自来水厂SCADA登录还是账号密码等保三级整改工控双因素认证怎么落一次等保检查水厂SCADA被点了名某水务集团做等保三级整改安全测评走到生产控制区时检查结果让信息化部门有点尴尬水厂 SCADA 操作员站登录还是账号密码几个班组共用一个账号组态软件、HMI 操作没有审计日志出了误操作说不清是谁干的泵站、加药间的远程启停靠的是固定密码测评整改意见很明确生产控制区需要双因素认证 审计。问题来了——水厂 SCADA 不是办公室系统工控环境的认证落地和普通业务系统完全是两回事。水厂SCADA工控环境先看清三座山特殊性具体表现对认证的影响断网运行生产控制网与外网隔离甚至内网都半隔离认证不能依赖在线验证/云端老旧设备操作员站不少是 Win7/工控机组态软件版本旧现代认证客户端装不上长会话操作员盯屏数小时频繁认证不现实会话保持要有策略这三座山决定了照搬办公网的短信验证码或在线 OTP到水厂 SCADA大概率上线第一天就出事故——断网时设备登不上就是生产事故。等保三级对SCADA的要求逐条对等保三级检查点要求SCADA场景对照身份鉴别双因素认证操作员站登录升级双因素访问控制按角色授权、权限分离取消共用账号一人一账号安全审计关键操作可追溯操作日志绑定到人数据完整性重要数据防篡改生产数据加密防篡改数据保密性重要数据加密存储水厂生产库透明加密核心就一句话操作员身份要能定位到人、登录要双因素、操作要可审计。这三件事在工控环境怎么落地下面展开。双因素认证落地UKEY 口令断网也能验水厂 SCADA 的双因素适合的形态是UKEY 硬件钥匙 口令# 操作员站登录双因素策略 mfa_policy: factor: UKEY 口令 offline_allowed: true # 断网离线令牌生产网适配 identity_source: AD/LDAP # 对接既有身份源 session_keep: 8小时 # 工控长会话保持 audit: 每次认证写入审计日志绑定到人关键配置项是offline_allowed。水厂生产网通常是物理隔离的如果认证依赖在线验证一旦网络抖动操作员就登不上操作站——这是工控环境不能接受的事故。所以认证要在终端本地完成UKEY 里存证书/密钥登录时本地签名验签断网照常验证。操作员站接入方式是终端安全代理接管登录老旧系统走旁路代理、零改造接入——不用改组态软件不用重装系统。排错工控认证的四道坎这是实际落地时最容易翻车的地方。坎一断网离线令牌OTP 对不上。离线动态口令依赖设备时钟工控机长期不校时时钟漂移几分钟后 OTP 就对不上操作员被锁在门外。排查先看工控机系统时间与认证服务器偏差生产网无法连公网 NTP 时在网内架一台 NTP 服务器统一校时。坎二老旧操作员站认证客户端装不上。Win7 老工控机、权限受限、组态软件独占桌面。排查给老站走旁路代理把认证放在代理层做操作站本身零改动新站才上终端代理。坎三工控长会话认证频繁把操作员惹毛。操作员盯屏几小时每隔 15 分钟弹一次认证会引发抵触甚至有人想办法绕过。排查会话保持按工控习惯配置如 8 小时关键操作启停、设参做二次口令确认即可不是全程反复认证。坎四UKEY 拔走/PIN 连续错账号锁死。工控环境多人共用一台站UKEY 管理要跟上。排查PIN 连续错误锁定后用挑战码解锁流程要提前发给班组UKEY 集中登记、责任到人。生产网隔离 数据加密别漏了双因素解决谁在操作还有两件事要一起做生产网与管理网隔离。水厂生产控制网与办公/管理网之间要边界防护SCADA 采集通道不直连管理网。远程运维进生产网也要走 VPN/堡垒机 双因素而不是把端口裸奔在公网。生产数据加密。水质、压力、流量监测数据落库加密防篡改、防拖库-- 水质监测表启用透明加密SM4在线不停机 EXEC tde_enable_table_encryption database_name water_plant, table_name t_water_quality, encryption_algorithm SM4_256, key_id tde_wq_key, rotation_interval_days 90, mode online;加密密钥统一由密钥管理平台管90 天自动轮换根密钥进硬件密码机永不导出。验收四条能当场拿出的证据验收项怎么验操作员登录双因素抽审计日志操作站登录均带 UKEY/PIN 认证记录断网可用拔掉生产网网线操作员站仍能离线登录一人一账号共用账号清零登录绑定到具体操作员数据加密无授权直查水质表输出密文水厂 SCADA 的等保三级整改难点不在要不要双因素而在工控环境下双因素怎么不断网、不上老旧站、不打扰长会话地落下去。断网离线令牌 老旧系统旁路接入 会话保持策略加上生产网隔离和数据加密才是完整的工控认证整改。安当 ASP 统一身份认证、SLA 终端安全代理、TDE 数据库加密、KSP 密钥管理可支持水厂 SCADA 这类工控环境的认证与数据安全整改。文章作者安当加密技术负责人 自来水厂SCADA登录还是账号密码？等保三级整改，工控双因素认证怎么落
自来水厂SCADA登录还是账号密码等保三级整改工控双因素认证怎么落一次等保检查水厂SCADA被点了名某水务集团做等保三级整改安全测评走到生产控制区时检查结果让信息化部门有点尴尬水厂 SCADA 操作员站登录还是账号密码几个班组共用一个账号组态软件、HMI 操作没有审计日志出了误操作说不清是谁干的泵站、加药间的远程启停靠的是固定密码测评整改意见很明确生产控制区需要双因素认证 审计。问题来了——水厂 SCADA 不是办公室系统工控环境的认证落地和普通业务系统完全是两回事。水厂SCADA工控环境先看清三座山特殊性具体表现对认证的影响断网运行生产控制网与外网隔离甚至内网都半隔离认证不能依赖在线验证/云端老旧设备操作员站不少是 Win7/工控机组态软件版本旧现代认证客户端装不上长会话操作员盯屏数小时频繁认证不现实会话保持要有策略这三座山决定了照搬办公网的短信验证码或在线 OTP到水厂 SCADA大概率上线第一天就出事故——断网时设备登不上就是生产事故。等保三级对SCADA的要求逐条对等保三级检查点要求SCADA场景对照身份鉴别双因素认证操作员站登录升级双因素访问控制按角色授权、权限分离取消共用账号一人一账号安全审计关键操作可追溯操作日志绑定到人数据完整性重要数据防篡改生产数据加密防篡改数据保密性重要数据加密存储水厂生产库透明加密核心就一句话操作员身份要能定位到人、登录要双因素、操作要可审计。这三件事在工控环境怎么落地下面展开。双因素认证落地UKEY 口令断网也能验水厂 SCADA 的双因素适合的形态是UKEY 硬件钥匙 口令# 操作员站登录双因素策略 mfa_policy: factor: UKEY 口令 offline_allowed: true # 断网离线令牌生产网适配 identity_source: AD/LDAP # 对接既有身份源 session_keep: 8小时 # 工控长会话保持 audit: 每次认证写入审计日志绑定到人关键配置项是offline_allowed。水厂生产网通常是物理隔离的如果认证依赖在线验证一旦网络抖动操作员就登不上操作站——这是工控环境不能接受的事故。所以认证要在终端本地完成UKEY 里存证书/密钥登录时本地签名验签断网照常验证。操作员站接入方式是终端安全代理接管登录老旧系统走旁路代理、零改造接入——不用改组态软件不用重装系统。排错工控认证的四道坎这是实际落地时最容易翻车的地方。坎一断网离线令牌OTP 对不上。离线动态口令依赖设备时钟工控机长期不校时时钟漂移几分钟后 OTP 就对不上操作员被锁在门外。排查先看工控机系统时间与认证服务器偏差生产网无法连公网 NTP 时在网内架一台 NTP 服务器统一校时。坎二老旧操作员站认证客户端装不上。Win7 老工控机、权限受限、组态软件独占桌面。排查给老站走旁路代理把认证放在代理层做操作站本身零改动新站才上终端代理。坎三工控长会话认证频繁把操作员惹毛。操作员盯屏几小时每隔 15 分钟弹一次认证会引发抵触甚至有人想办法绕过。排查会话保持按工控习惯配置如 8 小时关键操作启停、设参做二次口令确认即可不是全程反复认证。坎四UKEY 拔走/PIN 连续错账号锁死。工控环境多人共用一台站UKEY 管理要跟上。排查PIN 连续错误锁定后用挑战码解锁流程要提前发给班组UKEY 集中登记、责任到人。生产网隔离 数据加密别漏了双因素解决谁在操作还有两件事要一起做生产网与管理网隔离。水厂生产控制网与办公/管理网之间要边界防护SCADA 采集通道不直连管理网。远程运维进生产网也要走 VPN/堡垒机 双因素而不是把端口裸奔在公网。生产数据加密。水质、压力、流量监测数据落库加密防篡改、防拖库-- 水质监测表启用透明加密SM4在线不停机 EXEC tde_enable_table_encryption database_name water_plant, table_name t_water_quality, encryption_algorithm SM4_256, key_id tde_wq_key, rotation_interval_days 90, mode online;加密密钥统一由密钥管理平台管90 天自动轮换根密钥进硬件密码机永不导出。验收四条能当场拿出的证据验收项怎么验操作员登录双因素抽审计日志操作站登录均带 UKEY/PIN 认证记录断网可用拔掉生产网网线操作员站仍能离线登录一人一账号共用账号清零登录绑定到具体操作员数据加密无授权直查水质表输出密文水厂 SCADA 的等保三级整改难点不在要不要双因素而在工控环境下双因素怎么不断网、不上老旧站、不打扰长会话地落下去。断网离线令牌 老旧系统旁路接入 会话保持策略加上生产网隔离和数据加密才是完整的工控认证整改。安当 ASP 统一身份认证、SLA 终端安全代理、TDE 数据库加密、KSP 密钥管理可支持水厂 SCADA 这类工控环境的认证与数据安全整改。文章作者安当加密技术负责人