工业4.0时代，打造工业控制系统网络安全 “白环境”

工业4.0风暴来袭，我们追求不仅是成功起飞，还要安全着陆

随着工业信息化、工业物联网的快速发展以及工业4.0时代的到来，工业化与信息化的融合趋势越来越明显，工业控制系统也在利用最新的计算机网络技术来提高系统间的集成、互联以及信息化管理水平。继蒸汽机、大规模生产和自动化之后，一场智能工业革命风暴席卷而来，引领整个工业行业向着高度信息化、自动化、智能化方向发展，业界称之为“第四次工业革命”。展望整个发展趋势，不难发现里面有太多和互联网千丝万缕的联系。小米总裁雷军曾说过“只要站在风口，猪也能飞起来”。泛工业4.0概念在世界各国已经达成共识，并在不同国家衍生出不同的战略、规划版本，如德国的工业4.0战略、美国的工业互联网、中国的两化融合等，以国内为例，各行业单位、自动化领军企业、研究机构也在迅速行动、大力布局，以此达成了产、学、研高度共识的未来发展蓝图。由此看来，中国以制造业为代表的工业领域借工业4.0的东风顺利起飞似乎已不成问题。

然而套用一句流行语“退潮后，才知道谁在裸泳”，2000年互联网泡沫破灭引起经济衰退的伤痕尚在隐隐作痛，约有50%的网络公司没有活过2004年，当概念的热度退却后没有强有效安全保障体制的公司大多没有挺过这一波严冬，迎接真正互联网时代的到来。对网络信息安全风险的抵御能力是工业4.0时代企业安全保障体制的重要一环，工控安全专业厂商威努特公司CEO龙国东先生说：“面对工业4.0风暴，业界更该思考、准备的是风过后，如何安全着陆。到那时，谁有降落伞，谁有安全绳才一目了然。”以智能化为核心特征的工业4.0，工控安全无疑是这个安全绳上最粗的一股。

工控安全，即工业控制系统网络安全。工业控制系统网络是由工业自动化生产设备，如PLC、RTU、DCS系统等组成的网络，不同于IT网络，工控网络有着专有的通信协议和通信机制。由于历史上相对封闭的使用环境，工业控制系统多重视系统的功能实现，对安全的关注相对缺乏。因此工业控制系统存在大量的安全缺陷，这些缺陷使工控系统极其脆弱，给安全生产带来重大隐患。随着工业4.0的深入，工控网络会越来越开放，不可能完全的隔离，所以工控安全防护已经不能只考虑简单的办公网信息网、生产网与控制网间的物理隔离，而是需要从一个整体去考虑。而且由于工业控制系统多被应用在电力、交通、石油、化工、核工业等国家命脉行业中，其安全事故造成的社会影响和经济损失尤为严重。出于政治、军事、经济、信仰等诸多目的，敌对的国家、势力以及恐怖犯罪分子都可能把工业控制系统作为达成其目的的攻击目标。

工控安全事件只是冰山一角，更多的威胁潜伏在我们身边

工业控制网络安全事故数量逐年大幅上升，据来源于美国国土安全部的工业控制系统网络应急响应小组(ICS-CERT)和OSVDB工控网络安全数据库的数据表明，自2010年起，重大工业控制网络安全事件呈现爆炸式增长，由2010年的39起增长为2013年的256起。2013年间对中国各个行业的黑客攻击较2009年增长15倍以上，30%是针对国家基础设施。近年来，根据各个工业行业频发的信息安全事故表明，一直以来被认为相对安全、相对封闭的工业控制系统已经成为不法组织和黑客的攻击目标，黑客攻击正在从开放的互联网向相对封闭的工控网蔓延，攻击手段和恶意工具也日新月异，如从大家耳熟能详的Stuxnet“震网”蠕虫、Flame“火焰”病毒到2014年出现的Dragonfly“超级电厂”病毒等。而这些还只是浮上水面的“冰山一角”，更多的潜在威胁和漏洞隐藏在看似安全的工控网络中，通过如SHODAN这类搜索引擎我们就可以找到很多毫不设防的工控设备。在工业4.0时代，管理网和生产控制网的双向信息交互更是成为常态，到那时工控网络面临的安全威胁会千百倍的激增。

工控系统不是世外桃源，打造可信“白环境”才能常保平安

传统的工控网络，可以类比传说中的“世外桃源”，安全防护多采用的是隔离网关加杀毒软件的方式：控制网对外基本“与世隔绝”，内部被认为是一个完全可靠的安全网络；各功能区域之间很少信息传递——“鸡犬之声相闻，老死不相往来”；各个主机由于系统漏洞长期不打补丁、杀毒软件病毒特征库长期得不到升级，基本也是处于“夜不闭户”的状态。随着互联网的渗透、工业4.0的发展，就像桃源通了公路，外来人口大量涌入，这种“无为而治”的防护方式必须加以改变。

但是相比较于以个人终端、互联网为防护目标的传统IT防护方案，工控安全领域又有其独特性。首先，不同于IT安全防护以机密性为第一目标，在工控领域，保障系统的实时可用性才是最重要的目标，所以误阻断的情况是不可接受的。其次，不同的行业领域内部使用了不同的网络数据通信协议和标准，最常见的协议和标准包括ModBus、OPC、IEC-104、MMS、DNP3等，传统IT防护产品对这些协议的识别和解析无能为力。最后，工控网络设备使用人员、用途和软件更加明确，不可预知性大大减少。综合以上特点，照搬传统IT防护产品和解决方案也不能有效的解决工控网络安全威胁。

作为一家对工控安全有着自己深入研究的企业，威努特公司没有简单照搬传统IT安全思维，而是以工控系统安全的视角，针对工控系统对可靠性、稳定性、业务连续性的严格要求，以及工控系统软件和设备更新不频繁，通信和数据较为特定的特点，提出了建立工控系统安全生产与运行的“可信网络白环境”以及“软件应用白名单”概念，进而构筑工业控制系统的网络安全“白环境”。区别传统防护“黑名单”的方式，所谓“白”指的好的、可信的，即只有可信任的设备、软件和数据，才允许在工控网络内部流通，其他恶意的、不明确的或者规定不允许的东西都不允许流通使用。

只有可信任的设备，才能接入控制网络；

只有可信任的消息，才能在网络上传输；

只有可信任的软件，才允许被执行。

方案包含数采可信网关、区域可信网关、服务器可信卫士、工作站可信卫士、智能安全监测分析平台等产品，并具有专业的安全研究实验室，提供专业的安全咨询、安全培训、漏洞挖掘和攻防演练等服务。建立了集一套人员能力、规章制度、安全产品和可信环境于一体的整体解决方案，基于科学的方法和专业的产品，将原来想当然的信任转化为有实实在在保障的信任，重构工控网络信任体系。

该方案具有完全自主知识产权，能够帮助涉密单位、关系国计民生的大型工业企业对工控网络进行安全防护和安全加固，杜绝安全后门隐患，响应国家信息安全国产化政策及号召。能够解决工控安全问题，减少安全生产事故；提高工控系统稳定性，减少系统停车时间；提高运维效率，降低维护成本。并且具备灵活扩展能力，适用于老旧系统改造，能持续安全升级，保护企业工控安全投资。 

结语：打造工业控制系统网络安全“白环境”是威努特公司“赢在工控安全”战略的核心解决方案，该方案以可信防护为核心、以运维管控为重点、以可视化管理为支撑、以可靠服务为保障，能够为用户构建有效抵御工控系统病毒木马以及网络攻击的新一代工控安全防御体系，为客户带来工控安全防护和管理的真正价值。

来源：威努特工业安全