導讀：近9年多時間里，我國在實施工控系統網絡安全各項工作的同時，也遇到了與互聯網安全、信息系統安全完全不同的困難和挑戰，仍很嚴峻……

來源|浙江大學工業控制系統安全技術國家工程實驗室

作者|馮冬芹

一、工控系統已成為網絡空間安全的重要戰場

2010年，伊朗發生了震驚世人的“震網”（Stuxnet）事件，“震網”計算機病毒攻擊了伊朗納坦茲鈾濃縮基地和布什爾核電站使用的西門子PCS7控制系統，破壞了大量鈾濃縮離心機和布什爾核電站發電機組，導致伊朗核計劃至少被延遲2年。

事件表明，網絡空間的安全威脅已從傳統的互聯網、計算機等虛擬空間迅速延伸擴展至物理世界的工業控制系統。即“計算機病毒”可以在不破壞工控系統本身的情況下，通過操控工業控制系統，引發生產中斷、管道泄漏、環境污染、裝備損毀，甚至可以引發災難事故，導致社會動蕩，國家安全就會受到極大威脅。工控系統已成為網絡空間安全越來越重要的新戰場。人們為區別于傳統虛擬空間的病毒，把“震網”稱為“超級巡航導彈”、“軟件原子彈”，等等。

自“震網”事件之后，針對工控系統攻擊的這種“軟件原子彈”威脅越來越多、離我們也越來越近，甚至原先我們認為物理隔離的工控系統也未能幸免：

（1）如2015年12月，被認為使用專網的烏克蘭伊萬諾-弗蘭科夫斯克地區電力監控系統遭到“BlackEnergy”惡意代碼的攻擊。烏克蘭新聞媒體TSN報道稱：“至少有三個電力區域被攻擊，導致了數小時的停電事故”；“攻擊者入侵了監控管理系統，超過一半的地區和部分伊萬諾-弗蘭科夫斯克地區斷電幾個小時?！盞yivoblenergo電力公司發布公告稱：“公司因遭到入侵，導致7個110KV的變電站和23個35KV的變電站出現故障，導致80000用戶斷電?！?/p>

（2）2017年6月12日，一款針對電力變電站系統進行惡意攻擊的工控網絡攻擊武器Industroyer被發現對烏克蘭電網發起了攻擊。與BlackEnergy不同的是，Industroyer據稱沒有利用任何漏洞，而是利用電力系統自身的工控協議，直接控制斷路器，導致變電站斷電。

（3）2017年12月，一種針對施耐德電氣公司的Triconex安全儀表系統控制器（SIS，SafetyInstrumentSystem）的惡意軟件TRITON被發現。TRITON據稱能修改安全儀表系統（SIS）的表決機制，從而使安全保護功能失效。

此外，由于工控系統在操作人員的界面軟件使用了微軟操作系統，因此針對互聯網、計算機操作系統攻擊的病毒（如勒索病毒WannaCry）對工控系統也多多少少產生了一些影響。

二、我國對工控系統網絡安全給予了前所未有的高度重視

自2010年震網事件發生后，我國從中央、各級部門，到各大企業對工業控制系統網絡安全給予了前所未有的高度重視:

（1）從國家層面，中央不僅成立了網絡安全與信息化委員會，而且先后發布了《關于加強工業控制系統信息安全管理的通知》（工信部協[2011]451號）、《國務院關于大力推進信息化發展和切實保障信息安全的若干意見（國發〔2012〕23號）》等文件，全國人民代表大會常務委員會也于2016年11月7日批準發布了《網絡安全法》，自2017年6月1日起施行，表明包括工控系統網絡安全在內的網絡空間安全已上升到黨和國家、法律的高度；

（2）從國家機關職能上，國家和地方各職能機關、部門都已把工控安全放在十分重要的位置，不僅出臺了相應的文件，而且開展了各種形式的工控安全培訓、大賽等科普活動以及等級保護測評、安全評估、安全檢測、安全檢查等實質性工作；

（3）從標準層面，全國信息安全標委會TC260、工業測量與控制標委會TC124、全國電力系統管理及其信息交換標準化技術委員會TC82等都在工控安全領域開展了大量工作，發布了一系列與工控安全相關的國家標準、行業標準。2019年5月13日,包括云計算、移動互聯、物聯網、工業控制以及大數據安全在內的網絡安全等級保護2.0標準(以下簡稱等保2.0標準)也在眾人期待下正式發布,并將于2019年12月1日開始實施。

（4）從科研組織上，教育部也新設立了網絡空間安全一級學科，各大高校也紛紛成立了相關學院和專業。

（5）從產業組織上，國家工業信息安全產業發展聯盟，工業控制系統信息安全產業聯盟，中國信息安全技術產業聯盟、中國工業信息安全聯盟等發展也很迅猛。

（6）在具體落實層面，各工業企業，特別是各重點基礎設施企業無不紛紛成立了專門的信息安全機構，可見其重視程度。

由此可見，我國已建立起了覆蓋從國家層面、法律、職能機構再到科研、標準、產業和企業等所有層面的工控安全體系，足見對工控安全的重視程度。

三、工控系統面臨的安全威脅仍很嚴峻

當前，隨著“兩化融合”的不斷深入，我國電力系統、石油煉化、水利、城市與軌道交通、輸油管線、國防裝備、以及其他公用工程仍在大量使用的國外控制系統，很難做到與互聯網物理隔離；工控系統的維護、維修也仍然由這些工控系統的生產廠商所承擔，因此面臨的安全形勢依然嚴峻：

（1）來自網絡的遠程攻擊，如通過互聯網、企業內部網、無線網，黑客和攻擊者就可以遠程對工控系統實施攻擊；

（2）通過移動介質的帶入攻擊，如移動硬盤、U盤、光盤、移動終端等；

（3）預埋代碼的潛伏式攻擊，典型的途徑有工程實施時的預埋、通過備品備件的預埋、通過維修維護帶入的預埋。

四、工控系統安全的主要威脅是有組織的專業化攻擊

從技術上看，工控系統所面臨的網絡安全威脅來自于兩個方面：一個是傳統的網絡安全威脅，即利用操作系統、應用軟件的漏洞發起的攻擊威脅。這類威脅主要是針對計算機所使用的計算機操作系統和應用軟件（如辦公軟件、網站軟件等）的漏洞，獲取計算機操作權限，或竊取隱私或敏感信息。

另一個更重要的安全威脅來源于對工控系統及其所控制的生產裝置、生產工藝非常熟悉的有組織的攻擊。從公開的資料可以發現，“震網”雖然利用了操作系統的漏洞，但這些漏洞只是被用于“震網”代碼的傳播，其核心代碼卻是利用了西門子PCS7控制系統和核設施的特性，而發起惡意操控，同時向操作人員界面軟件發送欺騙數據。

由此可見，針對工控系統核心部件攻擊的“黑客”除了要具有一般的計算機操作系統和軟件知識外，更利用了工控系統本身的軟件硬件特性和通信協議、操作指令和基礎設施生產裝置的弱點，導致一般的互聯網安全技術人員難以發現，即具有“高專業性、高隱蔽性、高復雜性、難以被發現、難以被跟蹤”（即“三高兩難”）特性。

五、工控系統安全保護挑戰比一般信息系統大很多

從2010年的“震網”事件至今的近9年多時間里，我國在實施工控系統網絡安全各項工作的同時，也遇到了與互聯網安全、信息系統安全完全不同的困難和挑戰，主要表現為以下幾個方面：

（1）對工控安全的理解，更多還停留在互聯網安全和協議層面

與互聯網系統、信息系統相比，工控系統大多是由傳感器、控制裝置、執行機構等多環節構成的閉環系統，其監控軟件也是供操作員進行工況監視和簡單的操作，工控協議用于傳輸生產過程中的數據。因此，工控系統的網絡安全需要從以上所有要素以及生產裝置本身進行綜合的考慮。

（2）對工控安全惡意代碼攻擊原理和機制的了解有限

如今，各種公開報道、微博等各種社交媒體文件，以及許多文章、報告對工控安全事件的報道較多、技術性分析較少；對工控安全網絡部分威脅的渲染較多，對工控內部的威脅分析較少；對操作系統“漏洞”介紹較多，對工控系統自身軟硬件漏洞分析較少；對操作系統、郵件等的漏洞利用介紹較多，對于工控惡意代碼“長什么樣，什么時候來，什么時候觸發，如何觸發，什么時候離開”等技術問題，研究較少，導致工控安全工作的開展難以深入。

（3）當前工控安全防護措施和產品的有效性有待檢驗

當前，無論是針對工控系統的安全等級保護測評、安全評估、安全檢測、安全檢查，還是各種工控安全產品，雖然形式多樣，但其有效性還遠未得到用戶的認可，尤其是針對工控系統終端設備面臨的安全威脅，“對錯了癥、下錯了藥”的問題至今還未真正得到解決。

（4）工控安全的標準難以在工控系統終端落地

當前，關于工控安全的標準已有很多，如IEC62443國際標準（美國國際自動化協會ISA的ISA99）、美國NIST發布的SP-800.53，以及我國的等保2.0標準GB/T22239-2019《信息安全技術網絡安全等級保護基本要求》等。但在實施過程中，面對運行中的工控系統（尤其是其核心部件的控制器）時，還會遇到“碰不得、摸不得”的尷尬。

（5）工控安全的實施難以得到工控設備生產廠商的配合

工控系統不同于互聯網系統、信息系統，不僅要保證生產過程按工藝設計要求運行在預定的工況，同時還要避免安全事故的發生。換言之，工控系統的生產廠商、集成廠商不僅要對生產過程的連續性、可靠性負責，還需要對生產的安全負責。這是傳統信息安全廠商和安全產品難以做到的。

六、工控系統安全需要注意避免的幾個誤區

如上所述，工控系統的網絡安全需要圍繞控制系統本身與生產裝置安全開展，在實踐中，要注意避免以下幾個誤區：

(1)過于強調基于漏洞掃描的安全防護

如前所述，工控系統設計開發工程師關注的是如何使產品更可靠、可用性更高，所開發的控制算法如何使被控對象更穩定、對外界干擾的魯棒性更高，對網絡安全關注較少，因此其軟件、硬件都存在著這樣或那樣的漏洞。

然而，目前市場流通的漏洞掃描產品僅僅能發現引發工控系統溢出、宕機的漏洞，而像“震網”、Industroyer、TRITON那樣所能利用的漏洞，通過傳統的手段還難以發現。

（2）過于強調補丁升級管理

眾所周知，由于工控系統的軟件硬件之間的耦合非常緊密，使用了大量非私有的協議、技術和功能模塊，一旦沒有經過嚴格測試而給系統打補丁或者版本更新，輕則導致藍屏、重則導致這些組態監控軟件不再可用；而工控系統的重啟是一個極其復雜的過程，一旦不慎，極易導致生產中斷、或因生產設備工藝不匹配而導致裝置損毀。

因此，對于一些重要、尤其是核心基礎設施的工控系統，打補丁、軟件版本更新必須慎之又慎！

（3）過于依賴工控系統的隔離安全

如前所述，隨著“兩化融合”的不斷推進，生產系統與管理系統的互聯已經成為工控系統的基本架構，與外界完全隔離幾乎不可能。另外，維護用的移動設備或移動電腦、備品備件，都可能成為代碼帶入的工具?！罢鹁W”據說就是利用U盤帶入的。

（4）過于高估工業防火墻等傳統防護產品的作用

從目前工控系統的實際來看，工控系統除了它支持的私有協議和公開專用協議之外，其他所有的協議都會被過濾，不會被處理。換言之，工控系統一般都具備了一般防火墻的能力。從這個意義上看，目前市場上所謂的工業防火墻，也僅僅起到應付檢查的自我安慰作用。

(5)過于依賴單向通信隔離裝置

如上所述，針對工控系統的攻擊途徑有多種，有通過網絡遠程實施的，有通過無線接入的，更有通過移動介質、工程實施與維保預埋、備品備件預埋等途徑，單向通信隔離裝置也只能起到一部分作用。

七、工業系統的網絡安全保護必須覆蓋工控系統本身、生產工藝與操作流程等所有方面

從具體實踐來講，對工控系統的網絡安全防護和保護需要從以下幾個層面綜合考慮：

第一層，對工控系統的網絡安全防護和保護，需要覆蓋工控系統軟件、硬件和網絡等所有部件。

第二層，對工控系統的網絡安全防護和保護，需要結合生產工藝與操作流程而開展。

第三層，針對工控系統的網絡安全防護和保護，還必須覆蓋工控系統的設計、生產、調試、工程實施、維修、運行維護等全生命周期的所有環節。

工控系統的網絡安全防護和保護是一個極其復雜的系統工程，需要回歸控制系統的初心、回歸控制系統的本質，從工控系統的軟件、硬件、網絡以及生產工藝、生產流程、生產裝置等多方面同時著手，才能真正有效的對國家重要基礎設施安全進行保護。

聲明：本文為轉載類文章，如涉及版權問題，請及時聯系我們刪除（QQ: 2737591964），不便之處，敬請諒解！