張清江,周 瑩

（黑龍江省國(guó)防科學(xué)技術(shù)研究院,哈爾濱 150090）

0 引言

隨著兩化融合進(jìn)程的不斷推進(jìn)及工業(yè)控制系統(tǒng)的逐漸開放，無(wú)線傳感網(wǎng)絡(luò)、移動(dòng)信息互聯(lián)、物聯(lián)網(wǎng)技術(shù)、精準(zhǔn)定位授時(shí)等信息技術(shù)，在能源、制造、化工、水利、交通等重要領(lǐng)域的控制系統(tǒng)中得到了深入的應(yīng)用，工業(yè)控制系統(tǒng)與IT系統(tǒng)逐步實(shí)現(xiàn)了協(xié)同工作和信息共享，進(jìn)一步提高了企業(yè)的運(yùn)營(yíng)管理水平。但在企業(yè)綜合效益提升的同時(shí)，工業(yè)控制系統(tǒng)也開始面臨IT系統(tǒng)面臨的木馬攻擊、病毒入侵和信息竊取等安全威脅，如果被敵對(duì)勢(shì)力獲取工業(yè)控制超級(jí)用戶管理權(quán)限，對(duì)核心設(shè)施進(jìn)行惡意攻擊的話，不僅會(huì)造成經(jīng)濟(jì)損失，也將會(huì)對(duì)人民生命安全造成嚴(yán)重的威脅[1]。

目前，我國(guó)明確提出要做好重要工業(yè)基礎(chǔ)設(shè)施信息安全保障工作，這也對(duì)信息安全保障服務(wù)的專業(yè)化程度和服務(wù)體系的建設(shè)提出了更高的要求，加強(qiáng)工業(yè)控制系統(tǒng)信息安全管理水平，提高抵御外來(lái)攻擊的能力，降低工業(yè)控制系統(tǒng)造成破壞的概率和可能性，以技術(shù)和管理手段改善工業(yè)控制信息安全現(xiàn)狀，保障國(guó)家安全與社會(huì)穩(wěn)定，已經(jīng)刻不容緩[2]。本文將圍繞工業(yè)控制系統(tǒng)風(fēng)險(xiǎn)評(píng)估、等級(jí)保護(hù)測(cè)評(píng)、代碼驗(yàn)證等核心環(huán)節(jié)，設(shè)計(jì)并提出工業(yè)控制系統(tǒng)信息安全專業(yè)化服務(wù)體系架構(gòu)，進(jìn)一步完善安全測(cè)評(píng)與加固、技術(shù)研發(fā)、人才培養(yǎng)以及信息安全咨詢等服務(wù)質(zhì)量，提高服務(wù)效率。

1 構(gòu)建專業(yè)化服務(wù)體系

目前，我國(guó)的工業(yè)控制系統(tǒng)信息安全管理和服務(wù)的相關(guān)標(biāo)準(zhǔn)規(guī)范還在醞釀中，僅部分行業(yè)部門出臺(tái)了試行的安全評(píng)估、測(cè)評(píng)等相關(guān)服務(wù)規(guī)范，整體安全服務(wù)工作還缺少依據(jù)[3]。綜合工業(yè)控制系統(tǒng)的共性特點(diǎn)、安全需求，其需要的核心服務(wù)主要包括系統(tǒng)安全測(cè)評(píng)、代碼檢測(cè)與環(huán)境驗(yàn)證、系統(tǒng)建設(shè)與加固、人才培養(yǎng)、滲透測(cè)試和網(wǎng)絡(luò)監(jiān)測(cè)預(yù)警等服務(wù)，以及能提供技術(shù)支撐的功能平臺(tái)[4]。對(duì)工業(yè)控制系統(tǒng)的安全服務(wù)需求進(jìn)行梳理，提出如下服務(wù)體系架構(gòu)，該架構(gòu)圍繞專業(yè)化服務(wù)項(xiàng)目、服務(wù)平臺(tái)和支撐環(huán)境建設(shè)展開，將為工控信息安全服務(wù)工作的開展提供組態(tài)化的解決方案。其中，服務(wù)項(xiàng)目是指服務(wù)機(jī)構(gòu)或部門要具備的必須的技術(shù)能力和評(píng)估水平，服務(wù)平臺(tái)是為相關(guān)服務(wù)開展提供技術(shù)支持的功能性平臺(tái)，支撐環(huán)境是為服務(wù)的有效性提供驗(yàn)證和基礎(chǔ)運(yùn)行的必要條件。

圖1 工業(yè)控制系統(tǒng)信息安全服務(wù)體系架構(gòu)

2 服務(wù)能力建設(shè)

2.1 內(nèi)網(wǎng)監(jiān)測(cè)與預(yù)警服務(wù)能力建設(shè)

根據(jù)工業(yè)控制系統(tǒng)內(nèi)部構(gòu)成情況，實(shí)現(xiàn)能夠?qū)?nèi)網(wǎng)非法入侵、惡意攻擊、內(nèi)常規(guī)網(wǎng)絡(luò)木馬、后門事件、常規(guī)蠕蟲事件、僵尸網(wǎng)絡(luò)事件、異常流量（端口流量、協(xié)議流量、IP流量等）事件進(jìn)行監(jiān)測(cè)預(yù)警的服務(wù)能力。

2.2 安全咨詢與培訓(xùn)能力建設(shè)

信息安全咨詢與培訓(xùn)能力建設(shè)包括對(duì)安全體系建設(shè)咨詢、研究項(xiàng)目合作咨詢、測(cè)評(píng)技術(shù)培訓(xùn)、系統(tǒng)安全體系培訓(xùn)等。通過(guò)信息咨詢服務(wù)體系定期發(fā)布重要工業(yè)控制系統(tǒng)最新漏洞、脆弱性、病毒等信息，為提高工業(yè)控制系統(tǒng)信息安全提供技術(shù)參考。同時(shí)，針對(duì)工業(yè)企業(yè)的現(xiàn)場(chǎng)管理流程和規(guī)范，對(duì)相關(guān)人員提供培訓(xùn)服務(wù)，主要從培訓(xùn)課程與實(shí)驗(yàn)環(huán)境兩個(gè)方面進(jìn)行人才培養(yǎng)，提升工業(yè)現(xiàn)場(chǎng)人員的安全管理能力和技術(shù)能力，構(gòu)建信息安全知識(shí)體系。

2.3 系統(tǒng)建設(shè)與加固服務(wù)能力建設(shè)

以工業(yè)控制系統(tǒng)實(shí)際運(yùn)行情況為基礎(chǔ)，參照國(guó)際和國(guó)內(nèi)的安全標(biāo)準(zhǔn)和規(guī)范，充分利用成熟的信息安全理論成果，為工業(yè)控制系統(tǒng)設(shè)計(jì)出兼顧整體性、可操作性，并且融策略、組織、運(yùn)作和技術(shù)為一體的安全解決方案。安全技術(shù)建設(shè)的總體目標(biāo)是：根據(jù)工控信息系統(tǒng)等級(jí)對(duì)應(yīng)的信息安全要求，建立一套可以滿足和實(shí)現(xiàn)這些安全要求的安全管理措施。安全管理措施包括適用的安全組織建設(shè)、安全策略建設(shè)和安全運(yùn)行建設(shè)。安全管理措施與具體的安全要求相對(duì)應(yīng)，在進(jìn)行安全管理建設(shè)時(shí)，針對(duì)各系統(tǒng)現(xiàn)狀和安全要求的差距選擇安全管理措施中對(duì)應(yīng)的安全管理手段。信息系統(tǒng)安全建設(shè)與加固的總體目標(biāo)是：采用等級(jí)化和體系化的設(shè)計(jì)方法，為工業(yè)企業(yè)訂制一整套的工控系統(tǒng)信息安全保障體系。根據(jù)安全體系的要求進(jìn)行安全規(guī)劃，將安全體系中的各類安全措施進(jìn)行打包，形成多個(gè)系列的解決方案，并落實(shí)安全實(shí)施項(xiàng)目規(guī)劃和工作規(guī)劃。

2.4 系統(tǒng)滲透測(cè)試服務(wù)能力建設(shè)

根據(jù)工業(yè)控制領(lǐng)域安全性需要，組織工業(yè)控制系統(tǒng)滲透性測(cè)試能力建設(shè)，以保障工業(yè)控制系統(tǒng)配置、系統(tǒng)漏洞、網(wǎng)絡(luò)流量、網(wǎng)絡(luò)信息定位等方面的安全。所涉及到的技術(shù)不僅僅包括傳統(tǒng)網(wǎng)絡(luò)安全滲透測(cè)試技術(shù)還有工業(yè)控制系統(tǒng)滲透測(cè)試技術(shù)，這些技術(shù)通過(guò)對(duì)傳統(tǒng)技術(shù)框架的改進(jìn)方式，實(shí)現(xiàn)對(duì)工業(yè)控制系統(tǒng)硬件、軟件和協(xié)議的支持。

2.5 代碼檢測(cè)與環(huán)境驗(yàn)證服務(wù)能力建設(shè)

針對(duì)工業(yè)控制系統(tǒng)的主要功能、性能指標(biāo)進(jìn)行檢測(cè)，檢驗(yàn)系統(tǒng)是否在連續(xù)性、實(shí)時(shí)性等方面滿足工業(yè)要求，并提供穩(wěn)定性驗(yàn)證服務(wù)以及實(shí)時(shí)性驗(yàn)證服務(wù)。

（1）穩(wěn)定性驗(yàn)證服務(wù)。通過(guò)并發(fā)訪問(wèn)、單人多線登錄、壓力測(cè)試等方法對(duì)系統(tǒng)的穩(wěn)定性進(jìn)行評(píng)價(jià)，驗(yàn)證系統(tǒng)的穩(wěn)定性是否符合工業(yè)生產(chǎn)要求。

（2）實(shí)時(shí)性驗(yàn)證服務(wù)。通過(guò)數(shù)據(jù)完整性、保密性、可用性檢測(cè)，對(duì)工業(yè)控制系統(tǒng)內(nèi)傳輸數(shù)據(jù)的時(shí)間數(shù)量級(jí)進(jìn)行記錄和評(píng)估，根據(jù)本行業(yè)的工業(yè)生產(chǎn)標(biāo)準(zhǔn)，驗(yàn)證系統(tǒng)實(shí)時(shí)性是否能夠滿足生產(chǎn)要求。

2.6 人才培養(yǎng)能力建設(shè)

從工控安全理論研究、技術(shù)研發(fā)等實(shí)驗(yàn)方面以及工控系統(tǒng)安全服務(wù)兩方面培養(yǎng)高層次信息安全專業(yè)人才，力爭(zhēng)將實(shí)驗(yàn)室建成一流信息安全人才培養(yǎng)基地。利用實(shí)驗(yàn)室的優(yōu)厚技術(shù)條件，進(jìn)行實(shí)際演練，掌握工業(yè)控制系統(tǒng)信息安全領(lǐng)域的關(guān)鍵技術(shù)，成為精通信息安全理論與技術(shù)的尖端人才。同時(shí)與各工控安全權(quán)威機(jī)構(gòu)聯(lián)合，通過(guò)共同開發(fā)與研究項(xiàng)目的形式，利用工業(yè)控制系統(tǒng)模擬環(huán)境，提供項(xiàng)目的實(shí)驗(yàn)與開發(fā)環(huán)境，保證技術(shù)領(lǐng)先性，培養(yǎng)可以從事信息安全研究的專業(yè)隊(duì)伍，為實(shí)現(xiàn)工業(yè)企業(yè)的信息安全保障輸送高質(zhì)量人才。

2.7 系統(tǒng)安全測(cè)評(píng)服務(wù)能力建設(shè)

測(cè)評(píng)服務(wù)能力是指為工業(yè)控制信息系統(tǒng)提供安全測(cè)評(píng)服務(wù)，集風(fēng)險(xiǎn)評(píng)估、等級(jí)保護(hù)測(cè)評(píng)等功能于一體。通過(guò)安全測(cè)評(píng)服務(wù)能力的建設(shè)，完善工業(yè)控制系統(tǒng)信息安全產(chǎn)品測(cè)評(píng)能力與手段，充實(shí)工業(yè)控制系統(tǒng)信息安全相關(guān)資源庫(kù)，在工控系統(tǒng)物理安全、網(wǎng)絡(luò)安全、主機(jī)安全和管理安全等方面，為系統(tǒng)應(yīng)用和控制過(guò)程提供最優(yōu)的安全尺度、安全層面、安全平臺(tái)。

3 服務(wù)平臺(tái)建設(shè)

服務(wù)平臺(tái)是服務(wù)開展的重要技術(shù)環(huán)境，平臺(tái)的建設(shè)將進(jìn)一步完善工業(yè)控制領(lǐng)域信息安全服務(wù)體制，提升工業(yè)控制領(lǐng)域信息安全服務(wù)效能，信息安全測(cè)評(píng)驗(yàn)證服務(wù)體系，逐步形成工業(yè)控制安全領(lǐng)域的產(chǎn)業(yè)多層次、多渠道、多元化的綜合服務(wù)體系。平臺(tái)架構(gòu)如圖2所示。

圖2 工控系統(tǒng)安全專業(yè)化服務(wù)平臺(tái)框架圖

代碼檢測(cè)與環(huán)境驗(yàn)證子平臺(tái)：通過(guò)為工業(yè)控制系統(tǒng)提供代碼檢測(cè)和環(huán)境驗(yàn)證等服務(wù)，將對(duì)工業(yè)控制嵌入式操作系統(tǒng)、應(yīng)用軟件進(jìn)行代碼安全性驗(yàn)證，找出軟件代碼的潛在威脅所在，加以防護(hù)，提高軟件應(yīng)用的安全性。將代碼檢測(cè)和環(huán)境驗(yàn)證平臺(tái)作為技術(shù)支撐，實(shí)現(xiàn)工業(yè)控制系統(tǒng)PLC系統(tǒng)安全檢測(cè)和嵌入式系統(tǒng)測(cè)試服務(wù)。

內(nèi)網(wǎng)監(jiān)控與預(yù)警子平臺(tái)：對(duì)工業(yè)控制系統(tǒng)內(nèi)部網(wǎng)絡(luò)中的安全事件包括：惡意攻擊、非法入侵、內(nèi)網(wǎng)病毒、端口流量異常等進(jìn)行監(jiān)控，當(dāng)安全事件發(fā)生時(shí)發(fā)出預(yù)警信息。

工控系統(tǒng)業(yè)務(wù)管理子系統(tǒng)平臺(tái)：對(duì)測(cè)評(píng)、評(píng)估等服務(wù)項(xiàng)目提供全生命周期的過(guò)程管理，包括服務(wù)隊(duì)伍建立、需求分析、資產(chǎn)識(shí)別、威脅分析和脆弱性識(shí)別等過(guò)程的管理，并可以通過(guò)內(nèi)建的知識(shí)庫(kù)為服務(wù)人員提供技術(shù)支持和信息查詢。

工控系統(tǒng)安全測(cè)評(píng)服務(wù)子平臺(tái)：結(jié)合網(wǎng)絡(luò)安全建設(shè)和發(fā)展的實(shí)際情況，綜合漏洞挖掘、安全評(píng)估、掃描分析和管理體系評(píng)估等多種手段，建設(shè)對(duì)于工業(yè)控制系統(tǒng)提供專項(xiàng)安全測(cè)評(píng)、檢測(cè)服務(wù)、風(fēng)險(xiǎn)評(píng)估等服務(wù)。

4 支撐環(huán)境建設(shè)

4.1 工控模擬實(shí)驗(yàn)?zāi)M環(huán)境建設(shè)

工業(yè)控制系統(tǒng)模擬環(huán)境是根據(jù)工業(yè)控制系統(tǒng)現(xiàn)場(chǎng)實(shí)際情況搭建的仿真模擬測(cè)試環(huán)境，是開展安全技術(shù)理論研究、漏洞驗(yàn)證、滲透測(cè)試、代碼測(cè)試環(huán)境驗(yàn)證以等研究的基礎(chǔ)，同時(shí)也是工具集研發(fā)的技術(shù)環(huán)境依托。模擬環(huán)境將以SCADA、DCS等為核心，結(jié)合無(wú)線、微波等網(wǎng)絡(luò)技術(shù)，針對(duì)工業(yè)控制系統(tǒng)安全現(xiàn)狀，將搭建電力、水利、燃?xì)獾戎匾I(yè)控制領(lǐng)域的模擬環(huán)境，為開展攻防實(shí)驗(yàn)、技術(shù)研究等奠定基礎(chǔ)。

4.2 軟硬件支撐環(huán)境

軟硬件支撐環(huán)境是整個(gè)服務(wù)體系的基礎(chǔ)支撐環(huán)境，能夠?yàn)槟M環(huán)境建設(shè)、服務(wù)平臺(tái)建設(shè)以及服務(wù)能力建設(shè)提供必要的基礎(chǔ)環(huán)境。軟硬件基礎(chǔ)環(huán)境主要包括基礎(chǔ)網(wǎng)絡(luò)環(huán)境、數(shù)據(jù)存儲(chǔ)和服務(wù)系統(tǒng)和實(shí)現(xiàn)平臺(tái)自身安全的防病毒、防入侵等安全措施。

5 結(jié)語(yǔ)

工業(yè)控制系統(tǒng)信息安全的需求和目標(biāo)特性，決定了安全服務(wù)提供方式要區(qū)別于傳統(tǒng)的IT系統(tǒng)，非體系化的服務(wù)不僅收效甚微，還很有可能會(huì)對(duì)工業(yè)現(xiàn)場(chǎng)帶來(lái)安全威脅。本文構(gòu)建的服務(wù)體系圍繞服務(wù)能力、服務(wù)平臺(tái)和技術(shù)支撐建設(shè)，面向工業(yè)控制系統(tǒng)信息安全專業(yè)化服務(wù)，進(jìn)一步實(shí)現(xiàn)工控系統(tǒng)信息安全服務(wù)的過(guò)程和類別進(jìn)行體系化，為工業(yè)信息全測(cè)評(píng)、產(chǎn)品測(cè)試、工具研發(fā)和攻防實(shí)驗(yàn)等工作提供思路和依據(jù)，為工業(yè)控制系統(tǒng)信息安全保障工作的實(shí)施提供了參考思路。

[1]歐陽(yáng)武.順勢(shì)而行切實(shí)加強(qiáng)工業(yè)控制系統(tǒng)信息安全管理[J].信息技術(shù)與標(biāo)準(zhǔn)化,2012(03):003.

[2]石勇,劉巍偉,劉博.工業(yè)控制系統(tǒng)((ICS)的安全研究[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用,2008(04):021.

[3]夏春明,劉濤,王華忠.工業(yè)控制系統(tǒng)信息安全現(xiàn)狀及發(fā)展趨勢(shì)[J].信息安全與技術(shù),2013,4(02):13-18.

[4]張清江,黃庶,周瑩.工業(yè)控制系統(tǒng)信息安全測(cè)評(píng)驗(yàn)證服務(wù)平臺(tái)策略性研究[J].黑龍江科技信息,2013(01).