中國(guó)9成工控系統(tǒng)在裸奔，工業(yè)互聯(lián)網(wǎng)安全如何破局？

隨著新基建逐步深入，互聯(lián)網(wǎng)+、大數(shù)據(jù)、云計(jì)算等新一代信息技術(shù)與工業(yè)生產(chǎn)進(jìn)一步深度融合，工業(yè)控制系統(tǒng)作為工業(yè)領(lǐng)域“神經(jīng)中樞”，呈現(xiàn)互聯(lián)互通趨勢(shì)，在享受新一代信息技術(shù)的成果的同時(shí)，傳統(tǒng)工業(yè)控制系統(tǒng)的安全性問(wèn)題愈發(fā)突出，工業(yè)互聯(lián)網(wǎng)也成為黑客攻擊和網(wǎng)絡(luò)戰(zhàn)的重要目標(biāo)。工業(yè)互聯(lián)網(wǎng)的平臺(tái)安全、數(shù)據(jù)安全和聯(lián)網(wǎng)智能設(shè)備的安全問(wèn)題都備受關(guān)注。

自2010年伊朗”震網(wǎng)“事件爆發(fā)以來(lái)，全球工業(yè)信息安全事件屢屢發(fā)生，對(duì)全球國(guó)家的經(jīng)濟(jì)、社會(huì)及至國(guó)家安全造成重大沖擊。

放眼全球，數(shù)據(jù)顯示，2019全球各地大約有329件工控安全問(wèn)題事件。據(jù)網(wǎng)上公開資料顯示，安全事故涉及的領(lǐng)域眾多，包括天然氣、制造、能源、電力、汽車、化工等。高于2018年的320件，從2012年開始工控安全事件報(bào)告數(shù)量逐年上升。

數(shù)據(jù)來(lái)源：中國(guó)產(chǎn)業(yè)信息，OFweek工控網(wǎng)整理

聚集我國(guó)，工控安全問(wèn)題同樣嚴(yán)峻，不容小覷。根據(jù)我國(guó)國(guó)家工業(yè)信息安全產(chǎn)業(yè)發(fā)展聯(lián)盟統(tǒng)計(jì)的數(shù)據(jù)顯示，中國(guó)工控系統(tǒng)95%以上仍存在漏洞，65%屬于中高危漏洞，33%屬于高危漏洞，可以輕易被遠(yuǎn)程控制。

工業(yè)互聯(lián)網(wǎng)是“互聯(lián)網(wǎng)+”與工業(yè)系統(tǒng)的深度融合，是智能制造的基石，也是企業(yè)提質(zhì)增效的必由之路。隨著萬(wàn)物互聯(lián)的深入發(fā)展，企業(yè)工控系統(tǒng)全部上云后，由于我國(guó)的很多工業(yè)設(shè)備是國(guó)外進(jìn)口或者是來(lái)自于第三方，沒有做到自主可控，這里就存在一個(gè)很大的安全問(wèn)題，因?yàn)檫@些設(shè)備存在后門，而后門存在不能解決的漏洞，黑客或者惡意人員可以隨意進(jìn)出操作，數(shù)據(jù)顯示，我國(guó)約2成的重要工控系統(tǒng)可被遠(yuǎn)程入侵并完全接管。

近端設(shè)計(jì)攻擊是針對(duì)一些控制系統(tǒng)設(shè)備進(jìn)行攻擊，控制系統(tǒng)設(shè)備主要是針對(duì)DCS、針對(duì)控制環(huán)路以及它的控制參數(shù)進(jìn)行攻擊。在一個(gè)環(huán)路的參數(shù)中，稍微調(diào)整一下并不會(huì)及時(shí)產(chǎn)生一些可能出現(xiàn)的風(fēng)險(xiǎn)，但是它會(huì)長(zhǎng)期產(chǎn)生振蕩。而振蕩情況下，會(huì)使得控制系統(tǒng)執(zhí)行機(jī)構(gòu)長(zhǎng)期產(chǎn)生疲勞，使得控制系統(tǒng)得到最后的損壞。這是相關(guān)三類攻擊，近端攻擊往往在工控領(lǐng)域產(chǎn)生影響最大。

業(yè)內(nèi)人士表示，由于網(wǎng)絡(luò)安全事件具有很強(qiáng)的隱蔽性，一個(gè)技術(shù)漏洞、安全風(fēng)險(xiǎn)可能隱藏了幾年都不被發(fā)現(xiàn)，結(jié)果往往是“誰(shuí)進(jìn)來(lái)了不知道、是敵是友不知道、干了什么不知道”，隱患長(zhǎng)期潛伏。針對(duì)工業(yè)互聯(lián)網(wǎng)的攻擊已從原有的一個(gè)代碼攻擊一兩種漏洞，進(jìn)化成一個(gè)攻擊代碼可以嵌入數(shù)十種底層系統(tǒng)漏洞。

多數(shù)工業(yè)系統(tǒng)在設(shè)計(jì)之初是封閉的“單機(jī)系統(tǒng)”，沒有考慮聯(lián)網(wǎng)需求，現(xiàn)在隨著工業(yè)“互聯(lián)網(wǎng)+”的推進(jìn)，將必然導(dǎo)致一批系統(tǒng)和設(shè)施暴露。很多的系統(tǒng)和設(shè)備沒有防護(hù)軟件，也不能安裝殺毒系統(tǒng)，一旦上了網(wǎng)就是“裸奔”狀態(tài)。

360創(chuàng)始人、董事長(zhǎng)兼CEO曾在接受采訪時(shí)表示，“我們遇到的很多現(xiàn)場(chǎng)設(shè)備比較老舊，有的還在使用十幾年前的操作系統(tǒng)，沒有任何安全防護(hù)軟件，這樣就可能存在很大的安全風(fēng)險(xiǎn)，而系統(tǒng)維護(hù)人員還沒有認(rèn)識(shí)到。很多系統(tǒng)帶毒運(yùn)行，有的主機(jī)甚至有三千多個(gè)病毒。一旦感染的惡意軟件在某個(gè)特定觸發(fā)條件下發(fā)作，就會(huì)對(duì)企業(yè)造成嚴(yán)重影響。”

目前，絕大多數(shù)的企業(yè)沒有能力識(shí)別或應(yīng)對(duì)這些入侵和攻擊。陳舊的工業(yè)系統(tǒng)、落后的安全意識(shí)、工控系統(tǒng)攻擊工具的進(jìn)化，都極大拉低了工控系統(tǒng)攻擊的門檻，使工控系統(tǒng)當(dāng)下和未來(lái)一段時(shí)間，都面臨著巨大的安全威脅。

隨著IPv6下一代互聯(lián)網(wǎng)技術(shù)的部署和5G時(shí)代的到來(lái)，工業(yè)互聯(lián)網(wǎng)將面臨更為復(fù)雜多變的挑戰(zhàn)。加強(qiáng)工業(yè)信息安全建設(shè)、加快構(gòu)建全方位的安全保障體系，是制造大國(guó)邁向制造強(qiáng)國(guó)的基礎(chǔ)。主要從以下五方面著手：

一、建立和強(qiáng)化安全意識(shí)。工業(yè)互聯(lián)網(wǎng)的安全問(wèn)題首先要建立起安全意識(shí)，上到國(guó)家下至企業(yè)，從上而下都要強(qiáng)化工控安全問(wèn)題。企目前從國(guó)家來(lái)看，近年來(lái)國(guó)家對(duì)安全生產(chǎn)的重視程度逐步提升。國(guó)家安全監(jiān)管總局發(fā)布的《安全生產(chǎn)信息化總體建設(shè)方案及相關(guān)技術(shù)文件的通知》明確指出，到2020年實(shí)現(xiàn)全國(guó)安全生產(chǎn)信息化“一張網(wǎng)（安監(jiān)網(wǎng)）、一張圖、一張表、一盤棋”的基本格局，尤其今年推出全國(guó)安全生產(chǎn)專項(xiàng)治理三年行動(dòng)計(jì)劃中，強(qiáng)調(diào)了2021年之前建立企業(yè)的一張網(wǎng)信息化管控系統(tǒng)，推進(jìn)重點(diǎn)行業(yè)和領(lǐng)域的機(jī)械化、信息化和智能化建設(shè)。

業(yè)尤其需要重視并承擔(dān)起主體責(zé)任，工業(yè)互聯(lián)網(wǎng)不僅帶來(lái)經(jīng)濟(jì)利益，也有相應(yīng)的社會(huì)責(zé)任。

二、進(jìn)一步加強(qiáng)安全信息在制造業(yè)的應(yīng)用，包括可信計(jì)算、密碼應(yīng)用、5G和區(qū)塊鏈相關(guān)技術(shù)與工業(yè)相結(jié)合，加快應(yīng)用落地。

三、開展等級(jí)保護(hù)2.0，現(xiàn)在等級(jí)保護(hù)2.0能夠基本解決目前來(lái)說(shuō)工控系統(tǒng)裸奔相關(guān)的問(wèn)題。

四、加快實(shí)現(xiàn)工控重點(diǎn)關(guān)鍵控制設(shè)備國(guó)產(chǎn)化替代進(jìn)程。只有工業(yè)控制系統(tǒng)自主可控，才能從根本上解決工控安全問(wèn)題，逐步解決卡脖子的關(guān)鍵核心零部件、工業(yè)軟件等技術(shù)問(wèn)題，才能解決國(guó)外進(jìn)口設(shè)備存在的后門問(wèn)題，避免黑客長(zhǎng)驅(qū)直入。

五、加強(qiáng)人才培養(yǎng)。工業(yè)控制系統(tǒng)的安全實(shí)質(zhì)是人與人的對(duì)抗，不是購(gòu)買和部署一批網(wǎng)絡(luò)安全設(shè)備、安裝一批軟件就能解決的。工控網(wǎng)絡(luò)安全更需要專業(yè)安全運(yùn)維人員來(lái)做分析、規(guī)劃、態(tài)勢(shì)研判、響應(yīng)和處置。有專家建議從整體產(chǎn)業(yè)角度推動(dòng)人才培養(yǎng)和建設(shè)，支持相關(guān)教育培訓(xùn)機(jī)構(gòu)開展網(wǎng)絡(luò)安全學(xué)科聯(lián)合建設(shè)，將工業(yè)網(wǎng)絡(luò)安全納入職業(yè)技能鑒定體系，培養(yǎng)一支門類齊全、技術(shù)精湛的專業(yè)人才隊(duì)伍。

5G、大數(shù)據(jù)、工業(yè)互聯(lián)網(wǎng)等新技術(shù)的出現(xiàn)，對(duì)于工業(yè)來(lái)說(shuō)，說(shuō)是一把雙刃劍比較貼切。新技術(shù)不僅讓工業(yè)更智能，同時(shí)也存在安全隱患，工控系統(tǒng)的“裸奔”現(xiàn)狀不容忽視。在享受新一代信息技術(shù)帶來(lái)便利的同時(shí)，企業(yè)要充分考慮安全問(wèn)題，提前布局才能讓工控系統(tǒng)安全告別“裸奔”。路漫漫其修遠(yuǎn)兮，但仍需不斷上下而求索之。