圖片太多了，複製不上來，懶得複製了！這是一份我暑假實訓的時候按要求出的一份安全防護方案的設計！原文檔我已上傳到了csdn，大家見鑒就好！
一、 背景概述 4
二、 工控系統信息安全需求 5
2.1工業控制系統和傳統IT系統差異化分析 5
2.2工業控制系統所面臨威脅分析 7
2.3工業控制系統安全需求分析 8
三、 工控系統信息安全防護體系設計 8
3.1工控系統信息安全防護體系設計目標 8
3.2工控系統信息安全防護體系設計原則 9
四、 基於工控系統的等保測評 9
4.1等保2.0測評體系 10
4.2工控系統等級保護測評 11
五、 工控系統信息安全解決方案 11
5.1工控系統三大安全體系架構設計 11
5.2工控系統信息安全三大防護體系 12
5.2.1工控系統安全風險評估體系 12
5.2.2工控系統安全技術體系 13
5.2.3工控系統安全管理體系 15
5.3工控系統安全產品體系 16
5.3.1工控系統安全防範產品 16
5.3.1.1工控防火牆 16
5.3.1.2工控安全隔離與信息交換系統 19
5.3.2工控系統安全運維審計產品 21
5.3.2.1工控日誌審計與分析系統 21
5.3.2.2工控安全運維管理系統 24
5.3.2.3工控網絡威脅感知系統 27
5.3.2.4工控入侵檢測系統 31
5.3.2.5工控漏洞掃描系統 34
5.3.3工控系統主機安全產品 36
5.3.3.1工控主機安全加固系統 36
5.3.4工控系統安全管理和容災產品 39
5.3.4.1工控統一安全管理平臺 39
六、本人安全設計思想的概述 42
一、背景概述
數據採集與監控（SCADA）、分佈式控制系統（DCS）、過程控制系統（PCS）、可編程邏輯控制器（PLC）等工業控制系統廣泛運用於工業、能源、交通、水利以及市政等領域，用於控制生產設備的運行。一旦工業控制系統信息安全出現漏洞，將對工業生產運行和國家經濟安全造成重大隱患。隨着計算機和網絡技術的發展，特別是信息化與工業化深度融合以及物聯網的快速發展，工業控制系統產品越來越多地採用通用協議、通用硬件和通用軟件，以各種方式與互聯網等公共網絡連接，病毒、木馬等威脅正在向工業控制系統擴散，工業控制系統信息安全問題日益突出。2010年發生的“震網”病毒事件，充分反映出工業控制系統信息安全面臨着嚴峻的形勢。與此同時，我國工業控制系統信息安全管理工作中仍存在不少問題，主要是對工業控制系統信息安全問題重視不夠，管理制度不健全，相關標準規範缺失，技術防護措施不到位，安全防護能力和應急處置能力不高等，威脅着工業生產安全和社會正常運轉。因此，各地區、各部門、各單位務必高度重視，增強風險意識、責任意識和緊迫感，切實加強工業控制系統信息安全管理。
目前使用分佈式控制系統(DCS)和可編程邏輯控制器(PLC)等數字化方式已經成爲化工行業生產過程控制的主要手段。雖然其能夠極大地提高生產效率,但是過程控制系統在近十年的發展中所呈現出的整體開放趨勢,尤其是在西方發達國家對國內工業控制核心技術壟斷環境下,以伊“震網病毒”造成的巨大破壞爲例,工控系統面臨的信息安全形勢愈發嚴峻。工業控制系統有許多區別於傳統IT系統的特點,包括不同的風險和優先級別,其中包括對人類健康和生命安全的重大風險,對環境的嚴重破壞。這將影響工業控制系統採用何種安全控制措施,制定和部署工控系統安全策略必須符合其本身技術和環境的具體要求與特點。文章基於化工行業工業控制系統信息安全防護的實際需求出發,參照信息安全等級保護的思想,以化工生產裝置的安全、穩定、可靠運行爲核心,綜合運用邊界防護、訪問控制、主機安全等技術手段,有效整合不同層面的安全技術,爲工控系統信息安全技術防護體系設計和建設標準的制定提供理論參考。所提出的針對工業控制系統有效的信息安全防護策略和標準在很多行業均具有極大的推廣價值,相關模式具有極強的可複製性,能夠產生顯著的經濟和社會價值。
工業控制系統信息安全事關經濟發展、社會穩定和國家安全。提升工業企業工業控制系統信息安全（以下簡稱工控安全）防護水平，保障工業控制系統安全，對國家乃至社會的發展具有重要意義。
二、工控信息安全需求
2.1工業控制系統和傳統IT系統差異化分析
對比項 工業控制系統ICS 傳統IT 系統
體系結構 主要由傳感器、PLC、RTU、DCS、 SCADA等設備及系統組成 通過互聯網協議組成的計算機網絡
操作系統 廣泛使用嵌入式系統Vxworks、uClinux、winCE等，並根據功能及
需求進行裁剪與定製 通用操作系統如 windows、linux
、UNIX等,功能強大
數據交換協議 專用的通信協議或規約(OPC、Modbus TCP、DNP3等),一般直接使用或作爲TCP/IP的應用層 TCP/IP協議棧
系統實時性 實時性要求高,不能停機或重啓 實時性要求不高,允許傳輸延遲,可停機或重啓
系統升級 兼容性差、軟硬件升級困難 兼容性好、軟件升級頻繁
設計初衷 可用性 機密性
傳統網絡安全技術不適合應用到工業控制系統
傳統it系統安全：機密性>完整性>可用性
工控系統安全：可用性>完整性>機密性
設備應用的基礎
方式 傳統IT網絡 工控系統網絡
防火牆 基於Tcp\ip協議 專用協議格式
入侵防禦檢測 允許存在誤報率 不允許存在誤報率
漏洞掃描 實施的補丁修復 修復困難
2.2工業控制系統所面臨風險分析
1、工業控制系統與管理系統互聯互通帶來的風險。只要是使用開放的以太網、基於微軟 Windows 操作系統的數據採集與 監控 （SCADA）系 統 、分 布 式 控 制 系 統 （DCS）、過 程 控 制 系 統（PCS）、可編程邏輯控制器（PLC）基於控制系統的高級應用等，都有發生信息安全問題的風險。
2、工業控制系統遭遇病毒攻擊的風險。 以電力行業發電廠的工控系統爲例， 雖然發電廠的生產控制大區和信息管理大區之間安裝物理隔離裝置，二次系統網絡與辦公系統網絡進行隔離，但是病毒的傳播方式是多途徑的。例如：病毒可以通過工作人員的移動介質或遠程控制通道傳入到生產控制大區進而破壞 DCS 系統或經濟調度系統等重要的電力二次應用系統，而對於安全性要求較高的電廠而言， 如果沒有行之有效的防病毒系統，讓 DCS 系統遭遇病毒攻擊是絕對不能容忍的。
3、數據和通信傳輸協議存在的安全風險。 廣泛應用於工控系統中的通信傳輸標準如：IEC 60870－5 標準（其中用於串行鏈路 IEC 60870－5－101， 對應於我國電力行業標準DL ／ T 634．5101 和網絡 IEC 60870－5－104，對應於我國電力行 業標準 DL ／ T634．5104） 應用於 SCADA 系統與 RTU 之間的數 據通信；IEC 60870－6 （對應於我國的國家標準 GB ／ T 18700也稱爲 TASE．2 或 ICCP）用於控制中心之間的通信，並經常應用於控制中心內 SCADA 系統和其他工程系統之間的通信；IEC 61850（對應於我國的工業標準 DL／T 860）用於電力系統繼電保護、變電站自動化、配電自動化、電能質量、分佈式能源、變電站對控制中心的通信。這些標準都是在信息安全成爲該行業的主要問題之前制定的，所以原先標準中根本不包括任何安全措施［1］，通信數據和信息存在被竊聽和竄改、甚至破壞系統運行的風險。
4、管控體系不健全導致的安全風險。 目前工業控制系統使用單位普遍沒有針對移動存儲介質的管理規定，或者規定製定力度不夠，缺乏必要的監管手段，這始終是工業控制系統安全的一個重要威脅。 特別是在物理隔離的工業控制系統中，移動存儲介質成爲計算機病毒傳播的主要途徑，2010 年伊朗爆發的 “震網”病毒以及隨後的“火焰”病毒，就是利用移動存儲介質進行傳播的。
2.3工控系統安全具體需求分析
根據對工業控制系統的風險分析，我們發現工業控制系統的信息安全需求主要在以下方面：
防禦來自外部的威脅，阻止蠕蟲、網絡病毒、間諜軟件和黑客攻擊對網絡造成的安全損失，提高辦公網網絡的整體抗攻擊能力；
要求做到能實時查看當時存在的針對本網絡的攻擊並查找出攻擊源。如果攻擊強度超出網絡能夠承受的範圍，可採取進一步措施進行防範；
實現對運維操作的集中管理、訪問控制、單點登錄以及操作審計的能力；以及需要建立良好的管理和責任劃分體系以保證人員使用移動存儲介質不會對工控系統造成威脅。
實現即使文件被勒索軟件感染和加密，也可通過備份恢復回來，不會造成數據丟失。
三、工控系統信息安全防護設計
3.1工控系統信息安全防護體系設計目標
工業控制系統信息安全防護體系建設的最終目標應在遵循《GB 17859－1999 計算機信息系統安全保護等級劃分準則》規定的等級劃分準則前提條件下符合國家標準《GB/T22239－2008信息安全技術信息系統安全等級保護基本要求》及《信息系統安全等級保護基本要求》及其他相關規定。實現工控系統安全技術防護能力、安全管理能力、安全運維能力，切實保障工控系統信息安全，爲工業控制系統的安全穩定運行保駕護航。
3.2工控系統信息安全防護體系設計原則
工業控制系統信息安全防護體系設計應依據《GB／T22239－2008 信息安全技術信息系統安全等級保護基本要求》、《GB／T 25070－2010 信息安全技術信息系統等級保護安全設計技術要求》等國家標準，相關行業標準，如《二次系統安全防護規定》、《信息系統安全等級保護基本要求》、《二次系統安全防護總體方案》等爲指導思想，構建集技術、管理和服務於一體的全面的安全防護體系。並遵循如下設計原則：基於安全需求原則、先進成熟技術原則、分級保護原則、縱深防禦原則、動態調整原則。
四、基於工控系統的等保測評
網絡安全等級保護是指根據信息系統在國家安全、社會穩定、經濟秩序和公共利益方便的中重要程度以及風險威脅、安全需求、安全成本等因素，將其劃分不同的安全保護等級並採取相應等級的安全保護技術、管理措施、以保障信息系統安全和信息安全。
4.1等保2.0標準體系
GA/T 1389—2017《信息安全技術 網絡安全等級保護定級指南》
在國標《信息安全等級保護定級指南》的基礎上細化優化了對客體侵害事項、侵害程度的定義，確定了對基礎信息網絡、工業控制系統 、雲計算平臺 、物聯網、採用移動互聯技術的信息系統 、大數據等對象的定級原則，進一步明確了定級過程中專家審查、主管部門審覈、公安機關備案審查等節點的管理要求。
GA/T 1390.2—2017《信息安全技術 網絡安全等級保護基本要求 第 2 部分：雲計算安全擴展要求》
針對雲計算架構的特點，對雲計算環境下的物理位置、虛擬化網絡、虛擬機、雲服務方、雲租戶、虛擬鏡像等技術保護要求，以及雲服務商選擇、SLA協議、雲安全審計等安全管理要求進行了規定。
GA/T 1390.3—2017 《信息安全技術 網絡安全等級保護基本要求 第 3 部分：移動互聯安全擴展要求》
針對移動互聯網系統中移動終端、移動 應用和無線網絡等三個關鍵要素，明確了無線接入設備的安裝選擇、無線接入網關處理能力、非授權移動終端接入等技術保護要求，以及應用軟件分發運營商選擇、移動終端應用軟件惡意代碼防範等管理要求進行了規定。
GA/T 1390.5—2017 《信息安全技術 網絡安全等級保護基本要求 第 5 部分：工業控制系統安全擴展要求》
分析了工業控制系統的層次模型、區域模型，提出了工業控制系統安全域劃分和保護的主要原則。並從物理提示標誌、網絡非必要通信控制、系統時間戳等技術方面，以及工控系統管理員/工控網絡管理員/工控安全管理員崗位設置、工控設備的版本號漏洞控制等管理方面進行了規定。
4.2工控系統等級保護測評
總體原則、技術要求和管理要求是工業控制系統等級保護的三類說明，其中工業控制系統整體提出的安全域保護原則是總體原則 ；技術要求針對工業控制系統的軟件、硬件、網絡協議等安全性、通信協議等要素；管理要求針對工業控制系 統的人員管理、運維管理、制度管理等要素，但工業控制系統的防護措施也需保證對系統的正常運行不產生危害，並得。
（4）通信傳輸安全 ：在工業控制系統內使用指令交換數據時，是否採用加密認證手段實現數據加密傳輸 ；對需要無線通信傳輸的設備，是否對未經授權的無線設備進行攔截並報警。
（5）接口安全：是否關閉或拆除控制設備上的 USB 接口、串行口、光驅等，是否採取有效措施保證對外接口的安全。
（6）系統補丁和風險安全 ：更新系統補丁、惡意代碼庫、白名單庫前，是否在測試環境中通過測試，並保證系統的可用性，應有安全人員負責並保存更新記錄。
（7）安全事件處置：工業控制系統大多應用於化工、石油、醫藥等領域，應考慮是否建立工業控制系統聯合防護及應急機制，是否定期對應急機制進行演練，是否對安全事件進行總結、教育和培訓等。
五、工控系統安全解決方案
5.1工控系統安全架構設計
拓撲說明
該拓撲圖是工業控制系統的整體架構圖，根據此圖我們根據各公司或企業的實際需要進行安全防護。
5.2工控系統信息安全三大防護體系
5.2.1工控系統安全風險評估體系
安全風險評估確定安全破壞可以導致的危害程度， 並且對於實施和維護安全應對措施的成本，對經濟的、安全的和社會的危害進行分析。通過對工控系統安全風險的分析，得出系統的防護需求，根據防護需求的不同制定系統的安全策略及解決方案，以此選擇適當的防護措施，進而降低安全風險。安全評估的方法有工具掃描、基於經驗的人工評估、模擬黑客攻擊的白客滲透測試等。安全評估是信息安全生命週期中的一個重要環節。安全風險評估體系應覆蓋工控系統的網絡、主機及安全設施等。網絡安全評估是對工控系統的通信網絡和網絡拓撲、帶寬、通信協議、核心路由、交換設備、網絡邊界、安全策略等的安全漏洞、安全威脅及潛在影響進行分析，以提出合理的安全建議。主機安全評估是對工控系統的主機系統包括操作系統、數據庫系統、 中間件系統以及基本的應用服務配置管理等的風險評估。
安全設施評估主要包括防火牆、防病毒系統、入侵檢測系統IDS、工控系統專用安全隔離裝置、IP 加密認證裝置及其它安全管理系統，主要對這些系統的安全策略配置和管理進行評估。
5.2.2工控系統安全技術體系
安全技術體系設計的核心思想是：構建集安全防護能力、安全風險監測能力、 應急響應能力和災難恢復能力於一體的安全技術保障體系，切實保障工控系統信息安全。 安全技術體系由物理安全、網絡安全、主機安全、應用安全、數據安全等環節構成。
1）物理安全防護：包括物理位置的選擇、物理訪問控制、防盜竊和防破壞、防雷擊、防火、防水和防潮、防靜電、溫溼度控制、電力供應、電磁防護。 具體措施爲工控系統的機房和辦公場地應選擇在具有防震、防風和防雨等能力的建築內；機房各出入口應安排專人值守或配置電子門禁系統，控制、鑑別和記錄人員的進出情況；對機房設置監控報警系統；機房建築設置避雷裝置，建立備用供電系統等。
2）網絡安全防護：包括網絡結構安全、訪問控制、安全審計、邊界完整性檢查、入侵防範、惡意代碼防範、網絡設備防護。主要措施爲：保證主要網絡設備的業務處理能力具備冗餘空間，滿足業務高峯期需要；在業務終端與業務服務器之間進行路由控建立安全的訪問路徑；按照對業務服務的重要次序來指定帶寬分配優先級別，優先保障重要業務服務的帶寬。在網絡邊界部署訪問控制設備，啓用訪問控制功能；訪問控制設備應能根據會話狀態信息爲數據流提供明確的允許／拒絕訪問的能力，控制粒度爲端口級；禁止以 VPN 方式接入網絡。 對非授權設備或內部網絡用戶私自聯到內部網絡的行爲進行檢查，準確定出位置，並對其進行有效阻斷；採用網絡准入、終端控制、身份認證、可信計算等技術手段，維護網絡邊界完整性。 在網絡邊界處監視以下攻擊行爲：端口掃描、強力攻擊、木馬後門攻擊、拒絕服務攻擊、緩衝區溢出攻擊、IP 碎片攻擊和網絡蠕蟲攻擊等，在發生嚴重入侵事件時應提供報警等。
3）主機安全防護：包括主機安全、身份鑑別、訪問控制、安全審計、剩餘信息保護、入侵防範、惡意代碼防範、資源控制。 具體措施爲對登錄操作系統和數據庫系統的用戶進行身份標識和鑑別；當對服務器進行遠程管理時，採取必要措施，防止鑑別信息在網絡傳輸過程中被竊聽； 審計範圍應覆蓋到服務器和重要客戶端上的每個操作系統用戶和數據庫用戶； 系統不支持該要求的，採用第三方安全審計產品實現審計要求；保護審計記錄，避免受到未預期的刪除、修改或覆蓋等；應保護審計進程，避免受到未預期的中斷。 能夠檢測到對重要服務器進行入侵的行爲，能夠記錄入侵的源 IP、攻擊的類型、攻擊的目的、攻擊的時間，並在發生嚴重入侵事件時提供報警。 在本機安裝防惡意代碼軟件或獨立部署惡意代碼防護設備， 並及時更新防惡意代碼軟件版本和惡意代碼庫，更新前應進行安全性和兼容性測試。 通過設定終端接入方式、網絡地址範圍等條件限制終端登錄；根據安全策略設置登錄終端的操作超時鎖定。
4）應用安全防護：包括身份鑑別、訪問控制、安全審計、剩餘信息保護、通信完整性、通信保密性、抗抵賴、軟件容錯、資源控制。 具體措施爲：提供專用的登錄控制模塊對登錄用戶進行身份標識和鑑別；啓用身份鑑別、用戶身份標識唯一性檢查、用戶身份鑑別信息複雜度檢查以及登錄失敗處理功能， 並根據安全策略配置相關參數。 提供訪問控制功能，依據安全策略控制用戶對文件、數據庫表等客體的訪問；由授權主體配置訪問控制策略，並嚴格限制默認帳戶的訪問權限； 依據安全策略嚴格控制用戶對有敏感標記重要信息資源的操作。 提供覆蓋每個用戶的安全審計功能，對應用系統的用戶登錄、用戶退出、增加用戶、修改用戶權限等重要安全事件進行審計。
5）數據安全防護：包括數據完整性、數據保密性、備份和恢復。 具體措施爲：能夠檢測到系統管理數據、鑑別信息和重要業務數據在傳輸和存儲過程中完整性受到破壞， 並在檢測到完整性錯誤時採取必要的恢復措施； 採用加密或其他有效措施實現系統管理數據、鑑別信息和重要業務數據傳輸和存儲的保密性；提供數據本地備份與恢復功能，完全數據備份至少每天一次，備份介質場外存放；提供主要網絡設備、通信線路和數據處理系統的硬件冗餘，保證系統的高可用性。
5.2.3工控系統安全管理體系
安全管理防護體系由安全管理制度、安全管理機構、人員安全管理、系統建設管理、系統運維管理等部分組成。 工控系統安全管理體系是一個不斷完善、不斷改進的過程，隨着外部情況及內部條件的改變，需要對管理體系的內容及範圍做相應的調整，以適應變化。 最終達到管理體系爲工控系統安全的成功實施起到保駕護航的作用。
1）安全管理制度：建立工控系統系統安全管理制度，制定工控系統信息安全工作的總體方針和安全策略， 明確安全工作的總體目標、範圍、原則和安全框架等，並將工控系統安全防護及其信息報送納入日常安全生產管理體系， 負責所轄範圍內工控系統及數據網絡的安全管理； 對安全管理活動中各類管理內容建立安全管理制度； 對安全管理人員或操作人員執行的重要管理操作建立操作規程；形成由安全策略、管理制度、操作規程等構成的全面的信息安全管理制度體系。
2）安全管理機構：明確由主管安全生產的領導作爲工控系統安全防護的主要責任人， 成立指導和管理信息安全工作的委員會；設立信息安全管理工作的職能部門；制定文件明確安全管理機構各個部門和崗位的職責、分工和技能要求。
3）人員安全管理：嚴格規範人員錄用過程，對被錄用人員的身份、背景、專業資格和資質等進行審查，對其所具有的技術技能進行考覈；與安全管理員、系統管理員、網絡管理員等關鍵崗位的人員簽署保密協議； 定期對各個崗位的人員進行安全意識教育、崗位技能培訓和相關安全技術培訓及安全認知的考覈；對外部人員允許訪問的區域、系統、設備、信息等內容應進行書面的規定，並按照規定執行。
4）系統建設管理：根據系統的安全保護等級選擇基本安全措施， 並依據工控系統安全防護要求和風險分析的結果補充和調整安全措施； 指定和授權專門的部門對信息系統的安全建設進行總體規劃，制定近期和遠期的安全建設工作計劃；根據信息系統的等級劃分情況，統一考慮安全保障體系的總體安全策略、
安全技術框架、安全管理策略、總體建設規劃和詳細設計方案，並形成配套文件； 組織相關部門和有關安全技術專家進行論證和審定，並經過電力監管機構、上級信息安全主管部門和相應電力調度機構的審覈。
5）系統運維管理：包括環境管理、資產管理、介質管理、設備管理、監控管理和安全管理中心、網絡安全管理、系統安全管理、惡意代碼防範管理、密碼管理、變更管理、備份與恢復管理、安全事件處置、應急預案管理等，各環節應符合國家及行業標準的要求。
5.3工控系統安全產品體系
5.3.1工控系統安全防範產品
5.3.1.1工控防火牆
工業防火牆分爲邊界型和區域型。基於MIPS架構+深度定製Linux平臺，通過對工業控制協議的深度解析，運用“白名單+智能學習”技術建立工控網絡安全通信模型，阻斷一切非法訪問，僅允許可信的流量在網絡上傳輸。爲工控網絡與外部網絡互聯、工控網絡內部區域之間的連接提供安全保障。廣泛應用在電力、石油、石化、軌交、市政、菸草及先進製造等多領域。
方案建議在平臺網絡邊界再增加一臺天融信防火牆，兩臺設備啓用雙機熱備功能（HA）。
客戶價值
滿足工控行業的合規性要求
防範外部惡意攻擊
杜絕內部安全隱患
對工業網絡實施安全域劃分、邏輯隔離和訪問控制，滿足行業政策法規及技術要求。
避免生產監控網被攻擊，造成操作指令被篡改或下發失敗，導致重大安全生產事故、人員傷亡和社會影響。 有效檢測工控網絡中的異常操作行爲並加以阻止，避免異常停車事故。
主要功能
工控協議深度解析
正常通信行爲建模
攻擊防護
支持對OPC、Siemens S7、Modbus、IEC104、Profinet、DNP3等數十種工控協議報文進行深度解析。
基於工控協議通信記錄，智能學習通信關係、操作功能碼和參數等，對正常通信行爲建模。 支持對工控指令攻擊、控制參數的篡改、病毒和蠕蟲等惡意代碼攻擊、各類DoS（SYN Flood、Ping Flood、UDP Flood、Ping of Death、LAND等）攻擊的防護。
網絡訪問控制
工作模式
日誌告警上報
採用會話狀態檢測、包過濾機制進行深度訪問控制，阻止各類非授權訪問行爲。
支持學習模式、告警模式、防護模式三種工作模式。 支持設備運行日誌、告警日誌等上傳至統一安全管理平臺，進行統一的安全事件分析和管理。
產品優勢
· 實時精準的協議指令級控制
搭載自主研發的數據包深度解析引擎，對工控協議（OPC、Modbus、IEC 60870-5-104、IEC 61850 MMS、DNP3等）各類數據包進行快速有針對性的捕獲與深度解析，做到實時和精準的指令級識別，爲解決工控網絡安全問題提供技術保障。
· 工業級通信性能
採用高性能MIPS多核處理器，運用白名單規則匹配算法,在開啓深度報文檢測（DPI）的情況下可實現30000PPS的吞吐量。時延小於100us,是業界同類產品的1/10，有效保障通信的實時性。
· 工業級高可靠性
產品採用高可靠性的工業級設計：無風扇全封閉設計、雙冗餘電源、硬件故障自動Bypass、優秀的溫溼度適應性（溫度：-4085℃，溼度：5%95% 無凝結），符合IP40防護等級要求。
· 開放的平臺接口
提供SDK，開放的平臺接口可以方便客戶自行擴展支持私有協議，以及做定製化的二次開發。
部署位置拓撲
5.3.1.2工控安全隔離與信息交換系統
安全隔離與信息交換系統(WISGAP) 是實現工業網絡環境中不同安全級別網絡之間數據安全交換的隔離系統，該產品採用多機系統架構，通過對信息進行落地、還原、掃描、過濾、防病毒、入侵檢測、審計等一系列安全處理，有效防止黑客攻擊、惡意代碼和病毒滲入，同時防止內部機密信息的泄露，實現網間安全隔離和信息交換；威努特自主設計開發的安全隔離與信息交換系統集文件交換、數據庫訪問和同步、視頻交換、組播代理、訪問交換、工業控制等功能模塊於一體，保障用戶信息系統安全性的同時，最大限度保證客戶應用的方便性。
客戶價值
滿足政策法規有關安全隔離的相關技術要求
提高不同安全級別間的數據傳輸效率
提高不同安全級別間的數據安全性
在保證安全隔離的前提下，實現數據的安全交換，滿足國家及行業對於安全隔離的相關政策法規要求。
在保證安全的情況下，將原本通過人工方式（光盤、公文交換等）進行數據交換的方式轉變爲自動“擺渡”，提高數據交換效率。 彌補防火牆等邏輯隔離產品的安全性差的缺陷，採用物理隔離的方式，實現正常業務數據的安全交互。
主要功能
數據交換
安全控制
安全審計
支持工業控制代理、WEB代理、文件交換、郵件交換、數據庫交換等多種信息交換類型，以“擺渡”方式進行安全數據交換。
支持訪問控制、入侵檢測、防病毒、內容過濾、日誌審計、身份鑑別等多種安全防護措施，保證數據交換過程安全。 可審計設備的各類操作，並支持通過SNMP、syslog等將日誌文件發送到遠程日誌服務器。
產品優勢
· 高安全性隔離
採用“內外網雙主機+專有安全數據交換模塊”架構以及專用安全操作系統，確保內外網在任何時候無聯通的電氣連接，剝離TCP/IP協議棧， 摒棄OSI七層模型的所有不安全因素，實現網絡的高安全隔離。
· 豐富的協議支持
支持OPC、Modbus TCP、IEC104等工控協議及傳統HTTP、SMTP、POP3、FTP、TELNET、SQL、ORACLE、NULL_TCP等常用協議。
· 優異的性能
產品採用複雜對稱多處理（RSMP）技術，在單臺網閘設備內集成多個處理模塊，成倍提升處理能力，使網閘具有很高的性能，產品系統延時小於1ms，內部速率可達5Gbps，擺渡速率超過600Mbps。
· 高可靠性
產品採用專用安全主板設計，使網閘設備可在超重負荷的環境下長期穩定運行，雙機熱備的部署方式可使系統抵抗災難性損壞時的可靠性成倍提高。
部署位置拓撲
5.3.2工控系統安全運維審計產品
5.3.2.1工控日誌審計與分析系統
日誌審計與分析系統是工業控制網絡中軟硬件資產日誌信息的統一審計與分析平臺,該產品能夠實時將工業控制網絡中不同廠商的網絡設備、安全設備、服務器、操作員站、數據庫系統的日誌信息，進行統一地收集、處理和關聯分析，幫助一線管理人員從海量日誌中迅速、精準地識別安全事件，及時對安全事件進行追溯或干預，滿足網絡安全法對日誌保存6個月以上的要求。
客戶價值
滿足國家標準、規範的合規性要求 滿足安全策略的合規性審計需求
提供威脅檢測與安全事件取證分析報告
提供合規性分析、業務統計分析報告
主要功能
系統資產管理 安全事件監控統計 安全事件高速查詢 安全事件關聯分析
提供管理各類設備的資產庫，所有設備以樹形結構進行組織和展示，同時作爲權限分配的依據，實現針對設備信息的訪問控制，滿足設備監控權限最小化原則。 提供安全事件的實時監控和多維度統計，通過事件列表展示當前網絡的實時活動，依據IP地址、事件類型等維度進行安全事件的統計，以可視化的餅狀圖、柱狀圖、堆積圖等形式進行展示。 提供自定義形態的混合搜索功能，在用戶自定義日誌範式字段收縮的基礎上，結合大數據全文索引技術，實現安全事件的快速查詢。 內置了豐富的關聯分析場景，並具有關聯分析場景可視化編輯功能，可通過不同字段的組合以及與、或、非等運算符構建複雜關聯分析規則，結合資產屬性，將多事件源進行關聯分析，實時發現網絡攻擊和違規行爲。
產品優勢
· 系統資產管理
配置了日誌源事件、Windows事件、網絡設備、防火牆事件概覽、WEB事件概覽、FTP服務器日誌等分析儀表板，用戶可根據需要對儀表板進行自定義，快速獲取關注的信息。
· 先進的大數據處理技術
採用業內先進的大數據計算技術，實現工業控制網絡中不同廠商設備海量日誌信息的高速採集和處理。
· 交互式數據搜索引擎
綜合範化字段與大數據全文索引技術構建的交互式數據搜索引擎，爲用戶提供即席查詢的審計支撐。
· 基於機器學習的日誌識別
基於聚類分析的機器學習算法，實現海量日誌信息的自動範化和精準識。
部署位置拓撲
5.3.2.2工控安全運維管理系統
安全運維管理系統是對運維行爲進行賬號統一管理、資源和權限統一分配、操作過程全程審計的軟硬件一體化設備。產品通過切斷運維終端對工業網絡設備或資源的直接訪問，採用協議代理的方式，建立基於唯一身份標識的全局實名制賬號管理，配置集中訪問控制和細粒度的命令級授權策略，實現集中有序的運維安全管理，對用戶從登錄到退出的全程操作行爲進行審計，加強工業控制系統及設備遠程維護的安全管理，降低人爲安全風險，保障企業效益。
客戶價值
響應國家等級保護的政策，幫助企業滿足合規要求
避免工業企業運維人員違規操作、保障網絡及人身安全
助力工業企業控制運維操作風險及事後責任定位
爲企業提供完整的審計方案，有助於完善企業的內控與審計體系，從而滿足各種政策標準合規性要求。
加強對企業操作維護人員的訪問控制與審計，防止非授權用戶的訪問操作，有效避免工業企業運維人員違規操作、保障工業生產網絡安全及企業人身安全。 提供基於用戶及崗位的實名制訪問控制與審計，有效控制企業運維操作風險，爲工業企業安全事件追蹤溯源提供依據。
主要功能
用戶認證管理
資源管理
訪問授權管理
支持本地認證、LDAP認證、RADIUS認證、USB key 認證等多種認證方式，並可根據用戶實際需求，設置混合認證方式，不同主賬號採取不同的認證方式，實現按需認證。
支持多種信息資產管理，類型包括Unix資源、網絡資源、Windows資源、數據庫資源、C/S資源、B/S資源、中間件資源、大型機資源等。 對自然人賬號和資源賬號訪問權限進行細粒度控制，確保每個運維人員擁有最小訪問權限；針對重要操作行爲，可通過“工單”方式，實現進一步的安全管控。
運維審計管理
支持對各種網絡資源的訪問及操作行爲進行審計，如圖形協議訪問時的鍵盤記錄、剪切板、文件傳輸記錄；字符協議訪問時的添加/刪除、上傳/下載命令等。
產品優勢
· 全面的工業現場業務支持
全面支持工業現場上位機、服務器、應用系統、工業網絡設備、工業安全設備等的運維管理。
· 強大的應用擴展能力
支持審計基於Windows平臺下所有應用程序的運維操作。基於前置機架構，只需在前置機上安裝、發佈運維時需要使用的客戶端程序，而無須任何定製開發即可對該應用程序的運維操作進行審計。
· 靈活多樣的登錄方式
支持運維人員通過瀏覽器或第三方客戶端工具（SecureCRT、Mstsc等）登錄待運維設備或系統，最大程度上保證運維人員的操作習慣不被改變。
· 高可靠性保障
支持HA雙機熱備功能，規避單點故障隱患，最大程度上保障用戶運維管理工作的可靠性和連續性。
部署位置拓撲
5.3.2.3工控網絡威脅感知系統
網絡威脅感知系統是一款實時分析網絡流量，結合威脅情報數據及網絡行爲分析技術，深度檢測所有可疑網絡活動的高級持續性威脅（APT）防範設備。該系統網絡檢測與文件檢測同步進行，網絡檢測採用情報共享機制，構築檢測生態圈，準確、快速地掌握攻擊鏈條；文件檢測採用全面沙箱分析，通過在沙（Sandbox）中運行（行爲激活/內容“引爆”）各種文件，分析文件行爲，識別出未知威脅；爲工業企業用戶構建高級持續性威脅（APT）防範能力。
客戶價值
爲用戶提供已知、未知威脅檢測
爲用戶提供失陷主機檢測
爲用戶提供網絡威脅的追本溯源
基於下一代入侵檢測引擎實現已知威脅的靜態檢測，基於沙箱行爲模式匹配技術實現未知威脅的檢測。 通過對網絡流量中DGA域名的檢測，爲用戶提供失陷主機檢測，確保用戶網絡中主機環境的安全。 系統支持解析存儲http、dns、ftp、smtp等數十種協議的元數據，具有完整的追溯取證能力，幫助用戶快速定位攻擊源。
主要功能
威脅情報檢測
網絡異常檢測
失陷主機檢測
系統支持本地威脅情報檢測和雲端威脅情報追溯，通過實時下發惡意IP、惡意域名、惡意URL等黑名單到設備本地進行威脅情報檢測。
系統支持DoS&DDoS攻擊、會話連接行爲異常、中間人劫持攻擊、非標準協議的檢測；支持SMTP行爲異常、可疑SMTP源IP、垃圾郵件、釣魚郵件檢測；支持掃描行爲、路由跟蹤行爲、密碼猜測行爲、密碼暴力破解行爲、提權行爲、隱私策略、信息泄露、SSL行爲檢測；支持tcp、udp、icmp、dce-rpc、dhcp、dnp3、dns、ftp、http、imap、irc、krb、modbus、mysql、ntlm、pop3、radius、rdp、rfb、sip、smb、smtp、snmp、socks、ssh、ssl、syslog等協議檢測。 系統支持通過檢測網絡流量中的DGA域名，定位網絡內部已經被殭屍/木馬控制的主機（失陷主機）。
下一代入侵檢測
威脅變種檢測
告警日誌審計
系統支持對網絡內部的掃描探測、入侵攻擊、橫向滲透等行爲進行檢測；支持SQL注入攻擊、Bash漏洞攻擊、心臟出血漏洞攻擊、協議動態識別、無效SSL證書、無效OCSP迴應、網絡應用攻擊、Shellcode、釣魚網站、C&C通訊、網絡木馬檢測；支持協議分析及文件還原，包括PE格式文件、TXT格式文件、OFFICE格式文件、FLASH格式文件、PDF格式文件、JAVA格式文件、WEB格式文件、PYTHON格式文件、RAR格式文件、ZIP格式文件、VBS格式文件、TORRENT格式文件還原。 系統採用基因圖譜模糊比對技術對流量中的文件進行靜態檢測，通過結合圖像文理分析技術與惡意代碼變種檢測技術，將可疑文件的二進制代碼映射爲無法壓縮的灰階圖片，與已有的惡意代碼基因庫圖片進行相似度匹配，根據相似度判斷是否爲威脅變種；支持Windows、Linux和Android所有的文件格式檢測。 系統採用沙箱行爲模式匹配技術對流量中的文件進行動態檢測，根據惡意行爲判斷是否爲威脅變種；用戶可自定義沙箱環境；支持壓縮文件、PE，office、rtf、圖片、WEB文件、視頻、Java、PDF、PYTHON、MSG、文本、flash、WSF文件的檢測；支持惡意代碼的行爲相似性聚類，通過聚類分析和文件追溯判斷該文件是否爲惡意文件，若該文件具有多個惡意行爲且成功逃過多個反病毒引擎的檢測及基因圖譜檢測，則該文件極有可能爲新型的惡意代碼，即未知脅。
產品優勢
· 大數據與安全技術的結合
系統採用了機器學習/深度學習技術，基於大數據平臺，用海量安全數據進行訓練，從而具備檢測未知威脅的能力，能有效減少安全運維人員的人工識別工作量。
· 高效的網絡異常行爲檢測技術
可識別豐富的網絡應用層協議，通過協議分析、網絡異常行爲模式匹配等檢測技術快速鑑別出C&C通訊、、DGA惡意域名、DDoS攻擊、SSH/FTP暴力破解、SQL注入、DNS/ARP污染、漏洞掃描和漏洞攻擊等網絡惡意行爲
· 獨特的基因圖譜檢測技術
通過結合機器學習/深度學習、圖像分析技術，將惡意代碼映射爲灰度圖像，建立卷積神經元網絡CNN深度學習模型，利用惡意代碼家族灰度圖像集合訓練卷積神經元網絡，並建立檢測模型，利用檢測模型對惡意代碼及其變種進行
· 全面的已知、未知威脅檢測
通過內置的下一代入侵檢測引擎，Multi-AV防病毒引擎和威脅情報檢測技術對已知威脅進行靜態檢測；通過基因檢測技術對惡意代碼的變種進行檢測，通過對惡意代碼在沙箱中的主機行爲和網絡行爲進行深入分析，對未知威脅進
· 工業級高可靠性
產品採用高可靠的工業級設計：無風扇全封閉設計、1+1冗餘電源、優秀的溫溼度適應性（溫度：-4070℃，溼度：5%95% 無凝結），符合IP40防護等級要求。
· 便捷的溯源取證能力
網絡威脅感知系統支持解析並存儲http、dns、ftp、smtp等數十種協議的元數據，具有完整的追溯取證能力。通過可視化操作，可快速定位攻擊者，並定位出攻擊者的IP、MAC、攻擊方式、攻擊協議以及攻擊目標
部署位置拓撲
5.3.2.4工控入侵檢測系統
入侵檢測系統是依照安全策略，對工業網絡、系統的運行狀況進行監視，發現各種非法操作或異常行爲的軟硬件一體化設備。該系統能夠深入分析網絡上捕獲的數據包，結合特徵庫進行相應的行爲匹配，及時發現來自生產網外部或內部違反安全策略的行爲及被攻擊的跡象，幫助工業用戶及時採取應對措施，最終達到保護生產網絡安全的目的。
客戶價值
滿足行業政策法規有關入侵檢測方面的技術要求
彌補防火牆產品的不足
提高安全響應能力
在關鍵節點部署入侵檢測系統，及時發現非法行爲及誤操作，滿足行業政策法規有關威脅檢測方面的技術要求。
彌補一般防火牆產品無法檢測複雜協議、組合攻擊以及內部攻擊等行爲的不足。 通過及時通告有價值的告警信息，並提供威脅處置辦法，提高安全事件響應能力。
主要功能
智能協議識別
入侵行爲檢測
未知威脅檢測
採用被動檢測的方式對網絡數據包進行解析，並與系統內置的協議特徵、設備對象等進行智能匹配，幫助用戶儘快瞭解和掌握網絡中的業務通信行爲，及時發現潛在的安全威脅。
內嵌豐富入侵攻擊特徵，可對常見的病毒、蠕蟲、後門、木馬、殭屍網絡攻擊以及緩衝區溢出攻擊和漏洞攻擊行爲進行有效識別和準確檢測。 通過雲沙箱技術，智能檢測採用變形、隱藏技術等處理手段的未知威脅，增強威脅發現力。
日誌及告警管理
對監測到的大量事件進行有效識別和過濾，只顯示有價值的告警信息；提供原始報文日誌，幫助用戶甄別報警的真僞，並作爲取證的依據。
產品優勢
· 強大的分析檢測能力
內置豐富的攻擊特徵庫，結合硬件加速信息包捕捉技術來探測包括PLC等控制設備的拒絕服務攻擊漏洞、緩衝區溢出攻擊漏洞等典型工控漏洞的攻擊行爲，並及時告警。
· 超低的誤報率和漏報率
採用TCP/IP數據重組、目標和應用程序識別、完整的應用層有限狀態追蹤、應用層協議分析、先進的事件關聯分析技術以及多項反IDS逃避技術，提供業界超低的誤報率和漏報率。
· 豐富的統計報表
能夠爲用戶提供豐富的動態圖形報表，以及數十種分析報表模版和嚮導式的用戶自定義報表功能。
· 簡單的部署方式
採用旁路部署方式，不會對網絡造成任何影響。
部署位置拓撲
5.3.2.5工控漏洞掃描系統
工控漏洞掃描平臺是對工控網絡脆弱性分析、評估的綜合管理系統。該系統通過豐富的工業控制系統漏洞庫，對控制設備、應用或系統的已知漏洞進行識別和檢測，及時發現安全漏洞，客觀評估工控網絡風險等級，給出修復建議和預防措施，並對風險控制策略進行有效審覈，從而在漏洞全面評估的基礎上實現安全自主掌控。
客戶價值
提升用戶對工控系統的漏洞檢測能力
爲工控系統的測評、檢查等提供有效、全面的評估工具
提供有效的安全風險修復建議和預防措施
降低因漏洞影響帶來的經濟風險
主要功能
資產發現與管理
工控系統漏洞掃描
脆弱性風險評估
綜合運用主機存活探測、智能端口檢測、工控協議指紋對比、操作系統指紋識別等多種手段，全面、快速掃描網絡中的存活設備，準確識別其端口情況、操作系統以及開放的服務等設備屬性。
採用漸進式的掃描方法對SCADA、組態軟件、HMI、PLC、DCS、應用系統等多種類型的系統或設備進行針對性掃描，準確定位其脆弱點和潛在威脅。 採用最新的CVSS標準對所有漏洞進行統一評級，客觀的展現其危險級別。幫助用戶明確工控網絡的脆弱性風險等級，制定合理的管理策略。
掃描結果靈活展示
採用餅狀圖、柱狀圖、雷達圖等方式可視化展示工控網絡資產漏洞風險分佈情況，靈活定製各類報表。
產品優勢
· 無損的掃描技術
採用無損的工控設備探測發現技術，對被測對象“零影響”。
· 豐富的漏洞特徵庫
漏洞庫數量達萬餘條，並提供漏洞詳情和對應的修復建議。支持漏洞庫在線和離線升級。
· 直觀的威脅態勢呈現
直觀展現過去一段時間內工控系統中的漏洞和風險點變化趨勢，幫助用戶整體把控工控網絡安全態勢。
· 開放的接口服務
提供第三方開發接口。
部署位置拓撲
5.3.3工控系統主機安全產品
5.3.3.1工控主機安全加固系統
主機安全加固系統是對工業現場上位機和服務器操作系統進行安全加固的軟件產品。該產品從提高主機操作系統本身的安全性出發，以可信認證爲基礎、訪問控制爲核心，採用“三權分立”的管理機制，通過對文件、目錄、進程、註冊表和服務的強制訪問控制，有效制約和分散原有系統管理員的權限，結合文件和服務的完整性檢測、防緩衝區溢出等功能，將普通操作系統透明提升爲安全操作系統，大大增強工業主機安全性，滿足國家信息安全等級保護要求中有關主機安全技術的相關要求。
客戶價值
滿足主機安全防護政策方面的技術要求
杜絕主機安全管理和技術方面的不足帶來的安全隱患
彌補傳統信息安全防護手段的缺陷
部署主機安全加固系統，將普通操作系統透明提升爲安全操作系統，滿足國家及行業政策有關主機安全的技術要求。
通過技術手段，將因安全管理體系及技術防護方面的不足導致的主機安全隱患降到最低。
彌補傳統信息安全防護手段無法深入檢測及防護操作系統內部安全威脅的缺陷。
主要功能
身份鑑別
強制訪問控制
剩餘信息保護
支持USB Key和密碼雙重身份鑑別功能，只有使用合法的USB Key，並輸入正確的口令纔可以對系統進行管理和維護。
支持文件、進程、註冊表及服務的強制訪問控制，並可根據需要對不同安全級別的主客體的訪問權限進行合理控制，實現權限最小化。 全透明接管原系統刪除操作，完全清除用戶鑑別信息、系統內的文件、目錄和數據庫記錄等殘留信息。
安全審計
入侵防範
外設控制
詳細記錄安全事件、管理員對操作系統的操作、安全管理員和審計管理員對服務器安全加固系統的操作等。
能夠對服務器和客戶端的入侵行爲以及程序的完整性進行檢測，提供本地報警並可聯動管理平臺進行報警。 可對主機的外設（包括並口、串口、光驅、軟驅、3G上網卡等）的使用進行嚴格管控。
產品優勢
· 高度合規性
完全符合電力、石油石化、軌道交通等行業對主機安全防護的相關技術要求。
· 良好的兼容性
支持Win2000、WinXP、Win7、Server2003、Server2008等主流Windows操作系統及Debian、RHEL、CentOS等主流Linux操作系統。
· 強大的自身安全防護機制
具備強大的安全保護機制，杜絕自身的文件、進程或註冊表項被有意或無意地停止、篡改或刪除等行爲。
部署位置拓撲
5.3.4工控系統安全管理產品
5.3.4.1工控統一安全管理平臺
統一安全管理平臺是對工業網絡中的安全產品及安全事件進行統一管理的軟硬件一體化產品。通過對控制網絡中的邊界隔離、網絡監測、主機防護等安全產品進行集中管理，實現對全網中各安全設備、系統及主機的統一配置、全面監控、實時告警、流量分析等，降低運維成本、提高事件響應效率。
客戶價值
幫助用戶滿足合規性要求
提高運維效率，降低維護成本
輔助完善安全防護體系
對安全計算環境、安全通信網絡、安全區域邊界進行統一管理，構建“一箇中心，三重防護”體系，滿足行業政策法規及技術要求。
集中管理工控網絡中的安全設備或系統，減少管理人員工作量，降低企業人力資源投入。 幫助用戶掌握現有安全態勢，輔助其完善安全防護體系，如制定安全防護制度，增加安全防
護措施等。
主要功能
安全域管理
安全設備集中管理
主機安全統一管理
採用接口劃分的方式，實現安全域的管理，幫助管理人員提高工作效率，降低操作風險。
集中管理工控網絡中的安全設備，包括設備狀態監控、拓撲管理、系統配置管理、日誌管理等。 統一管理工控網絡中的主機，包括模板配置、策略下發、主機狀態監測、日誌管理等。
日誌管理分析
可信主機管理
對工控網絡中的安全日誌（如：攻擊日誌、流
量日誌、訪問日誌、主機日誌、系統日誌）進行彙總、關聯分析並形成報告，爲工控網絡安全事件分析和調查取證提供依據。 支持配置可信主機，只有在可信列表中的主機纔可登錄統一安全管理平臺。
產品優勢
· 全面的安全日誌審計
全面記錄工業網絡中的主機安全日誌、安全防護日誌、流量日誌、異常攻擊監測日誌、攻擊發生時的原始報文信息等，便於安全事件分析和調查取證。
· 高速率加密傳輸通道
採用私有加密方式進行通信，防止數據包遭到惡意截取或篡改，保障數據的有效性和安全性。
· 豐富的日誌報表展示
系統內置豐富的報表模板，包括統計報表、明細報表、綜合日誌審計報表等，通過報表生成調度器，定時自動生成日報、週報、月報、季報、年報，並以郵件等方式自動投遞。
· 友好的用戶操作界面
系統充分利用人工智能技術，大幅度簡化分析、管理、控制流程，並提供簡單易學的用戶界面，方便管理人員日常操作管理。
· 支持第三方擴展
提供第三方接口，便於用戶二次開發。
部署位置拓撲
七、本人安全設計思想的概述
個人感覺工控系統的安全防護注重在對企業內部建設一套完備的安全體系，也就是前面提到的三大防護體系，搭好這個框架並進行有效合理的運行再配上具體的設備，我感覺就一定能保障工業控制系統的安全運行。
本設計方案也不針對某個具體的企業，它具有普遍性，普遍適用於各個自動化工業的企業。雖然每個企業的設備不同，網絡架構的拓撲圖也不同，但是他們的基本的生產架構基本類似，我們可以根據他們需要的各個地方加上安全設備進行安全防護。
參考文獻：
1、對於三大安全防護體系的內容，來自中國知網期刊張敏、張五一、韓桂芬的《工業控制系統信息安全防護體系研究 》。
2、工控系統的所有產品與功能、概述與客戶價值以及拓撲圖等取材於中國最好的工控系統安全防護公司——威努特的官網，產品一欄，非常詳細。
3、工業控制系統等級保護測評取材於中國知網的李富勇，聞宏強，趙一凡《工業控制系統信息安全等級保護測評的研究 》。
4、工控安全需求分析見鑒了《中國科學院瀋陽自動化研究所》的PPT。
5、有些地方直接用天融信公司老師李有添的內容。比如：大的框架、等保內容。