工控系统信息安全思考与建议.docx

1、工控系统信息安全思考与建议目录摘要随着工业信息化、物联网、云计算的快速发展，工控系统在各行各业中都有重要的作用，这也使得工控系统面临病毒、木马、黑客入侵、拒绝服务等信息安全威胁。本文首先介绍了工控系统研究的背景及意义，然后着重分析了工控系统的脆弱性，最后针对工控系统信息安全提出措施建议。关键词：工控系统；信息安全；脆弱性；安全防护；监测预警；体系前言随着“工业4.0”时代的来临、“互联网+”的提出以及“两化融合”脚步的加快，工业自动化与控制网络也向着分布式、智能化的方向迅速发展，越来越多基于TCP/IP的通信协议和接口被采用。然而，在工业控制系统越来越开放的同时，也同步削弱了与外界的隔离和安全

2、保护。因此，企业在享受网络互连带来的种种便利的同时也面临着各种各样的网络安全威胁，包括病毒、木马、黑客以及敌对势力。再加上工业控制系统的漏洞逐年增多，工业控制系统被攻击的可能性变为现实，一旦工业控制系统遭到攻击，不仅导致大规模的财产损失和人员伤亡，甚至可能威胁国家安全。1. 工控网络安全漏洞的分类与标准化管理工业控制系统由各种自动化控制组件和一系列负责实时数据采集、监测的过程控制组件共同组成，目前被广泛应用于电力、冶金、水利、安防、化工、军工以及其他与国计民生紧密相关的重要领域。随着智能制造、工业一体化的不断提高，以及物联网、5G通讯等高新技术的不断推广，越来越多的网络安全攻击的矛头都指向了工

3、控系统，关键基础设施被蓄意攻击的事件层出不穷。其中，最常见的攻击方式就是利用工控系统的漏洞，PLCfProgrammable使用白名单技术有效抵御“零日”漏洞攻击和其它有针对性的攻击，也可以提供程序警报，同时还有利于保持系统以最佳性能运行，从而提高工作效率。对于正在运行的应用、工具和进程来说，白名单技术可以提供对系统的全面可视性，能够帮助抵御高级内存注入攻击。7. 7.态势感知对系统即将面临的攻击做出判断，并对安全态势结果进行等级划分，呈现工控系统的当前安全态势，提供切实可靠的决策依据，从而保障工控系统的安全。7.8. 确定工业控制系统目录，实施分类分级管理一是根据国家系列文件中关于工业控制系

4、统的定义和范围，以及我国工业控制系统承载业务的重要程度，明确划定我国工业控制系统类别和范围，制定我国工业控制系统目录，建立针对工业控制系统核心控制器、工作站、服务器、网络设备和安全设备等资产的认定和清查登记制度，定期开展工业控制系统普查登记工作；二是尽快启动我国工业控制系统网络安全检查，从涉及国计民生的关键业务入手，理清可能影响关键业务运转的工业控制系统，准确掌握我国工业控制系统的安全状况，科学评估面临的网络安全风险，以查促管、以查促防、以查促改、以查促建，同时为构建工业控制系统分类分级安全管理保障体系提供基础性数据和参考；三是充分借鉴国外工业控制系统信息安全分类保护的先进经验和做法，按照国内

5、工业控制系统等级保护相关标准和规定要求，建立适用于我国不同工业控制系统的抗威胁能力分类分级安全管理体系，建立包括信息安全技术标准、信息安全保护计划、信息安全预案等在内的工业控制系统信息安全保护技术框架体系，根据系统特征提供针对性信息安全保护技术方案。7.9. 健全工业控制系统安全监管体系，加大监管力度(1) 建立健全安全监管工作机制成立我国工业控制系统管理委员会，建立高效有力的网络空间协调指挥机制；明确我国工业控制系统安全保护职能部门，具体负责我国工业控制系统的安全防护和管理工作，统筹协调网络与信息的安全保障工作；建立包括自评估、委托评估和检查评估等不同形式的工业控制系统信息安全风险评估制度。

6、(2) 加大工业控制系统安全产品监管与引导工作力度一是建立工控产品分类、优先级采购、测评认证、触发式调查和反调查等内容在内的供应链安全风险管理制度，对投入使用的工控产品进行安全准入认证；二是在当前工控领域国外进口产品依然占据着主导地位的情况下，应制定专门规定，敦促相关供应商及时处理自身产品存在的漏洞、进行系统升级或安装补丁；三是出台激励政策，鼓励单位优先采用性能可靠、具有自主知识产权的国产化工控和安全防护装备；四是适时组织技术交流和调研，引导国外知名工控设备供应商与国内优秀工控安全厂商开展合作。(3) 建立健全工控安全事件应急响应与处理机制建立不同部门主导、不同目的和技术实现手段、针对不同对象

7、建立健全包括应急处理协调、指挥调度、安全信息通报、应急处置预案、灾难备份设施、信息安全应急支援服务在内的信息安全应急处置机制，建立完善事件分析和责任追究体制。7.10.鼓励工业控制系统安全科技创新，提高防护水平应加快推进工业控制系统的关键技术突破和产品国产化进程，重点在工业控制领域协议安全、核心控制芯片、系统漏洞分析挖掘、系统完整性校验、篡改恢复等关键技术方面实现突破，实现嵌入式工业可信安全终端、工控安全互联中间件、访问控制、工控诊断大数据平台、安全运维监管平台、工业网络APT防护、工控异常监测系统、入侵诱捕和分析系统等产品产业化。7.11.开展工业控制系统网络安全培训，强化人才培养一是注重工

8、业控制系统安全专业技术人才培养。政府应加大投入，推动我国属高校工控网络安全学科建设和教学、实践环境建设，加强专业人才培养。二是单位加大工控安全专业从业人员专业技能培训力度。7.12.建立工业控制系统信息共享平台，提升态势感知能力借鉴美国、欧盟等的先进经验，充分了解工业控制系统提供商、运营单位、政府部门、信息安全承包商、专家队伍、公众等各方对信息共享的需求，尽快建立有效的丁业控制系统风险信息共享机制，明确信息共享的条件，建立包括安全信息收集、上报、通报、汇总、分析、共享以及共享主体、共享内容、共享流程、共享的技术和政策保障措施等内容的信息安全合作共享制度和公共服务平台，打破“信息孤岛”，建立态势

9、感知监测预警平台。8. 小结目前，全球范围内己知的工控系统漏洞数量只有一千多种，绝大部分工控系统漏洞作为黑客手中的“核武器"非法存在。如何在黑客成功攻击工业控制系统之前帮助工业控制系统应用企业发现漏洞，进而促使其完善系统，成为保障工业控制系统安全运行、增强企业安全健壮性的必要手段。由于漏洞种类繁多，漏洞产生原理、触发条件彼此不一致，目前还无法对安全漏洞进行统一有效的挖掘。因此，加大对漏洞发现于分析的研究力度，对各类漏洞采取更为主动合理的处理方式。同时将人工智能技术应用于漏洞的研究中，提高现有漏洞挖掘模型的准确度，有效解决漏洞定位、漏报误报等问题，实现智能化、自动化工控漏洞检测和研究。

10、工控系统信息安全的重要性不言而喻，重视工控系统信息安全建设，有利于加强重要领域内工控系统的信息安全管理，加强统筹规划和顶层设计。要完全解决工控系统存在的问题，还需我国政府机关及相关部门提高工控安全意识，构建并不断完善一个有效、科学且合理的安全机制，以此来推动我国工控系统的发展。相信通过各方面的不断努力，我国工控系统信息安全工作会取得更大的进步。参考文献：1 工业和信息化部.工业控制系统信息安全行动计划(2018-2020年)Z.2017.2 启明星辰集团.启明星辰集团针对工信部v工业控制系统信息安全防护指南的实施方案Z.2O16.3 黄敏.工业控制网络安全方案探讨J.化工设计，2018,(3)

11、：6,42-44,51.4 朱庆军.工控系统信息安全的思考与建议解析J.信息系统工程，2018,(2) ：73.5 邸丽清，高洋，谢丰.国内外工业控制系统信息安全标准研究J.信息安全研究，2016,2(5)：435-441.6 王孝度，崔保红，李思其.关于工业控制系统信息安全的思考与建议J.信息网络安全，2012(8).7 STOUFFERK,FALCOJ,SCARFONEK.GuidetoIndustrialControlSystems(ICS)SecurityS.American：NIST,2011.8 熊琦，竟小伟，樗峰.美国石油天然气行业ICS系统信息安全工作综述及对中国的启J.中国信

12、息安全，2012(2)：211-215.9 冯伟.我国工业控制系统面临的信息安全挑战及措施建议J.信息安全与技术，2013(02).10 夏春明，刘涛，王华忠，吴清.工业控制系统信息安全现状及发展趋势J.信息安全与技术，2013.LogicController,nJ编程逻辑控制器)、DCS(DistributedControlSystem,分布式控制系统)、SCADAfSupervisoryControlAndDataAcquisition,数据采集与监视控制系统)乃至应用软件均被发现存在大量信息安全漏洞，如西门子(SIEMENS)>Parallels研华科技(Advantech)、罗克

13、韦尔(Rockwell)、ABB及施耐德电(SchneiderElectric)等工控系统厂商产品均被发现包含各种信息安全漏洞。目前，超过80%的涉及国计民生的关键基础设施依靠工业控制系统来实现自动化作业。工业控制系统己经成为国家关键基础设施的重要组成部分，其安全更是关系到国家的战略安全。因此，研究工控安全漏洞，对发现的漏洞进行标准化管理，对于提高工控系统安全性，帮助企业远离威胁有着重要意义。2.1.工控网络安全漏洞分类与传统信息系统相比，工业控制系统采用了很多专有的工控设备、工控网络协议、操作系统和应用软件，工业控制系统的安全漏洞也具有工控系统所独有的特性。根据漏洞出现在的工控系统组件的不同

14、，工控安全漏洞可划分为：(1) .1：控设备漏洞(2) 工控网络协议漏洞(3) 工控软件系统漏洞(4) 工控安全防护设备漏洞根据是否可能带来直接隐患，工控安全漏洞也可划分为：(1) SCADA系统软件漏洞(2) 操作系统安全漏洞(3) 网络通信协议安全漏洞(4) 安全策略和管理流程漏洞2.2.工控网络安全漏洞标准化管理目前，国外己经形成了比较完整的工控系统安全管理体制、技术体系以及标准法规。二十世纪九十年代美国国家标准协会开展了操作系统安全研究项目，相关研究机构对大型系统漏洞进行收集，并根据漏洞发现时间、漏洞产生的原因和漏洞所处的位置进行了简单的分类。由MITRE公司负责维护的通用漏洞列表(C

15、ommonVulnerabilitiesandExposures,CVE)已经成为全球公认的安全漏洞索引标准，该项目将己暴露并引起广泛认同的安全漏洞进行编号，定期对漏洞列表进行发布，方便漏洞信息的共享。我国正处于计算机技术与工业自动化技术相互融合的重要阶段，工业控制系统的安全问题格外重要。基于工控系统安全状况的脆弱性以及攻击威胁的严重性，我国相关部门和广大企事业单位也正在积极地开展工控系统安全工作，制定出一系列体制文件，研制出了一大批工控信息安全产品。2009年，我国漏洞库建设工作有了突破性进展，先后推出了国家信息安全漏洞库(CNNVD)国家信息安全漏洞共享平台(CNVD)等颇具规模的漏洞库。

16、2019年10月国家工业信息安全漏洞库(CICSVD)建立，由国家工业信息安全发展研究中心组织发起，国内从事工业信息安全相关产业、教育、科研、应用的机构、企业及个人自愿参与建设的全国性、行业性、非营利性的漏洞收集、分析、处置、披露的平台。2020年11月国家标准化管理委员会发布了信息安全技术网络安全漏洞管理规范，该标准给出了漏洞生命周期管理流程，如下图但是目前，国内漏洞管理主要体现在漏洞信息发布和安全预警上，而基于漏洞库的扫描挖掘、安全审计、风险评估、软件安全性评测等有价值的应用并不多，因此，开展面向工控系统信息安全的漏洞发现和分析等相关研究具有重要意义。2.3.木链科技工控网络安全检测系统木

17、链科技基于CVE漏洞库中的工控行业漏洞信息，结合已有的模糊测试和openVAS相关技术，设计研发了工控网络安全检测系统，系统主要包括了设备识别、协议识别、已知漏洞扫描、未知漏洞挖掘等模块。以下将针对这儿个模块的设计思路进行简单介绍。(1) 设备识别设备识别主要是对工控网络内的设备进行探测识别和管理，该模块是通过深入研究和分析开源工具NMAP的扫描原理和运行流程的基础上实现的，通过对其扫描流程进行优化，最终实现了更贴合工控网络环境下的系统所需功能要求，其中包括主机操作系统版本、IP、MAC、端口、厂商、型号等基础硬件信息，此外还将提供设备的漏洞数量、通信过程中所产生告警的数量等信息。(2) 协议

18、识别工业控制系统通信协议不同于一般的网络通信协议，其往往是专用、私有控制协议。协议识别模块将充分利用木链星期五实验室的协议逆向分析能力，获取未知协议的协议规范，包括协议语法、语义以及同步信息。通过对工控网络通信数据包进行协议解析，可以还原出通信设备信息和通信内容。可以用于生产状态监控、资产识别、设备行为判断、异常行为或对病毒、蠕虫、木马、DDoS、扫描、SQL注入、XSS、缓冲区溢出、欺骗劫持等含有恶意代码的攻击行为进行安全检测。(3) 漏洞扫描已知漏洞扫描模块融合了开源工具openVAS的实现思路，首先将网络扫描与主机扫描相结合，利用网络扫描从外部查询网络服务端口获取有关反馈信息，利用主机扫

19、描从内部收集软件安装与配置信息；其次将收集到信息和己公开漏洞进行匹配比对，找到可能存在的安全隐患。(4) 漏洞挖掘未知漏洞挖掘模块应用到的是模糊测试技术，也是目前在工业安全领域普遍采用的漏洞挖掘方法之一，模糊测试的实现方式是：通过构造能够使软件或被测设备崩溃的畸形输入来发现系统或被测设备中存在的漏洞安全问题。漏洞挖掘模块将利用人工智能的方式，从流量的角度对未知协议进行结构解析和状态解析，生成针对性模糊测试方案对测试目标进行模糊测试。2. 工业信息安全的前行之路随着智能制造与工业4.0战略的持续推进以及工业化与信息化进程的不断融合，工业控制系统己由原来相对封闭、稳定的环境变得更加开放、多变，工业

20、生产的网络化、信息化、智能化己成为未来发展趋势。天融信依托网络安全多年实践经验，针对工业控制网络的实时性、稳定性、可靠性、完整性，建立了-套完整的工业控制网络安全解决方案。整体方案由*个风险控制中心和两套安全体系组成，风险控制中心承担整个工控网络的安全风险分析及处理能力，两套安全体系分别为安全防护体系和应急响应体系，安全防护体系承载生产网络的安全防护及安全检查能力，应急响应体系承载安全应急响应能力。风险控制中心与安全防护体系和应急响应体系之间协调联动，构成一套适应于工业控制网络特点的持续性安全防御解决方案。工统物役汹8岫I业务白名华丹设备外设白名篷工业行为分析S于行为NBtln内生可信安全工业

21、设ft访问投M管投ff于行为Mltl的安全防护检测体系攻击为列安全日韦米嘉mt迎瞄分析!：11工ftf?为分析SS«计AIWA安金*计移动存（id投工业互联网企业安全技术体系通过综合分析工业企业控制系统存在的安全风险问题，结合工业控制系统自身特点，建设包含安全防护检测体系、安全态势分析体系以及安全服务响应体系在内的动态闭环防护体系。安全防护检测体系在为防护检测工业控制系统提供安全检测与防护的同时向其他两大体系提供安全数据信息；安全态势分析体系结合安全防护检测数据及安全服务事件信息反馈，同步向安全防护检测体系实时动态下发安全策略，向安全服务响应体系归纳上报安全事件分析结果；安全服务响应

22、体系根据安全态势分析结果实现对安全防护检测赋能支撑。安全防护检测体系包含网络中所有安全防护设备，防护范围覆盖整个工控网络。安全防护检测体系以行为基线为中心，提供基础安全防护能力，包括访问控制行为分析、数据过滤、白名单识别、工业设备内生安全管控、工业攻击诱捕反制、工业漏洞虚拟防护、工业数据分类安全治理等。安全防护体系作为安全数据来源，将各个节点的安全数据、异常数据等上报至安全态势分析体系，用作安全环境、安全基线的分析，展示分析结果的同时，将生产网络、应用系统运行状态传递至安全服务响应体系进行统一的运维监控。安全态势分析体系作为工业企业控制系统安全防护体系的安全中枢，承担安全数据的分析存储、业务应

23、用以及集中展示功能。安全态势分析主要作用于安全数据的统计与分析，通过多样化的探针及大数据存储分析等技术手段对网络安全事件、未知威胁信息进行多维度统计。在统计数据的基础上，进行业务安全威胁建模，分析工业控制系统中所存在的脆弱性、威胁源等导致安全事件发生的可能性，以及由此产生的后果和影响。构建安全事件自动处置体系，动态管控安全检测防护策略。安全服务响应体系是工业企业控制系统安全防护体系的最后一道防线，承担安全支撑、监测服务、运维服务、风险评估四大服务响应能力，为整体安全防护体系提供事前评估预警、事中分析处置、事后溯源提升的安全能力。同时安全服务响应体系与其他两大体系互为支撑赋能，共同建设动态安全防

24、护体系。3. 工业控制系统的安全问题(1) 意识不到位、组织无保障对于工业控制系统信息安全问题，因为本厂、本行业没有出现过安全事件，上级领导和主管单位没有明确要求，国家和行业没有参考标准，多数企业表现出对工作没有紧迫性。企业没有中长期战略，没有预算开展本项工作，对于工业控制系统的信息安全，没有主责领导，没有保障团队，没有工作体系。(2) 制度不完善、应急靠经验现在大部分行业还未形成完整的工业控制系统信息安全保障体系，缺乏工业控制系统规划、建设、运维和废止全生命周期的信息安需求，欠缺配套的管理体系、处理流程、人员责任等规定。对于安全事件预防、响应、处置及应急不够健全，缺乏应急响应组织和标准化的事

25、件处理流程，发生信息安全事件后通常依靠经验判断安全事件影响范围，严重性、逐一排查，响应能力不高。(3) 技术尚不足，产品靠国外目前，我国工业控制系统中的80%以上的PLC、操作系统、工业应用软件以及工业协议和标准接口依赖进口。国外产品不排除留有后门的可能性，以及工业控制系统暴露的安全漏洞逐年增多，给安全生产带来了威胁。(4) 互联互通，却在裸奔随着OT技术和IT技术的不断融合，工业控制系统逐步与办公网、互联网进行了互联，但是缺少安全防护措施。各系统之间未进行边界防护，网络中存在的威胁无法感知，病毒木马入侵难以阻断，违规操作、误操作屡有发生，非法终端接入无法管控，安全事件不断发生。(5) 人员欠

26、专业，情报未共享工业控制系统信息安全是一个新兴的交又领域，要求从事该领域的技术人员既要懂工业控制系统，又要有信息安全的知识，同时还要对网络知识有所了解。目前，市场上也现成的复合型人才较少，专业人才的缺乏对工业控制网络安全防护的发展形成明显的制约。4. 工控系统信息安全研究意义当前，工控系统广泛应用于煤炭、电力、冶金、石化、石油、交通、医药等工业领域，成为国家基础建设的重要部分，随着信息技术的发展，物联网、云计算等新兴技术的涌现，以及两化融合的持续推进，工控系统的自动化和信息化势必融为一体。而这些工控系统更多的使用通用协议和软硕件，呈开放式与互联网相连接，使工控系统的安全隐患大大增加，极易被攻击

27、，一旦工控系统出现安全问题，将对工业生产、国家建设造成重大影响。因此，工控系统信息安全对整个社会稳定和谐十分重要。自2010年伊朗布什尔核电站遭到“震网病毒”攻击被曝光后，一系列工控系统安全事件被陆续曝光，并呈现飞速增长趋势。近年来典型的工控系统安全事件如下：(1) Stuxnet“震网病毒”一一2010年爆发的“震网病毒”在全球大肆传播，其中近60%发生在伊朗，它破坏了伊朗浓缩铀核设施1000多台离心机故障，导致了伊朗暂缓铀浓缩活动、推迟核计划。(2) 乌克兰电网攻击事件2015年12月乌克兰至少有三个区域的电力系统被具有高度破坏性的恶意软件攻击并导致大规模的停电，整个停电持续数小时之久，主

28、要是利用恶意软件删除关键系统数据，使监控设备无法启动，造成巨大损失。(3) “WannaCry”勒索病毒一一近3年勒索病毒肆虐全球，其主要是利用Windows操作系统漏洞，将用户的重要文件进行加密，并借此向用户勒索资金。在此次攻击中，我国不仅有大量教育网、校园网用户“中招”，受到波及的范围广泛包括了工业、交通领域甚至部分政府部门。工控系统面临的病毒、木马、黑客入侵、拒绝服务等传统的信息安全威胁，国内外频繁出现的工控系统安全事故以及工控系统信息安全的发展趋势，充分说明了进行工控系统信息安全防护的重要性。5. 工控安全脆弱性分析工控系统具有很强的实时性和连续性，系统设备组成紧密，一旦在运行中受到干

29、扰或恶意入侵，将使系统瘫痪进而导致生产过程失控、出现重大事故或停产。其问题主要在工控系统信息安全管理、技术和系统自身方面。6. 1.管理方面(1) 组织结构人员职责不完善，专业人员缺乏；(2) 信息安全管理制度流程不完善；(3) 应急响应机制不健全，需进一步提高信息安全事件的应对能力；(4) 人员信息安全培训不足，技术和管理能力以及人员安全意识有待提高。6. 2.技术方面(1) 未进行安全域划分，区域间未设置访问控制措施；(2) 缺少信息安全风险监控技术，不能及时发现信息安全问题，出现问题后靠人员经验排查；(3) 系统运行后，操作站和服务器很少打补丁，存在系统漏洞，系统安全配置较薄弱，防病毒软

30、件安装不全面；(4) 存在使用移动存储介质不规范问题，易引入病毒以及黑客攻击程序；(5) 系统上线前未进行信息安全测试，无线通信安全性不足；3.系统自身方面(1) 工控系统与互联网的互联性增加，导致系统开放接口增多，能被轻松访问，容易造成黑客恶意攻击；(2) 设备普遍采用国外厂商的系统和技术，自动化和信息化程度较高，容易被攻击；(3) 工控系统利用各种自动化控制技术、不同的工业协议，种类繁多，造成对设备的监管及维护较困难；(4) 工控系统传输、处理数据信息的实时性、可靠性要求较高，不能停机和重启恢复。6. 工控系统信息安全防护措施建议针对工控系统结构信息安全的脆弱性，要提高工控系统的信息安全需

31、要对系统每个位置进行安全防护，可采取以下防护措施：7.1.等级保护对工控系统中使用的相关产品实行按等级管理，对系统中发生的安全事件分等级响应、处置，采用“垂直分层，水平分区。边界控制，内部监测”进行安全域的划分。对工控系统进行风险评估，了解系统的架构、主要业务、软硬件设备、操作系统、网络连接等，评估系统存在的主要安全问题和潜在的风险，评定系统安全风险等级。7. 2.漏洞挖掘技术针对工控系统开展漏洞挖掘，找出软硬件对异常情况处理不正确的地方，主要手段采用模糊测试方式。7. 3.纵深防御体系建立针对工控系统建立纵深防御体系，设置多层重叠的安全防护系统，包括建立信息安全管理体系、使用身份认证系统、搭建基础防护应用平台、建立边界防护系统、实施分区分域防御等。7.4.物理隔离技术增加物理隔离网闸，主要安全模块有：安全隔离模块、安全检查模块、内核防护模块、访问控制模块、身份认证模块、安全审计模块。6. 5.安全加固(1) 在工控系统的各个子系统节点之间部署工业控制安全入侵检测系统；(2) 对工控系统的操作员站和管理员站的相关设备进行主机加固；(3) 部署工业控制运维审计平台，主要对用户登录、网络运行、数据库访问、操作系统、安全设备运行日志集中统计分析；(4) 部署第三方边界防护产品。7.6.白名单技术