淺談工業互聯網環境下的工業控制系統安全防護

張瑞東

摘 要：中國的工業互聯網基本上與發達國家同時起步。近年來，5G基礎設施建設不斷完善，新技術、新應用和產業互聯網技術的融合不斷研發和推廣。安全操作系統是終端安全的核心和基礎。如果沒有安全操作系統的支持，則無法保證終端安全，必須加強源頭控制，實現縱深防御。這給中國工業互聯網的發展帶來了巨大的機遇，但也給中國工業互聯網帶來了嚴峻的挑戰。

關鍵詞：工業互聯網;工業控制系統;安全防護;

當前新技術應用加速發展，產業改革持續推進，使得工業互聯網技術不斷突破，為我國經濟創新、產業融合提供了新機遇的同時，在網絡安全方面也帶來了新挑戰。一旦遭受網絡攻擊，可能會造成巨大的經濟損失、嚴重的生產事故，甚至會對國計民生構成威脅。

一、分析中國工業互聯網面臨的風險

一直以來，工業企業在網絡安全防護方面存在幾個顯著誤區，例如：將網絡安全產品的部署等同于工業系統得到網絡安全防護;將產品通過測試等同于相應產品安全;將安全的工業系統等同于工業系統網絡安全。實際上不合理的配置、相應的安全功能未開啟，錯誤的產品搭配以及工業系統安全防護層面設計的先天不足等普遍存在的因素，導致網絡安全產品的部署會引入一定的網絡安全風險。另外，針對產品的安全測試僅能反映當前安全狀態，無法發現可能出現的新漏洞，及攻擊者利用新漏洞實施網絡攻擊的手段。“運維”人員安全意識淡薄，導致信息泄露、使用未檢測并授權設備和安全策略落實不到位等，也會使得看似安全的工業系統存在風險。目前，在工業互聯網環境下，工業企業主要面臨以下幾個方面的安全風險：（1）設備安全風險。傳統工業設備更多注重業務連續性需求，日常運行維護主要也是針對安全生產內容開展相關工作，各個環節對網絡安全內容涉及較少，基本不具備防護各種網絡攻擊的能力。但是，工業互聯網將越來越多的智能化設備引入到工業控制系統中，直接參與生產，使得工業控制系統面臨嚴重的設備安全風險。（2）網絡安全風險。網絡IP化、無線化、組網靈活化，給工業互聯網環境下的工業控制系統帶來更大的安全風險。TCP/IP等通用的網絡協議在工業網絡中的應用，大大降低了網絡攻擊門檻，傳統的工業控制系統防護策略無法抵御多數網絡攻擊。為了滿足生產需要，無線通信網絡在各工業生產場景下得到廣泛使用，趨于單一的安全防護機制讓攻擊者極易通過無線網絡入侵，并實施網絡攻擊。同時，網絡的互相融合，使得工業組網越來越靈活復雜，傳統的防護策略面臨攻擊手段動態化的嚴峻挑戰。（3）控制安全風險。傳統控制過程、控制軟件主要注重功能安全，并且基于IT和OT技術相對隔離、可信的基礎上進行設計。同時，為了滿足工業控制系統實時性和高可靠性需求，對于身份認證、傳輸加密、授權訪問等方面安全功能進行極大地弱化甚至丟棄，導致工業控制系統面臨極大的控制安全風險。（4）數據安全風險。工業互聯網業務結構復雜，工業數據更是種類多樣、體量巨大、流向復雜，而且涉及大量用戶隱私數據，導致工業數據保護難度增大。（5）應用安全風險。隨著工業互聯網不斷催生新的商業模式和工業產業生態，工業互聯網相關應用無論從數量還是種類將會出現迅速增長。這對工業互聯網安全防護在應用方面提出了更高的要求，以應對工業互聯網應用種類多樣化、數量巨大化和程序復雜化帶來的挑戰。

二、工業控制系統安全存在的問題

在網絡互連的大背景下，工業控制系統的互連已經成為不可避免的趨勢?；ミB一方面可以提高生產力，提升創新能力，減少工業能源及資源消耗，助力產業模式轉型升級，另一方面也會因為互聯而誘發一系列網絡安全問題，工業控制系統一直面臨著來自內部和外部的各種惡意病毒的攻擊。目前，工業控制系統遭受的網絡攻擊已經成為我們所面臨的最嚴重的國家安全挑戰之一。工業控制系統設計之初是為了完成各種實時控制功能，并沒有考慮到安全防護方面的問題?，F在他們都暴露在互聯網上，這給他們所控制的比如像關鍵基礎設施，重要系統等都帶來了眾多的風險和隱患。工業和信息化部電子科學技術情報研究所從2012年開始，持續跟蹤、監測工業控制系統的網絡安全風險，也發現了大量的工業控制系統網絡安全風險漏洞，并且向主管部門通報了多個地區的多起關鍵基礎設施高危網絡安全風險，涉及的行業包括能源、市政供水、供氣和供熱等。根據我們對整個漏洞的分析可以發現，有87%的漏洞是可以被黑客來遠程利用的。從漏洞的類型來看，身份驗證的漏洞數量最多，只要具有初步水平的網絡攻擊者就可以通過互聯網來獲得訪問工業控制系統設備和系統的一些管理員權限，并且這些漏洞的潛在威脅正在不斷加大。近幾年，工業控制系統的網絡安全事件頻發，由于工業控制系統安全涉及國計民生，一旦遭到破壞，危害將十分嚴重。

三、工業互聯網環境下的安全防護研究

為提高工業互聯網環境下的工業企業安全防護水平和保障能力，應在以下幾個層面積極開展安全防護研究相關工作。

1.設備安全。工業企業需根據自身需求，使用采取措施對設備固件進行安全加固的設備，并建立設備、操作系統漏洞發現和補丁更新機制，確保及時發現相關安全漏洞、進行補丁升級。必要時，采用基于硬件的可信驗證技術，為設備的安全啟動以及數據傳輸機密性和完整性保護提供支持。

2.網絡分區與邊界隔離。針對網絡融合帶來的風險，企業應根據業務開展需求和相應風險評估結論，優化網絡結構設計，調整網絡安全區域，重新定義網絡邊界及防護策略以適應網絡結構變化。并且在網絡接入認證，重要數據傳輸加密等方面加大投入力度，確保網絡通信的安全性。

3.控制安全與防護。對于控制安全與防護，主要應從控制協議、控制軟件和控制功能入手。加強認證授權、協議加密、協議過濾和惡意篡改等方面技術，并在使用前確保開展控制協議健壯性測試、軟件安全測試及加固等工作。在惡意代碼防護、補丁升級和漏洞修復方面還應建立切實可行的防護機制，確保落實到位。

4.數據保護。對于工業互聯網的數據安全防護，工業企業可采取數據加密、訪問控制、身份認證、數據脫敏及業務數據隔離等多種防護措施協同聯動的方式進行防護，覆蓋包括數據收集、傳輸、存儲、處理、脫敏和銷毀等全生命周期。

5.應用防控與檢測。工業互聯網應用安全需從工業互聯網平臺與工業應用程序兩方面進行防護。對于工業互聯網平臺，可采取的安全措施包括安全審計、身份認證、訪問授權、抗DDOS攻擊等。對于工業應用程序，可采用全生命周期的安全防護，在應用程序的開發過程中進行代碼審計，以減少漏洞的引入和安全功能缺陷;“運維”過程中需定期進行漏洞檢測、流程審核及滲透測試等安全測試和功能測試，及時針對安全漏洞和后門進行評估與修復。

6.監測感知。工業企業可部署所需的監測措施，針對典型網絡攻擊（病毒傳播、DOS）、異常網絡行為、設備非授權接入、APT攻擊、關鍵操作指令、關鍵工藝參數等進行分析，發現工業控制系統內部及外部存在的安全威脅?？膳c邊界防護措施形成互補、聯動，也可為安全事件分析提供證據支撐，進而有效提高整體網絡安全防護水平。

總之，安全是工業互聯網健康發展的前提和保障，工業企業只有構建適應工業互聯網發展的安全體系，完善滿足生產需求的安全技術和管理機制，才能有效識別和抵御來自企業內部和外部的各種安全威脅，實現工業互聯網環境下的工業控制系統安全防護目標。

參考文獻：

[1]劉冬梅，探討工業互聯網環境下的工業控制系統安全防護.2019.

[2]王明楠.工業互聯網安全風險及關鍵防范技術研究.2018.