工业控制系统安全评估服务方案 V1.0.1

工控系统安全评估服务方案DBAPP%curifc安恒信息杭州安恒信息技术有限公司8启动工业安全评估平台上的流量采集功能；9持续采集数量流量「2小时；10流量采集过程中由工控系统责任单位检查被查系统是否正常，如发生异常，立即中止操作，并首先上报公安；11技术支撑单位检查采集的数据是否合适，无误后结束流量采集；12工控系统责任单位恢复系统设置

4、U盘扫描接入检查方式当工控系统责任单位的工控系统具备工业安全评估平台U盘扫描方式接入条件时，采用此方式，具体步骤是1工控系统责任单位的技术人员确认工控系统中需要接入U盘扫描方式的主机，2技术支撑单位的技术人员对主机执行U盘扫描接入，启动启动工业安全评估平台的U盘扫描功能；3扫描过程中由工控系统责任单位检查被查系统是否正常，如发生异常,立即中止操作，并首先上报监管部门；4工控系统责任单位恢复系统设置安恒服务优势

5..权威的安全服务资质

5.1•中国信息安全认证中心认证通过的信息安全服务资质（一级应急处理服务资质）；•国家信息安全服务资质证书（安全工程类二级）；•国家计算机网络应急技术处理协调中心省级网络安全应急服务支撑单位资质；•国家网络与信息安全信息通报中心技术支持单位；•国家信息安全漏洞库（CNNVD）一级技术支撑单位；•国家IS09001-2008认证资质.丰富的安全服务经验

5.2•在2008年北京奥运会期间，作为北京奥组委安全产品和服务提供商，杭州安恒被奥组委授予“奥运信息安全保障杰出贡献奖”；•在建国60周年网站安全大检查中，杭州安恒作为工信部唯一技术合作伙伴发挥了重大作用；•2009年杭州安恒荣获浙江省网络与信息安全通报中心技术支持合作先进单位称号；•2010年，杭州安恒成为上海世博会安全产品和服务提供商，全力保障上海世博会期间政府信息系统安全；•2011年，杭州安恒作为深圳大运会安全产品和服务的提供商，为深圳大运会信息安全保驾护航；•2012年，杭州安恒作为“十八大”安全保障单位，为“十八大”顺利召开做好网络安全保卫工作；•2013年，杭州安恒作为技术支持单位，为全国网站安全大检查提供技术保障；•2014年，杭州安恒作为“两会”安全保障单位，为大会顺利召开做好网络安全保卫工作.专业的安全服务团队

5.3•公司创始人范渊先生为国际知名的信息安全专家CISA.CISSP,对信息安全技术研究极具创新能力；•国内最大的安全服务队伍，90%以上为本科学历；•拥有多位CISA、信息安全注册工程师CISP、信息安全管理体系IS027001主任审核员、高级项目经理PMP等严谨的服务项目管理54•严格的IS09001安全服务质量管理过程；•规范的安全服务管理体系和工程师安全服务操作手册；•积极的安全服务项目沟通机制；•完善的服务质量跟踪和服务意见/建议反馈.可信的安全服务工具

5.5•所采用的安全服务工具主要为杭州安恒自主研发的工业安全评估平台；•均通过公安部信息安全产品检测中心、公安部计算机信息系统安全产品质量监督检验中心的检验O安恒公司介绍

6.杭州安恒信息技术有限公司DBAPPSecurity,简称“安恒信息”，是业界领先的应用安全及数据库安全整体解决方案提供商，专注于应用安全前沿趋势的研究和分析，核心团队拥有多年应用安全和数据库安全的深厚技术背景以及最佳安全攻防实践经验，以全球领先具有完全自主知识产权的专利技术，致力于为客户提供应用安全、数据库安全、网站监测、安全管理平台等整体解决方案“安恒信息”公司总部位于杭州高新区，在北京、上海、南京、广州、深圳、成都、重庆、济南、西安等地都设有分支机构、遍布全国的代理商体系以及销售与服务网络能够为用户提供精准、专业的服务公司成立以来安恒人始终以建立民族自主品牌为己任，秉承“精品创新，恒久品质”的理念，力争打造中国信息安全产业应用安全与数据库安全第一品牌多年来，“安恒信息”以其精湛的技术，专业的服务得到了广大客户的青睐，同时赢得了高度的商业信誉其客户遍布全国，涉及金融、运营商、政府、公安、能源、教育、医疗、税务/工商、社保、等保评估/安全服务机构、电子商务企业等众多行业“安恒信息”目前拥有明鉴、明御两大系列自主研发产品，是应用安全、数据库审计、网站监测等领域的市场绝对领导者其中明鉴®系列应用扫描器被公安部三所测评中心等国内权威等级保护测评机构广泛使用未来，“安恒信息”将继续秉承诚信和创新精神，继续致力于提供具有国际竞争力的自主创新产品和服务，全面保障客户应用与数据库的安全，为打造世界顶级的产品而不懈努力作为2008北京奥组委安全产品和服务提供商，“安恒信息”被奥组委授予“奥运信息安全保障杰出贡献奖”在2009年建国60周年全国网站安全大检查中，公安部和工信部安全中心均选用安恒信息明鉴应用弱点扫描作为安全检查工具并发挥了重大作用2010年，上海世博会安全产品和服务的提供商2010年，广州亚运会安全产品和服务的提供商2011年，深圳大运会安全产品和服务的提供商2012年，“十八大”安全技术保障单位2013年，全国网站安全大检查技术保障单位2014-2016年，三届世界互联网大会新闻官网网络安全保障单位2016年，G20峰会网络安全主要保障单位安恒信息以“专业的安全服务团队、自主知识产权的安全产品、长期的安全经验积累、实时响应的专家服务模式”赢得了国内/外众多客户的青睐，客户涵盖“金融、运营商、政府、公安、能源、教育、税务、工商、社保、等级保护测评机构、电子商务及企业”等各个领域

31.

31.

31.

31.

64.

64.

64.

84.

84.

4.

84.

4.

115.

115.

115.

125.

125.

1..评估目的

1.1工控系统安全评估是了解和确认工控系统安全状况的基本方法和手段，是工控系统安全的基础性工作没有工控系统安全评估，便难以准确了解工控系统的安全态势，更不可能形成有针对性的工控系统安全解决方案本项目的目的是通过工控系统安全检查帮助企业了解目前整个工控系统的安全状况、系统面临的威胁、资产的价值和敏感性、由于资产的损失可能造成的威胁、网络系统结构的合理性和安全性、安全制度的完整性和必要性通过工控安全评估明确工控系统的安全现状和安全需求，以便进行正确的安全策略，指导未来的安全建设和投入，逐步建立安全管理框架使安全风险保持在一个可接受的程度，使系统达到一个适度安全的状态评估范|12工控系统安全评估对象为企业的工控系统，主要包括SCADA、DCS.PLC.MES等系统，从管理和技术层面工控系统资产、漏洞、风险进行检查，涉及人员和组织、管理制度、网络结构、主机系统、运行维护、系统建设等多方面评估人员13安恒信息安排2位资深安全评估工程师执行现场评估工作评估工具14安恒工业安全评估平台是拥有独立自主的知识产权，依据等级保护相关标准，按照公安部信息安全等级保护监察装备建设任务书的要求设计生产，是一款等级保护检查、测评、自查专用工具，覆盖等级保护一到四级所有测评内容评估依据

2.本次系统安全评估依据的标准和法规如下•《GB/T26333-2010工业控制网络安全风险评估规范》《GB/T20984-2007信息安全技术信息安全风险评估规范》《GB/T20274-2006信息安全技术工业控制系统安全保障评估框架》《GB/T22080-2008信息技术安全技术信息安全管理体系要求》《GB/T22081-2008信息技术安全技术信息安全管理实用规则》《GB/T20270-2006信息安全技术.网络基础安全技术要求》《GB/T20271-2006信息安全技术.工业控制系统通用安全技术要求》《GB/T21052-2007信息安全技术工业控制系统物理安全技术要求》《GB/T18018-2007信息安全技术路由器安全技术要求》《GB/T20011-2005信息安全技术路由器安全评估准则》《GB/T20272-2006信息安全技术.操作系统安全技术要求》《GB/T20008-2005信息安全技术操作系统安全评估准则》《GB/T20273-2006信息安全技术.数据库管理系统安全技术要求》《GB/T20009-2005信息安全技术数据库管理系统安全评估准则》《GB/T20281-2006信息安全技术.防火墙技术要求和测试评价方法》《GB/T20945-2007信息安全技术工业控制系统安全审计产品技术要求和UEC62443工控网络与系统信息安全标准》US0/IEC18028-5信息技术安全技术IT网络安全第五部分使用虚拟测试评价方法》专用网的跨网通信安全保护》《信息安全技术.服务器安全测评要求》《网络交换机安全技术要求》•《信息安全风险管理规范》•《信息保障技术框架（IATF）》评估原则

3.在评估服务中，将遵循如下原则1）标准性原则整个服务过程遵循国际和国内的多项标准，包括IS

027001、IS

013335.IS015408/GB18336SSE-CMM、SP800-

30、PMI项目管理规范、《信息安全等级保护管理办法》等2）规范性原则在服务工作中的过程和文档，严格遵循安恒的内部规范《杭州安恒安全服务项目管理规范》、《杭州安恒信息安全服务规范》3）可控性原则进行项目实施时，安恒将从用户信誉、成功经验、人员水平、工具可控性、项目过程可控性多个角度保证整个项目过程和结果的可控性4）整体性原则项目实施中，安恒将从国际标准、行业规范、需求分析和我们长期的实施经验等多个角度保证评估的整体全面性，包括安全涉及的各个层面，避免遗漏5）最小影响原则安恒会从项目管理层面、测试工具层面、技术层面进行严格把控，将可能出现的影响降低到最低限度6）保密性原则安恒和参加此次安全服务项目的所有项目组成员，都必须和客户签署相关的保密协议和非侵害协议评估实施

4..工作过程

4.1现场评估总结分析浙能燃气工控系统根褥安全集团介绍配合建议整改安恒分析站果报告螭写工控安全服务人员工具评怙安恒工控安全专家整个评估包括方案制定、准备、现场评估和总结分析四个阶段，具体如图2-1所示图2-1工控系统安全评估流程方案制定准备.评估内容

4.2序号评估项分项描述季备资料系统投运时间、组成、网络1系统基本信息评估移管对象调杳拓扑安全评估网络拓扑人工访设整改建议分析现场查看工具.友斯淮得2资产基本信息提供评怙核心控制器、工作站、服务器、报告网络设备、安全设备、其他设备工控系统基本信3核心设备和资产管理核心设备和资产组成、管理措施息安全管理制度、安全管理机构、4安全组织建设人员安全管理、系统建设管理、系统运维管理信息安全年度预算、工控系统安5安全经费年度预算全年度预算物理位置、访问控制、防火、防盗、防破坏、防雷击、防水、防6物理安全防护潮、防静电、温湿度、电力供应、电磁防护7工控网络安全防护网络结构、网络审计、网络冗余已有安全防护措与容差、无线接入、远程访问、施主机身份标识与鉴别、访问权8上位机安全防护限、口令管理、恶意代码防范、入侵防范9终端安全防护外设装置、移动存储设备10数据安全防护数据备份、数据恢复11安全管理防护安全管理建设涵盖CVE、CNVD、CNVVD发布的相关工控网络的漏12工控漏洞统计洞支持主机系统配置信息、资13主机漏洞统计产漏洞详情工控系统漏洞分Oracle、SQL Server

2000、析SQLServer2005/2008DB2V

8、DB2V

9、Informix14数据库漏洞统计MySQL、达梦、人大金仓的漏洞扫描以及弱点、不安全配置、弱口令、补丁等15安全配置核查统计基线配置检查详情16工控协议信息统计工控协议信息统计17异常流量统计异常流量统计流量统计分析18诊断数据统计诊断数据统计19流量包分布统计流量包分布统计20IP地址信息统计IP地址信息统计评估方法431）人员访谈评估项目组对相关人员进行访谈，核实已落实防护措施情况；2）文档查阅评估项目组查阅已落实防护措施形成的相关文档等证明材料;3）人工核查评估项目组通过手动方式核查部分已落实防护措施情况；4）工具检测评估项目组通过专用工具检测防护措施实际落实情况及其有效性.工具评估过程

4.4启动

4.

4.

1.在开始现场工具评估前，有技术支撑单位、工控系统责任单位共同在场，会议内容如下1）收取工控系统责任单位签字版的《工控系统现场检查须知》；2）各方在《工控系统安全检查入场确认表》上签字；3）确定工业安全评估平台能否接入被查系统，确定不能接入检查被查系统时执行

2.

4.2-1完全手动检查方式；4）工业安全评估平台可以接入工控系统时，如果确定采用镜像接入流量检查方式，则执行

2.

4.2-2镜像接入流量检查方式；5）如果确定采用漏洞扫描接入检查方式，则执行

2.

4.2-3漏洞扫描接入检查方式；6）如果确定采用U盘扫描接入检查方式，则执行

2.

4.2-4漏洞扫描接入检查方式按选定方式进行现场检查

4.

4.

2.

1、镜像接入流量检查方式当工控系统责任单位的工控系统具备工业安全评估平台通过镜像接入条件时，采用此方式，具体的步骤是

（1）工控系统责任单位的技术人员配置好被查工控系统交换机的镜像口，要求本系统内所有流量都镜像到这个镜像口；2技术支撑单位技术人员通过工业安全评估平台自带的网线，接入该镜像口；3启动工业安全评估平台上的流量采集功能；4持续采集数量流量「2小时；5技术支撑单位检查采集的数据是否合适，无误后结束流量采集；6工控系统责任单位恢复系统设置；7人工检查工控系统责任单位工控系统网络拓扑中的资产信息

3、漏洞扫描接入检查方式当工控系统责任单位的工控系统具备工业安全评估平台漏洞扫描方式接入条件时，采用此方式，该方式分为两个大的步骤；第一个步骤是通过扫描功能自动发现系统的信息资产，步骤是1工控系统责任单位的技术人员配置好被查工控系统交换机，确保交换机提供一个端口与工控系统处于同一个局域网内；2技术支撑单位的技术人员检查工控系统责任单位提供的IP地址是否与现有系统有冲突，确保无冲突后把此IP地址配置到工业安全评估平台相应的网口；3通过网线连接工业安全评估平台与工控系统的交换机，启动工业安全评估平台的检查执行功能，包括问卷调查、工控设备漏洞扫描、工业主机漏洞检查、数据库漏洞检查、网络设备配置核查；4扫描过程中由工控系统责任单位检查被查系统是否正常，如发生异常,立即中止操作，并首先上报公安；5扫描结束后，还需要针对系统实际情况手工录入无法自动发现的资产信息；第二个大的步骤还是通过镜像接入的方式采集系统的流量，详细步骤与2类似6工控系统责任单位的技术人员配置好被查工控系统交换机的镜像口，要求本系统内所有流量都镜像到这个镜像口；7技术支撑单位技术人员将工业安全评估平台接入该镜像口；。