楊震 陳敏超 胡艷

摘要：在社會(huì)進(jìn)步發(fā)展背景下，我國工業(yè)控制系統(tǒng)發(fā)展進(jìn)程正在逐步加快，對整個(gè)工業(yè)控制系統(tǒng)運(yùn)行質(zhì)量和運(yùn)行安全具有影響的關(guān)鍵因素就在于工業(yè)控制系統(tǒng)信息安全，主要原因在于一旦有信息安全風(fēng)險(xiǎn)事故問題發(fā)生，就會(huì)使整個(gè)工業(yè)控制系統(tǒng)網(wǎng)絡(luò)面臨癱瘓的嚴(yán)峻形勢，嚴(yán)重?fù)p害相應(yīng)企業(yè)經(jīng)濟(jì)效益，基于此，針對工業(yè)控制系統(tǒng)信息安全現(xiàn)狀和風(fēng)險(xiǎn)因素的探討十分必要，其能夠?yàn)槠椒€(wěn)且安全運(yùn)轉(zhuǎn)的工業(yè)控制系統(tǒng)運(yùn)行提供重要保障。

關(guān)鍵詞：工業(yè)控制系統(tǒng);信息安全現(xiàn)狀;風(fēng)險(xiǎn)

近年來，隨著社會(huì)經(jīng)濟(jì)的不斷增長，使得我國工業(yè)控制系統(tǒng)逐漸擴(kuò)大了規(guī)模，在此背景下全面提高了整個(gè)與之相關(guān)的安全標(biāo)準(zhǔn)，對于工業(yè)控制系統(tǒng)自身來說，運(yùn)行期間存在的信息安全很難從源頭上完全消除，因此，在具體實(shí)踐開展過程中應(yīng)以具體信息為依據(jù)，將相應(yīng)系統(tǒng)信息安全風(fēng)險(xiǎn)分析工作做好，基于信息安全風(fēng)險(xiǎn)評估實(shí)質(zhì)性價(jià)值作用的充分明確，為工業(yè)控制系統(tǒng)運(yùn)行過程中信息安全風(fēng)險(xiǎn)發(fā)現(xiàn)時(shí)、相應(yīng)判定識(shí)別及時(shí)有效開展提供保障，并圍繞實(shí)際情況設(shè)定針對性解決方案，有效控制工業(yè)控制系統(tǒng)信息安全風(fēng)險(xiǎn)，為我國工業(yè)控制系統(tǒng)運(yùn)行過程中的實(shí)效性以及專業(yè)性等提供積極促進(jìn)作用。

一、工業(yè)控制系統(tǒng)信息安全現(xiàn)狀

近年來，我國工業(yè)控制領(lǐng)域發(fā)生的變革十分重大，如2015年中國制造2025戰(zhàn)略的提出，使得基于工業(yè)化和信息化深度融合的工業(yè)控制領(lǐng)域逐漸調(diào)整產(chǎn)業(yè)結(jié)構(gòu)、促進(jìn)了工業(yè)控制領(lǐng)域的升級(jí)轉(zhuǎn)型發(fā)展[1]。在不斷交叉融合的工業(yè)化和信息化背景下，工業(yè)領(lǐng)域中逐漸應(yīng)用了大量的信息技術(shù)，因此也使得管理信息和生產(chǎn)控制等網(wǎng)絡(luò)間的數(shù)據(jù)交換得以良好實(shí)現(xiàn)，這一現(xiàn)象使得工業(yè)控制系統(tǒng)以往獨(dú)立運(yùn)行的系統(tǒng)模式逐漸發(fā)生改變，開始連通到管理系統(tǒng)甚至是互聯(lián)網(wǎng)方面。

在當(dāng)前工業(yè)控制系統(tǒng)中，開始對工業(yè)以太網(wǎng)以及專用通信協(xié)議進(jìn)行了大量使用，借此來集成工業(yè)控制系統(tǒng)，基于PC服務(wù)器和PC終端產(chǎn)品等的大規(guī)模使用，導(dǎo)致工業(yè)控制網(wǎng)絡(luò)中開始逐漸出現(xiàn)傳統(tǒng)網(wǎng)絡(luò)上常見的安全問題。因工業(yè)控制系統(tǒng)的高要求往往會(huì)體現(xiàn)在實(shí)時(shí)性與穩(wěn)定性等方面，而在應(yīng)用傳統(tǒng)安全產(chǎn)品的情況下、難以保障工業(yè)控制網(wǎng)絡(luò)各方面需求得以充分滿足，加之較為薄弱的工業(yè)用戶安全意識(shí)，使得巨大安全隱患埋藏于工業(yè)控制系統(tǒng)中。

近年來，屢見不鮮的工業(yè)控制系統(tǒng)安全威脅，來自商業(yè)間諜以及恐怖組織和內(nèi)外不法分子入侵等攻擊和破壞現(xiàn)象逐漸引起了社會(huì)和大眾的關(guān)注，因此為確保工業(yè)控制系統(tǒng)功能作用得以充分全面發(fā)揮，就應(yīng)該在工業(yè)控制系統(tǒng)信息安全現(xiàn)狀與風(fēng)險(xiǎn)方面進(jìn)行深入分析和探討。

二、工業(yè)控制系統(tǒng)信息存在的安全風(fēng)險(xiǎn)

（一）工業(yè)控制系統(tǒng)網(wǎng)絡(luò)缺乏檢測手段

在工業(yè)控制系統(tǒng)處于長期運(yùn)行的狀態(tài)時(shí)，必然需要在定期維護(hù)工作方面積極開展，但在維護(hù)過程中，一些廠家使用的電腦往往是以維護(hù)人員自帶筆記本為主，在，而在維護(hù)人員開展維護(hù)工作時(shí)、往往需要以頻繁出差的方式來進(jìn)行，此時(shí)因公共環(huán)境上網(wǎng)缺乏安全性就會(huì)使得電腦中毒現(xiàn)象隨之產(chǎn)生，加之此類電腦向工業(yè)控制系統(tǒng)網(wǎng)絡(luò)接入時(shí)、相應(yīng)安全檢查操作并未開展，如此就會(huì)使得電腦中的病毒傳播到工業(yè)控制環(huán)境中，最終導(dǎo)致工業(yè)控制這一較為封閉的系統(tǒng)面臨巨大病毒木馬感染風(fēng)險(xiǎn)，安全隱患問題還存在于無線和遠(yuǎn)程接入方式方面[2]。因檢測審計(jì)設(shè)備的缺乏，使得工業(yè)控制系統(tǒng)無法對攻擊進(jìn)行良好感應(yīng)，加之在攻擊行為方面的記錄較為缺乏，在安全事故發(fā)生后相應(yīng)的原因和責(zé)任也難以追究。

（二）操作系統(tǒng)的安全漏洞問題

基于對工業(yè)控制系統(tǒng)組態(tài)軟件和操作系統(tǒng)安全補(bǔ)丁兼容性問題存在可能性的考慮，在工業(yè)控制系統(tǒng)啟動(dòng)運(yùn)行后、一般來說，操作系統(tǒng)補(bǔ)丁操作并不會(huì)開展，在此背景下就會(huì)使得工業(yè)控制系統(tǒng)運(yùn)行過程中帶有漏洞問題，此時(shí)一旦網(wǎng)絡(luò)攻擊現(xiàn)象發(fā)生，舊的漏洞就會(huì)給黑客利用和攻擊提供便利。我國一些工業(yè)控制系統(tǒng)安全檢查工作開展過程中，嚴(yán)重遠(yuǎn)程代碼執(zhí)行漏洞存在于多數(shù)工業(yè)控制系統(tǒng)的上位機(jī)系統(tǒng)方面，因而使得工業(yè)控制系統(tǒng)面臨的安全漏洞問題十分嚴(yán)峻。

（三）殺毒軟件安裝和更新問題

殺毒軟件運(yùn)行過程中主要是以特征查殺為基礎(chǔ)，此種病毒查殺方式極有可能存在誤報(bào)，并且一旦有誤報(bào)現(xiàn)象發(fā)生，在殺毒軟件運(yùn)行過程中就會(huì)將告警文件直接刪除，此時(shí)對于工控系統(tǒng)來說，系統(tǒng)組態(tài)軟件癱瘓或功能異常現(xiàn)象就極易產(chǎn)生[3]。一般來說，在開車期間工業(yè)控制系統(tǒng)升級(jí)行為是不被允許的，此時(shí)工業(yè)控制系統(tǒng)網(wǎng)絡(luò)向互聯(lián)網(wǎng)方面的連接同樣不被允許，所以說工業(yè)控制系統(tǒng)及時(shí)更新病毒庫的條件并不具備，而正是因?yàn)檫@些因素導(dǎo)致工業(yè)控制環(huán)境中基本很少出現(xiàn)殺毒軟件的運(yùn)行，因此就會(huì)給病毒入侵和惡意代碼傳播提供有利條件。

除上述安全風(fēng)險(xiǎn)問題以外，服務(wù)器操作中系統(tǒng)審計(jì)的缺乏、大量安全漏洞存在于工業(yè)控制設(shè)備方面、缺乏完善的管理等問題都是工業(yè)控制系統(tǒng)信息存在的安全風(fēng)險(xiǎn)，為確保工業(yè)控制系統(tǒng)信息安全風(fēng)險(xiǎn)得以有效控制，就應(yīng)在自身實(shí)際情況方面加以充分考慮，進(jìn)而提出有效的解決對策。

三、工業(yè)控制系統(tǒng)信息安全保障措施

第一，在工業(yè)控制系統(tǒng)進(jìn)行具體設(shè)計(jì)的過程中就需要將信息安全防護(hù)融入其中，如方案設(shè)計(jì)以及評審等都應(yīng)該融入到系統(tǒng)設(shè)計(jì)階段，此時(shí)的防護(hù)工作可以說都屬于信息安全頂層設(shè)計(jì)范疇。

第二，針對工業(yè)控制系統(tǒng)開展驗(yàn)證環(huán)節(jié)時(shí)，需要測試產(chǎn)品的安全功能和防護(hù)能力，此時(shí)可以從產(chǎn)品選型和定制兩方面進(jìn)行，包含的主要產(chǎn)品為信息系統(tǒng)IT和工業(yè)控制設(shè)備等多個(gè)產(chǎn)品，加之積極驗(yàn)證設(shè)計(jì)方案，在此基礎(chǔ)上，借助實(shí)物或半實(shí)物等仿真方式對系統(tǒng)行為進(jìn)行模擬，借此對工業(yè)控制系統(tǒng)安全設(shè)計(jì)方案是否具備合理性以及可行性等進(jìn)行驗(yàn)證[4]。

第三，針對工業(yè)控制系統(tǒng)建設(shè)與驗(yàn)收環(huán)節(jié)，需要借助相應(yīng)的測試和監(jiān)理工作開展，對系統(tǒng)集成過程中信息安全與系統(tǒng)建設(shè)質(zhì)量提供全面保障，測試選取的方式可以為集成以及協(xié)議一致性等測試，而監(jiān)理工作開展時(shí)、則最好以過程性監(jiān)理為主[5]。

第四，在完成測試和驗(yàn)收進(jìn)而交付工業(yè)控制系統(tǒng)的情況下，還需要進(jìn)行信息安全驗(yàn)收測試、評估可能存在的風(fēng)險(xiǎn)、評估系統(tǒng)安全等級(jí)等，之后才能進(jìn)行系統(tǒng)上線運(yùn)行操作的開展。

第五，工業(yè)控制系統(tǒng)長期運(yùn)行過程中，維護(hù)工作是必然需要開展的，在進(jìn)行具體維護(hù)時(shí)，需要對信息安全問題進(jìn)行持續(xù)關(guān)注，從系統(tǒng)運(yùn)行的多個(gè)環(huán)節(jié)開展維護(hù)和檢測等工作，如例行維護(hù)以及過程審計(jì)等，在系統(tǒng)完成升級(jí)維護(hù)操作的后期、也應(yīng)該將相應(yīng)的安全檢測積極開展，同時(shí)系統(tǒng)運(yùn)行過程中的安全預(yù)警等也十分重要。

結(jié)束語：

基于工業(yè)控制系統(tǒng)信息安全現(xiàn)狀和面臨的風(fēng)險(xiǎn)進(jìn)行充分分析，能夠?yàn)轱L(fēng)險(xiǎn)防控提供有利條件，確保將工業(yè)控制系統(tǒng)多方面漏洞風(fēng)險(xiǎn)給予有效消除的同時(shí)，保障工業(yè)控制系統(tǒng)整體安全隱患得以逐步降低，為高效且平穩(wěn)、可持續(xù)發(fā)展的工業(yè)控制行業(yè)奠定良好基礎(chǔ)。

參考文獻(xiàn)：

[1]夏冀，甘俊杰，李琳.工業(yè)控制系統(tǒng)信息安全風(fēng)險(xiǎn)評估方法研究[J].自動(dòng)化博覽，2019，36（S2）：58-60.

[2]徐達(dá).工業(yè)控制系統(tǒng)信息安全現(xiàn)狀[J].電腦知識(shí)與技術(shù)，2019，15（26）：38-39.

[3]申鵬.工業(yè)控制系統(tǒng)信息安全風(fēng)險(xiǎn)分析與應(yīng)對方案[J].中國新通信，2019，21（14）：133-134.

[4]崔降宇.工業(yè)控制系統(tǒng)信息安全風(fēng)險(xiǎn)評估[J].中國設(shè)備工程，2019（09）：44-45.

[5]宋雨倩.工業(yè)控制系統(tǒng)信息安全現(xiàn)狀及發(fā)展趨勢[J].計(jì)算機(jī)產(chǎn)品與流通，2017（11）：120.