专家解读 | 可信工控安全_工控信息安全_可信计算

专家解读 | 可信工控安全

青岛海天炜业过程控制技术股份有限公司

2016/10/27 11:35:35

发言人：中国科学院软件研究所、可信计算与信息保障实验室秦宇

（本文根据作者在2016世界互联网工业大会“智能制造工控信息安全”论坛的发言摘录整理）

工业控制系统面临严峻挑战

工业控制系统在信息、网络、智能等新技术的推动下，向智能化、网络化方向发展，同时工控系统面临新的严峻安全挑战，对国家安全、经济发展和社会稳定等产生严重影响。我国的工控系统，面临严重挑战：

受制于国外“一站到底式”的控制模式：进口设备漏洞后门严重，关键基础设施中潜在的安全隐患无法根除

硬件修复成本高、难度大、周期长：工控系统安全检测、监测、控制与防范难以深入

高端工控产品国产化率低：我国工控领域高端元器件被国外垄断、核心芯片严重依赖进口，无法满足我国自主可控的要求，国内工控厂商与国际厂商在技术和产品上有较大差距。

安全标准与技术体系滞后：工控系统重大共性关键安全技术尚需突破，工控产品和标准体系有待提高和完善。

工控系统典型攻击分类

工控系统主要攻击目的：控制底层现场总线与设备，截获数据情报，造成物理感染或者破坏。

间接跳板攻击：攻击上位机系统和上层网络，将恶意逻辑组态到现场控制站／PLC中，篡改通过以太网传输的现场总线数据。

直接攻击：在底层现场总线上偷挂攻击设备，截获、伪造、篡改现场总线数据

直接攻击：构造异常的协议数据包，引起缓冲区溢出等漏洞

直接攻击：攻击嵌入式系统，预留恶意逻辑和木马

工控系统攻击威胁呈有组织、大规模、高隐蔽、强持续的趋势，具有国家背景的攻击行为不断增加；攻击技术层出不穷，攻击方法花样翻新，国家安全、经济发展、社会稳定和公众利益面临巨大威胁。

工控网络攻击事件

工控安全防御理念—基于可信免疫的主动防御体系

过去，工控安全防御主要停留在系统隔离阶段，是一种单一隔离的防护理念，企业网与互联网隔离，工控网与办公网隔离，网络分区隔离，主机系统之间隔离。

现在，随着互联网工业的不断发展，多种技术并用的纵深防御理念已经广泛应用于工控安全防御工作，他是一种从互联网到企业网，从工控网络到主机，从主机到PLC，从PLC到传感器的多层次防御保障体系。

未来，我们预测，依据工控系统威胁情报的主动防御体系将被逐步建立和发展，基于自主硬件模块构建工控操作系统主机加固机制，基于白名单策略维护可信可控的系统运行环境。

总体而言，工控安防已从单一的隔离阶段，过渡到了多种技术分层并用的纵深防御阶段，未来向基于威胁情报、基于可信免疫的主动防御体系发展。

工控安全技术发展趋势——可信计算技术

可信计算是实施主动防御的重要技术手段

与IT系统相比，工控网络有如下特点：

网络通信协议不同，OPC、Modbus等私有协议；

网络结构与行为稳定性要求高；

对系统实时性和可用性要求高，安全考虑欠缺；

升级不方便，更新代价高，补丁难完善；

系统运行环境相对落后，老旧Windows还在使用。

在这样的情况下，传统信息安全“封堵查杀”无法有效地保护工控系统与网络的安全，需要采取更加先进的技术体系和主动防御手段，保障国家基础设施免遭敌手攻击。可信计算应运而生。

可信计算是实施主动防御的重要技术手段，通过主动识别、主动控制、主动报警，可信计算从体系结构、操作行为、数据存储、策略管理等各个环节提供安全免疫，可信计算技术与白名单安全加固是解决工业控制系统安全问题的重要思路之一。

可信计算技术原理

以TPM/TCM安全芯片为核心基础，从软硬件体系结构方面对计算机系统、网络环境进行安全增强。他提供了三个方面的能力，一方面是建立可信链能力，提供可信服务及可信应用，一方面标识平台身份，识别假冒平台，第三方面是提供保护密钥，保护数据的密钥密封在密码模块内，保障安全。

可信计算技术研究发展趋势

可信计算技术除了应用于可信PC平台，还向可信移动平台、可信嵌入式系统等方向发展。

可信计算是以“整体安全”“主动免疫”的安全思想为指导，以密码为基础，采用软硬件协同设计构建的平台安全体系。可信计算不局限于安全芯片模块，从PC、移动到嵌入式，可信计算综合采用TEE、嵌入式安全体系等更加广泛的可信思路，满足移动、轻量化、个性化等新特性。同时，还出现了可以应用于多平台、多场景的统一可信计算技术：如隔离执行、信任链、安全存储、远程证明等。

可信计算增强工控安全

可信计算在工控安全中的优势

自主可控的安全芯片

工业控制系统关键设备和系统依赖国外厂商，可信计算芯片完全自主可控，从根上解决工控环境的信任问题。

可信计算理念覆盖多种设备和网络环境：

典型工控体系包含企业网、控制网等多个层次，涵盖PC、控制器、PLC、智能仪表等多种终端设备，可信计算的“隔离执行”、“安全存储”和“远程证明”的思想适合对各种终端设备和网络进行安全增强，形成统一的安全解决方案和管理体系。

可信主动防护体系：

目前工控系统主要采用被动的防御方式，且传统病毒查杀方式不一定涵盖工控环境的特殊性，可信计算采用“度量+管控”的思路，阻止一切未知的或者非法的程序执行，非白即黑、防患于未然，构建主动防护体系。

可信计算模式适合相对稳定的环境：

工控系统中的设备、系统、应用、业务均较为稳定、单一，没有频繁的更新；可信计算安全策略依赖先验的度量值信息，非常适合相对稳定的工控软件环境，可根据业务环境，执行更严格更加细致的安全策略。

高效的核心密码算法、硬件加速：

与各类复杂的智能算法相比，可信计算技术算法简单、运行效率高，硬件芯片加速算法执行，可更好的满足工业控制系统的实时性要求。