工业4.0下的安全蓝图

文|本刊记者 石菲

文|本刊记者 姜红德

在工业自动化年投资总额超过3500亿的中国，工控安全的投资占比还达不到千分之一。

2015年2月27日中午江苏省公安厅发布特急通知，称海康威视生产的监控设备存在严重安全隐患，部分设备已经被境外IP地址控制，要求各地立即进行全面清查，并开展安全加固，消除安全漏洞。

随着物联网等信息技术高速发展，以往相对封闭的工业控制系统逐渐采用通用的通信协议、硬软件系统，部分工业控制系统也能够以某些方式连接到互联网等公共网络上，越来越多的工业控制系统暴露于互联网之上。传统信息网络所面临的病毒、木马、入侵攻击、拒绝服务等安全威胁也正在向工控系统扩散。据市场调研和咨询公司MarketsandMarkets的研究报告显示工控安全将成为一个巨大的市场，到2019年全球工业控制系统安全市场总价值将达87.3亿美元。

而在“工业4.0”的大背景下，工控安全问题更为凸显。在互联网时代，每个行业都在遭受互联网带来的影响，在无数个行业被互联网浪潮冲击后，互联网开始改造工业制造业了。有人通俗地说，被互联网、物联网化的“工业4.0”正是互联网对制造业的改造。

除了互联网带来的冲击，大数据、云计算的运用更是给工业设备带来了安全隐患。可以说“工业4.0”时时刻刻都在遭受安全威胁，德国总理默克尔也曾经强调，“工业4.0”不是一个仅仅可以靠投资就能实现的战略。互联网的安全性和可靠性在“工业4.0”时代显得更加迫切，这需要欧洲政府对数据进行更严格的管控和保护，并持续地维护“网络的中立性”，防范、打击垄断的出现。

而在一年工业自动化投资总额超过3500亿的中国，工控安全的投资占比还达不到千分之一。一方面是投入不足，一方面是使用者忽视安全隐患，同时由于关键产品和高端服务严重信赖进口，国外几大工控系统中存在的安全隐患在我国同样存在，甚至更为严重。而且由于国外厂商会对工控系统进行远程维护，增加了关键核心数据被窃取利用的风险。

投入仍显不足

工控安全问题对中国的震动始于伊朗“震网”事件，2010年一种名为“震网”的蠕虫病毒入侵了伊朗布什尔核电站，“震网”蠕虫病毒侵入西门子为核电站设计的工业控制软件，意在夺取核电设备的控制权。造成20%的离心机报废，伊朗大约3万个网络终端感染。

“震网”事件震动了中国。伊朗“震网”事件发生后，2011年9月，工业和信息化部出台了《关于加强工业控制系统信息安全管理的通知》。要求加强国家主要工业领域基础设施与工业控制系统的安全保护工作。

在2013年2月财政部印发的《中央国有资本经营预算信息安全保障能力建设专项资金管理暂行办法》（征求意见稿）中，首次明确将重点基础行业的工业控制系统安全防护产品开发及产业化项目纳入支持范围。种种迹象表明中国政府对工业控制系统的自主、安全、可控高度重视。

2014年12月2日，全国工业过程测量控制和自动化标准化技术委员会发布了《工业控制系统信息安全》系列国家标准，这是我国工控领域首次发布的正式标准，标准的发布填补了我国针对工控领域无标准作为依据进行系统和产品评估和验收的空白。标准的主要内容包括安全分级、安全管理基本要求、技术要求、安全检查测试方法等基本要求，适用于系统设计方、设备生产商、系统集成商、工程公司、用户、资产所有人以及评估认证机构等对工业控制系统的信息安全进行评估和验收时使用。这个系列标准的发布，对今后建立国际领先的工业控制系统信息安全评估认证机制，形成我国自主的工业控制系统信息安全产业和标准体系，保障国家经济的稳定增长和国家利益的安全，具有现实意义。 标准将于2015年2月1日起实施。

除《工业控制系统信息安全》的发布，2014年在我国工控安全领域还有几件大事。在这一年突然出现了接近10家专业的工控安全解决方案厂商，在2014中国互联网安全大会中工控安全第一次以独立论坛的方式亮相，“工业控制系统信息安全技术国家工程实验室”在电子部六所揭牌成立。

但根据工控网最新调查数据显示，2014年国内工控安全市场总额才不到2亿元。工控安全厂商北京威努特技术有限公司CEO龙国东表示，客观来看国内工控安全市场还远没有形成真正的产业化，对于中国这样一个制造大国来说，工控安全的投资跟整个国家工业自动化设备的投资比例是严重失衡的，我国一年的工业自动化投资总额超过3500亿，而工控安全的投资才2亿，占比还不到千分之一！对比传统IT安全的投资比例来看，一般安全设备的投资最少应该占到设备投资总额的5%，国外最高可能占到10%。另外，我国工控安全市场从2012年开始发展，历经三年，整个市场还是非常小，离规模化、产业化的目标仍相差甚远。

“裸奔”的工控系统

根据美国国土安全部（DHS）所属的工业控制系统紧急应变小组（ICS-CERT）对外揭露，仅在2014年1到4月，美国重要关键基础设施单位已经发生二类、共3起安全事件。第一类受害事件发生的原因不仅在于工控设备连网或者允许远程登录，更甚至上述工业控制系统密码设定都属于弱密码。黑客透过暴力破解的方式，取得工控设备上的弱密码，藉此获得受害主机的访问权限。

另外一类受害事件，黑客同样透过复杂的攻击手法，经由调制解调器连接上SCADA（监测控制和数据采集）通讯端口，而这台被入侵的工控系统不仅没有防火墙的基本防护，甚至连登入系统权限也都没有进行严谨的存取控管，直接连接对外网络。当黑客取得该工控系统的主控权后，意味着这台不设防的连网设备已经被黑客全权掌控，和内部所有的定期维护计划脱节，包括弱点更新或者是升级与否，都由黑客决定。

无独有偶，上面提到的海康威视监控设备的安全隐患也与用户的使用习惯有关。海康威视副总裁、萤石CEO蒋海青对媒体表示，安全隐患是因为用户忘记更改初始密码。而未修改初始密码，是监控设备最常见的安全隐患，同一厂商生产的设备初始密码往往是固定的，很容易被破解。

与居心叵测的黑客相比，使用者的疏忽则更加可怕，缺乏安全防护的工控系统就像是在 “裸奔”。

传统的工业控制系统网络，安全防护多采用的是隔离网关加杀毒软件的方式：控制网对外基本“与世隔绝”，内部被认为是一个完全可靠的安全网络；各功能区域之间很少进行信息传递，就像是个世外桃源。同时，各个主机由于系统漏洞长期不打补丁、杀毒软件病毒特征库长期得不到升级，处于“夜不闭户”状态的工控网络，内忧比比皆是。

如今，在大数据，物联网大行其道的情况下，为了方便数据采集与监控系统更好地收集数据，并同时确保各组件之间通信的顺畅，工业控制系统的网络架构在不断地更新换代中正在变得越来越开放。然而，这种开放在为工业用户提供方便的同时，也降低了工业控制系统与外部网络的隔离程度。开放性的提高使得工控系统在面对具有针对性、不断升级的攻击时显得愈发脆弱。过多地重视它的开放及兼容程度所带来的效率和实时性，安全性则被置于次要地位。当系统的高可用性和业务的连续性成为系统的关键设计理念时。工控系统就更加难以形成有效的工业安全防御和数据通信保密措施了。在这种情况下，“裸奔”的工控系统就像是羊遇上了狼，无路可逃。

减少不可控元素

在很多行业里，工控系统是企业运营最重要的部分。由于这些系统的专业性与复杂性，很多工控系统并不是由企业的IT部门来管理的。这也使得传统的网络安全管理和风险管理并不涵盖这一部分，而有些工控系统甚至是由企业外的第三方来通过远程进行管理和维护的，这往往成为企业信息安全的一个薄弱环节。工控网的运维外包非常常见，比如一座大厦的自动化系统可能就是外包给第三方的。企业应该意识到，工控网的运维外包同时也把工控网的安全交给了第三方。

而对于我国而言，工业控制系统安全所面临的形势则更为严峻。这首先便涉及到自主可控的问题。如果自主水平很低，在不可控的情况下，所面临的风险也会更大。而据相关调查统计结果显示，全国5000多个重要的工业控制系统中，95%以上的工控操作系统采用的是国外产品。关键产品和高端服务严重信赖进口，让安全隐患更为严重。据中国南车股份有限公司副总工程师兼信息技术部部长符刚透露，发改委正在对此组织相关企业进行安全项目。

同时，失去了安全方面的主控权，国内信息安全厂商很难与众多厂商及产品进行合作，难以构建完善的工控安全防护体系。

因此，工控安全不但是国际国内IT市场的关注热点，更是政府、军队、公共服务业、能源、制造业等未来的安全核心。目前工业控制安全方面最大的隐患是很多企业还没有意识到工控系统安全性的脆弱和严重，企业重视程度不够，研发投入不足。所幸在能源、电力等关键部门迫切的工控系统安全整改需求推动之下，我国工控系统安全市场快速扩大，吸引了大量传统IT信息安全厂商进入，企业对工控安全也日益重视。而在国家层面“自主可控，安全可靠”也已成为工控信息安全发展的技术指导思想，“工业4.0”下的全新安全蓝图逐渐清晰。