智能工厂工业控制网络安全需求解读

    记者：智能制造时代，企业应该如何选择符合要求的工控网络安全产品？

    井柯：企业对于工控网络安全产品的选择，首先要明确从工业网络与传统信息网络的区别，两者存在本质差异，主要表现为：

    1)工控系统以“可靠性”、“稳定性”为首要需求，工控网络安全误报等同于攻击；而传统的信息安全系统则以“保密性”为首要需求。

    2)网络通讯协议不同，工控系统采用大量的私有协议。

    3)工业控制网络运行环境相对单一，网络数据也相对单一；传统信息网络是一个基础的网络与计算资源的综合构成体，其网络中存在非常复杂的组网结构与系统运行环境，它们为多样化的应用服务提供支撑。

    4)工控系统更新代价高，常见于传统信息安全领域通过补丁来解决安全问题，在工控领域行不通。

    因此对工控安全产品也提出更为明确的要求，主要体现为以下几个方面：

    1)工控网络安全产品要具有高稳定低时延的品质。工业控制网络对稳定性与低时延性要求非常高，不稳定的系统或高时延极有可能导致工业企业生产混沌，使其蒙受经济损失。相比之下，传统信息网络对网络的稳定性与时延性要求反而不那么高，比如web服务宕机或重启只会造成信息的不连续性。

    2)工控网络安全产品需要具有工业协议的深度解决能力。传统信息网络所使用的通信协议大部分都是标准而开放的协议，而工业控制网络使用的大部分都是私有协议，协议的私密性对安全产品提出较高的要求，只有安全产品能够针对工业控制协议进行细粒度的解析，才能实现细粒度的安全防护能力与功能。

    3)工业控制网络安全产品要基于白名单机制实现安全防护。目前，工控厂商的产品漏洞升级意识薄弱。在工业漏洞被发现后，工控厂商不得不面对漏洞无法及时升级的尴尬局面。这就要求，对于工控安全产品的选择，要考虑产品安全防护的细粒度与精准性，不仅要从协议层做访问控制，还要基于行为与工控指令级的合规性检查与访问控制，建立白名单机制，对违规或异常数据进行精确阻断，有效控制漏洞无法及时升级所带来的风险，这也是选择工业控制安全产品的重要指标。

    4)工控网络安全产品要具有基于行为的合规性检查与控制功能。在传统信息网络中，部署安全系统、设备更多采用黑名单机制的安全产品进行安全防护。这样的产品需要强大的硬件计算资源，并不适用于工业控制网络。工控网络安全产品需要基于私有协议的深度解析，基于白名单的机制，实现对工业数据单一行为进行细粒度的行为合规性检查、审计与控制，这样既可以实现安全防护的精准控制，又可实现安全系统的稳定性要求。

    记者：随着去IOE化及国家智能制造的要求，国内工控安全系统厂商将面临哪些机会和挑战？

    井柯：随着以网络化、智能化、数字化为主要特征的新一轮工业变革的推进，上至国产数控机床和工业控制器，下至广泛应用于智慧终端的芯片的受制于人，也让我们看到中国工控系统网络安全之路任重而道远。

    目前，我国工业控制系统80%采用国外技术和产品。这些工控设备中存在的高危漏洞、设备后门等风险犹如高悬于传统工业企业之上的利剑。因此，在去IOE化和国家“智能制造”的浪潮中，工业控制系统安全将成为国产化安全、自主、可控的重要杠杆，它将有力撬动传统工业格局，打破其技术壁垒，推动、促进本土工控产品的创新与技术升级，进而替代国外技术和产品。

    从2010年至今，短短6年间工控系统网络安全成为众所关注的焦点，工控网络安全产业快速成长。从产业规模而言，不容忽视的是我国现代工业规模为世界之最，具备完整的现代工业体系，因此在工业化、智能化建设中，中国工业更具后发优势。从需求而言，当网络化已成为企业转型升级的重要平台与助推器，保障工业生产安全，加强工控网络安全防范迫切性的日趋凸显，工控系统网络安全正在成为企业刚需。

    从现实挑战来看，我国工控网络安全面临前所未有的严峻挑战：工业控制基础硬件安全问题长期存在，工控系统运行环境存在大量漏洞和隐患，工控网络安全感知、防护体系有待建立健全，工控网络安全标准有待完善。综合上述因素，我国工控网络安全产业发展挑战与机遇并存，我国工控网络安全产业前景广阔，工控网络安全产业与工控企业成长空间巨大。