工業控制系統安全現狀及應對策略

洛陽雙瑞萬基鈦業有限公司 黃燕峰 王麗娟 王少鵬 薛東曉

工業控制系統是關鍵基礎設施的重要部分，其關系到經濟發展和社會穩定。隨著工業向數字化、智能化方向發展，系統安全面臨安全威脅快速、攻擊復雜多樣等挑戰。保障工業控制系統安全，有助于我國工業制造業與互聯網融合發展。

工業控制系統是用于操作、控制、數據收集、分布式控制和自動化工業生產的系統。工業控制系統涉及工廠生產、電力、能源等重點基礎設施，在經濟中發揮著重要的作用。隨著工業互聯網技術發展，工業轉型增加了控制系統的對外連接。提高了系統運行效率和促進工業化創新，但同時也加劇了系統面臨的安全威脅。工業管理系統運行最初是為封閉環境，使用自己的通信協議，與其他網絡進行隔離。因此，在設計中主要考慮可靠性。相對于安全問題，對物理安全的關注較少。與傳統系統不同，工業控制系統是連接網絡和物理空間的紐帶，當安全事件發生時，會造成信息的丟失，將導致嚴重的經濟損失。為此，分析系統安全現狀，提出有針對性安全策略，具有重要的實踐意義。

1 工業控制系統安全概述

隨著信息化建設的推進，工業控制系統規模迅速擴大，成為關系經濟正常運轉的重要領域。近年來，工業控制系統存在很多漏洞，包括系統中的一般風險、漏洞，以及系統運行環境中隱患。系統漏洞數量也在持續增長，并且對于已識別的漏洞有很多是高風險的。隨著技術進展，工業控制系統與MES、ERP和電子商務等系統對接，成為信息系統的一部分。在這個過程中不同部分相互隔離，信息安全措施沒有充分使用，并且也沒有得到評估。隨著工業自動化發展，可訪問的系統安全問題日益嚴重。從設備來看，PLC是上網次數最多的設備，其次是遠程控制終端。互聯網上提供的控制系統的廠商包括國內外的控制系統制造商。工業控制系統漏洞數量增加，漏洞的風險主要集中在服務器和數據上。漏洞潛在威脅也是最嚴重的，因為PLC、DCS在工業中被廣泛使用。主機軟件和PLC在公開披露的漏洞數量中位居前三，成為系統中最脆弱的組件。工業控制系統漏洞攻擊正在不斷演進，被攻擊數量不斷增加，使用網絡協議攻擊和病毒進行攻擊，工業控制系統控制漏洞同時也在增加[1]。

2 工業控制系統安全狀況

2.1 保護能力不足，缺乏恢復措施

為了從安全防護角度進行全面分析，需要對安全防護進行測試。測量定期接收病毒或軟件，但系統中一些主機未安裝防護措施，未更新惡意軟件，代碼庫或白名單在防病毒方面存在安全隱患。在補丁管理方面，一些工業企業沒有制定安全配置策略，未制定主機安全配置策略。一些工業企業尚未創建系統配置清單。此外，工業控制系統由于已識別的安全漏洞沒有得到修復。在安全防護方面，一些先進的企業管理采取了邏輯隔離的措施，大部分企業經過多年的發展，對安全防護認識也在逐步提高，將工控系統與內部網絡進行有效的隔離。但是，由于一些企業沒有采取隔離措施，仍有企業工業控制系統面臨嚴重威脅。在隔離的系統中，只有小部分系統被劃分為安全區，有些工業企業只關心外區隔離，而忽略企業內區的隔離。從實物防護來看，小部分企業沒有采取防護措施，工業企業比較重視傳統安全。但在主機安全方面，企業并未移除工業主機的外圍接口，未采取終端管理措施，未意識到存在潛在的威脅。一些工業管理系統沒有密碼或使用比較簡單的密碼，系統不定期更改密碼。基于工業控制系統，要求企業加強對工業控制系統的研究，采取多種方式認證，加強系統信息的保密性，同時加強對實時控制系統的雙重要求。在遠程訪問方面，只有小部分工控系統在互聯網上開放服務，一些系統允許遠程訪問。允許遠程訪問的工業系統使用VPN來限制訪問權限、訪問地址限制等。加強遠程訪問控制措施，在安全監控方面，使用安全監控設備，使用深度信息防護分析和過濾功能。對于公安、網信等部門要通過在政策層面建立態勢感知和安全中心，加強對工業控制系統的監控能力。在數據安全方面，工控系統對存儲數據需要采取加密、隔離或訪問措施，工控系統還需要對動態存儲數據采取保護措施。但只有部分企業工業控制系統定期備份重要數據，對測試數據采取保護措施。大多數工業系統都有實時數據，沒有采取安全措施來恢復數據，病毒或攻擊將會導致系統數據的丟失，將對系統運行產生重大影響。

2.2 系統結構復雜

工業控制系統通常涉及PLC，數控機床，工業機器人、工業主機、數據采集和監控系統。基于現代化技術的發展，對于工業控制系統以PLC為主，但隨著智能儀表數量的增加，由此帶來安全威脅也逐漸顯現。工業控制系統包括生產管理設備、網絡通信設備、基礎設備、生產信息系統和網絡安全設備，在實際業務運行中，存在工業生產管理水平較低的現狀。根據機器人產業需求及需求分析，工業機器人正變得越來越普遍。工業智能化程度很高，必須著眼于行業發展和產品的安全。在安全責任方面，需要建立工業控制系統管理機制，還需要應業務范圍明確安全責任人。在應急預案方面，需要制定安全事故應急方案，按照預案定期開展安全培訓，以有效應對突發事件的控制。但是基于工業控制總體發展來看，行業組織對系統信息安全重視不夠，需要加強對行業信息安全的監督。

3 工業控制系統安全應用策略

3.1 統籌整體安全戰略

工業控制系統要關注內部安全和功能問題，信息安全也導致了安全問題的沖突。黑客利用網絡攻擊基本功能設備，導致安全設備的使用有效性降低。功能安全可以解決一些安全問題，數據傳輸安全要求在傳輸中保證數據完整性，也是一種安全要求。因此，需要從技術、組織系統和操作系統等綜合考慮安全架構，熟悉工業控制系統流程。從工控系統設備到ERP或MES系統，甚至現代化信息發展下的共享工業云、信息功能安全。解決信息安全與功能安全問題，同時要形成廣泛全面的安全體系，保障系統安全可靠運行[2]。

3.2 加強網絡安全監管

基于當前工業控制系統中的安全事件，大多數安全問題是由于管理疏忽造成的。因此，要做好系統安全管理，需要建立工業控制系統安全管理機制和漏洞掃描機制，加強對系統安全的組織管理，制定完善的防范措施。基于行業規范和制度，有效防止信息安全事件.列出符合工業控制系統現狀的管理需求，將安全管理轉移到系統建設、運維和關閉生命周期，通過全生命周期管理，將管理全生命周期劃分為若干措施，以創建管理體系。依法履行網絡安全管理職責，加強對管理系統安全監督管理，促進核心職責的履行。傳達具體管理要求，確保良好的控制工業控制系統，同時要確保各項制度的全面貫徹與實施，有效保障工業控制系統穩定安全運行。

3.3 構建分級保護體系

基于工業控制系統安全相關的要求，包括漏洞評估及恢復、惡意代碼檢測、備份恢復管理和事件管理，包括軟件資源管理和監控要求。工業控制系統進行等級評定，確保可以安全整改，打造綜合化管理保障體系。縱深防御是連接網絡環境中實現安全的策略，使用各種可用的方法，可以在保護能力、性能和運營效率取得平衡。在縱深防御中，人和操作是主要的因素。在管理系統中建立人因、設備訪問控制和監督安全措施，制定技術上有效的戰略流程，以及實施適當的技術，關注維持組織安全所需的活動。在物理安全下，對工業體系進行系統的風險分析，針對不同的威脅，實施具有層次不同的安全措施。從網絡邊界的保護和分配，為數據采用深度保護策略。

3.4 漏洞掃描總體架構

根據漏洞的特點和層次結構，采用漏洞掃描模型進行層次掃描。掃描模型的輸入為捕獲的工控流，為層次識別模塊。級別識別模塊根據輸入流分析存儲的設備，并使用級別識別算法獲得設備的級別，即過程級別和控制級別。控制級設備為工業網絡的PLC掃描敏感設備，管理級主要是主機。先進的設備由上位機、HMI設備、數據采集與控制、采集服務器等組成，是獨特的工業管理網絡設備，設備類型有利于漏洞掃描，學習HMI識別方法。漏洞掃描分為主動檢測和漏洞數據庫對比。主動檢測使用信息來分析使用協議，然后是設備制造商、類型、型號和版本等。根據協議生成詳細數據包，獲取設備信息，本質上是顯示漏洞庫中的設備信息，以此來獲取漏洞信息。整體漏洞掃描系統由數據采集、設備檢測和漏洞掃描模塊組成。據采集模塊將擴展流對應層次管理、過程層次，層次收集實時流數據。設備檢測模塊部署在服務器上，檢測目標網絡上硬件信息，包括操作系統信、端口、服務、進程管理。以及工控網絡設備類型，端口掃描、服務識別和系統識別。管理硬件設備創建，分析硬件數據包，比對指紋庫以獲取設備詳細信息。主動和被動的結合旨在更全面地描述本質。漏洞掃描模塊包含設備信息類型、制造商設備、網絡管理模型，以及傳統設備的開放端口和系統，搜索漏洞并獲取可能在設備上發現的漏洞。該模塊與資產模塊一起部署，對資產檢測信息進行分類處理后，將傳統設備的信息轉發到漏洞掃描工具進行掃描，將工業設備的信息傳送到常用的漏洞掃描工具進行掃描，用于漏洞比較的數據庫。

3.5 基于通信長度的HMI識別

HMI包括人機界面硬件和專用顯示組態軟件，ICS設備使用工業控制協議與PLC通信。傳統的漏洞掃描無法完全檢測出漏洞所有信息，必須首先識別HMI，確定關鍵是過程級設備差異。過程控制層歷史數據庫和HMI的各種功能都會帶來超時。使用硬件參數輸入數值控制參數，在PLC中監控和設置等。HMI連接SCADA時，是流程中最長的，根據結果進入研究HMI和其他設備是否有通信長度級別的其他設備。基于連接長度的HMI識別不完全可靠，因此在HMI識別時應注意通訊頻率。HMI定時向PLC發起數據請求，通訊環路高于歷史數據庫。為了測量通信周期性，對通信數據包分組進行統計分析。將數據包按照分組范圍進行劃分，對分組排序。對于每個連接使用范圍標準差和范圍平均值來設置通信頻率，使用PC通信頻率，PC越大，頻率越差。分析過程級硬件流程數據，解決過程級識別混亂。HMI識別主要包括數據分組和鏈路長度統計等。將數據包按照分組間隔、通訊頻率進行分組，計算每組中的通訊時長，按通訊時長排序。HMI算法的輸入包含的PCAP和IP集合，PCAP是用來突出通信關聯。通信關聯包括源IP地址、源端口、目的IP、目的端口和數據包時間。分組時，將流分組為射線，將設備級返回到控制級的數據收集，然后根據射線的時間間隔對數據包分組。使用通訊頻率排除歷史數據庫數據，然后計算每個流鏈路長度，通過源IP求和，得到控制層IP和設備層IP總鏈路長度，使用最大鏈路長度來確定HMI。

3.6 基于漏洞分析的多級匹配

工業控制系統對實時性要求很高，主動掃描直接應用會影響網絡設備的運行，造成硬件異常。因此漏洞掃描基于靜態匹配，靜態顯示漏洞掃描獲取設備信息，如設備類型、固件版本等。使用獲取到的設備信息查詢漏洞庫，獲取可能存在的漏洞，對漏洞進行一一檢查。檢測并獲取漏洞信息后，通過匹配數據庫設備索引，確定可能存在的漏洞信息。在創建漏洞數據庫時，不僅考慮漏洞庫完整性，還應考慮合規性。

4 結語

綜上所述，工業控制系統在現代化發展，也面臨著諸多挑戰。因此，要充分認識工業控制系統信息安全保護的關鍵，做好基礎設施的合理管控，樹立正確的安全理念，更新工業控制系統防范方法。加快制定工業安全控制法律標準，全力支持行業發展。積極推進工業控制系統安全控制，研發安全技術和設備，培養各類專業人才，提升工業控制系統安全控制水平。