國務(wù)院“互聯(lián)網(wǎng)+”行動(dòng)計劃的推出旨在推動(dòng)生產(chǎn)制造模式的變革，產(chǎn)業(yè)的組織創(chuàng )新以及產(chǎn)業(yè)結構升級。傳統產(chǎn)業(yè)在得到信息技術(shù)的融合和滲透后，取得巨大提升的同時(shí)，工業(yè)控制系統的網(wǎng)絡(luò )安全也已成為非常值得關(guān)注的問(wèn)題。

隨著(zhù)網(wǎng)絡(luò )和信息技術(shù)滲透到各個(gè)傳統的行業(yè)，使得整個(gè)傳統行業(yè)的基礎設施就像有了神經(jīng)系統一樣，能夠進(jìn)行遠程的智能化控制和操作。傳統行業(yè)與互聯(lián)網(wǎng)技術(shù)相結合就形成了物聯(lián)網(wǎng)、工業(yè)互聯(lián)網(wǎng)、信息物理系統、智慧城市等一些新的概念，但是他們的核心還是網(wǎng)絡(luò )互連。

工業(yè)控制系統安全問(wèn)題緊迫

在網(wǎng)絡(luò )互連的大背景下，工業(yè)控制系統的互連已經(jīng)成為不可避免的趨勢?；ミB一方面可以提高生產(chǎn)力，提升創(chuàng )新能力，減少工業(yè)能源及資源消耗，助力產(chǎn)業(yè)模式轉型升級，另一方面也會(huì )因為互聯(lián)而誘發(fā)一系列網(wǎng)絡(luò )安全問(wèn)題，工業(yè)控制系統一直面臨著(zhù)來(lái)自?xún)炔亢屯獠康母鞣N惡意病毒的攻擊。目前，工業(yè)控制系統遭受的網(wǎng)絡(luò )攻擊已經(jīng)成為我們所面臨的最嚴重的國家安全挑戰之一。

工業(yè)控制系統設計之初是為了完成各種實(shí)時(shí)控制功能，并沒(méi)有考慮到安全防護方面的問(wèn)題?，F在他們都暴露在互聯(lián)網(wǎng)上，這給他們所控制的比如像關(guān)鍵基礎設施，重要系統等都帶來(lái)了眾多的風(fēng)險和隱患。

工業(yè)和信息化部電子科學(xué)技術(shù)情報研究所從2012年開(kāi)始，持續跟蹤、監測工業(yè)控制系統的網(wǎng)絡(luò )安全風(fēng)險，也發(fā)現了大量的工業(yè)控制系統網(wǎng)絡(luò )安全風(fēng)險漏洞，并且向主管部門(mén)通報了多個(gè)地區的多起關(guān)鍵基礎設施高危網(wǎng)絡(luò )安全風(fēng)險，涉及的行業(yè)包括能源、市政供水、供氣和供熱等。根據我們對整個(gè)漏洞的分析可以發(fā)現，有87%的漏洞是可以被黑客來(lái)遠程利用的。從漏洞的類(lèi)型來(lái)看，身份驗證的漏洞數量最多，只要具有初步水平的網(wǎng)絡(luò )攻擊者就可以通過(guò)互聯(lián)網(wǎng)來(lái)獲得訪(fǎng)問(wèn)工業(yè)控制系統設備和系統的一些管理員權限，并且這些漏洞的潛在威脅正在不斷加大。

近幾年，工業(yè)控制系統的網(wǎng)絡(luò )安全事件頻發(fā)，由于工業(yè)控制系統安全涉及國計民生，一旦遭到破壞，危害將十分嚴重。例如，澳大利亞馬盧奇污水處理廠(chǎng)非法入侵事件，造成了100萬(wàn)公升的污水未經(jīng)處理就直接經(jīng)引水渠排入了自然水系，造成了嚴重的環(huán)境污染。德國境內的鋼鐵廠(chǎng)在去年底遭遇一次網(wǎng)絡(luò )黑客攻擊，惡意軟件攻擊了工廠(chǎng)的鋼鐵熔爐控制系統，造成了鋼鐵熔爐控制系統停機24小時(shí)，據測算，每一小時(shí)造成的損失高達630萬(wàn)美元。震網(wǎng)病毒的攻擊致使伊朗布什爾核電站1/5的離心機報廢，放射性物質(zhì)泄露，危害絕不亞于切爾諾貝利核電站的事故，導致了伊朗的戰略核計劃倒退了兩年。中東能源行業(yè)遭遇“Flame”病毒攻擊，導致大量的敏感信息泄露，為爆發(fā)大規模的攻擊埋下隱患。

監測平臺搜索引擎搜索界面

眾所周知，當前各國都把網(wǎng)絡(luò )空間安全作為國家安全的重要組成部分，而網(wǎng)絡(luò )空間的工業(yè)控制系統安全又是重中之重。一方面，在國與國的博弈中，掌握了對方的關(guān)鍵基礎設施工業(yè)控制系統的基本情況和風(fēng)險信息，是各國在網(wǎng)絡(luò )空間談判的一種重要戰略資源。另一方面，全球越來(lái)越多的非國家行為體，比如像恐怖勢力、極端組織等，正在通過(guò)不斷發(fā)展自身的網(wǎng)絡(luò )攻擊能力來(lái)實(shí)現其政治目的。隨著(zhù)攻擊難度和攻擊成本的降低，工業(yè)控制系統已經(jīng)成為當今網(wǎng)絡(luò )部隊、黑客、極端勢力等網(wǎng)絡(luò )精確打擊的重要目標，而這些對我們國家的安全已造成了巨大的威脅。

根據研究發(fā)現，當前絕大部分的工業(yè)控制系統所使用的工業(yè)控制協(xié)議是沒(méi)有經(jīng)過(guò)任何的加密、認證等安全機制。大部分暴露在互聯(lián)網(wǎng)上的工業(yè)控制系統是可以被黑客來(lái)直接遠程讀取并修改敏感數據，控制其生產(chǎn)過(guò)程的。例如，我們在工作中發(fā)現，某縣的農村飲用水安全監測平臺，盡管在其主界面上有個(gè)登錄按鈕，但是系統并不要求必須通過(guò)這個(gè)登錄按鈕來(lái)輸入用戶(hù)名和密碼，而是直接通過(guò)打開(kāi)菜單的選項選擇就可以到達要進(jìn)入的畫(huà)面，整個(gè)系統的訪(fǎng)問(wèn)控制形同虛設。另外，我們在對通訊報文進(jìn)行分析時(shí)發(fā)現，報文整個(gè)是以明文的形式在進(jìn)行傳輸，從報文中可以直接讀取協(xié)議的名稱(chēng)，設備的類(lèi)型，用戶(hù)名、密碼等敏感信息。此外，目前工業(yè)控制系統聯(lián)網(wǎng)中大量存在一種公網(wǎng)映射現象。許多工業(yè)控制系統的運營(yíng)單位認為，將設備接入內網(wǎng)就已經(jīng)與外網(wǎng)隔離了，就是安全的。然而在他們對路由器設置的時(shí)候，又把內網(wǎng)的設備在公網(wǎng)中做了一個(gè)映射，直接導致內網(wǎng)設備暴露在互聯(lián)網(wǎng)上，整個(gè)過(guò)程如同掩耳盜鈴。

工業(yè)控制系統在線(xiàn)監測平臺建設

面對如此嚴峻的網(wǎng)絡(luò )安全形勢，以及工業(yè)控制系統自身的脆弱性，我們急需了解到底有多少數量的工業(yè)控制系統暴露在互聯(lián)網(wǎng)中，有哪些行業(yè)、哪些地區的工業(yè)控制系統暴露在互聯(lián)網(wǎng)中，并且這些暴露在互聯(lián)網(wǎng)中的工業(yè)控制系統風(fēng)險到底有多大？因此對工業(yè)控制系統在線(xiàn)監測能力的建設也就迫在眉睫。

為了解決前面提到的這些問(wèn)題，許多國家都非常重視工業(yè)控制系統在線(xiàn)監測能力。自2008年起，美國國土安全部通過(guò)ProjectShine項目，搜索連接在互聯(lián)網(wǎng)上的工業(yè)控制系統設備及關(guān)鍵信息基礎設施，截止2012年，已經(jīng)收集了全球范圍內超過(guò)220萬(wàn)條數據，并確定其中7200個(gè)為美國關(guān)鍵信息基礎設施。除了美國，其他一些西方發(fā)達國家，如英國等，也都開(kāi)發(fā)了自己的工業(yè)控制系統搜索引擎來(lái)掌握和監測本國和其他國家的關(guān)鍵基礎設施。

2013年初，工業(yè)和信息化部電子科學(xué)技術(shù)情報研究所開(kāi)始開(kāi)展重要控制系統在線(xiàn)搜索監測工作，逐步建設了重要控制系統在線(xiàn)監測平臺，對連接在互聯(lián)網(wǎng)上的重要工業(yè)控制系統進(jìn)行安全監測以及預警，現已初步形成了對重要工業(yè)控制系統的在線(xiàn)監測能力。在總結我國重要工業(yè)控制系統基礎情況的基礎上，工業(yè)和信息化部電子科學(xué)技術(shù)情報研究所自主研發(fā)了重要工業(yè)控制系統在線(xiàn)監測預警平臺，開(kāi)發(fā)了工業(yè)控制系統的在線(xiàn)搜索引擎。平臺通過(guò)持續掃描互聯(lián)網(wǎng)，識別出符合工業(yè)控制系統網(wǎng)絡(luò )指紋特征的IP，搜索暴露在互聯(lián)網(wǎng)上的重要工業(yè)控制系統的基本信息。為了將來(lái)更好地部署，我們還研發(fā)了平臺的硬件化產(chǎn)品。

目前在線(xiàn)監測預警平臺監測的對象包括：工業(yè)控制設備：PLC、DCS、RTU等；系統主機及服務(wù)器：工程師站、操作員站、數據庫；應用軟件：SCADA軟件、HMI軟件、MES管理系統軟件；智能設備：如現在智慧城市中用到的智能儀器儀表設備、嵌入式設備、視頻監控設備。還可以監測一些工業(yè)網(wǎng)絡(luò )設備：路由器、工業(yè)防火墻、工業(yè)網(wǎng)閘等。

經(jīng)過(guò)近3年的工作，監測平臺取得了一些階段性的成果。目前平臺已經(jīng)搜集了十余種主流工控專(zhuān)有協(xié)議及工控專(zhuān)用的網(wǎng)絡(luò )端口；掌握了國內外工業(yè)控制系統及設備的基礎信息、分布情況和發(fā)展趨勢；提高了我國重要工業(yè)控制系統網(wǎng)絡(luò )安全風(fēng)險的“可發(fā)現”能力；幫助關(guān)鍵基礎設施運營(yíng)單位提高工業(yè)控制系統網(wǎng)絡(luò )安全防護能力；提供工業(yè)控制系統網(wǎng)絡(luò )安全監測與感知預警的支撐。

工業(yè)控制系統在線(xiàn)監測系統平臺的硬件化產(chǎn)品

（文章整理自郭嫻在“2015第四屆工業(yè)控制系統信息安全峰會(huì )”第一站上的報告）

摘自《自動(dòng)化博覽》7月刊