ICS 25.040                                                                    -                 .

N ¹⁰                                             SI

—L B .⅝............ ɔ

中华人民共和国国家标准

GB/T 38847—2020

智能工厂

工业控制异常监测工具技术要求

Intelligence factory—

TeChnkal requrements for industrial control abnormal monitoring instrument

2020-07-21 发布

国家市场监督管理总同专布 国家标准化管理委员会发布

目 次

前言

引言

1 范围

2规范性引用文件

3 术语、定义和缩略语

4工业控制异常监测工具的部署

5工业控制异常监测工具等级划分

5.1技术要求分级

5.2技术要求分类

6技术要求

6.1 基本级

6.2增强级

附录A （规范性附录）环境适应性要求

本标准按照GB/T 1.1-2009给出的规则起草。

本标准由中国机械工业联合会提出。

本标准由全国工业过程测量控制和自动化标准化技术委员会(SAC/TC 124)归口 _O

本标准起草单位：启明星辰信息技术集团股份有限公司、机械工业仪器仪表综合技术经济研究所、 中国石油天然气股份有限公司规划总院、北京中油瑞飞信息技术有限责任公司、中车戚墅堰机车有限公 司、中国科学院沈阳自动化研究所、北京市自来水集团有限责任公司、重庆信安网络安全等级测评有限 公司、上海自动化仪表有限公司、中国网络安全审查技术与认证中心、国家工业信息安全发展研究中心。

本标准主要起草人:孟雅辉、许涛、王玉敏、和曦、杜兰、尚文利、张晨艳、张为群、包伟华、甘杰夫、 张哲宇、赵剑明、刘志远、董朋、原真、马俊闯、尚羽佳、王静、周学良、单博、蒋浩然、陈春雨。

随着工业化与信息化的深度融合，来自信息网络的安全威胁正逐步对工业控制系统造成极大的安 全威胁，传统的工业控制异常监测工具在面对工业控制系统的安全监测时因不能识别工业控制系统专 用协议、对工业控制系统异常特征分析不足，显得力不从心，因此急需要一种能应用于智能工厂中的工 业控制异常监测工具对异常行为进行监测和报警。

应用于智能工厂的工业控制异常监测工具与传统工业控制异常监测工具的主要差异体现在：

a） 智能工厂的工业控制异常监测工具是专门针对工业控制系统的检测系统，支持十几种主流工 控协议的深度解析，内置特有的工控网络检测策略；可检测利用工控设备漏洞对工控网络的多 种入侵攻击；

b） 智能工厂的工业控制异常监测工具采用工业级全密闭硬件设计，环境适应能力强；

C）智能工厂的工业控制异常监测工具满足工业现场要求的高可靠性和稳定性等需求_O

智能工厂

工业控制异常监测工具技术要求

1范围

本标准规定了智能工厂的工业控制异常监测工具（以下简称：监测工具）的部署、等级划分和技术 要求。

本标准适用于工业控制异常监测工具的设计、开发与测试。          <X

2规范性引用文件                          Xr

下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文 件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

GB/T 2423.5—2019 环境试验 第2部分:试验方法 试验Ea和导则：冲击

GB/T 2423.10环境试验 第2部分：试验方法 试验Fc ：振动（正弦）

GB/T 4208—2017外壳防护等级（IP代码）

GB 4824工业、科学和医疗（ISM）射频设备骚扰特性限值和测量方法

GB/T 4857.20包装运输包装件碰撞试验方法

GB/T 4857.23—2012包装运输包装件基本试验第23部分：随机振动试验方法

GB/T 9254信息技术设备的无线电骚扰限值和测量方法

GB/T 13729—2019远动终端设备

GB/T15153.1

GB/T17214.4

GB/T 17626.2

GB/T 17626.3

GB/T 176?Rl

GB/T 17626.5

GB/T 17626.6

GB/T 17626.8

GB/T 17626.10

GB/T 17626.11

3术语、定义和缩略语

下列术语和定义适用于本文件。

3.1术语和定义 3 . 1 . 1

工业控制异常监测工具 industrial COntrOl abnormal HIOnitOring instrument

以工业控制网络上的数据包作为数据源，监听所保护网络内的所有数据包并进行分析,发现针对工 业控制系统的网络入侵、病毒、流量异常等异常行为的系统。

3 . 1 . 2

探测器SenSOr

用于收集可能指示出入侵行为或者滥用信息系统资源的实时事件，并对收集到的信息进行初步分 析的入侵检测系统组件。

[GB/T 20275-2013,定义 3.6]

3.2缩略语

下列缩略语适用于本文件。

DCS：集散控制系统(DiStribUted ControI SyStem)

PLC：可编程序控制器(PrOgrammable LOgiC Controller)

RTU：远程终端单元(RemOte Ter_mmaI Unit)

4工业控制异常监测工具的部署

监测工具是以旁路监测工业控制系统网络，抓取网络流量，发现异常行为并报警。图1是将监测工 具旁路部署在工业网络交换机的镜像口上，工业控制系统业主根据工业网络交换机情况，酌情考虑部 署。对于工具的环境适应性要求见附录A_O t^r

中央监控计算机实时数据库服务器历史数据库服务器

^DCS          PLC       数据机床      ^RTU

图1工业控制异常监测工具部署示例

5工业控制异常监测工具等级划分 5.1技术要求分级

按照GB/T 20275-2013有关要求，结合工业控制系统需求，将技术要求分为基本级和增强级。

表1 （续）

表2工业控制异常监测工具产品安全要求等级划分

6技术要求

6.1基本级

6.1.1产品功能要求

6.1.1.1数据探测功能要求

6.1.1.1.1数据收集

应具有实时获取受保护网段内的数据包的能力。获取的数据包应足以进行检测分析。

6.1.1.1.2协议分析

至少应监视基于以下协议的事件：IP、ICMP、ARP、RlP、TCP、UDP、HTTP、FTP、TFTP、SNMP、 TELNET_O

包含但不限于MOdBUS TCP、OPC、DNP3、Enternet/IP或行业的专有协议等工业控制协议事件的 检测。

6.1.1.1.3入侵行为监测

应监测包括但不限于：暴力破解、拒绝服务攻击、工业协议脆弱性攻击、安全扫描、蠕虫病毒、脆弱口 令、木马后门攻击、缓冲区溢出攻击等。

6.1.1.2异常分析功能要求

6. 1. 1 . 2 . 1 数据分析

应对收集的数据包进行分析，发现6.1.1.1.3中所述入侵行为。

6.1.1.2.2分析方式

应以协议深度分析、流量分析、模式匹配、入侵行为建模分析等一种或多种方式进行入侵异常分析。

6.1.1.2.3防躲避能力

应能发现工控协议躲避或欺骗检测的行为，如IP碎片重组、TCP流重组、协议端口重定位、URL 字符串变形、Shell代码变形、隧道协议、隐蔽通道传输等。

6.1.1.2.4网络违规行为分析

发现内部违规的网络行为，包括但不限于网络内非授权的新设备、非授权启用服务/端口、正常服务 的停用、违规网络访问，违规VPN接入、违规的拨号网络、违规的远程管理。

6.1.1.3异常响应功能要求

6.1.1.3.1安全告警

当系统检测到入侵异常时，应自动采取相应动作以发出安全警告。

6. 1. 1 . 3 . 2 告警方式

告警可以采取监测工具计算机端监控界面实时提示、日志记录等方式。

6.1.1.3.3排除响应

应允许用户定义对被检测网段中指定的主机或特定的事件不予告警，降低误报。

6.1.1.3.4定制响应

应允许用户对被检测网段中指定的主机或特定的事件定制不同的响应方式，以对特定的事件突出 告警。

6.1.1.4管理控制功能要求

6.1.1.4.1图形界面

应提供友好的用户界面用于管理、配置工业控制异常监测工具。管理配置界面应包含配置和管理

产品所需的所有功能。                         ×∖

6.1.1.4.2事件数据库

Λλ'∖∣

事件数据库应包括事件定义和分析、处理建议等。

6.1.1.4.3事件分级

应按照事件的严重程度将事件分级，并报告给管理员。

6.1.1.4.4策略配置

应提供方便、快捷的监测工具策略配置方法和手段。

6.1.1.4.5产品升级

应具有及时更新、升级产品和事件库的能力。

6.1.1.4.6 统一升级

应提供对系统的事件库进行统一升级的功能。

6.1.1.5检测结果处理要求

6.1.1.5.1事件记录

应记录并保存检测到的入侵事件。入侵事件信息应至少包含以下内容：事件发生时间、源地址、目 的地址、危害等级、事件详细描述以及解决方案建议等。

6.1.1.5.2事件可视化

用户应能通过管理端界面实时清晰地查看入侵事件。

6.1.1.5.3报告生成

应能生成详细的检测结果报告。

6.1.1.5.4报告查阅

用户可自定义查询条件在管理端浏览检测结果。

6.1.1.5.5报告输出

检测结果报告应可输出成方便用户阅读的文本格式，包括word、HTML、PDF等。

6.1.1.5.6安全运维管理

应具备管理功能，具体技术要求如下：

a） 管理安全

1） 支持对授权管理员的口令鉴别方式，且口令设置满足安全要求；

2） 应在所有授权管理员、主机和用户请求执行任何操作之前，对每个授权管理员、主机和用 户进行唯一的身份鉴别；

3） 应为每一个规定的授权管理员、主机和用户提供一套唯一的为执行安全策略所必需的安 全属性。

b） 管理方式

1） 应支持通过COnSoIe端口进行本地管理；

2） 应支持通过网络接口进行远程管理，并可限定可进行远程管理的网络接口 ；

3） 远程管理过程中，管理端与监测工具之间的所有通讯数据应加密传输，例如https方式。

C）管理能力

1） 向授权管理员提供设置和修改安全管理相关的数据参数的功能；

2） 向授权管理员提供设置、查询和修改各种安全策略的功能；

3） 向授权管理员提供管理审计日志的功能。

6.1.1.5.7安全审计

应具备安全审计功能，具体技术要求如下：

a） 记录事件类型

1） 被监测工具策略允许、禁止的访问请求；

2） 试图登录监测工具管理端口和管理身份鉴别请求；

3） 检测到的异常行为。

b） 日志内容

1） 数据包发生的时间，日期应包括年、月、日，时间应包括时、分、秒；

2） 数据包的协议类型、源地址、目标地址、源端口和目标端口等；

3） 攻击事件的详细描述。

C） 日志管理

1） 应只允许日志管理员访问日志；

2） 日志管理员应能够对日志进行存档、删除和清空；

3） 应提供能查阅日志的工具，具备对审计事件以时间、日期、主体ID、客体ID等条件检索的 能力，并且只允许授权管理员使用查阅工具；

4） 应支持对日志的统计分析和生成报表的功能；

5） 审计事件应存储于掉电非易失性存储介质中，且在存储空间达到阈值时至少能够形成报 警通知管理员。

6.1.1.6产品灵活性要求

应支持授权管理员修改和定制报告内容。

6.1.2产品安全要求

6.1.2.1身份鉴别

6.1.2.1.1用户鉴别

应在用户执行任何与安全功能相关的操作之前对用户身份进行鉴别。应提供用户身份标识唯一和 鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用。

6.1.2.1.2鉴别失败的处理

当用户鉴别尝试失败连续达到指定次数后，系统应锁定该账号，并将有关信息生成审计事件。最多 失败次数仅由授权管理员设定。

6.1.2.2用户管理

应设置多个角色，并赋予不同的权限，包括系统管理员、操作员、审计员，并应保证每一个用户标识 是全局唯一的。

6.1.2.3事件数据安全

应仅限于指定的授权角色访问事件数据，禁止其他用户对事件数据的操作。

6.1.2.4数据保护

应在遭受攻击时，能够完整保存事件数据，并保留已经记录的事件数据。

6.1.2.5通信安全

6.1.2.5.1通信完整性

应确保各组件之间传输的数据（如配置和控制信息、告警和事件数据等）不被泄露或篡改。

6.1.2.5.2通信稳定性

应采取点到点协议等保证通信稳定性的方法，保证各部件和管理端之间传递的信息不因网络故障 而丢失。

6.1.2.5.3升级安全

应确保事件库和版本升级时的通信安全，应确保升级包是由开发商提供的。

6.1.2.6产品自身安全

应采取隐藏探测器IP地址等措施使自身在网络上不可见，以降低被攻击的可能性。

6.1.3产品保证要求

产品保证要求应满足GB/T 20275-2013中6.2.3安全保证要求。

6.1.4产品性能要求

产品性能要求应满足GB/T 20275-2013中6.2.1.7性能要求_O

6.2增强级

6.2.1产品功能要求

6.2.1.1数据探测功能要求

6.2.1.1.1工业协议异常行为监测

应建立业务流量上下限的基线，以发现背离基线的峰、谷业务流量。

应检测异常特点时间段内重放的业务流量。

应能针对网络业务系统的安全规定和措施，制定出对应的安全检测规则，对业务系统的异常行为进 行监测，发现业务网络中的违规行为，避免内部的安全风险。

应能对可疑加密传输检测、隐藏信道检测、可疑木马通信、常规行为中不常见的未知突发网络行为 进行监测。

系统支持至少一种工业控制协议的异常行为监测，例如MOdBUS TCP、IEC 608705104、OPC、 DNP3、Ethernet/IP 等。

6.2.1.1.2网络流量监测

应监视整个网络或者某一特定协议JP地址、MAC地址、端口的报文方向、标记位、流量和字节流 量，并可按协议JP地址、MAC地址、端口、标记位进行聚类分析,TOP N分析。

应监视整个网络或者某一特定协议、地址、端口的报文流量和字节流量。

6.2.1.1.3病毒监测

应能检测网络中的木马、蠕虫等病毒，并将相关事件信息进行展示。

6.2.1.2异常分析功能要求

6.2.1.2.1网络异常行为分析

应能发现包括但不限于网络扫描、设备的异常访问关系、异常访问流量、异常指令、可疑加密流量等 异常行为。

6.2.1.2.2网络拓扑自动梳理

应支持自动发现各网段的活跃IP,并将梳理发现的各网段绘制成网络拓扑图。

6.2.1.2.3检测规则管理

应支持检测规则按照各检测场景进行分类，方便检测规则的查看与配置操作。

6.2.1.2.4事件合并

应具有对高频度发生的相同安全事件进行合并告警，避免出现告警风暴的能力。

6.2.1.2.5事件关联

应具有把不同的事件关联起来，发现低危害事件中隐含的高危害攻击的能力。

6.2.1.2.6基于流量的高级分析

应能检测网络暴力破解口令行为_O

应能检测慢速扫描行为。

6.2.1.2.7异常行为溯源

应能对攻击事件及异常行为等线索进行追溯跟踪，生成相互关联的报警事件的攻击路线，实现对攻 击事件及异常行为的溯源。

6.2.1.2.8工控漏洞入侵行为检测

应支持利用已知工控设备漏洞的入侵攻击行为检测，支持利用厂商设备漏洞的入侵攻击行为检测。

6.2.1.3异常响应功能要求

6.2.1.3.1全局预警

应具有全局预警功能，管理端可在设定全局预警的策略后，将局部出现的重大安全事件通知其上级 工业控制异常监测工具管理端或者下级工业控制异常监测工具管理端。

6.2.1.3.2异常管理

应具有全局安全事件的管理能力，可与安全管理中心或网络管理中心进行联动。

6.2.1.4管理控制功能要求

6.2.1.4.1分布式部署

应具有本地或异地分布式部署、远程管理的能力。

6.2.1.4.2集中管理

应设置异常监测管控平台，对分布式、多级部署的监测工具进行统一集中管理，形成多级管理结构。

• 6.2.1.4.3  端口分离

探测器应配备不同的端口分别用于产品管理和网络数据监听。

6.2.1.5产品灵活性要求

6.2.1.5.1 窗口定义

应支持用户自定义窗口显示的内容和显示方式。

6.2.1.5.2事件定义

应允许授权管理员自定义事件，或者对开发商提供的事件作修改，并应提供方便、快捷的定义方法。

• 6.2.1.5.3  协议定义

除支持默认的网络协议集外，还应允许授权管理员定义新的协议，或对协议的端口进行重新定位。

• 6.2.1.5.4  通用接口

应提供对外的通用接口，以便与其他安全设备（如网络安全管理软件、防火墙等）共享信息或规范化 联动。

6.2.2产品安全要求

6.2.2.1身份鉴别

6.2.2.1.1多鉴别机制

应提供多种鉴别方式，或者允许授权管理员执行自定义的鉴别措施，以实现多重身份鉴别措施。多 鉴别机制应同时使用。

6.2.2.1.2鉴别数据保护

应保护鉴别数据不被未授权查阅和修改。

6.2.2.2用户管理

应仅限于已识别的指定授权角色可以对指定的安全属性进行查询、修改、删除、改变其默认值等 操作。

6.2.2.3事件数据安全

系统应在发生事件数据存储器空间将耗尽等情况时，自动产生告警。产生告警的剩余存储空间大 小应由用户设定。

6.2.3安全保证要求

产品保证要求应满足GB/T 20275-2013中6.3.3安全保证要求。

6.2.4产品性能要求

产品性能要求应满足GB/T 20275-2013中6.3.1.7性能要求_O

附录A

（规范性附录） 环境适应性要求

A. 1概述

环境适应性要求主要包括气候、电磁兼容、绝缘、接地、机械适应性、外壳防护等。每一项又有各自 的具体要求。应根据设备实际部署环境的不同，由用户和设备制造商确定具体应满足的要求。

A.2 工作温度

表A.1规定了设备工作、贮存和运输温度条件。设备在规定的工作温度范围内工作时，其功能和 性能应满足本标准的规定。在规定的温度范围内贮存和运输时，不应发生裂痕、老化或其他损坏；当经 受该温度范围后再恢复到工作温度范围时，设备应能正常工作。

应用于温度快速变化场合的设备在经受不超过50 °C∕mιn的温度变化时应能正常工作。

表A.1温度条件

X是一个开放等级，具体温度要求范围可根据设备实际应用环境与客户协商确定。

A.3 相对湿度

设备在表A.2规定的相对湿度环境条件下应能正常工作_O

表A.2相对湿度条件（无凝结）

A.4大气压力

设备工作大气压力条件见表A.3。

表A.3大气压力条件

A.5防腐蚀

设备工作在盐雾环境条件下或存在其他化学活性物质，应提供工业环境中抗腐蚀和侵蚀的能力，保 证设备在表A.4、表A.5规定的环境条件下能够长期使用。

表A.4盐雾

表A.5化学活性物质条件

A.6抗霉变

设备工作在潮湿多雨地区和霉菌滋生环境下不应发生霉变，并能够正常工作。

A.7电磁兼容性

电磁兼容辐射和传导发射限值按GB 4824为CLASS A,电磁兼容抗扰度的性能判据要求 见表A.6。

同时，设备应满足工业环境中的电磁兼容性要求，具体技术指标见表A.7〜表A.26。

表A.6性能判据

表A.7辐射发射及传导发射要求

表A.8外壳端口静电放电抗扰度要求

表A.9整机射频电磁场辐射抗扰度要求

X是一个开放等级，具体电磁兼容性能力要求可根据设备实际应用环境与客户协商确定。

表A.10电源端口及信号端口电快速瞬变脉冲群抗扰度要求

表A.11信号端口浪涌（冲击）抗扰度要求

表A.12直流电源输入端口浪涌（冲击）抗扰度要求

表A.13交流电源输入端口浪涌（冲击）抗扰度要求

表A.14电源端口及信号端口射频场感应的传导骚扰抗扰度要求

表A.15整机工频磁场抗扰度要求

表A.16整机阻尼振荡磁场抗扰度要求

表A.17电源端口阻尼振荡波抗扰度要求

表A.18振铃波抗扰度要求

表A.19电源口 OHz〜150 HZ共模传导骚扰抗扰度要求

表A.20交流电源输入端口电压暂降抗扰度要求

表A.21交流电源输入端口短时中断抗扰度要求

表A.22交流电源输入端口电压变化抗扰度要求

表A.23直流电源输入端口纹波抗扰度要求

表A.24直流电源输入端口电压暂降抗扰度要求

表A.25直流电源输入端口短时中断抗扰度要求

表A.26直流电源输入端口电压变化抗扰度要求

A.8绝缘性能

A.8.1绝缘电阻

设备的绝缘电阻要求见表A.27_o

表A.27绝缘电阻要求

A.8.2绝缘耐压

设备的绝缘耐压要求见表A.28_o

表A.28绝缘耐压要求

A.8.3泄漏电流

设备工作时对保护接地端的泄漏电流应不大于5 mA。

A.9接地

设备应具有接地端子及标记，标记应具耐久性且易识别，接地直流电阻不大于IO mΩ₀

A.10机械适应性

设备应提供工业环境中的机械适应性能力，具体技术要求见表A.29_o

表A.29机械适应性要求

A. 11外壳防护

设备的外壳防护等级由制造商和用户协商确定，防护等级宜从表A.3O规定的范围内选择_O

表A.30外壳防护等级表