董良遇，趙 冉

(國家工業(yè)信息安全發(fā)展研究中心，北京 100040)

0 引言

隨著制造業(yè)從自動化階段向網(wǎng)絡(luò)化階段的加速邁進，基于工業(yè)互聯(lián)網(wǎng)的智能制造已成為工業(yè)領(lǐng)域的發(fā)展趨勢。在此背景下，工業(yè)領(lǐng)域的“神經(jīng)中樞”[1]——工業(yè)控制系統(tǒng)也打破了“信息孤島”的局面，工控網(wǎng)絡(luò)與企業(yè)網(wǎng)一體化程度不斷加深，不同網(wǎng)絡(luò)的互聯(lián)互通使傳統(tǒng)信息安全威脅不斷向工業(yè)控制系統(tǒng)滲透，而傳統(tǒng)的信息安全防護方式又難以有效保障工業(yè)控制系統(tǒng)信息安全[2]。

總體上看，全球范圍內(nèi)工業(yè)企業(yè)面臨的工業(yè)信息安全總體風(fēng)險持續(xù)攀升。相比于其他國家，我國工業(yè)企業(yè)安全防護水平普遍較低，難以抵御大規(guī)模、有組織的網(wǎng)絡(luò)安全攻擊。而工業(yè)互聯(lián)網(wǎng)、工業(yè)大數(shù)據(jù)、工業(yè)云等新興技術(shù)的發(fā)展和應(yīng)用，打通了工業(yè)企業(yè)內(nèi)外部各系統(tǒng)之間的信息壁壘，在數(shù)據(jù)采集、分析處理和存儲等環(huán)節(jié)引入了更多新的風(fēng)險來源，風(fēng)險成因更加復(fù)雜、多變，造成的安全事件后果更加深遠，工業(yè)領(lǐng)域的安全形勢變得更加嚴峻。

1 全球工業(yè)信息安全總體風(fēng)險突出

1.1 聯(lián)網(wǎng)工控設(shè)備數(shù)量快速增加

隨著網(wǎng)絡(luò)空間與現(xiàn)實物理空間逐步深度融合，網(wǎng)絡(luò)安全問題對現(xiàn)實社會的影響日益嚴峻。越來越多的工業(yè)控制系統(tǒng)及設(shè)備被直接或間接地連入互聯(lián)網(wǎng)，致使安全風(fēng)險加劇。根據(jù)搜索引擎shodan的監(jiān)測統(tǒng)計數(shù)據(jù)發(fā)現(xiàn)，截至2018年12月，全球范圍內(nèi)暴露在互聯(lián)網(wǎng)上的工業(yè)控制系統(tǒng)及設(shè)備數(shù)量已超4萬個[3]。國際主流品牌的大量應(yīng)用于工業(yè)制造、能源、市政等重要領(lǐng)域的工業(yè)控制系統(tǒng)及設(shè)備被暴露在互聯(lián)網(wǎng)上，信息安全風(fēng)險已嚴重威脅到現(xiàn)實物理世界的安全。

1.2 工業(yè)信息安全漏洞威脅嚴重

越來越多的工業(yè)控制系統(tǒng)安全漏洞被挖掘出來，黑客攻擊難度和成本快速下降，安全威脅不斷增加。據(jù)統(tǒng)計，工業(yè)控制系統(tǒng)漏洞數(shù)量自2010年以來總體呈上升趨勢(如圖1所示)[4]。從2015年起，漏洞數(shù)量始終處于高位水平狀態(tài)，由此帶來的安全風(fēng)險日益凸顯。

圖1 工業(yè)控制系統(tǒng)歷年漏洞數(shù)量統(tǒng)計

這些漏洞廣泛分布于能源、市政、交通、醫(yī)療等關(guān)乎國計民生的關(guān)鍵信息基礎(chǔ)設(shè)施領(lǐng)域，且存在相當比例的高危漏洞。據(jù)統(tǒng)計，僅2017年全年監(jiān)測跟蹤的漏洞300余個，高危漏洞占比約60%。其中，權(quán)限管理漏洞、身份認證漏洞、資源管理漏洞最為常見。工業(yè)信息安全漏洞的數(shù)量正逐年增高，但其修復(fù)工作進度遲緩，無法滿足企業(yè)及時安裝和更新補丁的需求。

1.3 工業(yè)信息安全事件層出不窮

自2010年震網(wǎng)(“Stuxnet”)病毒事件發(fā)生以來，工控安全事件的發(fā)生頻率越來越高，隨著工業(yè)信息安全漏洞數(shù)量的不斷增多，這種趨勢更為明顯。勒索軟件、分布式拒絕服務(wù)攻擊、惡意程序等已經(jīng)成為威脅工業(yè)信息安全的罪魁禍首。烏克蘭電力系統(tǒng)被植入黑暗力量惡意軟件[5]、美國大面積遭受DDoS攻擊事件[6]、“WannaCry”勒索軟件席卷全球、印度電力系統(tǒng)遭受千萬盧布勒索等事件充分表明，來自網(wǎng)絡(luò)空間的惡意攻擊正在逐步瓦解現(xiàn)實物理世界的安全邊界，經(jīng)濟利益、社會穩(wěn)定、甚至國家層面的安全都受到了嚴重威脅。據(jù)統(tǒng)計，自2015年以來，全球每年重大安全事件平均發(fā)生數(shù)量接近300起(如圖2所示)，關(guān)鍵制造、通信、能源、市政、供水等均為安全事件高發(fā)領(lǐng)域。

圖2 美國ICS-CERT歷年安全事件報告數(shù)量

2 我國工業(yè)信息安全形勢更加嚴峻

2.1 安全意識薄弱，安全管理問題突出

目前我國工業(yè)領(lǐng)域存在相當數(shù)量的安全管理問題，各地區(qū)、各部門、各工業(yè)企業(yè)對工業(yè)信息安全重視程度不夠，大量工業(yè)企業(yè)管理者對網(wǎng)絡(luò)安全認識不到位，重發(fā)展輕安全，安全管理無法落實，安全投入嚴重不足，安全從業(yè)人員匱乏，導(dǎo)致企業(yè)存在諸多安全隱患，威脅著工業(yè)生產(chǎn)安全和社會正常運轉(zhuǎn)。

據(jù)了解，我國工業(yè)企業(yè)安全管理問題突出的主要原因，是由于工業(yè)領(lǐng)域整體對信息安全建設(shè)不夠重視，工業(yè)企業(yè)大多對網(wǎng)絡(luò)安全事件存僥幸心理，導(dǎo)致企業(yè)從上至下對工業(yè)信息安全工作消極、怠慢，主要體現(xiàn)在以下幾點。

(1)企業(yè)管理者沒有制定完善的網(wǎng)絡(luò)安全管理制度，沒有將安全責(zé)任落實具體，致使企業(yè)出現(xiàn)工業(yè)信息安全管理混亂、工業(yè)信息安全責(zé)任不明晰、生產(chǎn)數(shù)據(jù)等敏感信息外泄等問題。

(2)企業(yè)安全從業(yè)人員缺乏系統(tǒng)的、專業(yè)的網(wǎng)絡(luò)安全知識和技能，一旦企業(yè)出現(xiàn)安全問題無法及時采取措施應(yīng)對。

(3)企業(yè)員工沒有受到良好的信息安全教育、培訓(xùn)，無法對信息安全責(zé)任和義務(wù)認識清楚，不僅無法積極幫助企業(yè)發(fā)現(xiàn)和避免安全風(fēng)險，甚至存在U盤、WiFi、手機的違規(guī)使用，或系統(tǒng)源代碼等敏感信息在開源平臺泄露公開等現(xiàn)象，致使企業(yè)的安全風(fēng)險加劇。

2.2 工控系統(tǒng)安全防護水平相對落后

根據(jù)我國近年來的工業(yè)信息安全相關(guān)檢查工作統(tǒng)計發(fā)現(xiàn)，多數(shù)企業(yè)缺乏針對工業(yè)控制系統(tǒng)的有效防護措施，我國工業(yè)企業(yè)整體防護水平相對落后，工業(yè)現(xiàn)場存在大量安全問題亟待解決。例如：工業(yè)主機安全管理和防護不到位、工業(yè)控制系統(tǒng)網(wǎng)絡(luò)邊界防護措施不足、工業(yè)控制系統(tǒng)未建立安全配置、工業(yè)控制系統(tǒng)未使用身份認證、部分無效服務(wù)默認開啟等。

特別是在網(wǎng)絡(luò)邊界防護方面，根據(jù)全國重點領(lǐng)域網(wǎng)絡(luò)安全檢查工作統(tǒng)計，近50%的工業(yè)控制系統(tǒng)與企業(yè)內(nèi)部網(wǎng)絡(luò)連接，并且存在無線接入的方式，更有超過六分之一的工業(yè)控制系統(tǒng)與互聯(lián)網(wǎng)連接。例如某鋼鐵行業(yè)公司的生產(chǎn)系統(tǒng)、辦公系統(tǒng)、互聯(lián)網(wǎng)系統(tǒng)相互關(guān)聯(lián)，不同系統(tǒng)間可相互訪問，網(wǎng)絡(luò)縱深防護能力不強，攻擊者一旦突破互聯(lián)網(wǎng)邊界，可輕易破壞生產(chǎn)系統(tǒng)。據(jù)統(tǒng)計，我國直接接入互聯(lián)網(wǎng)的工業(yè)控制系統(tǒng)數(shù)量約3 000余個，且數(shù)量在不斷上升。缺乏加密、認證等安全措施的工業(yè)控制系統(tǒng)，一旦暴露在互聯(lián)網(wǎng)上，很容易成為攻擊者的重點攻擊目標。并且有近5%的工業(yè)控制系統(tǒng)面向互聯(lián)網(wǎng)開通了不必要的通用網(wǎng)絡(luò)服務(wù)，存在黑客直接從互聯(lián)網(wǎng)端滲透進入的風(fēng)險。若企業(yè)內(nèi)部未及時部署橫向隔離防護措施，則存在被惡意軟件大規(guī)模感染的風(fēng)險，或被惡意攻擊者全盤接管內(nèi)網(wǎng)的風(fēng)險。

2.3 核心技術(shù)產(chǎn)品自主安全程度偏低

根據(jù)各省抽樣調(diào)查發(fā)現(xiàn)，我國約有74%的可編程邏輯控制器(PLC)、71%的數(shù)據(jù)采集與監(jiān)控系統(tǒng)(SCADA)以及60%的分布式控制系統(tǒng)(DCS)均為國外品牌，部分企業(yè)核心工業(yè)控制系統(tǒng)的運行維護等嚴重依賴國外廠商，國產(chǎn)工業(yè)控制系統(tǒng)內(nèi)置操作系統(tǒng)和控制芯片基本被國外產(chǎn)品壟斷，無法全面探查其是否存在漏洞、后門。同時，調(diào)研各企業(yè)及廠商發(fā)現(xiàn)，國外廠商對設(shè)備存在的漏洞、后門等風(fēng)險隱患整改率較低，補丁研發(fā)周期較長，“依賴于人、受制于人”的局面尚未得到根本改變，風(fēng)險難以掌握。

此外，我國工業(yè)控制基礎(chǔ)軟件發(fā)展滯后，核心競爭力差，成為提升工控領(lǐng)域自主安全水平的關(guān)鍵癥結(jié)。我國工業(yè)控制基礎(chǔ)軟件仍然較大程度地依賴從國外引進，尤其是部分涉及國家關(guān)鍵基礎(chǔ)設(shè)施建設(shè)的重要行業(yè)，核心技術(shù)仍然受制于國外公司，企業(yè)自主創(chuàng)新能力仍然不強，如精密采集、精準時鐘、智能算法、故障定位、中斷調(diào)度等。國外品牌占據(jù)國內(nèi)結(jié)構(gòu)化數(shù)據(jù)庫70%以上的市場份額，達夢、神舟、人大金倉等國產(chǎn)數(shù)據(jù)庫僅占據(jù)7%的低端市場份額；在非結(jié)構(gòu)化數(shù)據(jù)庫市場，國外品牌占據(jù)了一半以上市場份額。部分國產(chǎn)工業(yè)控制基礎(chǔ)軟件仍然缺乏基礎(chǔ)編碼、軟件開發(fā)、接口集成、運行維護等接口的標準與規(guī)范，導(dǎo)致軟件的可擴展性、可配置性、可重構(gòu)性和互操作性較差，應(yīng)用效果不佳。

2.4 新技術(shù)的發(fā)展和應(yīng)用帶來新的安全風(fēng)險

工業(yè)互聯(lián)網(wǎng)、大數(shù)據(jù)、云計算等新技術(shù)在工業(yè)領(lǐng)域的逐步深入應(yīng)用，新型網(wǎng)絡(luò)攻擊手段的不斷出現(xiàn)，導(dǎo)致工業(yè)網(wǎng)絡(luò)與互聯(lián)網(wǎng)的界限越來越模糊，使傳統(tǒng)信息安全防護方式和管理方法無法有效保障當前企業(yè)工業(yè)信息安全能力，難以抵御大規(guī)模、有組織的網(wǎng)絡(luò)安全威脅，安全風(fēng)險更加復(fù)雜化和多源化。一是風(fēng)險來源更加多樣，新技術(shù)的應(yīng)用打通了工業(yè)企業(yè)內(nèi)外部各系統(tǒng)之間的壁壘，在數(shù)據(jù)采集、分析處理和存儲等環(huán)節(jié)引入了更多新的風(fēng)險來源；二是風(fēng)險成因更加復(fù)雜，外部威脅、內(nèi)部泄露、安全漏洞、管理不當?shù)榷伎赡艹蔀樵斐删W(wǎng)絡(luò)安全事件的因素；三是安全事件造成的后果更加重大深遠，新技術(shù)的應(yīng)用使得數(shù)據(jù)集中化處理和存儲、系統(tǒng)互聯(lián)互通成為必要前提，一旦發(fā)生數(shù)據(jù)泄露、網(wǎng)絡(luò)攻擊等安全事件，造成的后果將更加嚴重。

與此同時，工業(yè)互聯(lián)網(wǎng)、智能制造等概念給我國工業(yè)領(lǐng)域帶來巨大發(fā)展機遇，也帶來前所未有的挑戰(zhàn)。據(jù)不完全統(tǒng)計，我國搭建的部分工控蜜罐近三年遭受了大量國內(nèi)外黑客組織的攻擊，由于工業(yè)互聯(lián)網(wǎng)實現(xiàn)了全系統(tǒng)、全產(chǎn)業(yè)、全生命周期的互聯(lián)互通，工業(yè)大數(shù)據(jù)和工業(yè)云平臺實現(xiàn)了系統(tǒng)的遠程應(yīng)用和數(shù)據(jù)交互，使“智慧”系統(tǒng)特別是智慧工廠、智慧城市等關(guān)鍵信息基礎(chǔ)設(shè)施成為重點目標。

3 未來工業(yè)信息安全發(fā)展趨勢

3.1 工控系統(tǒng)日益成為網(wǎng)絡(luò)威脅的重要目標

當前網(wǎng)絡(luò)威脅日益嚴重，恐怖主義活動和社會不穩(wěn)定因素不斷增加，未來工業(yè)控制系統(tǒng)將進一步成為網(wǎng)絡(luò)威脅的重要目標以及黑客組織實施攻擊破壞的重點對象，防護壓力空前增大。如維基解密曝光的一系列CIA機密文檔[7]、美國NSA網(wǎng)絡(luò)武器“永恒之藍”的勒索蠕蟲WannaCry爆發(fā)[8]等。據(jù)網(wǎng)絡(luò)安全公司卡巴斯基實驗室報告數(shù)據(jù)顯示，僅2017年上半年就發(fā)現(xiàn)約18 000種針對工業(yè)控制系統(tǒng)的惡意軟件。這些網(wǎng)絡(luò)武器的曝光和傳播顯著降低了對工業(yè)信息領(lǐng)域的攻擊門檻。

3.2 針對工業(yè)控制領(lǐng)域的攻擊將愈發(fā)普遍

當前勒索軟件威脅已經(jīng)形成比較完整的地下黑色產(chǎn)業(yè)鏈，不法分子在商業(yè)利益驅(qū)使下，將勒索軟件與最新網(wǎng)絡(luò)武器相結(jié)合，給全球工業(yè)系統(tǒng)帶來了嚴重威脅，也給世人敲響了警鐘。在匿名網(wǎng)絡(luò)“暗網(wǎng)”和虛擬貨幣“比特幣”的加持下，勒索軟件黑色產(chǎn)業(yè)鏈逐漸成熟，威脅將持續(xù)發(fā)酵。除此之外，定向攻擊、僵尸網(wǎng)絡(luò)等攻擊方式也愈發(fā)常見，且造成的后果也愈加嚴重。雖然目前針對工業(yè)控制系統(tǒng)的攻擊還不多見，但工業(yè)控制系統(tǒng)關(guān)乎國計民生，關(guān)鍵業(yè)務(wù)數(shù)據(jù)具備極高價值，可以預(yù)見，針對工業(yè)領(lǐng)域的勒索軟件、定向攻擊和僵尸網(wǎng)絡(luò)將愈發(fā)普遍。

3.3 企業(yè)信息安全投入加大帶來發(fā)展機遇

當前工業(yè)信息安全已愈發(fā)受到政府與產(chǎn)業(yè)界的關(guān)注，各行業(yè)針對工業(yè)信息安全防護的資金投入不斷加大，預(yù)計未來將在政策引導(dǎo)和激勵下將加速發(fā)展。2017年11月國務(wù)院發(fā)布的《關(guān)于深化“互聯(lián)網(wǎng)+先進制造業(yè)”發(fā)展工業(yè)互聯(lián)網(wǎng)的指導(dǎo)意見》，明確提出要打造與我國經(jīng)濟發(fā)展相適應(yīng)的工業(yè)互聯(lián)網(wǎng)生態(tài)體系的總體目標[9]。未來，隨著工業(yè)信息安全產(chǎn)業(yè)發(fā)展環(huán)境的不斷優(yōu)化、發(fā)展規(guī)模的繼續(xù)穩(wěn)步提升、相關(guān)廠商和服務(wù)商在工業(yè)信息安全領(lǐng)域業(yè)務(wù)的積極開拓，我國工業(yè)信息安全產(chǎn)業(yè)發(fā)展將持續(xù)向好。

4 工業(yè)信息安全建議和意見

“網(wǎng)絡(luò)安全和信息化是一體之兩翼、驅(qū)動之雙輪”、“網(wǎng)絡(luò)安全與信息化發(fā)展并重”，面對當前工業(yè)信息安全的嚴峻形勢，必須正確審視安全的重要位置，處理好安全與發(fā)展的關(guān)系。為進一步提高對工業(yè)信息安全的重視，特建議如下：

(1)加強政策引導(dǎo)力度，提升工業(yè)企業(yè)安全防護意識。

我國高度重視工業(yè)信息安全工作，近年來已出臺了多個相關(guān)法律和政策文件。但在構(gòu)建工業(yè)信息安全技術(shù)體系、突破關(guān)鍵核心產(chǎn)品、培養(yǎng)骨干企業(yè)、優(yōu)化產(chǎn)業(yè)生態(tài)環(huán)境等方面，相關(guān)指導(dǎo)性文件尚未將網(wǎng)絡(luò)安全責(zé)任逐級分解、按責(zé)規(guī)劃，致使基層部門和地方企業(yè)沒有將工業(yè)信息安全真正重視起來。因此，建議加強工業(yè)互聯(lián)網(wǎng)安全、工業(yè)云安全、工業(yè)大數(shù)據(jù)安全等新興領(lǐng)域的政策制定，從頂層設(shè)計、安全要求、產(chǎn)業(yè)發(fā)展等方面建立新興領(lǐng)域安全管理政策體系，規(guī)范和指導(dǎo)新技術(shù)新應(yīng)用，實現(xiàn)安全發(fā)展。加強政策宣貫、技術(shù)指導(dǎo)、人才培養(yǎng)等，強化工業(yè)企業(yè)安全意識，提升工業(yè)企業(yè)安全防護水平。

(2)強調(diào)工業(yè)信息安全獨立性，落實企業(yè)安全保障職責(zé)。

“沒有網(wǎng)絡(luò)安全，就沒有國家安全”，特別在工業(yè)企業(yè)等涉及國家安全、國計民生、社會安定的重點行業(yè)領(lǐng)域，必須落實好工業(yè)信息安全責(zé)任義務(wù)。因此，建議在涉及工業(yè)互聯(lián)網(wǎng)、智能制造、智慧城市、關(guān)鍵信息基礎(chǔ)設(shè)施等項目的規(guī)劃、建設(shè)、運營過程中，要聯(lián)合具備相關(guān)工業(yè)信息安全資質(zhì)的單位共同推進網(wǎng)絡(luò)安全建設(shè)，并與項目建設(shè)同步部署、同步規(guī)劃、同步實施；在工業(yè)企業(yè)正常生產(chǎn)運營過程中，應(yīng)通過工業(yè)控制系統(tǒng)信息安全防護能力評估、信息安全等級保護測評等手段，加強地方工業(yè)企業(yè)網(wǎng)絡(luò)安全部署和責(zé)任規(guī)劃，并鼓勵企業(yè)將網(wǎng)絡(luò)安全和信息化分別由不同責(zé)任主體承擔(dān)，細化企業(yè)安全保障職責(zé)，強化網(wǎng)絡(luò)安全事件獨立處理能力，提升網(wǎng)絡(luò)安全保障能力。

(3)攻關(guān)核心技術(shù)與產(chǎn)品研發(fā)，提升工業(yè)信息安全可控能力。

為了應(yīng)對當前我國關(guān)鍵技術(shù)、核心芯片、精密算法、重要產(chǎn)品嚴重依賴國外進口，自主安全能力較弱的現(xiàn)狀，建議瞄準工業(yè)信息安全基礎(chǔ)技術(shù)、共性關(guān)鍵技術(shù)和前沿技術(shù)，研究制定新一代信息技術(shù)在工業(yè)領(lǐng)域應(yīng)用的安全架構(gòu)，著力構(gòu)建安全可控的工業(yè)信息安全產(chǎn)品、技術(shù)體系，盡快突破一批工業(yè)信息安全關(guān)鍵核心技術(shù)，進行創(chuàng)新成果轉(zhuǎn)化，重點發(fā)展一批高端產(chǎn)品，形成具有市場競爭力的產(chǎn)品體系，提升我國在關(guān)鍵核心技術(shù)產(chǎn)品方面的國際競爭力。同時，加大工業(yè)信息安全人才隊伍的培養(yǎng)與建設(shè)，引導(dǎo)科研院所及高校開展具備主動安全防護功能的工業(yè)控制系統(tǒng)產(chǎn)品研發(fā)，布局工業(yè)互聯(lián)網(wǎng)、工業(yè)云、工業(yè)大數(shù)據(jù)等新興技術(shù)應(yīng)用市場，推動市場化機制的建立，全方位推動我國工業(yè)信息安全相關(guān)產(chǎn)業(yè)盡快步入健康發(fā)展的快車道。

5 結(jié)論

隨著近年來我國在工業(yè)信息安全方面做出的不懈努力，我國的工業(yè)信息安全防護體系已基本建立，整體來說，安全綜合防護能力顯著提升。但面對如此復(fù)雜多變的工業(yè)信息安全形勢，機遇與挑戰(zhàn)并存，我國亟需在穩(wěn)固工業(yè)信息安全的基礎(chǔ)上，努力建設(shè)適應(yīng)我國國情和現(xiàn)實需求的工業(yè)信息安全防護體系和市場應(yīng)用框架，通過“政、產(chǎn)、學(xué)、研、用”各界通力合作、共同面對，使我國真正成為一個現(xiàn)代化的“工業(yè)強國”，使“中國制造”真正成為世界矚目的品牌。