淺談機械制造修理企業工業控制系統網絡面臨的安全挑戰

陳 實

（國營蕪湖機械廠，安徽 蕪湖 241000）

0 引言

在“兩化融合”“工業4.0”和“中國制造2025”的大背景下，在實現生產數字化、信息化和智能化的實際需求驅動下，機械制造修理企業開始大力推進工業控制系統聯網應用，其作用已經在制造修理工作中初步顯現。

1 機械制造修理企業工業控制系統網絡應用現狀

工業控制系統是指利用計算機設備或裝置，使機器、設備在生產過程的工作狀態或參數按照預定的規律運行而構成的系統。工業控制系統（ICS）主要包括過程控制系統（PCS）、數據采集與監視控制系統（SCADA）、分布式控制系統（DCS）、可編輯邏輯控制器（PLC）、數控系統（CNC）、遠程終端（RTU）、智能電子設備（IED），以及確保各組件通信的接口、工業現場網絡、工業控制軟件等。

機械制造修理工業控制系統是指企業在產品設計、試驗、仿真、生產等各環節中使用的工業控制系統，如數控加工系統、智能倉儲系統、智能物流系統、測試試驗系統、數字化檢測系統、電鍍系統、熱處理加工系統等，上述各類工業控制系統聯入企業管理網絡，并與企業門戶系統、生產管理系統、質量管理系統、PLM 系統、工卡系統、MES 系統、DNC 系統或ERP 系統高度集成，實時交互數據，其拓撲圖如圖1 所示。

圖1 機械制造修理企業工控系統網絡拓撲圖

2 機械制造修理企業工業控制系統的安全風險

隨著信息化和工業化融合的不斷深入，工業控制系統從單機走向互聯，從封閉走向開放，從自動化走向智能化，工業工控系統各類問題逐漸凸顯。

2.1 企業管理網絡無法支撐工業控制系統運行

傳統企業管理網絡（IT 網絡）和工業控制系統網絡（ICS 網絡）存在很多與生俱來的差異，兩套網絡的側重各不相同，工業控制系統控制一個物理存在的實體，而企業IT 網絡更多的是以管理數據為目的，兩種網絡的詳細區別見表1。

表1 IT 網絡、ICS 網絡對比

2.2 企業工業工控系統信息安全問題凸顯

從網絡結構上看，企業工業控制系統可分為兩個層次：計劃管理制造執行層和工業控制層。目前部分企業工業控制系統網絡與辦公網絡沒有分離，存在安全邊界模糊，安全等級不清晰，安全設施設備缺乏，管理人員技能不足，安全管理制度缺失等問題，整體網絡防御能力較弱，隨著工業控制系統網絡的不斷擴張，工業控制系統網絡與企業管理網絡之間的雙向安全威脅和隱患也將進一步放大。

2.3 企業工業控制系統網絡不符合安全防護標準要求

2.3.1 工業控制系統信息安全防護指南

2016 年10 月為貫徹落實《國務院關于深化制造業與互聯網融合發展的指導意見》，應對新時期工控安全形勢，提升工業企業工控安全防護水平，國家工業和信息化部印發《工業控制系統信息安全防護指南》，工業和信息化部指導和管理全國工業企業工控安全防護和保障工作。地方工業和信息化部門根據工業和信息化部統籌安排，指導本行政區域內的工業企業制定工控安全防護實施方案，推動企業分期、分批達到指南相關要求。指南共提出了11 項防護要求，具體是：（1）安全軟件選擇與管理；（2）配置和補丁管理；（3）邊界安全防護；（4）物理和環境安全防護；（5）身份認證；（6）遠程防護安全；（7）安全檢測和應急預案；（8） 資產安全；（9） 數據安全；（10） 供應鏈管理；（11）落實責任等。

2.3.2 工業控制系統信息安全防護能力評估工作管理辦法

2017 年8 月，工業和信息化部印發《工業控制系統信息安全防護能力評估工作管理辦法》和《工業控制系統信息安全防護能力評估方法》，從綜合評價的角度，運用科學的方法和手段，系統地分析和診斷工業控制系統所面臨的威脅及其存在的脆弱性，評估企業工業控制系統安全防護水平，提出有針對性的抵御威脅的防護對策和整改措施，為最大限度地保障信息安全提供科學依據。

2.3.3 軍工保密認證要求

相關標準指出，測試、調試、仿真、工控、數控等專用信息設備或信息系統，接入軍工相關信息系統，應制訂專門的安全保密方案并報相關行政管理部門審查，進行一事一議。

3 機械制造修理企業工業控制系統的脆弱性分析

3.1 工業控制系統自身信息安全問題

3.1.1 系統硬件的安全問題

大多數工控系統為進口產品，硬件可拆卸，存儲部件如硬盤等缺乏物理保護措施，磁盤、內存中的數據文件可被恢復。

3.1.2 操作系統的安全問題

工控設備的操作系統較多，其上位機多基于Windows 系統，終端設備主流操作系統為西門子等國外廠商平臺，工業設備的操作系統補丁很難獲得和升級更新，給工控設備帶來了安全隱患。

3.1.3 病毒與惡意代碼對系統的威脅

由于采用封閉的軟件系統，工控設備一般無法安裝常規的殺毒軟件，工控系統廠商一般也不提供系統的升級補丁或相應的殺毒軟件，單獨運行時威脅一般不大，但聯網后，易受網內已感染病毒計算機攻擊，而且一旦被攻擊，破壞性巨大。

3.1.4 工業應用軟件的安全問題

工控系統專用軟件也可能存在系統漏洞，而工控系統無法安裝信息安全類防護軟件，導致工控軟件自身漏洞被利用后，可實現對特定工控設備的入侵和攻擊。

3.2 工業控制系統通信安全問題

3.2.1 工業協議的安全問題

工控系統的通信形式和協議通常采用公開或專用的協議，這些協議在設計上缺少必要的認證、授權和加密等安全機制，以明文方式進行數據傳輸，在通信上存在一定的安全漏洞和隱患。

3.2.2 物理接口的安全問題

工控系統的外部通信普遍支持USB、串口、網口等物理接口，工控系統可以通過這些接口直接與后端服務器直接通信，目前，沒有有效的防護技術來保護工控設備的外設接口。

3.2.3 無線信號的安全問題

部分工控系統采用無線通信的方式進行工作，而目前工控系統使用的無線通信方式很少采用數據加密和認證手段，致使非授權用戶可能通過無線通道接入工控系統和辦公網絡。

3.3 工業控制系統和辦公網絡相互威脅問題

3.3.1 工業控制系統影響辦公網絡安全

由于工控系統自身漏洞多，病毒防護能力不足，缺乏身份鑒別和訪問控制手段，未授權用戶能夠向工控系統種植病毒或實施攻擊，并利用工控網絡與辦公網絡的連接，入侵到辦公網絡。病毒也能夠在工業設備間擴散，操作員計算機或工程師設計站也能成為病毒攻擊辦公網絡的平臺。

3.3.2 企業敏感信息可通過工業控制系統直接輸出

如果防護不當，企業重大敏感信息能夠從辦公網絡向工業控制網絡傳遞，操作員計算機、工程師設計站、工控設備都能將這些信息輸出。

3.3.3 辦公網絡病毒影響工業控制系統的安全

辦公網絡的網絡攻擊或病毒可以直接向工業控制系統傳輸，使得病毒或攻擊程序不僅可能盜取、破壞工控設備的數據，還可能對工控設備運行情況和效率產生影響。

4 提升機械制造修理企業工業控制系統安全防護能力的對策

4.1 加強工業控制系統信息安全意識

機械制造修理企業應在工業化和信息化融合、軍民融合發展的環境下，加強安全保密意識，把工業控制系統信息安全植入企業的安全與分析管控體系中，并切實落實相關舉措。在信息安全和信息化建設中應做到“同步規劃、同步建設、同步運行”，在“三同步”的過程中，補充和完善工業控制系統信息安全有關內容。

4.2 確保工業控制系統網絡與企業管理網絡的安全互聯

首先應構建工業控制系統專用網絡，獨立網絡，在物理層面上實現工業控制系統網絡與企業管理網絡或其他網絡的安全物理隔離。因業務需要必須與企業管理網絡互聯的，可通過在工控網絡和企業管理網絡之間建立數據單向擺渡系統，通過部署單向光傳輸設備和相關代理服務器，構建企業辦公網和生產網之間數據安全交換通道。單向光傳輸設備采用雙獨立主機架構，內外網處理單元通過單向光通道唯一連接，采用嵌入式Linux 加固操作系統，實現訪問控制、身份鑒別、日志審計等功能，通過不可路由的專用通信協議對無污染的數據進行擺渡，同時在管理流程上對交換的數據進行嚴格的內容審批，實現安全隔離的數據信息交換。必要情況下，辦公網數據導出到生產網，應履行數據導出審批程序和采取一次性光盤刻錄的方式。

4.3 構建縱深的工業控制系統防御體系

分別從工業控制系統網絡的物理安全、網絡安全、主機安全、資產安全、訪問控制、數據安全及管理體系等七大方面進行技術防范和管理措施的設計，實現生產網系統業務應用的可用性、完整性和保密性保護，并在此基礎上充分考慮各種技術的組合和功能的互補性，提供了自適應安全架構、主動防御安全體系，從外到內形成一個縱深的安全防御體系，保障信息系統整體的安全保護能力。

例如在每臺工控系統工作站主機上安裝主機安全軟件，實現應用程序管控、外設管控、工業應用軟件白名單等功能，確保被保護的主機只有白名單規則內的程序，進程才允許運行，防止已知和未知惡意程序的侵入，進而防止操作系統被惡意破壞。關閉工業主機、設備的遠程控制端口，修改工業主機、設備的默認賬戶，設置各類賬戶口令等。每年或工控網發生重大變更時，邀請專業安全廠商或工控系統廠商攜帶工業漏洞掃描、蜜罐探針或攻擊探針等專業軟硬件對工控網進行全面漏洞掃描測評，依托專業技術力量及時發現漏洞、評估漏洞，密切關注重大工控安全漏洞及其補丁發布，及時采取補丁升級措施。在每個安全域網絡出口部署工業防火墻，做網絡隔離，實現區域橫向邏輯隔離，阻止區域之間的越權訪問，病毒、蠕蟲惡意軟件擴散和入侵攻擊，阻止網絡攻擊在不同區域間滲透，保障關鍵資產和業務的安全等。

5 結語

兩化融合戰略加快了工業信息化、自動化發展進度，為ICS 網絡的互聯互通、數據采集分析及智能控制提供了便利，但也擴大了ICS 網絡邊界，破壞了其原本運行狀態，各類工控系統信息安全問題也層出不窮，增加了安全隱患，而機械制造修理企業面臨的工控系統問題更為復雜，對于工控系統的信息安全防護刻不容緩，需要從管理、流程、架構、技術等方面不斷加以完善，積極采取必要的信息安全防護措施，不斷提高企業工控系統的信息安全水平，保障生產安全，防止被惡意攻擊。