葉青

（國電蚌埠發(fā)電有限公司設(shè)備管理部 安徽省蚌埠市 233000）

1 引言

正在運(yùn)轉(zhuǎn)的生產(chǎn)中心，突然計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)宕機(jī)，各監(jiān)控終端頻繁死機(jī)，各種異常的不安全指令多次發(fā)出，現(xiàn)場設(shè)備陷入癱瘓或失去控制，進(jìn)而發(fā)生了嚴(yán)重的安全生產(chǎn)事故。在5G網(wǎng)絡(luò)技術(shù)加持下，這是全球工業(yè)控制系統(tǒng)都將要面臨的“安全噩夢”。

工業(yè)控制系統(tǒng)是用于操作或自動化工業(yè)過程的任何設(shè)備、儀器以及相關(guān)的軟件和網(wǎng)絡(luò)。它是電力、交通、能源、水利、冶金、航空航天等國家重要基礎(chǔ)設(shè)施的“大腦”和“中樞神經(jīng)”，關(guān)乎著一國的命脈。也正因?yàn)榇耍鞴I(yè)企業(yè)的工業(yè)控制系統(tǒng)將成為國家級黑客攻擊的重點(diǎn)目標(biāo)。

當(dāng)5G 技術(shù)與工控系統(tǒng)深度融合的同時(shí)，5G 系統(tǒng)毫秒級的響應(yīng)優(yōu)勢也給工控系統(tǒng)帶來“毫秒級”的傷害之速。國外某安全實(shí)驗(yàn)室研究成果顯示，工業(yè)控制系統(tǒng)的415 個(gè)漏洞中有一半以上被指定為高風(fēng)險(xiǎn)或嚴(yán)重風(fēng)險(xiǎn)級別的安全問題。我國工業(yè)互聯(lián)網(wǎng)安全狀況資料顯示：有50%以上的工控系統(tǒng)帶毒運(yùn)行，100%的工控系統(tǒng)帶漏洞運(yùn)轉(zhuǎn)，并且在短期甚至未來幾年都不可能改變上述狀況。可以說，5G 時(shí)代，工控系統(tǒng)迎來史上最嚴(yán)重的風(fēng)險(xiǎn)大考。

本文將以某大型火力發(fā)電廠為例，通過分析網(wǎng)絡(luò)安全面臨的主要攻擊方式，從管理和技術(shù)兩方面就加強(qiáng)網(wǎng)絡(luò)安全防護(hù)提出針對性建議。

2 新的網(wǎng)絡(luò)安全形勢

網(wǎng)絡(luò)安全是指網(wǎng)絡(luò)系統(tǒng)的軟硬件及系統(tǒng)中的數(shù)據(jù)受到保護(hù)，不因各種原因遭到破壞、篡改和泄露，網(wǎng)絡(luò)安全從其本質(zhì)上是指網(wǎng)絡(luò)上的信息安全。

2.1 全球網(wǎng)絡(luò)安全形勢

2013年的“棱鏡門”事件，彰顯了網(wǎng)絡(luò)安全的重要性，美國的網(wǎng)絡(luò)霸權(quán)使得各國更加重視信息安全領(lǐng)域的自主可控，各國逐步加大了在網(wǎng)絡(luò)安全領(lǐng)域特別是工控安全防護(hù)上的投入。隨著大國網(wǎng)絡(luò)空間博弈的水漲船高，全球網(wǎng)絡(luò)安全競爭日益加劇，各國之間的網(wǎng)絡(luò)攻防日趨頻繁。2015年12月，烏克蘭能源網(wǎng)絡(luò)受到攻擊，攻擊者關(guān)閉了三家電力輸配電公司，導(dǎo)致烏克蘭全國大范圍停電，超過20 萬家用戶在寒冷的冬季無電可用。2017年5月的「永恒之藍(lán)」勒索蠕蟲攻擊事件，席卷了歐洲和中國在內(nèi)的大多數(shù)國家和地區(qū)，在全球范圍內(nèi)有數(shù)十萬家企業(yè)和公共組織被感染。

現(xiàn)階段的網(wǎng)絡(luò)攻擊已經(jīng)遠(yuǎn)遠(yuǎn)超出了利用病毒攻擊和采用防火墻進(jìn)行防護(hù)的范疇，已經(jīng)深刻影響到了國家層面的網(wǎng)絡(luò)安全和社會民生安全。為應(yīng)對新的網(wǎng)絡(luò)安全態(tài)勢，美國于2015年2月成立了“網(wǎng)絡(luò)威脅情報(bào)整合中心”，以對各種網(wǎng)絡(luò)攻擊進(jìn)行整合歸類分析，并采取相應(yīng)措施。2016年7月，歐盟也出臺了《歐盟網(wǎng)絡(luò)與信息系統(tǒng)安全指令》，幫助歐盟各成員國共同應(yīng)對網(wǎng)絡(luò)威脅。

2.2 中國網(wǎng)絡(luò)安全形勢

圖1

鑒于近年來國內(nèi)外重大網(wǎng)絡(luò)安全事故頻頻發(fā)生，國家對網(wǎng)絡(luò)安全的重視程度不斷提高，出臺了大量政策扶持網(wǎng)絡(luò)安全產(chǎn)業(yè)的發(fā)展。先后發(fā)布或修訂了《中華人民共和國國家安全法》、《中華人民共和國網(wǎng)絡(luò)安全法》、《國家網(wǎng)絡(luò)空間安全戰(zhàn)略》、《“十三五”國家信息化規(guī)劃》、《軟件和信息技術(shù)服務(wù)業(yè)發(fā)展規(guī)劃（2016-2020）年》、《信息通信網(wǎng)絡(luò)與信息安全規(guī)劃（2016-2020）年》等政策法規(guī)，從國家層面促進(jìn)國內(nèi)網(wǎng)絡(luò)安全產(chǎn)業(yè)的發(fā)展。2019年12月1日《信息安全技術(shù)網(wǎng)絡(luò)信息安全等級保護(hù)基本要求》的正式實(shí)施，標(biāo)志著“等保2.0”時(shí)代的到來。等保2.0 更加注重全方位主動防御、動態(tài)防御、整體防控和精準(zhǔn)防護(hù)，除基本要求外，還增加了對云計(jì)算、移動互聯(lián)、物聯(lián)網(wǎng)和大數(shù)據(jù)等對象的全覆蓋。

2.3 新的網(wǎng)絡(luò)安全形勢下工控系統(tǒng)

2018年8月，世界500 強(qiáng)的半導(dǎo)體制造公司臺積電生產(chǎn)園區(qū)電腦遭大規(guī)模病毒入侵，導(dǎo)致新竹、臺中、臺南三大生產(chǎn)基地全線停工，損失高達(dá)17.4 億元。而造成如此轟動的罪魁禍?zhǔn)拙褪乔澳晗砣虻睦账鞑《尽皐anna cry”，全球上百個(gè)國家曾遭受該勒索病毒的攻擊，造成了30 多萬民眾大約80 億美元的損失。

從德國的“工業(yè)4.0”到“中國制造2025”，數(shù)字化轉(zhuǎn)型浪潮開展得如火如荼，在迎來發(fā)展新機(jī)遇的同時(shí)，工控系統(tǒng)也面臨著新的網(wǎng)絡(luò)安全問題。工控系統(tǒng)廣泛應(yīng)用于電力、水利、醫(yī)藥、食品以及航空航天等工業(yè)領(lǐng)域，堪稱重要基礎(chǔ)設(shè)施的“神經(jīng)中樞”，關(guān)系到國家和企業(yè)的戰(zhàn)略安全。

工控系統(tǒng)網(wǎng)絡(luò)與傳統(tǒng)IT 信息網(wǎng)絡(luò)對比不同之處在于，前者直接控制物理設(shè)備，一旦工控系統(tǒng)遭受破壞，可能導(dǎo)致現(xiàn)實(shí)世界中不可逆轉(zhuǎn)的重大事故。

隨著信息化與大數(shù)據(jù)技術(shù)的發(fā)展與應(yīng)用，很多工業(yè)企業(yè)的關(guān)鍵系統(tǒng)越來越多地與互聯(lián)網(wǎng)連接，網(wǎng)絡(luò)攻擊對物理基礎(chǔ)設(shè)施的風(fēng)險(xiǎn)和影響都在增長。在很多情況下，工業(yè)企業(yè)的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)復(fù)雜，系統(tǒng)中包含了一些老舊、落后的技術(shù)與設(shè)備，因此更為脆弱，也更難實(shí)現(xiàn)技術(shù)更新。如圖1所示。

3 網(wǎng)絡(luò)攻擊的主要形式

由于計(jì)算機(jī)網(wǎng)絡(luò)具有開放性、互連性等特征，使得病毒、黑客等產(chǎn)生的攻擊層出不窮，目前常見的攻擊方式主要有以下四種形式：

3.1 利用軟件系統(tǒng)漏洞

主要利用了操作系統(tǒng)和應(yīng)用軟件在設(shè)計(jì)上存在的缺陷和錯(cuò)誤，攻擊者利用計(jì)算機(jī)、服務(wù)器的軟件系統(tǒng)漏洞，對計(jì)算機(jī)、服務(wù)器進(jìn)行攻擊?？赡軐?dǎo)致計(jì)算機(jī)、服務(wù)器根據(jù)攻擊者的意圖不能正常工作、網(wǎng)頁掛馬、SQL 數(shù)據(jù)庫損壞等危害。

3.2 通過病毒或木馬進(jìn)行數(shù)據(jù)流攻擊

攻擊者利用大量的數(shù)據(jù)流占用帶寬，堵塞網(wǎng)絡(luò)，癱瘓服務(wù)器，造成系統(tǒng)崩潰或讓服務(wù)器充斥海量垃圾信息，使得系統(tǒng)性能降低?；蚶媚抉R通過欺騙IP 地址、DNS 解析地址等，使服務(wù)器無法正常響應(yīng)或辨別這些請求來攻擊服務(wù)器，從而造成緩沖區(qū)資源阻塞。進(jìn)而通過消耗計(jì)算機(jī)、服務(wù)器硬件資源引起系統(tǒng)響應(yīng)遲緩、數(shù)據(jù)文件損壞等，也可能淪為攻擊者的工具，對系統(tǒng)造成更大的破壞。

3.3 通過密碼破解攻擊

通過暴力破解密碼，獲取服務(wù)器、路由器的管理權(quán)限，或者通過獲取普通網(wǎng)絡(luò)節(jié)點(diǎn)的用戶密碼，從而繞開系統(tǒng)防火墻，開展攻擊進(jìn)而獲得服務(wù)器、路由器的高級管理權(quán)限。導(dǎo)致丟失系統(tǒng)控制權(quán)，引起系統(tǒng)無法正常使用或被攻擊者利用。

3.4 采取社工方式攻擊

社會工程攻擊，是一種利用"社會工程學(xué)" 來進(jìn)行的網(wǎng)絡(luò)攻擊行為。在計(jì)算機(jī)科學(xué)中，社會工程學(xué)指的是通過與他人的正常合法地互動交流，來獲得機(jī)密信息的方式。例如偽裝成上級單位發(fā)送的電郵、偽裝成公安部門的網(wǎng)絡(luò)安全檢查等，都可以繞開系統(tǒng)防火墻直接從系統(tǒng)網(wǎng)絡(luò)內(nèi)部開展低難度的攻擊，從而達(dá)到控制網(wǎng)絡(luò)的目的。

4 加強(qiáng)計(jì)算機(jī)網(wǎng)絡(luò)安全的對策措施

一般工業(yè)企業(yè)會配備各種安全防護(hù)設(shè)備設(shè)施，并設(shè)置完善的安全防護(hù)策略，但并不具備主動發(fā)現(xiàn)和防止網(wǎng)絡(luò)攻擊的人員技術(shù)能力。以某大型火力發(fā)電廠為例，雖然配置了如堡壘機(jī)、防火墻等，通過網(wǎng)絡(luò)傳輸系統(tǒng)的隔離裝置，使用鏡像技術(shù)等實(shí)現(xiàn)了工控網(wǎng)絡(luò)的逐層隔離，企業(yè)的DCS 系統(tǒng)、NCS 系統(tǒng)、調(diào)度數(shù)據(jù)網(wǎng)等工控網(wǎng)絡(luò)以“橫向隔離、縱向認(rèn)證”為原則，互相之間通過加密裝置和網(wǎng)閘進(jìn)行數(shù)據(jù)交換。安全防護(hù)基本依賴于各種防護(hù)設(shè)備，一旦系統(tǒng)受到安全攻擊，基本沒有靈活性的應(yīng)對手段。

為此，一般大型集團(tuán)都會使用統(tǒng)一局域網(wǎng)，將所有下屬企業(yè)全部通過專線連接到集團(tuán)特定的連接點(diǎn)處，再由上述連接點(diǎn)統(tǒng)一對外連接互聯(lián)網(wǎng)。集團(tuán)公司內(nèi)部部署統(tǒng)一的防病毒終端。由集團(tuán)集中統(tǒng)一安排專業(yè)安全防護(hù)人員對連接點(diǎn)進(jìn)行監(jiān)控和防護(hù)，這也極大提高了公司的網(wǎng)絡(luò)防護(hù)能力。因此在集團(tuán)基層，做好安全防護(hù)工作就更多的依靠的是安全行為管理。

4.1 安全防護(hù)技術(shù)措施

（1）確保各信息控制系統(tǒng)實(shí)現(xiàn)安全可靠分區(qū)，繪制工業(yè)控制系統(tǒng)網(wǎng)絡(luò)拓?fù)鋱D，整理網(wǎng)絡(luò)安全設(shè)備部署列表，統(tǒng)計(jì)各設(shè)備安裝的軟件組件及其版本、補(bǔ)丁信息及配置參數(shù)等，避免存在分區(qū)不明確或者跨區(qū)無防護(hù)連接。定期對網(wǎng)絡(luò)拓?fù)鋱D進(jìn)行更新，網(wǎng)絡(luò)安全建設(shè)要隨信息系統(tǒng)技術(shù)改造工作同步進(jìn)行。

（2）確保工控網(wǎng)絡(luò)專網(wǎng)專用，所有工控網(wǎng)絡(luò)中使用的軟硬件都經(jīng)過了工信部認(rèn)證和工控軟件商授權(quán)。任何非授權(quán)設(shè)備私自連接工控內(nèi)部網(wǎng)絡(luò)行為都應(yīng)準(zhǔn)確定位、進(jìn)行有效阻斷并發(fā)出報(bào)警。

（3）所有跨區(qū)連接必須符合橫向隔離、縱向認(rèn)證的要求。確保生產(chǎn)控制大區(qū)與管理信息大區(qū)之間、一區(qū)與二區(qū)之間都安裝有通過認(rèn)證可靠的橫向單向隔離裝置。各同級大區(qū)之間安裝有通過認(rèn)證的縱向加密認(rèn)證產(chǎn)品。

（4）確保工控系統(tǒng)各主機(jī)硬件滿足安全防護(hù)要求。禁止各主機(jī)設(shè)備采用雙網(wǎng)卡方式跨區(qū)連接。長期不使用的計(jì)算機(jī)等網(wǎng)絡(luò)設(shè)備，應(yīng)將其停電并和系統(tǒng)斷開。將各生產(chǎn)控制大區(qū)各終端上的物理端口（包括軟盤、光盤驅(qū)動、USB 接口等）進(jìn)行封閉，杜絕無線、藍(lán)牙等接入方式。如必須保留，必須登記備案，派專人嚴(yán)格管控。

（5）加強(qiáng)對操作系統(tǒng)的管理。定期對現(xiàn)有賬戶進(jìn)行梳理排查，刪除多余的、過期的帳戶。嚴(yán)格限制默認(rèn)帳戶的訪問權(quán)限，對系統(tǒng)默認(rèn)帳戶的默認(rèn)名稱和口令進(jìn)行修改。用戶密碼應(yīng)使用大小寫字母、數(shù)字和特殊字符的組合。如果有密碼保管者調(diào)離崗位，應(yīng)立即更新密碼或者刪除原用戶名。對同一用戶連續(xù)失敗登錄次數(shù)進(jìn)行限制。如有外部人員需接入受控網(wǎng)絡(luò)，必須提出書面申請，經(jīng)批準(zhǔn)后由專人開設(shè)賬戶、分配權(quán)限，并登記備案，離開后應(yīng)及時(shí)清除其臨時(shí)賬戶及訪問權(quán)限。

（6）加強(qiáng)技術(shù)運(yùn)維管理。定期進(jìn)行等保測評與安全評估，及時(shí)升級防病毒軟件。接收文件或郵件之前，應(yīng)先進(jìn)行病毒掃描。外來計(jì)算機(jī)或存儲設(shè)備接入網(wǎng)絡(luò)系統(tǒng)之前應(yīng)進(jìn)行病毒檢查。定期進(jìn)行數(shù)據(jù)備份，做到冗余及異地備份。對各類介質(zhì)進(jìn)行控制和保護(hù)，確保介質(zhì)存放在安全的環(huán)境中，并實(shí)行存儲環(huán)境的專人管理。外部來訪人員必須在審批合格后方可在全程監(jiān)護(hù)的情況下進(jìn)入機(jī)房。機(jī)房等區(qū)域應(yīng)配置電子門禁系統(tǒng)和配置24 小時(shí)連續(xù)視頻監(jiān)控系統(tǒng)，視頻存儲文件應(yīng)至少保存30 天以上。各種程序的安裝、數(shù)據(jù)備份應(yīng)統(tǒng)一采用光盤形式。

4.2 安全行為管理

（1）加強(qiáng)對工控網(wǎng)絡(luò)的管理。不得將工控系統(tǒng)業(yè)務(wù)外包，工控網(wǎng)絡(luò)進(jìn)行維護(hù)時(shí)，不得在工控網(wǎng)絡(luò)外部對生產(chǎn)控制大區(qū)業(yè)務(wù)系統(tǒng)進(jìn)行遠(yuǎn)程運(yùn)維、調(diào)試。

（2）加強(qiáng)對工控系統(tǒng)區(qū)域防護(hù)。未經(jīng)許可不得讓非授權(quán)人員進(jìn)入生產(chǎn)控制大區(qū)設(shè)備機(jī)房、工程師站等關(guān)鍵區(qū)域。不得使用未經(jīng)檢測認(rèn)證的網(wǎng)絡(luò)設(shè)備、安全防護(hù)產(chǎn)品、控制系統(tǒng)及U 盤等移動設(shè)備，

（3）加強(qiáng)對社工行為的防護(hù)。加強(qiáng)廠區(qū)保衛(wèi)工作，任何人員進(jìn)出務(wù)必有聯(lián)系人。上級行政管理人員必須對其身份進(jìn)行驗(yàn)證，確認(rèn)身份后再開展工作。慎重將外來人員攜帶的移動存儲、設(shè)備等接入公司設(shè)備及網(wǎng)絡(luò)。

5 結(jié)語

從數(shù)字化到智慧化智能化，已經(jīng)成為工業(yè)企業(yè)下一步發(fā)展的關(guān)鍵點(diǎn)，要實(shí)現(xiàn)這一目標(biāo)必然離不開可靠的安全防護(hù)保障。因此，從各工業(yè)企業(yè)的實(shí)際出發(fā)，采取完整嚴(yán)密的網(wǎng)絡(luò)安全防護(hù)措施顯得尤為重要。本文闡述了目前主流工業(yè)企業(yè)網(wǎng)絡(luò)安全的主要風(fēng)險(xiǎn)點(diǎn)和應(yīng)對措施，為同類型企業(yè)提供了借鑒與參考。