2.1.3工控系統安全防護分域
　　
　　安全域是指同一系統內有相同的安全保護需求，相互信任，并具有相同的安全訪問控制和邊界控制策略的子網或網絡，且相同的網絡安全域共享一樣的安全策略。
　　
　　在管理層、制造執行層、工業控制層中，進行管理系統安全子域的劃分，制造執行安全子域的劃分、工業控制安全子域的劃分。安全域的合理劃分，使用每一個安全域都要明確的邊界，便于對安全域進行安全防護。對MES、ICS的安全域劃分如下圖所示：

　　
　　如上圖所示，為了保證各個生產線的安全，對各個生產線進行了安全域劃分，同時在安全域之間進行了安全隔離防護。
　　
　　2.1.4工控系統安全防護分等級
　　
　　根據安全域在信息系統中的重要程度以及考慮風險威脅、安全需求、安全成本等因素，將其劃為不同的安全保護等級并采取相應的安全保護技術、管理措施，以保障信息的安全。
　　
　　安全域的等級劃分要做到每個安全域的信息資產價值相近，具有相同或相近的安全等級、安全環境、安全策略等。安全域所涉及應用和資產的價值越高，面臨的威脅越大，那么它的安全保護等級也就越高。
　　
　　2.2構建工業控制系統安全管理平臺
　　
　　工業控制系統和傳統信息系統具有大多數相同的安全問題，但同時也存在獨特的安全需求。工業控制系統最大的安全需求是唯一性和排它性，在某一特定的工業控制系統中，工業控制系統只需用唯一的工業應用程序和工業通信協議運行，其他一概不需要。
　　
　　啟明星辰工業系統安全管理平臺為工業控制系統建立了一個相對可信的計算環境，對工控系統管理終端和網絡通信具有非常強的安全控制功能。工業控制系統安全管理平臺有兩部分組成，一部分是工業控制系統安全管理平臺，具有終端管理、網絡管理、行為監控功能，另一部分是終端安全管理客戶端。
　　
　　2.2.1管理平臺部分
　　
　　工業控制系統的安全運行，主要需要保障工業控制系統相關信息系統基礎設施的安全，包括工業以太網網絡、操作終端、關系數據庫服務器、實時數據庫服務器、操作和應用系統等各類IT資源的安全，從工業控制系統安全的角度對工控系統的各類IT資源進行監控(包括設備監控、運行監控與安全監控)，實現對安全事件的預警與響應，保障工業控制系統的安全穩定運行。
　　
　　具體而言，工業控制系統安全管理平臺功能如下：
　　
　　1.能夠對應用服務器、關系數據庫服務器、實時數據庫服務器、工業以太網設備運行狀態進行監控，例如CPU、內存、端口流量等等。
　　
　　2.能夠對操作終端外設、進程、桌面進行合規性在線和離線管理。
　　
　　3.能夠對各層邊界數據交換情況進行監控。
　　
　　4.能夠對工業控制系統中的網絡操作行為進行審計。
　　
　　5.能夠對工業控制系統日志進行關聯分析和審計。
　　
　　6.能夠對工業控制系統中的異常事件進行預警響應。
　　
　　7.能夠對工業企業信息系統進行虛擬安全域的劃分。
　　
　　2.2.2工業控制系統終端安全管理部分
　　
　　由于工業控制系統管理終端的安全防護技術措施十分薄弱，所以病毒、木馬、黑客等攻擊行為都利用這些安全弱點，在終端上發生、發起，并通過網絡感染或破壞其他系統。
　　
　　工業控制系統終端最大特點是應用相對固定，終端主要安裝工業控制系統程序，所以，要防范傳統方式的病毒或木馬等惡意軟件，最直接的方式就是利用工業控制系統對終端應用程序的進程進行管理。
　　
　　具體而言，工業控制系統安全管理平臺終端安全管理部分功能如下：
　　
　　1.工業控制系統安全管理平臺客戶端軟件輕巧精煉，占用資源極少，能夠最大程度保證工業控制系統管理終端的穩定性。
　　
　　2.工業控制系統安全管理平臺客戶端具有終端準入控制功能，可以防止沒有達到安全基線的筆記本對終端進行管理。
　　
　　3.工業控制系統安全管理平臺客戶端具有終端安全優化與加固功能，能夠對工業控制系統終端進行安全優化和加固，使終端安全水平達到一定的安全基線。
　　
　　4.工業控制系統安全管理平臺客戶端具有外設管理功能，對工業控制系統的外設進行管理，比如USB接口、光驅、網卡、串口等。
　　
　　5.工業控制系統安全管理平臺客戶端具有工業控制系統應用程序監控功能，對終端中的工業控制系統軟件進行監控和管理。
　　
　　6.工業控制系統安全管理平臺客戶端具有工業通信協議監控功能。工業控制系統終端通信協議相對固定，客戶端能夠對終端通信協議具有唯一性管理功能。
　　
　　7.工業控制系統安全管理平臺客戶端具有離線管理功能，工業控制系統終端有一部分無法進行在線管理，客戶端具有比較強大的離線自管理功能，可以完成對離線終端的管理。
　　
　　8.工業控制系統安全管理平臺客戶端具有強身份認證功能，客戶端具有使用工業控制系統在線終端和離線終端都具有強身份認證功能，從而防止工業控制系統被有意或無意被控制的風險。
　　
　　三、總結
　　
　　國內外發生了多起由于工控系統安全問題而造成的生產安全事故。最鮮活的例子就是2010年10月發生在伊朗布什爾核電站的“震網”(Stuxnet)病毒，為整改工業生產控制系統安全敲響了警鐘。
　　
　　為此，工信部在2011年10月下發了“關于加強工業控制系統信息安全管理的通知”，要求各級政府和國有大型企業切實加強工業控制系統安全管理。工信部趙澤良司長也強調，工業控制系統安全工作也到了非加強不可的時候，否則將影響到我國重要的生產設施的安全。
　　
　　本文根據工業控制系統安全防護的特點，提出了對工業控制系統進行分層、分域、分等級，構建“三層架構，二層防護”的工業控制系統安全體系架構思想;通過分析工業控制系統面臨的風險，對作為工業控制系統安全防護的核心產品工業控制系統安全管理平臺功能進行了說明。工控系統安全管理平臺，不僅是實現工業控制系統終端安全的產品，也是監控工業控制系統IT基礎實施和操作行為的平臺。
?