2010年“震网”破坏伊朗核设施、2012年的超级病毒“火焰”、2014年的Havex木马、2015年乌克兰电网停电......一个个针对工业控制系统的攻击不断爆发，工控系统正遭受前所未有的安全威胁。工控系统是国家基础设施的核心，纵观全球，不少国家都出台了针对关键信息基础设施保护的政策法令，包括美国、俄罗斯、日本、德国、加拿大等。
不要以为很少听到来自中国的工控安全事件，就代表没有。事实上，中国是全球网络攻击的严重受害国，据国家互联网应急中心发布的《2016年中国互联网网络安全报告》显示：2016年互联网应急中心发现网络安全事件超过12万起，其中30%是针对国家基础设施。正因为如此，在今年6月正式实施的中国《网络安全法》中就明确指出，国家对严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。
并且，随着国际国内工业互联网、工业4.0、中国制造2025战略的提出，业界对于工业控制系统安全的关注也将达到新的高度。
工控系统安全面临的挑战
为什么工控系统一旦遭受攻击带来的威胁巨大？因为工控系统用于监测和控制工业生产过程，确保工业设备正常运行，它广泛应用于石油石化、水利、电力、生产制造等领域。这些系统一旦发生网络安全事故，会影响关键业务正常运行，就像绿盟科技副总裁张念东在接受至顶网采访时说的那样，“工控系统安全涉及国家政治、环境安全，甚至人的生命安全。”
绿盟科技副总裁张念东
和IT信息系统不一样，工控系统对安全尤为敏感。因为其与物理世界进行实时交互，张念东总结了工控系统的特点：
· 它对控制事件需实时响应，甚至不允许哪怕毫秒级的宕机；
· 从性能上对比IT信息系统，工控系统不允许发生秒级或毫秒级的延时或抖动；
· 稳定性上工控系统原则上不允许重启，系统一旦上线不允许中断；
· IT信息系统以TCP/IP协议为主，工控系统协议复杂，采用大量专用和私有协议；
· IT信息系统生命周期为5年左右，工控系统更新换代周期长，一般为15-20年，甚至更长；
· 维护上，IT信息系统维护便捷，工控系统需要现场操作维护，不允许自动化工具甚至半自动化方式操作等等。
正因为这些独特特点，工控系统安全十分脆弱。而私有协议多、生命周期长，带来的最大问题是隐藏漏洞数量巨大，CNVD的数据显示，2010年之后工控漏洞数量显着增长，很多漏洞难以被发现。并且，由于升级维护成本高，许多漏洞被长期搁置。此外，由于工控系统在设计之初更关注可用性，而忽略系统安全性。在制度设计上，工控系统安全制度设计相比IT信息系统设计也有比较大的缺失。
张念东强调，“无论是漏洞、运维，还是基础技术能力或制度的缺陷，导致工业控制系统没有像IT领域一样有完善的安全解决方案，而是修修补补或者进行简单的隔离，正因为缺乏纵深成体系的安全防御，导致全球范围内不断出现大大小小的工控安全事件。”
工控系统生产环境的特点决定了对它改造的难度非常大，有专家指出，目前可行的办法是对存量已经建设好的系统进行监控、以外围防御进行隔离、加密为主。另外一类对增量新建设的工控系统，应建立全链条的安全监管体系，例如上线系统要通过合规性安全检查，从评估到保护、检测、防御，从建设到运营，覆盖工控系统的全生命周期。
张念东长期跟踪电力、石油、石化等行业，在他看来，工控系统存在的风险按分类可以进行或转移、或消纳、或接受、或处置。这也是很多关键行业实施的策略，采取渐进式的主动安全防护，例如针对遗留系统建立安全区域、进行边界防护、和加固、监管预警等。
绿盟科技的工控系统安全实践
绿盟科技在国内实施了不少工控系统安全项目，作为国内最早一批从事工控网络信息安全的公司，早在2010年就已开始了对工控安全的战略部署。2010年9月，其承接泉州220KV变电站工控安全评估项目，是国内第一个工控安全评估项目。
张念东介绍，2011年起，绿盟开始着眼于工控安全的战略方向，在工控安全领域持续发力，几乎是国内最早的开始工控安全研究及应用的安全厂商。“尤其在漏洞研究能力方面，无论在国内还是国外绿盟科技都有独树一帜的地方。”
据介绍，绿盟科技于2016年复现PLC工控蠕虫病毒，是国内最早在实验环境复现工控蠕虫病毒的安全厂商。绿盟还通过自研的Fuzzing工控漏洞挖掘系统发现了西门子PLC存在的工控安全漏洞，并申报CVE、CNNVD，获得了西门子公司的高度关注并给出相关的解决方案，是国内第一家申报PLC核心漏洞的厂家。
在针对工控系统安全方案上，绿盟科技已推出5款工控安全产品，分别是工控入侵检测系统，工控安全审计系统，工控漏洞扫描系统，工业安全网关，和工业安全隔离装置，张念东介绍：
· 工控入侵检测系统提供针对工控协议的强识别能力，对工控系统攻击行为进行有效检测；
· 工控安全审计系统感知系统中潜在的异常操作行为；
· 工控漏洞扫描系统实现了针对SCADA、现场总线、数字化设计制造软件的漏洞扫描，从而对工控系统进行全面检查；
· 工业安全网关进行边界防护，不影响生产；
· 工业安全隔离装置用于解决控制网络如何安全接入信息网络的问题以及控制网络内部不同安全区域之间安全防护的问题。
结合国内外形式，工控系统还需要一个纵深的防御体系和闭环的处置机制，绿盟科技为此推出工控系统态势感知平台，通过把设备连接起来，让行业用户有一个宏观的安全感知。
张念东强调，“绿盟科技针对工控系统安全保护的核心思想是帮助用户准确地掌握工业控制系统当前的安全状况，同时又不影响业务生产的连续性。所以我们尽量选择旁路的设备、或者旁路审计的方式，漏扫也是非生产环节或者非生产状态时进行检测，保证业务连续可靠正常运行。”
此外，绿盟科技基于电力、石油石化、烟草等工控安全领域多年积累的经验，总结出工业控制系统的攻击路线图，并在此基础上给出工控系统总体安全保障框架，提出从技术、管理和运行三个维度来保障工控系统安全。这些维度包含网络边界防护、安全纵深防护、安全运行管理和安全管理制度要求等几个方面，涉及从系统上线前的安全检测、安全能力部署、安全运行三个阶段，覆盖工业控制系统运行全周期的安全保障，为客户工控网络安全保驾护航。
原文发布时间为：2017年8月23日
本文作者：陈广成