以确保一个系统实体的行动可追湖创该的实体，并且该实体可为它的行为负责。
3.1.4
应用层协议application layer protocol
特指实现诸如电子邮昝和文件传输等网络应用的第7层协议。
注：视多现代工业控制系统包含现场总线网路，这些现场总线网络通不也活完整的七层，但会包括应用层。
3.1.5
非对称密钥算法asymmetric key algorithm
公共密钥密码算法。
注：所谓非对称性，指用于编码传输数字数据的密钥与在接收端用于解码数据的代码完全不同。相对应地。对称加密算法使用相同的密钥来如密和解密数据。因为避免了在发送器和接收器之问传输有可能被侦听的密钥，非对称性在逻辑上更安全。值得注意的是，对于丁网络，用于保护机密数据的密码方法要比控制网络更关健。对于LACS,在对给定[ACS进行访间控制的验证和授权阶段，保密性最为关键。密码通常会增加IACS网络所不期望的延时，而这样的延时对于开环和闭环系统来说是不希望有的，因为这些系统必须以一个与资产的工艺动态机称的速率接收、操作和发送控制数据。所以，相比于保密性，可用性和完整性通常是ACS计算机安全的更高目标判。
3.1.6
鉴别authentication

在建立传输、信息或发起方有效性的安全方法，核实接收特定信息的个人授权的方法的有效性用，
3.1.7
授权authorization
授予系统实体访问系统资源的权力或权限间，
3.1.8
可用性vailabiity
在其可靠性、可锥护性和信息安全联合影响下，资产能够在指定的时期或者在给定的时间点完成其所需功能的可能性。
[JB/T11961一20143.2.15]
3.1.9
带宽bandwidth
在给定的时间内传递数据的信道的容量。
注1：从信道容量的角度米说，带宽通常用字节秒来表示。
注2：相比于传统用于运载更高层网络数据的1T网络，控制和SCDA数嚣通常具有更小的，但是一致的位长度，然而，向现场总线系统的迁移需要有更高的带宽，因为现场总线系统木质上要求有更少的接线，并且在无主站成PLC的情况下实现控制算法。
3.1.10
证书certificate
见3.1.43。
3.1.11
证书认证机构certification authority
公共密钥基础设施(PKI)中负责顺发证书及强制遵守某个PKI策略的实体。
3.1.12
密文ciphertext
通过加密后传输的数据，这样其语义信息内容（它的含义）不再是可理解的或者直接能用的。
3.1.13
朗文cleartext
见3.1.39。
3.1.14
客户端client
接收或请求来自服务器端的服务或信息的设备或应用四。
3.1.15
保密性confidentiality
保证信息不被泄露给未授权的个人、过程或者设备刊。
3.1.16
密钥cryptographic key
通过加密算法影响变换的输入参数。
注：通常简写为“密钥”。
3.1.17
网铬攻击cyberattack
成功利用IACS组件与/或连接到工业网络的T网络组件中软件、硬件或固件的脆剥性。
3.1.18
数据链路层协议data-link layer protocol

4概述
很多行业和关键基础设施报告中指出，非授权企图访问电子信息，或怀有恶意强行进入监视和控制一个国家至关重要资产（如能源管道、运输系统、水系统、电力网）的IACS的数量在增加。最近几年，合资企业、联盟伙伴和外包服务在工业行业中飞速增长。与此同时，IACS已经从基于私有技术和协议的孤立网络演变成了基于标准的网络，该网络连接了企业其余部分一包括通常连接到互联网的T业务企业，以及连接到其他的企业，诸如业务伙伴和公司的广域网。
因此，现在知道谁被授权访问IACS的信息，他们什么时候访问信息和他们能够访问什么数据，非常有挑战性。在一·个业务中的合作伙伴也许在另一个业务中是竟争对手。然而，因为LACS设备直接连接到一种过程，在信息流中商业秘密的丢失或者中断不只是信息安全缺口潜在结果且一定不是最大的影响。更严重的可能是潜在的生产损失、环境破坏、违反法规或危及操作安全。后者有可能超出公司本身：可能严重损害地区或国家的基础设施。
在全世界，成为计算机学者的人数在不断增加。而瑟意黑客攻击，再加上通过知名度高的新闻传播实现其邪恶爱好，已成为一种金融获利手段，事实上，自动操作的恶意黑客攻击工具现在公开在互联网上。计算机病毒攻击的实例正在频繁地增加。不仅要关注来自恐怖主义、专业黑客和国家组织的外部威胁，有恶意企图的有专业知识的内部人员或甚至一个无意的行为都会对一个工业或关键基础设施引起严重的信息安全风险。结合所有这些因素，可以容易地看到某人未获授权或破坏性访问控制系统的可能性在增加。
技术的更新，诸如标准化、垂直连通性和远程访问（有线和无线），以及伙伴关系的建立，可能对于业务、经济、效率和工业及关键基础设施的生产是有益的，但它们增加的游在的风险会危及ACS网络的信息安全。同样，因为针对工业的威胁在增加，所以必须加强网络的信息安全。撰写本标准的工作组确定了若干类可用于保护一个IACS网络的工具、对抗措随和技术。主要的种类见第5章一第10章。每个条款中提供了每种技术、工具和/或对抗措施类别的概述，在该类别中有一特殊应用类型的列表，并且讨论该应用类型如何能更好地满是1ACS的环境和需求。IACS网络采用与公司丁企业网络很多相同的计算机和通信技术，因为使用现有的技术比使用新技术更经济。然而，当实加信息安技术时，要考虑独有技术和骤作的约束这个标准的主要日的之一是要对强调保证给予CS因索特殊考忠。

投稿会员：2Ru1