一、 安全運維之風險排查
1、安全日志分析
日志分析主要是定期為用戶信息系統內安全設備、操作系統和網絡設備產生的海量日志進行分析，從IP分布、時間分布、事件分布，行為分布、告警趨勢這五個維度對用戶信息系統內產生的日志進行梳理，發現潛在的風險點，得出安全現狀結論。 通過日志分析報告，及時掌握網絡運行狀態和安全隱患。
2、漏洞掃描
利用帶有安全漏洞知識庫的掃描工具，對工控系統資產進行基于網絡或本機層面的安全掃描，檢測工控系統所存在的安全隱患和漏洞。
漏洞掃描可以識別工控設備開放的服務端口、用戶帳號、系統漏洞等信息。尤其在對大范圍IP進行漏洞檢查的時候，掃描評估能對被評估目標進行覆蓋面廣泛的安全漏洞查找，能較真實地反映工控設備、網絡設備所存在的網絡安全問題和面臨的網絡安全威脅。
漏洞掃描應遵循如下原則：
? 選取適當的掃描策略
進行漏洞掃描時，會依據不同類型的掃描對象、不同的應用情況，選擇不同的掃描策略。除了利用掃描工具自身所集成的掃描策略外，對承載較復雜應用的評估對象，需要按照不同的安全需求，編輯或生成適合于被評估對象的專用策略，應用量身定制的策略進行掃描，提高系統掃描效率，并達到更好的掃描效果。
? 選取適當的掃描時間
為減輕漏洞掃描對網絡和工控設備的影響，漏洞掃描時間盡量安排在業務量不大的時段或晚上；或者對工控設備進行離線漏洞測試，避免影響工控設備正常工作。
? 單點試掃，主備分開
對于重要的設備，先小范圍進行掃描，確認系統不受較大影響后再進行大規模掃描。對雙機熱備的設備在一次掃描會話中只選取其中一臺進行掃描。
3、工業網絡架構分析
工控系統的網絡結構是整個工控系統的承載基礎，網絡架構分析是對整個工控系統進行風險評估的重要環節，可以及時發現網絡結構、網絡負載、網絡設備等方面存在的安全隱患。
可以從以下幾個方面進行分析：
工控網絡層次：分析網絡層次設計是否合理，是否采用了管理層、控制層、設備層等劃分原則，網絡關鍵點是否采用了冗余備份，網絡設備與所處網絡位置是否匹配等。
工控網絡協議：分析路由協議、數采協議、控制協議設計是否合理，是否存在協議設計混亂、不規范的情況，是否采用安全路由協議等。
工控網絡流量：分析整個網絡流量分布是否合理；是否部署了流量監控系統。
工控網絡規范性：分析網絡建設的規范性，檢查配置是否嚴格遵循相關的設計規范，IP規劃及VLAN 分配是否合理等。
工控網絡邊界：檢查網絡邊界的訪問控制配置，評估整個系統的安全區域劃分是否合理、各安全域之間的訪問控制是否嚴格。
工控網絡管理：檢查網管配置情況（包括帶內網管和帶外網管）、工業防火墻布署情況、主機防護軟件部署情況、日志系統的布署情況。
QoS： 分析流量控制工程是否調配合理，重要的應用系統是否能夠得到QOS保證等。
二、安全運維之安全監控
網絡安全運維過程中應重點對整體網絡安全態勢進行實時監控、安全事件分析及響應，工作安排如下：
三、安全運維之應急預案
當發生安全事件時企業應當根據安全事件等級啟動響應預案。
企業應按照企業業務特點和性質制定應急預案，下面的指標參數標準可作參考：
