19.大数据.工控.移动互联等保建设

本节继续讲云物大工移剩下的三个系统：大数据、工业控制系统、移动互联系统。这些本身我自己也没有实际接触过，感觉都比较虚。

大数据安全扩展要求

这块要求虽然说是扩展要求，但是在标准中是以附录的形式出现的，也就是这块不是强制要求。大数据等级保护安全技术体系设计，从大数据应用安全、大数据支持环境安全、访问安全、数据传输安全及管理安全等角度出发，围绕数据产生、存储、使用、销毁整个生命周期，构建大数据安全防护技术设计框架。

要求小类	二级控制点数量	三级控制点数量
安全物理环境	1	1
安全通信网络	1	2
安全区域边界	0	0
安全计算环境	7	14
安全管理中心	0	4
安全管理制度	0	0
安全管理机构	0	0
安全管理人员	0	0
安全建设管理	2	3
安全运维管理	1	4
合计	12	24

大数据系统等级保护安全技术设计框架

下图来自百度

根据这个框架可以从以下几个方面开展大数据系统的等保建设。
大数据业务安全：对采集、预处理、存储、处理及应用等大数据业务采用适合的安全防护技术，保障大数据应用的安全。
大数据应用支持环境安全：对大数据应用的计算基础设施、数据组织与分布应用软件、计算与分析应用软件等各层面，采用适合的安全防护技术及监管措施，保障大数据应用支撑环境的安全。
区域边界安全：采用适合的网络安全防护技术，保障网络访问安全、接口安全等。通信网络安全：对采集数据和用户数据的网络传输进行安全防护，保障数据传输过程的完整性和保密性不受破坏。
安全管理中心：对系统管理、安全管理和审计管理实行统一管理。

工业控制系统相关概念

定义：工业控制系统简称ICS（Industrial Control System），是由各种自动化控制组件和实时数据采集、监测的过程控制组件共同构成，用于监测和控制工业生产过程，确保工业设备正常运行。
分类：监控和数据采集系统SCADA（Supervisory Control And Data Acquisition），分布式控制系统DCS（Distributed Control System）、可编程逻辑控制器PLC（Programmable Logic Controller）、分布式数据机床DNC（Distributed Numerical Control)）
工控典型架构如下图所示：

工控的安全主要集中在上面三层。

工业控制系统安全扩展要求

工业控制系统安全扩展要求章节针对工业控制系统的特点提出特殊保护要求。对工业控制系统主要增加的内容包括“室外控制设备防护”、“工业控制系统网络架构安全”、“拨号使用控制”、“无线使用控制”和“控制设备安全”等方面。

要求小类	二级控制点数量	三级控制点数量
安全物理环境	2	2
安全通信网络	4	4
安全区域边界	5	8
安全计算环境	2	5
安全管理中心	0	4
安全管理制度	0	0
安全管理机构	0	0
安全管理人员	0	0
安全建设管理	2	2
安全运维管理	0	0
合计	15	21

将为0的类去掉可得：

1. 安全物理环境
   新增了对室外控制设备的放置要求，外置箱体或装置本身应具有透风、散热、防盗、防雨和防火能力等；
   对极端环境下的室外控制设备，要求及时做好应急处置及检修，保证设备正常运行。
2. 安全通信网络
   明确了工业控制系统与企业其他系统的单向隔离要求；
   新增了安全域划分要求，实时控制和数据传输部分应独立组网，并与其他网络物理隔离；
   新增了工业控制系统使用广域网进行控制指令或相关数据交换，要求采用加密认证技术。
3. 安全区域边界
   明确了工业控制系统与企业其他系统的访问控制要求，禁止E-Mail、Web、Telnet、Remote login、FTP等穿过边界；
   明确了边界防护失效时要及时报警；
   明确了拨号访问服务可根据实际情况限制使用，需要采取相应的安全措施；
   增加了无线使用要求，能够识别和报告经授权的无线设备。
4. 安全计算环境
   明确了控制设备的安全要求，条件受限时应由其上位控制或管理设备满足；明确了对漏洞的修补需充分测试，更新不应影响系统运行；
   新增了对驱动、接口、多余网口的关闭和拆除要求，保留的应严格监控；
   新增了控制设备更新条件要求；
   新增了控制设备上线前安全检测要求。

从以上要求可以看出，工控安全相对于网络安全（保密性、完整性、可靠性）而言，更加注重系统的可靠性、完整性、保密性（顺序不一样）：
在不利条件下维护生产系统功能正常可用。
确保信息实时下发传递。
防范外部、内部的网络攻击。
保护工控系统免受病毒等恶意代码的侵袭。
避免工控系统遭受有意无意的违规操作。
安全事件发生后能迅速定位找出问题根源。

移动互联安全

移动互联系统的发展跟IPv6发展密切相关，IPV6是移动互联的基础，并正在向协议层访问控制深度开发。IPV6庞大的地址空间正好能满足移动市场的需求，能更简单、更直接的部署移动IPv6，因此移动互联网络要针对IPV6报文结构中引入的新字段、IPv6协议族中引入的新协议可能存在漏洞，被利用发起DoS、嗅探、地址欺骗等攻击。目前已证实存在的攻击风险包括：

攻击方式	攻击结果	防范措施
扩展头攻击	扩展头无限制，易受DOS攻击，消耗资源措施	可在防火墙上限制扩展头的数量和同一类型扩展头实例数目
分片攻击	利用首包逃避防火墙安全检测；产生大量分片，消耗资源措施	设备上设置合理的分片长度、数量
ICMPv6攻击	DDoS攻击、反射攻击	防火墙配置ACL白名单、关闭ICMPV6重定向
组播安全	冒充组播源，攻击组播成员；发送大量无效组播报告，浪费组播转发资源。	进行MLD报文发送者认证
路由协议攻击	路由欺骗、非法路由获取	部署端到端的IPsec；禁止非法路由接入网络

移动互联扩展要求

移动互联安全扩展要求章节针对移动互联的特点提出特殊保护要求。对移动互联环境主要增加的内容包括“无线接入点的物理位置”、“移动终端管控”、“移动应用管控"、“移动应用软件采购”和“移动应用软件开发”等方面。

要求小类	二级控制点数量	三级控制点数量
安全物理环境	1	1
安全通信网络	0	0
安全区域边界	7	8
安全计算环境	2	5
安全管理中心	0	0
安全管理制度	0	0
安全管理机构	0	0
安全管理人员	0	0
安全建设管理	4	4
安全运维管理	0	1
合计	14	19

去掉为0的项目后，大概变成：
物理环境安全：环境安全、媒体安全、设备安全。
通信环境安全：传输安全、访问控制、安全检测、审计监控、备份恢复、反病毒、过渡安全、共性安全、协议安全（后面三个是针对IPv6的）。
计算环境安全：访问控制、入侵检测、反病毒、用户鉴权、传输安全、存储安全、内容审计。