安帝科技发布工业主机安全卫士WinCE版

时间：2022-11-29 作者：安帝科技

工业网络环境中，通用终端、专用设备使用时限久、更新周期长，且控制系统对设备的可用性、可靠性和稳定性的要求较高，传统IT安全设备和保护技术不再适用工业网络环境。现有工业主机卫士通常可实现对服务器、终端的统一监控和防护，但尚且无法覆盖工业环境中大量底层设备（如：PDA、HMI、IoT等），其中WinCE设备几乎是端点防御的盲区。北京安帝科技有限公司（以下简称“安帝科技”）结合实际工业场景应用需求，依托在工业网络安全产品研制中的长期技术积累和实践经验，自主研发了适配WinCE操作系统的工业主机安全卫士，填补了工业环境下WinCE系统终端安全监测的空白，实现了工业网络环境中OT资产的最大可见性。

WinCE系统介绍

WinCE操作系统是Windows家族中的成员，为专门设计给掌上电脑（HPCs）以及嵌入式设备所使用的系统环境。该操作系统可使完整的可移动技术与现有的Windows桌面技术整合工作。WinCE被设计为针对小型设备的通用操作系统，是典型的拥有有限内存、无磁盘的系统。

WinCE与微软其它的Windows操作系统不同，它并不是代表一个采用相同标准的对所有平台都适用的软件。为了灵活扩展以适应广泛的产品需求，WinCE可采用不同的标准模式，它能够从一系列软件模式中做出选择，从而使产品得到定制化。另外，一些可利用模式也可作为其组成部分，这些模式能够从一套可利用的组份做出选择，从而成为标准模式。通过选择，WinCE能够达到系统要求的最小模式，从而减少存储脚本和操作系统的运行资源。

常用WinCE工业设备

在工业场景下，WinCE将条码扫描装置与数据终端一体化，使带有电池可离线操作的终端电脑设备具备实时采集、自动存储、即时显示、即时反馈、自动处理、自动传输等功能。为现场数据的真实性、有效性、实时性、可用性提供了保证。其具有一体性、机动性、体积小、重量轻、高性能，并适于手持等特点。主要应用于工业数据采集中，实时采集现场的产品信息及相关的产量数据, 建立现场数据采集网络，实时获取现场的数据信息，为生产及决策提供实时的数据依据。
工业环境中有大量的WinCE设备，该类设备安全防护能力较弱，例如：PDA、HMI、控制器等。

手持PDA

工业HMI

控制器-Beckoff

工业主机安全卫士简介

工业主机安全卫士（以下简称：AD-ICSHG）作为工业控制网络安全防护体系的重要组成部分，使用高稳定性终端软件架构模型和兼容性开发方案，系统资源占用小。AD-ICSHG以端点检测与响应技术为核心，实时检测未知威胁并快速响应。
AD-ICSHG兼容WinCE、Windows、Linux、Unix等操作系统，适用于操作员站、工程师站、服务器站、手持PDA、HMI等工业设备，可覆盖工业现场绝大部分工业设备，为各个设备提供安全防护能力并有效阻止包括STUXNET、Flame、Havex、WannaCry、BlackEnergy等工控恶意程序或代码在工控设备上执行、扩散。

核心优势

系统资源占用极低
无驱动应用层软件，软件运行时不影响主机正常运行；CPU占用率峰值不超过3%，平均占用率不超过1%，内存占用不超过50MB。

WinCE运行时CPU占用
工业设备全面监测
AD-ICSHG不仅兼容Windows全系列操作系统，还兼容主流Linux系统。此外，还支持安装在PDA、HMI等WinCE设备上，填补了大量工业终端设备监测能力的空白，为全方位提高工业设备安全防护能力提供支撑。

主机卫士（WinCE版）客户端
工业资产细粒度盘点
AD-ICSHG（WinCE版）支持采集工业设备的CPU、存储内存、程序内存、系统版本、进程列表等信息，可协助客户对已知、未知资产进行细粒度盘点并建立企业资产台账。
工业环境微隔离
支持通过态势感知平台对不同业务组主机统一下发访问控制策略组合，从而实现工业网络环境微隔离，有效预防数据泄漏、勒索病毒传播等内部攻击事件。
统一管理、升级
支持态势感知平台统一管理，包含网络通信、端口、进程、防火墙、USB、升级、断网、重置密码、基线核查等操作，大大降低运维人员维护成本。

态势感知平台统一管控

技术突破

无驱动、稳定可靠
系统不使用驱动，应用层监测软件，稳定可靠，通过大量实际工业生产环境运行实践，稳定性可达99.999%。
资源耗用低
正常的系统负载情况下，CPU 占⽤率<1%，内存占⽤<50M，消耗极低。
全面兼容WinCE主流版本
支持WinCE 5/6/7版本的操作系统，可以远程升级和维护。
应用场景
AD-ICSHG以软件形式安装部署在现场工程师站及操作员站，将终端信息上报给工业安全流量日志分析系统（即工业主机卫士服务端），并配合上层态势感知平台对终端的应用、进程、网络访问、防火墙策略等进行监控，并适时下发响应处置策略，精准阻断一切白名单安全基线外的可执行文件运行，杜绝U盘、光盘、硬盘等移动介质的滥用，有效隔离病毒、木马等恶意代码，遏制其向由终端网络的扩散和移动。

工业主机安全卫士安装部署图

核心价值

满足等保合规要求
面向工业企业提供合规性保障，满足等保2.0“安全计算环境”等相关政策法规的检查标准和技术要求，可确保工控主机的安全可靠。
工业设备全面监测
兼容Windows全系列操作系统（包含WinCE）以及主流Linux操作系统，填补了工业环境下WinCE系统终端监测的空白，解决了工业网络环境信息孤岛无法全面监测所有工业设备的难题。
主动防御安全赋能
通过“白名单”拦截已知或未知威胁，通过“核心进程防护”保护业务关键进程，通过“审计模块”监控系统非法行为，全方位立体化构建主动安全防御机制，为工业主机主动防御安全赋能。
集中管理安全便捷
通过系统级安全设计提供可信安全防护能力，支持通过可信管理中心统一下发安全策略，对工业主机安全配置集中管理，减少运维管理人员工作量，降低管理难度，提升工作效率。