陳 實(shí)

（國(guó)營(yíng)蕪湖機(jī)械廠，安徽 蕪湖 241000）

0 引言

在“兩化融合”“工業(yè)4.0”和“中國(guó)制造2025”的大背景下，在實(shí)現(xiàn)生產(chǎn)數(shù)字化、信息化和智能化的實(shí)際需求驅(qū)動(dòng)下，機(jī)械制造修理企業(yè)開始大力推進(jìn)工業(yè)控制系統(tǒng)聯(lián)網(wǎng)應(yīng)用，其作用已經(jīng)在制造修理工作中初步顯現(xiàn)。

1 機(jī)械制造修理企業(yè)工業(yè)控制系統(tǒng)網(wǎng)絡(luò)應(yīng)用現(xiàn)狀

工業(yè)控制系統(tǒng)是指利用計(jì)算機(jī)設(shè)備或裝置，使機(jī)器、設(shè)備在生產(chǎn)過程的工作狀態(tài)或參數(shù)按照預(yù)定的規(guī)律運(yùn)行而構(gòu)成的系統(tǒng)。工業(yè)控制系統(tǒng)（ICS）主要包括過程控制系統(tǒng)（PCS）、數(shù)據(jù)采集與監(jiān)視控制系統(tǒng)（SCADA）、分布式控制系統(tǒng)（DCS）、可編輯邏輯控制器（PLC）、數(shù)控系統(tǒng)（CNC）、遠(yuǎn)程終端（RTU）、智能電子設(shè)備（IED），以及確保各組件通信的接口、工業(yè)現(xiàn)場(chǎng)網(wǎng)絡(luò)、工業(yè)控制軟件等。

機(jī)械制造修理工業(yè)控制系統(tǒng)是指企業(yè)在產(chǎn)品設(shè)計(jì)、試驗(yàn)、仿真、生產(chǎn)等各環(huán)節(jié)中使用的工業(yè)控制系統(tǒng)，如數(shù)控加工系統(tǒng)、智能倉(cāng)儲(chǔ)系統(tǒng)、智能物流系統(tǒng)、測(cè)試試驗(yàn)系統(tǒng)、數(shù)字化檢測(cè)系統(tǒng)、電鍍系統(tǒng)、熱處理加工系統(tǒng)等，上述各類工業(yè)控制系統(tǒng)聯(lián)入企業(yè)管理網(wǎng)絡(luò)，并與企業(yè)門戶系統(tǒng)、生產(chǎn)管理系統(tǒng)、質(zhì)量管理系統(tǒng)、PLM 系統(tǒng)、工卡系統(tǒng)、MES 系統(tǒng)、DNC 系統(tǒng)或ERP 系統(tǒng)高度集成，實(shí)時(shí)交互數(shù)據(jù)，其拓?fù)鋱D如圖1 所示。

圖1 機(jī)械制造修理企業(yè)工控系統(tǒng)網(wǎng)絡(luò)拓?fù)鋱D

2 機(jī)械制造修理企業(yè)工業(yè)控制系統(tǒng)的安全風(fēng)險(xiǎn)

隨著信息化和工業(yè)化融合的不斷深入，工業(yè)控制系統(tǒng)從單機(jī)走向互聯(lián)，從封閉走向開放，從自動(dòng)化走向智能化，工業(yè)工控系統(tǒng)各類問題逐漸凸顯。

2.1 企業(yè)管理網(wǎng)絡(luò)無(wú)法支撐工業(yè)控制系統(tǒng)運(yùn)行

傳統(tǒng)企業(yè)管理網(wǎng)絡(luò)（IT 網(wǎng)絡(luò)）和工業(yè)控制系統(tǒng)網(wǎng)絡(luò)（ICS 網(wǎng)絡(luò)）存在很多與生俱來(lái)的差異，兩套網(wǎng)絡(luò)的側(cè)重各不相同，工業(yè)控制系統(tǒng)控制一個(gè)物理存在的實(shí)體，而企業(yè)IT 網(wǎng)絡(luò)更多的是以管理數(shù)據(jù)為目的，兩種網(wǎng)絡(luò)的詳細(xì)區(qū)別見表1。

表1 IT 網(wǎng)絡(luò)、ICS 網(wǎng)絡(luò)對(duì)比

2.2 企業(yè)工業(yè)工控系統(tǒng)信息安全問題凸顯

從網(wǎng)絡(luò)結(jié)構(gòu)上看，企業(yè)工業(yè)控制系統(tǒng)可分為兩個(gè)層次：計(jì)劃管理制造執(zhí)行層和工業(yè)控制層。目前部分企業(yè)工業(yè)控制系統(tǒng)網(wǎng)絡(luò)與辦公網(wǎng)絡(luò)沒有分離，存在安全邊界模糊，安全等級(jí)不清晰，安全設(shè)施設(shè)備缺乏，管理人員技能不足，安全管理制度缺失等問題，整體網(wǎng)絡(luò)防御能力較弱，隨著工業(yè)控制系統(tǒng)網(wǎng)絡(luò)的不斷擴(kuò)張，工業(yè)控制系統(tǒng)網(wǎng)絡(luò)與企業(yè)管理網(wǎng)絡(luò)之間的雙向安全威脅和隱患也將進(jìn)一步放大。

2.3 企業(yè)工業(yè)控制系統(tǒng)網(wǎng)絡(luò)不符合安全防護(hù)標(biāo)準(zhǔn)要求

2.3.1 工業(yè)控制系統(tǒng)信息安全防護(hù)指南

2016 年10 月為貫徹落實(shí)《國(guó)務(wù)院關(guān)于深化制造業(yè)與互聯(lián)網(wǎng)融合發(fā)展的指導(dǎo)意見》，應(yīng)對(duì)新時(shí)期工控安全形勢(shì)，提升工業(yè)企業(yè)工控安全防護(hù)水平，國(guó)家工業(yè)和信息化部印發(fā)《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》，工業(yè)和信息化部指導(dǎo)和管理全國(guó)工業(yè)企業(yè)工控安全防護(hù)和保障工作。地方工業(yè)和信息化部門根據(jù)工業(yè)和信息化部統(tǒng)籌安排，指導(dǎo)本行政區(qū)域內(nèi)的工業(yè)企業(yè)制定工控安全防護(hù)實(shí)施方案，推動(dòng)企業(yè)分期、分批達(dá)到指南相關(guān)要求。指南共提出了11 項(xiàng)防護(hù)要求，具體是：（1）安全軟件選擇與管理；（2）配置和補(bǔ)丁管理；（3）邊界安全防護(hù)；（4）物理和環(huán)境安全防護(hù)；（5）身份認(rèn)證；（6）遠(yuǎn)程防護(hù)安全；（7）安全檢測(cè)和應(yīng)急預(yù)案；（8） 資產(chǎn)安全；（9） 數(shù)據(jù)安全；（10） 供應(yīng)鏈管理；（11）落實(shí)責(zé)任等。

2.3.2 工業(yè)控制系統(tǒng)信息安全防護(hù)能力評(píng)估工作管理辦法

2017 年8 月，工業(yè)和信息化部印發(fā)《工業(yè)控制系統(tǒng)信息安全防護(hù)能力評(píng)估工作管理辦法》和《工業(yè)控制系統(tǒng)信息安全防護(hù)能力評(píng)估方法》，從綜合評(píng)價(jià)的角度，運(yùn)用科學(xué)的方法和手段，系統(tǒng)地分析和診斷工業(yè)控制系統(tǒng)所面臨的威脅及其存在的脆弱性，評(píng)估企業(yè)工業(yè)控制系統(tǒng)安全防護(hù)水平，提出有針對(duì)性的抵御威脅的防護(hù)對(duì)策和整改措施，為最大限度地保障信息安全提供科學(xué)依據(jù)。

2.3.3 軍工保密認(rèn)證要求

相關(guān)標(biāo)準(zhǔn)指出，測(cè)試、調(diào)試、仿真、工控、數(shù)控等專用信息設(shè)備或信息系統(tǒng)，接入軍工相關(guān)信息系統(tǒng)，應(yīng)制訂專門的安全保密方案并報(bào)相關(guān)行政管理部門審查，進(jìn)行一事一議。

3 機(jī)械制造修理企業(yè)工業(yè)控制系統(tǒng)的脆弱性分析

3.1 工業(yè)控制系統(tǒng)自身信息安全問題

3.1.1 系統(tǒng)硬件的安全問題

大多數(shù)工控系統(tǒng)為進(jìn)口產(chǎn)品，硬件可拆卸，存儲(chǔ)部件如硬盤等缺乏物理保護(hù)措施，磁盤、內(nèi)存中的數(shù)據(jù)文件可被恢復(fù)。

3.1.2 操作系統(tǒng)的安全問題

工控設(shè)備的操作系統(tǒng)較多，其上位機(jī)多基于Windows 系統(tǒng)，終端設(shè)備主流操作系統(tǒng)為西門子等國(guó)外廠商平臺(tái)，工業(yè)設(shè)備的操作系統(tǒng)補(bǔ)丁很難獲得和升級(jí)更新，給工控設(shè)備帶來(lái)了安全隱患。

3.1.3 病毒與惡意代碼對(duì)系統(tǒng)的威脅

由于采用封閉的軟件系統(tǒng)，工控設(shè)備一般無(wú)法安裝常規(guī)的殺毒軟件，工控系統(tǒng)廠商一般也不提供系統(tǒng)的升級(jí)補(bǔ)丁或相應(yīng)的殺毒軟件，單獨(dú)運(yùn)行時(shí)威脅一般不大，但聯(lián)網(wǎng)后，易受網(wǎng)內(nèi)已感染病毒計(jì)算機(jī)攻擊，而且一旦被攻擊，破壞性巨大。

3.1.4 工業(yè)應(yīng)用軟件的安全問題

工控系統(tǒng)專用軟件也可能存在系統(tǒng)漏洞，而工控系統(tǒng)無(wú)法安裝信息安全類防護(hù)軟件，導(dǎo)致工控軟件自身漏洞被利用后，可實(shí)現(xiàn)對(duì)特定工控設(shè)備的入侵和攻擊。

3.2 工業(yè)控制系統(tǒng)通信安全問題

3.2.1 工業(yè)協(xié)議的安全問題

工控系統(tǒng)的通信形式和協(xié)議通常采用公開或?qū)Ｓ玫膮f(xié)議，這些協(xié)議在設(shè)計(jì)上缺少必要的認(rèn)證、授權(quán)和加密等安全機(jī)制，以明文方式進(jìn)行數(shù)據(jù)傳輸，在通信上存在一定的安全漏洞和隱患。

3.2.2 物理接口的安全問題

工控系統(tǒng)的外部通信普遍支持USB、串口、網(wǎng)口等物理接口，工控系統(tǒng)可以通過這些接口直接與后端服務(wù)器直接通信，目前，沒有有效的防護(hù)技術(shù)來(lái)保護(hù)工控設(shè)備的外設(shè)接口。

3.2.3 無(wú)線信號(hào)的安全問題

部分工控系統(tǒng)采用無(wú)線通信的方式進(jìn)行工作，而目前工控系統(tǒng)使用的無(wú)線通信方式很少采用數(shù)據(jù)加密和認(rèn)證手段，致使非授權(quán)用戶可能通過無(wú)線通道接入工控系統(tǒng)和辦公網(wǎng)絡(luò)。

3.3 工業(yè)控制系統(tǒng)和辦公網(wǎng)絡(luò)相互威脅問題

3.3.1 工業(yè)控制系統(tǒng)影響辦公網(wǎng)絡(luò)安全

由于工控系統(tǒng)自身漏洞多，病毒防護(hù)能力不足，缺乏身份鑒別和訪問控制手段，未授權(quán)用戶能夠向工控系統(tǒng)種植病毒或?qū)嵤┕?，并利用工控網(wǎng)絡(luò)與辦公網(wǎng)絡(luò)的連接，入侵到辦公網(wǎng)絡(luò)。病毒也能夠在工業(yè)設(shè)備間擴(kuò)散，操作員計(jì)算機(jī)或工程師設(shè)計(jì)站也能成為病毒攻擊辦公網(wǎng)絡(luò)的平臺(tái)。

3.3.2 企業(yè)敏感信息可通過工業(yè)控制系統(tǒng)直接輸出

如果防護(hù)不當(dāng)，企業(yè)重大敏感信息能夠從辦公網(wǎng)絡(luò)向工業(yè)控制網(wǎng)絡(luò)傳遞，操作員計(jì)算機(jī)、工程師設(shè)計(jì)站、工控設(shè)備都能將這些信息輸出。

3.3.3 辦公網(wǎng)絡(luò)病毒影響工業(yè)控制系統(tǒng)的安全

辦公網(wǎng)絡(luò)的網(wǎng)絡(luò)攻擊或病毒可以直接向工業(yè)控制系統(tǒng)傳輸，使得病毒或攻擊程序不僅可能盜取、破壞工控設(shè)備的數(shù)據(jù)，還可能對(duì)工控設(shè)備運(yùn)行情況和效率產(chǎn)生影響。

4 提升機(jī)械制造修理企業(yè)工業(yè)控制系統(tǒng)安全防護(hù)能力的對(duì)策

4.1 加強(qiáng)工業(yè)控制系統(tǒng)信息安全意識(shí)

機(jī)械制造修理企業(yè)應(yīng)在工業(yè)化和信息化融合、軍民融合發(fā)展的環(huán)境下，加強(qiáng)安全保密意識(shí)，把工業(yè)控制系統(tǒng)信息安全植入企業(yè)的安全與分析管控體系中，并切實(shí)落實(shí)相關(guān)舉措。在信息安全和信息化建設(shè)中應(yīng)做到“同步規(guī)劃、同步建設(shè)、同步運(yùn)行”，在“三同步”的過程中，補(bǔ)充和完善工業(yè)控制系統(tǒng)信息安全有關(guān)內(nèi)容。

4.2 確保工業(yè)控制系統(tǒng)網(wǎng)絡(luò)與企業(yè)管理網(wǎng)絡(luò)的安全互聯(lián)

首先應(yīng)構(gòu)建工業(yè)控制系統(tǒng)專用網(wǎng)絡(luò)，獨(dú)立網(wǎng)絡(luò)，在物理層面上實(shí)現(xiàn)工業(yè)控制系統(tǒng)網(wǎng)絡(luò)與企業(yè)管理網(wǎng)絡(luò)或其他網(wǎng)絡(luò)的安全物理隔離。因業(yè)務(wù)需要必須與企業(yè)管理網(wǎng)絡(luò)互聯(lián)的，可通過在工控網(wǎng)絡(luò)和企業(yè)管理網(wǎng)絡(luò)之間建立數(shù)據(jù)單向擺渡系統(tǒng)，通過部署單向光傳輸設(shè)備和相關(guān)代理服務(wù)器，構(gòu)建企業(yè)辦公網(wǎng)和生產(chǎn)網(wǎng)之間數(shù)據(jù)安全交換通道。單向光傳輸設(shè)備采用雙獨(dú)立主機(jī)架構(gòu)，內(nèi)外網(wǎng)處理單元通過單向光通道唯一連接，采用嵌入式Linux 加固操作系統(tǒng)，實(shí)現(xiàn)訪問控制、身份鑒別、日志審計(jì)等功能，通過不可路由的專用通信協(xié)議對(duì)無(wú)污染的數(shù)據(jù)進(jìn)行擺渡，同時(shí)在管理流程上對(duì)交換的數(shù)據(jù)進(jìn)行嚴(yán)格的內(nèi)容審批，實(shí)現(xiàn)安全隔離的數(shù)據(jù)信息交換。必要情況下，辦公網(wǎng)數(shù)據(jù)導(dǎo)出到生產(chǎn)網(wǎng)，應(yīng)履行數(shù)據(jù)導(dǎo)出審批程序和采取一次性光盤刻錄的方式。

4.3 構(gòu)建縱深的工業(yè)控制系統(tǒng)防御體系

分別從工業(yè)控制系統(tǒng)網(wǎng)絡(luò)的物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、資產(chǎn)安全、訪問控制、數(shù)據(jù)安全及管理體系等七大方面進(jìn)行技術(shù)防范和管理措施的設(shè)計(jì)，實(shí)現(xiàn)生產(chǎn)網(wǎng)系統(tǒng)業(yè)務(wù)應(yīng)用的可用性、完整性和保密性保護(hù)，并在此基礎(chǔ)上充分考慮各種技術(shù)的組合和功能的互補(bǔ)性，提供了自適應(yīng)安全架構(gòu)、主動(dòng)防御安全體系，從外到內(nèi)形成一個(gè)縱深的安全防御體系，保障信息系統(tǒng)整體的安全保護(hù)能力。

例如在每臺(tái)工控系統(tǒng)工作站主機(jī)上安裝主機(jī)安全軟件，實(shí)現(xiàn)應(yīng)用程序管控、外設(shè)管控、工業(yè)應(yīng)用軟件白名單等功能，確保被保護(hù)的主機(jī)只有白名單規(guī)則內(nèi)的程序，進(jìn)程才允許運(yùn)行，防止已知和未知惡意程序的侵入，進(jìn)而防止操作系統(tǒng)被惡意破壞。關(guān)閉工業(yè)主機(jī)、設(shè)備的遠(yuǎn)程控制端口，修改工業(yè)主機(jī)、設(shè)備的默認(rèn)賬戶，設(shè)置各類賬戶口令等。每年或工控網(wǎng)發(fā)生重大變更時(shí)，邀請(qǐng)專業(yè)安全廠商或工控系統(tǒng)廠商攜帶工業(yè)漏洞掃描、蜜罐探針或攻擊探針等專業(yè)軟硬件對(duì)工控網(wǎng)進(jìn)行全面漏洞掃描測(cè)評(píng)，依托專業(yè)技術(shù)力量及時(shí)發(fā)現(xiàn)漏洞、評(píng)估漏洞，密切關(guān)注重大工控安全漏洞及其補(bǔ)丁發(fā)布，及時(shí)采取補(bǔ)丁升級(jí)措施。在每個(gè)安全域網(wǎng)絡(luò)出口部署工業(yè)防火墻，做網(wǎng)絡(luò)隔離，實(shí)現(xiàn)區(qū)域橫向邏輯隔離，阻止區(qū)域之間的越權(quán)訪問，病毒、蠕蟲惡意軟件擴(kuò)散和入侵攻擊，阻止網(wǎng)絡(luò)攻擊在不同區(qū)域間滲透，保障關(guān)鍵資產(chǎn)和業(yè)務(wù)的安全等。

5 結(jié)語(yǔ)

兩化融合戰(zhàn)略加快了工業(yè)信息化、自動(dòng)化發(fā)展進(jìn)度，為ICS 網(wǎng)絡(luò)的互聯(lián)互通、數(shù)據(jù)采集分析及智能控制提供了便利，但也擴(kuò)大了ICS 網(wǎng)絡(luò)邊界，破壞了其原本運(yùn)行狀態(tài)，各類工控系統(tǒng)信息安全問題也層出不窮，增加了安全隱患，而機(jī)械制造修理企業(yè)面臨的工控系統(tǒng)問題更為復(fù)雜，對(duì)于工控系統(tǒng)的信息安全防護(hù)刻不容緩，需要從管理、流程、架構(gòu)、技術(shù)等方面不斷加以完善，積極采取必要的信息安全防護(hù)措施，不斷提高企業(yè)工控系統(tǒng)的信息安全水平，保障生產(chǎn)安全，防止被惡意攻擊。