工控系統安全防護技術

白雪原 侯克軍

摘要??? 工業控制系統是關系國家安全的重要基礎設施的組成部分，面臨著嚴峻的形勢。本文對工業控制系統信息安全風險進行了分析，結合工信部發布的《工業控制系統信息安全防護指南》，從物理安全、網絡安全、主機安全、數據安全等方面闡述了工業控制系統信息安全防護技術，有助于企業提升工控系統防護能力和水平。

【關鍵詞】工控系統 安全 防護技術

1 引言

工業控制系統（Industrial control system）一般是指由計算機設備與工業過程控制部件組成的自動控制系統，目前被廣泛地應用于軍工、制造、能源、交通等關系國計民生的重要行業，用于控制各類生產設備的運行。一旦工控系統受到攻擊，輕則導致生產運行癱瘓，重則導致環境災難和人員傷亡，嚴重危害國家安全和公眾利益。

2 工控系統安全風險

2.1 工控系統與互聯網互聯互通的風險

很多企業的工控系統及管理系統與互聯網并沒有物理隔離，方便了管理和運維，但由于工控系統自身存在漏洞及薄弱環節，卻容易成為黑客攻擊的目標。應嚴格管控對互聯網開放的網絡服務，風險較大的網絡服務應關閉。確需遠程維護的，盡量采取VPN等方式接入。對于遠程訪問，建立身份鑒別、訪問控制、安全審計等措施。

2.2 工控系統被病毒感染的風險

工控系統和病毒可以通過網絡傳輸感染工控系統，也可能在人員對工控系統進行維護、調試等工作時，由于存儲介質的不規范的使用或者遠程的訪問，導致感染。應建立防病毒和惡意軟件入侵管理機制，對接入工控系統的設備進行病毒查殺，對安裝的軟件進行充分測試，阻斷病毒感染途徑。

2.3 工控系統的數據傳輸的風險

越來越多的工控系統采用國際標準的通信協議進行數據傳輸，而這些協議安全機制不完善，缺乏身份鑒別、訪問控制措施，數據明文傳輸，數據容易被遠程竊取，控制指令有被假冒和篡改的風險。

2.4 無線網絡接入的風險

由于無線網絡的便捷性和低成本，無線網絡已在工控領域中大規模化應用，并成為迅速發展的熱點之一。但實際使用中多數無線客戶端和無線接入點缺乏身份認證，信息數據明文傳輸，也使工控系統大門洞開，威脅其安全。

3 工控系統安全防護技術

3.1 物理和環境安全防護

為保證工控系統的安全可靠運行，降低或阻止人為或自然因素從物理層面對工控系統保密性、完整性、可用性帶來的安全威脅，必須從物理安全的角度采取適當的安全控制措施。針對工控系統物理環境缺乏控制及未經授權的人員可以訪問重要設備的現狀，對于工控系統中無人值守的分布式站點、核心設備區域采取物理防范措施是十分必要的。通過建立配置視頻監控措施、電子門禁系統和報警系統，可以防止未經授權的人員進入，并且便于事后審計和追查。

USB、光驅等工業主機外部設備的接入使用，為病毒和木馬等入侵提供了通道。應盡量拆除或封閉各類工業主機上不必要的外設接口;確需使用時，可采用工控系統主機審計產品統一管理有外設接口的工控系統主機。

3.2 網絡安全防護

工控系統要對設備按照功能、區域等合理劃分安全域，使數據交互只能通過安全域邊界進行，并通過工業防火墻、安全網閘等設備對工控系統的安全邊界進行防護。在不同網絡邊界間，可以通過部署防火墻的方式，實現網絡訪問的安全控制，阻斷不合法的網絡訪問。對于重要的工業控制網絡，與互聯網直接連接存在較大風險，應在實際使用中先對安全風險進行評估，再采取合理的方式進行連接。

3.3 主機安全防護

在企業工控網絡現場各類工控設備和網絡設備等普遍采用國外品牌，因協議和配置缺陷導致工業控制系統存在大量漏洞，同時缺乏必要控制措施進行防護。大多數漏洞屬于拒絕服務、遠程代碼執行和緩沖區溢出的類型。如果被入侵者利用，將導致設備故障或惡意破壞，嚴重影響工控系統和組件的安全性和可靠性。由于對工控系統高穩定性、可靠性、實時性的要求，系統內的設備、平臺不會輕易地做更新換代，影響到實時性和穩定性的措施也不能充分實施。對系統的操作站、工程師站進行維護時應對所使用的外接設備進行病毒查殺，確保沒有病毒的存在。

建立工控系統安全生產與運行的“軟件白名單”，進而構筑工業控制系統的“安全環境”，只允許可信任的軟件能在工控網絡內部使用，其他惡意的、不明確的或者未經測試的軟件等都不允許流通使用，并要及時調整、升級軟硬件工具。

3.4 數據安全防護

隨著網絡技術的發展，工控系統越來越多的采用通用協議和明文方式進行數據傳輸。為了防止數據在傳輸過程中發生泄漏或者被非法獲取，應采用SSL或者密碼技術等安全方式保障網絡傳輸數據的機密級、完整性和可用性，實現工控系統網絡間數據的安全傳輸，達到非法用戶對重要的數據即使拿得到也看不懂，更用不了的目的。

應根據實際情況對關鍵業務數據進行定期備份。一旦發生系統故障，可以迅速應急恢復。企業在運行過程中應建設完善工控安全事件應急響應預案，定期組織應急演練，不斷增強應急能力。

4 結束語

工業控制系統網絡是工業化與信息化融合的產物，我國工控領域的安全性問題突出，工控系統的復雜化、IT化和通用化加劇了系統的安全隱患，增大了潛在威脅。應進一步推動相關企業研究適合我國實際情況的工控系統安全防護技術，不斷提升企業工控系統的綜合保障能力，保證國家重要基礎設施的安全運行。

參考文獻

[1]工信部信軟〔2016〕338號文.工業和信息化部關于印發《工業控制系統信息安全防護指南》的通知.

[2]GB/T22239-2008.信息安全技術：信息系統安全等級保護基本要求.