【由臺(tái)積電“中毒”事件看提升工控系統(tǒng)安全防護(hù)等級(jí)的重要性】臺(tái)積電工廠病毒事件帶來(lái)的教訓(xùn)是慘痛的，據(jù)估算，其帶來(lái)的損失超過(guò)10億人民幣（臺(tái)積電官方預(yù)估此次病毒感染事件將導(dǎo)致晶圓出貨延遲以及成本增加，對(duì)公司第三季的營(yíng)收影響約為百分之三，毛利率的影響約為一個(gè)百分點(diǎn)）。

雖然臺(tái)積電一再?gòu)?qiáng)調(diào)，此次病毒感染事件并非受到黑客攻擊，也不存在內(nèi)鬼，而是新機(jī)臺(tái)安裝過(guò)程中發(fā)生操作失誤，沒(méi)有對(duì)其先隔離、確認(rèn)無(wú)病毒再聯(lián)網(wǎng)，最終導(dǎo)致病毒大規(guī)模擴(kuò)散。連網(wǎng)后受影響的機(jī)臺(tái)無(wú)法運(yùn)作，以及部分自動(dòng)搬運(yùn)系統(tǒng)無(wú)法正常運(yùn)作。

但不可否認(rèn)，人為操作失誤的背后是臺(tái)積電工控系統(tǒng)安全保護(hù)體系的脆弱性。官方確認(rèn)此次遭遇病毒為“WannaCry”的變種，造成感染后的機(jī)臺(tái)宕機(jī)或是重復(fù)開(kāi)機(jī)但并未受到勒索。眾所周知，WannaCry為一年前大規(guī)模爆發(fā)的病毒勒索事件，可以想見(jiàn)，一臺(tái)新機(jī)違規(guī)操作導(dǎo)致三個(gè)工廠業(yè)務(wù)停擺，這意味著工廠內(nèi)的大多機(jī)臺(tái)并沒(méi)有有效的防御體系，也沒(méi)有對(duì)1年前產(chǎn)生的WannaCry進(jìn)行補(bǔ)丁操作（目前沒(méi)有證據(jù)表明此次變種會(huì)繞過(guò)針對(duì)WannaCry的防御方法和補(bǔ)?。?。

當(dāng)然，在至頂網(wǎng)對(duì)360工業(yè)互聯(lián)網(wǎng)安全事業(yè)部副總經(jīng)理李航的采訪中，他指出工控系統(tǒng)對(duì)設(shè)備升級(jí)并非易事。一是大多生產(chǎn)線上的設(shè)備環(huán)境復(fù)雜，操作系統(tǒng)五花八門，硬件設(shè)備也新老不齊，所以一次升級(jí)可能造成業(yè)務(wù)中斷；二是為保證過(guò)程控制系統(tǒng)的可靠性，設(shè)備系統(tǒng)升級(jí)也面臨風(fēng)險(xiǎn)。

但是與之相矛盾的是，系統(tǒng)不打補(bǔ)丁就會(huì)存在被攻擊的漏洞，即使是普通常見(jiàn)病毒也會(huì)遭受感染，可能造成Windows平臺(tái)乃至控制網(wǎng)絡(luò)的癱瘓，此次臺(tái)積電事件足以說(shuō)明了這一點(diǎn)。

尤其在如今的環(huán)境下，工控系統(tǒng)面臨的風(fēng)險(xiǎn)逐漸增大。在工業(yè)互聯(lián)網(wǎng)、“中國(guó)制造2025”、“工業(yè)4.0”等政策驅(qū)動(dòng)下，信息技術(shù)（IT）和操作技術(shù)(OT)一體化已成為必然趨勢(shì)。隨著IT/OT一體化的發(fā)展，工業(yè)控制系統(tǒng)越來(lái)越多的采用通用硬件和通用軟件，工控系統(tǒng)的開(kāi)放性與日俱增，系統(tǒng)安全漏洞和缺陷容易被病毒所利用，然而工業(yè)控制系統(tǒng)又涉及我國(guó)電力、水利、冶金、石油化工、核能、交通運(yùn)輸、制藥以及大型制造行業(yè)，一旦遭受攻擊會(huì)帶來(lái)巨大的損失。

李航對(duì)至頂網(wǎng)表示，對(duì)如今的工業(yè)控制系統(tǒng)來(lái)說(shuō)，很多“帶病運(yùn)行”甚至是常態(tài)。

IT/OT融合帶來(lái)的安全挑戰(zhàn)

在今年年初工業(yè)控制系統(tǒng)安全國(guó)家地方聯(lián)合工程實(shí)驗(yàn)室與360威脅情報(bào)中心聯(lián)合發(fā)布的IT/OT一體化的工業(yè)信息安全態(tài)勢(shì)報(bào)告中，就指出當(dāng)工業(yè)互聯(lián)網(wǎng)的IT/OT進(jìn)行融合時(shí)帶來(lái)的安全挑戰(zhàn)。

除了來(lái)自外部的安全挑戰(zhàn)外，來(lái)自工業(yè)系統(tǒng)自身安全建設(shè)的不足尤為嚴(yán)重。如果作為一名工控系統(tǒng)安全負(fù)責(zé)人，您是否又認(rèn)識(shí)到這些問(wèn)題：

1）工業(yè)設(shè)備資產(chǎn)的可視性嚴(yán)重不足

工業(yè)設(shè)備可視性不足嚴(yán)重阻礙了安全策略的實(shí)施。要在工業(yè)互聯(lián)網(wǎng)安全的戰(zhàn)斗中取勝，“知己”是重要前提。許多工業(yè)協(xié)議、設(shè)備、系統(tǒng)在設(shè)計(jì)之初并沒(méi)有考慮到在復(fù)雜網(wǎng)絡(luò)環(huán)境中的安全性，而且這些系統(tǒng)的生命周期長(zhǎng)、升級(jí)維護(hù)少也是巨大的安全隱患。

2）很多工控設(shè)備缺乏安全設(shè)計(jì)

主要來(lái)自各類機(jī)床數(shù)控系統(tǒng)、PLC、運(yùn)動(dòng)控制器等所使用的控制協(xié)議、控制平臺(tái)、控制軟件等方面，其在設(shè)計(jì)之初可能未考慮完整性、身份校驗(yàn)等安全需求，存在輸入驗(yàn)證，許可、授權(quán)與訪問(wèn)控制不嚴(yán)格，不當(dāng)身份驗(yàn)證，配置維護(hù)不足，憑證管理不嚴(yán)，加密算法過(guò)時(shí)等安全挑戰(zhàn)。例如：國(guó)產(chǎn)數(shù)控系統(tǒng)所采用的操作系統(tǒng)可能是基于某一版本Linux進(jìn)行裁剪的，所使用的內(nèi)核、文件系統(tǒng)、對(duì)外提供服務(wù)、一旦穩(wěn)定均不再修改，可能持續(xù)使用多年，有的甚至超過(guò)十年，而這些內(nèi)核、文件系統(tǒng)、服務(wù)多年所爆出的漏洞并未得到更新，安全隱患長(zhǎng)期保留。

3）設(shè)備聯(lián)網(wǎng)機(jī)制缺乏安全保障

工業(yè)控制系統(tǒng)中越來(lái)也讀的設(shè)備與網(wǎng)絡(luò)相連。如各類數(shù)控系統(tǒng)、PLC、應(yīng)用服務(wù)器通過(guò)有線網(wǎng)絡(luò)或無(wú)線網(wǎng)絡(luò)連接，形成工業(yè)網(wǎng)絡(luò)；工業(yè)網(wǎng)絡(luò)與辦公網(wǎng)絡(luò)連接形成企業(yè)內(nèi)部網(wǎng)絡(luò)；企業(yè)內(nèi)部網(wǎng)絡(luò)與外面的云平臺(tái)連接、第三方供應(yīng)鏈連接、客戶的網(wǎng)絡(luò)連接。由此產(chǎn)生的主要安全挑戰(zhàn)包括：網(wǎng)絡(luò)數(shù)據(jù)傳遞過(guò)程的常見(jiàn)網(wǎng)絡(luò)威脅（如：拒絕服務(wù)、中間人攻擊等），網(wǎng)絡(luò)傳輸鏈路上的硬件和軟件安全（如：軟件漏洞、配置不合理等），無(wú)線網(wǎng)絡(luò)技術(shù)使用帶來(lái)的網(wǎng)絡(luò)防護(hù)邊界模糊等。

4）IT和OT系統(tǒng)安全管理相互獨(dú)立互操作困難

隨著智能制造的網(wǎng)絡(luò)化和數(shù)字化發(fā)展，工業(yè)與IT的高度融合，企業(yè)內(nèi)部人員，如：工程師、管理人員、現(xiàn)場(chǎng)操作員、企業(yè)高層管理人員等，其“有意識(shí)”或“無(wú)意識(shí)”的行為，可能破壞工業(yè)系統(tǒng)、傳播惡意軟件、忽略工作異常等，因?yàn)榫W(wǎng)絡(luò)的廣泛使用，這些挑戰(zhàn)的影響將會(huì)急劇放大；而針對(duì)人的社會(huì)工程學(xué)、釣魚(yú)攻擊、郵件掃描攻擊等大量攻擊都利用了員工無(wú)意泄露的敏感信息。因此，在智能制造+互聯(lián)網(wǎng)中，人員管理也面臨巨大的安全挑戰(zhàn)。

5）生產(chǎn)數(shù)據(jù)面臨丟失、泄露、篡改等安全威脅

智能制造工廠內(nèi)部生產(chǎn)管理數(shù)據(jù)、生產(chǎn)操作數(shù)據(jù)以及工廠外部數(shù)據(jù)等各類數(shù)據(jù)的安全問(wèn)題，不管數(shù)據(jù)是通過(guò)大數(shù)據(jù)平臺(tái)存儲(chǔ)、還是分布在用戶、生產(chǎn)終端、設(shè)計(jì)服務(wù)器等多種設(shè)備上，海量數(shù)據(jù)都將面臨數(shù)據(jù)丟失、泄露、篡改等安全威脅。

該怎樣提升工控系統(tǒng)安全防護(hù)等級(jí)？

認(rèn)識(shí)到問(wèn)題，當(dāng)然要解決問(wèn)題，李航給出了六步提升安全防護(hù)等級(jí)建議：

1、資產(chǎn)發(fā)現(xiàn)及梳理：對(duì)工控網(wǎng)絡(luò)中的IT資產(chǎn)和OT資產(chǎn)進(jìn)行發(fā)現(xiàn)、識(shí)別和梳理，定位資產(chǎn)類型、數(shù)量、位置等信息，摸清互聯(lián)關(guān)系、網(wǎng)絡(luò)拓?fù)浜蛿?shù)據(jù)流向。

2、通過(guò)流量分析確定感染面：根據(jù)工控網(wǎng)絡(luò)拓?fù)?，在關(guān)鍵或核心交換節(jié)點(diǎn)上，部署采用最新威脅情報(bào)驅(qū)動(dòng)的非侵入式被動(dòng)流量監(jiān)測(cè)手段，掌握工業(yè)網(wǎng)絡(luò)運(yùn)行現(xiàn)狀、進(jìn)行實(shí)時(shí)流量檢測(cè)，發(fā)現(xiàn)威脅進(jìn)行實(shí)時(shí)告警并生成攻擊事件。對(duì)于DNS管理相對(duì)集中的企業(yè)，還可以對(duì)DNS的流量進(jìn)行更精準(zhǔn)的監(jiān)測(cè)分析。通過(guò)對(duì)流量以及DNS流量的分析，確認(rèn)威脅事件的感染面。

3、隔離感染面，防止威脅擴(kuò)散：對(duì)于通過(guò)技術(shù)手段確認(rèn)威脅的感染面，盡快采取應(yīng)急的隔離手段。根據(jù)工業(yè)網(wǎng)絡(luò)的業(yè)務(wù)特點(diǎn)，對(duì)網(wǎng)絡(luò)進(jìn)行分區(qū)分域，在區(qū)域之間部署具有工業(yè)協(xié)議解析能力和入侵監(jiān)測(cè)能力的網(wǎng)關(guān)設(shè)備，針對(duì)特殊的工控通信協(xié)議進(jìn)行解析，識(shí)別并防御其中的安全事件，布置相關(guān)防御策略，保障網(wǎng)絡(luò)安全。對(duì)工業(yè)網(wǎng)絡(luò)上的工業(yè)主機(jī)升級(jí)可用補(bǔ)丁，部署基于白名單的工業(yè)主機(jī)防護(hù)軟件，保障端點(diǎn)安全。針對(duì)工業(yè)網(wǎng)絡(luò)中應(yīng)用的虛擬化主機(jī)進(jìn)行統(tǒng)一管理，部署針對(duì)虛擬化技術(shù)特殊風(fēng)險(xiǎn)的虛擬主機(jī)防護(hù)軟件。

4、采取應(yīng)急措施盡快恢復(fù)業(yè)務(wù)：在確定了威脅的感染面或威脅終端后，要采取應(yīng)急措施盡快保證業(yè)務(wù)的恢復(fù)。可以在工控機(jī)上部署安全產(chǎn)品進(jìn)行威脅的處置，對(duì)于無(wú)法部署安全產(chǎn)品的終端，可以通過(guò)恢復(fù)備份的方式盡快恢復(fù)業(yè)務(wù)。

5、通過(guò)網(wǎng)絡(luò)監(jiān)測(cè)設(shè)備進(jìn)行存量病毒和漏洞處置：一般情況下可以通過(guò)流量分析和漏洞掃描對(duì)工控網(wǎng)絡(luò)中的存量病毒和漏洞進(jìn)行發(fā)現(xiàn)，進(jìn)而通過(guò)安裝工控主機(jī)安全防護(hù)系統(tǒng)等手段進(jìn)行病毒和漏洞問(wèn)題的處理。對(duì)于一些運(yùn)行著重要業(yè)務(wù)的工控機(jī)，應(yīng)盡量避免漏洞掃描可能引發(fā)的業(yè)務(wù)中斷的風(fēng)險(xiǎn)，可以通過(guò)威脅評(píng)估系統(tǒng)對(duì)工控主機(jī)進(jìn)行全面的安全評(píng)估。

6、建立或完善安全組織機(jī)構(gòu)，實(shí)現(xiàn)安全運(yùn)營(yíng)：在一把手授權(quán)下，建立主管工業(yè)網(wǎng)絡(luò)安全的組織機(jī)構(gòu)、權(quán)責(zé)范圍、配合安全服務(wù)建立事前檢測(cè)，事中響應(yīng)，事后分析的安全運(yùn)營(yíng)體系。通過(guò)對(duì)單次威脅事件的溯源分析設(shè)計(jì)整改方案和檢查標(biāo)準(zhǔn)，進(jìn)一步推進(jìn)整改方案和檢查標(biāo)準(zhǔn)的落地并不斷完善、持續(xù)監(jiān)測(cè)，形成安全運(yùn)營(yíng)的閉環(huán)。

小結(jié)

整體來(lái)說(shuō)，采用工業(yè)互聯(lián)網(wǎng)或智能制造戰(zhàn)略帶來(lái)的效益是巨大的，英飛凌曾介紹稱，得益于工業(yè)4.0的部署，其目前已收獲生產(chǎn)周期縮短50%、生產(chǎn)效率提升10%、能源成本每年降低100萬(wàn)歐元。

尤其在政策的推動(dòng)下，IT/OT融合正在加速，但隨之帶來(lái)的安全風(fēng)險(xiǎn)也是巨大的。公安部一所、三所原所長(zhǎng)嚴(yán)明曾說(shuō)的一句話雖然簡(jiǎn)單直接，但相信很多人特別認(rèn)同：“做應(yīng)用的認(rèn)為自己在飛奔，做安全的其實(shí)看他們?cè)诼惚??！?/p>

同理，在享受工業(yè)互聯(lián)網(wǎng)“紅利”的同時(shí)，您又是否為安全做好準(zhǔn)備了呢？