工控安全治理新思路..docx

工控系统安全治理新思路绿盟科技 张旭 向智关键词：工业控制系统、漏洞摘要：随着工业信息化进程的快速推进，信息、网络技术在工业控制领域得到了广泛的应用。工业控制系统逐渐打破了以往的封闭性，这使得工业控制系统也必将面临黑客入侵等传统的信息安全威胁。本文分析了工业控制系统面临的安全威胁，以及现有工业控制领域安全工作的进展。然后提出了我们应对工业控制系统安全问题的解决思路，从根本上发现并解决工业控制系统安全问题。工业控制系统安全威胁随着工业信息化进程的快速推进，信息、网络以及物联网技术在智能电网、智能交通、工业生产系统等工业控制领域得到了广泛的应用，极大地提高了企业的综合效益。为实现系统间的协同和信息分享，工业控制系统也逐渐打破了以往的封闭性：采用标准、通用的通信协议及硬软件系统，甚至有些工业控制系统也能以某些方式连接到互联网等公共网络中。这使得工业控制系统也必将面临病毒、木马、黑客入侵、拒绝服务等传统的信息安全威胁，而且由于工业控制系统多被应用在电力、交通、石油化工、核工业等国家重要的行业中，其安全事故造成的社会影响和经济损失会更为严重。出于政治、军事、经济、信仰等诸多目的，敌对的国家、势力以及恐怖犯罪分子都可能把工业控制系统作为达成其目的的攻击目标。根据ICS-CERT（US-CERT下属的专门负责工业控制系统的应急响应小组）的统计，自2011年以来，工业控制系统相关安全事件数量大幅度上升。虽然针对工业控制系统的安全事件与互联网上的攻击事件相比，数量少得多，但由于工业控制系统对于国计民生的重要性，每一次事件都会带来巨大的影响和危害。现有工业控制领域安全工作进展工业控制系统脆弱的安全状况以及日益严重的攻击威胁，已经引起了国家的高度重视， 甚至提升到‘国家安全战略’的高度，并在政策、标准、技术、方案等方面展开了积极应对。在明确重点领域工业控制系统信息安全管理要求的同时，国家主管部门在政策和科研层面上也在积极部署工业控制系统的安全保障工作。自2013年以来，工业控制系统的安全问题在国内许多信息安全相关的技术大会上作为重要的研讨议题频繁出现，已成为工业控制系统相关的各行业以及信息安全领域的研究机构、厂商所关注的热点方向之一。同时，国家在政策订、技术标准研制、科研基金支持、促进行业内合作等方面也再逐步加大推动的力度。其中很对厂商在工业控制领域安全工作进展也十分明显。工业控制系统制造商随着工业控制系统安全问题越来越受关注，各个工业控制系统制造商也将工业控制系统安全工作纳入其工作范畴之中。在研发制造阶段，很多制造商引入安全评估机制，对其生产的工业控制设备进行安全评估。目前以西门子、施耐德、罗克韦尔等为主的国际大型工业控制系统制造商都已经在积极的进行工业控制系统安全研究。以西门子为例，西门子中国研究院成立了信息安全部，专门针对工业控制系统进行安全研究工作。西门子提出了纵深防御的安全理念，将工厂安全、网络信息安全、系统完整性统一考虑，形成解决方案。西门子工业信息安全体系但是可以看到，西门子的工业信息安全虽然宣称贯穿自动化系统所有层级，但主要针对的是西门子自身的设备产品，给出了基于访问控制、密码保护在内的信息安全解决方案。施耐德、罗克韦尔的情况与西门子比较类似，均提出了针对自身产品的工业控制系统信息安全解决方案。从总体上看，先进的工业控制系统制造商都能够提出自己的工业控制系统信息安全解决方案。但是这些制造商做这项工作也有其不足之处：各个厂商需要在IT安全领域与各种传统IT安全厂商合作才可以实现其信息安全解决方案。而更为关键的OT安全领域，这些制造商仅能够针对自身产品提供解决方案，无法提供跨厂商的OT安全解决方案。工业控制安全供应商目前也有很多重点在工业控制安全开展工作的厂商，这些厂商主要为工业控制系统用户提供通用的工业控制安全产品或服务。提供工业控制产品的典型厂商如海天炜业、力控华康等厂商。这些工业控制安全供应商一般在工业控制领域都有技术积累，因此能够快速推出工业控制安全设备。但由于这些厂商在信息安全领域的积累不足，所以推出的安全设备主要为访问控制类产品，如工控防火墙、工控隔离网关等。Tofino工业防火墙工业控制系统安全治理的治本之道工业控制系统面临更加苛刻的安全性要求在工业控制系统中，无论是一次系统还是二次系统，以及间隔层还是过程层，业务的连续性、健康性是至关重要的，尤其对石化、电力、交通、核工业、水利等行业的核心监控、生产系统。而工业控制系统由于其长期封闭、独立的特性，造成了在安全方面建设的欠缺，不具备更多的容错处理，比如异常指令的处理，不具备较大压力的处理，比如快速数据传输、访问等。在Gartner报告中，总结了工业控制系统安全性相比IT环境的一些区别性特性：工业控制系统安全问题将直接对物理环境造成影响，有可能导致死亡、受伤、环境破坏和大规