需求背景
烟草行业在生产系统与物流分拣系统中大量使用了由工控设备和工控协议构成的工业控制网络系统，在两化融合的大趋势下，行业中的工控网络与办公网络互联互通是必然之势。两化融合在极大地提升了生产效率和管理便利性的同时，也带来了一系列安全问题。一方面，互联网上的各类型攻击可通过两网连接节点渗透入工控网络，这对自身安全防护能力较弱的工控网络系统来说几乎是灭顶之灾；另一方面，工业控制网络内部存在的上位机，如各类工程师站、操作员站还在使用老旧的Windows系统，且无法升级更新，安全建设严重滞后的工控网络内部存在大量漏洞，极易成为各类型病毒及恶意程序攻击的目标。
解决方案
方案设计采用专业技术结合管理制度要求，针对工控网络业务特点进行专项安全防护。基于管理网与生产网连接需求，且其交互流量多为监测、分析类业务，不参与生产的实时控制。
- 在管理网与生产网边界部署工控网闸设备，实现两网之间应用流量的单向流入，从源头杜绝互联网攻击事件发生。
- 在各重要PLC系统边界部署工控防火墙，针对流入PLC系统的流量及工控指令进行专项检测与过滤。
- 在各上位机（工程师站、操作员站等终端）上部署工控主机卫士软件，通过应用程序白名单功能，对各类设备从外围连接、进程监控、可执行程序运行、移动存储设备使用等多维度进行全方位监管和保护，防止未授权可执行程序带来的安全隐患。
- 新建运维管理区，部署工控监测审计系统、工控漏洞扫描系统及工控态势感知平台，对整网进行实时安全监测、定期漏洞扫描与安全设备集中管控，达到全网安全态势可查、可管、可审、可控的安全要求。
客户价值
两网隔离，受控交互
生产网与办公网强隔离，网间流量单向转发，最大限度保障了工控网络的整网安全。
全网监控，安全可视
实时监测全网流量，及时发现各类攻击流量与异常操作行为，并提供可视化的安全威胁视图，将威胁止步于最初阶段。
漏洞预警，风险预知
定时扫描生产网内工控设备，及时发现存在漏洞与安全脆弱性的工控设备与资产，为后续专项整改及防护提供支撑。
统一管控，简化运维
统一监控管理生产网内各类工控与安全设备的运行状态及安全事件，从整体层面感知网络安全态势，同时也进一步降低了安全运维成本与技术门槛。
成功案例
相关解决方案
金融机构等级保护
融合行业业务特点，构建金融等保三级安全防护体系
政务云安全解决方案
软件定义安全，为政务云构建多层次的纵深主动防御体系
金融机构安全运营中心
构建“管理+技术+服务”三位一体的安全大脑
金融机构数据安全治理
基于数据全生命周期进行体系化数据安全能力建设
企业网络安全规划建设
从关键问题出发，逐步落实企业网络安全整体规划建设
基层医疗卫生机构超融合
基于超融合技术架构进行基层医疗机构数据中心建设
