序言：作為思想的載體和知識(shí)的探索者，寫作是一種獨(dú)特的藝術(shù)，我們?yōu)槟鷾?zhǔn)備了不同風(fēng)格的5篇工業(yè)互聯(lián)網(wǎng)安全分析，期待它們能激發(fā)您的靈感。

篇1

1、威脅情報(bào)繼續(xù)升溫

2015年威脅情報(bào)受到熱捧，預(yù)計(jì)2016年威脅情報(bào)需求將持續(xù)升溫。2015年，360公司以90多億樣本、數(shù)萬億條防護(hù)日志和數(shù)十億DNS解析記錄、國內(nèi)最大的漏洞庫等海量數(shù)據(jù)為基礎(chǔ)，在國內(nèi)建成首個(gè)威脅情報(bào)中心，并開始商用。安全威脅情報(bào)創(chuàng)業(yè)企業(yè)----微步在線則完成千萬元天使輪融資。很多安全廠商都表示將會(huì)為自己的安全產(chǎn)品提供威脅情報(bào)源支持，以提升其產(chǎn)品發(fā)現(xiàn)安全威脅的能力。缺乏威脅情報(bào)收集能力的企業(yè)會(huì)考慮采集成第三方的威脅情報(bào)服務(wù)。要發(fā)揮威脅情報(bào)的價(jià)值，離不開安全廠商、用戶以及政府相關(guān)機(jī)構(gòu)的威脅情報(bào)共享。2016年將會(huì)看到安全廠商之間在威脅情報(bào)方面的更多合作。

2、安全態(tài)勢(shì)感知成熱點(diǎn)

安全態(tài)勢(shì)感知并非新概念，但長期以來，安全態(tài)勢(shì)感知更多停留在理論研究層面。隨著大數(shù)據(jù)分析技術(shù)的成熟和應(yīng)用，安全態(tài)勢(shì)感知才真正進(jìn)入實(shí)用階段。依靠分布式、近實(shí)時(shí)、自動(dòng)化的大數(shù)據(jù)分析手段和可視化能力，安全人員實(shí)現(xiàn)對(duì)不同安全設(shè)備、IT系統(tǒng)的信息進(jìn)行分析，及對(duì)內(nèi)部用戶行為的監(jiān)測，從而可以全面、快速、準(zhǔn)確地感知過去、現(xiàn)在、未來的安全威脅，實(shí)時(shí)了解網(wǎng)絡(luò)的安全態(tài)勢(shì)，實(shí)現(xiàn)了安全威脅看得見、防得住、可溯源。它可以幫助用戶了解自身任意時(shí)間所發(fā)生的一切，能以最理想的方式應(yīng)對(duì)安全狀況變化，改變了那種部署了安全設(shè)備卻無法感知威脅的情況。

3、大數(shù)據(jù)安全分析獲認(rèn)可

現(xiàn)在企業(yè)都擁有大量、復(fù)雜的數(shù)據(jù)集----來自IT與安全設(shè)備，多到無法進(jìn)行人工分析，傳統(tǒng)的安全運(yùn)營平臺(tái)(SOC，相當(dāng)于國外SIEM)，無法對(duì)這些非結(jié)構(gòu)化、海量數(shù)據(jù)進(jìn)行實(shí)時(shí)分析。隨著大數(shù)據(jù)技術(shù)的普及與應(yīng)用，企業(yè)開始部署大數(shù)據(jù)安全分析工具，以更好地發(fā)現(xiàn)數(shù)據(jù)間的聯(lián)系，實(shí)現(xiàn)對(duì)企業(yè)網(wǎng)絡(luò)的持續(xù)監(jiān)控。采用大數(shù)據(jù)分析手段，可以對(duì)以往無法處理的海量安全數(shù)據(jù)進(jìn)行近乎實(shí)時(shí)的分析，可以盡快發(fā)現(xiàn)異常狀況，進(jìn)行安全響應(yīng)。現(xiàn)在“數(shù)據(jù)驅(qū)動(dòng)安全”的理念正在逐步為用戶接受，預(yù)計(jì)2016年大數(shù)據(jù)安全分析產(chǎn)品將會(huì)得到更多用戶認(rèn)可。

4、終端檢測響應(yīng)產(chǎn)品興起

對(duì)于很多企業(yè)安全主管來說，實(shí)時(shí)了解每個(gè)終端的狀況和運(yùn)行程序，提升安全檢測和響應(yīng)能力是最迫切的需求。Gartner副總裁兼著名分析師Neil MacDonald認(rèn)為，信息安全的關(guān)鍵是縱深防御，單靠預(yù)防來抵御攻擊是徒勞的，更重要的是快速檢測和響應(yīng)攻擊。這也是被稱為EDR(終端檢測與響應(yīng))產(chǎn)品最近備受推崇的原因。EDR工具使企業(yè)IT部門可以關(guān)注企業(yè)運(yùn)營，而不是精疲力竭地跟蹤數(shù)據(jù)泄露趨勢(shì)和發(fā)展。它可以整合威脅情報(bào)數(shù)據(jù)并進(jìn)行自動(dòng)化處理，幫助公司對(duì)攻擊跡象即刻做出反應(yīng)。在網(wǎng)絡(luò)被攻陷數(shù)分鐘之后，IT管理員就可以隔離設(shè)備、對(duì)用戶發(fā)出提醒、安裝補(bǔ)丁或是刪除文件，迅速挫敗黑客的企圖。對(duì)用戶來說，除了終端安全檢測，更重要的可能是響應(yīng)。

5、邊界防御進(jìn)入?yún)f(xié)同時(shí)代

多家大型機(jī)構(gòu)遭遇嚴(yán)重?cái)?shù)據(jù)泄露的現(xiàn)實(shí)表明，基于簽名的傳統(tǒng)邊界防護(hù)產(chǎn)品對(duì)應(yīng)對(duì)黑客的高級(jí)持續(xù)攻擊行為是無效的，以至于少數(shù)企業(yè)準(zhǔn)備完全放棄邊界防護(hù)產(chǎn)品。但邊界防護(hù)工具對(duì)防止惡意軟件仍發(fā)揮重要作用，是安全鏈的必要環(huán)節(jié)之一。但與過去那種只重視部署在網(wǎng)絡(luò)邊界、基于簽名的攔截功能不同，安全廠商推出了得到威脅情報(bào)支持的新一代防火墻，這種基于分布式架構(gòu)的防火墻產(chǎn)品具有高性能與快速轉(zhuǎn)發(fā)的特性，與互聯(lián)網(wǎng)云平臺(tái)、未知威脅感知系統(tǒng)、安全運(yùn)營平臺(tái)、終端形成聯(lián)動(dòng)的縱深立體防御，從而可更快地發(fā)現(xiàn)未知威脅。

6、漏洞響應(yīng)漸成主流需求

零日漏洞成為黑客攻擊的重要手段，很多數(shù)據(jù)泄露事件都與零日漏洞密不可分。目前政府與企業(yè)用戶都對(duì)漏洞預(yù)警服務(wù)顯示出了強(qiáng)勁需求。在國內(nèi)市場，補(bǔ)天、烏云等平臺(tái)可以為用戶提供定制的漏洞發(fā)現(xiàn)與預(yù)警服務(wù)。在安全人員發(fā)現(xiàn)漏洞時(shí)，可以在第一時(shí)間聯(lián)系用戶，進(jìn)行漏洞修復(fù)工作，從而可以減少數(shù)據(jù)泄露的風(fēng)險(xiǎn)。但不可忽視的是，仍有很多機(jī)構(gòu)對(duì)于曝出的安全漏洞采取漠視態(tài)度。國內(nèi)某政府機(jī)構(gòu)在被曝出漏洞后僅僅是將相關(guān)服務(wù)器一關(guān)了之。隨著各方對(duì)安全漏洞的重視，這種對(duì)漏洞預(yù)警和響應(yīng)的需求將會(huì)逐步增加。

7、安全即服務(wù)成為新導(dǎo)向

安全即服務(wù)(Security as a Services)意味著利用云端基礎(chǔ)設(shè)施，進(jìn)行安全部署、更新和日常管理工作。盡管早在10年前就有企業(yè)推出了SaaS模式的安全服務(wù)，但功能與管控能力無法與本地安全產(chǎn)品相比。隨著可用性的提高，從云端進(jìn)行安全管理的模式，現(xiàn)在已逐步顯示出強(qiáng)大的競爭力。基于云的安全解決方案能實(shí)現(xiàn)快速部署和管理，擁有比單一客戶端更強(qiáng)大的計(jì)算能力，還可匯總更多來源的威脅信息，能更準(zhǔn)確地發(fā)現(xiàn)和阻止安全威脅。Intel安全、Sophos等廠商都推出云端的安全管理服務(wù)，在本土廠商中，360也在解決方案中強(qiáng)調(diào)與云端聯(lián)動(dòng)，實(shí)現(xiàn)云端病毒查殺和云端威脅情報(bào)支持。

8、萬物互聯(lián)時(shí)代工控安全備受關(guān)注

兩化融合的推進(jìn)以及互聯(lián)網(wǎng)+戰(zhàn)略的推進(jìn)，讓原來獨(dú)立運(yùn)行的控制設(shè)備進(jìn)行了聯(lián)網(wǎng)和集中式管理，與互聯(lián)網(wǎng)等公共網(wǎng)絡(luò)的連接使得病毒、木馬等威脅輕而易舉地?cái)U(kuò)散到了工業(yè)控制系統(tǒng)，網(wǎng)絡(luò)安全問題也隨之而來，但目前我國很多行業(yè)的工業(yè)控制系統(tǒng)幾乎是在沒有任何防護(hù)的狀態(tài)下，暴露在萬物互聯(lián)的環(huán)境中。這些風(fēng)險(xiǎn)都是潛在的，并不像生產(chǎn)現(xiàn)場安全隱患那樣看得見摸得著。傳統(tǒng)安全廠商的網(wǎng)御神州、綠盟科技、啟明星辰、中科網(wǎng)威以及工控系統(tǒng)廠商西門子、施耐德、和利時(shí)等也都基于自身的優(yōu)勢(shì)推出了各自特色的安全產(chǎn)品或解決方案。基于日益嚴(yán)重的ICS系統(tǒng)所面臨的安全威脅及可能的存在嚴(yán)重破壞后果，來自政府合規(guī)性的推動(dòng)也越來越明顯，預(yù)期2016年，工控系統(tǒng)安全市場會(huì)加速成長。但工控信息安全復(fù)雜，工控與安全行業(yè)的結(jié)合將是個(gè)漸進(jìn)過程。

篇2

各類高級(jí)威脅層出不窮

譚曉生表示，近幾年來，如APT攻擊、木馬遠(yuǎn)控、0day、社會(huì)工程攻擊、網(wǎng)絡(luò)釣魚等高級(jí)威脅層出不窮。從針對(duì)政府、科研機(jī)構(gòu)、關(guān)鍵基礎(chǔ)設(shè)施的竊密、破壞行為，到高級(jí)威脅手法進(jìn)行攻擊以獲取高額經(jīng)濟(jì)利益。值得關(guān)注的是，360互聯(lián)網(wǎng)安全中心的《2016年中國互聯(lián)網(wǎng)安全報(bào)告》顯示，日益頻繁的APT等網(wǎng)絡(luò)攻擊，正在導(dǎo)致政企機(jī)密情報(bào)被竊取、工業(yè)系統(tǒng)被破壞、金融系統(tǒng)遭受經(jīng)濟(jì)損失，甚至對(duì)地緣政治產(chǎn)生影響。據(jù)了解，在過去的2016年，360威脅情報(bào)中心累計(jì)監(jiān)測到針對(duì)中國境內(nèi)目標(biāo)發(fā)動(dòng)攻擊的境內(nèi)外APT組織36個(gè)。中國成為全球APT攻擊的第一目標(biāo)國。

威脅情報(bào)是應(yīng)對(duì)高級(jí)威脅的有效手段

對(duì)于解決方案，譚曉生表示，高級(jí)威脅的檢測以及APT攻擊的防范是企業(yè)面臨的難題之一，而傳統(tǒng)的IPS/IDS、防火墻、殺毒軟件等防御手段面對(duì)花樣翻新的攻擊顯得捉襟見肘。

通過大數(shù)據(jù)安全分析以及威脅情報(bào)驅(qū)動(dòng)，形成協(xié)同的安全O控、響應(yīng)和深度防御系統(tǒng)，才能夠有效應(yīng)對(duì)這些高級(jí)威脅。

威脅情報(bào)是網(wǎng)絡(luò)安全防御進(jìn)化的必然結(jié)果，安全防御也將從過去的基于漏洞的防御方法改變?yōu)楫?dāng)前的以威脅情報(bào)為核心方法。

篇3

【 關(guān)鍵詞 】 工業(yè)控制系統(tǒng)；scada；安全防護(hù)；解決方案

1 引言

現(xiàn)代工業(yè)控制系統(tǒng)（ics）包括數(shù)據(jù)采集系統(tǒng)（scada），分布式控制系統(tǒng)（dcs），程序邏輯控制（plc）以及其他控制系統(tǒng)等，目前已應(yīng)用于電力、水力、石化、醫(yī)藥、食品以及汽車、航天等工業(yè)領(lǐng)域，成為國家關(guān)鍵基礎(chǔ)設(shè)施的重要組成部分，關(guān)系到國家的戰(zhàn)略安全。為此，《國家信息安全產(chǎn)業(yè)“十二五”規(guī)劃》特別將工業(yè)控制系統(tǒng)安全技術(shù)作為重點(diǎn)發(fā)展的關(guān)鍵技術(shù)之一。

與傳統(tǒng)基于tcp/ip協(xié)議的網(wǎng)絡(luò)與信息系統(tǒng)的安全相比，我國ics的安全保護(hù)水平明顯偏低，長期以來沒有得到關(guān)注。大多數(shù)ics在開發(fā)時(shí)，由于傳統(tǒng)ics技術(shù)的計(jì)算資源有限，在設(shè)計(jì)時(shí)只考慮到效率和實(shí)時(shí)等特性，并未將安全作為一個(gè)主要的指標(biāo)考慮。隨著信息化的推動(dòng)和工業(yè)化進(jìn)程的加速，越來越多的計(jì)算機(jī)和網(wǎng)絡(luò)技術(shù)應(yīng)用于工業(yè)控制系統(tǒng)，在為工業(yè)生產(chǎn)帶來極大推動(dòng)作用的同時(shí)，也帶來了ics的安全問題，如木馬、病毒、網(wǎng)絡(luò)攻擊造成信息泄露和控制指令篡改等。工業(yè)基礎(chǔ)設(shè)施中關(guān)鍵ics系統(tǒng)的安全事件會(huì)導(dǎo)致出現(xiàn)：（1）系統(tǒng)性能下降，影響系統(tǒng)可用性；（2）關(guān)鍵控制數(shù)據(jù)被篡改或喪失；（3）失去控制；（4）嚴(yán)重的經(jīng)濟(jì)損失；（5）環(huán)境災(zāi)難；（6）人員傷亡；（7）破壞基礎(chǔ)設(shè)施；（8）危及公眾安全及國家安全。

據(jù)權(quán)威工業(yè)安全事件信息庫risi（repository of security incidents）的統(tǒng)計(jì)，截止2011年10月，全球已發(fā)生200余起針對(duì)工業(yè)控制系統(tǒng)的攻擊事件。2001年后，通用開發(fā)標(biāo)準(zhǔn)與互聯(lián)網(wǎng)技術(shù)的廣泛使用，使得針對(duì)ics系統(tǒng)的攻擊行為出現(xiàn)大幅度增長，ics系統(tǒng)對(duì)于信息安全管理的需求變得更加迫切。

典型工業(yè)控制系統(tǒng)入侵事件：

（1） 2007年，攻擊者入侵加拿大的一個(gè)水利scada控制系統(tǒng)，通過安裝惡意軟件破壞了用于取水調(diào)度的控制計(jì)算機(jī)；

（2） 2008年，攻擊者入侵波蘭某城市的地鐵系統(tǒng)，通過電視遙控器改變軌道扳道器，導(dǎo)致4節(jié)車廂脫軌；

（3） 2010年，“網(wǎng)絡(luò)超級(jí)武器”stuxnet病毒通過針對(duì)性的入侵ics系統(tǒng)，嚴(yán)重威脅到伊朗布什爾核電站核反應(yīng)堆的安全運(yùn)營；

（4） 2011年，黑客通過入侵?jǐn)?shù)據(jù)采集與監(jiān)控系統(tǒng)scada，使得美國伊利諾伊州城市供水系統(tǒng)的供水泵遭到破壞。

2 工業(yè)控制系統(tǒng)的安全分析

分析可以發(fā)現(xiàn)，造成工業(yè)控制系統(tǒng)安全風(fēng)險(xiǎn)加劇的主要原因有兩方面。

首先，傳統(tǒng)工業(yè)控制系統(tǒng)的出現(xiàn)時(shí)間要早于互聯(lián)網(wǎng)，它需要采用專用的硬件、軟件和通信協(xié)議，設(shè)計(jì)上基本沒有考慮互聯(lián)互通所必須考慮的通信安全問題。

其次，互聯(lián)網(wǎng)技術(shù)的出現(xiàn)，導(dǎo)致工業(yè)控制網(wǎng)絡(luò)中大量采用通用tcp/ip技術(shù)，工業(yè)控制系統(tǒng)與各種業(yè)務(wù)系統(tǒng)的協(xié)作成為可能，愈加智能的ics網(wǎng)絡(luò)中各種應(yīng)用、工控設(shè)備以及辦公用pc系統(tǒng)逐漸形成一張復(fù)雜的網(wǎng)絡(luò)拓?fù)洹Ａ硪环矫妫到y(tǒng)復(fù)雜性、人為事故、操作失誤、設(shè)備故障和自然災(zāi)害等也會(huì)對(duì)ics造成破壞。在現(xiàn)代計(jì)算機(jī)和網(wǎng)絡(luò)技術(shù)融合進(jìn)ics后，傳統(tǒng)icp/ip網(wǎng)絡(luò)上常見的安全問題已經(jīng)紛紛出現(xiàn)在ics之上。例如用戶可以隨意安裝、運(yùn)行各類應(yīng)用軟件、訪問各類網(wǎng)站信息，這類行為不僅影響工作效率、浪費(fèi)系統(tǒng)資源，而且還是病毒、木馬等惡意代碼進(jìn)入系統(tǒng)的主要原因和途徑。以stuxnet蠕蟲為例，其充分利用了伊朗布什爾核電站工控網(wǎng)絡(luò)中工業(yè)pc與控制系統(tǒng)存在的安全漏洞（lik文件處理漏洞、打印機(jī)漏洞、rpc漏洞、wincc漏洞、s7項(xiàng)目文件漏洞以及autorun.inf漏洞）。

2.1 安全策略與管理流程的脆弱性

追求可用性而犧牲安全，這是很多工業(yè)控制系統(tǒng)存在普遍現(xiàn)象，缺乏完整有效的安全策略與管理流程是當(dāng)前我國工業(yè)控制系統(tǒng)的最大難題，很多已經(jīng)實(shí)施了安全防御措施的ics網(wǎng)絡(luò)仍然會(huì)因?yàn)楣芾砘虿僮魃系氖д`，造成ics系統(tǒng)出現(xiàn)潛在的安全短板。例如，工業(yè)控制系統(tǒng)中的移動(dòng)存儲(chǔ)介質(zhì)的使用和不嚴(yán)格的訪問控制策略。

作為信息安全管理的重要組成部分，制定滿足業(yè)務(wù)場景需求的安全策略，并依據(jù)策略制定管理流程，是確保ics系統(tǒng)穩(wěn)定運(yùn)行的基礎(chǔ)。參照nerccip、ansi/isa-99、iec62443等國際標(biāo)準(zhǔn)，目前我國安全策略與管理流程的脆弱

性表現(xiàn)為：（1）缺乏安全架構(gòu)與設(shè)計(jì)；（2）缺乏ics的安全策略；（3）缺乏ics安全審計(jì)機(jī)制；（4）缺乏針對(duì)ics的業(yè)務(wù)連續(xù)性與災(zāi)難恢復(fù)計(jì)劃；（5）缺乏針對(duì)ics配置變更管理；（6）缺乏根據(jù)安全策略制定的正規(guī)、可備案的安全流程（移動(dòng)存儲(chǔ)設(shè)備安全使用流程與規(guī)章制度、互聯(lián)網(wǎng)安全訪問流程與規(guī)章制度）；（7）缺乏ics的安全培訓(xùn)與意識(shí)培養(yǎng)；（8）缺乏人事安全策略與流程（人事招聘、離職安全流程與規(guī)章制度、ics安全培訓(xùn)和意識(shí)培養(yǎng)課程）。

2.2 工控平臺(tái)的脆弱性

由于ics終端的安全防護(hù)技術(shù)措施十分薄弱，所以病毒、木馬、黑客等攻擊行為都利用這些安全弱點(diǎn)，在終端上發(fā)生、發(fā)起，并通過網(wǎng)絡(luò)感染或破壞其他系統(tǒng)。事實(shí)是所有的入侵攻擊都是從終端上發(fā)起的，黑客利用被攻擊系統(tǒng)的漏洞竊取超級(jí)用戶權(quán)限，肆意進(jìn)行破壞。注入病毒也是從終端發(fā)起的，病毒程序利用操作系統(tǒng)對(duì)執(zhí)行代碼不檢查一致性弱點(diǎn)，將病毒代碼嵌入到執(zhí)行代碼程序，實(shí)現(xiàn)病毒傳播。更為嚴(yán)重的是對(duì)合法的用戶沒有進(jìn)行嚴(yán)格的訪問控制，可以進(jìn)行越權(quán)訪問，造成不安全事故。

目前，多數(shù)ics網(wǎng)絡(luò)僅通過部署防火墻來保證工業(yè)網(wǎng)絡(luò)與辦公網(wǎng)絡(luò)的相對(duì)隔離，各個(gè)工業(yè)自動(dòng)化單元之間缺乏可靠的安全通信機(jī)制，數(shù)據(jù)加密效果不佳，工業(yè)控制協(xié)議的識(shí)別能力不理想，加之缺乏行業(yè)標(biāo)準(zhǔn)規(guī)范與管理制度，工業(yè)控制系統(tǒng)的安全防御能力十分有限。例如基于dcom編程規(guī)范的opc接口幾乎不可能使用傳統(tǒng)的it防火墻來確保其安全性，在某企業(yè)的scada系統(tǒng)應(yīng)用中，需要開放使用opc通訊接口，在對(duì)dcom進(jìn)行配置后，刻毒蟲病毒（計(jì)算機(jī)頻繁使用u盤所感染）利用windows系統(tǒng)的ms08-67漏洞進(jìn)行傳播，造成windows系統(tǒng)頻繁死機(jī)。 　另一種容易忽略的情況是，由于不同行業(yè)的應(yīng)用場景不同，其對(duì)于功能區(qū)域的劃分和安全防御的要求也各不相同，而對(duì)于利用針對(duì)性通信協(xié)議與應(yīng)用層協(xié)議的漏洞來傳播的惡意攻擊行為更是無能為力。更為嚴(yán)重的是工業(yè)控制系統(tǒng)的補(bǔ)丁管理效果始終無法令人滿意，考慮到ics補(bǔ)丁升級(jí)所存在的運(yùn)行平臺(tái)與軟件版本限制，以及系統(tǒng)可用性與連續(xù)性的硬性要求，ics系統(tǒng)管理員絕不會(huì)輕易安裝非ics設(shè)備制造商指定的升級(jí)補(bǔ)丁。與此同時(shí)，工業(yè)系統(tǒng)補(bǔ)丁動(dòng)輒半年的補(bǔ)丁周期，也讓攻擊者有較多的時(shí)間來利用已存在漏洞發(fā)起攻擊。以stuxnet蠕蟲為例，其惡意代碼可能對(duì)siemens的cpu315-2和cpu417進(jìn)行代碼篡改，而siemens的組態(tài)軟件（wincc、step7、pcs7）對(duì)windows的系統(tǒng)補(bǔ)丁有著嚴(yán)格的兼容性要求，隨意的安裝補(bǔ)丁可能會(huì)導(dǎo)致軟件的某些功能異常。

2.3 網(wǎng)絡(luò)的脆弱性

ics的網(wǎng)絡(luò)脆弱性一般來源于軟件的漏洞、錯(cuò)誤配置或者ics網(wǎng)絡(luò)管理的失誤。另外，ics與其他網(wǎng)絡(luò)互連時(shí)缺乏安全邊界控制，也是常見的安全隱患。當(dāng)前ics網(wǎng)絡(luò)主要的脆弱性集中體現(xiàn)在幾個(gè)方面。

（1） 網(wǎng)絡(luò)配置的脆弱性（有缺陷的網(wǎng)絡(luò)安全架構(gòu)、未部署數(shù)據(jù)流控制、安全設(shè)備配置不當(dāng)、網(wǎng)絡(luò)設(shè)備的配置未存儲(chǔ)或備份、口令在傳輸過程中未加密、網(wǎng)絡(luò)設(shè)備采用永久性的口令、采用的訪問控制不充分）。

（2） 網(wǎng)絡(luò)硬件的脆弱性（網(wǎng)絡(luò)設(shè)備的物理防護(hù)不充分、未保護(hù)的物理端口、喪失環(huán)境控制、非關(guān)鍵人員能夠訪問設(shè)備或網(wǎng)絡(luò)連接、關(guān)鍵網(wǎng)絡(luò)缺乏冗余備份）。

（3） 網(wǎng)絡(luò)邊界的脆弱性（未定義安全邊界、未部署防火墻或配置不當(dāng)、用控制網(wǎng)絡(luò)傳輸非控制流量、控制相關(guān)的服務(wù)未部署在控制網(wǎng)絡(luò)內(nèi)）。

（4） 網(wǎng)絡(luò)監(jiān)控與日志的脆弱性（防火墻、路由器日志記錄不充分、ics網(wǎng)絡(luò)缺乏安全監(jiān)控）。

（5） 網(wǎng)絡(luò)通信的脆弱性（未標(biāo)識(shí)出關(guān)鍵的監(jiān)控與控制路徑、以明文方式采用標(biāo)準(zhǔn)的或文檔公開的通信協(xié)議、用戶、數(shù)據(jù)與設(shè)備的認(rèn)證是非標(biāo)準(zhǔn)的。

（6） 或不存在、通信缺乏完整性檢查。

（7） 無線連接的脆弱性（客戶端與ap之間的認(rèn)證不充分、客戶端與ap之間的數(shù)據(jù)缺乏保護(hù)）。

3 工業(yè)控制系統(tǒng)的安全解決方案

工業(yè)控制系統(tǒng)的安全解決方案必須考慮所有層次的安全防護(hù)安全解決方案，必須考慮所有層次的安全防護(hù)。

（1） 工廠安全（對(duì)未經(jīng)授權(quán)的人員阻止其訪問、物理上防止其對(duì)關(guān)鍵部件的訪問）。

（2） 工廠it安全（采用防火墻等技術(shù)對(duì)辦公網(wǎng)與自動(dòng)化控制網(wǎng)絡(luò)之間的接口進(jìn)行控制、進(jìn)一步對(duì)自動(dòng)化控制網(wǎng)絡(luò)進(jìn)行分區(qū)與隔離、部署反病毒措施，并在軟件中采

用白名單機(jī)制、定義維護(hù)與更新的流程）。

（3） 訪問控制（對(duì)自動(dòng)化控制設(shè)備與網(wǎng)絡(luò)操作員進(jìn)行認(rèn)證、在自動(dòng)化控制組件中集成訪問控制機(jī)制）工業(yè)場景下的安全解決方案必須考慮所有層次的安全防護(hù)。

根據(jù)國內(nèi)ics及企業(yè)管理的現(xiàn)狀，建議ics的信息安全機(jī)制的建立從三個(gè)方面考慮：1）借鑒國際規(guī)范制定適合我國國情的ics分區(qū)分級(jí)安全管理及隔離防護(hù)機(jī)制，制定相關(guān)技術(shù)標(biāo)準(zhǔn)，鼓勵(lì)國內(nèi)相關(guān)企業(yè)開發(fā)符合相關(guān)技術(shù)標(biāo)準(zhǔn)的專業(yè)防火墻、隔離網(wǎng)關(guān)等專業(yè)產(chǎn)品；2）按ics系統(tǒng)的應(yīng)用類型建立工控網(wǎng)絡(luò)信息安全網(wǎng)絡(luò)架構(gòu)規(guī)范和組網(wǎng)原則，制定ics系統(tǒng)網(wǎng)絡(luò)設(shè)備選取及運(yùn)行管理規(guī)范，禁止接入外來不可信存儲(chǔ)設(shè)備；3）建立市場準(zhǔn)入機(jī)制并制定相關(guān)文件。

目前，國內(nèi)大型成套設(shè)備的ics系統(tǒng)基本上以國外工控系統(tǒng)為主，甚至有些設(shè)備直接是國外全套進(jìn)口的。國外廠商在ics系統(tǒng)集成、調(diào)試和后續(xù)維護(hù)上有許多辦法和手段以降低工程項(xiàng)目的后期運(yùn)行維護(hù)成本。其中最典型的手段就是設(shè)備的遠(yuǎn)程維護(hù)，包括監(jiān)控、診斷、控制和遠(yuǎn)程代碼升級(jí)。這些功能的實(shí)施通常是借助外部公共網(wǎng)絡(luò)平臺(tái)遠(yuǎn)程操控。這些功能方便了系統(tǒng)開發(fā)建造商，但給我們的大型（包括重點(diǎn)）工業(yè)項(xiàng)目的日后運(yùn)行帶來重大隱患。外部攻擊者可以通過這些路由控制或改變、介入并控制ics系統(tǒng)。從信息安全的角度應(yīng)嚴(yán)格控制國外具有遠(yuǎn)程外部操作后門的ics系統(tǒng)與裝置進(jìn)入國內(nèi)核心工控系統(tǒng)。另外，隨著高性能的通用pc平臺(tái)與工控系統(tǒng)對(duì)接，越來越多的工控核心裝置采用pc硬件平臺(tái)和微軟操作系統(tǒng)作為系統(tǒng)的核心，這樣做的好處是借助pc平臺(tái)和微軟軟件系統(tǒng)下的大量高性能軟件資源降低開發(fā)成本。但這樣做的危害是將工控系統(tǒng)置于pc平臺(tái)中的各種病毒和網(wǎng)絡(luò)攻擊的威脅下。雖然相關(guān)企業(yè)不斷推出各種補(bǔ)丁與升級(jí)，但工控系統(tǒng)24小時(shí)常年不斷的運(yùn)行模式使得這種間歇式的軟件修補(bǔ)與升級(jí)顯得非常無助。所以選用基于pc硬件平臺(tái)和微軟操作系統(tǒng)的底層ics裝置進(jìn)入核心工控系統(tǒng)應(yīng)該予以認(rèn)真考慮。

參考文獻(xiàn)

[1] 王孝良，崔保紅，李思其.關(guān)于工控系統(tǒng)的安全思考與建議.第27次全國計(jì)算機(jī)安全學(xué)術(shù)交流會(huì)，2012.08.

[2] 張帥.ics工業(yè)控制系統(tǒng)安全分析.計(jì)算機(jī)安全，2012.01.

[3] 唐文.工業(yè)基礎(chǔ)設(shè)施信息安全.2011.

[4] 石勇，劉巍偉，劉博.工業(yè)控制系統(tǒng)（ics）的安全研究.網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2008.04.

作者簡介：