工控安全任重道遠
——記ISC2016工業互聯網安全論壇

2016年8月16日，ISC2016工業互聯網安全論壇在北京國家會議中心成功召開。此次論壇的的主題是“產業協同、構建安全可控工業互聯網”，論壇由中國互聯網協會和360互聯網安全中心共同主辦，工業互聯網產業聯盟與《網絡安全和信息化》雜志社承辦。

中國信息通信院標準所副總工、工業互聯網產業聯盟總體組組長李?；ㄅ渴紫戎職g迎辭，緊接著，來自國內外工業互聯網安全領域的七位專家針對不同主題進行了精彩演講。

工控安全的挑戰和防御

工業控制系統是工業互聯網中的核心，廣泛應用于電力、能源、交通和市政的各種控制中，現代社會中80%以上的國家關鍵信息基礎設施都是依賴工業控制系統。

工業和信息化部電子科學技術情報研究所總工程師尹麗波做了題為《工業控制系統面臨的安全風險和挑戰》的精彩演講。就國家關鍵信息基礎設施的中樞系統——工業控制信息系統面臨的安全風險和挑戰做了比較詳細的闡述。

ISC2016工業互聯網安全論壇現場

尹麗波表示，過去傳統的工業控制系統是封閉獨立的，人們并不認為存在安全風險的可能。然而2010年“震網”病毒事件為人們敲響了警鐘，顯示出工業控制系統在安全方面存在巨大隱患，諸如工業控制系統的漏洞數量加劇，互聯互通使得入侵和病毒的傳播變得更加容易，攻擊趨易，基礎薄弱，防護能力嚴重不足等。同時我國在建設工控安全保障體系中也存在著挑戰：一是重視信息化建設而忽視安全問題。二是態勢失察。三是對工控系統評估方面無完善的依據。四是防護失效。五是研究力量比較分散，保障體系不夠完備。

針對以上存在的安全風險和挑戰，尹麗波提出建議：一是對工業控制系統的安全方面建議相關單位進行同步規劃、建設和運行，把信息安全納入到整體的生產安全的評價體系中；二是建設國家級的工控安全態勢感知的平臺和風險通報的平臺；三是在工控安全方面要有評估標準和防護的指南，加快制定安全檢測工具；四是安全防控技術和產品攻關方面，形成產學研整體體系；五是加強國家工控安全的頂層設計和建設專門的保障機構。

中國信息安全測評中心隱患分析處副處長謝豐就《工控安全：瓷器店里捉老鼠——淺談工控網絡攻與防》發表了演講。

謝豐表示，在管理上，工控的信息安全責任不清晰，整個IT和工控的較大差異導致現在很多的技術無法直接應用于工控系統，從而體現出了各種不適應性。針對工控的安全防護的困難性導致研發技術不易開展，用戶不敢輕易嘗試，最后導致了整個的工控信息安全就像在瓷器店里捉老鼠一樣投鼠忌器，這是個兩難的問題。

工控網絡的特點決定了安全技術必須針對特點進行重構。例如針對工控網絡的結構比較簡單、流量規律性強的特點，可以建立安全基線。另外工控系統比較封閉，要考慮通過升級的角度做安全并不可行。針對這些問題需要按照安全的套路管理與信息技術的融合，而在管理上最重要是要解決整個工控安全的責任主體。我們需要建立工控安全文化、信息安全生態，這需要多方共同協同，構建整個安全的命運共同體，只有這樣才能解決工控安全。

數據驅動工業互聯網安全

工業互聯網的架構有三個支柱——網絡、數據與安全。工業互聯網在每一層都存在大量的問題。例如設備層在建立時忽視安全問題；控制層會造成邏輯炸彈的問題；智能化制造和網絡化協同使得應用層已經快速跟互聯網結合在一起會遭受到互聯網常見的諸如病毒等問題；數據層涉及到數據的傳輸、保存和使用等都會有大量的安全問題等。360網神沈陽研發中心總經理陶耀東針對《數據驅動的工業互聯網安全自適應防護框架》作了演講。

陶耀東表示，數據驅動自適應防護框架（PC4R）可做閉環的防護。一是信息感知，感知工業現場的物理量，了解工業現場的資產。二是數據匯集，把CNC-PLC、DNC、SCADAMES、ERP統計起來建立安全的數據庫。三是轉化分析，把數據經過篩選分類，變成可讀信息。之后是網絡融合，結合整個工廠運行的機理、環境、操作群體、威脅情報合作一起形成一個有用的網狀信息進行認知的預測。結合態勢完成認知，最后響應決策。

其防御技術路線有：通過大數據發現威脅情報；在工控層面建立企業本地安全的運維中心；構建工控系統安全白環境；安全即服務；多級安全防護體系。數據驅動自適應防護框架（PC4R）的概念就是數據驅動安全，整體來說是威脅情報+安全技術+安全服務。

北京威努特技術有限公司CEO龍國東則就《工業互聯網安全實踐與趨勢分析》進行了分享。通過分享在不同工業行業工控安全的成功實踐，展望工業互聯網安全未來的發展趨勢。

他表示，工業互聯網典型的趨勢，即更加的IP化、扁平化、無線化以及靈活組網。智能化的工業互聯網的安全需求集中在三個層面，即云、管、端。隨著聯網的設備越來越多，工控安全面臨諸多挑戰，安全是工控網絡通向互聯網必要的橋梁，從孤立的網絡到工業互聯網的趨勢中不確保安全將有災難性的后果；在整個互聯網向工控網反向滲透的過程中，標準協議和法規亟待完善；傳統的安全產品基本上不適應工控網絡的要求；工控網絡的邊界日趨模糊，傳統防護方法可能無法適應工業互聯網的需求；整個工控網絡的攻擊會更隱秘，種類更多樣，綜合的縱深防御必不可少。

電力工控安全威脅的思考

國家電網全球能源互聯網研究院信息通信研究所總工程師張濤做了題為《電力工控安全威脅挑戰與應對思考》的演講，闡述了電力工業控制系統在新形勢下面臨的威脅與挑戰，分析電力工控系統面臨安全風險和隱患，分享電力工控安全防護的案例，并對工控安全防護建設的下一步工作進行思考。

我國電網屬于智能電網，具有信息化、自動化和互動化的特征，“安全分區、網絡專用、橫向隔離、縱向認證” 的縱深防御保障了電網控制系統的安全性。然而互聯網技術的發展使我們面臨新的挑戰，在現場終端方面嵌入式智能終端中的安全測試不足；在網絡層新的無線的技術在大量地應用也會面臨一些新的問題；在應用層出現了很多攻擊手段的聯合使用等問題。

張濤表示，在應對策略上，重要的是標準層面。即構建一個工控系統的安全標準規范體系。安全管理要抓源頭，重研發；測評保障方面要建立測評體系；技術布防方面強調現場的運維安全和終端安全；安全監測方面重點是要和業務等幾個方面進行結合，整個工控業務的安全監測和IT監測進行有機的融合。

SCADA StrangeLove研究團隊負責人Sergey Gordeychik就《數字變電站接管：針對關鍵基礎設施的攻擊》的主題進行了演講。

數字變電站是現代智能電網技術的核心，能夠實現變電站內智能電氣設備間信息共享和互操作。然而與傳統電網的相對封閉式管理相比，智能電網以及鐵路信息系統等與互聯網的互聯互通也意味著網絡入侵等威脅將給其帶來很大安全風險，另外也有一些技術和廠家本身的設備留有一些后門或者是調測。

針對以上存在的問題，SCADA StrangeLove提出以任務為中心的威脅建模法，也即以任務為中心來設計和提升安全性的系統化設計的理念，在電網設計每個任務的時候要有系統化的思維和理念，還要有全景的視圖?，F代工業控制軟件和SCADA系統支持遠程調試和管控，遠程訪問可能導致ICS系統遭到黑客攻擊，后果往往十分嚴重。因此，采取必要的安全措施是非常重要的，例如滲透測試。

來自俄羅斯的Gleg公司開發的EAST框架，是針對LOGO測試相關的開發工具和開源平臺，是一個開源的軟件套件，這個軟件平臺的特點是使用起來很容易、便捷，可以在這個基礎上很容易地做出一些滲透性的測試，從而找出系統中存在的問題以及應對的方法。