面向原始设备制造商的可扩展式安全远程访问解决方案

Size: px

Start display at page:

Download "面向原始设备制造商的可扩展式安全远程访问解决方案"

方匡
5 years ago
Views:

面向原始设备制造商的可扩展式安全远程访问解决方案原始设备制造商引言如果能对生产资产数据和应用进行安全远程访问, 并能利用最新的协作工具, 则制造商无论处于什么位置, 都可以在正确的时间应用恰当的技能和资源而对于原始设备制造商来说, 他们渴望降低成本希望为制造业客户提供更多价值, 并期待从竞争中脱颖而出因此, 本白皮书列出了从远程位置安全访问工厂应用和数据的多种方式,

1 面向原始设备制造商的可扩展式安全远程访问解决方案原始设备制造商引言如果能对生产资产数据和应用进行安全远程访问, 并能利用最新的协作工具, 则制造商无论处于什么位置, 都可以在正确的时间应用恰当的技能和资源而对于原始设备制造商来说, 他们渴望降低成本希望为制造业客户提供更多价值, 并期待从竞争中脱颖而出因此, 本白皮书列出了从远程位置安全访问工厂应用和数据的多种方式, 旨在为原始设备制造商提供安全远程访问设计指导, 帮助原始设备制造商提升与客户之间的协作水平工业全厂级系统技术挑战长期以来, 在对工业自动化和控制系统 (IACS) 的支持方面, 原始设备制造商或是依靠部署现场人员, 或是采用无防火墙的独立拨号访问等类似方法而这样的远程访问往往都会绕开边界防护机制, 从而使制造系统产生后门, 并带来巨大的安全风险鉴于原始设备制造商希望远程提供安全支持, 并实时响应问题, 这一方法已不能满足需求对传统企业网络进行远程访问的技术已问世很长一段时间, 虚拟专用网络 (VPN) 便是一例但要成功应用这些技术对工业自动化和控制系统 (IACS) 进行有效的远程访问一直以来都是一项挑战

2 2 面向原始设备制造商的可扩展式安全远程访问解决方案其中的原因有很多 : IACS 通常由生产制造部门管理, 而像 VPN 这样的企业级远程访问解决方案却属 IT 部门的责任范畴要成功实施对 IACS 的远程访问, 需要 IT 和制造工厂紧密协作远程访问会将关键的制造系统暴露于病毒和恶意软件的危险之下, 倘若远程或伙伴计算机中存在这些危险源, 可能会对生产造成影响用于访问的终端设备 ( 计算机 ) 的安全性很难保证, 同时该设备中也不一定包含进行远程访问与控制所需的适当版本的应用程序很难将远程用户的操作限制在适合他们进行的操作范围内, 那些因为视线或其他类似要求而需要在本地操作的功能仍然会在远端显示出来制造商通常无法限制合作伙伴或远程员工的访问操作, 无法将访问限于他们负责或已获得授权的特定机器应用或网络部分没有一种通用方法能适合所有人对一个客户适用的 IACS 远程访问解决方案并不一定适用于其他客户某个客户需要的 IACS 远程访问解决方案可能会对另一个客户造成过大的负担, 甚至不实用如下文所述, 可行的远程访问解决方案取决于行业要求客户要求 ( 安全策略和规程 ) 客户规模及其支持基础架构因此, 远程访问解决方案虽然在企业网络中广泛部署, 但在支持 IACS 网络方面却没有被大规模采用使用 VPN 技术后, 通常都会面临之前提到的各项挑战, 因此即使仅限员工 ( 非合作伙伴 ) 使用, 如果不正确实施, 仍会导致一定的安全风险, 包括病毒感染和非授权访问为真正实现协作制造, 访问需要摆脱位置或公司的限制, 随心扩展访问需要足够安全, 从而可以有效地通信诊断故障和纠正错误访问需要限于已被授权访问系统的人员, 并且他们的获授权操作行为需要符合公司和工厂的策略与规程与客户协作实施 IACS( 例如机器 ) 远程访问解决方案时, 可通过以下问题了解相应企业的准备情况 : 是否实施 IT 安全策略? 是否实施 IACS 安全策略? 是否具有面向员工的远程访问政策和相应的支持基础架构? 采用哪一种 VPN 技术 / 产品? 是否实施合作伙伴远程访问策略, 即是否具有添加合作伙伴 ( 原始设备制造商系统集成商自动化供应商承包商 ) 的能力和流程? 对于合作伙伴, 您的解决方案是否能够集成到客户的 IACS 网络基础架构中? 您的解决方案是否支持远程访问? 您的解决方案是否符合 ISA-99 和 NIST 等既定的 IACS 安全标准? 其他关键考量因素包括 : 监视和审核远程用户的活动, 以便识别误用情况确定是否存在视线 ( 可视化要求 ) 或者在允许特定远程访问功能之前需要确定的其他限制定义可进行远程访问的软件工具

面向原始设备制造商的可扩展式安全远程访问解决方案 3 采用的安全防护技术安全远程访问的原则设计安全远程访问解决方案时, 应采用纵深防御方法这种方法将构建多个安全防护层, 从而应对远程访问时可发生的不同潜在威胁尽管没有任何一种技术和方法能够完全确保 IACS 网络的安全, 但通过结合多种安全防护技术, 可以对大部分已知类型的威胁和安全侵害行为起到有力的遏制作远程工程师和合作伙伴用

3 面向原始设备制造商的可扩展式安全远程访问解决方案 3 采用的安全防护技术安全远程访问的原则设计安全远程访问解决方案时, 应采用纵深防御方法这种方法将构建多个安全防护层, 从而应对远程访问时可发生的不同潜在威胁尽管没有任何一种技术和方法能够完全确保 IACS 网络的安全, 但通过结合多种安全防护技术, 可以对大部分已知类型的威胁和安全侵害行为起到有力的遏制作远程工程师和合作伙伴用为确保纵深防御安全计划得到充分实施, 公司 IPsec 加密和 SSL VPN 需要依靠多种类型的控制身份验证授权和建立帐户这些控制可划分为以下类别 : 访问控制列表 (ACL) 管理安全浏览 (HTTPS) - 主要为安全策略和规程入侵防护和检测远程终端会话 - 示例包括 : 密码策略安全意识培训等应用安全技术 VLAN - 也称为逻辑控制手段, 其中包含硬件软件和电子元件部分, 用于监视和控制对信息系统的访问 - 示例包括 : 防火墙 IPS/IDS 智能卡等 IACS 应用与数据纵深防御物理 - 基本上为机械式控制手段, 用于监视和控制物理访问 - 示例包括 : 锁安全防护栏安全摄像头等需要注意的是, 安全远程访问不仅仅在于技术控制这一个方面, 而是一个包含管理技术和物理控制的完整安全计划上图是一个有关技术控制的示例, 可帮助实现纵深防御策略

4 面向原始设备制造商的可扩展式安全远程访问解决方案方法实现 IACS 安全远程访问的方法有多种, 但可以划分为直接访问和间接访问两类具体选择取决于上文提及的条件, 例如客户的安全策略和规程每种方法又都涉及多种设计考量因素, 而这些因素会影响 IACS 的正常运行, 需要在 IACS 远程访问解决方案的设计和实施中加以考虑直接访问借助直接访问, 远程用户可建立一个直接连接到

4 4 面向原始设备制造商的可扩展式安全远程访问解决方案方法实现 IACS 安全远程访问的方法有多种, 但可以划分为直接访问和间接访问两类具体选择取决于上文提及的条件, 例如客户的安全策略和规程每种方法又都涉及多种设计考量因素, 而这些因素会影响 IACS 的正常运行, 需要在 IACS 远程访问解决方案的设计和实施中加以考虑直接访问借助直接访问, 远程用户可建立一个直接连接到 IACS 的安全连接创建安全 VPN 隧道后, 位于远程用户计算机上的软件将直接启动与 IACS 的通信设计考量因素 - 如何强化以下方面? - 网络和应用程序的身份验证与授权 - 变更管理版本控制法规符合性和软件许可证管理 - 远程客户端 ( 计算机 ) 的健康状况管理 - 符合既定 IACS 安全标准注意 : 尽管采用此方法时几乎不需要 IT 支持, 最佳安全实践仍需按照既定的 IACS 安全标准执行直接访问远程位置工业全厂级系统

面向原始设备制造商的可扩展式安全远程访问解决方案 5 间接访问借助间接访问, 远程用户可通过一个中间服务器与 IACS 建立安全连接此中间服务器通常位于 DMZ( 隔离区 ) 中, 并为 IACS 中的远程访问服务器 (RAS) 提供远程网关访问在建立 VPN 会话后, 远程客户端即可使用瘦客户端软件应用程序或 Web 浏览器与 RAS 建立连接设计考量因素 -

5 面向原始设备制造商的可扩展式安全远程访问解决方案 5 间接访问借助间接访问, 远程用户可通过一个中间服务器与 IACS 建立安全连接此中间服务器通常位于 DMZ( 隔离区 ) 中, 并为 IACS 中的远程访问服务器 (RAS) 提供远程网关访问在建立 VPN 会话后, 远程客户端即可使用瘦客户端软件应用程序或 Web 浏览器与 RAS 建立连接设计考量因素 - 多层网络身份验证与授权 - 简化的资产管理, 即变更管理版本控制法规符合性和软件许可证管理 - 简化的远程客户端健康状况管理 - 更好地符合既定 IACS 安全标准注意 : 由于可以更好地符合既定 IACS 安全标准, 间接访问是首选的方法因此, 思科和罗克韦尔自动化全厂融合以太网 (CPwE) 架构团队也推荐采用这种方式间接访问远程位置远程访问服务器 (RAS) 工业全厂级系统

6 6 面向原始设备制造商的可扩展式安全远程访问解决方案分析安全远程访问解决方案时, 必须确定待访问系统的类型, 是独立隔离式 IACS 还是企业级集成式 IACS 独立隔离式 IACS 代表示例 - 仅包含少量自动化机器的小型制造厂, 可以是小型的单操作员车间远程位置 ( 非企业集成 ) - 几乎没有 IT 支持, 几乎没有任何安全策略 - 几乎完全不符合既定的 IACS 安全标准企业级集成 IACS 代表示例 - 大型制造工厂 - 工业网络与企业网络连接 - 强大的 IT 能力, 采用纵深防御安全策略 - 符合既定 IACS 安全标准示例 : 独立 IACS 的直接访问 WAN UTM 安全设备 WAN 路由器远程位置工厂工程师机器制造商系统集成商

7 面向原始设备制造商的可扩展式安全远程访问解决方案 7 示例 : 独立 IACS 的间接访问 ( 首选方法 ) 远程位置工厂工程师机器制造商系统集成商 WAN WAN 路由器 UTM 安全设备远程访问服务器 (RAS) 示例 : 企业级集成 IACS 的间接访问 ( 首选方法 ) ( 将生产系统 ( 制造 ) 与业务 (IT) 系统集成的大型制造商 ) WAN DMZ 远程位置工厂工程师机器制造商系统集成商企业系统工业全厂级系统

8 面向原始设备制造商的可扩展式安全远程访问解决方案可能的远程访问解决方案拨号调制解调器调制解调器历来很少被用作 IACS 应用的后门远程访问方法而且, 通常也是用户访问 IACS 时最不愿意选择的方式不过, 如果因为远程访问策略和物理基础架构的限制而决定使用这种方法, 则应采用多层安全方案, 并在调制解调器不使用时将其电源断开调制解调器应具有以下功能 : 可配置拨入帐户呼叫人

8 8 面向原始设备制造商的可扩展式安全远程访问解决方案可能的远程访问解决方案拨号调制解调器调制解调器历来很少被用作 IACS 应用的后门远程访问方法而且, 通常也是用户访问 IACS 时最不愿意选择的方式不过, 如果因为远程访问策略和物理基础架构的限制而决定使用这种方法, 则应采用多层安全方案, 并在调制解调器不使用时将其电源断开调制解调器应具有以下功能 : 可配置拨入帐户呼叫人 ID, 仅允许特定可编程电话号码的身份验证回叫功能加密验证除了部署带有内置安全机制的调制解调器外, 另外也应部署其他防御层这些防御手段包括 : 实施支持 CIP 的防火墙建立 IPsec 或 SSL VPN 配置入侵监测 / 防护系统 (IDS/IPS) 提供防病毒保护等大部分现代防火墙都能在一种称为统一威胁管理设备 (UTM) 的单个盒子中提供多层安全防护注意 : 有关调制解调器安全防护的更多指南, 请参见 : 美国国土安全部控制系统调制解调器安全防护推荐实践 - 罗克韦尔自动化网络和安全服务 -

面向原始设备制造商的可扩展式安全远程访问解决方案 9 连接由远程向工厂发起 (WAN 路由器 / 调制解调器 :DSL 蜂窝网络卫星网络电缆线 T1 线路等 ) 如果因为安装电话线路不可行而无法选择传统调制解调器, 通过蜂窝访问建立 WAN 连接的方式是一种极佳的替代方案而且这种做法因为可扩大覆盖范围提高速度降低成本和简便易行的原因而变得越来越受欢迎远程连接到工厂远程位置 WAN

9 面向原始设备制造商的可扩展式安全远程访问解决方案 9 连接由远程向工厂发起 (WAN 路由器 / 调制解调器 :DSL 蜂窝网络卫星网络电缆线 T1 线路等 ) 如果因为安装电话线路不可行而无法选择传统调制解调器, 通过蜂窝访问建立 WAN 连接的方式是一种极佳的替代方案而且这种做法因为可扩大覆盖范围提高速度降低成本和简便易行的原因而变得越来越受欢迎远程连接到工厂远程位置 WAN WAN 路由器 UTM 安全设备工业全厂级系统不过, 如前文对拨号调制解调器的说明, 为提供纵深防御, 基于蜂窝调制解调器和路由器的蜂窝 WAN 连接应与其他安全技术配合使用, 或者至少将这些功能结合到设备中 (UTM 组合 ) 其他 WAN 连接选项包括 :DSL 电缆线 T1 线路卫星网络等与独立系统建立 WAN 时使用的连接类型取决于制造商的位置预算限制和访问策略需要注意的一点是, 实施 VPN 时, 通常需要由 WAN 提供商分配一个静态 IP 地址以下是设计解决方案时需要检查的一些安全功能 : 是否具有 VPN 功能? 是 SSL 还是 IPsec? 是否具有防火墙? - 是否过滤工业协议?CIP Modbus 等 - 深度包检测? NAT( 网络访问转换 )? 是否面向工业用途? 防病毒垃圾邮件过滤? 是否提供审查功能? 是否具有入侵检测 / 防护系统?

10 面向原始设备制造商的可扩展式安全远程访问解决方案连接由工厂向远程发起 (Webex GoToMyPc 网关 VPN 设备等 ) 如果控制系统在现场派驻人员, 并且已存在通过多层安全控制机制建立的安全内部连接, 则由最终用户发起的连接也可提供安全的远程访问功能远程支持人员可通过 Webex 等类似技术请求远程会话但现场的 PC/ 笔记本电脑需要安装所有必要软件才能提供远程功能, 并且在

10 10 面向原始设备制造商的可扩展式安全远程访问解决方案连接由工厂向远程发起 (Webex GoToMyPc 网关 VPN 设备等 ) 如果控制系统在现场派驻人员, 并且已存在通过多层安全控制机制建立的安全内部连接, 则由最终用户发起的连接也可提供安全的远程访问功能远程支持人员可通过 Webex 等类似技术请求远程会话但现场的 PC/ 笔记本电脑需要安装所有必要软件才能提供远程功能, 并且在 IT 方面也应配置允许出站访问的必要规则 WAN 远程位置 WAN 路由器 UTM 安全设备工业全厂级系统远程连接到工厂使用这些服务时存在打开 Internet (http/https) 出站连接的风险, 此风险不容忽视, 应将访问限于特定的站点和 IP 地址, 阻止从控制系统浏览网络使用 Web 浏览器可带来巨大的风险, 并且历来都是一个已知的攻击源另一种解决方案是网关 VPN 设备, 此设备位于控制系统中, 可通过托管式 VPN 服务建立远程访问采用这种解决方案时应谨慎分析托管服务提供商其位置, 是否坚持最佳安全实践是否符合既定 IACS 安全标准 ( 例如 ISA-99 和 NIST ) 以及是否符合制造商自身的安全策略要求

11 面向原始设备制造商的可扩展式安全远程访问解决方案 11 企业级集成式 IACS 可能的解决方案罗克韦尔自动化与思科 CPwE 安全远程访问解决方案 - enet-td001_-en-p.pdf - enet-wp009_-en-e.pdf 定制式解决方案对于定制式解决方案, 罗克韦尔的网络和安全服务团队可根据您的需求设计一种安全的解决方案

12 12 面向原始设备制造商的可扩展式安全远程访问解决方案总结随着安全远程访问功能的不断发展, 原始设备制造商能够提高生产力降低成本并以更快的速度对影响客户的事件作出响应原始设备制造商通过这些安全远程方案解决方案, 能够提供实时的远程支持由于制造运营变得更加复杂, 制造工厂分布在全球各地, 可在 24 小时为系统提供现场支持的熟练工人越来越少, 这些远程支持功能正变得日益重要借助对独立系统的远程访问功能, 原始设备制造商可在恰当的时间应用合适的技能和资源, 不受物理位置的限制进而提高效率减少停机时间并降低成本不过, 由于 IACS 应用事关重大, 任何远程访问解决方案都必须提供适当的安全级别, 需要符合制造商的需求并满足既定 IACS 安全标准的要求采用纵深防御原则后,IACS 应用在任何情况下都不会面临直接进行的不安全远程访问其他资源联盟成员思科集成服务路由器 - 罗克韦尔自动化远程访问调制解调器 - Encompass 合作伙伴

13 面向原始设备制造商的可扩展式安全远程访问解决方案 13 术语表 CIP - 通用工业协议通用工业协议 (CIP) 包含一整套适用于各种制造自动化应用 ( 包括控制安全同步运动配置和信息 ) 的消息与服务 CIP 由 ODVA 所有并由该组织进行维护 ODVA 是一个由全世界领先的自动化公司组成的国际协会 DMZ - 隔离区两个网络区域之间的缓冲区或网络段 DMZ 通常位于公司网络与 Internet 之间, 其中的数据和服务可由 Internet 或公司网络中的用户共享 / 访问 DMZ 通常通过网络防火墙建立, 旨在管理和保护来自公司网络和 Internet 两个区域的通信有关网络 DMZ 的示例, 请参见方案 :DMZ 配置 : IACS - 工业自动化和控制系统一组用于对相关制造过程进行自动化和控制的设备与应用就此意义上还有许多其他词语可以表示, 例如生产系统车间系统, 但在本白皮书中, 我们统一采用这种说法这并不意味着在这一方面有任何特定的侧重或限制根据我们的初衷, 文中给出的理念和概念均适用于各种类型的生产情况, 包括但不限于批生产连续生产离散生产混合生产和过程生产其他文档和行业参考资料可能会采用工业控制系统 (ICS) 的说法在本文档下, 这些说法可以互换本文档之所以采用 IACS, 一方面是这种说法与 ISA 99 标准中的表述一致, 另一方面也与思科和罗克韦尔自动化全厂融合以太网 (CPwE) 契合 IPA-3 - Internet 协议 Internet 协议 TCP/IP 栈中的网络层协议, 旨在提供无连接的互联网络服务 IP 提供寻址服务类型指定分段后重组以及安全功能在 RFC 791 中定义有关 IP TCP 和 UDP 的更多信息, 请参见 Internetworking Technology Handbook-Internet Protocols: Internet-Protocols.html IP 协议簇 Internet 和大部分企业网络所基于的一组网络标准其中包含第三层 Internet 协议 (IP) 第四层传输控制协议 (TCP) 和用户数据报协议 (UDP) IPS - 入侵防护系统监视网络活动中有无恶意或不当行为的网络安全防护设备有关入侵防护系统的更多信息, 请参见维基百科的相关介绍 : 或思科 IPS: IPSec - IP 安全用于保证数据机密确保数据完整和提供数据验证的一种开放式标准框架 IPSec 在 IP 层提供这些安全服务 IPSec 通过 IKE( 见上文 ) 在本地策略基础上处理不同协议和算法之间的协商, 并同样借此生成供 IPSec 使用的加密和验证密钥 IPSec 可保护一对主站之间一对安全网关之间或安全网关与主站之间的一个或多个数据流如需更深入地了解 IPsec, 请访问以下 URL: note09186a shtml.

14 14 面向原始设备制造商的可扩展式安全远程访问解决方案 ISA-99 集中介绍工业自动化和控制系统的安全性更多信息, 请参见 : NAT - 网络地址转换减少全局唯一 IP 地址需求的机制如果一个组织带有多个并非全局唯一的地址, 则可借助 NAT 将这些地址转换为可在全球路由的地址空间, 以便连接到 Internet SSL - 安全套接字层网络中用于提供安全交易的加密技术, 例如在电子商务中用于传输信用卡卡号 UTM - 统一威胁管理最近数年在网络安全行业中出现的一种综合性解决方案, 但自 2004 年以来已作为企业的主要网络网关防御解决方案得到广泛应用 [1] 理论上来说, 这种方案从传统的防火墙演化而来, 作为一种全方位的安全产品能够在一个装置中执行多项安全功能 : 网络防火墙网络入侵防护和网关防病毒 (AV) 网关防垃圾邮件 VPN 内容过滤负载均衡数据泄漏防护和内置报表有关 UTM 的更多信息, 请参见维基百科的说明 : VPN - 虚拟专用网络一种主要在公共通信基础设施 ( 例如 Internet) 基础上使用, 为远程办公室或出差的用户提供中央组织网络访问功能的网络 VPN 通常需要对网络的远程用户进行身份验证, 并且通常都会通过加密技术对数据进行保护, 以防将专有信息透露给未授权的对象 VPN 可在任何网络上使用, 并可支持各种网络功能, 例如共享数据和访问网络资源打印机数据库网站等 VPN 用户在访问中央网络的体验上通常与直接连接到中央网络的体验相同基于公共 Internet 的 VPN 技术已代替过去部署广域网时租用线路的做法, 不再需要申请和维护昂贵的专用通信线路有关 VPN 的更多信息, 请参见维基百科的说明 : WAN - 广域网广域网 (WAN) 是覆盖较大面积的通信网络 ( 例如, 任何跨越大城市区域或国家 / 地区边界的网络 ) 许多公司和政府机构都使用 WAN 在位于不同地理位的员工客户采购员和供应商之间中继数据实际上, 这种通信方式能够让企业不受所处位置限制有效履行日常职能

15 面向原始设备制造商的可扩展式安全远程访问解决方案 15 工厂 - 生产设施工厂或工厂车间本文档选择使用工厂一词来描述制造过程和控制的执行场所并不等于排除类似词汇, 例如生产设施车间或用于描述制造过程所在区域的其他任何词汇事实上, 这些词汇均可相互替换, 这里仅是出于一致性原因而采用工厂一词远程终端会话远程桌面指的是支持一台计算机或一个用户从远程位置通过图形化终端仿真程序访问和控制另一台计算机的一组协议和软件像直接连接的终端一样在远程主站上显示的软件, 其中包括 Microsoft 的 RDP 远程桌面协议和 VNC( 虚拟网络计算机 ) 制造区域工厂逻辑框架中的网络区域, 请参见 Cisco and Rockwell Automation Converged Plantwide Ethernet (CPwE) Design and Implementation Guide 指南的第 2 章此区域中包含对工厂的持续运营至关重要的整套应用系统基础架构和设备在其他文档 ( 例如 ISA 99) 中, 此区域也被称为控制区域在此方面, 这些术语可以互换子网在 IP 网络中, 子网是共享一个特定子网地址的网络子网络是网络管理员任意划分的网络部分, 其作用是提供多层且有层次的路由架构, 并避免子网络处理所连网络的复杂事务

MASQUERADE # iptables -t nat -A POSTROUTING -s / o eth0 -j # sysctl net.ipv4.ip_forward=1 # iptables -P FORWARD DROP #

MASQUERADE # iptables -t nat -A POSTROUTING -s / o eth0 -j # sysctl net.ipv4.ip_forward=1 # iptables -P FORWARD DROP # iptables 默认安全规则脚本一 #nat 路由器 ( 一 ) 允许路由 # iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT ( 二 ) DNAT 与端口转发 1 启用 DNAT 转发 # iptables -t nat -A PREROUTING -p tcp -d 192.168.102.37 dprot 422 -j DNAT to-destination