康天嬌 鄒春明

摘? ?要：工業(yè)控制系統(tǒng)（ICS）的設(shè)計(jì)多以高可用性、高控制性、高實(shí)時(shí)性為目標(biāo)，完整性和保密性優(yōu)先級(jí)次之。隨著工業(yè)化和信息化的發(fā)展，工業(yè)控制系統(tǒng)安全性也面臨很大的威脅。為了提高工業(yè)控制系統(tǒng)的安全，借助工業(yè)控制系統(tǒng)專業(yè)信息安全產(chǎn)品進(jìn)行加固是主要措施之一。本文主要介紹了工業(yè)控制系統(tǒng)信息安全產(chǎn)品的特點(diǎn)、分類、廠商類型，并結(jié)合2017-2018年的銷售許可檢測數(shù)據(jù)進(jìn)行統(tǒng)計(jì)分析。

關(guān)鍵詞：工業(yè)控制系統(tǒng);工業(yè)控制系統(tǒng)信息安全產(chǎn)品;信息安全

Abstract： Industrial control systems （ICS） are designed with high availability， high control， and high real-time design， followed by integrity and confidentiality. With the development of industrialization and information technology， the safety of industrial control systems is facing a great threat. In order to improve the safety of the industrial control system， reinforcement by means of industrial information security products is one of the main measures. This paper mainly introduces the characteristics， classification， manufacturer type of industrial control information security products， and combines the sales license test data of 2017-2018 in the last two years for statistical analysis.

Key words： ICS; ICS information security products; information security

1 引言

工業(yè)控制系統(tǒng)（Industrial Control Systems，ICS）是指由計(jì)算機(jī)與工業(yè)過程控制部件組成的自動(dòng)控制系統(tǒng)，由控制器、傳感器、傳送器、執(zhí)行器和輸入輸出接口等部分組成。這些組成部分通過工業(yè)通信線路，按照一定的通信協(xié)議進(jìn)行連接，形成一個(gè)具有自動(dòng)控制能力的工業(yè)生產(chǎn)制造或加工系統(tǒng)。

工業(yè)控制系統(tǒng)的子系統(tǒng)或功能組件包括但不限于分布式控制系統(tǒng)（DCS）、數(shù)據(jù)采集與監(jiān)視控制（SCADA）系統(tǒng)、可編程邏輯控制器（PLC）、遠(yuǎn)程終端（RTU）、智能電子設(shè)備（IED）等相關(guān)信息系統(tǒng)，目前已廣泛應(yīng)用于電力、水力、石化、醫(yī)藥、以及汽車、航天等工業(yè)領(lǐng)域，是國家關(guān)鍵基礎(chǔ)設(shè)施的重要組成部分。

現(xiàn)代的工業(yè)控制系統(tǒng)網(wǎng)絡(luò)，很多依靠于商業(yè)信息技術(shù)和Internet領(lǐng)域的操作系統(tǒng)、開放協(xié)議和通信技術(shù)，這些技術(shù)已被證明存在著脆弱性。通過將工業(yè)控制系統(tǒng)連接到互聯(lián)網(wǎng)或其他公共網(wǎng)絡(luò)，工業(yè)控制系統(tǒng)脆弱性就暴露給潛在的攻擊者。常見的脆弱性漏洞包括極易受到攻擊的DCOM協(xié)議、應(yīng)用軟件的多樣性以及工業(yè)控制現(xiàn)場中幾乎從不更新Windows操作系統(tǒng)補(bǔ)丁的工程師站以及操作員站等。

工業(yè)控制系統(tǒng)信息安全問題的日益凸顯促使我國各職能部門出臺(tái)了相應(yīng)的政策和要求，指導(dǎo)和引領(lǐng)工控系統(tǒng)信息安全領(lǐng)域的技術(shù)和應(yīng)用的進(jìn)步。2012年及2013年國家發(fā)改委組織的年度國家信息安全專項(xiàng)中扶持的領(lǐng)域均包括工業(yè)控制領(lǐng)域，支持的產(chǎn)品包括工控防火墻、面向現(xiàn)場的工業(yè)控制安全網(wǎng)關(guān)、安全RTU等。通過部署工業(yè)控制系統(tǒng)信息安全產(chǎn)品（如工業(yè)控制防火墻、工業(yè)控制審計(jì)、工業(yè)控制安全管理品臺(tái)、工業(yè)控制隔離、主機(jī)白名單等）對系統(tǒng)進(jìn)行加固，來保障工業(yè)控制系統(tǒng)的安全。

2 工業(yè)控制系統(tǒng)信息安全

2.1 工業(yè)控制系統(tǒng)信息安全特點(diǎn)

工業(yè)控制系統(tǒng)信息安全是針對工業(yè)控制系統(tǒng)的信息保護(hù)而言的，其信息安全基本需求主要包括三個(gè)特點(diǎn)。

（1）可用性：對于工業(yè)控制系統(tǒng)，可用性優(yōu)先級(jí)最高。工業(yè)控制系統(tǒng)的過程一般是連續(xù)的，在運(yùn)行過程中不能接受意外的中斷。許多的工業(yè)控制系統(tǒng)為了保證生產(chǎn)運(yùn)行的連續(xù)性，不允許隨便停止和啟動(dòng)。對于采用典型的信息技術(shù)策略中重啟一個(gè)組件、服務(wù)等通常在工業(yè)控制系統(tǒng)中是不能接受的。

（2）完整性：工業(yè)控制系統(tǒng)完整性指數(shù)據(jù)未被授權(quán)篡改，系統(tǒng)未被非法操縱，按照既定的目標(biāo)運(yùn)行，其優(yōu)先級(jí)次之。

（3）保密性：對于工業(yè)控制系統(tǒng)，保密性優(yōu)先級(jí)最低。但是，工業(yè)控制系統(tǒng)也需配置必要的授權(quán)訪問，保護(hù)信息系統(tǒng)不被未授權(quán)訪問，防止信息盜取事件的的發(fā)生。

2.2 工業(yè)控制系統(tǒng)與信息技術(shù)系統(tǒng)區(qū)別

前面提到工業(yè)控制系統(tǒng)的信息安全需求主要包括三個(gè)方面。而在信息技術(shù)系統(tǒng)中，通常認(rèn)為保密性的優(yōu)先級(jí)最高，完整性次之，可用性最低。此外，工業(yè)控制系統(tǒng)與信息技術(shù)系統(tǒng)在系統(tǒng)結(jié)構(gòu)及應(yīng)用上也有很大的區(qū)別。如表1所示，總結(jié)了工業(yè)控制系統(tǒng)與信息技術(shù)系統(tǒng)主要差異。

由于工業(yè)控制系統(tǒng)和信息技術(shù)系統(tǒng)之間的結(jié)構(gòu)、業(yè)務(wù)和風(fēng)險(xiǎn)的差異，產(chǎn)生了在應(yīng)用網(wǎng)絡(luò)安全和業(yè)務(wù)戰(zhàn)略時(shí)增長的復(fù)雜性需求。一個(gè)由控制工程師、控制系統(tǒng)運(yùn)營商和信息技術(shù)安全專業(yè)人員構(gòu)成的跨職能團(tuán)隊(duì)，應(yīng)當(dāng)緊密合作以理解安裝、操作與維護(hù)與控制系統(tǒng)相關(guān)的安全解決方案時(shí)可能產(chǎn)生的影響。工作于工業(yè)控制系統(tǒng)的信息技術(shù)專業(yè)人員在部署之前需要了解信息安全技術(shù)的可靠性影響。

3 工業(yè)控制信息安全產(chǎn)品

3.1 工業(yè)控制信息安全產(chǎn)品的需求與特點(diǎn)

如前所述，工業(yè)控制網(wǎng)絡(luò)與信息技術(shù)網(wǎng)絡(luò)存在的較大的差別：信息技術(shù)網(wǎng)絡(luò)基本都是開放互聯(lián)，設(shè)備及軟件更新頻繁，使用周期一般在5年左右，通信均采用通用的規(guī)范，吞吐量等性能要求高，對信息安全的需求是保密性優(yōu)先;其次是完整性和可用性，工業(yè)控制系統(tǒng)相對封閉，對可靠性要求非常高，使用周期在15～20年左右，通信協(xié)議五花八門，通常每個(gè)廠商會(huì)自己開發(fā)一套協(xié)議，系統(tǒng)及內(nèi)部通信相對穩(wěn)定，對延時(shí)要求高，若遭受破壞時(shí)，通常后果非常嚴(yán)重，其對信息安全需求首先保障可用性，然后才是完整性和保密性。

因此，相對傳統(tǒng)的信息技術(shù)信息安全產(chǎn)品，工業(yè)控制信息安全產(chǎn)品有其自身技術(shù)特點(diǎn)。

（1）對產(chǎn)品自身的可靠性要求較高。特別是串接在系統(tǒng)中的設(shè)備，不能因?yàn)榘踩a(chǎn)品出現(xiàn)故障而影響整個(gè)系統(tǒng)的運(yùn)行。

（2）對部署在現(xiàn)場的設(shè)備，要求低延時(shí)，并具有良好的環(huán)境適應(yīng)性（電磁兼容、溫濕度等）。

（3）廣泛采用白名單技術(shù)，即確定為正常行為之外的操作或通訊均認(rèn)為是異常。

（4）行業(yè)性較強(qiáng)。不同行業(yè)的工控系統(tǒng)也存在著較大的差異，工業(yè)控制信息安全產(chǎn)品也具有較強(qiáng)的行業(yè)性，如電力網(wǎng)閘、縱向加密裝置等僅應(yīng)用于電力系統(tǒng)。

3.2 工業(yè)控制信息安全產(chǎn)品分類

從產(chǎn)品的保護(hù)對象、防護(hù)功能來看，工業(yè)控制信息安全產(chǎn)品主要分為三類。

（1）邊界防護(hù)類

這類產(chǎn)品通常以串接的方式工作，部署在工業(yè)控制以太網(wǎng)與企業(yè)管理網(wǎng)絡(luò)之間、工廠的不同區(qū)域之間、控制層與現(xiàn)場設(shè)備層之間。通過一定的訪問控制策略，對工業(yè)控制系統(tǒng)邊界、工業(yè)控制系統(tǒng)內(nèi)部區(qū)域邊界進(jìn)行保護(hù)。工業(yè)控制防火墻、工業(yè)控制隔離產(chǎn)品均屬于邊界防護(hù)類。由于這類產(chǎn)品是串接方式部署，同時(shí)具有阻斷的功能，產(chǎn)品的穩(wěn)定可靠、功能安全要求較高，產(chǎn)品的異常將會(huì)對工業(yè)控制系統(tǒng)的正常運(yùn)行帶來直接影響。

（2）審計(jì)監(jiān)控類

這類產(chǎn)品通過鏡像接口分析網(wǎng)絡(luò)流量，或者通過代理及設(shè)備的通用接口進(jìn)行探測等方式工作，及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)流量或設(shè)備的異常情況并告警，通常不會(huì)主動(dòng)去阻斷通信。該產(chǎn)品主要包括工業(yè)控制審計(jì)產(chǎn)品、工業(yè)控制入侵檢測產(chǎn)品、工業(yè)控制漏洞掃描及挖掘產(chǎn)品、工業(yè)控制安全管理平臺(tái)等。這類產(chǎn)品自身的故障不會(huì)直接影響工業(yè)控制系統(tǒng)的正常運(yùn)行，也更容易讓用戶接受。

（3）主機(jī)防護(hù)類

工業(yè)控制系統(tǒng)部署有一定數(shù)量的主機(jī)設(shè)備，如工程師站、操作員站等。這些設(shè)備往往是工業(yè)控制系統(tǒng)的風(fēng)險(xiǎn)點(diǎn)，病毒的入侵、人為的誤操作等威脅主要都是通過主機(jī)設(shè)備進(jìn)入工控系統(tǒng)。因此，有必要對這些主機(jī)進(jìn)行一定的防護(hù)。主機(jī)防護(hù)產(chǎn)品主要為白名單產(chǎn)品，通過在主機(jī)上安裝代理程序，限制只有可信的程序、進(jìn)程才允許運(yùn)行，防止惡意程序的侵入。

3.3 工業(yè)控制信息安全產(chǎn)品的統(tǒng)計(jì)分析

根據(jù)公安部32號(hào)令，我國對信息安全專用產(chǎn)品（包括工業(yè)控制信息安全產(chǎn)品）實(shí)行銷售許可制度， 由授權(quán)的檢測機(jī)構(gòu)，依據(jù)相應(yīng)的國家標(biāo)準(zhǔn)、公共安全行業(yè)標(biāo)準(zhǔn)、授權(quán)檢測機(jī)構(gòu)的檢驗(yàn)規(guī)范等進(jìn)行檢測，并進(jìn)行安全性測試。滿足標(biāo)準(zhǔn)要求并通過安全性測試的產(chǎn)品，則由公安部網(wǎng)絡(luò)安全保衛(wèi)局頒發(fā)計(jì)算機(jī)信息系統(tǒng)安全產(chǎn)品銷售許可證。

目前，正式實(shí)施的工業(yè)控制信息安全產(chǎn)品標(biāo)準(zhǔn)較少，除工業(yè)控制系統(tǒng)安全管理平臺(tái)和工業(yè)控制系統(tǒng)IDS等幾乎沒有其他的正式針對性標(biāo)準(zhǔn)發(fā)布。針對此現(xiàn)狀，主要采用的處理方式：一是依據(jù)對應(yīng)的IT信息安全產(chǎn)品標(biāo)準(zhǔn)，增加工控安全補(bǔ)充要求，刪減部分對工控系統(tǒng)不適用的條款，如工控防火墻;二是依據(jù)IT信息安全產(chǎn)品標(biāo)準(zhǔn)，增加工業(yè)控制協(xié)議支持要求，而不對具體條款做調(diào)整，如工業(yè)控制審計(jì)、工業(yè)控制隔離產(chǎn)品;三是完全依據(jù)IT信息安全產(chǎn)品標(biāo)準(zhǔn)，如電力的縱向加密裝置，依據(jù)VPN產(chǎn)品標(biāo)準(zhǔn);四是由于標(biāo)準(zhǔn)總是滯后于產(chǎn)品的發(fā)展，檢測機(jī)構(gòu)起草針對性的檢驗(yàn)規(guī)范，如文件加載控制產(chǎn)品（主機(jī)白名單產(chǎn)品）。

本文基于計(jì)算機(jī)信息系統(tǒng)安全專用產(chǎn)品銷售許可服務(wù)平臺(tái)2017-2018年的銷售許可檢測數(shù)據(jù)情況進(jìn)行統(tǒng)計(jì)分析。

由于銷售許可檢測周期為2年，因此最近2年的數(shù)據(jù)基本可以反映市場的總體情況。如圖1所示是工業(yè)控制系統(tǒng)信息安全產(chǎn)品2年（2017-2018年）的檢測情況。

從圖1中可以得出：

（1）2017-2018年市場上產(chǎn)品總數(shù)約為264款;

（2）2017-2018年產(chǎn)品數(shù)量增幅61.38%;

（3）2017-2018年產(chǎn)品不合格率分別為7.92%、4.29%，有一定減少;

（4）2017-2018年占信息安全產(chǎn)品比例分別為8.23%、10.93%，有一定提高。

如表2和圖2所示是進(jìn)一步針對每一類型工業(yè)控制信息安全產(chǎn)品市場檢測量的年度統(tǒng)計(jì)分析。

從圖2中可以得出：

（1）工業(yè)控制防火墻、工業(yè)控制隔離、工業(yè)控制審計(jì)、工業(yè)控制安管平臺(tái)、主機(jī)白名單及電力縱向加密裝置（VPN）占據(jù)了絕大比例;

（2）其他產(chǎn)品（主要包括工業(yè)控制主機(jī)防護(hù)裝置、工業(yè)控制IDS、工業(yè)控制掃描等），數(shù)量相對較少。

4 工業(yè)控制信息安全產(chǎn)品廠商

工業(yè)控制信息安全產(chǎn)品廠商在工業(yè)控制安全領(lǐng)域有著重要的地位和作用，也不僅是簡單提供工業(yè)控制信息安全產(chǎn)品，通常會(huì)提供信息安全評(píng)估服務(wù)，依此來推動(dòng)產(chǎn)品的銷售。在產(chǎn)品部署方面，通常用戶單位會(huì)以信息安全改造、新建系統(tǒng)的信息安全集成方式，由廠商來提供統(tǒng)一的安全服務(wù)。

4.1 工業(yè)控制信息安全產(chǎn)品廠商類型

由于工業(yè)控制安全有著巨大的市場需求，特別是在以后工業(yè)控制等級(jí)保護(hù)推進(jìn)的情況下，工業(yè)控制安全市場將還會(huì)有跨越的發(fā)展?；诋?dāng)前的市場需求以及良好的市場潛力，近年來出現(xiàn)了一批工業(yè)控制信息安全產(chǎn)品廠商，主要來自四個(gè)方面。

（1）原來從事工業(yè)控制相關(guān)工作，現(xiàn)在開始涉足工業(yè)控制信息安全，如和利時(shí)、浙大中控、南瑞等。這類廠商以工業(yè)控制設(shè)備（PLC、DCS等）提供商為主，他們一方面把信息安全技術(shù)融合到工業(yè)控制設(shè)備中，另外一方面也開發(fā)工控安全專用產(chǎn)品，可以對已有系統(tǒng)提供加固措施，也能為新建系統(tǒng)提供集成安全解決方案。這類廠商對工業(yè)控制有著深入理解，其安全產(chǎn)品架構(gòu)上往往會(huì)參考工業(yè)控制設(shè)備的一些實(shí)現(xiàn)和要求，與自家的工業(yè)控制設(shè)備兼容度高。

（2）原來從事傳統(tǒng)信息安全的企業(yè)，現(xiàn)在也開始做工業(yè)控制安全產(chǎn)品，如綠盟、啟明星辰、安恒、藍(lán)盾、360等。這類廠商對信息安全非常了解，但是對工業(yè)控制的一些需求了解有限，主要通過引進(jìn)工業(yè)控制領(lǐng)域人才，共同完成產(chǎn)品的研發(fā)。工業(yè)控制系統(tǒng)運(yùn)營單位，也會(huì)有傳統(tǒng)信息技術(shù)的信息安全需求，與這些廠商有著一定的合作，在有工業(yè)控制安全需求時(shí)，這類廠商就能順勢介入。目前，國內(nèi)絕大部分大型的傳統(tǒng)信息安全企業(yè)都有涉足工業(yè)控制安全，有些已經(jīng)推出了成熟的產(chǎn)品，有些還在做前期的技術(shù)儲(chǔ)備。

（3）也有少量公司，原來就主要從事工業(yè)控制信息安全方面工作，主要針對電力行業(yè)，電力行業(yè)工業(yè)控制安全市場起步早、需求占比大，早在2005年，原電監(jiān)會(huì)就提出了電力二次系統(tǒng)安全防護(hù)要求，因此也有些公司從事安全相關(guān)工作，如珠海鴻瑞、天地和興等。這些廠商原來專注于本行業(yè)，現(xiàn)在也在努力向其他行業(yè)拓展。

（4）新成立的公司（2010年之后），專注于工業(yè)控制安全，由于看好工業(yè)控制安全市場，也有些新成立，主要面向工業(yè)控制安全的公司，如威努特、網(wǎng)藤等。

從統(tǒng)計(jì)數(shù)據(jù)來看，絕大部分廠商僅提供單款工業(yè)控制信息安全產(chǎn)品。部分綜合型的廠商，提供的產(chǎn)品類型相對比較全面，甚至有些無法及時(shí)提供某些產(chǎn)品的時(shí)候，會(huì)OEM其他廠商的產(chǎn)品，主要是為了能夠提供工業(yè)控制系統(tǒng)整體的信息安全解決方案。

4.2 工業(yè)控制信息安全產(chǎn)品廠商數(shù)量及分布

基于2017-2018年送檢的工控產(chǎn)品廠商的數(shù)據(jù)統(tǒng)計(jì)，工控信息安全產(chǎn)品廠商絕大部分為國內(nèi)廠商，目前涉及的國外廠商極少，具體約占比如圖3所示。

從圖3中可以看出，檢測廠商絕大多數(shù)為北京企業(yè)，約占比63%;其次是長三角（江浙滬）以及其他地域（包括山東、廣州、湖南、福建、黑龍江等）。

5? 結(jié)束語

目前對工業(yè)控制系統(tǒng)進(jìn)行安全防護(hù)，主要采用的是控制器以上的安全產(chǎn)品，比如工業(yè)控制防火墻、工業(yè)控制IDS等;采用應(yīng)用層協(xié)議主要包括Modbus TCP、OPC等。對于控制器以下層面的產(chǎn)品，以及控制系統(tǒng)所支持的協(xié)議的廣泛性是進(jìn)一步研究的重點(diǎn)。結(jié)合信息系統(tǒng)安全技術(shù)以及工業(yè)控制系統(tǒng)自身特點(diǎn)，建立工業(yè)控制系統(tǒng)安全管理體系和防護(hù)體系，加強(qiáng)針對工業(yè)控制系統(tǒng)的等級(jí)保護(hù)工作和相關(guān)防護(hù)技術(shù)的研發(fā)，以保障我國工業(yè)控制系統(tǒng)的安全運(yùn)行。

參考文獻(xiàn)

[1] 姚羽，祝烈煌，武傳坤.工業(yè)控制網(wǎng)絡(luò)安全技術(shù)與實(shí)踐[J].北京：機(jī)械工業(yè)出版社，2018.

[2] 張帥.工業(yè)控制系統(tǒng)安全風(fēng)險(xiǎn)分析[J].信息安全與通信保密， 2012（3）：15-19.

[3] 鄒春明，鄭志千，劉智勇.電力二次安全防護(hù)技術(shù)在工業(yè)控制系統(tǒng)中的應(yīng)用[J].電網(wǎng)技術(shù)，2013.

[4] 夏春明，劉濤，王華忠，吳清.工業(yè)控制系統(tǒng)信息安全現(xiàn)狀及發(fā)展趨勢[J].信息安全與技術(shù)，2013（2）：13-18.

[5] 田原.工業(yè)控制系統(tǒng)信息安全淺析[J].自動(dòng)化博覽工業(yè)控制系統(tǒng)信息安全專刊，2014（11）：68-70.

[6] 蔡皖東.工業(yè)控制系統(tǒng)安全等級(jí)保護(hù)方案與應(yīng)用[M].國防工業(yè)出版社，2015.

[7] 肖建榮.工業(yè)控制系統(tǒng)信息安全[M].北京：電子工業(yè)出版社，2015.