工控安全思考 從本質(zhì)上提高工控網(wǎng)絡安全
信息安全產(chǎn)業(yè)將步入高速發(fā)展階段,而整個互聯(lián)網(wǎng)用戶對安全產(chǎn)品的要求也轉(zhuǎn)入“主動性安全防御”。隨著用戶安全防范意識正在增強,主動性安全產(chǎn)品將更受關注,主動的安全防御將成為未來安全應用的主流。工業(yè)控制系統(tǒng)面臨的信息安全問題正日益嚴重。為保證能源和基礎設施行業(yè)控制系統(tǒng)的安全穩(wěn)定運行,需要建立有針對性的安全防護體系,創(chuàng)建“本質(zhì)安全”的工業(yè)控制網(wǎng)。
系統(tǒng)軟硬件存隱患
不可否認,信息技術(shù)的迅猛發(fā)展正令我國的工業(yè)生產(chǎn)效率大幅提高,特別是互聯(lián)網(wǎng)技術(shù)的出現(xiàn),使得工業(yè)控制網(wǎng)絡和企業(yè)管理網(wǎng)的聯(lián)系越來越緊密。但另一方面,傳統(tǒng)工業(yè)控制系統(tǒng)采用專用的硬件、軟件和通信協(xié)議,設計上基本沒有考慮過通信安全問題。因此,在工控系統(tǒng)開放的同時,安全隱患問題日益嚴峻。系統(tǒng)中任何一點受到攻擊,都有可能導致整個系統(tǒng)的癱瘓。目前,我國如石油、電力、水利等命脈部門均有各自的工業(yè)控制系統(tǒng),若受到黑客攻擊,后果不堪設想。分析人士認為,當前我國工控系統(tǒng)有兩大隱患較為突出:首先是通信協(xié)議和OS(操作系統(tǒng))的安全問題。當前工業(yè)化、信息化深度融合,TCP/IP協(xié)議和OPC協(xié)議等通用協(xié)議越來越廣泛地應用在工業(yè)控制網(wǎng)絡中,通信協(xié)議漏洞問題日益突出。另外,目前我國工業(yè)控制軟件系統(tǒng)的OS多采用某機構(gòu)ows平臺,為了維持系統(tǒng)的穩(wěn)定性,工程師在系統(tǒng)開車后一般不會再進行update更新,這同樣給安全問題埋下炸彈。而在中游,安全策略和殺毒軟件同樣存有漏洞。近期一篇產(chǎn)業(yè)研究報告透露,我國工業(yè)控制系統(tǒng)中移動存儲介質(zhì)包括筆記本電腦、U盤等設備的使用,存在不嚴格的訪問控制策略。為了保證工控應用軟件的可用性,許多工控系統(tǒng)操作站通常不會安裝殺毒軟件。而且,和OS一樣,為了維持系統(tǒng)的穩(wěn)定,病毒庫系統(tǒng)也長期不更新。下游的應用軟件層面,也應該形成統(tǒng)一的防護規(guī)范,以應對安全問題。當應用軟件面向網(wǎng)絡應用時,就必須開放其端口,攻擊者很有可能會利用一些大型工程自動化軟件的安全漏洞,較容易地獲取諸如污水處理廠、天然氣管道以及其他大型設備的控制權(quán)。
在2013工業(yè)信息安全用戶高峰論壇上,參會者指出,目前我國許多企業(yè)在信息安全的人才結(jié)構(gòu)方面也不夠合理,許多企業(yè)的工控工程師不懂信息安全,軟件工程師不懂工控系統(tǒng),使得目前許多企業(yè)在內(nèi)部的協(xié)調(diào)上不夠默契。
自力更生進口替代
目前我國工控系統(tǒng)信息安全的政策主要來自于工信部2011年451號文(《關于加強工業(yè)控制系統(tǒng)信息安全管理的通知》)。451號文明確,重點加強核設施、鋼鐵、有色、化工、石油石化、電力、天然氣、先進制造、水利樞紐、環(huán)境保護、鐵路、城市軌道交通、民航、城市供水供氣供熱以及其他與國計民生緊密相關領域的工業(yè)控制系統(tǒng)信息安全管理,落實安全管理要求。
事實上,國外工控信息安全事故已有先例。據(jù)媒體報道,美國政府曾下令通過蠕蟲病毒“震網(wǎng)”,對伊朗主要鈾濃縮設施的計算機系統(tǒng)展開日益復雜的網(wǎng)絡攻擊,導致伊朗用來濃縮鈾的5000臺離心機中的1000臺癱瘓。
山西電監(jiān)辦轉(zhuǎn)發(fā)國家電監(jiān)會《關于做好對存在預制后門風險的羅杰康產(chǎn)品防范應對的工作通知》,要求對羅杰康的工業(yè)交換機進行排查。羅杰康是一家加拿大上市公司,其工業(yè)交換機產(chǎn)品主要應用于電力、交通等系統(tǒng)。據(jù)羅杰康財報顯示,公司在2008年登錄資本市場以來營收年度復核增長率接近40%,其在中國的業(yè)務更是遠超這一數(shù)字。
分析人士認為,在“棱鏡門”等事件的持續(xù)發(fā)酵下,未來進口替代將是投資工控信息安全產(chǎn)業(yè)的主要邏輯。,未來三年,國內(nèi)信息安全有望保持20%左右的復合增長率。