如何構建數控機床網絡安全體系？

數控機床網絡安全體 系的構建需從安全基線管理、網絡邊界防護措施部署和數控機床內生 安全等方面進行考慮，來保證數控機床及網絡的保密性、可用性和完 整性。

1.開展數控機床網絡安全基線管理

根據生產環境場景建立數控機床網絡安全基線。一方面，明確數 控機床網絡安全基線具體內容，建立安全基線更新機制。企業梳理自 身數控機床應用場景及技術特點，根據安全基線實施安全防護，包括 消除弱密碼、安全配置加固、去除不必要的介質接口等。另一方面， 開展數控機床網絡安全風險評估和漏洞管理。定期對數控機床網絡架 構、管理主機、控制協議等開展全方位安全評估，發現安全風險隱患， 一旦發現安全漏洞，及時選擇安全補丁或升級組件。

2.加強數控網絡邊界防護

分析數控網絡的組網特點，根據 IEC62443-3-3 等標準中的網絡 區域劃分原則，將數控網絡劃分為合理安全區域，采用分層分域，縱 深防御的策略進行網絡安全防護。一方面，對企業信息 系統與 DNC 系統進行分層、分域，建立安全緩沖區，生產網絡與管 理網絡、研發網絡連接采用網閘、光閘進行強隔離；生產網絡進行內 部的分區分域，區域間應采用工業防火墻實現邏輯隔離，并建立白名 單，實現基于白名單的訪問控制。另一方面，采用數據防泄漏、深度 協議數據包解析等邊界安全防護技術針對數據采集和交換過程中的 數據泄露、病毒入侵以及異常行為進行告警，并對各類安全威脅進行 監控，從而為數控網絡提供全方位的監測、過濾、報警和阻斷能力。

3.加強數控主機安全防護

通過安裝工業主機端點側安全監測、防護軟件，對數控主機進行 有效防護，包括操作系統加固、病毒防護、惡意行為監測等。一方面， 針對數控網絡中 DNC、MES、PDM、CAM、CAPP 等服務器及終端 主機部署安全防護軟件，從端點側加強針對勒索病毒等安全防護，防 止病毒傳播、對惡意代碼進行有效地消除。另一方面，通過對數控主 機文件、目錄、進程、注冊表和服務的強制訪問控制。 采用“三權分立”的管理機制，有效制約和分散原有系統管理員的權 限，并結合文件和服務的完整性檢測、防緩沖區溢出等功能，將普通 操作系統透明提升為安全操作系統，增強數控主機的安全性。

4.完善數控機床網絡資產管理和安全監測審計

建設數控機床網絡資產管理機制，開展安全監測和審計，及時發 現異常資產及網絡安全威脅。一是梳理數控機床生產環境的網絡資產， 建立資產臺賬，定期探測梳理資產現狀及數據流轉和處理節點，識別 和發現異常資產，對未知設備接入等異常行為及時發現并處置。二是 采用入侵檢測、全流量檢測、安全審計等方式監測數控機床生產環境， 發現惡意行為和惡意代碼，對數控機床生產環境行為進行審計，協助 事后分析取證溯源。三是通過態勢感知等技術手段，匯集流量側、端 點側、日志側等數據，進行關聯分析和深度安全監測、研判和應急響 應，并實現數控機床網絡安全集中管理。

5.可信計算技術提高數控機床內生安全

面對數控機床聯網開放、互通互聯可能帶來的安全威脅，可以通 過可信計算技術實現數控機床的內生安全[3]。一方面，數控機床在主 機層面支持“硬件級部件（安全芯片或安全固件）”作為系統信任根，建立從系統到應用的信任鏈，實現從設備加電到應用加載過程的安全 啟動和運行，從根本上解決工業互聯網可信、可控、可靠等方面的問 題。另一方面，在系統運行過程中，實時監視數控系統內關鍵進程、 模塊、可執行代碼、關鍵數據結構等，對進程的資源訪問行為進行實 時度量和控制，依據動態的可信性對發生變化的度量對象依據策略采 取報警、終止運行、更新度量預期值等措施，從而確保數控系統運行 狀態的可信。

6.打造數控機床安全綜合防護體系

針對數控機床所面臨未知網絡威脅的持續性、組合性、跨域性和 定向性等特點，逐一應對解決傳統被動防護難以應對利用邏輯缺陷的 攻擊等問題。一方面，對數控機床安全關鍵技術的聯合攻關和創新， 打造集事前預警、事中感知防御、事后審查等功能于一體的“數控機 床安全增強防護設備”體系。實現防護思路由被動“封堵查殺”到主 動免疫防御的轉變，建立了云、邊、端的內生安全防護架構，確保設 備、系統、網絡的可靠性、穩定性，有效提升制造企業生產網絡的整 體安全性。另一方面，建設覆蓋設備、主機、網絡、數據的數控機床 綜合防護體系，建立事前身份認證、加密，事中感知、防御，事后審 計、追溯等多路徑閉環的安全防護體系，提升數控機床領域的整體安 全能力。