工控机加固解决方案

行业背景

随着国家战略部署高效推进,工业信息安全应用已成为其重要支撑,构建面向智能工厂“工业网络安全防护体系已迫在眉睫。针对典型业务场景,围绕制造流程,进行分层级安全防护，形成全覆盖的工控安全防护网,完成多手段工控安全直接防护,同时结合大数据分析,动态分析网络安全态势,做好安全预昏,实现间接防护，最终建成自感知、自调整工业网络安全防护体系,促进智能制造产业可靠发展。

需求分析

一、工业主机存在的漏洞，病毒感染的载体，或作为跳板向下攻击的一个生产系统。

二、工业网络边缘安全防护不足，工业网络成为病毒传播的通道。

三、工业控制设备存在的脆弱性，成为病毒攻击的对象或感染的载体。

四、工业的数据保护不到位,被篡改、被窃取、被加密锁定。

解决方案

苏州深信达研发的深信达赛博锁系统软件CBS为各种智能终端提供安全方案，高性能加密芯片(CBS-ECPlus)是深信达公司针对平台和边缘计算智能终端的特点研发的数据安全保护模块，通过在设备中植入该软/硬加密芯片，实现平台和智能终端的许可管理、防抄板、防破解、数据加密和防病毒入侵的终端安全。

 CBS-ECPlus贴片形式                                 CBS-ECPlus加密狗形式   

CBS加密芯片的核心功能：

1．CBS加密芯片增强模块概要

深信达CBS加密芯片增强模块是使用加密芯片的ID、密钥和算法，借助业务系统CPU的运算能力，通过容器技术，对加密芯片的处理能力进行放大，让业务程序及其算法的所有逻辑代码都在受保护的安全容器中运行，实现算法及其代码以及可执行模块的安全，不但防抄板，也能防止反编译破解，还能防篡改和黑客攻击。

CBS加密芯片增强模块是对加密芯片处理能力进行放大，核心功能有：加密容器、可信系统、场景白名单、数据保护以及原有加密芯片的密钥管理等基本功能。

2．CBS加密芯片增强模块主要功能

CBS-S加密芯片增强模块通过容器技术，使用加密芯片产品的密钥在系统内生成一个唯一的、加密的容器，让业务系统在容器内运行，数据保存在容器内，容器对外隔离，内部可信，数据加密，确保系统安全，防止被抄板和逆向分析。

1)加密容器

系统启动时通过加密芯片的密钥，加密生成容器，并让业务程序在容器内运行，业务数据保存在容器内，容器对外隔离，外面接触不到容器内的程序文件和数据文件。接触不到可执行文件实体，自然没法逆向分析，容器密钥来源于加密芯片，没法复制和抄板。

2)可信系统

容器内通过内核级签名CA校验技术, 对容器内系统应用做签名认证，实现未经签名的进程或签名不一致的进程（伪造进程）无法运行，杜绝病毒，木马的运行，确保OS层安全。

3)场景白名单

容器内通过白名单设置，形成程序、文件关联的白名单场景，场景外的操作一律禁止运行，即使是系统管理员权限，一样严格限制。

4)文件防护

根据最小化权限原理设计，对容器内数据读写、修改、存储进行严格加密认证，只允许指定的业务应用程序读/写指定的文件，确保文件安全。

5.高效率加密算法

容器内提供基于加密芯片的高效率加密算法，加密算法运算完全借助系统主CPU进行，高效，即时。

3．使用CBS加密芯片增强模块的好处

CBS-S加密芯片增强模块的容器生成依赖加密芯片的密钥生成，具有不可复制的特性，具有一下好处：

1)加密容器唯一性

容器由加密芯片密钥生成，具有唯一性，不可复制。

2)所有务程序在加密容器内运行

容器是一个对外隔离，安全的机密计算环境，业务程序所有业务逻辑代码都能在容器内运行。

3)无需修改业务逻辑代码

业务程序开发完成后，不需要修改代码，不需要移植，不需要额外开发，直接放入容器中即可。

4)速度高效

由于容器内程序是借助主CPU运算能力进行处理的，所以速度非常高效。

5)整体防逆向工程

由于业务逻辑及算法程序都在容器内，容器对外隔离，外面接触不到业务程序实体文件和业务数据，故无法逆向分析。