從2010年的伊朗“震網(wǎng)”事件到2015年烏克蘭電力遭受攻擊，工控安全事件頻發(fā)，防護亟需加強。在“互聯(lián)網(wǎng)+”、智能制造時代背景下，我國工控安全形勢如何？有哪些問題？怎樣解決？《中國信息化周報》聚焦工控安全，獨家采訪多位用戶CIO、廠商高層和行業(yè)專家，探尋答案。

　　“中國制造2025”戰(zhàn)略、兩化深度融合和萬物互聯(lián)互通政策帶來產(chǎn)業(yè)的大規(guī)模轉(zhuǎn)型升級，工業(yè)控制和基礎(chǔ)設(shè)施智能化快速發(fā)展的同時，也面臨著新挑戰(zhàn)。工控網(wǎng)絡(luò)安全領(lǐng)域問題突出，防護亟須加強。工控系統(tǒng)中的“漏洞”就像身體出現(xiàn)疾患，一旦工控系統(tǒng)“漏洞”遭到攻擊，產(chǎn)生的破壞性會超出想像。

　　根據(jù)喬治亞理工學(xué)院發(fā)布的網(wǎng)絡(luò)安全預(yù)測報告，2016年網(wǎng)絡(luò)安全威脅呈現(xiàn)四大趨勢，其中工控網(wǎng)安全是焦點問題之一。美國工業(yè)控制系統(tǒng)網(wǎng)絡(luò)應(yīng)急響應(yīng)小組（ICS-CERT）最新發(fā)布的2015年關(guān)鍵基礎(chǔ)設(shè)施安全報告顯示，2015年美國關(guān)鍵基礎(chǔ)設(shè)施安全事件比2014年增長了20%之多。

　　工控安全問題對中國的震動其實始于伊朗“震網(wǎng)”事件。當(dāng)年名為“震網(wǎng)”的蠕蟲病毒入侵西門子為伊朗布什爾核電站設(shè)計的工業(yè)控制軟件，意在奪取核電設(shè)備的控制權(quán)，造成20%的離心機報廢，伊朗大約3萬個網(wǎng)絡(luò)終端感染。近年來，在世界范圍內(nèi)的工控安全事件還是屢見報端。

　　在“互聯(lián)網(wǎng)+”、智能制造的時代背景下，工控安全顯得格外重要。我國工控安全形勢如何，有哪些問題和難點，該如何解決？《中國信息化周報》聚焦工控安全，通過記者多方采訪，探尋答案。

　　賽迪智庫網(wǎng)絡(luò)安全所所長劉權(quán)告訴記者，隨著工業(yè)控制系統(tǒng)和互聯(lián)網(wǎng)的不斷融合，互聯(lián)網(wǎng)正快速滲透到工業(yè)控制系統(tǒng)的各環(huán)節(jié)，能源、裝備制造等重要行業(yè)原有相對封閉的系統(tǒng)運行環(huán)境逐漸被打破，越來越多的工業(yè)控制系統(tǒng)可以通過互聯(lián)網(wǎng)、移動互聯(lián)網(wǎng)等直接或間接地訪問，不僅大大增加了針對工業(yè)控制系統(tǒng)的攻擊點、攻擊面和信任網(wǎng)絡(luò)邊界，也使得病毒、木馬等傳統(tǒng)網(wǎng)絡(luò)安全威脅通過互聯(lián)網(wǎng)逐漸向工業(yè)控制系統(tǒng)擴散，為工控安全保障工作帶來了新的挑戰(zhàn)。

　　新的工控安全防護需求有哪些？匡恩網(wǎng)絡(luò)技術(shù)總監(jiān)井柯認(rèn)為有以下幾個方面：第一，工控網(wǎng)絡(luò)邊界防護措施不完善，安全威脅較大。第二，智能工廠核心控制器遍布于生產(chǎn)全環(huán)節(jié)，一旦發(fā)生針對控制器的網(wǎng)絡(luò)攻擊和網(wǎng)絡(luò)劫持，將導(dǎo)致生產(chǎn)受損。因此，智能工廠核心控制器的網(wǎng)絡(luò)安全防護有待加強。第三，存儲核心加工數(shù)據(jù)的工控主機、數(shù)據(jù)服務(wù)器的抗攻擊、抗非法訪問能力有待提高。第四，構(gòu)筑立體化工控網(wǎng)絡(luò)安全防御體系，加強安全防護系統(tǒng)的建設(shè)；加強安全風(fēng)險的發(fā)現(xiàn)、管理與動態(tài)處置能力的建設(shè)；加強深度防御，及安全事件的關(guān)聯(lián)分析與安全預(yù)警機制的建設(shè)，形成安全事件的快速反應(yīng)、快速處置。

　　劉權(quán)則從標(biāo)準(zhǔn)和技術(shù)兩方面分析了目前工控安全存在的問題：“在標(biāo)準(zhǔn)方面，我國工控系統(tǒng)分類分級、安全評估、第三方機構(gòu)認(rèn)定等工控安全基礎(chǔ)性標(biāo)準(zhǔn)缺失，工控系統(tǒng)運營企業(yè)開展安全防護面臨無規(guī)可循的窘境。在技術(shù)方面，我國網(wǎng)絡(luò)安全威脅監(jiān)測、漏洞分析、芯片級硬件安全分析、協(xié)議分析等技術(shù)能力不足，難以及時發(fā)現(xiàn)針對工業(yè)控制系統(tǒng)的網(wǎng)絡(luò)攻擊。此外，工業(yè)控制系統(tǒng)具有互操作性強、實時性高等天然要求，通用的安全手段和安全策略無法直接移植。大數(shù)據(jù)等新興信息技術(shù)在工業(yè)控制領(lǐng)域的安全理論、防護體系尚不成熟。”

　　“相關(guān)的防護技術(shù)已經(jīng)向縱深防護的方向發(fā)展，要從工業(yè)控制系統(tǒng)的安全生命周期的角度來考慮工業(yè)控制系統(tǒng)的安全。”綠盟科技工控安全專家分析道，“要向漏洞的挖掘→漏洞檢測→工控審計→工業(yè)蜜罐（蜜罐場）→未知威脅檢測→態(tài)勢感知→綜合預(yù)警的方向發(fā)展，綜合應(yīng)用相關(guān)技術(shù)來應(yīng)對工業(yè)控制系統(tǒng)所面臨的安全威脅。”

　　隨著采訪的深入，記者發(fā)現(xiàn)，被采訪者都提到工業(yè)控制安全的難點就是實現(xiàn)工業(yè)控制系統(tǒng)安全與工業(yè)控制技術(shù)的融合，融合之路任重道遠。

　　到底難在什么地方？劉權(quán)總結(jié)說，一是缺乏具有可操作性、權(quán)威性的工控安全防護指導(dǎo)性標(biāo)準(zhǔn)文件，工控系統(tǒng)運營單位難以開展有針對性的安全防護。二是運營單位網(wǎng)絡(luò)安全防護意識淡薄，相關(guān)工控網(wǎng)絡(luò)安全制度難以有效落實，導(dǎo)致工控安全防護技術(shù)難以發(fā)揮應(yīng)有效用。如第三方運維缺乏安全監(jiān)管、內(nèi)部移動介質(zhì)無序使用、信息通信的第三方不安全接入等情況普遍存在。此外，工控系統(tǒng)運營單位出于對系統(tǒng)升級成本和運行穩(wěn)定性的考慮，也往往不會主動升級工控系統(tǒng)的安全防護手段。

　　用戶心聲

　　CIO觀點：工控系統(tǒng)防御性普遍缺乏

　　森源電氣CIO顧總理希望在工控領(lǐng)域有更多更有效的產(chǎn)品及應(yīng)用出現(xiàn)，在《中國信息化周報》記者問及他對工控安全現(xiàn)狀的感受時，他談到如下四點：第一，工控產(chǎn)品普遍不“安全”，包括國際一線品牌的生產(chǎn)檢測裝備，其多以實現(xiàn)主體功能為主，軟件系統(tǒng)健壯性欠缺。第二，工控安全防御性產(chǎn)品還不夠成熟，沒有發(fā)現(xiàn)效果明顯反饋優(yōu)異的產(chǎn)品出來，市場潛力還很大。第三，企業(yè)在工控裝備日益增多，工控網(wǎng)絡(luò)與業(yè)務(wù)信息系統(tǒng)網(wǎng)絡(luò)逐步融合的數(shù)字化工廠建設(shè)階段，其對工控安全的需求迅速提升，隱患不斷增大，在工控裝備自身安全性低和第三方工控安全防御性產(chǎn)品普遍不成熟的情況下，通常采用盡量隔離、控制交界的手段。第四，人為的隔離工控網(wǎng)絡(luò)和辦公網(wǎng)絡(luò)，相當(dāng)于減少外侵機會。這種措施越來越難以滿足日益增長的物聯(lián)網(wǎng)需求。而控制辦公網(wǎng)與工控網(wǎng)的交界點安全，也是一種從入口處防范的措施。由于工控網(wǎng)絡(luò)的安全等級更高，破壞性更大，所以要慎防病毒從辦公網(wǎng)絡(luò)向工控網(wǎng)絡(luò)的蔓延。目前工控系統(tǒng)及軟件往往比較脆弱，病毒入侵后很容易中招。

　　對于工控安全發(fā)展的建議，顧總理說：“我們目前也還是在兩網(wǎng)交接處嘗試采用更有效的殺毒軟件，然后在工控網(wǎng)絡(luò)內(nèi)，著力打造一個純凈的網(wǎng)絡(luò)，無用的東西一概不安裝，不相關(guān)的人一概不操作，無關(guān)的數(shù)據(jù)一概不進入。希望工控類產(chǎn)品要增加自身的安全性，不要做不堪一擊的小白兔；對于工控安全防御類產(chǎn)品，要克服人才困境，多結(jié)合企業(yè)場景，做出更加適用的產(chǎn)品及方案；對于企業(yè)來講，要提高安全意識，并在采購工控產(chǎn)品時關(guān)注系統(tǒng)安全性、在管理上加上管理手段、在投入上重視引進工控安全防御類產(chǎn)品應(yīng)用。”

　　青島中集冷藏箱制造有限公司CIO耿峰一直非常關(guān)注工控安全的發(fā)展。他告訴《中國信息化周報》記者：“過去工控安全不是工業(yè)化的重點。隨著未來工業(yè)自動化程度越來越高，數(shù)字化、智能化的逐步推進，工控系統(tǒng)的安全性會逐步受到重視，但是由于工控的封閉性與專業(yè)性，其安全管理需求未必會有多高的重視程度。”

　　在談到信息安全技術(shù)手段與業(yè)務(wù)的有機融合時，耿峰說：“這條路會很長，首先，熟悉工控的人都十分清楚，諸多工控系統(tǒng)其實有超強的封閉性，很多都是單向通信，于是乎其安全性還是具備高等級的；第二，工控系統(tǒng)專業(yè)性極強，有著諸多的壁壘，所以外界對它的安全威脅相對于我們平時認(rèn)知的信息安全要低得多。我覺得從操作（標(biāo)準(zhǔn)作業(yè)）與防御方面做會更加實際一些。當(dāng)下工控系統(tǒng)的確缺乏防御性，甚至沒有，這是工控系統(tǒng)本身的特征造成的，長遠來看必要的防御手段還是要具備的。”

　　■森源電氣CIO 顧總理

　　希望工控類產(chǎn)品要增加自身的安全性，對于工控安全防御類產(chǎn)品，要克服人才困境，多結(jié)合企業(yè)場景，做出更加適用的產(chǎn)品及方案。

　　■青島中集冷藏箱制造有限公司CIO 耿峰

　　隨著未來工業(yè)自動化程度越來越高，數(shù)字化、智能化的逐步推進，工控系統(tǒng)的安全性會逐步受到重視。

　　企業(yè)論道

　　體系、平臺、技術(shù)創(chuàng)新成破冰關(guān)鍵

　　“互聯(lián)網(wǎng)+”在各個領(lǐng)域深度滲透，廣泛推進，取得了明顯成效，但當(dāng)所有設(shè)備、所有系統(tǒng)互聯(lián)互通以后，安全問題就至關(guān)重要。尤其在“中國制造2025”、“互聯(lián)網(wǎng)+”新業(yè)態(tài)下，對工業(yè)控制網(wǎng)絡(luò)提出了更多新的安全防護需求，新需求是推動技術(shù)創(chuàng)新的原動力，唯有技術(shù)創(chuàng)新才可解工控安全之困局。

　　“4+1”安全防護體系

　　在實現(xiàn)工業(yè)控制系統(tǒng)內(nèi)在安全和體系防護的有機統(tǒng)一方面，匡恩網(wǎng)絡(luò)創(chuàng)新性地提出“4+1”安全防護體系，即結(jié)構(gòu)安全、本體安全、行為安全、基因安全，以及時間持續(xù)性防護。結(jié)構(gòu)安全和行為安全是工控安全體系的主體，是實現(xiàn)工控系統(tǒng)體系防護的關(guān)鍵因素，也是對工業(yè)控制系統(tǒng)進行安全改造和加固的切入點；基因安全和本體安全關(guān)系到工控安全體系的本質(zhì)安全，其根本的解決之道是自主可控；持續(xù)性防護是建立長效的安全防護機制，在持續(xù)對抗中多維度保障工業(yè)控制系統(tǒng)及關(guān)鍵基礎(chǔ)設(shè)施全生命周期的安全。

　　怎樣做好工業(yè)控制系統(tǒng)安全防護？井柯建議：第一，為工業(yè)控制系統(tǒng)網(wǎng)絡(luò)融入安全基因。主要通過針對工業(yè)控制系統(tǒng)安全規(guī)劃設(shè)計、持續(xù)的威脅管理、安全運營以及人員培訓(xùn)等方面注入到整個工業(yè)控系統(tǒng)生命周期中。第二，推動工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全開放平臺的建設(shè)。一方面需要開展針對工業(yè)控制系統(tǒng)的產(chǎn)品與安全產(chǎn)品的研發(fā)，確保產(chǎn)品的安全、自主、可靠；還有就需要通過信息共享、資金保障、標(biāo)準(zhǔn)、產(chǎn)品等共同營造健康的產(chǎn)業(yè)生態(tài)環(huán)境。第三，推動工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全與生產(chǎn)安全的融合。

　　三個維度保障工控安全

　　工控領(lǐng)域的企業(yè)已經(jīng)開展了有針對性的研究，原有信息安全企業(yè)、研究機構(gòu)和大學(xué)也在逐步開展針對工業(yè)控制系統(tǒng)的安全研究。

　　“工業(yè)控制系統(tǒng)為了保障業(yè)務(wù)的穩(wěn)定運行，也開發(fā)了大量的安全功能，通過多點失效保障與表決機制等來保障關(guān)鍵操作，其中更多是防止誤操作對工業(yè)控制系統(tǒng)的影響，而功能安全所具備的失效保障的措施，在應(yīng)對潛在的對外部攻擊所導(dǎo)致的功能失效方式也起到一定的作用。”綠盟科技專家說，“隨著工業(yè)控制系統(tǒng)信息化程度的加深，必然將導(dǎo)致工業(yè)控制系統(tǒng)受攻擊面的增多，融合實際的操作規(guī)程要求、融合實際的功能安全屬性、基于業(yè)務(wù)的流程與工藝的行為建模和分析，形成信息安全技術(shù)手段與業(yè)務(wù)有機融合的技術(shù)，才能在工控系統(tǒng)安全領(lǐng)域?qū)崿F(xiàn)真正的突破。”

　　在談及技術(shù)創(chuàng)新時，劉權(quán)對《中國信息化周報》記者說：“對于創(chuàng)新的工控安全防護技術(shù)產(chǎn)品，政府機構(gòu)應(yīng)通過政策引導(dǎo)、防護指南實施、產(chǎn)品試點示范等工作推動創(chuàng)新的工控安全防護技術(shù)產(chǎn)品的成果轉(zhuǎn)化，以及和工控企業(yè)業(yè)務(wù)的有機結(jié)合。此外，我國諸多重點領(lǐng)域工控系統(tǒng)核心部件及相關(guān)基礎(chǔ)網(wǎng)絡(luò)組件、服務(wù)平臺多被國外產(chǎn)品壟斷。大部分工控系統(tǒng)及配套數(shù)據(jù)庫和服務(wù)器產(chǎn)品都來自國外，且多由國外廠商直接提供運維服務(wù)。只有加強工控基礎(chǔ)軟硬件研發(fā)，在芯片、操作系統(tǒng)、組態(tài)軟件等領(lǐng)域取得重大突破，才有望實現(xiàn)工控系統(tǒng)信息安全的真正破突。”

　　基于對工控系統(tǒng)安全需求的理解，結(jié)合國內(nèi)工控安全的規(guī)范要求及國外相關(guān)標(biāo)準(zhǔn)內(nèi)容，綠盟科技提出從技術(shù)、管理和運行三個維度來保障工業(yè)控制系統(tǒng)安全。三個保障維度主要包含：網(wǎng)絡(luò)邊界防護、安全縱深防護、安全運行管理和安全管理制度要求等幾個方面，融合了技術(shù)、管理和運行的要求來保障工業(yè)控制系統(tǒng)的安全。綠盟科技工控安全專家對《中國信息化周報》記者說：“結(jié)合工業(yè)控制系統(tǒng)運行階段的特點，我們提出三個能力建設(shè)，包含從上線前的安全檢測、安全能力部署、安全運行三個階段，覆蓋工業(yè)控制系統(tǒng)運行周期的安全保障。”

　　實現(xiàn)信息安全風(fēng)險的動態(tài)管理

　　啟明星辰集團在2014年4月成立了貫穿前、中、后場的統(tǒng)一協(xié)調(diào)、有效溝通、直接面向客戶需求的工控安全特別任務(wù)組，支撐石油煉化、煙草、軍工、先進制造、軌道交通、電力、鋼鐵、石油、煤炭等各行業(yè)客戶的工控安全需求。

　　據(jù)啟明星辰集團工控安全負(fù)責(zé)人李轉(zhuǎn)琴介紹，其工業(yè)控制信息安全產(chǎn)品體系以工業(yè)控制信息安全管理系統(tǒng)為核心，以旁路檢測、串聯(lián)防護、現(xiàn)場防護三大引擎為支撐，全面實現(xiàn)全網(wǎng)工控設(shè)備的統(tǒng)一安全監(jiān)測和防護，安全風(fēng)險集中分析和展現(xiàn)。輔助以貫穿工業(yè)控制系統(tǒng)需求、設(shè)計、建設(shè)、運營、廢除全生命周期的工控安全風(fēng)險評估平臺，實現(xiàn)信息安全風(fēng)險的動態(tài)管理。

　　李轉(zhuǎn)琴提到，工業(yè)控制系統(tǒng)之所以有信息安全問題，主要是因為要將傳統(tǒng)的控制網(wǎng)轉(zhuǎn)化為工業(yè)以太網(wǎng)，進而快速與上層網(wǎng)絡(luò)互連并實現(xiàn)統(tǒng)一管理，實現(xiàn)生產(chǎn)決策可視化。接著，她又解釋道：“按照工業(yè)控制系統(tǒng)典型的五層普度模型，傳統(tǒng)管理網(wǎng)信息安全的建設(shè)是在上二層，下三層屬于工業(yè)控制范疇，除特殊協(xié)議外和現(xiàn)場設(shè)備形態(tài)外，結(jié)構(gòu)上仍然與信息網(wǎng)如出一轍。因此傳統(tǒng)的信息安全建設(shè)經(jīng)驗將為工業(yè)控制系統(tǒng)安全提供整體系統(tǒng)性的思路。此外，攻擊方法與原有方法有眾多相似之處，已成功模擬回放了‘震網(wǎng)’病毒并設(shè)計實現(xiàn)了多個攻擊場景。”據(jù)了解，建設(shè)工業(yè)控制安全不僅需要熟知信息安全，還要熟悉不同行業(yè)的工業(yè)控制系統(tǒng)特點，如DCS、SCADA等。所以啟明星辰跟諸多國內(nèi)外自動化廠商、集成廠商進行緊密合作。在2014年投資了一家專注于自動化及工控安全的中京天裕公司，投資公司的工業(yè)安全網(wǎng)關(guān)、OPC物理隔離網(wǎng)閘、OPC邏輯隔離網(wǎng)閘、協(xié)議專用型設(shè)備等安全產(chǎn)品能夠解析多種工控協(xié)議，在風(fēng)電、冶金、煤礦等有些初步應(yīng)用，快速彌補了公司在自動化領(lǐng)域的不足。

　　■匡恩網(wǎng)絡(luò)技術(shù)總監(jiān)井柯

　　“4+1”安全防護體系即結(jié)構(gòu)安全、本體安全、行為安全、基因安全，以及時間持續(xù)性防護。它實現(xiàn)工業(yè)控制系統(tǒng)內(nèi)在安全和體系防護的有機統(tǒng)一。

　　行業(yè)應(yīng)用

　　綠盟科技多維度做好多行業(yè)安全防護

　　合規(guī)性安全建設(shè)

　　對于電廠的安全防護，綠盟科技建議從物理安全、網(wǎng)絡(luò)安全、主機安全、應(yīng)用和數(shù)據(jù)安全等多個維度進行考慮。物理安全策略的目的是電力監(jiān)控系統(tǒng)等硬件實體和通信鏈路免受自然災(zāi)害、人為破壞和搭線攻擊；驗證用戶的身份和使用權(quán)限、防止用戶越權(quán)操作；確保電力監(jiān)控系統(tǒng)有一個良好的電磁兼容工作環(huán)境；建立完備的安全管理制度。

　　電力監(jiān)控系統(tǒng)的網(wǎng)絡(luò)安全主要是指網(wǎng)絡(luò)信息的完整性、保密性和可用性。主機安全其核心內(nèi)容包括安全應(yīng)用交付系統(tǒng)、應(yīng)用監(jiān)管系統(tǒng)、操作系統(tǒng)安全增強系統(tǒng)和運維安全管控系統(tǒng)。它的具體功能是保證主機在數(shù)據(jù)存儲和處理的保密性、完整性、可用性，它包括硬件、固件、系統(tǒng)軟件的自身安全，以及一系列附加的安全技術(shù)和安全管理措施，從而建立一個完整的電力監(jiān)控系統(tǒng)主機安全保護環(huán)境。電力監(jiān)控系統(tǒng)主機包括各種服務(wù)器、操作員站等各種以計算機為主體的設(shè)備。應(yīng)用安全，顧名思義就是保障應(yīng)用程序使用過程和結(jié)果的安全，針對應(yīng)用程序或工具在使用過程中可能出現(xiàn)的計算、傳輸數(shù)據(jù)泄露和失竊隱患，通過其他安全工具或策略消除。

　　此外，綠盟科技重視上線前的安全檢測。通過對工控系統(tǒng)的安全性進行分析，發(fā)現(xiàn)系統(tǒng)中潛在的安全漏洞，基于發(fā)現(xiàn)的安全漏洞與相應(yīng)的工控設(shè)備和系統(tǒng)提供商進行聯(lián)系，獲取相關(guān)的漏洞解決方案。漏洞的檢測主要從已知漏洞的漏洞掃描來發(fā)現(xiàn)系統(tǒng)中潛在的安全隱患。

　　從四個維度做安全防護

　　工業(yè)控制系統(tǒng)安全是傳統(tǒng)IT系統(tǒng)安全的延伸，在工控系統(tǒng)的安全方法論上可參考信息安全的方法論。但同時工業(yè)控制系統(tǒng)又具有自身的特點，在屬性上優(yōu)先考慮可用性，然后考慮完整性和保密性。

　　綠盟科技認(rèn)為，石油石化行業(yè)工業(yè)控制系統(tǒng)安全防護應(yīng)從四個方面考慮。首先，各個工業(yè)控制系統(tǒng)的環(huán)境是不盡相同的，需要對具體的工業(yè)控制系統(tǒng)安全現(xiàn)狀進行評估，根據(jù)評估結(jié)論提出有針對性的抵御安全威脅的防護對策和整改措施，以防范和緩解信息安全風(fēng)險。其次，需要構(gòu)建工控系統(tǒng)安全體系架構(gòu)，對工業(yè)控制系統(tǒng)進行縱向分區(qū)、橫向分層，根據(jù)不同作業(yè)區(qū)域的功能與作用不同，進行不同等級的有針對性的防護，達成安全防護重點突出，使安全防護資源得到合理分配，從而構(gòu)建工控系統(tǒng)安全防護架構(gòu)，從根本上建立工業(yè)控制系統(tǒng)的安全基礎(chǔ)。再次，需要根據(jù)前兩部的結(jié)論有針對性地做具體的安全防護工作。最后是對工業(yè)控制系統(tǒng)進行全面監(jiān)控和審計，構(gòu)建安全管理平臺來對生產(chǎn)網(wǎng)中的鏈路、網(wǎng)絡(luò)設(shè)備、服務(wù)器、存儲、負(fù)載均衡設(shè)備、防火墻、數(shù)據(jù)庫、中間件、業(yè)務(wù)應(yīng)用服務(wù)等的運行狀態(tài)和指標(biāo)參數(shù)進行實現(xiàn)實時數(shù)據(jù)采集和運行狀態(tài)監(jiān)控，利用科學(xué)、高效的技術(shù)手段和已有的成功經(jīng)驗實現(xiàn)對工業(yè)控制系統(tǒng)的精細(xì)化、及時化、準(zhǔn)確化的運維保障和管理。

　　專家點評

　　綜合多種技術(shù)構(gòu)建一體化防護體系

　　在劉權(quán)看來，我國電力行業(yè)的工控網(wǎng)絡(luò)安全比較完善。他說：“電力行業(yè)屬于我國最重要的關(guān)鍵基礎(chǔ)設(shè)施之一，得到國家政府的重點關(guān)注。自2006年以來，國家發(fā)改委、國家電監(jiān)會、國家能源局先后發(fā)布10余項電力行業(yè)工控安全的政策文件。電力行業(yè)的工控安全標(biāo)準(zhǔn)相對完善。電力行業(yè)工控系統(tǒng)規(guī)定信息安全技術(shù)手段與業(yè)務(wù)融合較好，智能電網(wǎng)交互終端技術(shù)、智能變電站技術(shù)、智能大電網(wǎng)數(shù)據(jù)采集分析診斷技術(shù)等取得突破，其工控系統(tǒng)的國產(chǎn)化程度也要明顯高于鋼鐵、有色、裝備制造等傳統(tǒng)工業(yè)企業(yè)。”

　　工控系統(tǒng)運營如何發(fā)展？劉權(quán)建議，要從企業(yè)業(yè)務(wù)實際出發(fā)，重新梳理業(yè)務(wù)系統(tǒng)，按安全等級劃分，實行等級防護。同時，要選擇合適的工控安全防護產(chǎn)品和設(shè)備，進行針對性的安全防護。傳統(tǒng)工業(yè)生產(chǎn)模式下，企業(yè)工業(yè)控制系統(tǒng)往往運行于企業(yè)局域網(wǎng)內(nèi)部，且使用的硬件平臺較為特殊，因此工控產(chǎn)品安全性不是生產(chǎn)廠商主要考慮的問題，其產(chǎn)品以實現(xiàn)主體功能為主。工業(yè)控制系統(tǒng)具有互操作性強、實時性高等天然要求，傳統(tǒng)的工控系統(tǒng)安全防護產(chǎn)品難以完全滿足需求。

　　“此外，大數(shù)據(jù)等新興技術(shù)在工業(yè)控制領(lǐng)域的安全理論、防護體系尚不完善，也使得工控安全產(chǎn)品不夠成熟，防御效果不好。”劉權(quán)說，“由于工控系統(tǒng)的特殊性，工控系統(tǒng)的生命周期普遍在15-20年，因此系統(tǒng)在設(shè)計時的安全防護策略難以對許多新出現(xiàn)的病毒進行有效應(yīng)對；工控系統(tǒng)運營單位出于對系統(tǒng)升級成本和運行穩(wěn)定性的考慮，也往往選擇暫時不升級工控系統(tǒng)的安全防護手段。因此，工控系統(tǒng)及軟件比較脆弱，病毒入侵后容易中招。”

　　在劉權(quán)看來，互聯(lián)網(wǎng)和工業(yè)控制系統(tǒng)的不斷融合，打通了工業(yè)生產(chǎn)的各個環(huán)節(jié)，工業(yè)控制系統(tǒng)、信息管理系統(tǒng)、供應(yīng)鏈系統(tǒng)等實現(xiàn)了互聯(lián)、互通、互操作，工業(yè)設(shè)備、人、信息系統(tǒng)、數(shù)據(jù)、網(wǎng)絡(luò)和應(yīng)用的聯(lián)系日益緊密，包括產(chǎn)品設(shè)計和工藝參數(shù)、生產(chǎn)任務(wù)排期以及核心財務(wù)、用戶、運營管理等在內(nèi)的信息大量匯聚，形成了工業(yè)大數(shù)據(jù)和工業(yè)云平臺。因此，工控安全防護不能局限于傳統(tǒng)工業(yè)控制系統(tǒng)的安全防護，工業(yè)大數(shù)據(jù)、工業(yè)云平臺等也是工控安全防護的重點。網(wǎng)閘、工業(yè)防火墻等傳統(tǒng)工業(yè)信息安全邊界防護手段已經(jīng)不能滿足要求，綜合運用虛擬化安全技術(shù)、云安全技術(shù)及大數(shù)據(jù)分析技術(shù)，構(gòu)建集漏洞挖掘、威脅分析、風(fēng)險消減為一體的工控安全防護體系，將成為未來工控安全發(fā)展的重要方向。防護體系，將成為未來工控安全發(fā)展的重要方向。

　　行業(yè)應(yīng)用

　　匡恩網(wǎng)絡(luò)IAD智能平臺為生產(chǎn)保駕護航

　　保障“數(shù)字煙草”安全

　　某煙廠認(rèn)真貫徹落實“數(shù)字煙草”的目標(biāo)，工廠雖然實施了互聯(lián)互通的組網(wǎng)結(jié)構(gòu)，提高了生產(chǎn)效率，但同時也出現(xiàn)了多次網(wǎng)絡(luò)安全事故，導(dǎo)致生產(chǎn)網(wǎng)絡(luò)面臨嚴(yán)重安全威脅，具體如：缺乏有效的網(wǎng)絡(luò)監(jiān)控和日志審計；網(wǎng)絡(luò)邊界防護措施缺失，生產(chǎn)車間與廠級辦公網(wǎng)之間未進行明確的分域分級管理，整個網(wǎng)絡(luò)區(qū)域邊界不明確，缺乏必要的網(wǎng)絡(luò)隔離防護手段；生產(chǎn)車間廣泛使用存在大量漏洞及后門的OPC、ProfiNet協(xié)議及國外控制系統(tǒng)，存在重大的安全隱患。

　　面對風(fēng)險，針對現(xiàn)場特殊且嚴(yán)格的工業(yè)化應(yīng)用需求，無法用傳統(tǒng)常規(guī)性的安全產(chǎn)品和技術(shù)來解決問題。經(jīng)過縝密的調(diào)研分析和嚴(yán)格的驗證，匡恩網(wǎng)絡(luò)應(yīng)用IAD智能保護產(chǎn)品，利用高可靠、低功耗的工業(yè)級硬件；通過“人工智能”的“黑名單+白名單”防護機制，結(jié)合工業(yè)協(xié)議的深度解析，實現(xiàn)了邊界的隔離控制、協(xié)議和設(shè)備漏洞的防范。從根本上保證了生產(chǎn)網(wǎng)絡(luò)的安全與穩(wěn)定運行，從而給生產(chǎn)安全提供了有力保障。

　　保障軌道交通核心系統(tǒng)安全

　　北京地鐵某線是中國首條全自動無人駕駛線路，此批無人駕駛地鐵列車將是自動化等級最高的地鐵列車。信號系統(tǒng)作為地鐵自動化控制運行的核心系統(tǒng)，可能受到內(nèi)部和外部威脅的風(fēng)險等級也越高，主要面對的風(fēng)險如下：信號系統(tǒng)和外部系統(tǒng)互聯(lián)接口引入的風(fēng)險可能會威脅到信號系統(tǒng)的正常運行；信號系統(tǒng)內(nèi)部的風(fēng)險缺乏有效的管控和監(jiān)控預(yù)警機制。

　　匡恩網(wǎng)絡(luò)根據(jù)信號系統(tǒng)自身的特點，采用區(qū)別于傳統(tǒng)信息安全的分區(qū)分域方式，將匡恩IAD智能防護平臺部署在信號系統(tǒng)和外部系統(tǒng)互聯(lián)邊界，采用黑白名單技術(shù)實現(xiàn)邊界隔離，抵御外部入侵和APT攻擊；采用匡恩監(jiān)測審計平臺，對信號系統(tǒng)核心流量進行實時監(jiān)控，對異常流量和操作及時生成告警；采用匡恩安全監(jiān)管平臺，對安全終端進行統(tǒng)一管理，構(gòu)建持續(xù)性威脅管控機制。

　　保障石化敏感數(shù)據(jù)傳輸安全

　　國內(nèi)某油氣田，2015年基本實現(xiàn)油田生產(chǎn)過程自動化、業(yè)務(wù)管理協(xié)同化和全面信息共享，但是生產(chǎn)網(wǎng)核心工控網(wǎng)絡(luò)系統(tǒng)安全保護不足，出現(xiàn)諸如：操作員站、服務(wù)器操作系統(tǒng)和應(yīng)用不能及時安裝安全補丁、應(yīng)用軟件存在普遍漏洞，極易收到攻擊和病毒感染；網(wǎng)絡(luò)邊界缺乏隔離防護措施，內(nèi)部缺乏有效的威脅監(jiān)測和管理措施，特別是井場采集的敏感數(shù)據(jù)傳輸過程中缺乏保護。

　　匡恩網(wǎng)絡(luò)采用IAD智能保護設(shè)備能夠識別出數(shù)字油田網(wǎng)絡(luò)（或者無線接入）中由于惡意入侵、系統(tǒng)故障、人員誤操作所引起的異?？刂菩袨楹头欠〝?shù)據(jù)包，及時對其進行告警和阻斷，并能為后續(xù)的安全威脅排查提供依據(jù)。也可以對生產(chǎn)數(shù)據(jù)和視頻（音頻）數(shù)據(jù)進行分流，其中對生產(chǎn)數(shù)據(jù)使用白名單的方式做深度的協(xié)議分析，保證生產(chǎn)數(shù)據(jù)的可靠性；對視頻數(shù)據(jù)采用直接轉(zhuǎn)發(fā)的方式讓其通過。

　　數(shù)據(jù)采集隔離設(shè)備通過自己獨特的內(nèi)核技術(shù)對來自工業(yè)網(wǎng)絡(luò)中的生產(chǎn)數(shù)據(jù)和視頻數(shù)據(jù)進行分流，其中對生產(chǎn)數(shù)據(jù)使用白名單的方式做深度的協(xié)議分析，保證生產(chǎn)數(shù)據(jù)的可靠性；對視頻數(shù)據(jù)采用直接轉(zhuǎn)發(fā)的方式讓其通過。通過自己高性能的數(shù)據(jù)流級的深度解析功能對數(shù)據(jù)進行解析和判斷，確保數(shù)據(jù)的可靠性，通過白名單和黑名單方式保證數(shù)據(jù)的單向性。這樣就解決了原有系統(tǒng)工控信息安全防護措施不足、錯位、部分缺失等三方面的問題，為安全風(fēng)險提供數(shù)據(jù)支撐。

　　行業(yè)應(yīng)用

　　啟明星辰工業(yè)防火墻從容應(yīng)對電力危機

　　2015年12月23日，烏克蘭至少三個區(qū)域的電力系統(tǒng)遭到網(wǎng)絡(luò)攻擊。本次攻擊造成面積停電，電力中斷3~6小時，約140萬人受到影響。

　　啟明星辰經(jīng)過對病毒樣本分析，發(fā)現(xiàn)本次攻擊過程開始于一個帶有惡意宏的XLS文件，黑客通過釣魚手段將此惡意文件發(fā)送給攻擊目標(biāo)，XLS文件運行后啟動惡意宏代碼執(zhí)行，宏代碼會在臨時文件目錄下釋放文件vba_macro.exe，這便是釋放器。他通過釋放Black Energy來執(zhí)行后續(xù)操作。

　　據(jù)悉，啟明星辰工業(yè)防火墻團隊在設(shè)計之初，就對工業(yè)現(xiàn)場環(huán)境進行了深入調(diào)研，密切關(guān)注工業(yè)化和信息化兩化融和中惡意代碼通過傳統(tǒng)IT網(wǎng)絡(luò)對工業(yè)設(shè)備的攻擊，并在工業(yè)防火墻集成了的更加先進靈活的入侵檢測引擎。在應(yīng)對這次攻擊的過程中，通過該引擎可以直接處理base64編碼后的數(shù)據(jù)，對Black Energy上線通訊特征進行監(jiān)測，并通過豐富的數(shù)據(jù)提取能力實現(xiàn)快速發(fā)現(xiàn)、定位感染主機。用戶只需在防火墻中通過加入啟明星辰提供的特征，無需定制開發(fā)即可防護此類攻擊。

　　啟明星辰工業(yè)防火墻從設(shè)計之初就全面研究工業(yè)環(huán)境下的安全需求。產(chǎn)品除具備工控防火墻的主流功能外，在安全防護方面最大的特點是集成了工業(yè)入侵防護引擎，并內(nèi)置了工業(yè)漏洞庫。用戶可以根據(jù)自己的情況選擇適用場景進行快速部署。通過該引擎，可以對工業(yè)協(xié)議和內(nèi)容進行合規(guī)性檢查，阻斷黑客對工控設(shè)備的掃描行為，并對可以對SCADA緩沖區(qū)溢出和目錄遍歷等攻擊進行防護。該特征庫依托啟明星辰ADLab等部門研究成果，可以提供最新最全的工控漏洞特征。

　　李轉(zhuǎn)琴補充說：“啟明星辰工業(yè)防火墻的入侵防護引擎還是一個開放、可擴展的引擎，通過它我們可以靈活地根據(jù)企業(yè)內(nèi)部的特定工控設(shè)備或協(xié)議實施有針對性的防護策略；用它在用戶現(xiàn)場即可快速動態(tài)制定防護規(guī)則，來深入地檢測工控協(xié)議內(nèi)容，而不需要經(jīng)過長時間的定制開發(fā)；利用該檢測引擎，結(jié)合流量自學(xué)習(xí)功能，可以對用戶私有協(xié)議進行快速的學(xué)習(xí)，并進行流量可視化展現(xiàn)。”

　　相關(guān)鏈接

　　信息安全產(chǎn)品須與實際工業(yè)現(xiàn)場應(yīng)用結(jié)合

　　工業(yè)控制系統(tǒng)是國家關(guān)鍵生產(chǎn)設(shè)施和基礎(chǔ)設(shè)施運行的“中樞”。從工業(yè)控制系統(tǒng)自身來看，隨著計算機和網(wǎng)絡(luò)技術(shù)的發(fā)展，尤其是信息化與工業(yè)化深度融合，工業(yè)控制系統(tǒng)越來越多地采用通用協(xié)議、通用硬件和通用軟件，通過互聯(lián)網(wǎng)等公共網(wǎng)絡(luò)連接的業(yè)務(wù)系統(tǒng)也越來越普遍，這使得針對工業(yè)控制系統(tǒng)的攻擊行為大幅度增長，也使得工業(yè)控制系統(tǒng)的脆弱性正在逐漸顯現(xiàn)，面臨的信息安全問題日益突出。

　　從實際的攻擊過程看，攻擊的成本在降低，而攻擊所帶來的影響在進一步加重。目前主流的工控安全類產(chǎn)品主要涵蓋檢測類產(chǎn)品、防護類產(chǎn)品、監(jiān)測預(yù)警類產(chǎn)品，一些在傳統(tǒng)信息系統(tǒng)中采用的技術(shù)開始在工控安全產(chǎn)品中得到應(yīng)用。從國內(nèi)開發(fā)的工控安全產(chǎn)品的技術(shù)特點上看，原有以信息安全為背景的企業(yè)，開發(fā)出的產(chǎn)品在使用上仍然繼承了原有信息安全產(chǎn)品在配置和應(yīng)用上的特點，對于實際在工業(yè)現(xiàn)場中的應(yīng)用看，缺乏與實際工業(yè)現(xiàn)場應(yīng)用習(xí)慣的融合，對于現(xiàn)場人員的使用仍然存在一定的障礙。而以工業(yè)為背景的企業(yè)開發(fā)的工控安全產(chǎn)品，在產(chǎn)品形態(tài)和易用性上存在較大的優(yōu)勢，但是對于信息安全基本功能的理解和攻擊防護的規(guī)則匹配設(shè)置上仍然存在較大的問題。只有建立在融合實際業(yè)務(wù)特征與信息安全技術(shù)的特性基礎(chǔ)上的工業(yè)信息安全技術(shù)，滿足業(yè)務(wù)運行保障需求，符合實際工業(yè)環(huán)境特點才能真正滿足工業(yè)控制系統(tǒng)的安全保障。

　?。ㄕ浴?015綠盟科技工控安?？蚣馨灼罚?/p>

　　■本報記者 楊光 霍娜

關(guān)注讀覽天下微信， 100萬篇深度好文， 等你來看……