0 引言

    工業(yè)控制系統(tǒng)（以下簡稱“工控系統(tǒng)”）是國家基礎設施重要組成部分，是工業(yè)基礎設施的核心，被廣泛應用于航天、軍工、智能制造、煉油、化工、電力、電網(wǎng)、水廠、交通、水利、煙草、公用事業(yè)等領域，系統(tǒng)不僅生命周期長，而且在可用性和實時性方面要求高，是網(wǎng)絡空間戰(zhàn)的重點攻擊目標。

    目前，我國在工控系統(tǒng)網(wǎng)絡安全技術研究以及產(chǎn)業(yè)發(fā)展等相關領域中處于快速發(fā)展階段，工控系統(tǒng)安全防護能力和工控安全事件應急處置能力相對較差，安全風險很大，特別是某些重要行業(yè)的工控系統(tǒng)大量使用國外產(chǎn)品，安全性更加很難保證。因此，工控系統(tǒng)更容易成為為外部威脅進行滲透攻擊的主要目標。

    鑒于工控系統(tǒng)的安全性關系到國計民生，工控系統(tǒng)安全受到各行各業(yè)的普遍重視，有大量文獻研究了工控系統(tǒng)的安全問題^[1-3]。工控系統(tǒng)安全建設應根據(jù)不同行業(yè)、同行業(yè)不同生產(chǎn)階段、不同生產(chǎn)工藝的特點以及自身安全需求制定不同的安全建設方案。為此，本文聚焦于煙草行業(yè)工業(yè)互聯(lián)網(wǎng)安全解決的研究、構(gòu)建與應用。

1 煙草行業(yè)工控系統(tǒng)概況

1.1 煙草行業(yè)工控系統(tǒng)網(wǎng)絡結(jié)構(gòu)

    煙草行業(yè)工控系統(tǒng)(以生產(chǎn)卷煙的各煙草公司為例)主要分布在各中煙公司及下屬的各卷煙廠。各廠的工控系統(tǒng)按功能可分為制絲控制系統(tǒng)、卷包控制系統(tǒng)、物流（高架庫）控制系統(tǒng)、動能控制系統(tǒng)等。煙草行業(yè)工控系統(tǒng)典型網(wǎng)絡拓撲結(jié)構(gòu)如圖1所示。其中，制絲網(wǎng)網(wǎng)絡結(jié)構(gòu)如圖2所示。

1.2 煙草行業(yè)工控系統(tǒng)的特點

    煙草行業(yè)工控系統(tǒng)具有如下特點：

    (1)系統(tǒng)信息化程度高，工藝流程先進，自動化技術水平走在國內(nèi)制造業(yè)、國際煙草業(yè)前列。很多國際領先的自動化技術和工控網(wǎng)絡技術(如PROFINET、Ethernet等)進入中國都是率先在煙草制造業(yè)中應用。但由于這些系統(tǒng)和技術來源于國外，其安全性難以把控，因此，這些先進技術的應用在巨大提升煙草企業(yè)生產(chǎn)力的同時也帶來了極大的安全隱患。

    (2)工控系統(tǒng)向智能化發(fā)展的需求迫切。隨著“中國制造2025”的逐步推進，信息化和工業(yè)化深度融合，控制網(wǎng)、生產(chǎn)網(wǎng)、管理網(wǎng)、互聯(lián)網(wǎng)互聯(lián)互通成為常態(tài)，煙草制造生產(chǎn)網(wǎng)絡的集成度越來越高。隨著大數(shù)據(jù)技術、“互聯(lián)網(wǎng)+”、人工智能的發(fā)展，煙草行業(yè)提出了“智能工廠”的新要求，這意味著需求、設計、采購、生產(chǎn)、物流等全方位的互聯(lián)互通，各生產(chǎn)車間將采用統(tǒng)一的標準，各煙廠也將逐步實現(xiàn)生產(chǎn)線的互聯(lián)互通，互聯(lián)互通過程中將會越來越多地采用通用的硬件、通用的軟件和通用協(xié)議。與此同時，工控系統(tǒng)的智能化發(fā)展和互聯(lián)互通將使得信息安全問題更加突出，面臨的信息安全威脅也將更加復雜。

    (3)工控系統(tǒng)在設計之初只考慮了系統(tǒng)的簡單性、可靠性、實時性、經(jīng)濟性以及系統(tǒng)的獨立運行，而沒有考慮到系統(tǒng)安全問題，這給工控系統(tǒng)的運行和維護帶來巨大的安全隱患。

    由上述分析可見：煙草行業(yè)工控系統(tǒng)的每一個特點都與相應的安全隱患相對應，因此，如何保障工控系統(tǒng)的安全運行已成為制約煙草行業(yè)加速信息化、智能化發(fā)展的主要課題和發(fā)展瓶頸。

2 煙草行業(yè)工控系統(tǒng)安全現(xiàn)狀和面臨的安全威脅

2.1 煙草行業(yè)工控系統(tǒng)安全防護現(xiàn)狀

    從防控技術來看，煙草行業(yè)工控系統(tǒng)信息安全體系結(jié)構(gòu)可分為三層網(wǎng)絡架構(gòu)，分別為：設備層、監(jiān)控層、管理層，關鍵鏈路和節(jié)點采用了冗余配置，從而保證了骨干網(wǎng)絡傳輸?shù)目煽啃浴２糠稚a(chǎn)網(wǎng)絡的接入采用傳統(tǒng)防火墻做隔離，匯聚層旁路部署了傳統(tǒng)的入侵檢測系統(tǒng)（IDS）和安全審計系統(tǒng)，部分上位機和工程師站部署了防病毒軟件。

    目前，煙草行業(yè)工控系統(tǒng)的安全防范嚴重不足，存在諸多安全短板，面臨嚴峻的安全威脅^[4]，主要表現(xiàn)在：

    (1)各生產(chǎn)網(wǎng)網(wǎng)絡邊界沒有采用工業(yè)防火墻做隔離，傳統(tǒng)防火墻不能有效識別工控協(xié)議(如ModBus、OPC協(xié)議等)。

    (2)各生產(chǎn)車間之間存在數(shù)據(jù)交互(讀寫)，但缺乏有效的控制措施。

    (3)生產(chǎn)網(wǎng)與辦公網(wǎng)(或管理網(wǎng))之間缺少有效的隔離措施(如工業(yè)防火墻或工業(yè)網(wǎng)閘)。

    (4)由于生產(chǎn)網(wǎng)的特殊性(一般來說，從生產(chǎn)線的設計到使用需要15～30年，設計之初很少考慮網(wǎng)絡安全問題)，生產(chǎn)網(wǎng)的上位機、工程師站、HMI、WinCC服務器大多采用Windows 2000或Windows XP操作系統(tǒng)，由于微軟早就不再提供對這些系統(tǒng)的更新和維護，大量的系統(tǒng)漏洞無法修復，存在很大的安全隱患。

    (5)各車間存在大量的無線網(wǎng)絡，但這些網(wǎng)絡往往采用弱密碼口令，且沒有開啟認證管理功能。

    (6)網(wǎng)絡中暫時還未形成監(jiān)管機制，無法做到對事前、事中、事后3個階段的有效監(jiān)控和管理預警，因此會延誤發(fā)現(xiàn)安全問題的時機，影響業(yè)務順利進行。

    (7)現(xiàn)場操作人員安全意識不強，很多上位機、工程師站、HMI等采用了弱口令或共用賬號和密碼，導致權責不明，部分現(xiàn)場工控機USB口未被禁用或未采用監(jiān)管措施。

    (8)防病毒軟件沒有及時更新病毒庫，不能有效防護最新的病毒和木馬，導致多次感染蠕蟲和勒索病毒。

    (9)工控設備自身存在安全漏洞，生產(chǎn)線大量采用西門子產(chǎn)品，但由于該系列產(chǎn)品存在大量的漏洞，這些漏洞可被用于進行腳本攻擊，從而改變操作指令，進而影響生產(chǎn)的正常進行。

    (10)缺乏按照測評、風險評估、安全整改、安全加固、安全培訓、安全托管、安全應急等一整套安全服務體系構(gòu)建的網(wǎng)絡安全整體解決方案。

    (11)單位都制定了應急預案，也會定期進行應急演練，但是未針對在演練過程中發(fā)現(xiàn)的問題，及時進行應急預案修訂，演練多流于形式。

    (12)對供應商缺少保密協(xié)議的約束。

    (13)安全管理組織機構(gòu)不健全，安全責任未明確，缺少網(wǎng)絡安全員崗位，缺乏資產(chǎn)和工控安全的相關管理制度。

    (14)沒有按照國家工控安全相關標準制定的安全體系。

2.2 工控系統(tǒng)防護體系存在的問題

    從工控防護體系來看，目前使用最多的還是利用已有產(chǎn)品和技術^[5]的堆砌來構(gòu)建工控安全防護系統(tǒng)，這個不難理解。但構(gòu)建工控安全防護體系是一個復雜的系統(tǒng)工程，包含著產(chǎn)品、技術、服務、時間、資金等諸多因素，考慮到工控系統(tǒng)的多樣性和復雜性，這種做法遠不能滿足客戶需求。因此，傳統(tǒng)安全防護思路不能用于解決工控安全問題^[6]。

    市場上流行的另一種主流防護體系是以漏洞威脅為基礎的工控防護體系。這種防護體系借鑒了傳統(tǒng)安全防控理念，但是將其應用到工控安全防護上卻存在如下問題：這是一個事后防御機制，依賴于對眾多病毒、木馬和異常行為的事先理解和定義。試想：當信息戰(zhàn)的第一波攻擊來臨的時候誰能事先定義病毒、木馬和威脅行為的特征？因此，在工控安全領域，這種防護體系只能用于在第一波攻擊發(fā)生后，防范可能發(fā)生的同種或同類攻擊。這足以說明構(gòu)建基于縱深防御的安全防護體系的重要性。

    還有一種熱門的安全防護措施是建立保證工控安全的態(tài)勢感知系統(tǒng)^[7]。這是建立智能化工控安全防御系統(tǒng)的一個基本前提，也是實現(xiàn)前述以漏洞威脅防護為基礎的防護理論的前提，因為只有做到智能感知，才能真正實現(xiàn)快速認知、快速定義、快速反應、快速防護和快速應急。但要實現(xiàn)態(tài)勢感知需要滿足：大范圍部署精密且精細的傳感器，貼合實際的安全策略，大數(shù)據(jù)的收集整理和智能挖掘，資金支持和技術積累，并要充分理解相應的工藝流程和應用，這樣才能構(gòu)建較為理想的態(tài)勢感知系統(tǒng)。顯然，理想的態(tài)勢感知系統(tǒng)在短期內(nèi)尚難以實現(xiàn)。

    綜上所述，構(gòu)建工控安全體系思路的發(fā)展趨勢是：

    (1)立體防護：按照資產(chǎn)的重要程度和風險等級劃分安全域；利用授權準入、訪問控制、通信加密等多種安全機制，從物理環(huán)境安全、網(wǎng)絡和通信安全、設備和計算安全、應用和數(shù)據(jù)安全等多個維度來構(gòu)建多重安全防線。

    (2)監(jiān)測預警^[8]：構(gòu)建工控安全大數(shù)據(jù)平臺和態(tài)勢感知神經(jīng)網(wǎng)絡，實現(xiàn)快速感知、快速定位、快速定義、準確預警、快速溯源和快速應急。

    (3)定制嵌入：根據(jù)用戶的工控系統(tǒng)的實際情況和需求，定制工控系統(tǒng)安全防護解決方案，確定風控點和安全閾值后，將安全防護嵌入進工控應用系統(tǒng)。

    (4)IoT融合：只有將整個企業(yè)乃至行業(yè)的信息系統(tǒng)和工控安全關聯(lián)和整合，才能實現(xiàn)真正的安全大數(shù)據(jù)，實現(xiàn)真正意義上的態(tài)勢感知；實現(xiàn)安全大數(shù)據(jù)的深度分析挖掘；實現(xiàn)安全的運維和應急。

    (5)安全服務：安全服務是整個工控安全防護體系的主體和基線。工控安全服務包括安全測評、風險評估、安全咨詢、安全加固、安全事件分析和研判、應急值守、安全高級專家在線支持等。

    (6)國產(chǎn)化：只有實現(xiàn)工控系統(tǒng)和工控安全防護系統(tǒng)的國產(chǎn)化才能真正實現(xiàn)“自主可控”，因此，采用國產(chǎn)硬件、國產(chǎn)操作系統(tǒng)、國產(chǎn)安全應用構(gòu)建工控系統(tǒng)和工控安全防護系統(tǒng)將是實現(xiàn)工控安全的必由之路。

3 煙草行業(yè)工控系統(tǒng)安全解決方案

3.1 工控安全防護體系概述

    為解決上述問題，本文設計了一種融合IoT的工控信息安全防護體系，如圖3所示。

    該解決方案以基本防護為核心，構(gòu)建多層、多維度的基礎防線，實施區(qū)域重點防護；采用訪問控制、準入控制、存儲、傳輸加密、審計等技術作為輔助手段；以網(wǎng)絡攻擊、流量、漏洞以及內(nèi)部存在的重點風險點和薄弱環(huán)節(jié)作為被監(jiān)控的主要風險點；將傳統(tǒng)安全與工控安全進行融合，建立工控安全大數(shù)據(jù)監(jiān)控、預警、關聯(lián)查詢和數(shù)據(jù)挖掘系統(tǒng)，快速定位威脅來源。同時輔以按照等級保護、國家工信部工控安全防護指南的要求配套的工控安全管理運維和應急體系，最大限度地實現(xiàn)對關鍵基礎設施的有效縱深防御，從而在“事前”和“事中”階段消除安全威脅，將損失減少到最低。在方案的實施過程中，應以國產(chǎn)化的硬件、軟件、技術體系和管理體系為基礎。

3.2 方案特點

    本文提出的方案具有如下特點：

    (1)具備行業(yè)特性，貼合行業(yè)實際，嵌入到應用中，實用性強。

    (2)基于基本的安全防控思想，輔以安全漏洞信息、威脅情報，監(jiān)控重要風險點，可防范第一波ARP攻擊。

    (3)采用基于服務的感知監(jiān)測管控體系，可及時感知到異?；蛭粗{，快速分析和定位威脅、修補漏洞，迅速加固并啟動應急預案，從而實現(xiàn)動態(tài)防護。

    (4)將縱深防御策略貫穿于始終，實現(xiàn)分級、分防線策略，將安全嵌入到應用中，作為最后一道安全防線，將風險值降到最低。

    (5)引入風控管理平臺，將海量報警信息進行具體化和精細化，重點明確、針對性強、反應迅速、指向明確，可追根溯源，快速聯(lián)動反應。

    (6)將風控信息、綜合報警信息、安全態(tài)勢報告可視化，充分顯示工控安全防控的過程和成果。

    (7)融合安全大數(shù)據(jù)，可快速實現(xiàn)關聯(lián)查詢分析以及數(shù)據(jù)挖掘。

    (8)將安全服務貫徹始終。

    (9)將安全管理貫穿于整個過程。

    (10)將國產(chǎn)化基因安全作為最終替代目標。

3.3 方案可行性與合規(guī)性

    該IoT融合的綜合安全解決方案已在某港口運行了4年，目前還在不斷完善中。在此期間，基本工控安全防護配備了數(shù)十套工業(yè)防火墻和工業(yè)數(shù)據(jù)隔離交換設備、6套工業(yè)運維審計系統(tǒng)、近百套白名單軟件、6套廠級工業(yè)監(jiān)管日志平臺、多套無人值守工業(yè)機房動環(huán)管理；配備了嵌入應用的加密傳輸、工業(yè)協(xié)議過濾、阻斷、報警等應用系統(tǒng)；同時，配合使用了傳統(tǒng)的負載均衡、高端防火墻、VPN、堡壘機、風控平臺、日志挖掘平臺，并對200多臺服務器、眾多終端安裝白名單系統(tǒng)打了補?。煌ㄟ^每年度、每季度、每月進行的監(jiān)測、評估、整改、加固、應急、托管、高端專家咨詢等安全服務，最終較好地防御住了永恒之藍、勒索軟件、挖礦程序、變種病毒和木馬等的多次攻擊，取得了良好的防控結(jié)果，保護了信息系統(tǒng)和工控系統(tǒng)的安全。因此，該方案具有較好的實施可行性和可靠性。

    另外，該解決方案是參照工信部工控安全防護指南的要求^[9-10]構(gòu)建的，完全符合工控安全要求。

3.4 方案先進性

    該方案具有如下先進性：

    (1)防御理念先進，該方案可實現(xiàn)多層次、多維度、多防線的基本縱深防御。

    (2)該方案可實現(xiàn)由基礎數(shù)據(jù)、基礎傳感器和基層安全設備分層構(gòu)建的態(tài)勢感知，反應靈敏、迅速真實。

    (3)將風控管理、安全大數(shù)據(jù)分析挖掘、安全預警應急、安全檢測、安全運維、安全管理等服務貫徹于始終。

    (4)對煙草行業(yè)和其他行業(yè)中工控安全防護具有重大指導意義。

    (5)符合與IoT融合發(fā)展的大趨勢。

    (6)可打造國產(chǎn)化的基因安全。

4 結(jié)論

    在本文中，首先回顧了煙草行業(yè)工控系統(tǒng)的網(wǎng)絡結(jié)構(gòu)及其特點，然后分析了煙草行業(yè)工控系統(tǒng)安全的現(xiàn)狀和工控系統(tǒng)面臨的安全威脅，最后提出了煙草行業(yè)工控系統(tǒng)安全解決方案及其應用情況。本文提出的基于縱深防御的工控系統(tǒng)安全解決方案在煙草行業(yè)的應用表明，該方案理念先進、貼合實際、符合國標、重重布防、預警應急、基因安全、具備較強的可實施性，可為煙草行業(yè)的工業(yè)控制系統(tǒng)安全乃至信息安全提供有力的安全保障。

參考文獻

[1] 魏欽志.工業(yè)控制系統(tǒng)安全現(xiàn)狀及安全策略分析[J].信息安全與技術，2013(2)：23-26.

[2] 陶耀東，李寧，曾廣圣.工業(yè)控制系統(tǒng)安全綜述[J].計算機工程與應用，2016(13)：8-18.

[3] 崔艷娜，張紅金，李繼安.工業(yè)控制系統(tǒng)漏洞的統(tǒng)計及其分析研究[J].電子產(chǎn)品可靠性與環(huán)境試驗，2018(6)：41-46.

[4] 白雪原.工控系統(tǒng)安全威脅及防護應用探討[J].中國信息化，2018(5)：70-71.

[5] 李平，李程程.工業(yè)控制網(wǎng)絡安全防御體系的關鍵技術研究[J].中國管理信息化，2019(1)：186-189.

[6] 于寅虎.不能用傳統(tǒng)信息安全思路解決工控安全問題——專訪北京威努特技術有限公司首席技術官 黃敏[J].電子技術應用，2017(6)：1-2.

[7] 陶耀東，賈新桐.工業(yè)控制系統(tǒng)網(wǎng)絡安全態(tài)勢感知框架研究[J].信息技術與網(wǎng)絡安全，2018(5)：3-6.

[8] 文雅玫，李建強，謝博，等.煙草行業(yè)工控系統(tǒng)安全監(jiān)測與管控方案[J].自動化博覽，2018(11)：66-68.

[9] 工業(yè)和信息化部.工業(yè)控制系統(tǒng)信息安全防護能力評估工作管理辦法[OL].(2017-07-31)[2019-01-24].http：//www.miit.gov.cn/n1146295/n1652858/n1652930/n3757016/c5761045/content.html.

[10] 工業(yè)和信息化部.工業(yè)控制系統(tǒng)信息安全防護指南[OL].(2016-10-17)[2019-01-24]. http：//www.miit.gov.cn/n1146295/n1652858/n1652930/n3757016/c5346662/content.html.

作者信息:

何  巍

(湖南中煙工業(yè)有限責任公司，湖南 長沙410014)