关于安全措施的详细说明以及具体步骤请查看对应的 SIMOTION 文档。SINUMERIK、SIMOTION 和 SINAMICS 等很多产品上都包含了 OpenSSL。此类产品适用：? 本产品包含了一些由 OpenSSL 项目开发、用于应用在 OpenSSL Toolkit 中的软件? 本产品包括了由 Eric Young 开发的加密软件? 本产品包括了由 Eric Young 开发的软件系统强化端口安全关闭硬件端口从工程设计软件 HW Config V4.4 起，SIMOTION 设备的一些 PROFINET 硬件端口（比如：X150）被设为“Disable”（即关闭或禁用）。该端口关闭，意味着禁止设备连接，并增强了系统对外部访问的防御。因此，所有未使用的端口都应关闭。说明PROFINET 硬件端口关闭后，便无法继续访问 SIMOTION 设备。工程设计系统和 PN 堆栈会确保，每个接口至少有一个端口没有设为“Disable”，以避免将用户一并排除在外。默认设置是“Automatic settings.”。更多信息关于 SIMOTION 上使用的逻辑以太网端口和协议的更多信息，请参见 SIMOTION 通信系统手册 中的“使用的通信和服务”章节。 SIMOTION P 上使用的杀毒软件、Windows 安全补丁杀毒软件简介只要工业 PC 系统通过公司内网接入互联网或者直接接入互联网，该 PC 系统就有感染病毒的风险。恶意软件侵入系统的渠道很多，不仅可能通过公司内网或互联网侵入，也可能通过移动存储器侵入，比如：插入系统进行数据备份的 U 盘。SIMOTION P320 上使用杀毒软件在微软 Windows 操作系统中运行的一些杀毒软件，比如：一些在家用电脑或办公电脑上安装的杀毒软件，会非常深入地介入系统运行过程。比如：它会执行一些实时扫描或定期的系统扫描。这种扫描可能会影响系统性能，同时也会影响 SIMOTION Runtime 软件。SIMOTIonRuntime 软件虽然在实时环境中运行，但依旧受现有系统资源的影响。说明考虑到杀毒软件对系统性能的影响，SIMOTION P320 上不能安装和使用与系统同时运行的标准杀毒软件。使用杀毒软件SIMOTION P320 上不使用标准杀毒软件，而是提供另一种安装机制，即在一个可单独引导启动的操作系统 Windows PE 中安装杀毒软件。该软件通过一张 CD 光盘或 U 盘启动，然后执行病毒扫描。说明服务和支持网站中的常见问题解答（FAQ）关于在 SIMOTION P320 上使用杀毒软件的更多信息，请访问西门子的服务和支持网页中“如何在 SIMOTION P3x0 上使用杀毒软件”的解答安全项目保存SIMOTION SCOUT 中的项目数据保存所有相关数据、配置和程序都可以保存在项目中。在一个项目中，只有程序和库可以通过专有技术保护进行加密保存。需要保护整个项目时，便需要采用常用的 Office 方案来保护项目数据，比如：用密码保护存档或对硬盘进行加密。文件结构SIMOTION SCOUT 的项目数据有以下几种类型。配置数据（ES）? 标准保存：文件结构保存在 STEP 7/TIA Portal 的项目树形图中，SIMOTION SCOUT 对象保存在项目文件夹中。这种保存方式不是安全保存，假如项目中的程序和库没有设置专有技术保护或者没有进行外部文件加密，任何人都可以对数据进行编辑。本段的“程序”泛指所有可能包含程序、功能块和功能的单元。? XML 数据在 XML 导入或导出过程中产生的项目数据。专有技术保护保留。Runtime 数据（RT）、CF 卡上的数据? SIMOTION 项目的 ZIP 压缩存档（非二进制）。项目存档保存在各个 SIMOTION 控制系统的存储卡（CFAST、CF 卡、MMC）中。该存档可以通过比如 SIMOTION SCOUT 等工具或者标准途径（FTP ）传送。? 二进制数据（压缩或未压缩）二进制数据包含了经过编译的、含配置和应用的可运行项目。没有 SIMOTION SCOUT 项目便无法对 Runtime 数据进行任何修改，因为项目是以二进制数据格式保存在 SIMOTION 控制系统上的。下面的一张示意图举例说明了系统上的项目数据保存方式，并标出了受保护的数据。
专有技术保护通过“SIMATIC Logon”实现安全的访问控制用户管理和可追溯性“SIMATIC Logon”选件包用于设置对 STEP 7 中项目和库的访问权限。为某项目设置访问权限后，只有授权用户才可以访问该项目。SIMATIC Logon 可以和 SIMOTION SCOUT 组合使用。SIMATIC Logon 支持以下功能：? 为各个用户和用户组分配执行某操作（比如：读、写、传送程序块）所需的权限。? 记录 PC 上的在线活动和登录过程，以便追踪项目中的访问和修改操作。? 为用户或用户组分配临时权限。? 密码更换方案变更记录当访问保护激活时，便可以记录变更。“变更”包括比如以下操作：? 激活? 关闭? 对访问保护和变更记录的配置? 打开/关闭项目和库；将项目和库加载到目标系统中；一些导致运行状态变化的活动等。工程软件中提供的专有技术保护专有技术保护的类型SIMOTION SCOUT 中的专有技术保护可以防止未经授权地查看和编辑程序。它允许多个登录账户。可以设置一个标准登录账号用于工程设计。专有技术保护有两种形式：? 针对程序和库的专有技术保护? 针对驱动对象的专有技术保护（从 SINAMICS V4.5 起）在“项目-> 专有技术保护”下，您可以设置登录名和密码。点击菜单命令“设置”，便可以为该程序激活专有技术保护。在该项目中用户仍能够看到该程序，但程序名旁已经加了一个小锁图标。产品特殊的安全措施8.3 SIMOTION工业信息安全配置手册, 01/2023, 6FC5397-5EP40-6RA2 97程序和库专有技术保护可以保护您项目中的程序和库。专有技术保护激活后，便可以防止有人未经授权地查看和编辑您的程序。您可以为某个程序单独设置该保护，也可以为项目中的所有程序统一设置。访问保护和加密分为多个安全等级，以便针对不同数据类型实施保护：? 程序，泛指包含程序、功能块和功能的单元，有结构化语句、运动控制图、梯形图、功能块图这些表示方式。? 驱动控制图（DCC）? 库加密时提供三种安全等级选项：? 标准只使用登录名和密码便可登录（向下兼容 V4.2 之前的版本）。? 中等改进密码的编码方式（采取新方法，不向下兼容，无需掌握密码）。程序和库可以随时重新编译，无需掌握密码。? gaoji（只针对库中的源结构化语句表）只有在输入密码后，才可以编译。在导出库后，即使没有密码，也可以使用受保护的库，因为此时编译结果被一同导出。– 另外，在导出库时可以不导出源语句。这是最高等级的保护，因为在导出时会彻底删除工程设计软件中的源语句，而导出过程只包含了编译结果（但无法重新编译）。程序块接口始终是显示的。SIMOTION SCOUT 中的驱动设备针对驱动设备的专有技术保护只在线有效，它可以保护知识产权，尤其是机器制造商的专有技术，防止它们被非法使用或用于模仿复制您的产品。详细信息参见章节“专有技术保护 (页 107)”。为控制系统配置提供的防拷贝功能SIMOTION 项目的防拷贝功能通过一些应用层的措施，配置可以和存储卡或控制系统绑定，以防止非法复制配置。产品特殊的安全措施8.3 SIMOTION工业信息安全98 配置手册, 01/2023, 6FC5397-5EP40-6RA2一些系统函数可以查询应用中 CPU、存储卡以及 DRIVE-CLiQ 组件的序列号。机器制造商因此可以在创建程序块时采取一种加密机制，该机制可以在系统运行时从当前组成的序列号中形成一串密钥，并将密钥和机器密钥对比。每个机器配置有一串单独的机器密钥，该密钥可以由机器制造商生成并保存在应用层中，但也可以由最终用户通过 HMI 等装置输入，以便开展设备维护等作业。除此以外，使用 SIMOTION OA 工艺包借助一些特殊的协议，也可以获得更广泛的专有技术保护和防拷贝功能。在线/离线比较项目比较SIMOTION SCOUT / STARTER 中提供了项目比较功能，点击按钮“开始对象比较”即可打开该功能，它可以比较同一个项目内的对象，也可以比较不同项目（离线或在线）的对象。通过离线/在线比较，您可以发现和之前保存的配置数据相比，系统上的项目数据发生了哪些后续变化，从而确定是否有非授权的外部访问。比较分为以下几种：? 离线对象和同一个项目中的离线对象比较? 离线对象和另一个项目中的离线对象比较? 离线对象和在线对象比较SIMOTION SCOUT 的项目比较涵盖了一个项目中的所有对象：比如：SIMOTION 设备、驱动对象、库、程序（单元）、工艺对象、I /O 以及顺序系统的配置。产品特殊的安全措施8.3 SIMOTION工业信息安全配置手册, 01/2023, 6FC5397-5EP40-6RA2 99在您开展服务或者需要找出项目数据的改变时，离线/在线比较可以提供便利。举个例子，有时在切换到在线模式后，项目导航栏会显示不一致，也就是说，SIMOTIonSCOUT 中的项目和设备上下载的项目之间有不同。导致这种不一致的原因可能有：? 程序被修改? 程序的编译结果不同? 设备全局的变量有不同? 顺序系统被修改? 硬件配置变化? 库被修改? 某根轴的配置数据被修改通过对象比较您可以确定不同之处，必要时可以统一数据，消除不同。详细的离线/在线比较通过对整个项目的比较，您可以发现在线项目和离线项目之间的具体不同。如果之前在项目下载到设备上时一同保存了附加数据（源信息），通过比较，您可以发现深入到程序源代码一级的修改。采用梯形图、功能块图、运动控制图这些图形化编程语言时，也可以进行这种详细的比较。SIMOTION IT 网络服务器引言SIMOTION 设备具有网络服务器功能，它可以提供一些预先配置的标准网页。这些标准网页通过主流的浏览器和以太网便可显示。另外，用户还可以自定义 HMTL 页面，并加入服务和诊断信息。网络服务器可以关闭。网络服务器激活时，设备的安全运行由内部集成的安全方案和用户管理来保障。关闭 / 激活网络服务器您可以在 SIMOTION SCOUT 或 SIMOTION SCOUT TIA 项目中的控制系统硬件配置下激活或关闭网络服务器及其所有功能和服务。在其中，您可以有针对性地激活或关闭单个功能。在 SIMOTION SCOUT 或 SIMOTION SCOUT TIA 中激活 SIMOTION IT 网络服务器说明激活网络服务器时，必须设置用户管理，为用户访问设置密码保护。通过 HTTP、HTTPS、FTP 和 Telnet 协议访问网络服务器时的安全方案从 V4.4 版本起，对 SIMOTION IT 网络服务器的访问通过一种多级安全方案进行保护。网络服务器的安全状态以安全等级的形式显示在网页上。安全等级有三种：Low, Normal,High。Security Level Low出厂时系统上的用户数据库为空。系统上没有任何项目。此时处于“低安全等级”，允许用户配置设备。? 在该状态下，用户可以匿名访问网络服务器，使用项目更新、固件更新或 OPC XML 之类的功能。? 同样，FTP 访问和 Telnet 访问也是开放的。? 空的用户数据库中可以输入新用户。产品特殊的安全措施8.3 SIMOTION工业信息安全102 配置手册, 01/2023, 6FC5397-5EP40-6RA2Security Level Normal控制系统具有一个用户数据库。系统上有一个项目，并激活了硬件配置的 HTTP、HTTPS、FTP 和 Telnet。? 在访问有敏感内容（比如：固件更新、监控表等）的网页时以及在 FTP 和 Telnet 访问中，需要用户/密码验证。一旦有一个项目下载到控制系统，便处于“Security Level Normal”安全等级，用户数据库为空。标准网页继续显示。用户无法访问所有其他需要验证的网页。Security Level High这是具有最严密访问保护的高安全等级：? 在项目的硬件配置中，HTTP、HTTPS、FTP 和 Telnet 都关闭。无法再通过对应的服务端口进行以太网访问。网络服务器无法使用。用户管理SIMOTION IT 有一个用户数据库，用于保护设备访问。该用户数据库中保存了一些用户组及下属的用户。可以针对网络服务器的各个网页为各个用户组分配访问权限。通过验证后便可以访问网络服务器。验证? 有用户（USER）。? 每个用户有一个密码，该密码经过加密。? 用户属于某个组（GROUP）。? 网页、目录和应用程序通过安全区域加以保护，和组对应。? 只有属于安全区域的用户，才可以访问受保护的网页。? 每个安全区域有一组具有访问权限的用户。? 一个用户可以属于不同组。数据加密传输协议（HTTPS）网络服务器的访问既支持 HTTP 协议，也支持 HTTPS 协议。通过 HTTPS 协议中的 TLS 协议（安全传输层协议）可在客户端（浏览器）和 SIMOTION 控制系统（网络服务器）之间进行数据加密传输。为了保证安全，您可以关闭 HTTP 端口来强制使用 HTTPS。浏览器与网络服务器之间的通信采用 HTTPS 加密协议时，需要创建和安装证书。在设备出厂时，设备已经自带了一份标准根证书和一份网络服务器私钥文件。这些文件应替换为客户自己的密钥文件，以增强设备 HTTPS 访问的安全性。产品特殊的安全措施8.3 SIMOTION工业信息安全配置手册, 01/2023, 6FC5397-5EP40-6RA2 103密钥文件? 出厂状态SIMOTION 控制系统出厂时自带了一份根证书和一份私钥文件，方便用户在系统出厂时就可以通过 HTTPS 来访问 SIMOTION IT 标准诊断网页。? 自行创建 TLS 证书借助 Perl 工具和一同交付的 Perl 脚本 (cert.pl)，可以创建客户机器 (Sites) 所需的证书并打包到加载包中。您有两种渠道可以获取自己的服务器证书（TLS 证书）：? 利用证书软件自己为自己签发一张根证书（也叫自签名证书）和一份私钥文件。? 从认证机构（Certificate Authority）处购买一份服务器证书。将 TLS 证书导入浏览器内如果想运行自行认证的 TLS 证书，您必须在个人电脑上进行一些准备工作，才能与 SIMOTION控制系统建立通信。在 PC 上将根证书加入到浏览器的证书列表中。