1、、执行器、控制器和控制室设备等）之间的数字串行多点双 向数据总线或通信链路。 利用现场总线技术不需要在控制器和每个现场设备之间点对点布线。 总线协议 是用来定义现场总线网络上的消息，每个消息标识了网络上特定的传感器。 3.19 可信保障trusted assurance 在信息系统的整个生命周期中，基于可信计算技术，实现在运算的同时进行安全防护，使计算结果 总是与预期一致，从而确保信息系统对病毒、入侵的主动免疫。 4 缩略语 下列缩略语适用于本标准。 ICS 工业控制系统（Industrial Control System） DCS 分布式控制系统（Distributed Control Sy
2、stem） SCADA 数据采集与监视控制系统（Supervisory Control And Data Acquisition system） PLC 可编程逻辑控制器（Programmable Logic Controller） 5 网络安全等级保护安全技术设计概述 5.1 通用等级保护安全技术设计框架 GB/T 25070XXXX 4 网络安全等级保护安全技术设计包括各级系统安全保护环境的设计及其安全互联的设计，如图1所 示。各级系统安全保护环境由相应级别的安全计算环境、安全区域边界、安全通信网络和（或）安全管 理中心组成。定级系统互联由安全互联部件和跨定级系统安全管理中心组成。 第一级
3、系统 安全保护环境 第 一 级 安 全 通 信 网 络 第 一 级 安 全 区 域 边 界 第 一 级 安 全 计 算 环 境 第二级系统 安全保护环境 第二级安全管理中心 第 二 级 安 全 通 信 网 络 第 二 级 安 全 区 域 边 界 第 二 级 安 全 计 算 环 境 第三级系统 安全保护环境 第三级安全管理中心 第 三 级 安 全 通 信 网 络 第 三 级 安 全 区 域 边 界 第 三 级 安 全 计 算 环 境 第四级系统 安全保护环境 第四级安全管理中心 第 四 级 安 全 通 信 网 络 第 四 级 安 全 区 域 边 界 第 四 级 安 全 计 算 环 境 第五级系统
4、 安全保护环境 第五级安全管理中心 第 五 级 安 全 通 信 网 络 第 五 级 安 全 区 域 边 界 第 五 级 安 全 计 算 环 境 定级系统互联 跨定级系统安全管理中心 / 安全互联部件 图1 网络安全等级保护安全技术设计框架 本标准第5章节以下， 对图1各个部分提出了相应的设计技术要求 （第五级网络安全保护环境的设计 要求除外） 。附录A给出了访问控制机制设计，附录B给出了第三级系统安全保护环境设计示例。 在对定级系统进行等级保护安全保护环境设计时， 可以结合系统自身业务需求， 将定级系统进一步 细化成不同的子系统，确定每个子系统的等级，对子系统进行安全保护环境的设计。 5.2
5、云计算等级保护安全技术设计框架 结合云计算功能分层框架和云计算安全特点，构建云计算安全设计防护技术框架，包括云用户层、 访问层、资源层、服务层、资源层、硬件设施层和管理层（跨层功能） 。其中一个中心指安全管理中心， 三重防护包括安全计算环境、安全区域边界和安全通信网络，具体如图2所示： GB/T 25070XXXX 5 图2 网络安全等级保护云计算安全防护技术框架 用户通过安全的通信网络以网络直接访问、 API接口访问和WEB服务访问等方式安全地访问云服务商 提供的安全计算环境， 其中用户终端自身的安全保障不在本部分范畴内。 安全计算环境包括资源层安全 和服务层安全。其中，资源层分为物理资源和
6、虚拟资源，需要明确物理资源安全设计技术要求和虚拟资 源安全设计要求，其中物理与环境安全不在本部分范畴内。服务层是对云服务商所提供服务的实现，包 含实现服务所需的软件组件，根据服务模式不同，云服务商和云服务客户承担的安全责任不同。服务层 安全设计需要明确云服务商控制的资源范围内的安全设计技术要求， 并且云服务商可以通过提供安全接 口和安全服务为云服务客户提供安全技术和安全防护能力。 云计算环境的系统管理、 安全管理和安全审 计由安全管理中心统一管控。 结合本框架对不同等级的云计算环境进行安全技术设计， 同时通过服务层 安全支持对不同等级云服务客户端（业务系统）的安全设计。 5.3 移动互联等级保
7、护安全技术设计框架 移动互联系统安全防护参考架构如下图，其中安全计算环境由核心业务域、DMZ域和远程接入域三 个安全域组成，安全区域边界由移动互联系统区域边界、移动终端区域边界、传统计算终端区域边界、 核心服务器区域边界、 DMZ区域边界组成， 安全通信网络由移动运营商或用户自己搭建的无线网络组成。 a)核心业务域 核心业务域是移动互联系统的核心区域，该区域由移动终端、传统计算终端和服务器构成，完成对 移动互联业务的处理、维护等。核心业务域应重点保障该域内服务器、计算终端和移动终端的操作系统 安全、应用安全、网络通信安全、设备接入安全。 b)DMZ域 DMZ域是移动互联系统的对外服务区域，部署
8、对外服务的服务器及应用，如Web服务器、数据库服务 器等，该区域和互联网相联，来自互联网的访问请求必须经过该区域中转才能访问核心业务域。DMZ域 应重点保障服务器操作系统及应用安全。 通信网络 移动互联 系统区域边界 核心业务域 DMZ域 传统计算终端区 核心服务器区移动终端区 服务器 VPN 移动终端区域边界传统计算终端区域边界核心服务器区域边界 远程接入域 图例： 计算环境 区域边界 通信网络 DMZ 区域 边界 安全管理 区 图3 移动互联系统安全防护参考架构 c)远程接入域 GB/T 25070XXXX 6 远程接入域由移动互联系统运营使用单位可控的，通过VPN等技术手段远程接入移动互
9、联系统运营 使用单位网络的移动终端组成，完成远程办公、应用系统管控等业务。远程接入域应重点保障远程移动 终端自身运行安全、接入移动互联应用系统安全和通信网络安全。 本标准将移动互联系统中的计算节点分为两类： 移动计算节点和传统计算节点。 移动计算节点主要 包括远程接入域和核心业务域中的移动终端， 传统计算节点主要包括核心业务域中的传统计算终端和服 务器等。传统计算节点及其边界安全设计可参考通用安全设计要求，下文提到的移动互联计算环境、区 域边界、通信网络的安全设计都是特指移动计算节点而言的。 5.4 物联网等级保护安全技术设计框架 结合物联网系统的特点，构建在安全管理中心支持下的安全计算环境、
10、安全区域边界、安全通信网 络三重防御体系。安全管理中心支持下的物联网系统安全保护设计框架如图4所示，物联网感知层和应 用层都由完成计算任务的计算环境和连接网络通信域的区域边界组成。 应用应用 服务服务 智 能 电 网 智 能 物 流 计算计算 资源资源 计算节点 基础设施 应用计算环境应用计算环境 感知计算环境感知计算环境 物体对象物体对象 计算节点计算节点 传感控制传感控制 安全通信网络 前 置 处 理 （ 安 全 边 界 ） 网 关 接 入 （ 安 全 边 界 ） 系统系统 安全安全 审计审计 安全管理中心安全管理中心 图4 物联网系统安全保护设计框架 a) 安全计算环境 包括物联网系统感
11、知层和应用层中对定级系统的信息进行存储、处理及实施安全策略的相关部件， 如感知设备、感知层网关、主机及主机应用等。 b) 安全区域边界 包括物联网系统安全计算环境边界， 以及安全计算环境与安全通信网络之间实现连接并实施安全策 略的相关部件，如感知层和网络层之间的边界、网络层和应用层之间的边界等。 c) 安全通信网络 包括物联网系统安全计算环境和安全区域之间进行信息传输及实施安全策略的相关部件， 如网络层 的通信网络以及感知层和应用层内部安全计算环境之间的通信网络等。 d) 安全管理中心 包括对物联网系统的安全策略及安全计算环境、 安全区域边界和安全通信网络上的安全机制实施统 一管理的平台，包括
12、系统管理、安全管理和审计管理三部分，只有第二级及第二级以上的安全保护环境 设计有安全管理中心。 5.5 工业控制等级保护安全技术设计框架 对于工业控制系统根据被保护对象业务性质分区， 针对功能层次技术特点实施的网络安全等级保护 GB/T 25070XXXX 7 设计，工业控制系统推荐的等级保护安全技术设计构建在安全管理中心支持下的计算环境、区域边界、 通信网络三重防御体系， 采用分层、 分区的架构， 结合工业控制系统总线协议复杂多样、 实时性要求强、 节点计算资源有限、设备可靠性要求高、故障恢复时间短、安全机制不能影响实时性等特点进行设计， 以实现可信、可控、可管的系统安全互联、区域边界安全防
13、护和计算环境安全。 工业控制系统分为 4 层， 即第 03 层为工业控制系统等级保护的范畴， 即为设计框架覆盖的区域； 横向上对工业控制系统进行安全区域的划分，根据工业控制系统中业务的重要性、实时性、业务的关联 性、对现场受控设备的影响程度以及功能范围、资产属性等，形成不同的安全防护区域，所有系统都必 须置于相应的安全区域内，具体分区以工业现场实际情况为准（本防护方案的分区为示例性分区，分区 方式包括但不限于：第 02 层组成一个安全区域、第 01 层组成一个安全区域、同层中有不同的安全 区域等） 。 分区原则根据业务系统或其功能模块的实时性、使用者、主要功能、设备使用场所、各业务系统间 的相
14、互关系、广域网通信方式以及对工业控制系统的影响程度等。对于额外的安全性和可靠性要求，在 主要的安全区还可以根据操作功能进一步划分成子区， 将设备划分成不同的区域可以帮助企业有效地建 立“纵深防御”策略。将具备相同功能和安全要求的各系统的控制功能划分成不同的安全区域，并按照 方便管理和控制为原则为各安全功能区域分配网段地址。 设计框架逐级增强，但防护类别相同，只是安全保护设计的强度不同。防护类别包括：安全计算环 境，包括工业控制系统 03 层中的信息进行存储、处理及实施安全策略的相关部件；安全区域边界， 包括安全计算环境边界，以及安全计算环境与安全通信网络之间实现连接并实施安全策略的相关部件；
15、安全通信网络， 包括安全计算环境和网络安全区域之间进行信息传输及实施安全策略的相关部件； 安全 管理中心， 包括对定级系统的安全策略及安全计算环境、 安全区域边界和安全通信网络上的安全机制实 施统一管理的平台，包括系统管理、安全管理和审计管理三部分。 第第2层层 计算环境计算环境 第第3层层 计算环境计算环境 第第4层层 企业经营管理层企业经营管理层 信息安全区域信息安全区域A 第第3层和第层和第4层之间通信网络层之间通信网络 第第2层和第层和第3层之间通信网络层之间通信网络 参见通用等级保护参见通用等级保护 安全设计技术要求安全设计技术要求 复杂工业控制复杂工业控制 系统等级保护系统等级保护
16、 安全通信网络安全通信网络 第第1层和第层和第2层层 之间通信网络之间通信网络 信息安全区域信息安全区域B 第第3层层 边界防护边界防护 第第2层层 边界防护边界防护 第第1层层 计算环境计算环境第第1层层 边界防护边界防护 第第0层层 计算环境计算环境第第0层层 边界防护边界防护 第第0层和第层和第1层层 之间通信网络之间通信网络 第第2层层 计算环境计算环境第第2层层 边界防护边界防护 安安 全全 管管 理理 中中 心心 系统 管理 安全 管理 审计 管理 第第1层和第层和第2层层 之间通信网络之间通信网络 注：（a）参照IEC 62443-1-1工业控制系统按照功能层次划分为第0层：现场
17、设备层，第1层：现场控制层，第2层：过程 监控层，第3层：生产管理层，第4层：企业资源层； （b）一个信息安全区域可以包括多个不同等级的子区域； （c）纵向上分区以工业现场实际情况为准（本防护方案的分区为示例性分区），分区方式包括但不限于：第02层 组成一个安全区域、第01层组成一个安全区域等。 第第1层层 计算环境计算环境 第第1层层 边界防护边界防护 第第0层层 计算环境计算环境 第第0层层 边界防护边界防护 信息安全区域信息安全区域B1 第第1层层 计算环境计算环境 第第1层层 边界防护边界防护 第第0层层 计算环境计算环境 第第0层层 边界防护边界防护 信息安全区域信息安全区域B2 区
18、域边界防护区域边界防护区域边界防护区域边界防护 区域边界防护区域边界防护区域边界防护区域边界防护 信息安全区域信息安全区域 之间通信网络之间通信网络 信息安全区域信息安全区域 之间通信网络之间通信网络 第第0层和第层和第1层层 之间通信网络之间通信网络 第第0层和第层和第1层层 之间通信网络之间通信网络 安全安全 管理管理 中心中心 边界边界 防护防护 GB/T 25070XXXX 8 图5 工业控制系统网络安全三重防御分区示意图 6 第一级系统安全保护环境设计 6.1 设计目标 第一级系统安全保护环境的设计目标是：按照GB 17859-1999对第一级系统的安全保护要求，实现 定级系统的自主
19、访问控制，使系统用户对其所属客体具有自我保护的能力。 6.2 设计策略 第一级系统安全保护环境的设计策略是： 遵循GB 17859-1999的4.1中相关要求， 以身份鉴别为基础， 提供用户和（或）用户组对文件及数据库表的自主访问控制，以实现用户与数据的隔离，使用户具备自 主安全保护的能力； 以包过滤手段提供区域边界保护； 以数据校验和恶意代码防范等手段提供数据和系 统的完整性保护。 第一级系统安全保护环境的设计通过第一级的安全计算环境、 安全区域边界以及安全通信网络的设 计加以实现。所有计算节点都应基于可信根实现开机到操作系统启动的可信验证。 6.3 设计技术要求 安全计算环境设计技术要求
20、第一级安全计算环境应从以下方面进行安全设计： 通用安全计算环境设计技术要求 a) 用户身份鉴别 应支持用户标识和用户鉴别。 在每一个用户注册到系统时， 采用用户名和用户标识符标识用户身份； 在每次用户登录系统时，采用口令鉴别机制进行用户身份鉴别，并对口令数据进行保护。 b) 自主访问控制 应在安全策略控制范围内，使用户/用户组对其创建的客体具有相应的访问操作权限，并能将这些 权限的部分或全部授予其他用户/用户组。 访问控制主体的粒度为用户/用户组级， 客体的粒度为文件或 数据库表级。访问操作包括对客体的创建、读、写、修改和删除等。 c) 用户数据完整性保护 可采用常规校验机制，检验存储的用户数据的完整性，以发现其完整性是否被破坏。 d) 恶意代码防范 应安装防恶意代码软件或配置具有相应安全功能的操作系统， 并定期进行升级和更新， 以防范和清 除恶意代码。 e) 可信验证 可基于可信根对计算节点的 BIOS、引导程序、操作系统内核等进行可信验证，并在检测到其可信 性受到破坏后进行报警。 云安全
