工業控制系統信息安全專業化服務體系建設研究

張清江,周 瑩

（黑龍江省國防科學技術研究院,哈爾濱 150090）

0 引言

隨著兩化融合進程的不斷推進及工業控制系統的逐漸開放，無線傳感網絡、移動信息互聯、物聯網技術、精準定位授時等信息技術，在能源、制造、化工、水利、交通等重要領域的控制系統中得到了深入的應用，工業控制系統與IT系統逐步實現了協同工作和信息共享，進一步提高了企業的運營管理水平。但在企業綜合效益提升的同時，工業控制系統也開始面臨IT系統面臨的木馬攻擊、病毒入侵和信息竊取等安全威脅，如果被敵對勢力獲取工業控制超級用戶管理權限，對核心設施進行惡意攻擊的話，不僅會造成經濟損失，也將會對人民生命安全造成嚴重的威脅[1]。

目前，我國明確提出要做好重要工業基礎設施信息安全保障工作，這也對信息安全保障服務的專業化程度和服務體系的建設提出了更高的要求，加強工業控制系統信息安全管理水平，提高抵御外來攻擊的能力，降低工業控制系統造成破壞的概率和可能性，以技術和管理手段改善工業控制信息安全現狀，保障國家安全與社會穩定，已經刻不容緩[2]。本文將圍繞工業控制系統風險評估、等級保護測評、代碼驗證等核心環節，設計并提出工業控制系統信息安全專業化服務體系架構，進一步完善安全測評與加固、技術研發、人才培養以及信息安全咨詢等服務質量，提高服務效率。

1 構建專業化服務體系

目前，我國的工業控制系統信息安全管理和服務的相關標準規范還在醞釀中，僅部分行業部門出臺了試行的安全評估、測評等相關服務規范，整體安全服務工作還缺少依據[3]。綜合工業控制系統的共性特點、安全需求，其需要的核心服務主要包括系統安全測評、代碼檢測與環境驗證、系統建設與加固、人才培養、滲透測試和網絡監測預警等服務，以及能提供技術支撐的功能平臺[4]。對工業控制系統的安全服務需求進行梳理，提出如下服務體系架構，該架構圍繞專業化服務項目、服務平臺和支撐環境建設展開，將為工控信息安全服務工作的開展提供組態化的解決方案。其中，服務項目是指服務機構或部門要具備的必須的技術能力和評估水平，服務平臺是為相關服務開展提供技術支持的功能性平臺，支撐環境是為服務的有效性提供驗證和基礎運行的必要條件。

圖1 工業控制系統信息安全服務體系架構

2 服務能力建設

2.1 內網監測與預警服務能力建設

根據工業控制系統內部構成情況，實現能夠對內網非法入侵、惡意攻擊、內常規網絡木馬、后門事件、常規蠕蟲事件、僵尸網絡事件、異常流量（端口流量、協議流量、IP流量等）事件進行監測預警的服務能力。

2.2 安全咨詢與培訓能力建設

信息安全咨詢與培訓能力建設包括對安全體系建設咨詢、研究項目合作咨詢、測評技術培訓、系統安全體系培訓等。通過信息咨詢服務體系定期發布重要工業控制系統最新漏洞、脆弱性、病毒等信息，為提高工業控制系統信息安全提供技術參考。同時，針對工業企業的現場管理流程和規范，對相關人員提供培訓服務，主要從培訓課程與實驗環境兩個方面進行人才培養，提升工業現場人員的安全管理能力和技術能力，構建信息安全知識體系。

2.3 系統建設與加固服務能力建設

以工業控制系統實際運行情況為基礎，參照國際和國內的安全標準和規范，充分利用成熟的信息安全理論成果，為工業控制系統設計出兼顧整體性、可操作性，并且融策略、組織、運作和技術為一體的安全解決方案。安全技術建設的總體目標是：根據工控信息系統等級對應的信息安全要求，建立一套可以滿足和實現這些安全要求的安全管理措施。安全管理措施包括適用的安全組織建設、安全策略建設和安全運行建設。安全管理措施與具體的安全要求相對應，在進行安全管理建設時，針對各系統現狀和安全要求的差距選擇安全管理措施中對應的安全管理手段。信息系統安全建設與加固的總體目標是：采用等級化和體系化的設計方法，為工業企業訂制一整套的工控系統信息安全保障體系。根據安全體系的要求進行安全規劃，將安全體系中的各類安全措施進行打包，形成多個系列的解決方案，并落實安全實施項目規劃和工作規劃。

2.4 系統滲透測試服務能力建設

根據工業控制領域安全性需要，組織工業控制系統滲透性測試能力建設，以保障工業控制系統配置、系統漏洞、網絡流量、網絡信息定位等方面的安全。所涉及到的技術不僅僅包括傳統網絡安全滲透測試技術還有工業控制系統滲透測試技術，這些技術通過對傳統技術框架的改進方式，實現對工業控制系統硬件、軟件和協議的支持。

2.5 代碼檢測與環境驗證服務能力建設

針對工業控制系統的主要功能、性能指標進行檢測，檢驗系統是否在連續性、實時性等方面滿足工業要求，并提供穩定性驗證服務以及實時性驗證服務。

（1）穩定性驗證服務。通過并發訪問、單人多線登錄、壓力測試等方法對系統的穩定性進行評價，驗證系統的穩定性是否符合工業生產要求。

（2）實時性驗證服務。通過數據完整性、保密性、可用性檢測，對工業控制系統內傳輸數據的時間數量級進行記錄和評估，根據本行業的工業生產標準，驗證系統實時性是否能夠滿足生產要求。

2.6 人才培養能力建設

從工控安全理論研究、技術研發等實驗方面以及工控系統安全服務兩方面培養高層次信息安全專業人才，力爭將實驗室建成一流信息安全人才培養基地。利用實驗室的優厚技術條件，進行實際演練，掌握工業控制系統信息安全領域的關鍵技術，成為精通信息安全理論與技術的尖端人才。同時與各工控安全權威機構聯合，通過共同開發與研究項目的形式，利用工業控制系統模擬環境，提供項目的實驗與開發環境，保證技術領先性，培養可以從事信息安全研究的專業隊伍，為實現工業企業的信息安全保障輸送高質量人才。

2.7 系統安全測評服務能力建設

測評服務能力是指為工業控制信息系統提供安全測評服務，集風險評估、等級保護測評等功能于一體。通過安全測評服務能力的建設，完善工業控制系統信息安全產品測評能力與手段，充實工業控制系統信息安全相關資源庫，在工控系統物理安全、網絡安全、主機安全和管理安全等方面，為系統應用和控制過程提供最優的安全尺度、安全層面、安全平臺。

3 服務平臺建設

服務平臺是服務開展的重要技術環境，平臺的建設將進一步完善工業控制領域信息安全服務體制，提升工業控制領域信息安全服務效能，信息安全測評驗證服務體系，逐步形成工業控制安全領域的產業多層次、多渠道、多元化的綜合服務體系。平臺架構如圖2所示。

圖2 工控系統安全專業化服務平臺框架圖

代碼檢測與環境驗證子平臺：通過為工業控制系統提供代碼檢測和環境驗證等服務，將對工業控制嵌入式操作系統、應用軟件進行代碼安全性驗證，找出軟件代碼的潛在威脅所在，加以防護，提高軟件應用的安全性。將代碼檢測和環境驗證平臺作為技術支撐，實現工業控制系統PLC系統安全檢測和嵌入式系統測試服務。

內網監控與預警子平臺：對工業控制系統內部網絡中的安全事件包括：惡意攻擊、非法入侵、內網病毒、端口流量異常等進行監控，當安全事件發生時發出預警信息。

工控系統業務管理子系統平臺：對測評、評估等服務項目提供全生命周期的過程管理，包括服務隊伍建立、需求分析、資產識別、威脅分析和脆弱性識別等過程的管理，并可以通過內建的知識庫為服務人員提供技術支持和信息查詢。

工控系統安全測評服務子平臺：結合網絡安全建設和發展的實際情況，綜合漏洞挖掘、安全評估、掃描分析和管理體系評估等多種手段，建設對于工業控制系統提供專項安全測評、檢測服務、風險評估等服務。

4 支撐環境建設

4.1 工控模擬實驗模擬環境建設

工業控制系統模擬環境是根據工業控制系統現場實際情況搭建的仿真模擬測試環境，是開展安全技術理論研究、漏洞驗證、滲透測試、代碼測試環境驗證以等研究的基礎，同時也是工具集研發的技術環境依托。模擬環境將以SCADA、DCS等為核心，結合無線、微波等網絡技術，針對工業控制系統安全現狀，將搭建電力、水利、燃氣等重要工業控制領域的模擬環境，為開展攻防實驗、技術研究等奠定基礎。

4.2 軟硬件支撐環境

軟硬件支撐環境是整個服務體系的基礎支撐環境，能夠為模擬環境建設、服務平臺建設以及服務能力建設提供必要的基礎環境。軟硬件基礎環境主要包括基礎網絡環境、數據存儲和服務系統和實現平臺自身安全的防病毒、防入侵等安全措施。

5 結語

工業控制系統信息安全的需求和目標特性，決定了安全服務提供方式要區別于傳統的IT系統，非體系化的服務不僅收效甚微，還很有可能會對工業現場帶來安全威脅。本文構建的服務體系圍繞服務能力、服務平臺和技術支撐建設，面向工業控制系統信息安全專業化服務，進一步實現工控系統信息安全服務的過程和類別進行體系化，為工業信息全測評、產品測試、工具研發和攻防實驗等工作提供思路和依據，為工業控制系統信息安全保障工作的實施提供了參考思路。

[1]歐陽武.順勢而行切實加強工業控制系統信息安全管理[J].信息技術與標準化,2012(03):003.

[2]石勇,劉巍偉,劉博.工業控制系統((ICS)的安全研究[J].網絡安全技術與應用,2008(04):021.

[3]夏春明,劉濤,王華忠.工業控制系統信息安全現狀及發展趨勢[J].信息安全與技術,2013,4(02):13-18.

[4]張清江,黃庶,周瑩.工業控制系統信息安全測評驗證服務平臺策略性研究[J].黑龍江科技信息,2013(01).