隨著“中國制造2025”戰(zhàn)略的提出，兩化深度融合已經(jīng)成為產(chǎn)業(yè)結(jié)構(gòu)調(diào)整和轉(zhuǎn)型升級的重要手段，工業(yè)控制系統(tǒng)信息安全（以下簡稱工控安全）也成為兩化融合的重要組成部分。中國工業(yè)控制領(lǐng)域正在發(fā)生重大變革，工業(yè)控制系統(tǒng)（以下簡稱“工控系統(tǒng)”）所面臨的信息安全問題已不再僅是信息泄露、信息系統(tǒng)無法使用等“小”問題，而是可能會對社會安全穩(wěn)定、經(jīng)濟(jì)健康發(fā)展等造成不可估量影響的大問題。下面賢集網(wǎng)小編與大家分享工業(yè)控制系統(tǒng)信息安全分析及應(yīng)對策略。

　　1全球工控系統(tǒng)安全態(tài)勢特征

　　1.1工控安全漏洞數(shù)量和類別

　　工控安全漏洞數(shù)量持續(xù)增長，且以高危漏洞為主，供應(yīng)商及工業(yè)企業(yè)修復(fù)漏洞進(jìn)度遲緩。近期，卡巴斯基發(fā)布的《2016下半年工業(yè)控制系統(tǒng)威脅情況》報告指出，2016年下半年曝出的工控安全漏洞有75個，數(shù)量有所增加。截至2017年3月，卡巴斯基發(fā)現(xiàn)的75個漏洞中僅有30個已被工業(yè)軟件供應(yīng)商修復(fù)，修復(fù)率只有40%，其中高危漏洞占比近50%，中危漏洞占40%，這些數(shù)據(jù)都表明，工控安全漏洞情況不容樂觀，需引起足夠重視。

　　卡巴斯基認(rèn)為供應(yīng)商對漏洞修復(fù)工作不夠重視，而工業(yè)企業(yè)出于維持業(yè)務(wù)連續(xù)性的考慮，對及時更新和安裝補丁的積極性不高，因此導(dǎo)致漏洞處置進(jìn)度遲緩。如國外工控安全研究人員在2016年工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全大會上，披露了施耐德工業(yè)防火墻產(chǎn)品存在安全漏洞，該漏洞可以使攻擊者在目標(biāo)設(shè)備中遠(yuǎn)程執(zhí)行任意代碼。

　　雖然后續(xù)施耐德開發(fā)出了能夠修復(fù)該漏洞的更新補丁，但廠商由于種種原因還未能向用戶推送這個修復(fù)補丁。除了上述漏洞之外，安全研究人員還報告了七個存在于PLC控制系統(tǒng)中的0day漏洞。

　　目前世界上大多數(shù)工控系統(tǒng)存在的漏洞屬于拒絕服務(wù)、遠(yuǎn)程代碼執(zhí)行和緩沖區(qū)溢出三個類別，占比分別是29%、21%、20%，其中高危漏洞和中危漏洞占比很大。這些漏洞會被入侵者利用，引起設(shè)備故障或設(shè)備未經(jīng)授權(quán)的操作，影響工控系統(tǒng)組件的可靠性和靈敏度。如2016年10月北美遭受了分布式拒絕服務(wù)攻擊，為眾多公司提供域名解析網(wǎng)絡(luò)服務(wù)的DYN公司遭受攻擊；2015年3月發(fā)現(xiàn)的“食尸鬼”系列事件中，黑攻擊者使用“鷹眼”RAT（遠(yuǎn)程訪問木馬）感染企業(yè)高管電腦、郵件，用來收集企業(yè)核心情報、其他有趣信息以及控制賬號等；2016年美國CDN服務(wù)商CloudFlare報告稱，黑客通過“TCP協(xié)議發(fā)送大規(guī)模L3/L4洪流”，使美國西海岸遭受每秒400GB的僵尸網(wǎng)絡(luò)攻擊。

　　工業(yè)可編程邏輯控制器（PLC）、分布式控制系統(tǒng)（DCS）、數(shù)據(jù)采集與監(jiān)視控制系統(tǒng)（SCADA）以及相關(guān)應(yīng)用軟件均被發(fā)現(xiàn)存在大量信息安全漏洞，如西門子（Siemens）、ABB、施耐德（Schneider）、通用電氣（GE）、研華科技（Advantech）及羅克韋爾（Rockwell）等工控系統(tǒng)廠商的產(chǎn)品均被發(fā)現(xiàn)包含各種信息安全漏洞。對于廠商漏洞而言，Siemens占比最多，其他廠商占比大致相同主要是Siemens的產(chǎn)品在全球范圍內(nèi)使用占比較大。

　　工控行業(yè)廠商漏洞數(shù)量分布見圖1（數(shù)據(jù)來源于國家信息安全漏洞共享平臺（CNVD））。

　　1.2主要攻擊渠道和攻擊類型

　　互聯(lián)網(wǎng)、可移動存儲介質(zhì)和郵件客戶端成為最主要的攻擊渠道，惡意軟件入侵是最主要的攻擊類型。

　　卡巴斯基顯示，在被調(diào)查的工控系統(tǒng)中，因連接互聯(lián)網(wǎng)而遭受惡意鏈接和釣魚網(wǎng)站威脅的數(shù)量超過20%，在接入可移動存儲介質(zhì)過程中檢測出惡意軟件的有10.9%，攔截到植入惡意腳本、惡意鏈接和惡意附件的電子郵件的有8.1%。

　　如2016年1月，以色列電力供應(yīng)系統(tǒng)遭受到嚴(yán)重的網(wǎng)絡(luò)攻擊，后查明是勒索軟件造成了此次事故；2016年4月，德國核電站檢測出惡意程序被迫關(guān)閉，安全人員分析，由于核電站的IT系統(tǒng)并未連接到互聯(lián)網(wǎng)，有可能有人通過USB驅(qū)動設(shè)備意外將惡意程序帶進(jìn)來。

　　卡巴斯基特別指出，系統(tǒng)管理員、系統(tǒng)供應(yīng)商和第3方運維服務(wù)人員使用的設(shè)備，在開啟遠(yuǎn)程訪問或遠(yuǎn)程運維服務(wù)過程中極易被暴露，從而成為發(fā)起網(wǎng)絡(luò)攻擊的跳板。

　　1.3工控安全漏洞分布行業(yè)

　　從行業(yè)來看，能源、關(guān)鍵制造業(yè)及水處理是工控安全漏洞分布較廣泛的行業(yè)。針對工業(yè)企業(yè)的定向攻擊行為增多，其中制造業(yè)、建筑業(yè)、交通運輸業(yè)及工程行業(yè)是重點攻擊領(lǐng)域，且大部分被攻擊的企業(yè)為工業(yè)設(shè)施及自動化系統(tǒng)的設(shè)計制造商。針對制造企業(yè)的攻擊行為數(shù)量最多，占比高達(dá)65%。此外，卡巴斯基還曾檢測到一次針對鋼鐵、有色、電力、建筑及工程領(lǐng)域的大規(guī)模魚叉式釣魚活動，攻擊范圍覆蓋全球50多個國家的500多家工業(yè)企業(yè)，目前該攻擊活動仍在繼續(xù)。

　　全球各行業(yè)工控安全漏洞數(shù)量分布見圖2（數(shù)據(jù)來源于ICS-CERT）。

　　1.4工控系統(tǒng)遭受攻擊區(qū)域

　　亞洲、北非、拉美等國家和地區(qū)遭受攻擊的工控系統(tǒng)比例最高，中國超半數(shù)工控系統(tǒng)曾遭受攻擊。

　　據(jù)統(tǒng)計，工控系統(tǒng)遭受攻擊比例最高的15個國家依次是越南、阿爾及利亞、摩洛哥、突尼斯、印度尼西亞、孟加拉國、哈薩克斯坦、伊朗、中國、秘魯、智利、印度、埃及、墨西哥和土耳其。中國境內(nèi)遭受到攻擊的工控系統(tǒng)數(shù)量占比高達(dá)53.31%，排名第9，幾乎是美國的3倍。而美國、西歐等國家和地區(qū)由于在工控安全防護(hù)方面起步較早、水平較高，遭受攻擊的工控系統(tǒng)比例要小得多。

　　1.5工控系統(tǒng)安全風(fēng)險演化傾向

　　工控系統(tǒng)在發(fā)展之初是相對封閉和獨立的，傳統(tǒng)工控系統(tǒng)安全防護(hù)往往采用物理隔離等方式。隨著新一代通信信息技術(shù)的深入應(yīng)用，工控系統(tǒng)正趨于使用通用協(xié)議、通用操作、通用硬件和軟件，以太網(wǎng)、無線設(shè)備的使用無處不在，整個控制系統(tǒng)可與遠(yuǎn)程端進(jìn)行互連，使得網(wǎng)絡(luò)安全問題直接延伸到工控系統(tǒng)，導(dǎo)致工控系統(tǒng)固有漏洞和攻擊面不斷增加，給傳統(tǒng)防護(hù)體系帶來嚴(yán)峻挑戰(zhàn)，而物聯(lián)網(wǎng)的發(fā)展促進(jìn)了工控安全風(fēng)險的全面升級。

　　首先，物聯(lián)網(wǎng)擴(kuò)大了工控安全威脅的覆蓋領(lǐng)域。傳統(tǒng)工控安全風(fēng)險集中在電力、能源、鋼鐵、煙草、數(shù)控等行業(yè)，物聯(lián)網(wǎng)的引入使得工控安全風(fēng)險覆蓋到城市軌道交通、車輛網(wǎng)、智能監(jiān)控、行政基礎(chǔ)設(shè)施等領(lǐng)域。其次，物聯(lián)網(wǎng)促進(jìn)了工控安全風(fēng)險由內(nèi)向外的轉(zhuǎn)變。傳統(tǒng)控制設(shè)備的網(wǎng)絡(luò)安全防護(hù)主要重視內(nèi)外網(wǎng)邊界防護(hù)及物理隔離，而物聯(lián)網(wǎng)時代，工控系統(tǒng)正日益走向開放、互聯(lián)、互通，不僅廣泛地使用通用軟件和網(wǎng)絡(luò)設(shè)施，而且與企業(yè)網(wǎng)中運行的管理信息系統(tǒng)（如MES、ERP）高度集成，與企業(yè)網(wǎng)甚至互聯(lián)網(wǎng)實現(xiàn)數(shù)據(jù)交換，使得工控系統(tǒng)面臨與互聯(lián)網(wǎng)相似的、乃至更為嚴(yán)峻的信息安全威脅。工控安全問題將成為“網(wǎng)絡(luò)安全、設(shè)備安全、控制安全、應(yīng)用安全、數(shù)據(jù)安全”的綜合體，工控系統(tǒng)安全風(fēng)險向工業(yè)物聯(lián)網(wǎng)安全演化的傾向逐漸顯現(xiàn)。

　　2中國工控系統(tǒng)安全概述

　　隨著國家在信息化建設(shè)的大力推進(jìn)，工控系統(tǒng)在各行業(yè)的應(yīng)用范圍和部署規(guī)模快速擴(kuò)大，應(yīng)用在煉油、石化、電力、鋼鐵、有色、建材、交通、電網(wǎng)、水網(wǎng)、氣網(wǎng)、國防等關(guān)系到國家和社會穩(wěn)定、經(jīng)濟(jì)正常運行的重要領(lǐng)域，已成為國家關(guān)鍵基礎(chǔ)設(shè)施的“中樞神經(jīng)”。

　　近年來，中國工控系統(tǒng)的安全事件屢有發(fā)生，如鋼廠異常停機(jī)、石化工廠“蠕蟲”泛濫等。工控系統(tǒng)中存在大量漏洞和隱患，包括：體系結(jié)構(gòu)存在共性安全隱患、自身存在安全漏洞、運行所處的系統(tǒng)和環(huán)境存在安全漏洞和隱患。工控系統(tǒng)組件漏洞的數(shù)量亦持續(xù)增加，其中近一半已識別漏洞等級是高風(fēng)險的，而大多數(shù)漏洞在最知名供應(yīng)商的產(chǎn)品中被發(fā)現(xiàn)。隨著兩化深度融合的推進(jìn)，工控系統(tǒng)開始與MES、ERP、協(xié)同辦公、電子商務(wù)等系統(tǒng)相連，并逐漸納入統(tǒng)一的信息系統(tǒng)中，但在此過程中不同分區(qū)的隔離等信息安全防護(hù)措施并未得到企業(yè)的充分認(rèn)識和重視。

　　2.1工控系統(tǒng)設(shè)備安全概況

　　隨著工業(yè)自動化程度的提高，工控系統(tǒng)設(shè)備暴露在公網(wǎng)的安全問題也日趨嚴(yán)重。CNVD統(tǒng)計顯示，截至2016年底，中國境內(nèi)暴露在互聯(lián)網(wǎng)的工控系統(tǒng)設(shè)備高達(dá)1143個。從設(shè)備類型看，PLC為接入互聯(lián)網(wǎng)數(shù)量最多的設(shè)備，其次為遠(yuǎn)程控制終端（RTU），見圖3（數(shù)據(jù)來源于CNVD），這些設(shè)備的來源多為國外廠商，其安全性不可控。從廠商來源看，暴露在互聯(lián)網(wǎng)上的工控系統(tǒng)涉及到國內(nèi)外多家控制系統(tǒng)廠商。

　　2.2工控安全漏洞概況

　　工控系統(tǒng)面臨的安全問題愈加嚴(yán)峻。CNVD統(tǒng)計顯示，2010年之后工控安全漏洞數(shù)量顯著增長，截止2016年底，累計漏洞總數(shù)已超過900多個，見圖4（數(shù)據(jù)來源于CNVD）。

　　工控安全漏洞的危害主要集中在服務(wù)器系統(tǒng)和工控數(shù)據(jù)，工控安全漏洞類型以緩沖溢出、信息泄露、輸入驗證、跨站腳本等居多，見圖5（數(shù)據(jù)來源于CNVD）。

　　由于PLC、DCS等系統(tǒng)在工業(yè)領(lǐng)域大規(guī)模使用，因此受工控安全漏洞的潛在威脅也最為嚴(yán)重。其中上位機(jī)軟件、SCADA、PLC位列歷年累計已公開工控安全漏洞數(shù)量的前三，成為工控系統(tǒng)產(chǎn)品中最“脆弱”的組件，見圖6（數(shù)據(jù)來源于CNVD）。這三類產(chǎn)品在中國電力、水利、污水處理、石油化工等國家關(guān)鍵基礎(chǔ)設(shè)施，以及鋼鐵、有色、汽車、航空航天等制造業(yè)工業(yè)領(lǐng)域的應(yīng)用十分廣泛，屬于無法替代的關(guān)鍵角色。

　　通過分析可以看出，工控安全漏洞攻擊正向以下趨勢發(fā)展：簡單控制器受攻擊數(shù)量增大、利用網(wǎng)絡(luò)協(xié)議進(jìn)行攻擊、專業(yè)人員進(jìn)行攻擊、利用病毒進(jìn)行攻擊、工控安全漏洞挖掘與發(fā)布數(shù)量同時增長等。

　　3中國工控安全治理動態(tài)

　　近年來受各類工控安全事件影響，世界各國紛紛加大了對工業(yè)網(wǎng)絡(luò)安全方面的投入，密集出臺網(wǎng)絡(luò)安全相關(guān)法律法規(guī)，并在網(wǎng)絡(luò)安全演練、網(wǎng)絡(luò)安全人才培養(yǎng)等方面不斷加強(qiáng)。以美國為首的西方國家更是不斷增加網(wǎng)絡(luò)安全資金預(yù)算，甚至成立專門的網(wǎng)絡(luò)安全部門，保障以各類工業(yè)控制系統(tǒng)為代表的關(guān)鍵基礎(chǔ)設(shè)施的安全。中國政府也在相關(guān)法律法規(guī)、標(biāo)準(zhǔn)等方面取得突破性進(jìn)展。2016年4月19日，習(xí)近平總書記在網(wǎng)絡(luò)安全和信息化工作座談會上強(qiáng)調(diào)，要加強(qiáng)對關(guān)鍵信息基礎(chǔ)設(shè)施的保護(hù)和開展網(wǎng)絡(luò)安全檢查工作。同年7月，為貫徹落實習(xí)近平總書記重要講話精神，經(jīng)中央網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組批準(zhǔn)，首次全國范圍的關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全檢查工作正式啟動，對電力、通信、鐵路、航空、航天等18個重點領(lǐng)域的工控系統(tǒng)進(jìn)行了全面檢查。

　　2016年8月29日，繼“工業(yè)控制系統(tǒng)深度安全技術(shù)”被列入科技部“網(wǎng)絡(luò)空間安全”重點專項2016年度項目申報指南之后，全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會歸口的《信息安全技術(shù)具有中央處理器的IC卡嵌入式軟件安全技術(shù)要求》等24項國家標(biāo)準(zhǔn)也正式發(fā)布，其中包含《信息安全技術(shù)工業(yè)控制系統(tǒng)安全應(yīng)用指南》。

　　2016年10月17日，工業(yè)和信息化部印發(fā)了《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》，通過規(guī)范管理等要求，說明了工業(yè)控制系統(tǒng)安全的重要性，所列11項要求充分體現(xiàn)了《國家網(wǎng)絡(luò)安全法》中網(wǎng)絡(luò)安全支持與促進(jìn)、網(wǎng)絡(luò)運行安全、網(wǎng)絡(luò)信息安全、監(jiān)測預(yù)警與應(yīng)急處置等法規(guī)在工控安全領(lǐng)域的要求，是《國家網(wǎng)絡(luò)安全法》在工業(yè)領(lǐng)域的具體應(yīng)用；同月，國家標(biāo)準(zhǔn)委、國家質(zhì)檢總局聯(lián)合發(fā)布《工業(yè)自動化和控制系統(tǒng)網(wǎng)絡(luò)安全》等6項重要國家標(biāo)準(zhǔn)；2016年11月7日，第十二屆全國人大會常務(wù)委員會第二十四次會議通過《中華人民共和國網(wǎng)絡(luò)安全法》；2016年12月27日，國家互聯(lián)網(wǎng)信息辦公室發(fā)布了《國家網(wǎng)絡(luò)空間安全戰(zhàn)略》。

　　網(wǎng)絡(luò)空間安全已上升至國家安全戰(zhàn)略，工控安全作為網(wǎng)絡(luò)安全中薄弱而又至關(guān)重要的部分，逐漸被政府部門、行業(yè)協(xié)會和工業(yè)企業(yè)所重視。

　　工控系統(tǒng)的安全防護(hù)工作是一項系統(tǒng)工程，需要政府部門、行業(yè)協(xié)會、工業(yè)企業(yè)及安全廠商等單位緊密協(xié)作、各司其職，積極為工控安全防護(hù)貢獻(xiàn)自己的力量，才能打贏這場攻堅戰(zhàn)和持久戰(zhàn)。

　　4企業(yè)工控安全防護(hù)建議

　　工控系統(tǒng)的安全與企業(yè)生產(chǎn)安全、經(jīng)濟(jì)安全密切相關(guān)，特別是電力、工業(yè)制造、石油石化、交通、供水供熱供氣等行業(yè)領(lǐng)域大量應(yīng)用工控系統(tǒng)，一旦發(fā)生信息安全事件，將會導(dǎo)致生產(chǎn)停滯、環(huán)境污染、斷水?dāng)嚯姷扔绊憞野踩?、?jīng)濟(jì)運行、人民生活的嚴(yán)重后果。企業(yè)需要提高工控系統(tǒng)安全意識，重視安全規(guī)劃和防護(hù)方案落地，提高工控系統(tǒng)安全防護(hù)能力。結(jié)合工信部發(fā)布的《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》，建議企業(yè)采取以下防護(hù)措施（1）建立健全專門管理機(jī)構(gòu)，明確崗位職責(zé)，構(gòu)建安全運維、應(yīng)急響應(yīng)與事件處理、經(jīng)費保障等運行機(jī)制，形成完善的安全管理體系。

　　（2）優(yōu)化改造工控系統(tǒng)現(xiàn)有網(wǎng)絡(luò)結(jié)構(gòu)，配備功能完善的邊界防護(hù)產(chǎn)品，建立工控系統(tǒng)安全監(jiān)測預(yù)警機(jī)制，對遠(yuǎn)程訪問和遠(yuǎn)程維護(hù)行為必須采用專門的接入方式和安全訪問控制策略，形成完善的邊界防護(hù)技術(shù)體系。

　?。?）采用標(biāo)準(zhǔn)化檢測工具，對設(shè)備離線、入網(wǎng)及在線安全以及系統(tǒng)安全全生命周期過程進(jìn)行持續(xù)檢測，通過安全配置、系統(tǒng)補丁等安全性補償措施提升工控設(shè)備漏洞、后門等威脅抵御水平，形成有效的本體安全防護(hù)技術(shù)體系。

　?。?）建立設(shè)備、行為以及軟件白名單等控制機(jī)制，實現(xiàn)對已知、未知威脅以及全局、局部安全態(tài)勢的感知，具備多種安全防護(hù)技術(shù)聯(lián)動和主動防御的能力，形成事前預(yù)警、事中組織和事后追溯的行為安全防護(hù)體系。

　　（5）建立安全補償機(jī)制。企業(yè)對于新裝系統(tǒng)應(yīng)實現(xiàn)結(jié)構(gòu)安全同步建設(shè)；對于再裝系統(tǒng)，應(yīng)進(jìn)行結(jié)構(gòu)安全改造；對于因條件限制而無法進(jìn)行改造的，應(yīng)建立安全性補償機(jī)制。

　　5結(jié)束語

　　作為傳統(tǒng)IT系統(tǒng)的延伸和發(fā)展，中國工控系統(tǒng)安全方面存在諸多問題和風(fēng)險，需要充分認(rèn)識關(guān)鍵基礎(chǔ)設(shè)施保護(hù)工作的重要性，樹立正確的網(wǎng)絡(luò)安全觀，創(chuàng)新保護(hù)方法，構(gòu)建多方參與、協(xié)同保護(hù)的工作體系，政府部門、行業(yè)協(xié)會、工業(yè)企業(yè)及安全廠商形成合力，加快制定和完善工控安全法律法規(guī)和標(biāo)準(zhǔn)規(guī)范，充分發(fā)揮行業(yè)協(xié)會、產(chǎn)業(yè)聯(lián)盟、安全服務(wù)商等社會力量的推動作用，積極推進(jìn)工控安全關(guān)鍵技術(shù)與裝備的自主研發(fā)和國產(chǎn)化進(jìn)程，大力培養(yǎng)各類專業(yè)人才，盡快提升中國工控安全水平。