關于工業控制系統網絡安全的思考

摘? 要：隨著工業化和信息化的進一步融合，工業控制系統在工業生產各個領域的應用更加廣泛，在大幅提高生產效率的同時，也面臨著越來越嚴峻的網絡安全威脅。本文從我國當前工業控制系統網絡安全的現狀入手，通過分析工業控制系統網絡安全面臨的風險與威脅，進而提出工業控制系統網絡安全的具體防護措施，以降低網絡潛在風險對工業控制系統的沖擊，從而保證工業控制系統網絡安全和生產安全。

關鍵詞：工業控制系統;網絡安全;風險與威脅;安全防護措施

中圖分類號：TP393.08;TP273? ? ? 文獻標識碼：A 文章編號：2096-4706（2019）08-0165-03

Abstract：With the further integration of industrialization and information technology，the application of industrial control system in various fields of industrial production is more extensive，greatly improving the production efficiency，but also facing more and more serious network security threats. This article from the current industrial control system with the current situation of network security，through the analysis of network security risks and threats of the industrial control system，and industrial control system of network security specific protective measures are put forward，in order to reduce the impact of potential network risks on industrial control systems，thereby ensuring the network safety and production safety of industrial control systems.

Keywords：industrial control system;network security;risks and threats;safety measures

0? 引? 言

當前，工業控制系統與物聯網、互聯網進一步融合，過程控制系統與上層管理信息系統以及經營管理層與執行層之間實現了互聯互通，工業控制系統已逐漸走出“信息孤島”的窘境，被廣泛應用到能源、水利、交通、石化、冶金等關系國家安全和國計民生的重要領域。不可否認的是，工業控制系統的智能化、信息化程度越來越高，對生產效率的提升起到了巨大的推動作用，但同時也需面對一系列的網絡安全風險與威脅。尤其是近年來出現的“震網”“毒區”“火焰”等病毒和惡意軟件，攻擊重心具有明確的靶向特征，已轉向工業領域，對經濟發展、社會穩定和國家安全造成嚴重影響。例如，2003年美國Davis-Besse核電廠的安全監測系統感染Slammer蠕蟲病毒，導致安全監測系統癱瘓;2010年伊朗核設施感染震網病毒，導致伊朗核計劃受阻;2015年烏克蘭電力系統遭受BlackEnergy惡意代碼變種攻擊，導致出現大規模停電現象;2018年4月黑客利用CISO交換機遠程代碼執行漏洞攻擊俄羅斯和伊朗的基礎設施，導致約20萬臺設備受到不同程度的影響;2018年8月臺積電電腦系統遭到電腦病毒攻擊，導致多個廠區機臺停線。這些工業控制系統安全事件表明，不法分子對工業控制系統的攻擊是一種有組織、有計劃、大規模、隱蔽、持續的行為，而且隨著攻擊技術、攻擊手段的不斷推陳出新，工業控制系統將面臨更加巨大的網絡安全威脅。

1? 當前我國工業控制系統網絡安全的現狀

1.1? 安全管理意識不足

當前許多企業的管理人員在思想上對工業控制系統網絡安全沒有引起足夠的重視，尚未形成全壽命周期安全管理理念，尤其在工業控制系統建設、運行和維護過程中安全管理意識更加薄弱，制定的安全防護方案和安全管理制度要么不完善，要么不盡合理，而且缺乏對設計、維護和操作人員關于網絡安全方面的理論知識和技能操作培訓，導致在實際操作中出現隨意或違規操作等現象時有發生，給工業控制系統網絡安全埋下隱患。如隨意增加系統的通信接口或互聯;隨意刪減系統安全加固環節;設置的用戶名和密碼過于簡單;工業控制系統的加固措施和防護技術手段不到位;操作系統和應用軟件的升級和漏洞修復不及時;通信協議缺乏安全審計和權限校驗;移動介質的使用權限不明確;缺乏遠程訪問限制和防護手段;系統維護過程中的安全監管不到位等。

1.2? 工業控制系統設計上的缺陷

工業控制系統的使用壽命較長，許多企業仍然沿用最初引進的工業控制系統，對于這些存量的工業控制系統，制造廠商在設計時存在嚴重的網絡安全設計缺陷，著重在工業控制系統的可靠性與可用性方面考慮較多，而對工業控制系統本身的安全性考慮不足，普遍存在安全防護策略或技術手段相對滯后、網絡架構不完善等問題，系統應用處于“無防護”和“無監測”的狀態，操作界面、系統平臺、控制器程序、通用協議等都有各種漏洞或缺陷，很容易被各種病毒、木馬程序等攻擊利用。有相關的報道指出，2010年后工業控制系統漏洞急速增長，西門子、研華、施耐德、羅克韋爾等產品漏洞此起彼伏，引發的網絡安全問題舉不勝舉。

1.3? 工業控制系統網絡安全規范不完善

為了確保工業控制系統更好地服務于企業，國家在借鑒國際通用標準的基礎上，先后出臺了《工業過程測量、控制和自動化網絡與系統信息安全》《信息安全管理系統》《工控系統信息安全標準》《工控系統網絡安全管理辦法》等一系列有關工業控制網絡安全的管理標準、規定和辦法，有些大型企業也結合自身行業的特點，制定了一些安全標準或規范。總體上看，這些文件雖然對工業控制系統運行和維護起到了一定的輔助作用，但在具體內容上還較為宏觀，指導性和可操作性明顯不足。企業在實際應用工業控制系統時，關于安全設計、檢測和評測依據、驗收標準等都缺乏明確的規定，而且專業的工業控制系統網絡安全檢測機構也很少，無法滿足不同企業對不同軟件、固件應用的網絡安全檢測。

1.4? 工業控制系統網絡安全的隔離方案和主要設備不足

工業控制系統網絡安全具有多樣性和復雜性特點，加之不同行業、不同企業、不同軟件版本以及不同控制器版本等，都給工業控制系統的運行和維護帶來困難，對工業控制系統網絡進行加固和隔離是確保工業控制系統正常運行的前提和基礎。然而，從企業應用工業控制系統的實際情況來看，網絡安全加固、隔離方案缺失，主要隔離設備不足為各種病毒、木馬程序等的入侵提供了便利，而且對已用的加固、隔離方案和主要隔離設備的適用性也缺乏科學的評估手段和驗證依據，工業控制系統的實際應用效果不佳。

2? 工業控制系統網絡安全面臨的風險與威脅

2.1? 與互聯網連接帶來的風險

為了確保工業控制系統上的數據信息能夠達到及時共享和有效利用，借助互聯網、移動互聯網進行數據傳輸為最有效的方式。因此，暴露在互聯網上的工業控制系統呈逐年增長趨勢，越來越多的工業控制系統采用通用的軟硬件與管理信息系統互聯、互通，然而互聯網、移動互聯網都屬于開放性網絡，連接后會使工業控制系統的網絡變得越來越開放，互聯網本身的危險因素將會沖擊工業控制系統，導致工業控制系統的研發端、管理端、消費端、生產端等都有可能遭受病毒攻擊，給工業控制系統網絡安全帶來威脅。

2.2? 工業控制系統軟硬件設施本身的風險

任何產品都不可能完美無瑕，存在缺陷的原因也是多方面的。工業控制系統中包含的硬件設備、通用協議以及各種軟件等，在設計開發時更多關注的是功能的實現，存在安全漏洞也是不可避免的事情。近年來，工業控制網絡安全高危漏洞層出不窮，并且呈逐年增加態勢。究其原因，一方面是供應商的問題，軟件更迭周期較長，漏洞修復跟不上出現設計缺陷的步伐;另一方面是企業的問題，為了所謂的不耽誤生產，對軟件更新和安裝補丁的積極性不高。

2.3? 操作系統的風險

許多企業工業控制系統中的操作系統使用的是微軟公司開發的不同版本的Windows系統，該公司已停止對有些系統部分技術的服務支持，也就是說不是所有的操作系統漏洞都有相應的補丁予以修補，而這恰恰使不法分子利用操作系統漏洞攻擊工業控制主機有了可乘之機。尤其是對于能源行業，一旦不法分子攻擊行為得逞，將會帶來巨大的經濟損失，甚至是人身安全的威脅。

2.4? 病毒和木馬的威脅

隨著越來越多的工業控制系統暴露于網絡，為各種病毒和木馬程序攻擊工業控制系統提供了機會。入侵后的病毒或木馬在工業控制系統主機之間迅速傳播、復制，不僅不斷消耗網絡資源，導致網絡堵塞或網絡風暴，而且還可以重新加密文件，使計算機無法啟動，甚至控制工業控制系統主機電腦軟件，導致生產失控。根據病毒攻擊的性質可分為有針對性的攻擊和無針對性的攻擊兩種，有針對性的攻擊（如“震網”病毒），只要工業控制系統中任何一臺主機被感染，那么就會感染與該臺主機相連的其他主機;無針對性的攻擊（如“永恒之藍”勒索病毒），只要工業控制系統與互聯網相連，該病毒就會通過計算機漏洞自動植入。

3? 工業控制系統網絡安全的具體防范措施

3.1? 防火墻和智能保護設備的應用

目前IT網絡邊界防護和終端防護通常采用工業防火墻和智能保護設備的方法進行保護。工業防火墻具有訪問控制、地址轉換、應用代理、流量控制、TCP/IP協議安全過濾等功能，能夠實現控制指令識別、操作地址和參數提取等。智能保護設備布置在各個終端節點，主要用來防御外部以及內部其他區域和終端的威脅。工業防火墻和智能保護設備在企業管理層、MES層、過程監控管理層之間的應用，可以確保工業控制系統的安全性和可靠性。

3.2? 工業控制系統主機的防護

工業控制系統主機包括工程師站、操作站、數采站、歷史站和服務器等計算機設備，又稱過程監控設備。由于工業控制系統主機與控制器直接連接，對其加強安全防護，可以有效防止病毒和木馬對主機設備的攻擊，進而確保控制器正常工作。實際操作中應做到操作系統和應用軟件要最小化安裝，并同時采用白名單防護技術和黑名單防護技術。操作系統和應用軟件最小化安裝的目的是減少不必要的應用，以降低感染病毒和木馬的幾率。白名單技術是通過密碼技術采集應用軟件相應的“指紋”，形成合法的白名單。也就是說工業控制系統主機中運行的軟件，必須在白名單范圍內，而黑名單中的軟件或未經許可的軟件，不論是否安全可信都不能在主機中運行，對于病毒、木馬以及各種流氓軟件等首先是不允許安裝，更不可能運行。

3.3? 移動介質使用控制

工業控制系統終端設備都設有USB接口，方便U盤、移動硬盤、光盤、存儲卡等各種移動存儲介質接入，但如果移動介質本身的安全性不能保證，就可能導致工業控制系統設備感染病毒或惡意程序。因此，需要對移動介質進行有效管控，嚴格限制移動介質的準入和應用，利用端口管控工具對所有接入的移動介質進行檢測，防止不法分子利用移動介質攜帶的病毒或惡意程序對工控系統設備漏洞進行攻擊。

3.4? 構建工業控制系統安全防護體系

從基礎設施、體系結構、系統本體、安全免疫、安全管理、安全應急措施等各個方面入手，構建多維柵格狀、智能化工業控制系統安全防護體系，并隨著技術進步而不斷完善。通過數據流鏡像，對工業控制系統數據的采集、傳輸等各個環節的業務模塊信息進行全面分析，自動監測、查找網絡通信異常狀況和攻擊線索，對發現的病毒和惡意程序及時攔截并自動報警提示，保護工業控制系統免受攻擊。

3.5? 完善工業控制系統網絡安全管理制度

完善的工業控制系統網絡安全管理制度是保障工業控制系統正常運行的關鍵。首先，需要設置工業控制系統網絡安全管理機構，配備相應的管理人員，并明確崗位職責;其次，在國家關于工業控制系統網絡安全管理法規和政策的基礎上，制定適合本單位的工業控制系統網絡安全管理制度，包括工業控制系統網絡安全的評估制度、系統安全管理制度、系統升級管理制度、應急預案執行制度、技術人員培訓制度等，實現對工業控制系統網絡安全全程、全面管理，確保工業控制系統的安全穩定運行。

4? 結? 論

隨著工業控制系統智能化、自動化水平的不斷提升，工業控制系統網絡安全成為社會關注的焦點。本文從防火墻和智能保護設備的應用、工業控制系統主機防護、移動介質使用控制、構建工業控制系統安全防護體系、完善工業控制系統網絡安全管理制度等五個方面進行工業控制系統網絡安全防護，以期在提高生產效率的同時，能夠減少安全事故，保障工業控制系統良好運行。

參考文獻：

[1] 魏可承，李斌，易偉文，等.工業控制系統信息安全防護體系規劃研究 [J].自動化及儀表，2015，36（2）：49-52。

[2] 邸麗清，高洋，謝豐.國內外工業控制系統信息安全標準研究 [J].信息安全研究，2016，2（5）：435-441.

[3] 浦樂.工業控制系統信息安全風險及防護研究 [J].海峽科技與產業，2016，（6）：104-105.

作者簡介：申海濤（1981.08-），男，漢族，河北邯鄲人，工程師，研究生，研究方向：數據挖掘。