工業(yè)控制系統(tǒng)信息安全防護(hù)研究

（南網(wǎng)科研院 廣東 510000）

隨著我國(guó)經(jīng)濟(jì)社會(huì)的快速發(fā)展和科技水平的不斷提升，工業(yè)控制系統(tǒng)在我國(guó)工業(yè)企業(yè)中的應(yīng)用范圍進(jìn)一步擴(kuò)大，工業(yè)控制信息技術(shù)的發(fā)展不斷加快，不僅為提升整個(gè)工業(yè)領(lǐng)域的生產(chǎn)效益和經(jīng)濟(jì)效益做出了重要貢獻(xiàn)，更對(duì)提升工業(yè)運(yùn)營(yíng)管理的質(zhì)量有著不容忽視的積極作用。而在我國(guó)工業(yè)企業(yè)所采用控制系統(tǒng)性能不斷完善的同時(shí)，系統(tǒng)整體安全性標(biāo)準(zhǔn)也進(jìn)一步提高。如何在工業(yè)控制系統(tǒng)設(shè)計(jì)與期間針對(duì)性地做出風(fēng)險(xiǎn)信息管理和防控，盡可能地提高整個(gè)工業(yè)控制信息系統(tǒng)的安全性和可靠性，使整個(gè)工業(yè)控制系統(tǒng)安全穩(wěn)定運(yùn)行并如期達(dá)到相關(guān)目標(biāo)成為相關(guān)企業(yè)管理人員思考的重要問(wèn)題。在此背景下，針對(duì)工業(yè)控制系統(tǒng)信息安全防護(hù)的相關(guān)研究和探討也就具備了重要理論意義和現(xiàn)實(shí)價(jià)值。

1 工業(yè)控制系統(tǒng)信息安全現(xiàn)狀

1.1 工業(yè)控制系統(tǒng)信息安全事件高發(fā)

近年來(lái)，工業(yè)控制系統(tǒng)信息安全事故發(fā)生數(shù)目呈逐漸上升趨勢(shì)，向來(lái)被人們認(rèn)為是相對(duì)安全和可靠的封閉式工業(yè)控制信息系統(tǒng)逐步開放，逐漸成為世界各國(guó)黑客的重要攻擊目標(biāo)。美國(guó)工業(yè)控制網(wǎng)絡(luò)安全數(shù)據(jù)庫(kù)相關(guān)數(shù)據(jù)表明，自2010年起，工業(yè)控制系統(tǒng)信息安全事故大幅度增加，由2010年的39 起直接增加到了2015年的295 起，五年時(shí)間內(nèi)的工業(yè)控制系統(tǒng)信息安全事故統(tǒng)計(jì)示意圖如圖1所示。由該圖可知，短短五年時(shí)間里，工業(yè)控制系統(tǒng)信息安全事故發(fā)生的次數(shù)呈倍數(shù)增長(zhǎng)，不斷沖擊著各行各業(yè)工業(yè)控制系統(tǒng)的進(jìn)一步應(yīng)用，給工業(yè)控制信息系統(tǒng)的安全使用和防護(hù)管理帶來(lái)了嚴(yán)重挑戰(zhàn)。

圖1 工業(yè)控制系統(tǒng)信息安全事故統(tǒng)計(jì)圖

1.2 工業(yè)控制系統(tǒng)漏洞數(shù)量逐年遞增

眾所周知，企業(yè)是工業(yè)控制系統(tǒng)的重要使用者，由于該系統(tǒng)的實(shí)際應(yīng)用空間相對(duì)封閉和狹小，因此，在設(shè)計(jì)之初并沒有考慮到工業(yè)控制系統(tǒng)的信息安全和防護(hù)管理的問(wèn)題。隨著現(xiàn)代社會(huì)工業(yè)控制系統(tǒng)開放性的不斷增強(qiáng)，系統(tǒng)安全運(yùn)行和信息安全漏洞問(wèn)題等不斷涌現(xiàn)，黑客在極大程度上能直接通過(guò)系統(tǒng)漏洞發(fā)起對(duì)某一企業(yè)工業(yè)控制系統(tǒng)的針對(duì)性攻擊，進(jìn)而導(dǎo)致企業(yè)工業(yè)生產(chǎn)過(guò)程和經(jīng)濟(jì)效益受到較大損失。2016年中國(guó)互聯(lián)網(wǎng)安全大會(huì)相關(guān)安全論壇中提到，2000年到2016年間有1552個(gè)工業(yè)控制軟件、硬件設(shè)備出現(xiàn)漏洞問(wèn)題，涉及123 家工業(yè)控制系統(tǒng)廠商，而在工業(yè)控制系統(tǒng)廠商對(duì)其漏洞進(jìn)行一定修復(fù)后，516個(gè)硬件設(shè)備漏洞仍未被修復(fù)。也就是說(shuō)，工業(yè)控制系統(tǒng)在安全使用過(guò)程中的漏洞問(wèn)題已十分嚴(yán)重，如何進(jìn)一步解決工業(yè)控制系統(tǒng)信息安全防護(hù)問(wèn)題已成為現(xiàn)階段工業(yè)控制系統(tǒng)使用企業(yè)面臨的重要挑戰(zhàn)。

2 工業(yè)控制系統(tǒng)及其特征

在工業(yè)控制系統(tǒng)中，研究信息安全防護(hù)問(wèn)題的首要工作是將工業(yè)控制系統(tǒng)和傳統(tǒng)的計(jì)算機(jī)系統(tǒng)進(jìn)行嚴(yán)格區(qū)分。就目前而言，傳統(tǒng)模式下的信息安全管理原則已不適用于我國(guó)現(xiàn)階段工業(yè)控制系統(tǒng)信息安全防護(hù)與管理不斷提升的要求，應(yīng)遵循AIC 等基本原則，保證全面實(shí)現(xiàn)工業(yè)控制系統(tǒng)的信息安全管理目標(biāo)。與此同時(shí)，針對(duì)工業(yè)控制系統(tǒng)的相關(guān)特點(diǎn)進(jìn)行分析，工業(yè)控制系統(tǒng)是物理信息融合系統(tǒng)的重要組成部分，而信息技術(shù)系統(tǒng)在普遍情況下并不屬于信息系統(tǒng)。也就是說(shuō)，針對(duì)工業(yè)控制系統(tǒng)的信息安全管理必須和傳統(tǒng)的信息系統(tǒng)管理模式進(jìn)行嚴(yán)格有效區(qū)分。將工業(yè)控制系統(tǒng)的信息安全管理和信息技術(shù)系統(tǒng)甚至信息系統(tǒng)的本質(zhì)進(jìn)行科學(xué)區(qū)別是嚴(yán)格保證在信息安全管理方面實(shí)現(xiàn)工業(yè)控制系統(tǒng)目標(biāo)的根本。在此背景下，筆者以某冶金工廠為例，勾畫出圖2所示的常見的工業(yè)控制系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)圖。

3 工業(yè)控制系統(tǒng)信息安全防護(hù)策略

3.1 入侵檢測(cè)技術(shù)

在工業(yè)控制系統(tǒng)的大環(huán)境下，入侵檢測(cè)技術(shù)主要是針對(duì)工業(yè)控制系統(tǒng)的各個(gè)關(guān)鍵節(jié)點(diǎn)進(jìn)行一定的數(shù)據(jù)收集、整理和反饋，進(jìn)而從數(shù)據(jù)中提取出反映工業(yè)控制系統(tǒng)行為的相關(guān)數(shù)據(jù)特征，在掌握設(shè)計(jì)識(shí)別技術(shù)和檢測(cè)算法技術(shù)的基礎(chǔ)上，對(duì)關(guān)鍵節(jié)點(diǎn)數(shù)據(jù)進(jìn)行識(shí)別，盡可能地發(fā)現(xiàn)工業(yè)控制系統(tǒng)環(huán)境可能存在的入侵行為。

3.2 漏洞掃描與漏洞挖掘技術(shù)

一般而言，漏洞掃描技術(shù)主要是基于完整的工業(yè)控制系統(tǒng)及工業(yè)控制網(wǎng)絡(luò)安全漏洞數(shù)據(jù)庫(kù)，根據(jù)高頻漏洞掃描引擎和檢測(cè)規(guī)則等自動(dòng)進(jìn)行匹配，以掃描出企業(yè)所用工業(yè)控制系統(tǒng)內(nèi)部關(guān)鍵設(shè)備、關(guān)鍵軟件和關(guān)鍵硬件等是否存在已知漏洞的方法。漏洞挖掘技術(shù)則可進(jìn)一步分為靜態(tài)分析漏洞挖掘方法和動(dòng)態(tài)分析漏洞挖掘方法兩大類。靜態(tài)分析漏洞挖掘方法在工業(yè)控制系統(tǒng)程序非運(yùn)行狀態(tài)下對(duì)漏洞進(jìn)行檢測(cè)和對(duì)比掃描，強(qiáng)化對(duì)靜態(tài)代碼審計(jì)、逆向分析和補(bǔ)丁等的對(duì)比研究，動(dòng)態(tài)分析漏洞挖掘技術(shù)則是在系統(tǒng)軟件運(yùn)行的情況下，對(duì)工業(yè)控制系統(tǒng)進(jìn)行程序格式、黑盒子測(cè)試等針對(duì)性的漏洞掃描，以此發(fā)現(xiàn)工業(yè)控制系統(tǒng)可能存在的信息安全隱患，保障工業(yè)控制信息系統(tǒng)的安全運(yùn)行。

3.3 訪問(wèn)控制技術(shù)

通常情況下，訪問(wèn)控制技術(shù)主要包括對(duì)工業(yè)控制系統(tǒng)內(nèi)部相關(guān)數(shù)據(jù)信息的訪問(wèn)控制策略、訪問(wèn)控制模型和訪問(wèn)控制框架等三大部分，而企業(yè)在開展工業(yè)控制系統(tǒng)安全信息防護(hù)過(guò)程中采用訪問(wèn)控制技術(shù)的主要目的即最大限度地限制對(duì)工業(yè)控制系統(tǒng)內(nèi)部任何受企業(yè)保護(hù)資源的數(shù)據(jù)訪問(wèn)，盡可能地防止未授權(quán)人員對(duì)企業(yè)工業(yè)控制系統(tǒng)內(nèi)部任何資源進(jìn)行不合法訪問(wèn)與瀏覽。

3.4 工業(yè)防火墻技術(shù)

眾所周知，傳統(tǒng)模式下的防火墻信息技術(shù)對(duì)進(jìn)一步保護(hù)工業(yè)控制系統(tǒng)相關(guān)數(shù)據(jù)信息的內(nèi)部和外部非法入侵并無(wú)較大實(shí)際意義。在工業(yè)控制系統(tǒng)中，企業(yè)為保護(hù)相關(guān)數(shù)據(jù)信息和資料必須進(jìn)一步采用工業(yè)防火墻技術(shù)，該類防火墻技術(shù)和傳統(tǒng)模式下的防火墻信息技術(shù)相比具有以下三大優(yōu)點(diǎn)：首先是工業(yè)防火墻技術(shù)具備對(duì)工業(yè)控制系統(tǒng)進(jìn)行動(dòng)態(tài)檢測(cè)和實(shí)時(shí)訪問(wèn)控制的相關(guān)功能；其次，針對(duì)諸如OPC 等工業(yè)控制協(xié)議，工業(yè)防火墻技術(shù)相關(guān)內(nèi)容具備支持性和兼容性；最后，工業(yè)防火墻技術(shù)能最大限度滿足工業(yè)控制系統(tǒng)較高的實(shí)時(shí)性需求和運(yùn)行穩(wěn)定性需求。

4 結(jié)語(yǔ)

總之，隨著現(xiàn)代社會(huì)信息技術(shù)和計(jì)算機(jī)技術(shù)應(yīng)用水平的進(jìn)一步提升，工業(yè)控制系統(tǒng)在企業(yè)實(shí)際應(yīng)用過(guò)程中所面臨的信息安全風(fēng)險(xiǎn)和威脅不斷擴(kuò)大。企業(yè)應(yīng)在針對(duì)自身實(shí)際情況的基礎(chǔ)上，最大限度地對(duì)工業(yè)控制系統(tǒng)的信息安全進(jìn)行不斷探索和實(shí)踐，最大程度上保證本企業(yè)工業(yè)控制系統(tǒng)的安全使用，保證本企業(yè)相關(guān)數(shù)據(jù)信息不被非法攻擊，進(jìn)而最大程度上利用工業(yè)控制系統(tǒng)指導(dǎo)本企業(yè)日常生產(chǎn)和運(yùn)營(yíng)。