施耐德電氣(中國)有限公司 工業(yè)事業(yè)部最終用戶(hù)業(yè)務(wù)部自動(dòng)化技術(shù)支持中心經(jīng)理 陳小淙

   隨著(zhù)工業(yè)控制系統向網(wǎng)絡(luò )化、智能化發(fā)展，工業(yè)以太網(wǎng)等技術(shù)的應用使得工業(yè)控制系統從傳統的封閉系統演變到開(kāi)放的系統，工業(yè)控制系統的信息安全問(wèn)題也日益突出。

   工業(yè)過(guò)程控制系統信息安全現狀

   從當前中國信息安全工業(yè)行業(yè)現狀來(lái)說(shuō)，中國工業(yè)控制系統信息安全研究起步較晚，對病毒、網(wǎng)絡(luò )攻擊等信息安全威脅重視不足，安全防范手段不到位，安全保障機制缺失，工業(yè)控制系統信息安全標準不健全。

   從最終用戶(hù)的角度來(lái)說(shuō)，對于工業(yè)過(guò)程控制系統信息安全問(wèn)題的認識和防范也存在嚴重的不足，表現為：沒(méi)有足夠的信息安全職位安置及培訓，不安全的邊界防火墻，計算機及軟件的補丁不充分，集團網(wǎng)絡(luò )及工廠(chǎng)網(wǎng)絡(luò )分離不充分，口令強度不夠，不必要的第三方產(chǎn)品設備，企業(yè)信息安全的文檔不充分。

   信息安全威脅的來(lái)源及類(lèi)型

   安全威脅可以來(lái)自外部和內部 ，攻擊者包括: 員工、 激進(jìn)分子/政府/勒索團伙、‘腳本小子’、 研究者 。攻擊原因 也多種多樣：如興趣、勒索/報復、商業(yè)間諜、國家間諜、意外等。

   常見(jiàn)的攻擊手段和漏洞包括：邏輯炸彈、拒絕服務(wù)、緩沖溢出、后門(mén)、口令攻擊、‘中間人’攻擊、重放攻擊、網(wǎng)絡(luò )釣魚(yú)、Rootkits、DNS / Bootp / 服務(wù)扮演、Web 跨站腳本攻擊 – XSS、Web 目錄遍歷、IP地址欺騙、MAC地址欺騙等。

   實(shí)現工業(yè)過(guò)程控制系統信息安全的建議

   實(shí)現工業(yè)控制系統信息安全需要多方的共同努力，作為供應商需要設計或提供具有信息安全特性的產(chǎn)品或解決方案，確保他們能使客戶(hù)遵守相應的信息安全標準，并給用戶(hù)提供實(shí)施安全的指導建議及方法。

   另外很重要的一方面是最終用戶(hù)需要制定信息安全制度 (組織架構的信息安全性保證)，指定相應的責任人(人員的信息安全保證)，并確保遵守相應的信息安全標準。

   實(shí)現信息安全不僅僅與產(chǎn)品相關(guān)，是涉及人員、制度、系統架構、產(chǎn)品等多方面的問(wèn)題。

   實(shí)現工業(yè)過(guò)程控制系統信息安全需要多層保護，如信息安全計劃、 網(wǎng)絡(luò )分離，縱深防御是實(shí)現工業(yè)控制系統信息安全的最佳方法?？v深防御包括安全計劃、網(wǎng)絡(luò )分隔、邊界保護、網(wǎng)段分離、設備加固、監視與更新六大關(guān)鍵步驟。

   施耐德電氣的信息安全解決方案

   作為產(chǎn)品供應商，為保護用戶(hù)的工業(yè)控制系統信息安全，首先，施耐德建立了專(zhuān)門(mén)信息安全指導及漏洞信息的發(fā)布站點(diǎn)來(lái)為用戶(hù)提供相關(guān)信息，包括對于安全指導的白皮書(shū)、產(chǎn)品安全漏洞數據（漏洞清單、緩解/解決方案、補丁及固件更新、信息安全漏洞報告）、信息安全新聞、產(chǎn)品發(fā)布及更新等。

   其次，施耐德致力于為用戶(hù)提供安全的產(chǎn)品，目前新產(chǎn)品的開(kāi)發(fā)都將依據工業(yè)信息安全標準，如Achilles 認證和ISA安全認證。對于沒(méi)有信息安全設計特性的老產(chǎn)品，我們建議用戶(hù)應用ConneXium Tofino防火墻保護。施耐德提供的安全網(wǎng)絡(luò )基礎設備有ConneXium 系列產(chǎn)品 ，包括Connexium Eagle 及 Tofino 防火墻。

   此外，施耐德還建立了信息安全認證實(shí)驗室，以對相關(guān)產(chǎn)品進(jìn)行認證。施耐德還提供評估及設計服務(wù)，可以確認客戶(hù)系統中存在漏洞，根據確認的漏洞及威脅評估系統的風(fēng)險，并為客戶(hù)提供建議，如架構、設備加固、培訓、處理等。

   施耐德還與安全評估的領(lǐng)導者、主要的安全標準提供者Wurldtech及SiS積極合作，共同幫助客戶(hù)應對工業(yè)工控系統信息安全問(wèn)題。

   摘自《自動(dòng)化博覽》2013年1期