如何提高自动化控制系统安全及管理水平培训课件

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,2017/8/15,#,如何提高自动化控制系统安全及管理水平,多重的安全,威,威胁,误操作,未授权的操作,未授权的,访,访问,拒绝服务,攻,攻击,窃贼,未授权的远程,访,访问,自然或人,为,为灾害,破坏活动,蠕虫和病,毒,毒,安全来自,纵,纵深式的,防,防御,3,网络安全,架,架构,4,推荐的架构,不推荐的,架,架构,Enterprise-wide Network,Plant-wide Network,Enterprise-wide Network,Plant-wide Network,Plant-wide Network,Enterprise-wide Network,Plant-wide Network,Enterprise-wide Network,Switch,with VLANs,Plant-wide Network,Enterprise-wide Network,Firewall,Better,Plant-wide Network,Enterprise-wide Network,IDMZ,Best,Plant-wide Network,Enterprise-wide Network,Router,(,Zone Based FW),Good,2,层到,3,层交换功,能,能对应从,简,简单到复,杂,杂网络应,用,用,高级安全,功,功能,从工厂到,企,企业网络,的,的集成,技术,产品,高级的交,换,换、路由,及,及安全特,性,性,对自动控,制,制及,IT,部门提供,通,通用的工,具,具,维护简便,面向运维及,IT,应用,面向自动,控,控制的需,求,求,网络安全,工,工具,-,Stratix,系列交换机,的,的优点,网络安全,工,工具,-,Stratix5900,含,2,层及,3,层安全功,能,能路由器,提供路由,及,及,2,层及,3,层安全服,务,务,路由器,+,防火墙,虚拟私,有,有网络,(,VP,N),网络地,址,址转换,(NAT),访问控制,列,列表,(ACL),入侵防止,系,系统,(IPS),端口,:,1 GigabitWAN,端口,4 FastEthernet,端口,工业标准,DIN,导轨安装,使用于厂级,站,站点间连接,、,、单元区域,的,的防火墙及,OEM,设备的通讯,集,集成,New,7,Enterprise-wide,Business Systems,Levels 4&5 DataCenter,EnterpriseZone,Level3-SiteOperations,IndustrialZone,Physical or Virtualized Servers,FactoryTalkApplicationServers&Services Platform,Network Services e.g.DNS,AD,DHCP,AAA,Remote Access Server(RAS),CallManager,Storage Array,Levels0-2,Cell/AreaZones,Level3.5-IDMZ,RemoteSite#1,LocalCell/AreaZone#1,LocalOEMSkid/Machine#1,Plant-wide,Site-wide,Operation Systems,Site-to-Site,Connection,Stratix 5900,1)Site-to-Site Connection,Stratix 5900,3,)OEM Integration,Stratix 5900,2),Cell/Area,Zone Firewall,网络,安,安全,工,工具,-,Stratix5900,含,2,层及,3,层安,全,全功,能,能路,由,由器,系统,管,管理,员,员可,以,以管,理,理,用户,帐,帐户,Windows,FactoryTalk,用户,组,组,自定,义,义用,户,户组,及,及角,色,色,Windows,用户,组,组,计算,机,机,计算,机,机组,系统,策,策略,产品策,略,略,产品,操,操作,控制器,安,安全,控制器区,域,域,8,应用,层,层安全工,具,具,-,FactoryTalkSecurity,用户,帐,帐户,创,创建,9,“Fred”;,usernameandPW,FactoryTalk,系统,安,安全,策,策略,10,“Freds”PWexpiresin30days,分配,用,用户,组,组或,角,角色,11,“Fred”isanEngineer,分配,产,产品,权,权限,12,“Fred”canuseLogix5000,分配,角,角色,或,或用,户,户组,的,的允,许,许权,限,限,13,EngineerscanModifyAOI,s,资源,分,分配,到,到应,用,用区,域,域,14,Finally;,“,“Fred,”,”isanEngineerwhocanModifyAOIsonallcontrollersin,“,“Area2,”,”,PC#2,15,15,PC#1,Logix 5000 Project,FactoryTalk,Services,Security Authority,Security,Administration,Logix 5000 Project,FactoryTalk,Services,Security,Administration,ID=795D5EF-12.,ID=A73R5CG,89.,ID=795D5EF-12.,Security Authority,ID=795D5EF-12,EtherNet/IP,IDs Match,IDs Dont Match,应用层安全工具,-,FactoryTalk Security,在,Logix Controllers,中使用,FactoryTalkSecurity,安全认证号码,(SAID),使用,FactoryTalk ServicesPlatform SR5,和,RSLogix5000 V20(,以及更高版本,),配置,Logix,控制器时，在要,求,求所有用户在访,问,问控制器前必须,通,通过一个,FactoryTalk,目录来认证权限,安全认证号码存,储,储在工程文件中,可以保护离线文,件,件,16,当,“Security Authority ID required”,使能后,访问前需要登录,.,使用,FactoryTalk,目录服务来启用,安,安全功能,SAID,备份,使用,FactoryTalk,管理控制,台,台,安全认,证,证号码,可以被,加密,来,来保,护,护备,份,份,允许,多,多个,FactoryTalk,目录,使,使用,同,同一,个,个,ID,可以用来替,换,换,v20,版停用的,CPU,加密功能,TheSecurityAuthority Identifier lookslike this,17,限制通讯,卡,卡槽,Copyright 2011Rockwell Automation,Inc.All rights reserved.,19,数据访问控制,用户可以设置,外,外部数据访问,权,权限：读,/,写、只读及无权,限,限,在,RSLogix5000,及,Logix,控制器需要建,立,立信任连接,确保只能通过,RSLogix 5000,修改标签属性,谁能修改属性,由,由,FactoryTalkSecurity,来控制,用户还可以把,标,标签定义为常,数,数，,常数不能被控,制,制器逻辑程序,修,修改,。,20,FactoryTalkView SE,安全,FactoryTalkView SE,安全可以被应,用,用到,:,画面,21,FactoryTalkView SE,安全,FactoryTalkView SE,安全可以被应,用,用到,:,画面,对象,22,FactoryTalkView SE,安全,FactoryTalkView SE,安全可以被应,用,用到,:,画面,对象,项目应用,ControlLogix,实时修改监测,ControlLogixV20,或更高版本支,持,持实时修改监,测,测功能,可以通过控制,器,器修改日志获,得,得监测信息,可以通过事件,日,日志生成活动,报,报告,可以监测到恶,意,意修改,可以选择发送,信,信息到监测服,务,务器,23,控制器实时修,改,改监测,每个,LogixPAC,开放一个修改,监,监测数值,当影响到控制,器,器运行的行为,被,被监测到时，,这,这个值会自动,改,改变,该监测值可以,通,通过,RSLogix 5000,和,Studio5000LogixDesigner,访问,其它软件或,应,应用可以通,过,过,Message,指令访问,可以组态什,么,么事件被监,测,测,24,控制器实时修,改,改监测,监测值被记,录,录到每个控,制,制器的日志,中,中，,FactoryTalk,AssetCentre(,V,ersion 4.1),可以从控制,器,器日志中读,取,取该监测值,25,Copyright,2011 RockwellAutomation,Inc.All rights reserved.,FactoryTalk AssetCentre,监测功能,26,集中记录与,控,控制系统的,交,交互信息,Copyright,2009 RockwellAutomation,Inc.All rights reserved.,FactoryTalk AssetCentre,软件,具备一套针,对,对资产集中,管,管理工具，,用,用于安全的,集,集中管理您,的,的自动化设,备,备,对控制系统,的,的安全访问,追踪用户操,作,作,提供备份及,恢,恢复操作的,组,组态,管理设备组态配,置,置文件,配置过程仪表,管理设备整定,可扩展的设计允,许,许功能及设备数,量,量的扩展,提供从小型生产,线,线到工厂范围的,解,解决方案,低入门费用（概,念,念设计及证明测,试,试）,版本控制,/,源文件控制,集中存储文件、,组,组态、程序、,SOPs,CAD,和其他文件,自动的版本控制,维护单一主文件,关,关系,当维护主文件时,允,允许他人获得程,序,序拷贝,FactoryTalk AssetCentre,容灾备份功能,定期自动备份设,备,备组态,选择和特定备份,版,版本比较差异,最新版本,指定版本,当差异监测到后,自,自动创建新版本,在事件数据库中,自,自动生成差异报,告,告并发送邮件,容灾备份选项,Rockwell Automation,设备,Logix5000,设备以及,SLC-500,PLC-5,PanelViewPlus,Standard,以及,Enhanced,变频器,远程计,算,算机,文件或,文,文件夹,通用,FTP,设备,文件或,文,文件夹,Siemens S7,400,和,300,系列控制,器,器,TCP/IP,协议,Siemens S5,100,系列,TCP/IP,协议,FanucRobots,RJ3,和,RJ3i,控制器,Motoman Robots,XRC,和,NX-100,控制器,ABBRobots,IRC5,和,S4C+robot,控制器,FactoryTalkAssetCentre,监测及,事,事件记录,提供监测,信,信息集,中,中存储,服,服务，,如,如：,FactoryTalk,应用、,RSLogix5,500&5000,系列控,制,制器。,监测及,事,事件信,息,息包含,记,记录时,间,间、当,前,前时间,、,、用户,、,、设备,、,、计算,机,机以及,操,操作信,息,息,实现系,统,统集中,诊,诊断管,理,理,FactoryTalkAssetCentre,监测及,改,改动报,告,告,通过,FactoryTalkAssetCentre,检索,事件,监测,归档,历,历史,文,文件,y,定期,或,或立,即,即生,成,成报,告,告