工業(yè)信息安全思考與建議

劉麗華

摘 要：工控系統(tǒng)主要是指使用計(jì)算機(jī)技術(shù)、微電子技術(shù)、電氣手段，使工廠的生產(chǎn)和制造過程更加自動(dòng)化、效率化、精確化，并具有可控性及可視性。隨著“互聯(lián)網(wǎng)+”的發(fā)展，工控系統(tǒng)互聯(lián)網(wǎng)的接入帶來了工控信息的安全問題。為此，文章分析了工控系統(tǒng)安全問題及解決建議。

關(guān)鍵詞：工控系統(tǒng)；信息安全；管理建議

1 工業(yè)信息安全形勢

隨著我國企業(yè)兩化融合不斷深入，工業(yè)控制系統(tǒng)智能化、網(wǎng)絡(luò)化趨勢日漸明顯，工業(yè)互聯(lián)等新興生態(tài)給工業(yè)信息安全帶來了新的威脅與挑戰(zhàn)?！罢鹁W(wǎng)”病毒攻擊伊朗布什爾核電站、俄羅斯利用“Black Energy”攻擊烏克蘭電網(wǎng)系統(tǒng)、全球大規(guī)模爆發(fā)勒索軟件“Wannacry”感染等一系列網(wǎng)絡(luò)安全事件的頻發(fā)、供應(yīng)鏈安全風(fēng)險(xiǎn)的凸顯、全球數(shù)據(jù)泄露問題愈演愈烈、安全漏洞頻出，危及工業(yè)互聯(lián)網(wǎng)，昭示工業(yè)控制系統(tǒng)正面臨前所未有的信息安全威脅，嚴(yán)重威脅著國家的安全和利益，保障工業(yè)控制系統(tǒng)的安全任務(wù)迫在眉睫。

2 工業(yè)信息存在安全問題

2018年初，國家工業(yè)信息安全發(fā)展研究中心對(duì)江蘇省企業(yè)開展了工業(yè)控制系統(tǒng)安全檢查，從各企業(yè)自查統(tǒng)計(jì)情況分析發(fā)現(xiàn)，企業(yè)大部分工控系統(tǒng)都面臨著安全風(fēng)險(xiǎn)，主要風(fēng)險(xiǎn)是表現(xiàn)在以下幾個(gè)方面。

2.1 工業(yè)協(xié)議的風(fēng)險(xiǎn)

工控軟硬件產(chǎn)品在設(shè)計(jì)之初主要是為了保證生產(chǎn)的連續(xù)性與穩(wěn)定性，工業(yè)協(xié)議（如：S7，Modbus，IEC104等）設(shè)計(jì)時(shí)的安全性與可用性之間進(jìn)行取舍，犧牲了安全性。

2.2 控制設(shè)備風(fēng)險(xiǎn)

目前，工業(yè)產(chǎn)線采用的工業(yè)控制設(shè)備基本上都是來自國外的廠商，依賴進(jìn)口，核心產(chǎn)品自主可控度低。國家工業(yè)信息安全產(chǎn)業(yè)發(fā)展聯(lián)盟發(fā)布的《2017年工業(yè)信息安全態(tài)勢白皮書》顯示，國產(chǎn)數(shù)據(jù)庫僅占據(jù)7%的低端市場，數(shù)千個(gè)工控系統(tǒng)由外國廠商提供運(yùn)行維護(hù)，大量企業(yè)不具備自主維護(hù)能力，同時(shí)缺乏對(duì)外國產(chǎn)品和服務(wù)的監(jiān)管。如西門子、施耐德、艾默生、霍尼韋爾等，這些控制設(shè)備在設(shè)計(jì)時(shí)更多考慮的是實(shí)現(xiàn)功能，安全考慮不足，存在很多高危安全漏洞，有的甚至存在后門，一旦被攻擊利用會(huì)導(dǎo)致很嚴(yán)重的后果；設(shè)備廠商的維保人員對(duì)工控系統(tǒng)控制權(quán)非常大，在部分企業(yè)，工控系統(tǒng)控制室的門禁卡甚至都掌握在外方手中。

2.3 操作系統(tǒng)風(fēng)險(xiǎn)

操作員站、工程師站、工業(yè)服務(wù)器大量使用微軟Windows系列操作系統(tǒng)，存在大量安全漏洞且甚少打補(bǔ)丁，尤其是目前常用的老舊Windows系統(tǒng)，如WindowsXP，Win2000，Win200等，微軟已經(jīng)停止技術(shù)支持，面臨無補(bǔ)丁可打的困境，容易遭受高級(jí)持續(xù)性威脅（Advanced Persistent Threat，APT）攻擊。

2.4 應(yīng)用軟件風(fēng)險(xiǎn)

工業(yè)網(wǎng)絡(luò)中使用的各種組態(tài)軟件存在著大量的安全漏洞，如Sixnet，iFix，SIMATIC，HollySys等，這些組態(tài)軟件都已經(jīng)暴露出大量的高位漏洞，嚴(yán)重影響安全生產(chǎn)，通過這些漏洞可以對(duì)工控系統(tǒng)進(jìn)行有針對(duì)性的攻擊。

很多系統(tǒng)和設(shè)備沒有防護(hù)軟件，也不能安裝殺毒系統(tǒng)，一旦上了網(wǎng)就處于“裸奔”狀態(tài)。

2.5 病毒傳播風(fēng)險(xiǎn)

工業(yè)系統(tǒng)網(wǎng)絡(luò)中的一些主機(jī)、服務(wù)器存在病毒。通過對(duì)這些病毒的入侵途徑分析，發(fā)現(xiàn)這些病毒的傳入途徑多為移動(dòng)存儲(chǔ)介質(zhì)的濫用造成的。

在企業(yè)中，因私人行為暴露并感染病毒的情況也較為多見，例如，個(gè)人通過工控設(shè)備違規(guī)上網(wǎng)，或是廠商的維護(hù)人員電腦感染后造成設(shè)備系統(tǒng)全網(wǎng)感染病毒等。

2.6 錯(cuò)誤操作風(fēng)險(xiǎn)

操作風(fēng)險(xiǎn)是指由于信息系統(tǒng)或內(nèi)部控制缺陷導(dǎo)致意外損失的風(fēng)險(xiǎn)。引起操作風(fēng)險(xiǎn)的原因包括：人為錯(cuò)誤、電腦系統(tǒng)故障、工作程序和內(nèi)部控制不當(dāng)?shù)取９I(yè)產(chǎn)線中上位機(jī)操作工程師權(quán)限過大，通過上位機(jī)直接發(fā)布操作指令、組態(tài)變更、程序安裝等關(guān)鍵行為，無操作或惡意操作導(dǎo)致錯(cuò)誤生產(chǎn)，從而造成生產(chǎn)損失。

2.7 管理缺失風(fēng)險(xiǎn)

由于工控系統(tǒng)的專業(yè)性與復(fù)雜性，很多工控系統(tǒng)并不是由企業(yè)的IT部門來管理的。這也使得傳統(tǒng)的網(wǎng)絡(luò)安全管理和風(fēng)險(xiǎn)管理并不涵蓋這一部分。而有些工控系統(tǒng)甚至是由企業(yè)外的第三方通過遠(yuǎn)程進(jìn)行管理和維護(hù)的，這往往成為企業(yè)信息安全的一個(gè)薄弱環(huán)節(jié)，以致于工控系統(tǒng)安全管理相對(duì)薄弱，缺少必要的管理制度、規(guī)范、標(biāo)準(zhǔn)。

2.8 人員意識(shí)風(fēng)險(xiǎn)

對(duì)工控系統(tǒng)信息安全問題不夠重視，安全責(zé)任意識(shí)、風(fēng)險(xiǎn)意識(shí)不足。多地區(qū)、部門、工業(yè)企業(yè)對(duì)工控系統(tǒng)信息安全重視不夠，重發(fā)展輕安全，漏洞不重視、修復(fù)不及時(shí)現(xiàn)象普遍存在。據(jù)360補(bǔ)天漏洞響應(yīng)平臺(tái)統(tǒng)計(jì)，所有工控信息系統(tǒng)漏洞中，25.6%的漏洞未進(jìn)行修復(fù)，一些行業(yè)漏洞平均修復(fù)時(shí)間長達(dá)數(shù)月之久。

2.9 防護(hù)技術(shù)較為落后，人才匱乏

工業(yè)信息安全防護(hù)技術(shù)較為落后，人才匱乏，難以與網(wǎng)絡(luò)攻擊相抗衡。國家工業(yè)信息安全發(fā)展研究中心通過安全監(jiān)測發(fā)現(xiàn)，工業(yè)企業(yè)信息安全應(yīng)急備災(zāi)手段不足，約70%的被調(diào)查工業(yè)企業(yè)缺少完善應(yīng)災(zāi)備災(zāi)體系。公共信息安全人才是自動(dòng)化和網(wǎng)絡(luò)安全人才的復(fù)合型人才，缺口巨大，在高校中沒有工業(yè)控制領(lǐng)域的碩士、博士培養(yǎng)方向，工業(yè)信息安全從業(yè)人員幾乎都是在實(shí)戰(zhàn)中學(xué)習(xí)。

3 提高工業(yè)信息安全的建議

保障信息安全要著重從國家重點(diǎn)行業(yè)領(lǐng)域入手，尤其是公共通信和服務(wù)、能源、交通、水利、公共服務(wù)、電子政務(wù)等重要行業(yè)和領(lǐng)域以及其他一旦遭到破壞、喪失功能或者數(shù)據(jù)泄露，可能嚴(yán)重危害國家安全、國際名聲、公共利益的關(guān)鍵信息基礎(chǔ)設(shè)施，關(guān)鍵工業(yè)控制系統(tǒng)等大力提升其信息化水平，鼓勵(lì)和支持將信息安全產(chǎn)品和服務(wù)納入信息化建設(shè)預(yù)算，建立長期有效的信息安全保障機(jī)制。具體而言，提出以下5點(diǎn)建議。

（1）加強(qiáng)企業(yè)信息基礎(chǔ)設(shè)施和重要信息系統(tǒng)建設(shè)，建設(shè)面向企業(yè)的信息安全專業(yè)服務(wù)平臺(tái)。重點(diǎn)開展等級(jí)保護(hù)設(shè)計(jì)咨詢、風(fēng)險(xiǎn)評(píng)估、安全咨詢、安全測評(píng)、快速預(yù)警響應(yīng)、第三方資源共享的容災(zāi)備份、標(biāo)準(zhǔn)驗(yàn)證等服務(wù)；建設(shè)企業(yè)信息安全數(shù)據(jù)庫，為廣大企業(yè)提供快速、高效的信息安全咨詢、預(yù)警、應(yīng)急處理等服務(wù)，實(shí)現(xiàn)企業(yè)信息安全公共資源的共享共用，提高信息安全保障能力。

（2）加快推進(jìn)國內(nèi)關(guān)鍵行業(yè)領(lǐng)域企業(yè)信息系統(tǒng)的安全評(píng)估測試。在安全評(píng)估方面，主要針對(duì)企業(yè)主機(jī)安全保密檢查與信息監(jiān)管，采取文件內(nèi)容檢索、惡意代碼檢查、數(shù)據(jù)恢復(fù)技術(shù)、網(wǎng)絡(luò)漏洞掃描、互聯(lián)網(wǎng)網(wǎng)站檢測、語意分析等技術(shù)，評(píng)估分析重要信息是否發(fā)生泄漏，并找出泄漏的原因和渠道。

（3）制定信息安全關(guān)鍵技術(shù)和重點(diǎn)產(chǎn)品研發(fā)計(jì)劃。針對(duì)當(dāng)前制約信息安全產(chǎn)業(yè)發(fā)展的關(guān)鍵技術(shù)和重點(diǎn)產(chǎn)品，匯聚國家重要資源，制定信息安全關(guān)鍵技術(shù)和重點(diǎn)產(chǎn)品目錄，并引導(dǎo)企業(yè)和普通消費(fèi)者擴(kuò)大應(yīng)用規(guī)模。突破一批信息安全核心技術(shù)，形成一批具有市場競爭力的產(chǎn)品，建立和推廣自主知識(shí)產(chǎn)權(quán)的標(biāo)準(zhǔn)規(guī)范，構(gòu)建完整的信息安全產(chǎn)品體系和產(chǎn)業(yè)鏈。

（4）強(qiáng)化和落實(shí)工業(yè)企業(yè)責(zé)任主體。工控安全是生產(chǎn)經(jīng)營安全，應(yīng)當(dāng)以人為本，堅(jiān)持安全發(fā)展，堅(jiān)持安全第一，預(yù)防為主、綜合治理的方針，建立工業(yè)企業(yè)負(fù)責(zé)，職工參與、政府監(jiān)管、行業(yè)自律的管理機(jī)制。

工業(yè)企業(yè)應(yīng)將工控安全上升至生產(chǎn)安全的高度，像管理生產(chǎn)安全一樣抓工控安全，建立、健全本企業(yè)的工控安全生產(chǎn)責(zé)任制，不斷完善企業(yè)工控安全管理制度，加強(qiáng)企業(yè)人員管理、供應(yīng)鏈管理及系統(tǒng)運(yùn)維管理，建立“人防、物防、技防”三位一體的安全防護(hù)體系。

（5）加強(qiáng)工業(yè)控制系統(tǒng)信息安全防護(hù)技術(shù)。工控系統(tǒng)信息安全防護(hù)技術(shù)，可以從工業(yè)主機(jī)安全、網(wǎng)絡(luò)安全、設(shè)備安全、數(shù)據(jù)安全4個(gè)方面的防護(hù)著手。

①工業(yè)主機(jī)是工業(yè)生產(chǎn)控制各業(yè)務(wù)環(huán)節(jié)涉及組態(tài)、操作、監(jiān)控、數(shù)據(jù)采集與存儲(chǔ)等功能主機(jī)設(shè)備載體，包括工程師站、操作員站、歷史站、OPC服務(wù)器等。通過工業(yè)主機(jī)的安全防護(hù)，做好安全配置（包括身份認(rèn)證配置、密碼策略配置、端口配置、系統(tǒng)補(bǔ)丁升級(jí)配置、防病毒軟件、應(yīng)用程序白名單軟件、主機(jī)外設(shè)接口管理軟件），避免主機(jī)權(quán)限被輕易獲取、不必要的端口被用于傳輸惡意程序或指令、高危漏洞被利用等安全風(fēng)險(xiǎn)；做好安全防護(hù)設(shè)備的應(yīng)用，避免未授權(quán)的程序或服務(wù)運(yùn)行、未授權(quán)的外接設(shè)備帶入惡意程序。

②網(wǎng)絡(luò)隔離設(shè)備是工業(yè)企業(yè)管理網(wǎng)與生產(chǎn)網(wǎng)、生產(chǎn)網(wǎng)與生產(chǎn)網(wǎng)之間邊界隔離的重要防護(hù)設(shè)備。通過網(wǎng)絡(luò)隔離技術(shù)，確保隔離有害攻擊，在可信網(wǎng)絡(luò)之外和保證可信網(wǎng)絡(luò)內(nèi)部信息不外泄的前提下，完成網(wǎng)間數(shù)據(jù)的安全交換。

③設(shè)備安全防護(hù)思想是應(yīng)用安全可控的工控產(chǎn)品，提高應(yīng)對(duì)安全攻擊能力，通過設(shè)備的安全防護(hù)，做好安全配置，避免設(shè)備權(quán)限被獲取且被植入惡意代碼；做好安全防護(hù)設(shè)備應(yīng)用，通過DPI技術(shù)阻止在工業(yè)控制設(shè)備上下發(fā)惡意操作指令的實(shí)施。

④數(shù)據(jù)安全防護(hù)技術(shù)，包括安全災(zāi)備技術(shù)、數(shù)據(jù)安全審計(jì)技術(shù)、協(xié)議安全加密技術(shù)（SSL/TLS），通過重要工業(yè)數(shù)據(jù)、關(guān)鍵業(yè)務(wù)數(shù)據(jù)的安全防護(hù)，確保靜態(tài)存儲(chǔ)、動(dòng)態(tài)傳輸上數(shù)據(jù)不被竊取、篡改、丟失和鎖定。

4 結(jié)語

總之，在復(fù)雜的網(wǎng)絡(luò)環(huán)境背景下，我國工業(yè)系統(tǒng)需要順應(yīng)時(shí)代的發(fā)展形勢，技術(shù)人員應(yīng)當(dāng)認(rèn)真分析當(dāng)前系統(tǒng)中的安全風(fēng)險(xiǎn)，并將先進(jìn)的信息安全信息技術(shù)應(yīng)用到工業(yè)控制系統(tǒng)中，制定完善的風(fēng)險(xiǎn)防御方案，以此來提高我國工控系統(tǒng)安全的程度，為經(jīng)濟(jì)的可持續(xù)發(fā)展奠定基礎(chǔ)并提供條件，為工業(yè)系統(tǒng)的高效運(yùn)行作出貢獻(xiàn)。