一、工業(yè)控制系統信息安全面臨嚴峻形勢，關(guān)鍵信息基礎設施成為網(wǎng)絡(luò )攻擊的重點(diǎn)目標

工業(yè)控制系統廣泛應用于國民經(jīng)濟的各個(gè)重要領(lǐng)域，是工業(yè)生產(chǎn)和重要基礎設施運行的核心大腦。隨著(zhù)互聯(lián)網(wǎng)、云計算、大數據等信息技術(shù)對工業(yè)生產(chǎn)活動(dòng)的不斷滲透，工業(yè)控制系統也面臨著(zhù)越來(lái)越嚴峻的信息安全風(fēng)險。 根據美國工業(yè)控制系統網(wǎng)絡(luò )安全應急響應小組（ICS-CERT）的統計，近2年ICS-CERT共響應了540起工業(yè)控制系統信息安全事件，能源、裝備制備、市政 等關(guān)鍵信息基礎設施領(lǐng)域成為遭受黑客攻擊的重災區。

二、大量工業(yè)控制產(chǎn)品和系統漏洞被披露，使得針對工業(yè)控制系統的攻擊越來(lái)越容易

隨著(zhù)網(wǎng)絡(luò )化時(shí)代信息獲取的成本越來(lái)越小，黑客對工控系統的攻擊難度也越來(lái)越低，進(jìn)一步加劇了工控系統的網(wǎng)絡(luò )安全風(fēng)險。當前，大量工控系統軟硬件設備的安全漏洞及利用方式可通過(guò)公開(kāi)或半公開(kāi)的渠道獲得，越來(lái)越多接入互聯(lián)網(wǎng)的工控系統可通過(guò)“Shodan”之類(lèi)的工業(yè)控制系統搜索引擎發(fā)現痕跡。

2015年12月17日，俄羅斯著(zhù)名工控安全研究團隊SCADA STRANGELOVE（簡(jiǎn)稱(chēng)SCADA.SL） 在第32屆混沌通信大會(huì )上發(fā)布了名為“SCADAPass” 的工控軟硬件設備組件的默認密碼清單。該清單涉及了37家工控廠(chǎng)商的107個(gè)工控設備型號。2016年2月14日，該團隊在互聯(lián)網(wǎng)公開(kāi)發(fā)布了 “SCADAPass”清單的更新版本，涉及的工 控廠(chǎng)商和設備型號分別增加到48家和134個(gè)。該清單詳細描述了各工控設備的設備類(lèi)型、默認用戶(hù)名及密碼（甚至包括硬編碼密碼）、網(wǎng)絡(luò )端口、通信協(xié)議與服務(wù)、公開(kāi)信息來(lái)源等敏感信息。由于工控系統維護的復雜性，大量關(guān)鍵信息基礎設施運營(yíng)單位在安 裝工控系統時(shí)使用產(chǎn)品自帶的默認密碼，甚至關(guān)閉密碼功能。黑客可能利用該清單獲取的默認密碼拿到工控設備的操作權限，實(shí)施修改系統設置、執行 root 命令、替換系統固件、非法控制等攻擊。目前公開(kāi)渠道報道的大量事件案例僅僅是無(wú)數工業(yè)控制系統信息安全風(fēng)險中的“冰山一角”。當前，全球網(wǎng)絡(luò )安全空間呈現出越來(lái)越明顯的政治化、軍事化勢，網(wǎng)絡(luò )安全與其它傳統安全越來(lái)越緊密的相互交織和滲透，需要警惕關(guān)鍵信息基礎設施控制系統成為黑客重點(diǎn)關(guān)注的網(wǎng)絡(luò )安全目標。

三、我國工控系統面臨的網(wǎng)絡(luò )安全風(fēng)險尤為嚴重

（一）工控系統核心軟硬件產(chǎn)品自主可控水平低下

由于缺乏具有自主知識產(chǎn)權的核心技術(shù)，我國各個(gè)行業(yè)、各個(gè)領(lǐng)域的重要工業(yè)控制系統大量采購國外技術(shù)和設備，自主可控程度較低。根據 2013年的全國重點(diǎn)領(lǐng)域網(wǎng)絡(luò )安全檢查工作統計，我國重要信息系統和工業(yè)控制系統關(guān)鍵設備和基礎軟硬件采用國外產(chǎn)品的比例仍很高，安全基礎不牢。根據我們的統計情況來(lái)看，重要的工業(yè)控制系統中操作系統、數據庫、服務(wù)器以及數據存儲設備都是國外產(chǎn)品占絕對主導地位。從類(lèi)別來(lái)看，數據采集與監控（SCADA）系統、分布式控制系統（DCS）、過(guò)程控制系統（PCS）、可編程邏輯控制器（PLC）也均以國外產(chǎn)品為主。另外根據我們調研情況來(lái)看，數千個(gè)工業(yè)控制系統由國外廠(chǎng)商提供運行維護，我們不具備自主維護能力，系統運行的可控能力較低，同時(shí)缺乏對這些產(chǎn)品和服務(wù)的監管，缺少必要的技術(shù)檢測措施和安全可控方案，安全風(fēng)險難以掌控。

 （二）大量工業(yè)控制系統直接接入互聯(lián)網(wǎng)提 高了安全風(fēng)險

隨著(zhù)“兩化深度融合”和“互聯(lián)網(wǎng) +”的發(fā)展，越來(lái)越多的工業(yè)控制系統直接或間接與互聯(lián)網(wǎng)連接。由于工業(yè)控制協(xié)議基本上沒(méi)有加密、認證等安全措施，暴露在互聯(lián)網(wǎng)的工控系統存在巨大的網(wǎng)絡(luò )安全風(fēng)險。根據工業(yè)和信息化部電子科學(xué)技術(shù)情報研究所建設的工業(yè)控制系統在線(xiàn)安全監測平臺統計，我國存在大量直接接入互聯(lián)網(wǎng)的工業(yè)控制系統軟硬件設備，相關(guān)工業(yè)信息系統更是不計其 數，這些系統廣泛集中在水、電、氣、熱、石化等與國民經(jīng)濟和人民群眾生產(chǎn)生活息息相關(guān)的重點(diǎn)行業(yè)。

（三）工控系統安全防護措施不足，系統處于不設防狀態(tài)

雖然有部分工控運營(yíng)單位開(kāi)始關(guān)注工控 安全問(wèn)題，但只有少數運營(yíng)單位根據工控系統的實(shí)際情況開(kāi)展了安全防護建設。根據我們調研來(lái)看，在安全防護措施部署方 面，絕大多數工控系統的網(wǎng)絡(luò )邊界沒(méi)有部署網(wǎng)絡(luò )防護設備，沒(méi)有安裝防病毒軟件或未采取加密措施傳輸、存儲數據的設備也都占很高比例，大量的工控系統沒(méi)有任何安全防護措施。

另外，很多工控系統網(wǎng)絡(luò )安全管理不嚴格，員工缺乏網(wǎng)絡(luò )安全意識。有些單位的移動(dòng)存儲介質(zhì)使用管理不完善，黑客利用相關(guān)漏洞可向內網(wǎng)植入惡意代碼、傳播惡意程序，易形成跨網(wǎng)攻擊通道。USB口的非法使用也會(huì )導致生產(chǎn)計算機感染惡意程序、被植入木馬等不良后果，輕者可能導致產(chǎn)品良品率下降，重則可能導致生產(chǎn)工藝泄露以及設備損壞等重大安全事故。

四、加強我國工控系統信息安全保障的對策建議

（一）建立健全工控系統信息安全法規體系

為加強工業(yè)控制系統的安全保障應盡快研 究組織編制工業(yè)控制系統信息安全防護指南，指導工業(yè)控制系統運營(yíng)單位從建設、運行和維護等全生命周期做好信息安全防護。通過(guò)健全的法規體系，做到我國工控系統信息安全的“監督有力，防護有據”。

（二）常態(tài)化開(kāi)展工控系統與產(chǎn)品的安全檢查

定期對工業(yè)控制系統進(jìn)行信息安全檢查，并實(shí)施工控系統產(chǎn)品的安全檢測，逐步提高應用在我國工控系統中的工控產(chǎn)品安全性，保證我國重點(diǎn)領(lǐng)域工控系統與產(chǎn)品的安全可靠。

（三）加強工控系統態(tài)勢感知與監測預警

不斷提高我國工業(yè)控制系統的在線(xiàn)安全監測能力，主動(dòng)監測發(fā)現存在高危網(wǎng)絡(luò )安全風(fēng)險的工業(yè)控制系統，準確掌握國內外工業(yè)信息安全態(tài)勢。對可能影響我國工業(yè)信息安全的重大安全漏洞和突發(fā)事件進(jìn)行監測核查和分析，向相關(guān)運營(yíng)單位提供工控風(fēng)險信息通報和預警。

轉自《中國信息安全》2016年第4期

作者：工業(yè)和信息化部電子科學(xué)技術(shù)情報研究所總工／工業(yè)控制系統信息安全產(chǎn)業(yè)聯(lián)盟副理事長(cháng)  尹麗波