工控系統安全威脅及防護應用探討

呂鋒（中國石油化工股份有限公司洛陽分公司，河南 洛陽 471012）

工控系統安全威脅及防護應用探討

呂鋒（中國石油化工股份有限公司洛陽分公司，河南 洛陽 471012）

本文主要分析了煉油化工企業工業控制系統存在的信息安全問題，結合實際提出適應當前工業控制系統信息安全防護的下一步工作建議。

DCS；信息安全；工業控制系統

工業控制系統被廣泛的應用于國家重要的工業領域，關鍵的社會基礎設施同樣也依靠工業控制系統實現自動化整體運行，工業控制系統已經成為國家安全戰略中重要的一個方面。隨著信息技術與工業化的深度融合，工業控制系統面臨著木馬攻擊、系統漏洞、病毒等威脅，采取相應手段提升工業控制系統信息安全刻不容緩。

1 工業控制系統介紹

工業控制系統（Industrial Control System，ICS），是集各種自動化控制組件與實時數據監測、采集的過程控制組件，共同構成工業基礎設施過程控制、自動化運行和監控的業務流程管控系統。其核心控制組件包括數據采集與監控系統（SCADA）、智能電子設備（IED）、可編程邏輯控制器（PLC）、分布式控制系統（DCS）、遠程終端（RTU），以及確保各控制應用組件通信的接口技術。

2 煉油化工企業使用工業控制系統應用現狀

煉油化工行業廣泛應用工業控制系統用于企業生產，其中SCADA主要應用于分公司可燃氣體監測方面，PLC廣泛應用于裝置基礎的生產控制，絕大部分裝置系統使用DCS進行生產過程整體系統控制。由于技術的發展先后、裝置建設時間的差別以及不同門類的工藝需求，企業的工業控制系統存在品牌種類較多、多型號并存的現狀。

3 當前工業控制系統應用中存在的安全問題

我國工業控制較其他工業化國家存在起步較晚、系統結構復雜、缺乏安全與管理標準等諸多問題，工業控制系統中進行的數據和操作指令隨時可能受到來自競爭對手進行的商業間諜、網絡攻擊、惡意破壞等威脅。

工業控制系統安全風險主要來自于以下兩個方面：

第一、傳統工業控制系統早于互聯網出現，其采用專用的硬件、軟件和通信協議。設計之初主要面臨物理安全的問題，故基于互聯互通發展應用所帶來的通信安全問題沒有設計考慮。

第二、互聯網技術應用的便捷性，致使工業控制系統在隨后的網絡應用中大量使用通用的TCP/IP技術，工業控制系統應用已與各種應用設備及辦公電腦系統共同形成一張復雜的網絡拓撲結構。單一基于工業控制協議識別和控制的信息安全技術在上面兩種情況下，已無法滿足當前工業控制系統技術應用中網絡運維的要求。確保應用層的安全成為當前工業控制系統穩定運行的基本保障。

各工業控制系統廠家之間存在的技術壁壘，致使擁有多品牌工業控制系統的企業，控制系統技術標準存在差別，系統通訊協議無法統一。當前，我國煉油化工企業工業控制系統存在先天不足和后天技術發展帶來的安全威脅。

3.1 操作系統的安全漏洞問題

追求高可用性而犧牲安全，這是很多工業控制系統存在的普遍問題。顧慮到操作系統補丁與工業控制軟件的兼容性問題，裝置開車正常后一般對控制系統平臺不進行補丁更新，由此導致工業控制系統帶著安全風險運行。

3.2 殺毒軟件的部署及后續升級更新問題

生產控制系統使用的操作系統平臺，基于工業控制軟件與殺毒軟件之間的兼容性考慮，通常不進行殺毒軟件安裝。即使安裝殺毒軟件，由于系統處于相對封閉的環境，通常也無法及時更新病毒定義和殺毒軟件版本，所以就存在病毒與惡意代碼傳染與擴散的風險。

3.3 使用移動存儲介質導致的病毒傳播問題

工業控制系統中使用得管理終端，一般沒有技術應用針對移動存儲介質使用進行有效的安全防護和應用管理。移動外設的無序使用引發的安全事件屢見不鮮。經過精心設計的病毒，通過這種擺渡的方式很容易進入工業控制系統，利用系統漏洞進行精準破壞。

3.4 設備維護時筆記本電腦的隨便接入問題

工業控制系統在進行管理與維護時，沒有達到一定安全基線要求的筆記本電腦隨意接入工業控制系統，會將工業控制系統的代入極大的風險之中。例如，接入的筆記本電腦存在利用操作系統漏洞傳播的蠕蟲病毒，同時工業控制系統未及時更新漏洞補丁，則工業控制系統被病毒感染的幾率幾乎是百分之百。

3.5 存在工業控制系統被有意或無意控制的風險

堡壘從來都是從內部被攻破的，安全審計的缺失使工業控制系統進行的操作暴露于操作所產生的風險之中。如果工業控制系統的操作系統沒有采取監控和響應措施，工業控制系統中出現的異常行為或人為行為將會給工業控制系統帶來巨大的風險。

3.6 工業控制系統控制終端、網絡設備、服務器故障沒有及時響應所產生遲滯的問題

工業控制系統中所使用的IT基礎設施的運行狀態，決定著工業控制系統運行的穩定。對這些設施運行狀態的監管，一直都是工業控制系統運行維護中的盲區和難點。

3.7 “兩化融合”給工業控制系統帶來的風險

為了實現生產控制的同時實現實時數據的采集，滿足“兩化融合”的需求和管理的便捷，早期工控系統與管理系統物理隔離的狀態被邏輯隔離所取代，工控系統與企業系統之間建立適當的通訊連接，而多數企業管理系統存在于INTERNET的數據通路。在這種情況下，工業控制系統就存在企業網絡和外在網絡的雙重信息安全威脅。隨著企業管理與控制一體化的發展，企業的信息化、綜合自動化水平的整體提高，工控系統和企業管理信息系統高度集成，各系統之間的緊密耦合，會導致系統之間的相互影響。這既是互聯互通帶來的便利，也是互聯互通帶來的信息安全風險。

3.8 工業控制系統采用軟硬件帶來的風險

工業控制系統正在向開放性更強的以太網結構發展，基于TCP/IP協議為基礎的OPC技術廣泛采用。為滿足系統集成和使用方便，大量采用工業以太環網和OPC通用協議進行系統集成開發。同時選用通用PC服務器、終端產品、操作系統和數據庫產品降低成本。帶來方便的同時，針對通用技術的普遍信息安全威脅也隨之而來。

4 煉油化工企業工業控制系統應用問題的解決思路

各企業應結合企業實際，選擇適合企業應用現狀和管理模式的技術安全架構。應在應用便利性、安全性、使用成本間找到平衡點。安全措施的基礎選擇，應以建立邏輯獨立的數據采集網絡和應用網之間的基本防護為主。各采集點做好應用安全管理和基本維護，以此建立基本的技術、制度和管理安全保障。根據應用發展需要，在此架構上建立健全的安全技術體系，如防病毒、審計等措施。