基于工控全生命周期安全的冷思考

北京神州绿盟安全科技股份有限公司 王晓鹏

基于工控全生命周期安全的冷思考

北京神州绿盟安全科技股份有限公司 王晓鹏

1 工控生命周期的安全之殇

1.1 工控系统全生命周期

工控系统生命周期包括设计阶段、选型阶段、测试阶段、建设阶段、运行阶段、检修阶段以及废弃阶段。如图1所示。

图1

当从信息安全的角度去考虑整个工控系统安全的时候，到底信息安全的因素或者要素在其中应该占据怎样的位置，其实是我们应该思考的问题。

1.2 工业信息安全 逐步引起关注

工业领域中我们以前经常会提到功能安全，功能安全的标准等各方面在国内都发展得比较健全，而相对于功能安全而言，在整个工业领域中使用相关信息安全技术来保障生产系统安全的企业相对比较少，相关的技术应用还不是很普及。然而，随着两化融合的深入，“中国制造2025”等国家战略的启动，IT技术越来越多地被应用到工业控制系统中，并且已经和工程技术进行了深度的融合，成为提高工控系统效率的重要技术手段，这使得信息技术与工程技术融合的趋势越来越明显。

但遗憾的是，我们涉足信息安全领域却并不是很深。伴随着信息技术与工程技术的深度融合，专门针对工业控制系统的攻击行为已经给实际的生产和业务带来影响，如震网病毒事件、乌克兰电力攻击事件。从攻击手段的变化看，内外网结合的渗透技术与社工手段的结合、生产工艺过程与攻击过程的结合、漏洞利用与后门利用的结合，成为工控安全面临的主要安全挑战。

1.3 工控系统全生命周期中的安全缺失

图2

在整个工控系统生命周期当中，目前仍然是以功能实现为主要的考虑方向，缺乏相关的信息安全要求。从设计阶段看，因为缺乏相关的安全性要求，在实际设计过程中就不会考虑安全性与业务的融合。从已看到的工控系统的漏洞及安全事件分析看，前期设计上安全性考虑的不足，使安全隐患伴随系统的出厂及客户现场的部署被引入到了实际生产过程中。从信息安全技术与工控系统融合的角度考虑，现阶段信息安全的技术手段和实际工控系统本身对安全的需求还存在差异，已有的这些信息安全的技术手段，加上工业控制系统，就是工业控制系统信息安全，从内涵到外延，其实在现阶段的工业控制系统环境中和传统的工业控制系统环境是存在较大差异的。

设备在上线的时候，都要进行相应的功能符合度测试，如系统在上线之前必须达到运行168小时稳定运行的要求。但在验收环节中缺乏相关的信息安全要求，相关的风险有可能会引入到工控系统中。一些行业如电力系统也在逐步考虑从上线验收测试阶段融入相关的信息安全要求。验收环节中引入信息安全的要求，可以在一定的限度内保障上线的工控系统的安全性。

从运行阶段看，工控系统因在设计阶段缺乏相关安全性的设计，在整体系统上线后，缺乏有效的防护和监测技术手段。系统的脆弱性一旦暴露，在缺乏有效防护时，攻击会渗透到系统内部；在缺乏有效的监测技术手段时，就会出现“无痕”攻击，无法有效溯源。

运维过程当中是有很多要求的，比如U盘、移动硬盘的使用都是有规范的，但是如何执行，如何用有效的手段监督执行，现阶段比较缺乏。

在系统生命周期结束后，如何有效地把剩余信息进行保护，如一些关键设备的配置文件等内容的保护，从现阶段的废弃系统的处置方式看，仍然缺乏手段，这会导致相关的工艺、配方和核心技术内容被窃取等。

2 工控安全生态圈亟待形成

工控安全生态环境的建立，需要实现跨领域、跨行业的多方位合作，包括国家、行业监管部门、工业控制系统企业（用户）、工业控制系统提供商、信息安全提供商等。

工控系统用户主要在运营方面做出努力： （1）制定人员、系统管理制度及规范，明确职责、提高安全意识；（2）建立基于工控系统生命周期的安全风险监测、管控及应急响应体系；（3）系统上线前安全检查及检修阶段的安全风险再评估及整改……

国家/行业监管部门应该充分发挥监管工作：（1）政策、法规、标准、规范；（2）行业安全监管及安全检查；（3）基于行业的工控漏洞发布机制、建设并维护漏洞信息共享平台……

信息安全厂商和工控系统厂商则主要负责服务方面的工作。

从信息安全厂商的角度来讲，应开展：（1）工业控制系统安全相关的技术研究、产品开发及安全解决方案的提供；（2）提供工控系统脆弱性监测、分析及风险评估服务，更新行业漏洞库；（3）协助国家行业监管部门进行安全检查或协助用户进行安全整改。

从工控系统厂商的角度来讲，应开展：（1）工控系统脆弱性的发现、分析及解决方案（安全补丁等，需经过指定第三方验证）提供；（2）支持行业漏洞库的漏洞信息更新；（3）为工控企业用户进行系统安全整改提供技术支持……

应该说目前的生态结构正在如图3所示的循环中积极探索。

图3

3 冷静思考，积极应对

3.1 产业热度持续增温

工控系统信息安全市场这几年很热，但相关厂商获得的收益其实是相当有限的，我们认为有几方面原因，比如说，很多行业，工控安全厂家进不去，门槛摆在那里。又比如，虽然有实际的政策引导存在，但工业企业的业务需求并不紧迫，毕竟以前工厂里并没有发生过工控系统信息安全事件。资本层面近年来对工控系统信息安全非常关注，但是究竟这个行业将会为资本市场带来多少价值目前还没有完全体现出来。

3.2 实际应用仍然以边界为主

工业控制系统一直都主要是以边界防护为主，但我们看到像发改委的14号令（国能安全36号文），对发电控制系统有了综合防护的要求，体现了从边界防护单纯的要求向纵深防护的发展方向。另外一个发展的方向就是内生安全，从边界防护到工业控制系统自身的内生安全，这也是一个重要的发展方向。

3.3 IT与OT融合的方向发展

IT系统必须与OT系统进行融合，如果不进行融合的话，那么IT系统想做到工业控制系统里面，对工业控制系统应用有一些帮助的话，也会比较困难；同样，工业控制系统里面的数据如果若真能起到提升自身安全防护能力的作用，它也需要和安全系统进行深度的适配。

3.4 他山之石可以攻玉

德国弗劳恩霍夫协会之前提出了几点关于德国未来发展的关

键点：

云安全。云计算是信息技术资源的下一次革命，硬件和软件向云端转移将成为新的信息技术范式。借助云计算，企业能够大幅降低成本。由于许多潜在用户对云安全有所顾虑，导致拒绝使用云技术，云安全研究势在必行。其研究重点应包括安全规则建模、用于安全规则建模和可信评测的衡量标准、云端环境的认证信息管理、云计算中心威胁评估模型、安全虚拟环境机制、隐私保护技术、信任与策略管理、固定设备和移动设备通过云设施的安全同步、高度敏感信息的云利用模式和方法、云端恶意软件的识别和处理、云服务供应商审核控制机制等。

信息物理融合系统（CPS）。信息物理融合系统是嵌入式系统，借助传感器或制动器来评估和储存信息，通过网络连接和人机接口实现交流。信息物理融合系统用于数据和信号加工，已广泛应用于航空航天、汽车制造、化工、能源、医疗卫生、生产及自动化、物流、终端服务等领域。随着其性能的增强和联网程度的提高，迫切需要新的技术和方法满足它在安全和保护上的需求。其研究重点包括网络化智能交互技术的安全、特殊密码程序和安全技术、软硬件结合的安全机制、受到攻击时的紧急应对、安全等级标准检测方法、分布式智能传感机制等诸多问题。

数据保护和隐私管理。个人信息非法交易问题日益凸显，许多大公司，如银行和通讯公司，都遭遇到了这样的问题，这不仅损害公司形象，而且导致经济损失。个人信息保护已成为科研与社会的核心话题。

能源生产和供应。能源互联网是极其重要的基础设施，智能电网的发展要求必须注意新的风险。从电力生产者、储存者、电网到终端用户的相互联系，再到管控，智能电网意味着各环节之间存在更多的交流，也会产生更多的未知风险。该领域的研究重点是实现智能电网的建立和保证智能电网的安全。

预警系统。随着网络的发展，各种恶意软件不断出现，信息系统运营者已很难及时告知新的威胁并予以保护。使用信息预警系统及早应对网络意外情况至关重要，在这方面还有很多问题有待解决，例如新兴应用领域预警系统、僵尸网络问题。

信息技术取证。网络作案者会留下痕迹。信息技术取证的任务就是发现、确定并分析这些痕迹。主要研究任务包括：研发可针对各种媒体类型自动高效识别禁止内容的程序以及在删除信息后从信息碎片中识别禁止内容的程序；对大数据快速分类以及在大数据中快速自动检索图片和视频内容的办法。

交通信息技术安全。越来越多的汽车功能通过软件实现。汽车联网并且车联网将逐渐对外开放，既会给汽车制造商、供应商和服务商带来许多安全问题，又带来了新市场和新机遇。

综上所述，这是一套针对一个国家在工业发展过程当中他所需要具备的几方面的能力，我想中国也是可以借鉴的。

3.5 关注点与需求点

功能安全应该是一个大安全。功能安全如何与工控信息安全融合？也就是说功能安全和工控信息安全之间有一个什么样的协调关系，可能是今后我们需要探讨的话题。

在这个过程中，工业大数据、工业云的技术的应用都可以作为我们在故障诊断方面的一个很重要的输入，很多的工业现场中的故障问题，有些时候是本身的故障问题，有些时候是网络问题引发的。但这些问题与信息安全之间是否存在一定的关联关系，现有的信息安全技术如何与这些内容进行融合是我们需要思考和认真对待的。

4 绿盟持续研究工控安全

北京神州绿盟信息安全科技股份有限公司（以下简称绿盟科技）成立于2000年4月，总部位于北京。在国内外设有30多个分支机构，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户，提供具有核心竞争力的安全产品及解决方案，帮助客户实现业务的安全顺畅运行。

基于多年的安全攻防研究，绿盟科技在检测防御类、安全评估类、安全监管类等领域，为客户提供入侵检测/防护、抗拒绝服务攻击、远程安全评估以及Web安全防护等产品以及专业安全服务。

近年来，绿盟科技持续深耕于工控信息安全领域，我们先后发布了：《2013工业控制系统及其安全性研究报告》、《2014工业控制系统的安全研究与实践》、《2014 ICS SECURITY REPORT》、《2015绿盟科技工控安保框架》。

同时，绿盟科技的研发实力较强。绿盟科技安全研究院始终致力于跟踪国内外最新网络安全漏洞研究动向，持续开展漏洞分析和挖掘、逆向工程技术等安全专项研究，不断提高在入侵检测和防御、抗分布式拒绝服务、恶意软件和攻击行为分析和检测、蜜罐和蜜网等方面的技术水平。同时，在云安全和虚拟化安全、基于软件作为服务（SaaS）模式的新型安全服务、安全度量、安全信誉、安全智能等前沿安全领域进行积极的研究探索。

（本文根据王晓鹏在“互联网+工业大数据暨工控安全产业发展2016高峰论坛”中的报告整理）