工业控制系统迈向开放 你想好如何进行安全防范了吗

随着国际国内工业互联网、工业4.0、中国制造2025战略的提出，信息技术（IT, Information Technology）和操作技术(OT, OperaTIonal Technology)一体化已成为必然趋势。在这种趋势下，工业自动化控制系统正逐渐从封闭、孤立的系统转化为开放互联的系统，工业自动化生产开始在所有网络层次上横向与垂直集成。

然而随着工控系统的开放性与日俱增，系统安全漏洞和缺陷更容易被病毒所利用，工业控制系统又涉及电力、水利、冶金、石油化工、核能、交通运输、制药以及大型制造行业，一旦遭受攻击会带来巨大的损失。事实上，对于电力、水利、能源、制造业等领域的工业控制系统的入侵事件，在此之前就已经层出不穷。

例如，2008年的波兰Lodz的城铁系统被恶意攻击，导致4节车厢脱离正常轨道；2010年，“震网”病毒攻击伊朗核设施；2016年，乌克兰电网遭遇黑客攻击，造成大范围停电等等。

工业控制系统安全国家地方联合工程实验室与360威胁情报中心制图

根据美国工业控制系统网络紧急响应小组（ICS-CERT）最新统计报告，2016年美国关键基础设施存在492个安全漏洞，相关漏洞涉及供水、能源和石油行业等关键基础设施。

自2000年1月截止到2017年12月，根据我国国家信息安全漏洞共享平台（CNVD）统计，所有的信息安全漏洞总数为101734个，其中工业控制系统漏洞总数为1437个。2017年CNVD统计的新增信息安全漏洞4798个，工控系统新增漏洞数351个，均比去年同期有显着增长。

和IT信息系统不一样，工业控制系统安全有自身的独特性，例如恶意代码不敢杀、不能杀。基于工控软件与杀毒软件的兼容性，在操作站（HMI）上通常不安装杀毒软件，即使是有防病毒产品，其基于病毒库查杀的机制在工控领域使用也有局限性，主要是网络的隔离性和保证系统的稳定性要求导致病毒库对新病毒的处理总是滞后的，这样，工控系统每年都会大规模地爆发病毒，特别是新病毒。

除了来自外部攻击外，另一方面是来自工业系统自身安全建设的不足。例如很多工控设备缺乏安全设计，主要来自各类机床数控系统、PLC、运动控制器等所使用的控制协议、控制平台、控制软件等方面，其在设计之初可能未考虑完整性、身份校验等安全需求，存在输入验证，许可、授权与访问控制不严格，不当身份验证，配置维护不足，凭证管理不严，加密算法过时等安全挑战。例如：国产数控系统所采用的操作系统可能是基于某一版本Linux进行裁剪的，所使用的内核、文件系统、对外提供服务、一旦稳定均不再修改，可能持续使用多年，有的甚至超过十年，而这些内核、文件系统、服务多年所爆出的漏洞并未得到更新，安全隐患长期保留。

总结起来看，工业网络主要面临以下安全问题：

1．工业网络安全威胁级别越来越高，漏洞类型多种多样

通过2017年ICS-CERT和CNVD安全漏洞平台统计新增漏洞数据发现，工业控制系统信息安全事件大幅提高，高危漏洞比重增多，攻击破坏力不断增强，对关键基础设施的安全防护存在重大威胁。

2．网络结构快速变化，目前工控技术存在隐患

1) 工业控制系统规模急速膨胀，工控系统极少升级，易受病毒攻击感染；

2) 系统普遍缺乏监测手段，无法感染未知设备；在执行服务器操作时，缺乏系统审计；

3) 在执行关键操作时，缺乏日志记录；工控设备存在诸多漏洞，RTU/PLC安全隐患突出；

4) 在工控系统中，开放对外接口会带来安全隐患；网络结构快速变化，原有IP数据网信息安全技术远远不能满足工业控制系统的安全要求。

3．网络边界不够清晰，局部安全问题易扩散到整个系统

在工业控制系统中，对网络内各个组成部分的安全需求缺乏统一规划，没有对核心业务系统的访问进行很好的控制；各接入系统之间没有进行明确的访问控制，网络之间彼此可以互相访问，边界入手易，系统内入手难。

4．工控安全标准有待完善，安全企业重视不足

毫无疑问，工业控制系统安全是国家关键信息基础设施安全的重要组成部分。为促进工控网络安全健康发展，工业控制系统安全国家地方联合工程实验室（由国家发展与改革委员会批准授牌成立，由360企业安全集团承建的对外开放的工业控制安全技术方面的公共研究平台）提出如下建议：

1．建立网络安全滑动标尺动态安全模型

该标尺模型共包含五大类别，分别为架构安全（Architecture）、被动防御（Passive Defense）、积极防御（AcTIon Defense）、威胁情报（Intelligence）和进攻反制（Offense）。这五大类别之间具有连续性关系，并有效展示了防御逐步提升的理念。

架构安全：在系统规划、建立和维护的过程中充分考虑安全防护；

被动防御：在无人员介入的情况下，附加在系统架构之上可提供持续的威胁防御或威胁洞察力的系统，如：工业安全网关/防火墙、工业主机防护、工业审计等；

积极防御：分析人员对处于所防御网络内的威胁进行监控、响应、学习（经验）和应用知识（理解）的过程；

威胁情报：收集数据、将数据利用转换为信息，并将信息生产加工为评估结果以填补已知知识缺口的过程；

进攻反制：在友好网络之外对攻击者采取的直接行动（按照国内网络安全法要求，对于企业来说主要是通过法律手段对攻击者进行反击）。通过以上几个层面的叠加演进，最终才能够实现进攻反制，维护工业互联网的整体安全。

2．从安全运营的角度，建立企业的工业安全运营中心

在IT和OT一体化推进发展中，IT技术在OT领域大量使用，IT所面对的风险也跟随进入了OT网络，因此工业企业对这两个应用角度都要识别风险的切入点，列举相关的风险，并且要进行一体化的规划。

工业安全运营中心（IISOC）基于威胁情报和本地大数据技术对工控系统通信数据和安全日志进行快速、自动化的关联分析，及时发现工控系统异常和针对工控系统的威胁，通过可视化的技术将这些威胁和异常的总体安全态势展现给用户，通过对告警和响应的自动化发布、跟踪、管理，实现安全风险的闭环管理。威胁情报、威胁检测、深度包解析、工业大数据关联分析、可视化展现、闭环响应实现以工业安全运营为中心的一体化防护体系。安全运营目的是解决越来越多的安全产品部署在网络中形成的“安全防御孤岛”问题。

3．组建IT&OT融合的安全管理团队

组建IT&OT融合的信息安全管理团队，对整个工业控制系统进行安全运营。对安全管理团队进行必要的指导，根据具体场景建立合适的安全策略管理和响应恢复机制，及时应对安全威胁。企业要想成功部署工业网络安全项目，需重视同时掌握信息技术（IT）和操作技术（OT）的人才，有的放矢。订购安全服务和威胁情报，定期对安全管理团队进行培训，建立IT、OT的安全统一规划，使得安全管理团队成员尽量利用统一标准进行安全事件的处理。

4．在技术层面提高防护能力

终端层面：针对CNC等老旧设备，部署轻量级白名单（系统进程）的防护措施；针对性能好的生产设备，部署统一的终端杀毒软件，如360天擎；移动介质，例如U盘，进行统一管控（主机防护）。

网络层面：横向分区、纵向分层，将办公网、工控网、生产网有效划分；网络边界处部署安全网关，最小权限原则：只开放必要端口，进行精细化访问管控。

监控层面：摸清资产家底，集中统一管理，并精心维护；部署工业安全运营中心，对公司网络安全状况进行持续监测与可视化展现。

可恢复性（备份层面）：针对CNC等老旧设备，定期请工控厂商进行系统备份；针对性能好的办公和生产电脑，定期自行进行系统和数据备份。