旋思科技—助力物联时代的信息安全

       2014年是中国接入国际互联网20周年，据中国互联网网络信息中心发布的报告，截止2013年底，中国网民规模突破6亿，国内域名总数1844万个，网站近400万家，全球十大互联网企业中我国有3家，由此可见中国已是名副其实的“网络大国”。伴随信息网络的飞速发展，近年来前有“伊朗核电站震网病毒”事件，后有“斯诺登棱镜门”事件，使信息安全问题成为每个人关注的焦点，今年2月27日中央网络安全和信息化领导小组成立，更是将信息安全提升到了国家战略高度。

       在物联网逐渐发展的大环境下，工业生产制造业领域中生产控制系统与上层物联信息化平台间的互联互通已成为必然趋势，控制系统与上层物联信息化平台必须同时具备开放性和安全性。

       当前网络隔离技术正向易用性、易集成、易管理、高可靠、负载均衡、应用融合等方向发展。旋思科技充分考虑当前用户的实际需求，研发出SymLink-GAP工业通信安全网关产品，该产品已通过公安部认证，在兼容现有工业通信协议和标准的前提下，使得工业通讯和网络安全高度融合。

硬件架构 
       SymLink-GAP内部两端由两个独立主机系统组成，每个主机系统分别具有独立的运算单元和存储单元，各自运行独立的操作系统和核心程序。连接保护网络的一端为控制端，负责接入控制网络(内网)；另一端为信息端，负责接入到信息网络（外网）。两个独立主机之间通过一对专用隔离通信卡实现双机之间的数据传输，数据流向为内网数据单向流向外网。同时设计了专门的硬件看门狗时刻监视系统状态，保证装置的稳定、可靠运行。

软件架构 
       SymLink-GAP的控制端主机提供多种工业设备数据通信规约库，实现对各种设备数据的接入。SymLink-GAP的信息端主机提供多种数据服务，支持以标准协议（如Modbus，DNP，IEC-104，BACnet，OPCServer等）将数据转发给第三方系统或各种数据库。同时提供一系列具有高附加值的功能模块，如存储系统，断线缓存，脚本引擎等。
       SymLink-GAP工业通信安全网关及搭载其中的嵌入式高性能工业通信软件，构成完整的工业通信安全整体解决方案，高度迎合当前技术发展趋势及客户需求，将控制端与信息端的通信应用与安全稳定性高度融合。

产品特性
       融合传统工业通信产品和传统网闸产品的功能
       以往的相关产品有两类：一类是工业通信产品，可实现工业通信，但无法保证网络安全；另一类是专用的工业网络安全产品（网闸），仅实现网络单纯隔离，没有工业通信功能。SymLink-Gap在兼容现有工业通信协议与通信标准的前提下，实现内外网络隔离，从而保证系统安全。同时可实现各种工业通信协议的转换，消除信息独岛，实现系统互联互通。
       基于RISC架构的工业级设计助你的系统坚若磐石
       SymLink-GAP的核心处理器采用的是基于精简指令集RISC架构的工业级高性能嵌入式计算机芯片，具有低功耗、低发热、可靠性高、设备故障老化率低等特点，非常适用于需要7x24小时不停机的核心关键场合。
       支持多种工业通信协议
       SymLink-GAP搭载工业现场各类通信协议规约库，可在保证网络安全的前提下实现各种现场设备的数据采集及标准协议转发。不断扩充协议库使得可支持更多的设备数据接入。
       高度保证数据完整连续性
       断线缓存机制保证当数据分发的通信链路遇到故障或者与上位软件系统失去联系的时候，SymLinkGAP能将故障时间段内的数据存储在SD卡中，故障清除后，SymLinkGAP可将故障期间缓存的数据补齐给上层系统，最大限度的保证了数据的完整性和连续性。
安全技术
       网络隔离技术
       SymLink-GAP采用截断 TCP 连接的方法，彻底割断穿透性的 TCP 连接。控制端与信息端主机之间采用专有的网络隔离传输技术。物理层采用专用隔离硬件，链路层和应用层采用私有通信协议，数据流采用128 位以上加密方式传输，更加充分保障数据安全。
       通过物理隔离与专有隔离传输技术，实现了数据完全自我定义、自我解析、自我审查，传输机制具有彻底不可攻击性，从根本上杜绝了非法数据的通过，确保控制端不会受到攻击、侵入。
       数据点访问控制
       SymLink-GAP实现了对工业现场通信协议的解析可以实现工业控制系统具体测点的安全控制，更可以实现现场设备具体寄存器地址的安全控制。
       单向控制
       要对SymLink-GAP装置进行各种操作（如：用户管理，IP配置，修改工程、升级程序、查询日志等），只能通过SymLink-GAP装置的控制端进行，这种设计虽然给远程维护带来一些不便，但却是保障工业网络（内网）安全的必须。
       数据的流向完全是由控制端（内网）单向传输到信息端（外网），这种限制保障了控制端（内网）的数据可及时，完整的传到信息网，又可完全杜绝外网的错误数据，恶意数据，病毒等传向控制端（内网）。
       身份认证
       当要对SymLink-GAP装置进行各种操作（如：修改工程、升级程序、查询日志等）时，SymLink-GAP提供了严格的身份认证来管理连接权限。SymLink-GAP采用基于数字签名技术的高安全性认证机制，保证了系统的机密性、完整性。
       数据安全技术
       SymLink-GAP采用多种技术来保证现场设备数据安全，包括限制数据访问IP地址，设置测点的读写权限，入侵防范检测等。通过这些防范技术，可对现场数据进行全方位的保护。
实际应用—SymLink-GAP电力系统中的应用
       需求与现状
       用户属于电力行业此类行业对信息网络安全性要求较高，现需要将电力集团的部分实时数据与市级电力调度中心系统对接。电力集团的实时历史数据库平台采用的是霍尼韦尔的PHD软件平台，市级电力调度中心系统平台所采用的是自有协议平台，不能直接与PHD提供的接口对接，同时还需考虑电力系统的数据安全稳定性，必须保障安全、稳定、优质、快速。
       因此要实现安全并且高效的系统对接，必须采用物理级的安全隔离设备，该设备可以实现与电厂侧PHD系统的接口连接，协议开发，数据采集；与市级电力调度中心侧系统的接口连接，协议开发，数据转发推送。并可在安全隔离的要求下完成实时数据点配置管理，转发数据点的配置管理。
       解决方案
       充分考虑用户当前的需求，按下图所示系统架构进行设计：

       在此方案架构中，采用工业通信安全网关SymLink-GAP作为数据采集转发装置，该装置配套的高性能通信软件，可对电厂侧PHD数据库完成协议解析、数据处理工作；对市级调度系统实现协议解析及数据转发推送，从而实现电力集团与市级调度系统的安全对接通信。
总结
       SymLink-GAP工业通信安全网关的应用极大地提高了底层生产控制系统的安全级别，杜绝了来自外网的黑客行为、病毒程序、网络蠕虫等对工业网络的危害，同时具备的数据采集转发功能将控制端与信息端的通信应用与安全稳定性高度融合。