事件回顾
12 月 4 日，内蒙古某电厂在开展 DCS 系统技术改造工作期间，因山西某科技公司冒用DCS厂商资质许可，其技术人员使用非DCS厂商认证设备加之施工不当导致发生机组跳机事件。经查事发时施工人员正将新增入侵检测设备（IDS）连接至两台机组交换机，拟接收网络镜像流量开展分析。由于入侵检测设备在未加电状态时两个网口处于 bypass 连通状态，造成两台机组 DCS 网络直接互通，最终导致两台机组跳机。
此次事件影响重大，对于业内也是一次深刻的教训，反映出电厂电力监控系统工作中的一系列问题，为防范类似事件发生，应全面提高电力监控系统作业风险防范意识，强化网络安全设备安装调试作业安全管控，细化落实网络安全设备调试安全技术措施，深入做好网络安全设备风险隐患排查整改工作。威努特各层领导与研发团队高度关注本事件，希望通过本文分享在类似场景上的相关经验，为工业客户提供解决之道和专业的安全产品与服务。
硬件bypass原理解析
下图为绝大部分网络安全设备硬件bypass用到的电磁继电器
电磁继电器
电磁继电器工作原理如果用简单的话说，就是电磁铁通电时，把衔铁吸下来使两个触点，工作电路闭合。电磁铁断电时失去磁性，弹簧把衔铁拉起来，切断工作电路。其通常应用于自动控制电路中，事件中的IDS在未通电的情况下一对bypass口相当于直连直通的网线，将两个网络连接。
工业OT网络特点
OT网络多数承载着国家重要基础设施如电力、能源行业等，这类网络与IT网络有着明显的差异性，比如：
1. 对OT网络而言IT技术只是为了实现某个业务的技术手段，而非目的；
2. OT网络中有各类工程控制组件，现场环境远比机房复杂；
3. OT网络非常关注实时性、稳定性与可靠性；
4. OT网络的划分是根据其行业特性而来的，不能套用IT网络通用的结构；
5. ……
这些差异特性使得在为OT网络规划解决方案时，无法再用传统IT网络安全的思维，做标准化产品的同质竞争。而要根据客户实际的使用方式与场景，量身打造与工业OT场景契合的安全产品。生产无儿戏，用百分之百的责任心打磨产品，才是工控安全厂商的安身立命之道。
业内旁路设备现状
上游供应链倾向提供标准款版型
以x华、x研等为代表的上游产业供应链企业更倾向于提供标准款版型，这类版型更考虑产品的通用性，所以基本都配置了接口bypass能力。这导致下游厂商在选用时出于成本考虑也大都采用供应商提供的方案。如下图：
厂商旁路设备与串联设备使用通用硬件平台
旁路类设备和串联类设备的主要差异在软件上，对于硬件平台而言，大多数厂商更倾向于避免硬件设计差异，导致共用硬件平台。以下展示部分友商的旁路类产品：
旁路设备接线实施五要点
按标识接线
明确对应bypass接口标识，在实施时避免使用带有bypass功能的接口，如下图：
全奇全偶接
通常硬件bypass接口组会选择邻接的接口，只使用单数的或者双数的业务接口，可以规避业务口接入同一bypass组，如下图：
从后往前接
大多产品bypass接口都是靠前序列的，常见配置是1路或2路bypass，通常为0/1口、2/3口，在接线时从末尾接口向前接入，可以适当规避，如下图：
闲口要封堵
对于机身bypass接口和其他未规划使用的硬件接口进行封堵，避免误操作，如下图：
选型上规避
在硬件平台的选型上规避使用带bypass接口的型号，从源头解决问题。
声明：本文来自威努特工控安全，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
