工業控制系統信息安全現狀

徐達

摘要：工業控制系統遭受的黑客攻擊呈現增長趨勢，原因是工業生產的信息化和網絡化。工業控制系統生產連續性、設備復雜性、行業工藝差異性、產品組件強耦合性、網絡協議多樣性、制造技術壟斷性、人員安全信息意識淡漠等特點，導致工業控制系統信息安全防護工作困難重重。

關鍵詞：工業控制系統;信息安全;黑客攻擊;安全防護

中圖分類號：TP311? ? ? ? 文獻標識碼：A

文章編號：1009-3044（2019）26-0038-02

開放科學（資源服務）標識碼（OSID）：

1 工業控制系統定義及分類

工業控制系統是指通過實時數據采集、分析、處理等過程控制組件實現工業生產自動化、半自動化的信息系統，包括數據采集與監控系統（SCADA）、分布式控制系統（DCS）、可編程邏輯控制器（PLC）、遠程終端（RTU）、智能電子設備（IED）等。

2 工業控制系統特點

工業生產連續性：由于工業生產包含石油、金屬冶煉、電力、水利、航空和軌道交通等國家的基礎設施建設，直接關系民生，所以工業控制系統一經開啟便不能輕易中斷。否則將會導致生產原料積壓、產品短缺和社會服務中斷，引發恐慌。

設備復雜性和產品組件強耦合性：工業生產線是一個復雜而龐大的網絡，包含各種各樣的光、電磁、溫濕度傳感器、機械裝置、電子電氣裝置、控制設備、監控設備和應急設備。這些設備之間關聯極大，工業設備的用戶不可能分別購置這些設備并自行組裝，往往是由某一個設備生產商統一提供，這種統一提供的成套設備，模塊間耦合很大。

行業工藝差異性：由于技術封鎖，各大工業設備生產商的制造技術沒有統一，不同廠商生產的設備差別巨大，呈現百花齊放、百家爭鳴的局面。

網絡協議多樣性：工業控制系統不同于使用統一網絡協議（如TCP/IP）的傳統IT系統，它采用了工業控制特有的協議，包括MODBUS、DNP3、PROFINET、ControlNet等協議。出于技術保護，各個工業控制系統制造商制定了自己的私有協議，許多工業控制協議在設計之初并未考慮安全性。

無線網絡接入缺乏認證和控制：隨著信息化與工業化的深度融合，信息技術越來越多的應用于工業控制系統中。但是，工業控制網絡中缺少有效的認證和控制機制，控制設備接入無線通信網，會將整個系統暴露。

工業設備升級困難：由于構成復雜，模塊間耦合性大，生產商拒絕技術轉讓，非常高的維護開銷，工業設備的升級換代很困難。往往是一套設備一直使用，僅對設備外圍做小規模升級，不大規模升級，直到設備報廢。

3 工業控制系統信息安全現狀

我國國家信息安全漏洞共享平臺（CNVD）公布了2010年至2016年發現的工業控制系統信息安全漏洞數據，如圖1所示。

從圖1看到，工業控制系統信息安全漏洞在2010年之后呈爆炸性增長，在之后幾年內雖有下降趨勢，但漏洞數量始終保持在一個較高的水平。并且，在2016年的漏洞數量同比2015年增加40.7%，出現上漲的趨勢。原因是工業信息化的飛速發展，工業控制系統的環境變得更加開放、多元，增加了工業控制系統的信息安全脆弱性。

在這些披露出來的漏洞中，西門子、施耐德等知名廠商產品存在較多信息安全漏洞，如圖2所示。目前看來，我國關鍵基礎設施中涉及的工業控制系統重要組件大部分依賴進口，組件來源以外國知名廠商為主，我國未掌握關鍵技術，處于被動狀態。這些外國廠商提供的重要組件中的漏洞以及后門對我國工業控制系統的信息安全構成巨大威脅。

我國國家信息安全漏洞共享平臺（CNVD）公布的近年來工業控制系統信息安全漏洞各級別數量及占比，如圖3所示。從圖中可以看出近94%的漏洞屬于高中危漏洞，其中高危漏洞占據了將近一半的比例。大部分攻擊都利用了威脅較大的高中危漏洞。在工業控制系統信息化的大趨勢下，工業控制設備直接暴露在互聯網中，很容易被攻擊者接觸，并通過漏洞進行攻擊。

對 2000-2016年之后新增漏洞類型進行分析，緩沖區溢出、信息泄露、輸入驗證等類型的漏洞數量居多，如圖4所示。

根據圖4展示的數據，緩沖區溢出類型的漏洞數量位于第一，達到165個，其次是信息泄露、輸入驗證、跨站腳本、權限問題等類型的漏洞。以上五種漏洞能夠造成工業控制系統服務中斷、系統停機、信息泄露等問題，因此常常被黑客、病毒以及惡意程序所利用。

4 工業控制系統信息安全脆弱的原因

人員信息安全意識淡薄：受傳統工業生產安全意識的影響，工作人員普遍關注人員安全和設備安全，基本上不關注網絡和信息安全。領導層未制定明確的信息安全工作方針和框架，忽視了員工信息安全意識和技能培訓。一線工作人員不能從領導層得到約束和指導，自主學習意識又不強，導致信息安全觀念嚴重不足。

缺乏專業的信息安全人才和專業的信息安全管理制度：缺乏必要的信息安全意識，導致缺乏必要的信息安全人才和信息安全管理制度。大部分工業控制系統中，未配備專職的信息安全管理員，信息安全管理未被放在重要的位置。工業控制系統都或多或少的包含信息安全管理制度，但是這些安全管理制度缺乏專業性，往往起不到實質性作用。

未提供統一的安全防護模型：不同行業的生產設備千差萬別，相同行業的不同廠商生產的設備也不完全一樣，這兩種差異造成了一個結果，就是工業控制系統不能構建一個通用的信息安全模型。普通信息系統的安全技術，比如通用防火墻、入侵檢測設備、日志審計設備不能很好地解決工業控制系統的信息安全問題，要根據行業特點定制專用安全模型。定制專用安全模型工作量巨大，而且需要設備生產商的大力支持，而設備生產商同樣缺乏信息安全意識，導致安全模型和設備遲遲不能投入使用。

設備陳舊且未配備信息安全措施：工業控制設備長時間不升級，導致工業控制系統當中存在大量過時的技術和產品，目前國內發電廠和金屬冶煉廠中存在有大量windows 2000和windows XP系統，而微軟公司很久以前就停止對這兩種操作系統的支持。此外早已過時的DCOM技術仍在使用，該技術的通信端口不固定，網絡攻擊很容易和DCOM技術混在一起，逃避追蹤。

缺乏安全補丁和殺毒軟件：鑒于業務的特殊性，很難為工業控制系統打安全補丁，補丁可能導致正常業務不能進行。同時這些正常業務很容易被殺毒軟件識別為病毒程序，所以工業控制信息系統往往呈現既沒有補丁，又沒有殺毒軟件的裸機狀態。

設備生產商可能留有的訪問后門：NSS實驗室發現德國西門子公司的某些工業控制系統中存在“后門”，據西門子公司解釋這些后門是為了便于系統維護和調試，后門通常擁有很大的訪問權限，這些后門一旦被利用將對工業控制系統造成較大破壞。

缺乏有效的互聯網和無線網隔離措施：隨著互聯網和無線網技術的發展，工業控制信息系統越來越多地與互聯網和無線網接壤。在這個過程中，并未采取有效的隔離手段，隔離來自外部網絡的威脅。外部網絡的病毒和進攻可以暢通無阻地進入工業控制信息系統，并造成破壞。

電磁屏蔽和間諜程序識別技術缺乏：通過調查，目前我國正在使用的工業控制信息系統大部分核心設備均采用外國品牌。這些外國品牌設備當中很可能存在間諜程序，這些程序竊取核心數據并通過無線網絡發送。我國工業控制信息系統普遍缺乏電磁屏蔽，不能阻斷間諜程序發送數據，同時也未采用相關設備對間諜程序進行掃描。

5 總結

工業控制系統的構造決定了它易于受攻擊，難于做防護的特點，請大家務必對工業控制系統信息安全予以足夠的重視，亡羊補牢，為時未晚。

參考文獻：

[1] 國家信息安全漏洞共享平臺，2010年至2016年披露的工業控制安全漏洞數據[EB＼OL].（ 2017-05-05）.http：//www.cnvd.org.cn.

【通聯編輯：唐一東】