工控网络安全防御之道

    2016年4月，德国核电站受到恶意代码攻击被迫关闭；

    2016年3月，美国国防部长卡特承认美国使用网络手段攻击了叙利亚ISIS组织；

    2016年1月，乌克兰最大机场被控制，以色列电力供应系统受到重大网络攻击；

    2015年12月，"BlackEnergy"病毒攻击乌克兰电网；

    2015年初，韩国核电站疑遭朝鲜攻击；

    ……

    这绝不是耸人听闻的传说，这都是最近一年来真实发生在工业领域的重大安全事件，而且这并不是全部，事实上，我们所看到的工业网络安全事件，只是冰山一角，还有更多的工业控制网络安全事件被秘而不宣。2015年仅美国国土安全部的工业控制系统网络应急响应小组（ICS-CERT）就收到了295起针对关键基础设施的攻击事件。

    随着物联网、智能化等新技术在工业领域的不断深入，工业网络安全隐患更加日益凸显，虽然现在各大工业控制系统厂商都十分重视网络安全的问题，但所谓道高一尺魔高一丈，网络安全事件时有发生，而且破坏力越来越大。那么，如何应对这一日趋严重的安全威胁呢？对于工业网络安全，防御之道又是什么呢？为此，我们采访了工业网络安全专家、关键基础设施保护委员会主任、匡恩网络技术委员会主席兼首席战略官孙一桉先生。

    工业控制网络安全不同于传统网络安全

    网络安全、信息安全其实是一个老生常谈的话题，市场上也有很多专注网络安全的厂商。但是，近年来的一些迹象表明，传统互联网威胁将不断向工业控制领域扩散控制工程网版权所有，那么工业控制网络安全和我们常见的网络安全、信息安全是否一样呢？孙一桉给出了否定的答案。

    孙一桉指出，其实工控系统安全和传统信息安全是互补的控制工程网版权所有，是一条攻击路径上的。但是对于信息安全的关注点是数据安全，而工业控制系统安全更多关注系统的稳定性和对生产的影响。这也决定了两者的防护体系和结构不同。比如信息安全市场上流行的下一代防火墙，就强调在一个边界上的防护，这对工业控制系统来说是不够的。工控系统很难依赖一个边界的防护系统，不能假定在边界的防护就解决了问题，路径容忍度是工业控制防护的一个基本理念，因为工控系统往往不能在这个发现问题的点立即就切断，而是要做到其他系统不受影响，在一个点发现问题，最好把其他隔离，结构安全性是工业控制系统的首要。

    正是由于工控系统安全和传统网络安全的防护理念不同，所以对两者的产品和技术也不能一样。简单地把传统信息安全产品加上一个工业壳放在工业系统里面其实是不可行的，造成的危害是比较大的。孙一桉表示，几年前曾经把思科的一些安全产品加上工业控制协议实施在石油生产控制网络当中，结果是造成的误报和危害非常大，实施一年后，绝大设备被设置成透明模式或被拆掉。

    "还有重要的一点，由于工控系统所处的行业特点不同，所以说没有一个万能的防护系统，可以适用于所有行业的工业控制系统。工业控制系统一次更新也很难，一套软件可能十年都不会升级，传统信息安全打补丁查杀病毒这些措施是不可接受的。"孙一桉补充说道。

    工业控制系统网络安全面临的主要威胁

    和欧美国家的工业控制系统网络安全相比，我们国家呈现出自己的一些特点，比如工业控制系统规模巨大且超过80%依赖进口，大规模新建系统依然缺乏网络安全规划和设计，而我们的用户对工控网络安全风险感知能力欠缺，现有防护手段无法防御不断升级的网络攻击和数据窃取。为此，孙一桉总结出我国工业控制系统面临的五个主要威胁：

    第一个是工业控制设备存在大量的高危漏洞。无论是国内工业控制设备还是国外工业控制设备高危漏洞都是客观存在的。而对工业控制系统来说，设备更新周期非常慢，这个漏洞一旦被发现，几年都被暴露在那里，由此会带来很大的受攻击可能性。

    第二个是外国设备可能存在后门。很多后门设计的时候可能是为了远程调测，但是这样的后门被恶意利用带来的后果非常严重。

    第三个是工业网络病毒。随着攻击手段的普遍产生，它的传播也越来越失控。当这种传播失控的时候，工业病毒往往会泛滥。

    第四个是高级持续性威胁，即APT攻击。黑客背后的资源是很丰富的，很长时间持续攻击，手段复杂，这在关键基础设施工业控制方面非常普遍。

    第五个是无线技术的广泛应用越来越给工业控制系统的安全防护带来巨大的挑战。

    "4+1"安全保障体系--工控网络安全防御之道

    网络安全问题就像"矛"和"盾"一样，有什么样的"矛"就需要有什么样的"盾"来防御。工控系统网络安全尽管面临着众多不同于普通网络安全的威胁，黑客攻击的手段也越来越高明，甚至可能成为一个国家和一个国家之间的对抗，但是，在孙一桉看来，工控网络安全也有其可靠的防御之道。

    孙一桉分析指出，工业控制系统网络安全防护理念经历了四个阶段的演变。第一阶段是2010年震网病毒发生之前，仅强调网关、网闸、单向隔离等物理隔离，后来发现隔离是十分脆弱的，现代高级持续性攻击都是针对隔离系统的。第二阶段由传统信息安全厂商提出的纵深防御体系，大多数项目演变为信息安全产品的简单堆砌CONTROLENGINEERINGChina版权所有，带来了更多的故障点，这些故障点在不同的系统中造成了很大的危害，所以不能完全适应工业网络安全的特点。第三阶段是目前所处的从工业控制系统内部生长的持续性防御体系，通过基础硬件创新来实现，低延时，高可靠，可定制化，持续更新，简单化的实施和操作等。虽然这个阶段现在还有很多的问题要解决，但是确实有效性在逐渐的提升。第四阶段是近两年来以美国、以色列为代表的以攻为守的国家战略，在国家层面注重攻击技术的研究、实验、突破和攻防演示实验室的建设，以攻击技术的提高，带动防御技术的提高，以攻击威慑力，换取安全性。

    对于工控网络安全防御之道，孙一桉提出了工业控制网络"4+1"安全保障体系的全生命周期解决方案。这里的"4"是指结构安全、本体安全、行为安全和基因安全。

    结构安全是指在系统架构安全规划、网络安全分区设计、区域访问控制策略、实现不同网络之间的隔离与认证等方面进行防护。本体安全是指采用补偿性措施来阻止和避免由于ICS自身的漏洞、缺陷被恶意利用或者无意的干扰造成的系统瘫痪。行为安全是指采用态势分析、入侵检测、审计追溯等手段发现ICS中异常行为，分析正常行为特征，固化业务操作行为安全规则，拦截恶意攻击行为。最后的是基因安全，通过可信计算、自主芯片和国产操作系统来实现基因安全，在软硬件体系结构上随时准备切换为国产平台。

    这里的"1"是指时间持续性，在以上四个安全性的基础上，实现持续的安全管理与安全运维。

    孙一桉强调说："要有效实现'4+1'的安全保障体系，就要提供一个全生命周期的解决方案。要从最早设计生产阶段对他进行设备的检测，在实施阶段有效的安全规划，安全服务，还有在运行当中进行检测审计、保护，实行安全大数据的分析，安全的管理。"

    对于工业控制网络安全的未来趋势，孙一桉语重心长地说，"工业控制安全不仅仅是一个网络安全的问题，已经扩散到一个工业生产安全的问题，当一个工业设施自身具有网络功能的时候，这个网络的安全就成了它自身功能安全和生产安全的一部分，我们希望在当前大力开展基础设施制造业智能化的过程中，为它极早植入网络安全的基因，加强网络安全与生产安全深度融合。"