工控系統(tǒng)安全威脅及防護(hù)應(yīng)用探討

呂鋒（中國石油化工股份有限公司洛陽分公司，河南 洛陽 471012）

工控系統(tǒng)安全威脅及防護(hù)應(yīng)用探討

呂鋒（中國石油化工股份有限公司洛陽分公司，河南 洛陽 471012）

本文主要分析了煉油化工企業(yè)工業(yè)控制系統(tǒng)存在的信息安全問題，結(jié)合實際提出適應(yīng)當(dāng)前工業(yè)控制系統(tǒng)信息安全防護(hù)的下一步工作建議。

DCS；信息安全；工業(yè)控制系統(tǒng)

工業(yè)控制系統(tǒng)被廣泛的應(yīng)用于國家重要的工業(yè)領(lǐng)域，關(guān)鍵的社會基礎(chǔ)設(shè)施同樣也依靠工業(yè)控制系統(tǒng)實現(xiàn)自動化整體運行，工業(yè)控制系統(tǒng)已經(jīng)成為國家安全戰(zhàn)略中重要的一個方面。隨著信息技術(shù)與工業(yè)化的深度融合，工業(yè)控制系統(tǒng)面臨著木馬攻擊、系統(tǒng)漏洞、病毒等威脅，采取相應(yīng)手段提升工業(yè)控制系統(tǒng)信息安全刻不容緩。

1 工業(yè)控制系統(tǒng)介紹

工業(yè)控制系統(tǒng)（Industrial Control System，ICS），是集各種自動化控制組件與實時數(shù)據(jù)監(jiān)測、采集的過程控制組件，共同構(gòu)成工業(yè)基礎(chǔ)設(shè)施過程控制、自動化運行和監(jiān)控的業(yè)務(wù)流程管控系統(tǒng)。其核心控制組件包括數(shù)據(jù)采集與監(jiān)控系統(tǒng)（SCADA）、智能電子設(shè)備（IED）、可編程邏輯控制器（PLC）、分布式控制系統(tǒng)（DCS）、遠(yuǎn)程終端（RTU），以及確保各控制應(yīng)用組件通信的接口技術(shù)。

2 煉油化工企業(yè)使用工業(yè)控制系統(tǒng)應(yīng)用現(xiàn)狀

煉油化工行業(yè)廣泛應(yīng)用工業(yè)控制系統(tǒng)用于企業(yè)生產(chǎn)，其中SCADA主要應(yīng)用于分公司可燃?xì)怏w監(jiān)測方面，PLC廣泛應(yīng)用于裝置基礎(chǔ)的生產(chǎn)控制，絕大部分裝置系統(tǒng)使用DCS進(jìn)行生產(chǎn)過程整體系統(tǒng)控制。由于技術(shù)的發(fā)展先后、裝置建設(shè)時間的差別以及不同門類的工藝需求，企業(yè)的工業(yè)控制系統(tǒng)存在品牌種類較多、多型號并存的現(xiàn)狀。

3 當(dāng)前工業(yè)控制系統(tǒng)應(yīng)用中存在的安全問題

我國工業(yè)控制較其他工業(yè)化國家存在起步較晚、系統(tǒng)結(jié)構(gòu)復(fù)雜、缺乏安全與管理標(biāo)準(zhǔn)等諸多問題，工業(yè)控制系統(tǒng)中進(jìn)行的數(shù)據(jù)和操作指令隨時可能受到來自競爭對手進(jìn)行的商業(yè)間諜、網(wǎng)絡(luò)攻擊、惡意破壞等威脅。

工業(yè)控制系統(tǒng)安全風(fēng)險主要來自于以下兩個方面：

第一、傳統(tǒng)工業(yè)控制系統(tǒng)早于互聯(lián)網(wǎng)出現(xiàn)，其采用專用的硬件、軟件和通信協(xié)議。設(shè)計之初主要面臨物理安全的問題，故基于互聯(lián)互通發(fā)展應(yīng)用所帶來的通信安全問題沒有設(shè)計考慮。

第二、互聯(lián)網(wǎng)技術(shù)應(yīng)用的便捷性，致使工業(yè)控制系統(tǒng)在隨后的網(wǎng)絡(luò)應(yīng)用中大量使用通用的TCP/IP技術(shù)，工業(yè)控制系統(tǒng)應(yīng)用已與各種應(yīng)用設(shè)備及辦公電腦系統(tǒng)共同形成一張復(fù)雜的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)。單一基于工業(yè)控制協(xié)議識別和控制的信息安全技術(shù)在上面兩種情況下，已無法滿足當(dāng)前工業(yè)控制系統(tǒng)技術(shù)應(yīng)用中網(wǎng)絡(luò)運維的要求。確保應(yīng)用層的安全成為當(dāng)前工業(yè)控制系統(tǒng)穩(wěn)定運行的基本保障。

各工業(yè)控制系統(tǒng)廠家之間存在的技術(shù)壁壘，致使擁有多品牌工業(yè)控制系統(tǒng)的企業(yè)，控制系統(tǒng)技術(shù)標(biāo)準(zhǔn)存在差別，系統(tǒng)通訊協(xié)議無法統(tǒng)一。當(dāng)前，我國煉油化工企業(yè)工業(yè)控制系統(tǒng)存在先天不足和后天技術(shù)發(fā)展帶來的安全威脅。

3.1 操作系統(tǒng)的安全漏洞問題

追求高可用性而犧牲安全，這是很多工業(yè)控制系統(tǒng)存在的普遍問題。顧慮到操作系統(tǒng)補丁與工業(yè)控制軟件的兼容性問題，裝置開車正常后一般對控制系統(tǒng)平臺不進(jìn)行補丁更新，由此導(dǎo)致工業(yè)控制系統(tǒng)帶著安全風(fēng)險運行。

3.2 殺毒軟件的部署及后續(xù)升級更新問題

生產(chǎn)控制系統(tǒng)使用的操作系統(tǒng)平臺，基于工業(yè)控制軟件與殺毒軟件之間的兼容性考慮，通常不進(jìn)行殺毒軟件安裝。即使安裝殺毒軟件，由于系統(tǒng)處于相對封閉的環(huán)境，通常也無法及時更新病毒定義和殺毒軟件版本，所以就存在病毒與惡意代碼傳染與擴散的風(fēng)險。

3.3 使用移動存儲介質(zhì)導(dǎo)致的病毒傳播問題

工業(yè)控制系統(tǒng)中使用得管理終端，一般沒有技術(shù)應(yīng)用針對移動存儲介質(zhì)使用進(jìn)行有效的安全防護(hù)和應(yīng)用管理。移動外設(shè)的無序使用引發(fā)的安全事件屢見不鮮。經(jīng)過精心設(shè)計的病毒，通過這種擺渡的方式很容易進(jìn)入工業(yè)控制系統(tǒng)，利用系統(tǒng)漏洞進(jìn)行精準(zhǔn)破壞。

3.4 設(shè)備維護(hù)時筆記本電腦的隨便接入問題

工業(yè)控制系統(tǒng)在進(jìn)行管理與維護(hù)時，沒有達(dá)到一定安全基線要求的筆記本電腦隨意接入工業(yè)控制系統(tǒng)，會將工業(yè)控制系統(tǒng)的代入極大的風(fēng)險之中。例如，接入的筆記本電腦存在利用操作系統(tǒng)漏洞傳播的蠕蟲病毒，同時工業(yè)控制系統(tǒng)未及時更新漏洞補丁，則工業(yè)控制系統(tǒng)被病毒感染的幾率幾乎是百分之百。

3.5 存在工業(yè)控制系統(tǒng)被有意或無意控制的風(fēng)險

堡壘從來都是從內(nèi)部被攻破的，安全審計的缺失使工業(yè)控制系統(tǒng)進(jìn)行的操作暴露于操作所產(chǎn)生的風(fēng)險之中。如果工業(yè)控制系統(tǒng)的操作系統(tǒng)沒有采取監(jiān)控和響應(yīng)措施，工業(yè)控制系統(tǒng)中出現(xiàn)的異常行為或人為行為將會給工業(yè)控制系統(tǒng)帶來巨大的風(fēng)險。

3.6 工業(yè)控制系統(tǒng)控制終端、網(wǎng)絡(luò)設(shè)備、服務(wù)器故障沒有及時響應(yīng)所產(chǎn)生遲滯的問題

工業(yè)控制系統(tǒng)中所使用的IT基礎(chǔ)設(shè)施的運行狀態(tài)，決定著工業(yè)控制系統(tǒng)運行的穩(wěn)定。對這些設(shè)施運行狀態(tài)的監(jiān)管，一直都是工業(yè)控制系統(tǒng)運行維護(hù)中的盲區(qū)和難點。

3.7 “兩化融合”給工業(yè)控制系統(tǒng)帶來的風(fēng)險

為了實現(xiàn)生產(chǎn)控制的同時實現(xiàn)實時數(shù)據(jù)的采集，滿足“兩化融合”的需求和管理的便捷，早期工控系統(tǒng)與管理系統(tǒng)物理隔離的狀態(tài)被邏輯隔離所取代，工控系統(tǒng)與企業(yè)系統(tǒng)之間建立適當(dāng)?shù)耐ㄓ嵾B接，而多數(shù)企業(yè)管理系統(tǒng)存在于INTERNET的數(shù)據(jù)通路。在這種情況下，工業(yè)控制系統(tǒng)就存在企業(yè)網(wǎng)絡(luò)和外在網(wǎng)絡(luò)的雙重信息安全威脅。隨著企業(yè)管理與控制一體化的發(fā)展，企業(yè)的信息化、綜合自動化水平的整體提高，工控系統(tǒng)和企業(yè)管理信息系統(tǒng)高度集成，各系統(tǒng)之間的緊密耦合，會導(dǎo)致系統(tǒng)之間的相互影響。這既是互聯(lián)互通帶來的便利，也是互聯(lián)互通帶來的信息安全風(fēng)險。

3.8 工業(yè)控制系統(tǒng)采用軟硬件帶來的風(fēng)險

工業(yè)控制系統(tǒng)正在向開放性更強的以太網(wǎng)結(jié)構(gòu)發(fā)展，基于TCP/IP協(xié)議為基礎(chǔ)的OPC技術(shù)廣泛采用。為滿足系統(tǒng)集成和使用方便，大量采用工業(yè)以太環(huán)網(wǎng)和OPC通用協(xié)議進(jìn)行系統(tǒng)集成開發(fā)。同時選用通用PC服務(wù)器、終端產(chǎn)品、操作系統(tǒng)和數(shù)據(jù)庫產(chǎn)品降低成本。帶來方便的同時，針對通用技術(shù)的普遍信息安全威脅也隨之而來。

4 煉油化工企業(yè)工業(yè)控制系統(tǒng)應(yīng)用問題的解決思路

各企業(yè)應(yīng)結(jié)合企業(yè)實際，選擇適合企業(yè)應(yīng)用現(xiàn)狀和管理模式的技術(shù)安全架構(gòu)。應(yīng)在應(yīng)用便利性、安全性、使用成本間找到平衡點。安全措施的基礎(chǔ)選擇，應(yīng)以建立邏輯獨立的數(shù)據(jù)采集網(wǎng)絡(luò)和應(yīng)用網(wǎng)之間的基本防護(hù)為主。各采集點做好應(yīng)用安全管理和基本維護(hù)，以此建立基本的技術(shù)、制度和管理安全保障。根據(jù)應(yīng)用發(fā)展需要，在此架構(gòu)上建立健全的安全技術(shù)體系，如防病毒、審計等措施。