某市煙草物流中心工控安全建設項目

結合某市煙草物流中心網絡現狀，梳理工控網絡安全風險如下：生產控制網與企業管理網互聯互通，在實現物流分揀業務自動化的同時，也將企業管理網絡中的安全風險（如掃描嗅探、入侵攻擊、病毒等）帶入生產控制網絡。分揀線PLC控制器缺乏安全保護，易受錯誤指令及異常流量攻擊風險，造成生產安全事件發生。工控系統網絡缺乏必要的安全監測與審計手段，安全風險和安全事件無法預警、定位及追溯。根據對某市煙草物流分揀系統及工控系統的安全風險與漏洞分析，對該網絡系統提出如下安全整改設計：

在生產控制網與企業管理網的邊界串行部署工業網閘設備，借助基于私有協議的數據擺渡和業務白名單的安全策略，實現網絡隔離與業務流量單向傳輸，保障工控網絡免受源自互聯網的攻擊威脅。

在重要PLC系統前部署工控防火墻，進行專項安全防護與細粒度的工控指令控制。

針對上位機終端操作系統老舊、漏洞頻發的問題，通過部署工控主機衛士產品，進行基于白名單機制的主機進程、外設、應用程序的行為管控。

新建運維管理區，部署工控監測審計系統、工控漏洞掃描系統及工控態勢感知平臺，對工控網絡進行實時安全監測、定期漏洞掃描與安全設備集中管控，達到全網安全態勢可查、可管、可審、可控的安全要求。