近日，由中国电子信息产业集团有限公司和海宁市政府主办，海宁市经济和信息化局、海宁市科学技术局、杭州湾生态智造新城、中电港承办的“IAIC信息安全高峰论坛暨中国芯应用创新设计大赛信息安全专项赛”于浙江海宁成功举办。

　　中国电子信息产业集团有限公司第六研究所工业控制系统信息安全技术国家实验室副主任苏培培做了题为《构建多层次工业互联网安全保障体系》的演讲。

　　中国电子信息产业集团有限公司第六研究所工业控制系统信息安全技术国家实验室副主任苏培培

　　工业控制系统信息安全技术国家工程实验室设立初衷

　　苏培培介绍道，目前该实验室是国内唯一一家专注于工控系统信息安全技术的国家实验室，以工控系统及安全为引领，依托于工业控制系统信息安全技术国家工程实验室，开展包括网络安全技术研究和支撑政府网络安全工作，承担国家网络靶场任务，提供信息安全测评认证。布局包括全国产化金融设备、轨道交通及先进智能制造三大重点产业，保障国家关键信息基础设施信息安全。

　　其中重点职能是致力于工业系统的安全技术标准研究，此外还包括人才培养，技术孵化，实现工控系统 “可发现、可防范、可替代” 的三大安全战略任务。

　　2016至2018三年间，实验室已经累计完成15省300套工控系统的安全测评及咨询服务，服务企业近百家，行业涉及电力、核电、轨道交通及石油石化等多项重点工程，检测的工控系统供应商包括艾默生、ABB、施耐德、日立、和利时、新华、国电智深等国内外知名公司。

　　信息化发展给工控安全带来诸多挑战

　　“没有网络安全就没有国家安全。”自2013年11月12日成立中央国家安全委员会之后，关键信息基础设施安全成为了网络安全的重中之重，网信办、工信部等部委围绕信息安全工作出台了一系列的政策，提高了全社会全行业的网络安全意识。

　　苏培培表示，典型的企业生产及制造系统的架构包括现场设备层、现场控制层、过程监控层、制造执行系统层、企业管理层以及外部网络，通常认为以制造执行系统层（MES）为分界，向上为信息管理系统，向下为工业控制系统。

　　目前工业系统和信息系统的融合演变越来越多，从最早的封闭式系统，转变为与企业信息系统的集成，远程维护的支持并且延伸到整个工业物联网的概念，一方面有利于远程控制技术的发展，但同时也带来了巨大的安全隐患。

　　针对具体的隐患，苏培培指出，首先是工控系统已成为黑客攻击和网络战的一个重要目标，据卡巴斯基实验室统计，仅2017年的上半年就发现了18000种针对工控系统的恶意软件；第二是核心技术产品自主可控程度地，受制于人，尤其是涉及到国家基础设施的精密设计，核心设备，产品和技术依然受制于国外；第三，工业终端控制从闭环走向开放，面临着新的安全互信问题；第四，缺乏工业互联网安全的高仿真环境；第五，工业大数据作为企业的核心资产，面临着严峻的安全风险。

　　“我们的云大物移等技术应用一方面是促进了技术的发展，同时它也增加了工业处理流程的开放性和不确定性，使风险进一步集中和放大，工控系统如今正面临着严峻的安全挑战。”苏培培举例道，包括震网病毒Stuxnet对伊朗核设施的打击，BlackEnergy对乌克兰电力系统的攻击，ClearEnergy对PLC的攻击，WannaCry给台积电带来的损失等等。 “过去早期封闭的工业系统中的病毒是非常少的，但随着时代的发展，工业病毒已经演变成一个网络武器，这是之前所始料未及的，会被黑客利用进行情报采集，渗透潜伏，精确打击等，这些都会破坏我们的工业基础设施。”

　　令苏培培感到担忧的还有，目前我国高端工业设备控制系统普遍是采用的国外品牌，包括机床、发电设备、机器人等等。目前我国工业系统中有超过90%的PLC和超过65%的操作员站都采用了国外产品。而这些产品往往因为需要厂商的远程维护，必须支持远程访问端口。这就给系统带来很大漏洞后门风险，容易受到旁路控制，拒绝服务DoS甚至信息泄露等风险。

　　据悉，行业内已发生了多项事故。据报道，曾经有一家军工企业采购了一台高端的数控机床，在广州工厂调试正常，但是将设备拉到兰州工厂后却无法使用，究其原因，原来是机床的信息系统自动将位置信息传给了供应商，因为更换使用地址而被供应商锁定停机，这种状况表明这台机器在使用过程存在巨大的安全风险。

　　新思路保障工控领域端云一体化的安全

　　目前工业客户正在广泛采用云端技术，从封闭走向开放的过程，以前的物理隔离将会完全暴露在互联网这个大环境中，而当前最缺乏的就是端云协作的整体安全解决方案，该方案需要支持异构，多样化协议且功能迥异的工业终端平台。

　　“安全的平台方案是端云深度融合的基础和先决条件，我们需要新思路来应对信息系统安全及公共安全的深度融合。”苏培培指出，“目前工业信息安全漏洞数量连年递增，已经类似于十几年前计算机面临的安全大环境。且半数以上的公共安全漏洞属于高危漏洞，PC机中毒大不了重启系统然而工业系统出现漏洞攻击之后，会导致严重的停产，涉及国计民生安全。”

　　同时，目前的工控漏洞呈现多样化碎片化的特点，并广泛分布于各个重点领域，很难通过统一的技术解决。而最后，工业只是对实时性、功能性及可靠性要求较高，更新频率不高，因此漏洞从发现到修复的整体进程非常缓慢。 除此之外，工业大数据已成为网络攻击的显著目标，业务数据的敏感性吸引了各类网络攻击，隐私泄露、存储风险以及APT攻击都是大数据所面临的风险。

　　为此，苏培培建议搭建完整的工业安全实验室，通过实验检测评估，攻防演练，公共态势感知平台以及安全监测溯源系统等，解决公共信息安全漏洞检测、验证与修复等问题，逐步清除工业互联网的安全隐患。

　　一种多层次的公共安全保障体系

　　工业控制系统信息安全技术国家实验室正在推出一种多层次的公共安全保障体系，贯穿了整个工业安全运行服务的全生命周期，覆盖了设备安全，控制安全，网络安全，数据安全，应用安全，管理安全等多方面。

　　首先在设备层面，通过国产飞腾CPU，麒麟OS，自主存储芯片，安全芯片及工控仿真环境，确保了底层的自主可控；其次，通过工控感知态势平台围绕着漏洞管理、审计溯源、云端可信认证、大数据安全保护等，实现了数据、网络、控制等容和安全。第三则是验证平台，建设了工控网络靶场实现大规模工控场景技术的灵活构建，场景化的工业控制行为仿真模拟以及实现工控系统智能、自动攻击测试技术。第四是实验室会通过安全咨询、风险评估、渗透测试、培训等方式，培养企业内部的安全运维意识。

　　其中靶场是该实验室的重点项目，其本质是一个攻防平台，通过互联技术，基于真实的功能资源，搭建了两级公共安全服务平台，一级平台是覆盖了通用的工业控制系统，通过资源池及通用安全的防护设备来实现。第二级平台则涵盖了重点行业的专用设备和专用软件。

　　谈及建设靶场的原因，苏培培说道，首先无论是电网、水利工程、轨交、核工业、化工等场景，进行检测、扫描及攻击测试时，不可能基于实际的产线进行测试，真正的实景测试只能在设备刚刚安装之后或者是换修期进行测试，这就给测试带来很多不便。而随着互联网的快速发展，攻击手段不断演进，必须要进行频繁的攻防测试演练，以验证防护手段，这就需要靶场的建设。

　　据悉，目前实验室已经在轨交、电网、智能制造系统等领域构建了测试床和靶场，目的是发现信息风险漏洞并解决，从而为维护设备的安全运行提供技术保障。

　　“目前我们的业务合作单位非常广泛，包括各大能源集团，电网等，最终是为了解决信息安全和功能安全在国计民生相关领域的深度融合问题。”苏培培总结道。