浙江省工業控制系統安全現狀分析

李富勇+張君+尹肖棟+趙一凡+方源

摘 要： 在“兩化”深度融合和物聯網快速發展的背景下，工業控制信息系統的安全問題越來越受到政府和各個工控領域的重視。文章闡述了當前工業控制系統的安全形勢，對浙江省工業控制系統進行在線監測態勢分析及漏洞分析，對浙江省工業控制系統關鍵基礎設施進行分析匯總，對浙江省部分地市重點工控企業進行現場風險評估，并在此基礎上對工業控制系統的安全防護提出了建議。

關鍵詞： 工業控制系統； 信息安全； 現狀； 安全防護

中圖分類號：TP309 文獻標志碼：A 文章編號：1006-8228（2018）02-52-03

Abstract： Under the background of deep integration of information technology and industrialization， and rapid development of Internet of Things， the security problem of industrial control information system is paid more and more attention by the government and various industrial control fields. This paper expounds the current information security situation of industrial control system， analyzes the information security of industrial control system in Zhejiang province， summarizes the key infrastructure of industrial control system in Zhejiang province， and the risk assessment is carried out for some enterprises in Zhejiang province. And on this basis， the paper gives some suggestions of security protection in industrial control system.

Key words： industrial control system； information security； status； security protection

0 引言

《浙江省人民政府關于深化制造業與互聯網融合發展的實施意見》中明確指出我省要以“互聯網+”與“中國制造2025”為契機，加快“兩化”深度融合，以智能制造為主攻方向，助推“浙江制造”搶占未來產業制高點，使浙江成為國內領先、有國際影響力的智造大省。隨著物聯網技術的迅猛發展，工業控制系統已由原來相對封閉、穩定的環境變得更加開放、多變。

烏克蘭電網事件后，世界各國已經深刻認識到黑客攻擊、網絡病毒給工業控制系統、國家關鍵基礎設施帶來的危害。

工業控制系統是智能制造的中樞神經，隨著工業互聯網的發展、智能設備在各領域的廣泛使用，工業控制系統的脆弱性在物聯網世界中暴露無遺，傳統工業控制系統的潛在安全性正在遭受嚴重的挑戰。工業互聯網的發展網絡是基礎，數據是核心，安全是前提。工業控制系統的安全是智能制造順利推進的前提保障，已經成為政府和各個工控領域必須要面對的重要問題[1-5]。

1 國內外工業控制系統安全發展現狀

工業控制系統廣泛應用于我國電力、水利、污水處理、石油化工、冶金、汽車、航空航天等多領域現代工業，且隨著國務院“中國制造2025”戰略的提出，工業控制系統網絡安全已經成為中國制造的重要組成部分。工業控制系統網絡安全風險所帶來的，不再僅僅是信息泄露、信息系統無法使用等“小”問題，而可能會對社會安全穩定，經濟健康發展造成不可估量的影響。

通過分析國家信息安全漏洞庫（CNNVD）的數據，得知近年來工業控制系統安全呈現以下幾個特點。

⑴ 工業控制系統安全漏洞披露數量居高不下

受 2010 年“震網病毒”事件影響，國內外掀起針對工業控制系統安全漏洞的研究熱潮，因此自2010 年以后快速增長，2011年公開的工控系統漏洞多達200個，此后幾年均超過100個，截止到2016年底，累計漏洞總數已超過900多個，工業控制系統面臨的安全問題愈加嚴峻。

⑵ 工業控制系統安全漏洞影響產品分布明顯

根據2000-2016年公開工業控制系統漏洞影響產品統計數據，其中上位機、數據采集與監控系統（SCADA）、可編程邏輯控制器（PLC）的漏洞數量排在前三，成為了工業控制系統產品中最“脆弱”的產品組件。這三類產品在我國關鍵基礎設施和制造業工業領域應用十分廣泛，屬于無法替代的關鍵角色。因此，這三類產品的健康狀況也決定了工控系統本身的“免疫”能力。

⑶ 工業控制行業攻擊呈集中化特點

2015年美國工控系統網絡應急響應小組（ICS-CERT）共收集了295起涉及關鍵基礎設施的安全事件，其中關鍵制造業、能源、水處理成為被攻擊最多的三個行業。而我國要向“智造強國”轉變，工業控制系統安全問題刻不容緩。

此外，工業控制系統安全行業標準體系不健完善，缺乏監管依據，管理體制機制不健全、風險處置等措施的不到位以及系統維護行為不可控，都將對工業領域發展帶來極大的挑戰。

2 浙江省工業控制系統安全現狀

對于工業比重占44.5%的浙江來說，大多數企業對工業控制系統還是以管理為主的被動防御，且管理體系不夠完善，在技術上缺乏主動防御的控制類安全產品，在行業上缺少工業控制系統安全防護機制，企業的日常生產嚴重依賴于國外公司的工業控制設備，這些都表明我省的工業控制系統信息安全形勢十分嚴峻。endprint

2.1 工控設備安全情況

通過對浙江省工業控制系統研究調查，全省共有1258套重要工業控制系統，主要分布于能源、關鍵制造業、供水等行業。

浙江省工業控制系統中的主要設備包括可邏輯編程控制器（PLC）、組態軟件&數據采集與監控系統（SCADA）軟件、分布式控制系統（DCS）、制造執行系統（MES）等，其中大量使用國外主流工控廠商設備，尤其是PLC，國產化率僅1.36%，大量采用西門子、施耐德、羅克韋爾等國外主流工控廠商設備。

同時通過對浙江省在互聯網上的工業控制系統（不含安防監控設備）的安全狀況進行探測，共發現305例工控設備暴露在互聯網中，其中20例存在安全漏洞。這些漏洞一旦被黑客利用，將對工業控制系統內的核心單元進行控制及重要信息的竊取。

2.2 工控系統防護情況

根據《工業控制系統信息安全防護指南》和《工業控制系統信息安全事件應急管理工作指南》的要求，從工控安全防護指南的11個評估層面41項防護措施落實情況對浙江省工業網絡系統進行了自查，通過自查數據對浙江省工業控制系統防護措施落實情況進行匯總分析，發現在物理安全、身份認證、數據安全等層面防護相對較好；工控企業在邊界安全、主機安全、安全設備部署等方面存在安全隱患。其中邊界安全防護、安全監測與應急響應兩方面的防護措施落實較差。

2.3 工控系統安全情況分析

通過對浙江省工業控制系統的研究分析發現，工控企業目前主要面臨的安全問題如下。

⑴ 安全評估標準存在斷層

近幾年雖然國家層面已發布了一系列國家政策和安全標準，但從領域到行業再到子行業的工業控制系統千差萬別，既存在離散型制造業，也存在流程型制造業，且工控設備種類繁多，因此工控安全具備明顯的行業特點，單一的技術標準難以覆蓋不同行業之間的差異；宏觀的技術指導性文件難以解決工控系統各個微觀層面的信息安全問題，這導致信息安全策略難以有效落地實施。

⑵ 各地市重視程度不一

雖然大部分地市對于工控網絡安全較為重視，組織培訓、宣貫并部署安全設備提升工業控制系統的防護能力，但仍有一些地市對工業控制安全認識不足，由于缺乏相關的行業扶持和鼓勵政策以及缺乏宣貫力度，導致各企業單位缺乏相應的用于工控系統信息安全的專項資金和內在動力，且部分單位未設置專門的工控安全管理員，存在負責信息安全的人員了解信息安全相關知識，但不了解工業控制系統，對潛在的工控網絡安全威脅認識不到位，對可能造成的后果估計不足。

⑶ 關鍵設備大量依賴國外

目前，國外工業生產設備提供商已經在各領域壟斷了工業生產控制系統和設備市場，尤其是工業PLC市場，西門子、三菱、歐姆龍、羅克韋爾、施耐德等5家國外廠商占據了超過90%的市場份額，且在新披露的工控漏洞中，西門子、施耐德、羅克韋爾產品的漏洞數量分列前三位，是工控安全的重大隱患。國產廠商和利時的核心產品DCS及PLC在浙江省電力、能源、軌道交通等行業均已成功應用，但是，要完全替換國外工控設備還需多年的技術研發和產業發展，這期間的工控網絡安全問題也必須要進行解決，因此，加快國產化進程是國內工控信息安全相關機構與企業必須努力的方向。

⑷ 缺乏縱深安全防護系統

求可用性而犧牲安全性，是目前工業控制系統存在的普遍現象，各單位的邊界缺少相應的工控安全設備，無法感知外部系統對工控系統的威脅，這迫使我們在工控系統防護能力的建設上必須大力投入、持續投入、深度開發。浙江省工業和基礎設施智能化發展很快，而針對工控網絡安全的防護能力建設嚴重滯后，目前尚不足以保障“兩化融合”戰略的穩步推進。

3 浙江省工控系統安全的思考

工業控制系統信息安全建設是一項復雜的系統工程，為了加強工控安全體系建設，需要從管理制度、技術培養、產業優化等方面著手。根據工信部的統一工作部署，結合浙江省經濟、社會發展實際情況，針對浙江省省工業控制系統信息安全應重點抓好以下幾個方面的工作。

3.1 完善相關法律法規，加快標準體系建設

在國家和省級層面現有信息安全法律、法規和標準的基礎上，結合工業控制系統信息安全實際情況，進一步完善地方法規和行業標準保障體系，重點針對工業控制系統信息安全中存在的突出問題，逐步制定工業控制系統信息安全相關的安全策略、安全檢查、漏洞發現以及系統參數防篡改等工業控制系統正常運行所急需的管理制度和配套地方法規及標準體系，保障工業控制系統信息安全的規范和安全運行。

3.2 加大安全法規宣貫力度，建立應急響應管理機制

定期進行工控信息安全法規和行業標準保障體系的宣貫，提升工控企業對工控安全的重視程度，合理引導企業部署工控網絡安全工作。同時建立應急資源的協調機制和通報體系，按照預案定期開展演練，并根據演練結果及時完善應急預案。

3.3 推進國產技術研發，培育自主可控的工控產業

引導和扶持來源于海外的歸國創業團隊迅速實現本土化，將PLC、SCADA等國外核心技術快速轉化為自主知識產權的先進技術并實現產業化落地。同時結合浙江省信息安全類科研項目優勢，扶持培育工控安全研究機構和測評機構，建立產、學、研一體化機制，從而保障關鍵基礎設施的工控系統信息安全。

3.4 建設漏洞發布機制，強化縱深防御技術體系

根據行業類別開展工業控制系統信息安全漏洞信息的收集、匯總和分析研判工作，及時發布有關漏洞的風險評估和預警信息，盡快構建適合工業控制系統的病毒庫、漏洞庫、補丁庫。建立縱深防御體系[6]，強化基礎信息網絡和重要信息系統的安全防護。加強工控系統的數據采集層、現場控制層、過程監控層、網絡通信層、企業管理層等各層級之間的縱深安全防護，層級之間根據業務的重要性加裝工控安全設備，有效隔離非法數據。

4 結束語

通過對浙江省工控系統在線態勢感知分析、部分工控企業現場風險評估等方面的研究，浙江省工業控制系統存在著諸多問題，根據本文提出的工控系統安全研究建議，鑒于工業控制系統信息安全的特殊性和復雜性，下一步我們將在此基礎上，研究如何建立切實可行的縱深防御體系和威脅態勢感知平臺，進而全方位地保障浙江省工業控制系統信息安全。

參考文獻（References）：

[1] 周民軍.工控網絡現狀與安全分析[J].現代工業經濟和信息化，2017.15：61-62

[2] 曾瑜，郭金全.工業控制系統信息安全現狀分析[J].信息網絡安全，2016.9：169-172

[3] 夏春明，劉濤，王華忠，吳清.工業控制系統信息安全現狀及發展趨勢[J].信息安全與技術，2013.2：13-18

[4] 閆曉麗.加強我國工業控制系統安全性的建議[J]. 信息安全與技術，2013.2：10-12，18

[5] 彭杰，劉力.工業控制系統信息安全性分析[J].自動化儀表，2012.33（12）：36-39

[6] 區和堅.工業控制系統信息安全研究綜述[J].自動化儀表，2017.38（7）：4-8endprint