李俊 孫軍 張慧敏 工業(yè)和信息化部電子科學(xué)技術(shù)情報研究所

1　引言

工業(yè)是國民經(jīng)濟的主體，工業(yè)控制系統是工業(yè)生產(chǎn)的核心大腦。隨著(zhù)信息化和工業(yè)化融合的持續深入，工業(yè)控制系統正從封閉走向開(kāi)放和互聯(lián)，呈現出數字化、網(wǎng)絡(luò )化和智能化等新特征，在不斷提升工業(yè)生產(chǎn)效率的同時(shí)，也面臨著(zhù)嚴峻的信息安全挑戰。工業(yè)控制系統信息安全已經(jīng)成為護航經(jīng)濟發(fā)展、保障社會(huì )穩定、維護國家安全的基礎和前提。作為世界頭號工業(yè)強國和網(wǎng)絡(luò )強國，美國7年前專(zhuān)門(mén)成立了工業(yè)控制系統網(wǎng)絡(luò )應急響應小組（ICS-CERT），通過(guò)該國家級工業(yè)控制系統信息安全保障機構的設立，逐步形成了完備的工控安全保障工作機制，有力提升了美國工控安全保障水平。

2　ICS-CERT成立背景

2.1　啟動(dòng)控制系統安全計劃

2003年12月17日，美國政府頒布了第7號國土安全總統令（HSPD-7）《關(guān)鍵基礎設施標識、優(yōu)先級和保護》，要求國土安全部（DHS）制定保護關(guān)鍵基礎設施和重要資源（CIKR）的國家戰略計劃，并作為化工、關(guān)鍵制造、水利、國防工業(yè)基礎、核反應堆與材料、應急服務(wù)等關(guān)鍵基礎設施行業(yè)與領(lǐng)域的責任部門(mén)。認識到工業(yè)控制系統對關(guān)鍵基礎設施的重要性后，DHS下屬的國家防護與計劃司（NPPD）于2004年5月啟動(dòng)了“控制系統安全計劃（CSSP）”，旨在通過(guò)指導工業(yè)控制系統管理與運營(yíng)部門(mén)和機構加強工業(yè)控制系統信息安全保護，減少?lài)谊P(guān)鍵基礎設施的風(fēng)險。同年8月，DHS在其下屬的美國計算機應急準備小組（US-CERT）組建了“控制系統安全中心（CSSC）”。通過(guò)合同外包等方式，CSSC依托以愛(ài)達荷國家實(shí)驗室（INL）為主的相關(guān)研究機構開(kāi)展了部分工控系統漏洞與事件處理、風(fēng)險評估等工作。

2.2　發(fā)布保障控制系統安全戰略，專(zhuān)門(mén)組建ICS-CERT

基于US-CERT框架的CSSC在落實(shí)《控制系統安全保護計劃》目標與任務(wù)的過(guò)程存在兩方面的重大問(wèn)題。一是專(zhuān)業(yè)能力嚴重不足。US-CERT的主要職能是“計算機應急準備”（computer emergency readiness），其工作重點(diǎn)在于計算機安全風(fēng)險信息的監測通報，在工業(yè)控制系統信息安全保障方面既無(wú)技術(shù)隊伍、也無(wú)專(zhuān)業(yè)能力，與工控安全相關(guān)的工作均采取外包的方式委托給美國能源部（DOE）下屬的國家實(shí)驗室。二是資源條件十分匱乏：US-CERT并不具備開(kāi)展工控安全保障工作必須的現場(chǎng)測試條件、實(shí)驗室環(huán)境、專(zhuān)家資源等，因此無(wú)法完成包括工業(yè)控制系統信息安全監測、預警、處置、恢復等在內的全流程、全方位的網(wǎng)絡(luò )應急響應（cyber emergency response）任務(wù)。

在充分考慮到上述兩方面問(wèn)題的基礎上，為“切實(shí)解決控制系統安全保護面臨的具體問(wèn)題”，2009年10月，DHS發(fā)布了《保障控制系統安全戰略》?！稇鹇浴返暮诵膬热葜饕婕皟身棽渴穑阂皇墙⒐I(yè)控制系統聯(lián)合工作組（ICSJWG）；二是明確ICS-CERT的職責范圍?！稇鹇浴访鞔_ICS-CERT的職責包括：ICS網(wǎng)絡(luò )威脅、脆弱性與惡意軟件分析；ICS安全事件響應與分析；與聯(lián)邦、州、地方機構和組織、情報聯(lián)合會(huì )、私營(yíng)部門(mén)共享ICS相關(guān)安全事件與信息等?！稇鹇浴访鞔_指出ICS的關(guān)注重點(diǎn)是關(guān)鍵基礎設施控制系統與網(wǎng)絡(luò )，ICS-CERT在控制系統安全技術(shù)與響應能力建設方面是對US-CERT的補充和支持，從而在職責范圍界定上將US-CERT和ICS-CERT區分開(kāi)來(lái)?！稇鹇浴窞榻M建ICS-CERT提供了政策依據，2009年11月1號DHS正式依托INL國家實(shí)驗室單獨組建ICS-CERT，并在DHS各財年預算中列入相關(guān)運營(yíng)經(jīng)費預算。

2.3　DHS內部機構重組，ICS-CERT正式納入NCCIC

2009年10月30日，DHS建立國家網(wǎng)絡(luò )安全與通信集成中心（NCCIC）。當時(shí)ICS-CERT并未正式成為NCCIC的組成部分，而是作為《保障控制系統安全戰略》的實(shí)施機構落實(shí)相關(guān)要求和部署。隨著(zhù)《保障控制系統安全戰略》相關(guān)部署的持續推進(jìn)，ICS-CERT在關(guān)鍵基礎設施控制系統安全態(tài)勢感知、信息共享、事件響應、風(fēng)險消減及災難恢復等方面發(fā)揮著(zhù)越來(lái)越重要的作用，2013年，NCCIC進(jìn)行機構重組，正式將ICS-CERT作為與US-CERT并列的四個(gè)組成機構之一。2014年，美國《國家網(wǎng)絡(luò )安全保護法》確立了NCCIC的法律地位，為NCCIC開(kāi)展信息共享、態(tài)勢感知、風(fēng)險監測、事件響應等提供了法律依據，并明確規定NCCIC的組成部分包括“NCCIC內開(kāi)展網(wǎng)絡(luò )安全和通信活動(dòng)的機構”。由此，作為NCCIC重要組成部分的ICS-CERT也有了法定身份，其職責定位與相關(guān)工作的開(kāi)展也有了法律依據。

3　ICS-CERT的主要工作職責

美國DHS負責工控系統信息安全的部門(mén)組織架構如圖1所示。

圖1 DHS負責工控系統信息安全的部門(mén)組織架構

從公開(kāi)資料來(lái)看，目前ICS-CERT的主要職責有以下七個(gè)方面：

（1）技術(shù)分析。ICS-CERT在INL國家實(shí)驗室建立了高級分析實(shí)驗室（Advanced Analytical Laboratory,AAL），為ICS-CERT提供了技術(shù)分析能力。ICS-CERT與廠(chǎng)商配合，從檢查、驗證和潛在風(fēng)險分析等方面開(kāi)展漏洞分析工作，并在必要時(shí)協(xié)同廠(chǎng)商在A(yíng)AL實(shí)驗室進(jìn)行研究分析。

（2）事件響應。對影響關(guān)鍵基礎設施的信息安全事件進(jìn)行響應和支持是ICS-CERT的重要職能。一般來(lái)說(shuō)，ICS-CERT采用遠程支持的方式響應事件。通過(guò)AAL實(shí)驗室對關(guān)鍵基礎設施運營(yíng)者提供的惡意軟件、登陸文件、硬盤(pán)、電子郵件等進(jìn)行分析，評估事件是否已經(jīng)造成損失、損失的深度和廣度、關(guān)鍵基礎設施潛在的后果。對于那些需要現場(chǎng)支持的嚴重事件，ICS-CERT也會(huì )派出響應小組進(jìn)行現場(chǎng)分析。

（3）漏洞通報。工控系統與產(chǎn)品漏洞及脆弱性的報告、分析、協(xié)調和發(fā)布工作是ICS-CERT最主要的工作之一。在收到漏洞報告后，ICS-CERT將對上報的漏洞進(jìn)行初步的分析，并與控制系統設備廠(chǎng)商建立安全、互信的合作伙伴關(guān)系，共同致力于緩解措施或補丁發(fā)布等解決方案，確保廠(chǎng)商有足夠的時(shí)間讓受影響的用戶(hù)在漏洞公布之前有足夠的時(shí)間獲得、測試并應用解決方案。在與廠(chǎng)商協(xié)調并收集技術(shù)和風(fēng)險信息后，ICSCERT將會(huì )把漏洞的相關(guān)信息通報給終端用戶(hù)。

（4）實(shí)體協(xié)調。ICS-CERT建立了工業(yè)控制系統聯(lián)合工作小組（ICSJWG）這一實(shí)體來(lái)加強與工控系統運營(yíng)單位及相關(guān)行業(yè)之間的協(xié)調，加速工控系統的安全措施設計和部署。每年ICS-CERT會(huì )在春季和秋季召開(kāi)兩次會(huì )議，交流工控系統信息安全的研究與保障工作。

（5）態(tài)勢感知。ICS-CERT通過(guò)與美國相關(guān)公司的合作，建立了工控系統態(tài)勢感知能力，通過(guò)對互聯(lián)網(wǎng)的監測和搜索掌握了接入美國網(wǎng)絡(luò )的工控系統基本情況，并梳理了其中大量的關(guān)鍵基礎設施。

（6）檢查評估。對美國關(guān)鍵基礎設施控制系統進(jìn)行檢查評估是ICS-CERT正在逐步強化的一項工作。ICSCERT已經(jīng)自主開(kāi)發(fā)了CSET、DAR和NAVV共3款專(zhuān)門(mén)用于工控系統信息安全檢查評估的工具，依托這些工具ICSCERT赴企業(yè)現場(chǎng)開(kāi)展檢查評估工作，發(fā)現了大量安全問(wèn)題，及時(shí)消減了美國關(guān)鍵基礎設施控制系統的安全隱患。

（7）信息安全培訓。ICS-CERT提供初、中、高三個(gè)級別的工控安全免費培訓，幫助關(guān)鍵基礎設施行業(yè)和控制系統運營(yíng)單位更好地理解工控系統的安全風(fēng)險。每年有數千人參加ICS-CERT培訓，該培訓會(huì )定期公開(kāi)課程表，需要申請和審核，高級課程一般不允許外國人參加。

4　啟示和建議

美國通過(guò)ICS-CERT這一綜合性、專(zhuān)業(yè)化的國家級工業(yè)控制系統信息安全保障機構，開(kāi)展了大量工控安全保障工作，進(jìn)一步確保了美國在工控安全研究方面的世界領(lǐng)先地位。我國工控安全保障工作起步較晚，與發(fā)達國家相比在保障能力方面仍存在較大差距，應充分借鑒美國等發(fā)達國家的有關(guān)做法，建設綜合性、專(zhuān)業(yè)化的國家級工控安全保障機構。2016年5月13日，國務(wù)院發(fā)布了《關(guān)于深化制造業(yè)和互聯(lián)網(wǎng)融合發(fā)展的指導意見(jiàn)》（國發(fā)〔2016〕28號），明確提出“提升工業(yè)信息系統安全水平?！劳鞋F有科研機構，建設國家工業(yè)信息安全保障中心”。我們要認真貫徹落實(shí)28號文件精神，加快推動(dòng)國家工業(yè)信息安全保障中心的成立和掛牌運行，盡早形成完善的工控安全保障工作機制，為我國重要工控系統安全運行保駕護航。

作者簡(jiǎn)介

李?。?986-），工學(xué)博士，現為工業(yè)和信息化部電子科學(xué)技術(shù)情報研究所工控安全實(shí)驗室負責人，主要研究方向為工業(yè)信息安全感知、評估與防護保障技術(shù)。

摘自《工業(yè)控制系統信息安全》專(zhuān)刊第三輯