【中國傳動網 行業動態】 臺積電遭病毒攻擊事件再次敲響了工業互聯網安全的警鐘。據臺積電方面確認，此次病毒是勒索病毒WannaCry的變種。該病毒自去年5月肆虐全球，對150個國家的用戶造成超過80億美元的損失。臺積電事件主要是因為新機臺安裝過程中發生的操作失誤：未先隔離并確認無病毒的情況下聯網，導致病毒快速傳播，影響生產。

“臺積電事件雖然發生在工控系統內，本質實為一般病毒引起的操作站故障。但這次事件的發生也表明：即使是普通病毒的攻擊，也可造成嚴重的生產事故。如果是更強大的工控系統專有病毒，多數公司是沒有抵抗力的。”中控集團創始人褚健接受《中國經濟周刊》記者采訪時說。

國內工業互聯網第一股東土科技董事長李平認為，臺積電事件是對全世界、尤其是制造業大國中國的一個警示：“與民用互聯網不同，工業互聯網牽涉到國家安全等核心利益。因此，與民用通信相比，機器之間的工業通信的安全性要求也更高，除了安全技術標準高，還必須自主可控。”

勒索病毒波及多個行業

在勒索病毒WannaCry的肆虐之下，即使是像法國雷諾這樣的大型汽車集團為了防止勒索病毒感染擴散也不得不因此被迫關停。

工業控制系統安全國家聯合實驗室主任、360企業安全集團副總工程師陶耀東接受《中國經濟周刊》記者采訪時介紹，超過100個國家的上千萬臺電腦被WannaCry病毒感染，很多系統癱瘓，“尤其是對工業生產系統造成的破壞尤為嚴重，法國汽車制造商雷諾集團的部分生產線受到感染，為了防止勒索病毒感染進一步在其生產內網擴散，其世界多處汽車生產線被迫關停。”

不止于此，羅馬尼亞汽車制造商達西亞公司位于米奧維尼的生產線部分IT系統也被勒索病毒感染，并隨即停止生產，關閉所有生產線，采取隔離、打補丁等各種措施防止病毒擴散；日本汽車制造商NISSAN位于英格蘭的桑德蘭工廠同樣也遭到勒索病毒的攻擊，其生產也受到了影響。

在國內，僅360企業處理過的勒索病毒感染事件，就涉及汽車生產、智能制造、電子加工、煙草等領域的10余家單位，規模最大的涉及2000多臺工業主機，重要生產線停產。

在陶耀東看來，安全事件暴露出的主要問題是企業的工業資產不清、工業網絡連接混亂、移動介質疏于管理、工業網絡缺少安全監測防護措施以及員工網絡安全意識普遍不強等。

“這也是現狀，我國的工業系統普遍處于沒有任何防護手段的裸奔狀態，企業甚至不了解自己的工業系統資產以及系統之間如何互聯，對于勒索軟件危害與安全事件發展趨勢和應對策略更是缺乏了解。”陶耀東提醒，在勒索軟件攻擊日益頻繁、各類網絡危害日益嚴重的背景下，不排除將來爆發更大范圍的勒索類惡意軟件或網絡危害事件，甚至發展為以商業攻擊或破壞為目的、定點投放勒索或破壞類惡意軟件的攻擊方式，進而可能給企業造成毀滅性打擊。

企業對工控病毒有無抵抗力

相較于消費類互聯網，工業互聯網安全影響面更大。

“臺積電遭攻擊屬于傳統互聯網威脅對工控系統的一次誤傷，而非典型的工控安全事件。”在褚健看來，典型的工控系統安全事件當屬2010年伊朗的“震網事件”。外媒報道稱，伊朗購買的幾十臺離心機的工控系統多次被震網病毒攻擊而癱瘓，對其國家安全造成嚴重影響。

褚健說，工控安全不同于傳統信息安全，針對工控系統攻擊的發起者通常存在一定的戰略目的，而非簡單的利益需求。工控系統的攻擊分顯性和隱性兩種，顯性如破壞關鍵設備，隱性如長期潛伏，篡改生產工藝，破壞產品品質。前者會導致國家關鍵基礎設施受到破壞，引起社會恐慌，威脅國家安全；后者會對企業造成不可估量的損失，且不易被發現。“兩類攻擊都會破壞工控系統的原有控制邏輯，多數是有組織、有預謀、有針對性的‘特殊任務’。”

“我國曾經發生過多次生產安全事故，但安全事件一般被認為是操作失誤或者設備缺陷導致，很少從工控信息安全的角度去分析。”褚健認為，這恰好符合工控專有病毒（工控專有攻擊行為）的特征：以破壞生產安全為目的且十分隱蔽。工控專有病毒可直搗控制系統核心控制區域，在造成破壞的同時不留痕跡。他希望有關方面吸取教訓，更加重視工業信息安全。

長期關注工業互聯網發展的中發智造總裁邢鳳祥對《中國經濟周刊》記者說，很多工業領域的安全建設幾乎為零，聯網后的絕大部分工控系統是“零防護”裸露在互聯網中，極易成為病毒的主要攻擊目標。

自主可控是安全核心

面對已經到來的數字時代和更多未知的安全威脅，如何構建工業互聯網安全體系？

褚健認為，要改變過去“先生產、再安全”的工控安全實施策略，要讓安全建設與工業互聯網同步發展。與此同時，從國防、工業等戰略安全角度去分析問題，從工控系統安全產業與服務一體化的角度去解決問題，防控工業互聯網安全風險。

需要注意的是，我國工業控制系統安全產業鏈尚未形成，缺少符合各層級工業企業和工程的工業信息安全整體解決方案，尤其是針對工控系統的安全。電廠電網、石油煉化、重大水利工程、城市與軌道交通、輸油管線、國防裝備以及其他重要基礎設施，目前仍大量使用國外控制系統。

“當然，工控系統網絡安全問題不能一概而論，建議從國家安全需求出發，對工控系統網絡安全進行分類；建設國家級工控網絡靶場，提供開放的環境體系化、全生命周期研究工控安全。”褚健說。

陶耀東也建議，工業企業要從戰略層面高度重視網絡安全，制定安全戰略，盡快開展企業資產和脆弱性識別，進行威脅建模。根據面臨的風險級別和企業的能力，采取措施以消除隱患；政府應加強管理、監督和指導，出臺相關安全方面的法律法規；工業控制系統生產商、集成商和服務商，信息安全廠商等要加強工業網絡安全研究和投入，提升保障能力。

“網絡安全的核心是技術安全。”中國工程院院士倪光南日前在一論壇上指出，我國應將自主可控作為技術安全和網絡安全的必要條件。“過去對自主可控沒有制度保證，中興事件是一個教訓。”

同樣持“自主可控”觀點的還有東土科技董事長李平，他對《中國經濟周刊》記者說：“說一千道一萬，工業互聯網是未來，是必然要做的。其最大的風險是能否做到自主可控。不然，做的越多，風險越大。”