身份認證是工業(yè)控制系統(tǒng)操作指令安全執(zhí)行的前提，其目的是確認操作者身份的合法性，確定該用戶是否具有對某種資源的訪問和使用權限，從而使工業(yè)控制系統(tǒng)的訪問策略、操作行為合規(guī)合法。如果身份認證機制失效，易出現(xiàn)身份冒認，非法訪問等行為，進而對工業(yè)生產(chǎn)的正常運行造成威脅，因此必須建立嚴格的身份認證機制。工業(yè)企業(yè)應加強工業(yè)控制系統(tǒng)的安全身份認證措施，防止攻擊者假冒合法用戶獲得訪間權限。
在登錄工業(yè)主機、訪問應用服務資源及工業(yè)云平臺等過程中，工業(yè)企業(yè)應采取合理的身份認證安全管理措施，通過身份鑒別、角色判定、權限分配等手段實現(xiàn)系統(tǒng)登錄訪問的身份認證管理，常用的身份認證管理技術包括口令密碼、數(shù)字證書、USB-Key、智能卡、生物指紋、虹膜等， 以確保訪問過程安全可控。
對關鍵設備、系統(tǒng)和平臺(如工程師站、操作員站、服務器等)，必要時應采用多因素認證方式，避免他人盜用、誤用，提高對工控設備、系統(tǒng)和平臺的攻擊難度。多因素認證方式是指采用兩種或兩種以上身份認證手段，多因素認證的安全性更高，被攻破的可能性更低，能更有效地，增強系統(tǒng)訪問過程中的安全性。
企業(yè)應根據(jù)不同業(yè)務需求、崗位職責等，合理分類設置賬戶。依據(jù)崗位設置不同的賬號，如工程師賬號和操作員賬號的權限不同，降低因事故、錯誤，篡改等原因造成損失的可能性。同時，工業(yè)企業(yè)需建立和維護用戶權限清單，結合角色變更及時更新賬戶權限，定期審計分配的賬戶權限是否超出工作需要、人員是有離網(wǎng)，定清除過期賬戶。
企業(yè)可參考供應商的推薦或信息安全相關標準中的口令設置規(guī)則，根據(jù)資產(chǎn)重要性對工業(yè)控制設備、SCADA軟件、工業(yè)通信設備等設定不同強度的口令，并定期對口令進行重置更新。口令以采取多位數(shù)字、字母、特殊符號的組合方式為宜，結合口令長度、錯誤次數(shù)限定等手段提高安全強度，建議采用驗證碼或其他機制提高口令破解的難度，禁止使用默認密碼、弱口令、空口令等，嚴禁明文張貼口令現(xiàn)象的發(fā)生。
建議工業(yè)企業(yè)建立身份認證證書管理制度。如采用安全介質存儲證書信息，對證書的申請、發(fā)放、傳遞、使用、吊銷等過程通過技術手段嚴格控制，保證不同系統(tǒng)和網(wǎng)絡環(huán)境下禁止使用相同的身份認證證書信息，減小證書暴露后對系統(tǒng)和網(wǎng)絡的影響。同時禁止證書的跨網(wǎng)共享，即在不同系統(tǒng)和網(wǎng)絡環(huán)境下禁止共享或傳遞證書信息，以最大限度維護證書的私密性和安全性，進而保證身份認證的安全性。
下載文檔
