從工控系統的安全角度看智能制造

邢黎聞

隨著“工業4.0”時代的來臨和“兩化融合”腳步的加快，越來越多的網絡安全隱患被帶入了工業控制系統。如何更好地保障工業控制系統的安全，如何更有力地免于外部威脅，是我們在推動兩化深度融合的進程中不斷思索和探討的問題。

作為唯一一家以工業控制網絡安全為主業的高科技創新企業，匡恩網絡高級副總裁李江力在此次藍海沙龍上為大家梳理了工業控制系統的安全威脅所在。

智能制造不能忽略安全

隨著計算機技術、通信技術和控制技術的發展，傳統的控制領域正經歷著一場前所未有的變革，開始向網絡化方向發展。但隨之而來的，也冒出很多安全問題。李江力在會上引用了美國工業控制系統應急產品中心的一組統計數據：從2012年到2015年，安全事件從197個一直增到295個，且每年都有一個著名事件，例如，在去年年底最后一周發生的烏克蘭事件，受影響達140萬人，這個事件雖然只是1/295，但影響力確實最大的。綜合分析了這295個事件之后，發現有97個事件都與智能制造相關。“所以，我們在推動智能制造的同時，千萬不能忽略其中的安全問題。”

2015年披露的數據顯示，全部安全事件的1/3涉及關鍵制造領域，該比例在2014年僅為27%。

而上述提及的烏克蘭事件中，可能來自俄羅斯的攻擊者使用了 BlackEnergy惡意軟件。李江力進一步解析道：“在關鍵制造業和其它領域，最容易遭受魚叉式攻擊。即通過向被攻擊網絡的相關人員發送郵件，在他點擊附件的一刻，把木馬載入其辦公環境。烏克蘭事件就是一起典型的魚叉式攻擊。在寒冷的冬季，它讓7個110千伏的邊緣站遭受數小時的攻擊，使140萬人經歷數小時的停水停電。水、電都屬于基礎設施，這一事件也暴露出烏克蘭的工業體系十分脆弱。表面上看，這是一起工業事件，但歸根結底，也是一起政治事件。因為，基礎設施安全涉及到國家安全，一旦出現問題，它就是政治問題。這件事情的最后結局是烏克蘭在今年4月份通過了最新的《國家安全戰略》，同時烏克蘭政府規定不再采用從俄羅斯購買的軟件和IT技術。”

怎么彌補是我國工控安全的關鍵

美國、歐盟、日本、新加坡、韓國，包括印度都在工控安全的各個層面出臺了相應的政策和標準。我國近幾年在這方面的腳步也有所加快。去年的《安全法》（草案）已經體現了有關基礎設施的保護細則。習總書記的4.19講話也強調了“加快構建關鍵信息基礎設施安全保障體系，全天候全方位感知網絡安全態勢，增強網絡安全防御能力和威懾能力。”在上至國家、下至企業都認識到了工控系統安全的脆弱性和出現問題的嚴重性的前提下，怎么彌補成了關鍵。

對于我國工業安全的現狀，李江力提醒大家不要那么樂觀。“雖然工控安全的漏洞在2011年達到了高峰之后，逐年下降。但是這個可能是假象。原因有兩個，一是設備生命周期長，動輒上線運行十年以上，很多設備的漏洞是幾年以前發現的，但仍然在線運行；二是工業控制設備漏洞的危害嚴重，這個更具敏感性性，很多機構發現了問題并沒有上報，有的是因為涉及利益關系，有的是因為傳遞不當被惡意的第三方利用。所以，工業控制系統的漏洞怎么收集、怎么歸類、怎么上報、怎么共享，是一個亟待研究的課題。”

有一個統計表明，我國工業控制系統等級超過90%是中級以上，很危險，一旦出現問題，將會導致一些基礎設施的崩潰。在目前能夠看到的工業系統中，西門子、施耐德、GE等國外廠商因為保有量大，所發現的漏洞也最多。“因此，如何讓外企接受我國的監管標準，開放相關私有協議和漏洞通報機制，還有很長的路要走。”李江力說。

既然形勢不容客觀，那么，這些危險到底來自哪里？李江力將工業系統安全的危險來源歸納為五個方面：一是設備本身的漏洞，不管是西門子、GE，還是國內廠商的工控設備，這些設備本身本質上就是專用的計算機系統，計算機系統會出的問題這些工控設備度可能會有，再加上也有很多協議自身的漏洞或協議實現的bug等等，可以說漏洞無處不在；二是國外設備后門，比如進口的很多機床很多時候是受到一些限制，如果這些后面被惡意利用，后果也會很嚴重；三是APT攻擊，在工業環境，一些不法的黑客組織，甚至一些機構政府長期掃描、探測關鍵設施系統，或者利用社會工程學的方式植入木馬程序試圖破壞目標工業控制系統，典型烏克蘭電力事件；四是傳播工業網絡病毒，病毒占用大量流量，導致通訊、生產中斷；五是無線通訊技術在工業領域應用帶來的的安全性風險，3G、4G、5G、wifi等等。

習總書記說：“安全是發展的前提”。面對嚴峻且現實的工控系統安全問題，政府、企業、社會組織應該齊心協力，共筑工控系統的安全防線。