制造业工业控制系统主机防护探讨

一、概述

我国制造业可分为三种类型，一类是轻纺工业，诸如食品、饮料、烟草、造纸、纺织等等。一类是以资源加工为主，比如石油、化工、化纤、医药、黑色金属等。一类则是以机械、电子制造为代表，最具代表性的就是装备、重工制造，不限于机床、专用设备、交通运输工具、机械设备、仪器仪表等。随着我国国力的增长，制造业获得了长足的发展，并已成为国家未来发展主要支撑领域。制造业是我国国力强盛的最主要特征，其必将成为我国“工业互联网”的重要基础，制造业的发展程度直接影响我国强国梦的实现。

二、风险分析

虽然我国制造业近几年获得了较大发展，但是整体水平较发达国家还是有较大差距，制造企业自身也面临一系列发展瓶颈和不足，主要包括：

内部因素：

1、规模不断扩大，网络不断更新。横向延伸、DNC网络越来越庞大，产线不断扩容，覆盖面积越来越广，网络安全面临挑战。纵向扩展、服务器体量越来越大，总体终端数量越来越多，以一个中型的汽车制造企业为例，其操作终端可多达400~500台左右，占了办公终端的近十分之一。如何确保主机终端安全可控面临巨大挑战；

2、随着市场需求多样化，生产分工越来越精细化、功能性控制器（PLC、机床功能板卡等）程多样化，设计端对DNC服务器及产线的干预（本地监控站甚至机床本身）越来越多，未知风险愈来愈难以掌控；

3、随着国家“工业互联网”建设推进，作为“数据采集基础”中的基础-“企业中各种服务器和管理终端设备”，往往存在大量未知风险，面临被淘汰、虚拟化趋势。但企业、行业工业APP、工业云PaaS平台建设缓慢，很长一段时间内，现有设备仍是生产主力，主要依赖对象。寻求既可满足生产实际需求，也可保障设备自身安全的方案，是每个企业面临的首要问题。

外部因素：

2017年，是我国工控安全的转折点，这一年“勒索病毒-永恒之蓝”肆虐，波及制造业（比如著名的台积电事件）、油气中下游产业链，医疗、海关、政府办公等等行业，被业内人士称为“网络的512地震”。勒索病毒主要感染对象为操作主机，因此未来一段时间勒索病毒仍是制造业面临的主要威胁。

三、国家政策导向

2016年5月13日，国务院就已颁发《国务院关于深化制造业与互联网融合发展的指导意见》（国发〔2016〕28号）文件，推出关于深化制造业与互联网融合发展的指导意见，进一步强调制造业是国民经济的主体，是实施“互联网+”行动的主战场，明确提出“提高工业信息系统安全水平”建设任务。

可见我国在制造业已加大力度，打造工业强国不遗余力，及时解决制造业目前所面临的问题，对于“工业互联网”安全生态环境至关重要。基础安全是互联的前提，终端安全是根本。

四、解决方案

从制造业本身特点来看，除了网络的必要防护之外（比如边界隔离、入侵检测、网络审计等），其最核心的应当是主机安全防护了，毕竟人的因素才是最根本的。由于生产网络庞大，操作节点众多且分散，任何一个节点遭到攻击都会造成网络的局部、甚至全网瘫痪。从对企业实际情况的调研来看，无论操作员站、工程师站、服务器等都面临一些共性问题，为了解决问题，需要从以下几个方面去解决：

1) 调整网络结构，设置数据中转及操作专属设备（或被称为DMZ区），规范访问路径、限制操作行为，禁止非授权对终端主机的访问和操作；

2） 对办公网主机进行安全加固和补丁修补，预防再次中毒的危险；利用“白名单技术”对生产网工控主机，建立主机安全运行环境；

1、①号位置进行主机加固，封堵不必要的通讯端口，例如139、445等，同时依据相关技术要求，建立主机安全基线。办公网主机由于其特殊性，存在大量的网络操作和访问，随时会产生大量新的程序和文件，不适用主机白名单防护；

2、②号位置，由于其系统及操作相对固定，不会频繁更新和升级，适合主机白名单防护机制；

3、③号位置，其操作系统固定，系统及软件更新不频繁，适合主机白名单机制防护。但是考虑到现场经常有就地组态更新，这里主要有两种情况：一是如果是技术参数调整不会影响主机安全卫士的运行，且主机卫士也不会进行拦截。二是如果进行组态更新，涉及到整个文件后缀名发生变化，或者增加新的文件（白名单中不存在的），则可以通过统一管理平台将该台主机白名单暂时放开即可；

4、由于现场操作的存在，一定要保证专用调试工具的安全，这可以通过工具管理实现，参考工控安全管理规范；

5、与主机卫士配套使用的还有安全授权U盘，专业维护工具也可安装白名单软件，对应安全授权U盘，实现数据安全摆渡。

部署工控主机卫士对系统内主机进行防护，主机卫士采用“白名单”管理技术，通过对数据采集和分析，其内置智能学习模块会自动生成工业控制软件正常行为的白名单，与现网中的实时传输数据进行比较、匹配、判断。如果发现其用户节点的行为不符合白名单中的行为特征，其主机安全防护系统将会对此行为进行阻断或告警，以此避免主机网络受到未知漏洞威胁，同时还可以有效地阻止操作人员异常操作带来的危害。

在控制网区域控制室各操作员站，工程师站，服务器部署工控主机卫士对主机注册表，操作系统，以及运行在主机上的工控软件进行保护，拒绝任何未经授权的安装、修改、卸载、删除操作，从而做到斩断病毒、恶意代码的运行传播，起到加固控制网主机的作用。

在采用智能主动防御基础上，融合主机加固功能，满足GB/T 20272-2006《信息安全技术 操作系统安全技术要求》对操作系统安全技术要求。它不用更改操作系统就可以安装，操作方便。同时在操作系统的基础安全功能之上提供安全保护层，通过截取系统调用来实现对文件系统的访问控制，提高操作系统的安全性。它具有完整的用户身份鉴别、访问权限控制、外设控制、完整性校验、日志审计的功能，并且采用集中式管理，克服了分布式系统在管理上的诸多问题。

3） 利用统一管理平台，对主机进行双因子认证、外设监管、非法外联监控、软体防火墙告警、主机流量、多种日志审计、存储和管理等。

五、可解决问题

主要包括：

1) 主机操作系统纯净，不适合频繁升级、打补丁的问题；

2) 目前国内还没有一款针对工业主机的专用杀毒软件，即使有也存在一定安全隐患，比如病毒库升级问题；

3) 由于特殊使用环境，主机应用软件存在一定漏洞，但又不敢轻易打补丁，白名单技术，固化主机运行环境，解决主机升级、打补丁烦恼；

4) 绝大部分主机缺少必要的安全策略和管理规划，主机安全卫士融合主机加固技术，解决安全基线建设不足问题。