江苏泰州西门子中国授权总代理商

深层防御信息安全结构的示例

由于标准化、开放性和联网的不断发展，过程控制系统的信息安全风险显著上升。破坏性程序或由未授权人员的访问引起的潜在危险包括：网络过载或故障、密码和数据被盗及对过程自动化的未授权干预。除了财物损坏，目标的破坏可能还会对人员或环境带来危险。

通过为 simatic pcs 7开发的信息安全方案，可针对各种危险为过程控制系统提供全面保护。西门子可为您提供所需的附加服务，包括信息安全评估、信息安全实施和运行中的信息安全管理（详细信息，请见摴こ畔踩駭部分）。

simatic pcs 7 安全性方案

手册《pcs 7 和 wincc (basic) 信息安全方案》中以及其它文档中详细介绍的 simatic pcs 7信息安全方案提供了大量建议（佳做法），用于以深层防御信息安全架构为基础为过程工厂提供保护。该方法不会限制只能采用一种安全方法（如加密）或设备（如防火墙），

这种全盘方案的优点在于工厂网络中大量信息安全措施的相互作用：

将工厂划分为若干安全单元，形成具有深层防御安全机制的网络架构

设计

在系统方面，simatic pcs 7 支持通过以下方式实现信息安全方案的指导和建议：

可与下列防病毒软件的新版本兼容：trend micro officescan、symantec norton antivirus 和mcafee virusscan

使用本地 windows 防火墙

在安装过程中自动设置安全相关的参数，如 dcom、注册表和 windows 防火墙

通过 simatic logon 进行操作员管理和认证（有关详细信息，请参阅“simatic logon”一节)

具有集成安全功能（防火墙、vpn）的 cp 1628 通信模块可作为实现 simatic pcs 7工业工作站的工业以太网连接的一种替代方法

scalance s602、s612、s623 和 s627-2m 工业信息安全模块的集成

自动化防火墙

应用程序白名单

cp1628 通信模块

cp1628 通信模块

cp 1628 是自身带有微处理器和集成式 2 端口交换机（2 个 rj45 接口， mbit/s）的 pci express 卡(pcie x1)，用于将 simatic pcs 7 工作站连接至工业以太网。

与类似的 cp 1623 相比，它具有一些附加功能：

利用状态检测防火墙，基于其 ip/端口地址来过滤连接

通过限制带宽来避免通信过载

通过 ipsec 隧道上的虚拟专用网进行安全通信

可以将网络分析信息安全传输到网络管理系统 (snmp v3)

安全的时间传输 (ntp v3)

通过日志文件进行监控，并使用系统日志服务器进行分析

通过内置的安全机制，cp 1628 可以保护自动化网络中的 pcs 7站及其数据通信以及通过互联网进行的远程访问。它可以实现对由安全模块加以保护的各个站或整个自动化单元进行安全访问。也可以将不同的安全措施（如防火墙和ipsec 隧道上 vpn）进行组合。

有关 cp 1628 通信模块的详细信息和技术规格，请参见产品目录 ik pi中“工业以太网”部分中“系统实用工具”下面的“编程器/pc/ipc 的系统连接”。