《【精编】如何提高自动化控制系统安全及管理水平培训课件》由会员分享，可在线阅读，更多相关《【精编】如何提高自动化控制系统安全及管理水平培训课件（35页珍藏版）》请在金锄头文库上搜索。
1、如何提高自动化控制系统安全及管理水平 多重的安全威胁 误操作 未授权的操作 未授权的访问 拒绝服务攻击 窃贼 未授权的远程访问 自然或人为灾害 破坏活动 蠕虫和病毒 安全来自纵深式的防御 3 网络安全架构 4 推荐的架构 不推荐的架构 2层到3层交换功能对应从简单到复杂网络应用高级安全功能从工厂到企业网络的集成 技术 产品 高级的交换 路由及安全特性对自动控制及IT部门提供通用的工具维护简便 面向运维及IT应用 面向自动控制的需求 网络安全工具 Stratix 系列交换机的优点 网络安全工具 Stratix5900 含2层及3层安全功能路由器 提供路由及2层及3层安全服务路由器 防火墙虚拟私有
2、网络 VPN 网络地址转换 NAT 访问控制列表 ACL 入侵防止系统 IPS 端口 1GigabitWAN端口4FastEthernet端口工业标准 DIN导轨安装使用于厂级站点间连接 单元区域的防火墙及OEM设备的通讯集成 New 7 Enterprise wideBusinessSystems Levels4 5 DataCenterEnterpriseZone Level3 SiteOperationsIndustrialZone PhysicalorVirtualizedServersFactoryTalkApplicationServers ServicesPlatformNetw
3、orkServices e g DNS AD DHCP AAARemoteAccessServer RAS CallManagerStorageArray Levels0 2Cell AreaZones Level3 5 IDMZ RemoteSite 1 LocalCell AreaZone 1 LocalOEMSkid Machine 1 Plant wideSite wideOperationSystems Site to SiteConnection 网络安全工具 Stratix5900 含2层及3层安全功能路由器 系统管理员可以管理用户帐户WindowsFactoryTalk用户组自
4、定义用户组及角色Windows用户组计算机计算机组系统策略产品策略产品操作控制器安全控制器区域 8 应用层安全工具 FactoryTalkSecurity 用户帐户创建 9 Fred usernameandPW FactoryTalk系统安全策略 10 Fred s PWexpiresin30days 分配用户组或角色 11 Fred isanEngineer 分配产品权限 12 Fred canuseLogix5000 分配角色或用户组的允许权限 13 EngineerscanModifyAOI s 资源分配到应用区域 14 Finally Fred isanEngineerwhocanMo
5、difyAOI sonallcontrollersin Area2 PC 2 15 15 PC 1 Logix5000Project FactoryTalkServices SecurityAuthority SecurityAdministration Logix5000Project FactoryTalkServices SecurityAdministration ID 795D5EF 12 ID A73R5CG 89 ID 795D5EF 12 SecurityAuthority ID 795D5EF 12 EtherNet IP ID sMatch ID sDon tMatch 应
6、用层安全工具 FactoryTalkSecurity 在LogixControllers中使用FactoryTalkSecurity安全认证号码 SAID 使用FactoryTalkServicesPlatformSR5和RSLogix5000V20 以及更高版本 配置Logix控制器时 在要求所有用户在访问控制器前必须通过一个FactoryTalk目录来认证权限安全认证号码存储在工程文件中 可以保护离线文件 16 当 SecurityAuthorityIDrequired 使能后 访问前需要登录 使用FactoryTalk目录服务来启用安全功能 SAID备份 使用FactoryTalk管理控
7、制台 安全认证号码可以被 加密来保护备份允许多个FactoryTalk目录使用同一个ID可以用来替换v20版停用的CPU加密功能 TheSecurityAuthorityIdentifierlookslikethis 17 限制通讯卡槽 Copyright 2011RockwellAutomation Inc Allrightsreserved 19 数据访问控制 用户可以设置外部数据访问权限 读 写 只读及无权限在RSLogix5000及Logix控制器需要建立信任连接确保只能通过RSLogix5000修改标签属性谁能修改属性由FactoryTalkSecurity来控制用户还可以把标签定义
8、为常数 常数不能被控制器逻辑程序修改 20 FactoryTalkViewSE安全 FactoryTalkViewSE安全可以被应用到 画面 21 FactoryTalkViewSE安全 FactoryTalkViewSE安全可以被应用到 画面对象 22 FactoryTalkViewSE安全 FactoryTalkViewSE安全可以被应用到 画面对象项目应用 ControlLogix 实时修改监测 ControlLogixV20或更高版本支持实时修改监测功能可以通过控制器修改日志获得监测信息可以通过事件日志生成活动报告可以监测到恶意修改可以选择发送信息到监测服务器 23 控制器实时修改监测
9、 每个LogixPAC 开放一个修改监测数值当影响到控制器运行的行为被监测到时 这个值会自动改变该监测值可以通过RSLogix 5000和Studio5000LogixDesigner 访问 其它软件或应用可以通过Message指令访问可以组态什么事件被监测 24 控制器实时修改监测 监测值被记录到每个控制器的日志中 FactoryTalk AssetCentre Version4 1 可以从控制器日志中读取该监测值 25 Copyright 2011RockwellAutomation Inc Allrightsreserved FactoryTalk AssetCentre监测功能 26
10、集中记录与控制系统的交互信息 Copyright 2009RockwellAutomation Inc Allrightsreserved FactoryTalkAssetCentre软件 具备一套针对资产集中管理工具 用于安全的集中管理您的自动化设备对控制系统的安全访问追踪用户操作提供备份及恢复操作的组态管理设备组态配置文件配置过程仪表管理设备整定可扩展的设计允许功能及设备数量的扩展提供从小型生产线到工厂范围的解决方案低入门费用 概念设计及证明测试 版本控制 源文件控制 集中存储文件 组态 程序 SOPs CAD 和其他文件自动的版本控制维护单一主文件关系 当维护主文件时允许他人获得程序拷贝
11、 FactoryTalkAssetCentre容灾备份功能 定期自动备份设备组态选择和特定备份版本比较差异最新版本指定版本当差异监测到后自动创建新版本在事件数据库中自动生成差异报告并发送邮件 容灾备份选项 RockwellAutomation设备Logix5000设备以及SLC 500 PLC 5PanelViewPlus Standard以及Enhanced变频器远程计算机文件或文件夹通用FTP设备文件或文件夹 SiemensS7400和300系列控制器TCP IP协议SiemensS5100系列TCP IP协议FanucRobotsRJ3和RJ3i控制器MotomanRobotsXRC和N
12、X 100控制器ABBRobotsIRC5和S4C robot控制器 FactoryTalkAssetCentre监测及事件记录 提供监测信息集中存储服务 如 FactoryTalk应用 RSLogix5 500 5000系列控制器 监测及事件信息包含记录时间 当前时间 用户 设备 计算机以及操作信息实现系统集中诊断管理 FactoryTalkAssetCentre监测及改动报告 通过FactoryTalkAssetCentre检索事件监测归档历史文件y定期或立即生成报告定期以Email形式发送报告 Examples检索某一资产故障以前4个小时的修改记录检索上个月某个用户修改了什么文件检索上载
13、任务失败的记录检索每个班次做过的数据强制及程序空行来改善厂级的安全 32 FactoryTalkAssetCentre仪表管理 智能仪表组态 PDC 实现集中监测及组态多个仪表供应商的智能仪表设备 减少整体维护以及现场工作时间仪表整定可以通过整定计划 整定报告及整定追踪等功能高效的管理过程仪表 Copyright 2009RockwellAutomation Inc Allrightsreserved 应用案例 例子 某酿酒厂某个人修改了加油系统的时间 从原来的20分钟改为8个小时 公司没有任何关于什么时候修改的记录 结果该修改造成了被加油系统的停机 造成了 101 000的损失 15K从德国
14、发来部件 2天收到 11K 安装人力 3天机械安装 75K 停机损失解决方案这个酿酒厂采用了FactoryTalkAssetCentre用于控制系统修改检查 通过FactoryTalkAssetCentre 该厂建立了用户管理机制防止未授权的修改 FactoryTalkAssetCentre提供了检查记录功能 可以得到什么人在什么地点对控制系统作了什么修改的记录 FactoryTalkAssetCentre部署架构 MicrosoftSQLServer2005Standard或2008R2安装FactoryTalkAssetCentre数据库FactoryTalkAssetCentreServer管理系统操作FactoryTalk目录 安全通用RockwellAutomation安全管理 FactoryTalkAssetCentreClient允许用户配置和使用系统 查看记录事件及执行其他相关任务FactoryTalkAssetCentreAgent执行特定类型任务的程序
