工业信息安全思考与建议

刘丽华

摘 要：工控系统主要是指使用计算机技术、微电子技术、电气手段，使工厂的生产和制造过程更加自动化、效率化、精确化，并具有可控性及可视性。随着“互联网+”的发展，工控系统互联网的接入带来了工控信息的安全问题。为此，文章分析了工控系统安全问题及解决建议。

关键词：工控系统；信息安全；管理建议

1 工业信息安全形势

随着我国企业两化融合不断深入，工业控制系统智能化、网络化趋势日渐明显，工业互联等新兴生态给工业信息安全带来了新的威胁与挑战。“震网”病毒攻击伊朗布什尔核电站、俄罗斯利用“Black Energy”攻击乌克兰电网系统、全球大规模爆发勒索软件“Wannacry”感染等一系列网络安全事件的频发、供应链安全风险的凸显、全球数据泄露问题愈演愈烈、安全漏洞频出，危及工业互联网，昭示工业控制系统正面临前所未有的信息安全威胁，严重威胁着国家的安全和利益，保障工业控制系统的安全任务迫在眉睫。

2 工业信息存在安全问题

2018年初，国家工业信息安全发展研究中心对江苏省企业开展了工业控制系统安全检查，从各企业自查统计情况分析发现，企业大部分工控系统都面临着安全风险，主要风险是表现在以下几个方面。

2.1 工业协议的风险

工控软硬件产品在设计之初主要是为了保证生产的连续性与稳定性，工业协议（如：S7，Modbus，IEC104等）设计时的安全性与可用性之间进行取舍，牺牲了安全性。

2.2 控制设备风险

目前，工业产线采用的工业控制设备基本上都是来自国外的厂商，依赖进口，核心产品自主可控度低。国家工业信息安全产业发展联盟发布的《2017年工业信息安全态势白皮书》显示，国产数据库仅占据7%的低端市场，数千个工控系统由外国厂商提供运行维护，大量企业不具备自主维护能力，同时缺乏对外国产品和服务的监管。如西门子、施耐德、艾默生、霍尼韦尔等，这些控制设备在设计时更多考虑的是实现功能，安全考虑不足，存在很多高危安全漏洞，有的甚至存在后门，一旦被攻击利用会导致很严重的后果；设备厂商的维保人员对工控系统控制权非常大，在部分企业，工控系统控制室的门禁卡甚至都掌握在外方手中。

2.3 操作系统风险

操作员站、工程师站、工业服务器大量使用微软Windows系列操作系统，存在大量安全漏洞且甚少打补丁，尤其是目前常用的老旧Windows系统，如WindowsXP，Win2000，Win200等，微软已经停止技术支持，面临无补丁可打的困境，容易遭受高级持续性威胁（Advanced Persistent Threat，APT）攻击。

2.4 应用软件风险

工业网络中使用的各种组态软件存在着大量的安全漏洞，如Sixnet，iFix，SIMATIC，HollySys等，这些组态软件都已经暴露出大量的高位漏洞，严重影响安全生产，通过这些漏洞可以对工控系统进行有针对性的攻击。

很多系统和设备没有防护软件，也不能安装杀毒系统，一旦上了网就处于“裸奔”状态。

2.5 病毒传播风险

工业系统网络中的一些主机、服务器存在病毒。通过对这些病毒的入侵途径分析，发现这些病毒的传入途径多为移动存储介质的滥用造成的。

在企业中，因私人行为暴露并感染病毒的情况也较为多见，例如，个人通过工控设备违规上网，或是厂商的维护人员电脑感染后造成设备系统全网感染病毒等。

2.6 错误操作风险

操作风险是指由于信息系统或内部控制缺陷导致意外损失的风险。引起操作风险的原因包括：人为错误、电脑系统故障、工作程序和内部控制不当等。工业产线中上位机操作工程师权限过大，通过上位机直接发布操作指令、组态变更、程序安装等关键行为，无操作或恶意操作导致错误生产，从而造成生产损失。

2.7 管理缺失风险

由于工控系统的专业性与复杂性，很多工控系统并不是由企业的IT部门来管理的。这也使得传统的网络安全管理和风险管理并不涵盖这一部分。而有些工控系统甚至是由企业外的第三方通过远程进行管理和维护的，这往往成为企业信息安全的一个薄弱环节，以致于工控系统安全管理相对薄弱，缺少必要的管理制度、规范、标准。

2.8 人员意识风险

对工控系统信息安全问题不够重视，安全责任意识、风险意识不足。多地区、部门、工业企业对工控系统信息安全重视不够，重发展轻安全，漏洞不重视、修复不及时现象普遍存在。据360补天漏洞响应平台统计，所有工控信息系统漏洞中，25.6%的漏洞未进行修复，一些行业漏洞平均修复时间长达数月之久。

2.9 防护技术较为落后，人才匮乏

工业信息安全防护技术较为落后，人才匮乏，难以与网络攻击相抗衡。国家工业信息安全发展研究中心通过安全监测发现，工业企业信息安全应急备灾手段不足，约70%的被调查工业企业缺少完善应灾备灾体系。公共信息安全人才是自动化和网络安全人才的复合型人才，缺口巨大，在高校中没有工业控制领域的硕士、博士培养方向，工业信息安全从业人员几乎都是在实战中学习。

3 提高工业信息安全的建议

保障信息安全要着重从国家重点行业领域入手，尤其是公共通信和服務、能源、交通、水利、公共服务、电子政务等重要行业和领域以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国际名声、公共利益的关键信息基础设施，关键工业控制系统等大力提升其信息化水平，鼓励和支持将信息安全产品和服务纳入信息化建设预算，建立长期有效的信息安全保障机制。具体而言，提出以下5点建议。

（1）加强企业信息基础设施和重要信息系统建设，建设面向企业的信息安全专业服务平台。重点开展等级保护设计咨询、风险评估、安全咨询、安全测评、快速预警响应、第三方资源共享的容灾备份、标准验证等服务；建设企业信息安全数据库，为广大企业提供快速、高效的信息安全咨询、预警、应急处理等服务，实现企业信息安全公共资源的共享共用，提高信息安全保障能力。

（2）加快推进国内关键行业领域企业信息系统的安全评估测试。在安全评估方面，主要针对企业主机安全保密检查与信息监管，采取文件内容检索、恶意代码检查、数据恢复技术、网络漏洞扫描、互联网网站检测、语意分析等技术，评估分析重要信息是否发生泄漏，并找出泄漏的原因和渠道。

（3）制定信息安全关键技术和重点产品研发计划。针对当前制约信息安全产业发展的关键技术和重点产品，汇聚国家重要资源，制定信息安全关键技术和重点产品目录，并引导企业和普通消费者扩大应用规模。突破一批信息安全核心技术，形成一批具有市场竞争力的产品，建立和推广自主知识产权的标准规范，构建完整的信息安全产品体系和产业链。

（4）强化和落实工业企业责任主体。工控安全是生产经营安全，应当以人为本，坚持安全发展，坚持安全第一，预防为主、综合治理的方针，建立工业企业负责，职工参与、政府监管、行业自律的管理机制。

工业企业应将工控安全上升至生产安全的高度，像管理生产安全一样抓工控安全，建立、健全本企业的工控安全生产责任制，不断完善企业工控安全管理制度，加强企业人员管理、供应链管理及系统运维管理，建立“人防、物防、技防”三位一体的安全防护体系。

（5）加强工业控制系统信息安全防护技术。工控系统信息安全防护技术，可以从工业主机安全、网络安全、设备安全、数据安全4个方面的防护着手。

①工业主机是工业生产控制各业务环节涉及组态、操作、监控、数据采集与存储等功能主机设备载体，包括工程师站、操作员站、历史站、OPC服务器等。通过工业主机的安全防护，做好安全配置（包括身份认证配置、密码策略配置、端口配置、系统补丁升级配置、防病毒软件、应用程序白名单软件、主机外设接口管理软件），避免主机权限被轻易获取、不必要的端口被用于传输恶意程序或指令、高危漏洞被利用等安全风险；做好安全防护设备的应用，避免未授权的程序或服务运行、未授权的外接设备带入恶意程序。

②网络隔离设备是工业企业管理网与生产网、生产网与生产网之间边界隔离的重要防护设备。通过网络隔离技术，确保隔离有害攻击，在可信网络之外和保证可信网络内部信息不外泄的前提下，完成网间数据的安全交换。

③设备安全防护思想是应用安全可控的工控产品，提高应对安全攻击能力，通过设备的安全防护，做好安全配置，避免设备权限被获取且被植入恶意代码；做好安全防护设备应用，通过DPI技术阻止在工业控制设备上下发恶意操作指令的实施。

④数据安全防护技术，包括安全灾备技术、数据安全审计技术、协议安全加密技术（SSL/TLS），通过重要工业数据、关键业务数据的安全防护，确保静态存储、动态传输上数据不被窃取、篡改、丢失和鎖定。

4 结语

总之，在复杂的网络环境背景下，我国工业系统需要顺应时代的发展形势，技术人员应当认真分析当前系统中的安全风险，并将先进的信息安全信息技术应用到工业控制系统中，制定完善的风险防御方案，以此来提高我国工控系统安全的程度，为经济的可持续发展奠定基础并提供条件，为工业系统的高效运行作出贡献。