5月12日20時(shí)左右，新型“蠕蟲(chóng)式”勒索軟件“WannaCry”在全球爆發(fā)，波及范圍多達上百個(gè)國家，涉及能源、電力、交通、醫療、教育等多個(gè)重點(diǎn)行業(yè)領(lǐng)域。

但據記者了解，工業(yè)系統在此次危機中卻有驚無(wú)險?？蓸I(yè)內人士表示，事實(shí)上，目前我國的工業(yè)控制系統安全防護能力還處在初級階段，極易受到黑客的攻擊。

正如此次暴發(fā)的WannaCry，萬(wàn)一其變種傳播到工業(yè)系統主機，最糟糕的后果就是工控主機系統癱瘓，導致生產(chǎn)系統無(wú)法正常運行，也可能會(huì )導致爆炸等事故。

在兩化融合加劇的情況下，我國脆弱的工業(yè)控制系統急需受到保護。

安全隱患需警示

預警在前防范在先。在WannaCry爆發(fā)的第二天，國家工業(yè)信息安全發(fā)展研究中心就緊急發(fā)布《惡意勒索軟件WannaCry肆虐對我工業(yè)經(jīng)信安全造成嚴重威脅》的預警通知，提到如果不加以防范和控制，勢必對我國工業(yè)領(lǐng)域信息安全造成極大威脅。

通知中提到，工業(yè)主機存在被攻擊的安全隱患。我國工業(yè)領(lǐng)域的工業(yè)主機（如操作站、工程師站、歷史服務(wù)器等）廣泛使用了Windows通用型操作系統，尤其是大量應用了默認開(kāi)放445端口的Windows 2000和Windows XP系統，極有可能被WannaCry利用漏洞進(jìn)行入侵攻擊，并迅速蔓延至工業(yè)企業(yè)內網(wǎng)甚至工業(yè)控制網(wǎng)絡(luò )，導致工業(yè)主機被加密鎖定以至于無(wú)法正常運行，甚至造成整個(gè)工業(yè)企業(yè)內網(wǎng)的癱瘓。

其次，工業(yè)企業(yè)相關(guān)敏感數據存在被鎖定、篡改和銷(xiāo)毀的風(fēng)險。一旦中招，該勒索軟件可以對目標系統和設備中的數十種類(lèi)型的文件加密，涉及文檔、數據庫、視頻、音頻、圖像、制圖、壓縮包等幾乎所有文件類(lèi)型，可能導致工業(yè)企業(yè)生產(chǎn)運行等敏感數據無(wú)法正常采集和讀取，對工業(yè)生產(chǎn)造成嚴重經(jīng)濟損失。

目前，多個(gè)國家的電力、石油、通信、交通運輸等領(lǐng)域受到嚴重影響，例如，西班牙電力公司Iberdrola、天然氣公司Gas Natural以及電信巨頭Telefonica等均遭受到勒索軟件的攻擊。通知中提到：“鑒于該惡意軟件傳播速度極快、影響范圍極廣，我重點(diǎn)工業(yè)領(lǐng)域已然受到波及，如若不加防范和控制，大范圍中招只是時(shí)間問(wèn)題?！?/p>

事實(shí)上，由于“兩網(wǎng)”融合，傳統信息網(wǎng)絡(luò )所面臨的病毒、木馬、入侵攻擊、拒絕服務(wù)等安全威脅正在向工業(yè)控制系統擴散。北京和利時(shí)系統工程有限公司信息安全系統架構師劉盈介紹道，工業(yè)控制系統的網(wǎng)絡(luò )威脅源包括網(wǎng)絡(luò )病毒木馬攻擊、控制權限截獲、數據監聽(tīng)及竊取、數據篡改、通信健壯性攻擊等。

具體而言，網(wǎng)絡(luò )病毒木馬攻擊包括惡意代碼、APT攻擊病毒、漏洞攻擊、后門(mén)服務(wù)等攻擊類(lèi)型，通過(guò)已知的操作系統漏洞和后門(mén)、電子郵件攻擊和零日漏洞等方式對工控系統構成威脅；控制權限截獲則可通過(guò)操作系統或軟件漏洞獲取操作權限或更高級的權限、竊取或窮舉攻擊等手段暴力破解口令。

另外，劉盈還表示，工控系統大部分采用明文傳輸的方式，對于數據監聽(tīng)缺乏防護能力，明文存儲的數據信息風(fēng)險較大。不僅如此，控制系統通信健壯性薄弱，面對網(wǎng)絡(luò )攻擊易造成通信鏈路中斷，甚至面臨系統重啟的風(fēng)險。

防御由被動(dòng)轉向主動(dòng)

當前，智能工廠(chǎng)和數字化車(chē)間成為智能制造的標配，也將新一代信息技術(shù)貫穿于設計、生產(chǎn)、管理、服務(wù)等制造活動(dòng)的各個(gè)環(huán)節，信息深度自感知、智慧優(yōu)化自決策、精準控制自執行等也成為智能制造的基本功能。

但需要強調的是，“智能制造的主要安全目標就是，保證系統功能不會(huì )失效和失控?！睓C械工業(yè)儀器綜合技術(shù)經(jīng)濟研究所副所長(cháng)梅恪強調說(shuō)。

工業(yè)控制系統通常包括傳感器、轉換器、發(fā)射器、控制器、執行器等儀器儀表，工業(yè)控制系統就像是這些工業(yè)裝備的大腦，在它的指揮下，大量?jì)x器儀表以子系統的形式進(jìn)行組合，完成各種復雜的控制任務(wù)。

近年來(lái)，工業(yè)控制系統安全事故層出不窮。去年卡巴斯基安全實(shí)驗室就揭露了針對工控行業(yè)的“食尸鬼”網(wǎng)絡(luò )攻擊活動(dòng)，攻擊通過(guò)偽裝阿聯(lián)酋國家銀行電郵，使用魚(yú)叉式釣魚(yú)郵件，對中東和其它國家的工控組織發(fā)起了定向網(wǎng)絡(luò )入侵。

此次WannaCry來(lái)襲，再次為工業(yè)控制系統的安全防控敲響警鐘。如何構建安全的防護體系，如何正確應對工業(yè)控制系統網(wǎng)絡(luò )安全問(wèn)題，備受工業(yè)企業(yè)的關(guān)注。

“過(guò)去傳統的網(wǎng)絡(luò )安全模型是封、堵、查、殺的被動(dòng)防御，而當前應該借鑒傳統防御方式建立主動(dòng)防御體系?！眲⒂f(shuō)。

工業(yè)控制系統信息安全領(lǐng)域資深專(zhuān)家李鴻培也表示，從攻防對抗的角度，系統總會(huì )被攻破，也就是說(shuō)，僅部署傳統的安全防護機制是不夠的。

“針對系統缺陷的攻防，攻方占盡先機?！崩铠櫯嗾f(shuō)，“防御成功的關(guān)鍵在于如何及時(shí)洞察系統中的安全缺陷，并盡早主動(dòng)彌補。另外，如何盡早發(fā)現攻擊行為并及時(shí)處置，縮小系統被自由攻擊的時(shí)間窗口?！?/p>

對于信息安全防護關(guān)鍵技術(shù)，劉盈重點(diǎn)介紹了幾種，例如基于數字證書(shū)的身份驗證機制，對接入設備進(jìn)行雙向驗證；采用對稱(chēng)算法對系統通信數據進(jìn)行加解密處理；以及訪(fǎng)問(wèn)控制技術(shù)、入侵檢測技術(shù)、虛擬化隔離技術(shù)、可信啟動(dòng)技術(shù)等。

中國能源建設集團有限公司工程研究院副院長(cháng)許繼剛則以電廠(chǎng)為例表示，電廠(chǎng)信息安全的防范重點(diǎn)就是設置好三道重要防線(xiàn)，第一道是電廠(chǎng)信息系統與外部系統的安全防線(xiàn)；第二道是電廠(chǎng)控制系統與產(chǎn)品供貨商的安全防線(xiàn)；第三道是電廠(chǎng)控制系統與電廠(chǎng)信息系統的安全防線(xiàn)。

許繼剛還針對電廠(chǎng)的主要信息系統的信息安全防御重點(diǎn)指出，廠(chǎng)級監控信息系統（SIS）是電廠(chǎng)的運行數據中心，處于電廠(chǎng)所有自動(dòng)化系統的中心位置，其防御重點(diǎn)就是必須切斷所有從實(shí)時(shí)或歷史數據庫讀取數據的用戶(hù)系統對SIS的入侵。

上述人士普遍認為，當前急需加大對工業(yè)控制網(wǎng)絡(luò )安全設備的投入，防止相關(guān)企業(yè)受到攻擊，避免造成巨大損失。

工控系統產(chǎn)業(yè)或迎“金?！?/strong>

此次WannaCry來(lái)襲，許多網(wǎng)絡(luò )安全企業(yè)都在第一時(shí)間做出應急處置方案?？傊?，勒索病毒爆發(fā)，網(wǎng)絡(luò )安全產(chǎn)業(yè)再迎催化。

“超過(guò)80%的關(guān)鍵基礎設施依靠工業(yè)控制系統實(shí)現自動(dòng)化作業(yè)，工業(yè)控制系統己廣泛應用于涉及國計民生的各領(lǐng)域，隨著(zhù)網(wǎng)絡(luò )空間安全上升為國家戰略，工控網(wǎng)絡(luò )安全行業(yè)蘊含巨大的機遇?！北本┛锒骶W(wǎng)絡(luò )科技有限責任公司技術(shù)委員會(huì )主席兼首席戰略官孫一桉說(shuō)。

國內網(wǎng)絡(luò )安全產(chǎn)業(yè)現狀究竟如何？中國網(wǎng)絡(luò )安全產(chǎn)業(yè)聯(lián)盟理事長(cháng)沈繼業(yè)此前已做了幾點(diǎn)概括：一是產(chǎn)業(yè)規模小，廠(chǎng)商眾多并且背景多樣化，產(chǎn)品眾多，整體水平不高并且同質(zhì)化嚴重；二是行業(yè)競爭激烈，不良物種侵入，產(chǎn)業(yè)生態(tài)遭到嚴重破壞。但與此同時(shí)，這又是一個(gè)熱門(mén)的行業(yè)，未來(lái)前景被各方看好。

事實(shí)上，我國工業(yè)控制系統規模巨大且嚴重依賴(lài)進(jìn)口，智能化改造使得生產(chǎn)網(wǎng)絡(luò )從開(kāi)放走向互聯(lián)，進(jìn)一步加劇系統網(wǎng)絡(luò )安全威脅，而且大規模的新建工控系統依然缺乏網(wǎng)絡(luò )安全規劃和設計。

可喜的是，國家已經(jīng)注意到這一情況，高度重視并開(kāi)始部署一系列旨在提升我國工控系統網(wǎng)絡(luò )安全的舉措。中央網(wǎng)絡(luò )安全和信息化領(lǐng)導小組的成立，標志著(zhù)我國進(jìn)入了全面防護網(wǎng)絡(luò )空間安全的戰略時(shí)期?！吨腥A人民共和國網(wǎng)絡(luò )安全法（草案）》和《中華人民共和國國家安全法》的相繼頒布，也使我國網(wǎng)絡(luò )安全立法達到了前所未有的高度。

在業(yè)界看來(lái)，工業(yè)控制系統產(chǎn)業(yè)方興未艾，誰(shuí)先搶占這一片藍海，收獲的或許將是一片“金?！?。

摘自《中國科學(xué)報》