工業控制網絡安全正在成為網絡空間對抗的新戰場。工業控制系統廣泛應用于各個領域，包括基礎設施（金融、能源、通信、電力、交通）、民生（水、電、燃氣、醫院、智慧城市、智能汽車）、工業生產（冶金、電力、石油化工、核能等）和軍工等。超過80%的涉及國計民生的關鍵基礎設施依靠工業控制系統來實現自動化作業。網絡信息安全防護理念正在發生深刻改變。

目前國內工業控制系統面臨眾多威脅，比如設備存在大量高危漏洞、越來越普遍的設備后門實施、高級持續性威脅、無線技術的廣泛應用給工業控制系統安全帶來具體挑戰等。工業控制網絡安全領域，也蘊含創業與投資機會。

工業控制系統

工業控制系統是指由計算機與工業過程控制部件組成的自動控制系統，它由控制器、傳感器、傳送器、執行器和輸入／輸出接口等部分組成。這些組成部分通過工業通信線路，按照一定的通信協議進行連接，形成具有自動控制能力的工業生產制造或加工系統。控制系統的結構從最初的CCS到第二代的DCS，發展到現在流行的FCS。我們正處于以信息技術、智能制造等戰略新興產業為代表的新一輪技術創新浪潮中。隨著智能化工業的發展，基于以太網的工業控制系統得以迅速發展。在通用的工業企業控制系統中，各層次的功能單元和資產組建映射模型如下。

工業控制網絡是工業控制系統的網絡部分，是把各生產環節和自動化控制系統通過各種通信設備組織起來的通信網絡。工業控制系統包括工業控制網絡和所有工業生產設備，而工業控制網絡側重工業控制系統中組成通信網絡的元素，包括通信節點（上機位、控制器等）、通信網絡（現場總線、以太網以及各類無線通信網絡等）、通信協議（Modbus、Profibus等）。

工控網絡由多個“網絡節點”構成，指分散在各個生產現場，具有相應數字通信能力的測量控制儀器。它采用規范公開的通信協議，把現場總線當作通信連接的紐帶，從而使現場控制設備可以相互溝通，共同完成相應的生產任務。

多年來企業對于工業控制網絡安全存在漏洞。企業的許多控制網絡都是“開放的”，系統之間沒有有效的隔離。進一步，采用最新技術的黑客和惡意軟件甚至可以有效入侵物理隔離的網絡。因此隨著信息化的工業化進程的加速，工廠信息網絡、引動存儲介質等其他因素導致的信息安全問題正逐漸向工業控制網絡擴散，這將直接影響工控網絡的安全與穩定。

從大體上看，工業控制網絡與傳統IT信息網絡主要在網絡邊緣、體系結構和傳輸內容三大方面不同。第一，網絡邊緣不同。工控系統在地域上分布廣闊，其邊緣部分是智能程度不高的含傳感和控制功能的運動裝置，而不是IT系統邊緣的通用計算機，兩者之間在物理安全需求上差異很大。第二，體系結構不同。工業控制網絡的結構縱向高度集成，主站節點和終端節點之間是主從關系。傳統IT信息網絡是扁平的對等關系，兩者之間在脆弱節點分布上差異很大。第三，傳輸內容不同。工業控制傳輸的是工業設備的“四遙信息”，即遙測、遙信、遙控、遙調。

兩化融合后，IT系統的信息安全也被融入了工控系統安全中。不同于傳統的生產安全，工控系統網絡安全是要防范和抵御攻擊者通過惡意行為人為制造生產事故、損害或傷亡。只有工控系統網絡安全才有工業控制系統的生產安全，才能保證生產過程的安全。

從國家戰略來講，我國政府對工控系統網絡安全高度重視。發改委自2010年起開始組織信息安全專項，將工業控制系統安全問題作為獨立領域重點支持。習近平總書記在2016年的網絡安全和信息化工作座談會上發表了重要講話，進一步表明工控網絡安全問題已經上升了國家高度。目前國內工控系統大多由外資主導，國產工控企業起步較晚，仍需加快自主進程。工控機（如PLC）、網關、協議變換器、集線器和人機交互設備（HMI）是工控系統的五大設備。國內企業的市場占有率都不高。

近年工控安全事件頻發，促使企業考慮安全和效益之間的平衡。一方面，企業為了提高生產執行效率，打通了生產控制系統和企業管理系統，實現了數據的實時交互，但也導致了工控設備與互聯網直接相連，存在極大的網絡病毒入侵風險。另一方面，企業為了加快自動化的腳步，提高生產效率，采購了大批自動化生產設備，比如德國庫卡機器人、西門子電機等。這些設備的運行維護，一般都通過互聯網工程師遠程實現，這大大提升了病毒侵入的可能性。因此，企業工控網絡安全的提升需求很大。

當前，我國關鍵信息基礎設施面臨的網絡安全形勢復雜嚴峻。全球包括在互聯網上的工業控制系統，其中占比較多的包括電力、石油石化及先進制造業，這些都與國家的發展密切相關。以中國工控設備暴露情況分析，北京、浙江、江蘇、長三角地區、東三省地區占比最大，這些都是典型的工業區。越是工業發達地區，工控系統的暴露數量越多，也越容易成為攻擊目標。

下面介紹一下工業控制網絡涉及的主要環節。

SCADA系統是工業控制網絡調度自動化系統的基礎和核心。SCADA負責采集和處理工控系統運行中的各種實時和非實時數據，時工控網絡調度中心各種應用軟件的主要數據來源。SCADA系統包括實時數據采集、數據通信、SCADA系統支撐平臺、前置子系統、后臺子系統等。

一個SCADA系統通常由一個主站和多個子站（遠方終端裝置RTU或其他自動化系統）組成。主站通常在調度控制中心（主站端），子站安裝在廠站端，二者通過局域網相連并相互進行通信。隨著通信技術的發展，人工智能、可視化技術、人機工程技術將更多地應用到SCADA系統中，提高系統的易用性。

DCS是由過程控制級和過程監控級組成的以通信網絡為紐帶的多級計算機系統，綜合了計算機、通信、終端顯示和控制技術而發展起來的新型控制系統。其基本思想是分散控制、集中控制、分級管理、配置靈活以及組態方便。DCS具有高可靠性、開放性、靈活性、易于維護和協調性。在工業控制系統中，常見的控制器有可編程邏輯控制器、可編程自動化控制器、遠程終端單元等。

典型PLC由CPU、存儲器、輸入／輸出（I/O）模塊、電源盒編程器組成。PLC的編程語言與一般計算機語言相比，具有明顯特點，目前還沒有對各種廠家產品都能兼容的編程語言。

工業控制網絡漏洞及技術分析

過去工業控制設備通過串行電纜和專有協議連接到計算機網絡，隨著業務的發展以及IT基礎設施的開放和技術滲透，目前通過以太網電纜和標準化TCP／IP通信協議連接到計算機網絡的工業控制系統越來越多。供應商提供的大量工控設備提供了嵌入式Web、開放的FTP、遠程Telnet等傳統服務。這些開放的端口和服務為工控終端設備漏洞挖掘和利用打開了通道，給工控系統造成了巨大的安全隱患。

與傳統信息系統相比，工業控制系統采用了專用的工控設備、網絡協議、操作系統和應用軟件，其安全漏洞也具有工控系統獨有的特性。工控安全漏洞可劃分為工控設備漏洞、工控網絡協議漏洞、工控軟件系統漏洞、工控安全防護設備漏洞等。

對于工控系統而言，可能帶來直接隱患的安全漏洞也可以氛圍SCADA系統軟件漏洞、操作系統安全漏洞、網絡通信協議安全漏洞、安全策略和管理流程漏洞。

工控系統漏洞檢測的關鍵技術首先是構建工控系統漏洞庫。由于通信協議的特殊性，傳統漏洞庫并不適用于工業控制系統漏洞測試領域，需要構建工控系統專有漏洞庫。漏洞庫的編制方式決定了匹配原則以及漏洞庫的修訂、更新的性能，同時影響掃描系統的運行時間。

工控系統專有漏洞庫構建過程

基于工業漏洞庫的漏洞檢測技術通過漏洞掃描引擎選用合適的檢測規則，結合工控系統漏洞庫，掃描系統中的關鍵目標系統和設備的脆弱性。另外，需要完成支持Modbus、DNP3、Profinet等工業通信協議，以及支持ICMPPing掃描、端口掃描等傳統掃碼技術。

漏洞掃描過程

工業控制系統從結構上分類，主要包括數據采集與監控系統、分布式控制系統、可編輯邏輯控制器、遠程終端單元等，從安全研究的角度來看簡要分類為上位機和下位機環境。現在已知的大量工控安全事件，多數是從上位機發起的。上位機漏洞包括通用平臺的系統漏洞、采用的中間件漏洞、工控系統驅動漏洞、組態開發軟件漏洞、Activex控件和文件格式等。下機位暴露在互聯網中也會帶來許多安全隱患，包括未授權訪問、通信協議的脆弱性、Web用戶接口漏洞、后門賬號問題。

已知的工控網絡設備很多安全問題也發生在設備的Shell及對外提供的Web、SNMP、Telnet等服務上，其中常見的Web服務安全問題包括SQL注入漏洞、跨站腳本漏洞、文件包含漏洞、命令執行漏洞、信息泄露漏洞。

工控網絡安全防護的核心是建立以安全管理為中心，輔以符合工控網絡特征性的安全技術，進行有目的、有針對性的防御。那么針對工業控制網絡未知安全威脅的防御，主要包括縱深防御技術、異常行為檢查（異常參量、異常行為）、白名單技術（應用程序白名單、用戶白名單、資產白名單、行為白名單）、關聯分析技術（智能列表、事件關聯、系統關聯）、蜜罐技術（數據捕獲技術、數據控制技術、數據分析技術）。
責任編輯人：CC