美国工控安全保障体系研究及启示.docx

美国工控安全保体系研究及启示卢 坦1 林 涛1 梁 颂2 / 1中国信息安全研究院 2北京外国语大学俄语学院自2010年首个专门针对工业控制系统的“震网”病毒诞生以来，2011年的“Duqu”、2012年的“火焰”等新型威胁接踵而至，工业控制系统（ICS）面临的安全形势日趋严峻。根据世界最大的工业安全事件信息库（RISI）统计，截至目前，全球已发生了数百起工业控制系统受攻击事件。作为处于工控安全领域领先地位的强国，美国逐步加大工控安全能力建设，凭借其雄厚的信息技术基础和创新能力，率先建设形成了多位一体的工控安全保障体系，并取得了较好效果。美国的很多举措，对于我国加强工控安全建设，具有很好的学习参考价值。美国工控安全保障体系由管理体系、技术体系、产业体系构成。在管理方面，政府给予高度重视，政策、法规、规划等方面均有倾斜支持，并且设置有专门的组织机构提供保障。在技术方面，拥有诸多世界一流的研发实验室，引领着世界范围内工业控制系统相关安全标准的研制，对美国的工控安全保障体系发挥着巨大的支撑作用。在产业方面，拥有强大的研发和产业化力量，诸如爱默生（Emerson）、霍尼韦尔（Honeywell）、罗克韦尔（Rockwell）、通用电气（GE）、西屋电气（WestinghouseElectric）等，且与相关管理机构、技术机构等形成有效配合，成为美国工控安全保障体系中不可或缺的后盾。一、打造运作成熟的管理体系美国政府早在20世纪90年代初便开始关注工业控制系统安全问题。尤其是自1998年首次提出信息安全的概念以来，更是将工控安全视为国家间战略制衡的重要手段。2003年美国将工业控制系统（ICS）的核心——SCADA系统列为国家安全的优先发展领域，2008年更将其列入国家重点保护关键基础设施，逐步将工控系统安防提升至国家战略高度。（一）建立完善管理机制在工业控制系统安全管理领域，美国拥有分工明确、相互协作的管理机构（如图1所示）。在领导协调层，设有统揽工业控制系统安全等国家网络安全事务的白宫网络安全办公室；在落实推进层，相关部门按照职责分工协作，并在国土安全部专门设立了工业控制系统网络应急响应小组、工业控制系统联合工作组等机构。图1 美国工控系统管理体系◇白宫网络安全办公室。美国总统奥巴马于2009年设立网络安全办公室与网络安全协调官，统揽包括工业控制系统安全在内的国家网络安全事务并为总统提供决策建议。网络安全协调官由总统亲自任命，同时作为国家安全委员会和国家经济委员会成员参与制定各种政策。网络安全协调官与总统任命的首席技术官、首席信息官共同构成“三驾马车”。◇国土安全部（DHS）。2002年成立，通过制定相关专项规划等措施，推动工业控制系统领域的信息安全工作，发布《控制系统安全目录》等。该部主要包括四大业务，其中之一便是信息分析与相关基础设施保护，例如负责融合和分析来自其他机构的情报和信息，全面评估相关设施应对威胁的能力。2004年重组后成立国家事故管理系统，并向全国提供相关援助。◇工业控制系统网络应急响应小组（ICS-CERT）。成立于2009年，依据美国计算机应急响应小组（US-CERT）的CSSP项目成立。CSSP项目致力于解决面向联邦、各州地方中所有基础设施与关键资源部门的工业控制系统安全问题。该小组协助US-CERT应对工业控制系统安全，如对工控安全事件进行处理、实施漏洞和恶意代码分析，提供相关态势感知和现场支持等。该小组拥有100名左右员工，主要任务包括派遣人员处理紧急事件、对潜在攻击目标进行预防等。曾在2011年12月公布137个控制系统产品信息安全案例，并对其所提供的安全漏洞补丁程序进行摸底。◇工业控制系统联合工作组（ICSJWG）。属于国土安全部，依据CSSP项目成立，为实际协调的工作实体。发布工业安全事件信息库（RISI）报告，其职能包括促进相关信息共享，加强相关部门和工业控制系统企业的合作，加速工控系统的设计开发等，以降低工控系统的安全风险。自2009年起，该工作组活动为每年春秋举办两次，参加者包括政府部门、产业界和大学等机构人员。该工作组包括六个小组，即情报共有小组、供应商小组、能力开发小组、研究发展小组、ICS规划小组和国际小组。◇国家计算机安全局（NCSD）。隶属于国土安全部信息分析和基础保护委员会，职能包括网络安全协调和集中预防等，曾制定控制系统安全计划（CSSP），自2004年起对多个工控系统开展安全评估，以协调政府部门与工业控制系统所有者、运营商和供应商的工作机制，减少关键基础设施和重要行业领域的安全风险。与此同时，该项计划的支持单位ICS-CERT曾发布《CSSP的推荐实践》。◇国家网络安全中心（NCCIC）。2009年，国土安全部下属的国家数字安全和通讯整合中心