工控网络安全管理平台

工控网络安全管理平台是一套为工控网络安全运维审计量身定做的集防火墙、运维审计、安全监管、网络安全管理为一体的管理平台。平台软硬件均可内嵌于工业交换机，开创了业界先河，平台具有小巧灵活、功能强大、操作简便、效率高、成本低廉等特点。拥有统一集中账号和密码管理、统一设备策略配置信息管理、一站式远程升级服务、定期安全设备自动巡查检测、快速准确的安全问题告警以及定期生成安全信息汇总报告等功能。

该平台主要是针对企业的设备众多且设备管理混乱无统一管理措施、设备维护升级不安全不方便、安全问题不能及时被发现、告警信息发送不及时以及出现安全问题不能被追溯等问题，提供了相关的解决方案。

具体功能模块如下：

一. 防火墙模块：

链路数据过滤：

采用检测模式，可对IP、MAC绑定、对IP、TCP、UDP、ICMP等三层协议过滤、对ARP、802.1q 等二层协议过滤；

攻击检测：

可对ICMP Flood、Ping of Deat、UDP Flood、Land、Tear Drop、SYN等攻击进行检测，支持SYN Cookie RST技术；

深度协议过滤：

支持二层、三层数十种工业协议转发；支持数十种工业协议深度分析、过滤，如OPC、Modbus、IEC 60870-5-104、IEC 61850 MMS、IEC 61850 GOOSE、DNP3、EnIP、CIP、Profinet、Siemens S7、OMRON FIN等；支持OPC动态端口打开；支持自定义协议过滤。

日志审计：

可与安全监管模块互动即时上传日志信息；支持自定义协议远程日志输出；支持标准Syslog日志输出；对连接行为、动态端口开启等操作进行详细记录审计；对非法报文内容进行报警处理并上传报文。

二. 安全监管模块：

日志收集：

收集专用格式日志；收集网络设备、服务器等日志；收集标准Syslog日志；多层缓冲机制应对大数据量日志。

日志分类：

可对不同类型的不同设备的不同事件进行归类存储，加快统计速度，事后快速定位问题节点；对于Syslog日志，系统支持自定义正则表达式对日志进行分类存储；提供Syslog日志类型、节点定义接口，网络设备日志维护方便。

关联查询：

提供多种条件组合查询，有效连接各种类型日志，形成一条完整的操作链，方便用户对网络行为进行分析取证。

节点管理：

系统自动识别日志内容形成相应节点，减少用户工作量；可以实时查看节点在线状态；节点可独立设置报警级别。

安全审计：

具有多种不同形式不同风格的图表统计功能，网络态势一目了然；报警、事件保存天数分开设置；应急预案功能应对突发事件；可针对具体事件编写解决方案，用户在遇到相应事件时即可参考处理；提供日志导入导出功能。

即时预警：

报警阈值控制灵活，可以细化到每一个节点不同设置，事件发生即报警。

报表功能：

提供报表功能，统计月度网络态势；统计高危事件、设备等功能。

三. 运维审计模块：

身份认证：

支持密码强度、密码有效期、口令尝试死锁、用户激活等安全管理功能；支持用户分组管理。

权限划分以及访问控制：

提供基于用户到资源的授权； 提供基于用户组到资源的授权； 提供基于用户到资源组的授权； 提供基于用户组到资源组的授权； 提供基于客户端地址、访问时间、访问时段的授权规则；提供登录时间限制策略；提供访问者IP地址限制策略；提供资源访问限制策略。

账户以及口令管理：

实现Windows、Unix系统、网络/安全设备帐号口令统一管理； 通过Telnet/SSH/RDP/VNC协议访问IT系统的自动登录功能； 提供Unix系统帐号的收集、过滤及管理功能； 提供Windows系统帐号录入及管理功能； 提供IT系统帐号到运维用户的分配功能。

资源管理：

提供IT系统的建立和维护功能； 可细分IT系统提供的不同服务； 支持资源组设置，以满足不同业务系统管理的需要。

运维操作：

支持通过Telnet/SSH协议对字符操作系统的运维操作； 支持通过RDP/VNC协议对图形操作系统的运维操作； 支持按资源组、资源名通配、IP过滤；可按资源名、IP、资源组等进行排序。

告警与阻断：

针对命令交互性协议提供敏感操作的设置； 阻断敏感操作； 告警支持邮件告警、审计平台告警； 阻断命令和强行中断会话在客户端有良好的提示。

操作审计：

针对存在敏感操作的会话进行标识，根据敏感操作级别采用不同颜色标识； 基于用户、客户端地址、资源、时间和操作关键字（RDP协议除外）等进行检索； 提供图形化会话回放功能，回放支持暂停、拖拉等功能，支持按时间进行定位回放； 针对命令交互式协议，支持逐条命令及其结果显示的审计方式，并能基于关键字进行检索；对运维过程中使用的命令、文件传输通道、剪切版操作提供内容记录文件； 提供运维操作统计，可支持根据时间、用户、资源、用户组、资源组进行运维操作的统计。

记录输出：

对图形协议审计记录提供高清H.264编码FLV格式视频输出；对字符协议审计记录提供Ttyrec格式视频输出；提供RDP剪切板操作内容文件记录输出；提供字符协议完整内容文本文件输出；提供SSH协议SFTP通道文件操作内容输出。

远程日志：

可与安全管理模块互动，进行即时日志输出；支持自定义协议远程日志输出；支持标准Syslog日志输出。

四. 网络安全管理模块

网络设备发现：

可自动或半自动搜索发现网络设备，并识别网络设备类型和厂商型号，并根据转发表和路由表等信息发现设备之间的连接关系。

网络设备监视：

可自动监视存活的网络设备的运行状态以及资源利用率等信息。

日志信息：

可与安全管理模块互动，即时给平台发送报警信息。