近日，中关村可信计算产业联盟公示“主动免疫可信计算创新发展三十年成果评选表彰”结果，云天安全解决方案“基于安全域和白名单进行访问控制的工业互联网防御系统”，经过5场专家评审、1场媒体评审及网上公开投票，最终荣获联盟“2022年度首届安全可信优秀解决方案”荣誉。

中关村可信计算产业联盟是国内可信计算领域知名团体，由中国电子信息产业集团、中国信息安全研究院等60家单位发起，不断推动着可信计算技术、产品研发及产业化发展。

为落实《网络安全法》、国家等级保护制度和国家关键信息基础设施保护条例要求，进一步促进可信计算产业生态快速发展，加快安全可信的产品和服务推广应用，在中关村可信计算产业联盟成立八周年之际，可信联盟特举办首届“安全可信解决方案”评选表彰活动。活动旨在推进可信计算产业结构的优化升级，全面提高可信计算领域的自主创新能力，扩大可信计算产业联盟的社会知名度和行业影响力。

基于安全域和白名单进行访问控制的工业互联网防御系统

工业控制系统广泛运用于石油、石化、冶金、电力、燃气、煤矿、烟草以及市政等领域，用于控制关键生产设备的运行。工控系统本身有着通信协议种类繁杂、厂家众多，安全验证机制缺失或不完善、面临的攻击种类和方法更加灵活多样，很多高级持续攻击APT更加难以防御。因此，采用可信安全加解密和白名单技术的工业防火墙能有效规避工控网络脆弱性风险，保证生产的安全有序进行，降低工控网络攻击所带来的各种损失，确保企业工业控制系统的正常运行。

工业防火墙基于安全域进行访问控制，设备在同一安全区域内部发生的数据流动是可信的，不需要实施任何安全策略；只有当不同安全区域之间发生数据流动时，才会触发防火墙的安全检查，并实施相应的安全策略。工业防火墙通过内置可信密码模块（TCM），将加密技术与防火墙技术进行融合，构建一整套具有加密机制的防火墙系统。采用“过滤子网”形式，具备“堡垒主机+双路由”的结构，拥有较好的安全性能。

功能服务：

工业防火墙支持基于五元组、MAC 地址和时间定义包过滤安全策略，基于状态检测技术的访问控制。

支持VLAN，802.3ad 链路聚合，冗余接口等，也可支持SANT 和DNAT。

支持AAA 身份认证及传输国密算法加密，基于三权分立的管理员角色的管理，可以根据管理角色的不同，分配不同的权限和时限，并分为修改、只读两类权限。

支持多级CA 签发的证书（USB-KEY，X509 格式）进行管理认证及授权。

支持工控入侵检测和防御，IPS 特征库内置7000 多种攻击特征，并支持特征库更新。

支持防病毒检测支持扫描HTTP、FTP、HTTPS、POP3、IMAP 等协议中的病毒，阻断办公网病毒攻击向工控网传播。

支持溢出类攻击、暴力破解类攻击、Webshell类攻击、分布式拒绝服务攻击等多种攻击防御。

支持深度内容检测，基于数据包特征精准识别，支持多种工控协议的报文深度解析，以及值域级粒度的控制；支持多达30种常用工控协议的识别和1000种工控协议漏洞特征库。

支持报文格式检查、功能码控制、动态端口识别、寄存器控制，连接状态控制等的检测。对正常工控协议的通信行为建立模型，以此作为可信白名单防护基线，保障业务正常运行的同时阻止、异常攻击行为。

此次获得中关村可信计算产业联盟“首届安全可信优秀解决方案”殊荣，是对云天安全在可信计算领域能力的肯定。未来，云天安全将继续深耕于工控安全领域和可信计算领域，不断推动核心技术攻关突破，用优秀的产品、服务和解决方案保障用户网络安全，为客户创造更大的价值，为国家工业网络安全和信息化建设提供保障。

来源：云天网络空间安全