路漫漫其修遠兮吾將上下而求索

文/梁秀璟

路漫漫其修遠兮吾將上下而求索

文/梁秀璟

工業和信息化部電子科學技術情報研究所總工工業控制系統信息安全產業聯盟副理事長 尹麗波

2011年10月，我國工信部發布了《關于加強工業控制系統信息安全管理的通知》，要求各地區、各有關部門、有關國有大型企業充分認識工業控制系統信息安全的重要性和緊迫性，切實加強工業控制系統信息安全管理，以保障工業生產運行安全、國家經濟安全和人民生命財產安全，這標志著我國已開始著手加強工業控制系統信息安全的相關工作。作為工信部的直屬單位，工業和信息化部電子科學技術情報研究所（工業和信息化部電子第一研究所，以下簡稱一所）一直支撐工信部乃至國家在工業控制系統信息安全方面的研究工作。因此，記者特別采訪了工信部一所總工程師尹麗波，請她談談對于我國工業控制系統信息安全現狀的看法。

我國多數工控系統存在漏洞

北京大學兩化融合發展研究院副院長胡昌振教授曾用“神經中樞”來比喻工業控制系統在工業信息化中的重要性。隨著我國工業與信息化融合的推進，工業控制系統規模已經擴展到國家關鍵基礎設施行業（如交通、水電、油氣、國防等），成為其重要組成部分。工業控制系統一旦遭到信息攻擊或破壞，其影響不僅是控制系統性能下降、控制能力喪失，而且將造成人員傷亡、環境災難，甚至會危及公眾生活和國家安全，導致國家的戰略被動、受制于人。因此，工業控制系統信息安全關乎經濟發展、社會穩定、國家安全、公眾利益，已經成為了工業與信息化融合中理應特別關注的問題。

尹麗波對此頗為認同：“以前大家對工業控制系統信息安全并不是很重視，因為過去工控系統并不需要連接到互聯網上，那么攻擊的原因基本是由于內部管理不夠，所以只要做好物理層面的防范就已足夠。但隨著工業控制系統的逐漸開放，它已不再是‘信息孤島’，通過互聯網對其發起信息攻擊不僅可能，而且門檻越來越低?！睋嘎?，經過他們的調研和測試，目前在中國與互聯網相連的很多工控系統都存在漏洞。她甚至用了“可怕”兩個字來形容她得到這些數據后的心情，“這些充滿漏洞的工控系統一旦被攻擊，則可以直接轉化為現實的物理行為，很快形成對整個工業系統乃至社會的巨大破壞力?！?/p>

“我國的工業控制系統信息安全還處在起步階段”

正是基于這樣的形勢，中國政府意識到事態的嚴重性，從2011年起著手開展提升我國工業控制系統信息安全水平的工作。學習、借鑒國外防范工業控制系統信息安全問題發生的經驗成為了我國邁開提升工業控制系統信息安全水平“萬里長征”的第一步。

工業和信息化部電子科學技術情報研究所的一項重要工作就是跟蹤和了解國外工業控制系統信息安全管理和研究等相關工作進展，因此，對于國外開展工業控制系統信息安全相關工作的情況，尹麗波了解得非常清楚。她坦言：“相比國外而言，我國的工業控制系統信息安全工作尚處在起步階段，差距還很遠?！?/p>

首先在法律法規層面，以美國為例，早在1998年5月就簽署的第63號總統令（PDD-63）規定，在白宮的直接領導下，設立了一個機制，協調牽頭部門和相關機構的行動，聯邦機構還要與私營部門合作，以防范和抵御針對關鍵基礎設施的物理攻擊和網絡攻擊，特別是針對美國的網絡系統的攻擊。這項政策在2003年的《網絡空間安全國家戰略》中又進行了修訂。之后2003年的第7號國家安全總統令（HSPD-7）、2007年的《國家網絡安全綜合計劃》（CNCI）都對工業控制系統信息安全的具體職責和防御方法進行了進一步的細化。

第二，我國相關的工業控制系統信息安全標準還不健全。尹麗波表示，目前美國已形成了相對完整的工業控制系統信息安全管理體制和技術體系，相繼提出了《工業控制系統安全指南》、《聯邦信息系統和組織的安全控制推薦》、《系統保護輪廓——工業控制系統》、《智能電網安全指南》、《中等健壯環境下的SCADA系統現場設備保護概況》、《提高SCADA系統網絡安全21步》、《中小規模能源設施風險管理核查事項》、《控制系統安全一覽表：標準推薦》、《加強SCADA系統及工業控制系統的安全》等一系列國家指南；推出了《北美大電力系統可靠性規范》、《核設施網絡安全措施》、《美國化工設施反恐標準》、《SCADA通信的加密保護》、《管道SCADA安全》和《石油工業安全指南》等行業標準規范。

第三，尹麗波認為，國外對研究機構的投入也要更多和更早于我國。比如我國實驗室中雖然也有模擬系統可以進行測試，但是一般都是將最基本的DCS、SCADA等主要使用的設備和典型的環節以及流程放在實驗室里進行控制并測試。但是美國測試的對象卻是真正的測試床。例如美國的愛達荷實驗室，主要研究化工、電力、供水等方面的建模仿真測試，洛斯阿拉莫斯國家實驗室，主要研究交通等領域系統的安全，另外還有桑迪亞國家實驗室、太平洋西北國家實驗室、阿貢國家實驗室等，在工業控制領域研究十分深入，其仿真測試都是基于與真實系統完全一致的仿真測試床中。

她總結道：“雖然在很多方面，我們與國外還存在差距，但是我國的工業控制系統信息安全的相關工作已經在有條不紊地進行?！币砸凰鶠槔?，除了前文提到的持續跟蹤國外工作進展，翻譯、轉化一些重要法規、標準等之外，他們還開發了兩套大型的模擬系統，可以對控制系統進行信息安全的測試。一套是基于SCADA的石油管道運輸油氣系統，它可以實現從油氣采集、分離，到最后輸送給用戶的整套模擬，這套系統上的控制產品都采用了當今主流廠商的設備。如果在這個系統上對一些產品和設備進行模擬攻擊，這些攻擊以及攻擊后果都可以直觀地演示出來。另外一套是市政污水處理的模擬系統，同樣，在這個系統上也可以模擬對主流國內外廠商的DCS和PLC的攻擊。尹麗波說道：“這兩個模擬平臺，不僅可以對DCS、PLC、RTU等產品設備進行安全方面的研究，還可以對已經發布出來的漏洞進行驗證?！?/p>

漏洞的發現與通報迫在眉睫

當記者問起她什么才是我國目前最亟待解決的問題時，她毫不猶豫地回答：“就是要知道到底有哪些重要的控制系統暴露在互聯網上，對于這些系統該采取什么樣的保護措施，而又有多少系統在沒有保護的情況下正在運行著，這些系統有多少能夠被黑客遠程控制?！睘榇?，一所研發了一套互聯網監測系統，目前已經掃描到了很多沒有保護措施卻依然暴露在互聯網上的控制系統，其中有很多都應用在了關鍵的行業，如電力、石化等。

有了發現漏洞的技術，那么制定一套科學的漏洞發布機制就變得尤為重要。經過對美、日等國家安全風險共享發布機制的研究與分析，尹麗波認為，我國應借鑒美日做法并結合國情，建立和完善工業控制系統信息安全風險發布機制，鼓勵和引導廠商、安全研究人員和重點行業運營單位積極上報工控產品漏洞，并依托高校、科研院所、企業和相關支撐單位建設工業控制系統信息安全測試床及實驗室，集中優勢力量打造骨干技術研究基地，重點提升漏洞挖掘、驗證分析和安全解決方案制定等技術分析能力，建立國家級工業控制系統信息安全風險發布平臺，實施風險漏洞通報制度。

雖然，目前我國工業控制系統信息安全問題很嚴峻，相關工作還處在摸索階段，但是我們可以欣喜地看到，2014年2月，以習近平總書記為組長的中央網絡安全與信息化領導小組正式成立，把我國網絡安全與信息化整體推進到一個新的發展階段，也為工業控制系統信息安全營造了一個快速發展的大環境。然而，工業控制系統信息安全卻是一項需要持續推進的工作，不能僅憑一時的熱度，需要足夠的決心和有序的部署逐漸開展?！奥仿湫捱h兮 吾將上下而求索”，當記者問到尹麗波在新的一年里有何計劃時，她表示，她本人以及一所會繼續一如既往地開展工業控制系統信息安全研究等相關的工作。沒有豪言壯語，有的只是勤勤懇懇、腳踏實地的走好每一步，這是尹麗波的態度，也恰恰是我國成功推進工業控制系統信息安全工作的關鍵。