工控安全 刻不容緩

工業控制系統信息安全（以下簡稱“工控安全”）是實施制造強國和網絡強國戰略的重要保障，尤其是“中國制造2025”的不斷推進過程中，兩化融合與物聯網技術發展，使得互聯網在工業領域的應用迅速加深。信息技術廣泛應用于能源、電力、交通、制造等眾多領域，為傳統工業控制系統優化升級提供了重要的支撐。

“黑云壓城”

與此同時，工控安全問題也在不斷涌現：2010年伊朗布什爾核電站遭到“震網”病毒攻擊，致使1/5的離心機報廢；2016年烏克蘭電網系統遭黑客攻擊，數百戶家庭供電被迫中斷，網絡攻擊造成關鍵基礎設施的嚴重破壞，這也再次警示人們工業控制系統的薄弱。

如果說以上例子離我國還較為遙遠，那么，2017年5月份開始席卷全球的“永恒之藍”勒索病毒則波及全球150多個國家和地區，包括我國在內的公安網、石油系統、銀行、教育網、校園網及多所大學的計算機系統遭到感染，就在我們身邊。在這次事件中讓人們感到意外的是，一向自詡封閉、安全無虞的工業互聯網也慘遭殃及，并且危害尤甚！

事實上，工業互聯網從來都不是絕對安全的，隨著越來越多的工控系統采用通用的網絡設備及軟件，工業系統的開放性成為事所必然。據賽迪智庫網絡空間研究所所長劉權（如圖1）介紹，隨著工業控制系統和互聯網的不斷融合，互聯網正快速滲透到工業控制系統的各環節，能源、裝備制造等重要行業原有相對封閉的系統運行環境逐漸被打破，越來越多的工業控制系統可以通過互聯網、移動互聯網等直接或間接地被訪問，不僅大大增加了針對工業控制系統的攻擊點，攻擊面和信任網絡邊界，也使得病毒、木馬等傳統網絡安全威脅通過互聯網逐漸向工業控制系統擴散，為工控安全保障工作帶來了新的挑戰。

來自于我國國家信息安全漏洞共享平臺（CNVD）的統計顯示，自2000年1月到2017年12月，所有的信息安全漏洞總數為101734個，其中工業控制系統漏洞總數為1437個。2017年CNVD統計的新增信息安全漏洞4798個，工控系統新增漏洞數351個，均比去年同期有顯著增長。

從漏洞危險程度上看，CNVD在2017年收錄的工控相關漏洞中，高危漏洞占比最高，達到53.6%。中危漏洞占比42.4%，其余4.0%為低危漏洞。

工業控制系統安全國家地方聯合工程實驗室主任陶耀東也表示，“與IT環境中的安全所強調的‘機密性、完整性和可用性’不同，OT（Operation Technology，操作技術）的安全講求的是‘可用性、完整性和機密性’，更加注重可用性。” 同時，陶耀東也表達了對工控安全形勢的擔憂，“我國的工控安全形勢將是越來越嚴峻的，特別是近年來勒索軟件的情況來看，黑產方面已經開始構建對業務安全的一些商業模式，這種方式的成本很低，危害卻很大，而且還出現了勒索軟件與人的行為的結合，將勒索病毒放置到工業環境中，這種方式將非常危險，可能造成極其嚴重的后果。”

杭州安恒信息技術股份有限公司的工控安全專家則概括了目前工控安全的威脅與隱患：一是觀念與體制欠缺，企業領導普遍認為物理隔離就是安全，工控企業缺少合理的安全組織體系以及有效的制度保障；二是管理不全面，工控企業在工控安全缺乏統一設計，安全措施片面且沒有預見性；三是專業人員與技術欠缺，工控系統運維人員一般較少接受網絡安全相關的培訓，網絡安全意識和技術水平較為薄弱；四是工控設備自身的問題，諸如系統漏洞，高精尖的工控系統國產化水平較低，且普遍存在后門等；五是病毒威脅，大部分的工控主機未采取防病毒措施；六是人員的因素，工控系統存在合法授權人員有意無意將安全風險引入工控系統的情況，此外也有黑客入侵的風險。

工業控制系統從單機走向互聯，從封閉走向開放，從自動化走向智能化。在生產力顯著提高的同時，工業控制系統也在經受著日益嚴峻的安全威脅。

工控安全刻不容緩！

政府行動

工控安全的風險引起了我國政府的高度重視，因此政府在政策層面出臺了一系列指導方針，給工業企業指明方向的同時也規定了相關的義務。

在2016年10月，工業和信息化部印發了《工業控制系統信息安全防護指南》（以下簡稱《防護指南》），明確了工業企業開展工控安全防護工作的指導方針，《防護指南》堅持“安全是發展的前提，發展是安全的保障”，以當前我國工業控制系統面臨的安全問題為出發點，注重防護要求的可執行性，從管理、技術兩方面明確工業企業工控安全防護要求。

2017年6月1日起正式施行的《中華人民共和國網絡安全法》更是以法律的形式明確了保障關鍵信息基礎設施運行安全。

工業和信息化部于2017年12月12日正式印發《工業控制系統信息安全行動計劃 (2018—2020)》(以下簡稱《行動計劃》)，明確了未來三年工信部在工控安全方面的工作重點和方向，《行動計劃》通過定量和定性相結合的方式提出了2020年工業信息安全產業發展目標。《行動計劃》確立了“堅持安全和發展同步推進”、“堅持落實企業主體責任”、“堅持因地制宜分類指導”以及“堅持技術和管理并重”基本原則，提出“加強防護技術研究、建立健全標準體系、落實企業主體責任、落實監督管理責任”四項任務，從而實現產業“安全防護能力提升”和“安全管理水平提升”。

專家釋疑

工控安全也是傳統信息安全問題在工業控制領域的延伸，綠盟科技工控安全部總監王曉鵬（如圖2）表示，工業安全與信息安全是深度融合交織的，尤其是在“中國制造2025”的背景下，更多的IT技術已經成為提升工業系統能力的重要組成部分，云計算、大數據等技術已經成為提升工業企業能力的基礎性手段。

“從技術上講，我國工控安全防護技術相對落后，技術攻關有待進一步加強。”賽迪智庫網絡空間研究所所長劉權表示，我國的仿真驗證測試、在線監測預警等共性技術保障能力建設尚處于起步階段，漏洞分析、芯片級硬件安全分析、態勢感知、協議分析等技術能力嚴重不足，難以及時發現和應對針對工控系統的網絡攻擊，這些領域需要我國盡快實現突破。

政策的提出和制度的建設需要真正落實到工業企業中去，企業工控系統網絡安全建設需在符合國家相關法律法規和行業規范的前提下進行，包括對原有工控系統的安全評測和安全防護。立思辰信息安全集團CTO胡浩強調了對合規的重視，“《防護指南》的出臺和頒發使合規成為一種趨勢和要求。”

圖2 綠盟科技工控安全部總監 王曉鵬

圖3 北京天融信解決方案中心部門經理 馬霄

多方聯動

對工控安全的建設絕不是孤立的、各自為戰的，需要中央到地方、政府、企業與安全廠商、研究機構等各方的聯動配合。

考慮到工業控制系統的獨立性及控制系統廠家間的壁壘，當前尚有較多安全問題需要依靠管理手段進行解決，天融信解決方案中心部門經理馬霄（如圖3）強調了多方協同，“例如運維審計，源自工業控制領域與IT領域的差異，雙方之間的協議不同導致難以整合，類似方面在工控環境中仍有較多場景，其主要原因解決的核心在于技術的開源以及技術的積累，這一過程在工控安全領域仍有較長的路要走，還需要控制廠商、安全廠商及用戶的共同努力得以實現。”

而安全廠商與地方政府的合作在當前契機下也迅速增多，陶耀東表示，“《行動計劃》中提到的構建‘一網一庫三平臺’多級聯防聯動安全體系和培育龍頭骨干企業，這對于360企業安全集團來說這是個難得的機遇，我們與很多地方經信委合作，在技術上支持經信委做相關方面的檢查，通過我們專業的工業安全的檢查工具來幫助經信委發現當地企業在工業信息安全方面的問題。”

同時，綠盟科技在工業領域中也與一些地方政府建立起相關合作，王曉鵬表示，“我們會協助相關的機構完成相關的安全檢查工作和省內的工控系統的安全評估工作。例如某省經信委如果需要對該省的典型工控系統進行安全摸底，綠盟科技作為主要的檢測執行方，對包括水務、制藥、燃氣等工業設施的典型工控系統進行檢測，為經信委摸底本身工控系統的安全現場提供有效支撐。”