在機場(chǎng)、酒店大堂、時(shí)尚的咖啡廳，可以看到人們很自在地用筆記本電腦享受著(zhù)上網(wǎng)沖浪的便捷，同時(shí)電信運營(yíng)商們也在積極推廣城市熱點(diǎn)的接入覆蓋訪(fǎng)問(wèn)。但隨著(zhù)無(wú)線(xiàn)網(wǎng)絡(luò )嗅探變得輕而易舉，你是否考慮過(guò)網(wǎng)絡(luò )環(huán)境是否安全?

伊朗布舍爾核電站的遭遇為我們敲響警鐘，黑客攻擊正在從開(kāi)放的互聯(lián)網(wǎng)向封閉的工控網(wǎng)蔓延，黑客動(dòng)機從技術(shù)展示到利益獲取再到如今的高端性攻擊。因此，在關(guān)系到國計民生與國家安全的重大項目中，對國外品牌的選擇需要更加謹慎，并對中國自主研發(fā)的產(chǎn)品有足夠的重視。目前，許多國家對引進(jìn)國外產(chǎn)品帶來(lái)的國家安全隱患都十分重視。在同類(lèi)項目中，可以分別采用不同的品牌、不同的技術(shù)，把雞蛋放在不同的籃子里，以分散風(fēng)險。應該在一定程度上，采取多種品牌、多種技術(shù)的策略，權衡項目成本與項目安全，使二者達到最大程度的優(yōu)化與平衡。

據權威工業(yè)安全事件信息庫RISI統計，截止到2011年10 月，全球已發(fā)生200 余起針對工業(yè)控制系統的攻擊事件。2001年后，通用開(kāi)發(fā)標準與互聯(lián)網(wǎng)技術(shù)的廣泛使用，使針對ICS 系統的攻擊行為出現大幅度增長(cháng)，ICS 系統對于信息安全的需求變得更加迫切。

近年來(lái)典型工業(yè)控制系統入侵事件：

2005年，美國水電溢壩事件;

2007年，攻擊者入侵加拿大的一個(gè)水利SCADA 控制系統，破壞了用于取水調度的控制計算機;

2008年，攻擊者入侵波蘭某城市地鐵系統，通過(guò)電視遙控器改變軌道扳道器，導致四節車(chē)廂脫軌;

2010年，“網(wǎng)絡(luò )超級武器”Stuxnet 病毒針對性的入侵ICS 系統，嚴重威脅到伊朗布什爾核電站核反應堆的安全運營(yíng);

2011年，黑客通過(guò)入侵數據采集與監控系統，使美國伊利諾伊州城市供水系統的供水泵遭到破壞。

工業(yè)控制系統(ICS)概述

工業(yè)控制系統(ICS)是由各種自動(dòng)化控制組件以及對實(shí)時(shí)數據進(jìn)行采集、監測的過(guò)程控制組件，共同構成的確保工業(yè)基礎設施自動(dòng)化運行、過(guò)程控制與監控的業(yè)務(wù)流程管控系統。其核心組件包括SCADA、DCS、PLC、RTU、IED以及接口技術(shù)等。

對工業(yè)控制系統中IT基礎設施的運行狀態(tài)進(jìn)行監控，是工業(yè)工控系統穩定運行的基礎，其中核心組件就是數據采集與監視控制系統(SCADA)，典型的SCADA系統由以下組件構成：

目前工業(yè)控制系統廣泛應用于我國電力、水利、污水處理、石油天然氣、化工、交通運輸、制藥以及大型制造等行業(yè)中，據不完全統計，超過(guò)80%涉及國計民生的關(guān)鍵基礎設施依靠工業(yè)控制系統來(lái)實(shí)現自動(dòng)化作業(yè)，工業(yè)控制系統已是國家安全戰略的重要組成部分。

一次典型的ICS 控制過(guò)程通常由控制回路、HMI、遠程診斷與維護工具三部分組件共同完成，控制回路用以控制邏輯運算、HMI執行信息交互、遠程診斷與維護工具，確保出現異常操作時(shí)進(jìn)行診斷和恢復。

隨著(zhù)計算機和網(wǎng)絡(luò )技術(shù)的發(fā)展，特別是信息化與工業(yè)化深度融合以及物聯(lián)網(wǎng)的快速發(fā)展，工業(yè)控制系統產(chǎn)品越來(lái)越多地采用通用協(xié)議、通用硬件和通用軟件，通過(guò)各種方式與互聯(lián)網(wǎng)等公共網(wǎng)絡(luò )連接，病毒、木馬等威脅正在向工業(yè)控制系統擴散。其風(fēng)險主要來(lái)源于：

ICS風(fēng)險的主要根源

漏洞隱蔽性和嚴重性;采用專(zhuān)用的硬件、軟件和通信協(xié)議。

安全重視不夠、連接無(wú)序、數據保護和應急管理不足;設計上考慮到封閉性、主要以傳統安全為主。

默認配置、連接、組網(wǎng)、采購升級無(wú)序;主要基于工業(yè)應用的場(chǎng)景和執行效率。

工控平臺的脆弱性

平臺本身的安全漏洞問(wèn)題;

殺毒軟件安裝及升級更新問(wèn)題;

大量默認配置和默認口令;

專(zhuān)用平臺和通用平臺漏洞。

工控網(wǎng)絡(luò )的脆弱性

TCP/IP等通用協(xié)議與開(kāi)發(fā)標準引入工業(yè)控制系統，特別是物聯(lián)網(wǎng)、云計算、移動(dòng)互聯(lián)網(wǎng)等新興技術(shù)，使得理論上絕對的物理隔離網(wǎng)絡(luò )正因為需求和業(yè)務(wù)模式的改變而不再切實(shí)可行。傳統的威脅同樣會(huì )在工業(yè)網(wǎng)絡(luò )中重現。

邊界安全策略缺失;

系統安全防御機制缺失;

管理制度缺失或不完善;

網(wǎng)絡(luò )配置規范缺失;

監控與應急響應機制缺失;

網(wǎng)絡(luò )通信(無(wú)線(xiàn)接入+撥號網(wǎng)絡(luò ))保障機制缺失;

基礎設施可用性保障機制缺失。

安全管理、標準和人才的脆弱性

缺乏完整有效安全管理、標準和資金投入是當前我國工業(yè)控制系統的難題之一。其次，過(guò)多的強調網(wǎng)絡(luò )邊界的防護、內部環(huán)境的封閉，讓內部安全管理變得混亂。另外，既了解工控系統原理和業(yè)務(wù)操作又懂信息安全的人才少之又少，為混亂的工控安全管理埋下了伏筆。最后，內網(wǎng)審計、監控、準入、認證、終端管理等缺失也是造成工控系統安全威脅的重要原因。如：使用U盤(pán)、光盤(pán)導致的病毒傳播、筆記本電腦的隨意接入與撥號、ICS缺少監控和審計等問(wèn)題。

為了加強工控網(wǎng)防護，工信部緊急下發(fā)了工信部協(xié)【2011】451號文《關(guān)于加強工業(yè)控制系統信息安全管理的通知》，指出我國目前工控系統現狀：對工業(yè)控制系統信息安全問(wèn)題重視不夠;管理制度不健全;相關(guān)標準規范缺失;技術(shù)防護措施不到位;安全防護能力和應急處置能力不高等。工信部要求工業(yè)、能源、交通、水利以及市政等加強工業(yè)控制系統安全管理。

工控網(wǎng)安全基本安全防護原則

ICS網(wǎng)絡(luò )中有代表性的EPA(Ethernet for Plant Automation)網(wǎng)絡(luò )由企業(yè)信息管理層、過(guò)程監控層和現場(chǎng)設備層三個(gè)層次組成，采用分層化的網(wǎng)絡(luò )安全管理措施。

EPA現場(chǎng)設備采用特定的網(wǎng)絡(luò )安全管理功能，對其接收到的任何報文進(jìn)行訪(fǎng)問(wèn)權限、訪(fǎng)問(wèn)密碼等的檢測，使只有合法的報文才能得到處理，其他非法報文將直接予以丟棄，避免了非法報文的干擾。

在過(guò)程監控層，采用EPA網(wǎng)絡(luò )對不同微網(wǎng)段進(jìn)行邏輯隔離，以防止非法報文流量干擾EPA網(wǎng)絡(luò )的正常通信，占用網(wǎng)絡(luò )帶寬資源。

對于來(lái)自于互聯(lián)網(wǎng)上的遠程訪(fǎng)問(wèn)，則采用EPA代理服務(wù)器以及各種可用的信息網(wǎng)絡(luò )安全管理措施，以防止遠程非法訪(fǎng)問(wèn)。

電力二次系統防護方案是工業(yè)控制系統安全防護的典型案例

電力二次系統方案遵循“安全分區、網(wǎng)絡(luò )專(zhuān)用、橫向隔離、縱向認證”的原則，涵蓋電力監控系統、電力調度管理信息系統、電力通信及調度數據網(wǎng)絡(luò )等，該方案為電力信息安全搭建了最為基礎的安全框架，但由于電力二次系統基本原則出臺較早，基本搭建在網(wǎng)絡(luò )安全防護的基礎上，對系統、業(yè)務(wù)應用、數據安全以及安全管理方面考慮較少，目前面臨著(zhù)新的安全威脅，需要更全面的解決方案應對。

總而言之，工控系統安全要做到“進(jìn)不來(lái)、拿不走、看不到、改不了、走不脫”。只有管理體系、技術(shù)體系、運維體系三管齊下，有機融合，方能保一方平安。