隨著信息安全被提升到國(guó)家安全的層面，工業(yè)控制系統(tǒng)作為關(guān)系國(guó)之命脈的重要體系，其安全防御也日益成為信息安全領(lǐng)域關(guān)注的熱點(diǎn)。然而，與傳統(tǒng)的信息安全相比，工控系統(tǒng)安全又有其獨(dú)特之處。

自2010年伊朗布什爾核電站遭到“震網(wǎng)病毒”攻擊以來(lái)，針對(duì)工業(yè)控制系統(tǒng)的信息安全日益被各個(gè)國(guó)家所重視。目前在我國(guó)，雖然尚未發(fā)生重大的工控系統(tǒng)安全事件，但工控系統(tǒng)安全一旦出現(xiàn)問(wèn)題，其后果會(huì)十分嚴(yán)重。從總體來(lái)說(shuō)，國(guó)內(nèi)對(duì)于工控系統(tǒng)的安全意識(shí)仍舊薄弱，對(duì)工控系統(tǒng)安全的資源、專(zhuān)業(yè)安全人員等方面的投入還相對(duì)少。”

與傳統(tǒng)的IT系統(tǒng)有所區(qū)別的是，工控系統(tǒng)采用的一般都是專(zhuān)用系統(tǒng)，其操作系統(tǒng)、通信協(xié)議也與一般的系統(tǒng)有很大差別。相較于開(kāi)放的互聯(lián)網(wǎng)環(huán)境，工控系統(tǒng)則比較獨(dú)立。

近年來(lái)，隨著兩化融合的發(fā)展趨勢(shì)，管理系統(tǒng)與工控系統(tǒng)的互聯(lián)互通，在提升效率的同時(shí)，也把傳統(tǒng)IT風(fēng)險(xiǎn)延伸到了工業(yè)控制系統(tǒng)。此外，隨著越來(lái)越多通用系統(tǒng)、通用硬件被逐漸應(yīng)用于工控系統(tǒng)設(shè)施中，傳統(tǒng)的系統(tǒng)漏洞也對(duì)工控系統(tǒng)安全構(gòu)成了威脅。但就目前而言，工控系統(tǒng)安全所面臨的最大威脅還在于APT攻擊。

APT攻擊攻擊者往往是有組織、有計(jì)劃，采用多攻擊模式結(jié)合，通過(guò)全面的情報(bào)搜集，持久的搜索目標(biāo)的漏洞，直到攻陷系統(tǒng)為止。這類(lèi)攻擊往往有明確的目標(biāo)、巨大的資金支持。由于其很強(qiáng)的計(jì)劃性、組織性與隱蔽性，且攻擊持續(xù)時(shí)間很長(zhǎng)，很難被發(fā)現(xiàn)和進(jìn)行防御。加之工控安全系統(tǒng)在信息安全防御方面的設(shè)計(jì)先天不足，APT攻擊便成為威脅工控系統(tǒng)安全的頭號(hào)殺手。

那么，工控系統(tǒng)安全該如何保障？目前，我國(guó)在工控系統(tǒng)安全方面已發(fā)布了相關(guān)指導(dǎo)文件，如工業(yè)和信息化部發(fā)布的《關(guān)于加強(qiáng)工業(yè)控制系統(tǒng)信息安全管理的通知》(工信部協(xié)[2011]451號(hào))、國(guó)務(wù)院發(fā)布的《關(guān)于大力推進(jìn)信息化發(fā)展和切實(shí)保障信息安全的若干意見(jiàn)》(國(guó)發(fā)〔2012〕23號(hào))等，均對(duì)重點(diǎn)領(lǐng)域工業(yè)控制系統(tǒng)信息安全的管理提出了意見(jiàn)，要求建立國(guó)家信息安全保障體系，并且明確提出要“保障工業(yè)控制系統(tǒng)安全”。

國(guó)家已從政策層面表達(dá)了對(duì)工控系統(tǒng)安全的高度重視，但在對(duì)工控系統(tǒng)安全防御的實(shí)施過(guò)程中，仍舊存在一定的困難。目前國(guó)內(nèi)工控系統(tǒng)所采用的產(chǎn)品種類(lèi)、品牌繁多，且多以海外廠(chǎng)商產(chǎn)品為主，國(guó)內(nèi)信息安全廠(chǎng)商很難與眾多廠(chǎng)商及產(chǎn)品進(jìn)行一一合作;其次，因?yàn)楣た叵到y(tǒng)的特殊性，其一直處于運(yùn)轉(zhuǎn)生產(chǎn)的狀態(tài)中，安全廠(chǎng)商無(wú)法對(duì)其進(jìn)行試驗(yàn)測(cè)試，這也使得安全廠(chǎng)商與用戶(hù)層面的合作難以實(shí)施。

此外，不同行業(yè)、廠(chǎng)商之間的工控協(xié)議之間也存在較大區(qū)別，各類(lèi)通信協(xié)議甚至多達(dá)五六十種，這也為安全廠(chǎng)商在對(duì)工控系統(tǒng)安全保護(hù)產(chǎn)品的研發(fā)造成了困擾。對(duì)工控系統(tǒng)安全產(chǎn)品及解決方案的研發(fā)，最好從面向行業(yè)的角度入手。工控系統(tǒng)安全的保障還需要有大安全的視角，從多個(gè)維度進(jìn)行縱深防御，如：從整個(gè)系統(tǒng)體系考慮、安全管理人員的培訓(xùn)、以及安全制度層面的保障等。

對(duì)工控系統(tǒng)進(jìn)行分層、分域、分等級(jí)劃分，通過(guò)使用網(wǎng)閘設(shè)備、VPN接入設(shè)備等手段對(duì)工控系統(tǒng)進(jìn)行隔離訪(fǎng)問(wèn)與接入控制;對(duì)工控系統(tǒng)及設(shè)備進(jìn)行脆弱性評(píng)估，及時(shí)更新系統(tǒng)，或更新防護(hù)設(shè)備的虛擬補(bǔ)丁;通過(guò)面向工控系統(tǒng)的監(jiān)控平臺(tái)，與其他安全設(shè)備一起對(duì)工控系統(tǒng)設(shè)施進(jìn)行保護(hù);此外，還要定期進(jìn)行安全培訓(xùn)、系統(tǒng)評(píng)估，及時(shí)發(fā)現(xiàn)安全威脅隱患等。

更多資訊請(qǐng)關(guān)注自動(dòng)化軟件頻道