工業控制系統終端設備信息安全防護體系分析

趙汝英 張小飛 陳鵬

(1.國網電力科學研究院，江蘇南京 211106;2.南京安維士傳動技術股份有限公司，江蘇南京 211103)

0 引言

在第四次工業革命的大時代背景下，工業控制系統已成為推動工業信息化進程、促進生產模式轉型發展的重要技術工具。同時，在實現從集中控制、分散控制到現場總線控制的變革演進后，工業控制系統對于工業生產的重要性與必要性又有了進一步增強。但隨之而來的，網絡環境風險、信息技術風險也成為了現代工業領域必須要面對和重視的新挑戰、新危機，一旦工業控制系統受到侵襲，出現信息外泄、程序篡改、設備損壞、通信中斷等問題，很可能引發嚴重化、連鎖性的事故后果，對工業生產的經濟效益、安全效益、社會效益產生極大影響。所以，我們有必要對工業控制系統終端設備信息安全防護體系的相關話題展開探究討論。

1 工業控制系統終端設備信息安全防護體系的發展現狀

近年來，隨著“中國制造2025”“兩化融合”“互聯網+”等重要國策、戰略項目的陸續發布與建設實行，我國工業領域的現代化、信息化水平整體上有了明顯提升，集中控制系統、分散控制系統、現場總線控制系統等工業控制系統也越來越多地被運用到工業生產實踐當中。發展至今，工業控制系統已實現了與電力供配、油氣開發、航空航天、車船制造、武器制造等多個領域的深度融合，成為了助推我國經濟實力、國防實力、工業實力、民生實力等綜合國力發展的關鍵動力。但隨著信息化水平的提高，由于設計之初較弱的防護能力，工業控制系統極其容易被病毒、木馬、蠕蟲等黑客技術攻擊，一旦被入侵，將會引發生產設備故障、機密信息泄露、控制程序篡改、現場安全事故等一系列問題，形成對工業企業乃至社會整體的極大危害[1]。

面對這一情況，我國發布了《信息安全等級保護管理辦法》《信息安全等級保護基本要求》《網絡安全法》等政策制度與法律法規，并于2019年12月1日正式完成了由“等保1.0”到“等保2.0”的優化變革，在提出主動防御、攻防對抗、態勢感知、全程保護等新要求，引入云安全、大數據、物聯網、工業控制、移動安全等新內容的基礎上，對以企業為代表的網絡運營者的工控系統管理責任、信息安全防護責任作出了明確。由此，基于誰主管誰負責、誰運營誰負責、誰使用誰負責的原則，“如何做好工業控制系統的高效應用”“如何充分保障終端設備的信息安全”等成為了電力企業在生產實踐中必須要提起重視、深入思考的問題。

2 工業控制系統終端設備信息安全防護體系的風險分析

從目前來看，工業控制系統及其終端設備在投用運行中存在多種表現形式、多種影響機制、多種產生來源的風險隱患，可大致分為環境風險、技術風險與管理風險三個部分。這些風險既可單一出現，也可綜合發生，相關人員在構建信息安全防護體系時必須要引起全面重視。具體來講：

2.1 環境風險

工業控制系統及其終端設備面臨的環境風險，可進一步分成物理環境風險與網絡環境風險兩個方面：

第一，物理環境風險。通常情況下，工業控制系統的硬件機房、終端設備會部署在車間現場或廠區周邊，所處環境的綜合質量相對較差。例如，若廠區、車間并未設置門禁安保系統，或缺乏全天候、廣覆蓋的監管支持，將有可能出現外部人員或非專業人員進入機房的情況，進而形成越權操作、設備被盜等安全風險。再如，工業控制系統及其終端設備在軟件、硬件層面均具有一定脆弱性，其本身很難對溫濕度變化、電磁干擾、水火侵襲等風險事件形成有效的抵御和應對，進而產生相應的受災風險。此外，老鼠、昆蟲等生物侵襲，以及不規范的工業生產行為，也會對工業控制系統及其終端設備造成物理損傷，對其安全性、穩定性產生負面影響。

第二，網絡環境風險。理論上講，工業控制系統應具備單向傳遞、網絡獨立的構建特點，以確保其信息體系的穩定安全。但從實際情況來看，我國很大一部分企業并未對工業控制系統與其他工作系統進行網絡區域上的明確區分，甚至會直接將工控網絡與公共網絡連接在一起。在物聯網技術的滲透融合下，這種現象還表現出了愈演愈烈的趨勢。這樣一來，工控網絡趨于邊界模糊化、區域開放化，既不利于信息安全防護體系的精確部署，也會增大黑客、病毒直接侵入的幾率，使工業控制系統及其終端設備處于相對危險的境地之中[2]。

2.2 技術風險

現階段，一些企業在開展信息化建設、構架工業控制系統時存在“重生產，輕安全”的偏誤問題，即只注重工業控制系統及其終端設備的控制模式是否先進、控制功能是否完善、控制范圍是否寬廣，而疏于對系統安全需求、信息保護要求的重視與響應。在此背景下，各類技術風險、系統隱患極易滋生，對信息化工業生產活動的安全高效開展構成了很大威脅。例如，若工業控制系統在架構設計階段并未對用戶權限進行明確的訪問控制，將意味著任何人員都有可能成為系統信息的查看者、系統操作的執行者甚至系統啟停的掌控者。此時，一旦有人員蓄意或失誤實施了越權訪問、越權操作的行為，將會對工業控制系統的穩定工況造成破壞，進而引發形影的系統故障甚至生產事故。再如，若企業并未給工業控制系統及其終端設備配備出黑客阻斷、病毒消殺、系統檢查、垃圾清理、風險告警等方面的技術工具，也會使工控網絡整體的風險排查能力、危害應對能力、自我優化能力與故障響應能力大打折扣。

2.3 管理風險

在“等保2.0”的國策要求視域下，一個工業控制系統終端設備信息安全防護體系的順利構建，需要組織管理、機制建設、通報預警、安全規劃、應急處置、能力建設、態勢感知、技術檢測、監督檢查、隊伍建設、經費保障、教育培訓等多項工作內容、管理要務作為支撐。但反觀當前，我國大部分企業在該方面存在或多或少的制度缺陷或管理疏漏。例如，微軟公司已于2020年1月正式公布，停止對Windows 7操作系統的服務支持，Windows XP、Windows 2000等前代操作系統的支持停止時間則更早。但在實際的系統構建、工業生產時，仍有很多企業仍會將Windows 7、Windows XP等操作系統應用到工程師站、操作員站等工業控制系統終端當中，且并未及時進行系統升級、硬件更換等方面的管理要求與經費投入。這樣一來，由于相關操作系統無法得到運營商的有效支持，其漏洞修復、功能拓展、模塊優化等行為也就很難主動完成，不利于終端設備信息安全的有效保護。

3 工業控制系統終端設備信息安全防護體系的構建思路

3.1 提高工業控制系統終端設備信息安全的環境防護水平

首先，電力企業相關人員要以傳感器技術為依托，在工業控制系統及其終端設備所處的物理環境中布設現場信息感知網絡，對物理環境的溫度、適度、侵入物等風險因素進行動態采集、全面化覆蓋、全天候監控。在此基礎上，配備異常報警系統、自動消防系統、電磁抵御系統等，以實現安全事故的及時響應、有效處理。同時，還應在廠區、車間、機房等環境設置門禁系統，對不同人員進行準入權限的劃分，并配以不同的密碼口令、門禁卡牌，從而降低非法侵入、越權操作等高危事件的發生幾率，為工業控制系統終端設備信息安全提供出物理環境上的充分保障[3]。

其次，在網絡環境方面，電力企業相關人員應明確做好工控網絡與其系統網絡之間的區域分化，清晰規劃工業控制系統的網絡邊界。在完成規劃后，相關人員需要據此開展“網絡壁壘”的搭建工作。據2019年相關學界的研究顯示，在調查市面上工控系統常用的30余種防火墻后發現，近80%的防火墻是允許入站規則下的幾乎所有服務的，其中不乏有大量不安全訪問的存在。同時，有近70%的防火墻允許網絡外圍設備對防火墻進行訪問與控制。由此可見，若僅適用防火墻進行工業控制系統及其終端設備的保護，是遠遠不夠的。所以，需要在利用防火墻技術的基礎上，對“網絡壁壘”實施多層強化。例如，可部署集私密網關、工業網閘、工業防火墻、通道密鑰于一體的防御工事，對黑客、木馬、病毒、高風險數據包等的入侵行為進行強效阻斷與動態記錄。此外，還應盡量弱化工業控制系統與其他系統之間的交互性，實現終端設備數據信息的單向化傳輸，以防止風險數據混入交互信道，對工業控制系統造成內部侵襲。

最后，電力企業還應做好人力資源在環境監督管理方面的有效利用，設置專門化的現場巡視、后臺監控等人員崗位或工作隊伍，以充分提高環境風險的排查與響應能力，為工業控制系統及其終端設備創設出良好的物理環境與網絡環境。

3.2 優化工業控制系統終端設備信息安全的技術防護體系

在工業控制系統的應用過程中，電力企業務必要做到既重視生產，也關注安全，積極引入先進、優質的信息安全防護技術，為系統網絡及終端設備的健康、穩定、持續運行提供充分保障。例如，可將態勢感知技術融入安全防護體系，以構建和更新漏洞庫、協議庫、指紋庫、病毒庫等數據庫為基礎，對內外網絡的風險信息進行細化檢測，對工業控制系統的異常數據流量進行動態采集，以實現病毒、木馬、漏洞等安全隱患的及時感知、精準應對。此外，還需做好工業級、企業級安全管理系統、病毒消殺軟件、代碼加密軟件等的合理利用，從而進一步增強工業控制系統及其終端設備對信息安全風險的規避和抵御能力[4]。

3.3 強化工業控制系統終端設備信息安全的管理防護力度

為了實現工業控制系統終端設備信息安全防護水平的全面提升，電力企業在資源管理方面也應下足功夫。首先，電力企業應及時對落后的操作系統、軟件工具與硬件設備進行淘汰或更新，以確保其具備良好的工作性能與服務支持，降低外部風險的侵入幾率與破壞能力。其次，電力企業應盡量在內部建立起系統、軟件、硬件等的統一化應用標準，以在降低工業控制系統搭建與運行難度的同時，避免防火墻、殺毒軟件等與操作系統型號版本不兼容的情況發生。最后，對于工業控制系統中的控制終端與上位機，電力企業相關人員應及時做好軟驅、網口、光驅等的拆除工作，以更加全面地切斷病毒、黑客等的侵入渠道，實現工控網絡管理防護力度的提升。

4 結論

總而言之，在實際應用中，工業控制系統終端設備所面臨的信息安全風險是高危害、多樣性、多源性的，環境、管理、技術等任何一方面存在缺陷，都有可能導致終端設備及系統整體遭受侵襲。所以，相關人員在構建信息安全防護體系時，務必要堅持統籌兼顧、綜合著手的原則，將先進科學的管理模式、安全技術、網絡工具運用到系統保護、風險防控的全過程之中，以確保將信息安全事故的發生幾率控制在最低水平，充分發揮出工業控制系統在現代工業生產活動中的作用價值。