工业控制系统信息安全问题不容忽视

计划在未来研究中每年投入5亿日元（约0.3亿人民币）。场所内配置了火力发电站、化工厂、汽车制造等工厂基础设施中使用的工业机器人、楼宇空调和照明系统，并单独开设的“红队房间”，供技术人员模拟进行网络攻击，让设备错误操作或者中止。

攻击软件采用了美国国防部使用的网络攻防演习系统核心装置，能够模拟世界级的攻防，可进行300多种各类攻击的实战演练。通过大屏幕，能够逐一观看攻防演练的状态。

东北多贺城总部负责人高桥信称，目前，日本大多数化工厂、发电厂等基础设施尚无法识别网络攻击带来的破坏。但是，对工厂等控制系统的网络攻击，不会只在欧美、中东等地区发生，必定会衍生到日本。所以，日本要“开发可抵御网络攻击的技术，创造可信赖的防御与认证机制”。这个场所是日本首个网络攻击的模拟攻防场所，技术人员可以通过体验网络攻击，了解系统的弱点，以便应用到防御工作之中。

3 易受攻击的重要原因是硬件、操作系统的通用化

以往的控制系统往往采用专用硬件和操作系统，而近年来，工业控制系统采用通用的CPU主板和操作系统的情形不断增多。这是控制系统现在更易受到攻击的重要原因。

2000年初的时候，控制系统还没有连接外部网络，几乎没有出现病毒入侵的案例。但此后不久，“U盘普遍流行，控制系统维护时，纷纷用U盘替换程序或数据”，再加上“部分控制系统开始连接进外部网络”，所以大大提升了病毒感染的危险性。

实际上，日本经济产业省在2008年曾经开展过一项调查，结果显示，以机床、半导体制造设备、各种工业机械等制造设备为对象的控制系统中，将近70%带有USB接口，超过60%带有网卡，80%的操作系统为Windows，只有不到20%采用了UNIX系统。

同时，美国国土安全部所属的The Industrial Control Systems Cyber Emergency Response Team （ICS-CERT）称，2012年1年间发现约7 200个可通过互联网访问的控制系统的人机接口（HMI）。

4 应对措施及建议

4.1 安装防范软件和入侵监测系统

企业该如何强化控制系统的安全性呢？McAfee网络战略顾问佐佐木弘志提出如下三项对策：

第一，白名单式安全防范软件。预先登记系统所使用的程序清单，只有清单中注册的程序，才许可其运行。与一般定义文件中记录恶意程序清单的安全防范软件（黑名单安全防范软件）不同，定义文件无需时刻保持更新，无须不断地扫描恶意程序，从而不会对硬件运行速度造成较高负荷。安全防范软件可以安装到管理PLC（Programmable Logic Controller，可编程逻辑控制器）、DCS（Distributed Control System，集散控制系统）等控制器的计算机控制终端中来使用。

第二，采用类似入侵监测系统（Intrusion Detection System，IDS）的网络监视系统。这里的监视对象是PLC、DCS等控制系统控制器与管理计算机之间的网络，以及控制器与现场控制设备间的网络。IDS监视非法访问这些网络的数据包。

第三，采用状况识别（可视化）系统。不断采集控制系统的日志、事件等信息，仅此而已不会起到任何作用。实际上，对此进行分析，如果不“可视化”还不会被引起重视。系统信息和事件管理系统（System Information and Event Management，SIEM）可以起到这个作用，它可以浏览控制系统整体状况。该系统通过对收集的日志或者事件等信息进行相关分析，能够早期察觉网络攻击的征兆，采取对策。但是，SIEM系统一般不支持PLC、DCS与现场控制设备之间使用的通信协议，因此无法收集PLC、DCS所管理的温度或者压力等数据的日志。所以，最好是采用与控制系统日志收集系统并用的方式。通过将控制系统的日志导入到SIEM系统，就能够实现控制信息系统与控制系统双方的状况可视化。

4.2 由中介机构开展企业控制设备安全性检测服务

上述措施大多是针对“入口”的，控制系统和工业网络自身的改革也很必要。

长期而言，还是需要将控制设备、工业网络提升到更高安全级别，按照地域来合理制定控制系统安全级别策略等。对于提供控制设备、工业网络的供应商来说，也应考虑如何提供更安全的服务。

在强化控制设备安全性这一点上，我们可以借鉴2013年5月28日创建的CSSC日本东北多贺城总部的做法，组建中介服务机构，提供检测企业控制设备安全性的检证服务。针对企业带来的检测对象设备，由掌握攻击技能的人员，以一定步骤开展模拟攻击，检查是否存在安全漏洞。

4.3 完善工业控制系统信息安全认证体系

ISA安全兼容协会（ISA Security Compliance Institute）成立于2007年，致力于为工业自动化控制系统的网络安全提供保障。它所提供的认证和规范，均由工厂、行业协会、用户、学术界、政府和监管机构合作共同审核。

据称，CSSC将从2013年开始开展ISA安全兼容协会的嵌入式设备安全保障

认证（Embedded Device Security Assurance，EDSA）这项工作得到了日本经济产业省的扶持。CSCC还计划，2014年三四月开始开展控制设备的自主安全认证—— CSSC认证。此外，CSSC与ISA安全兼容协会签署了备忘录，CSSC认证将与国际认证实现相互认证，日本企业在国内就可获得控制设备的与安全相关的国际认证。

安全认证体系建设是信息安全保障的基础性工作，但在认证制度的设计和标准规范的研究与设计方面，还需要大量的经验和积累。初期，我国可以与国际认证机构合作，开展联合认证服务，但要逐步建立自己的安全认证机制。这不仅是与国际通行做法接轨，也有利于信息安全领域的国际交流与合作，在切实提高我国信息安全水平的同时，帮助和促进工业企业提升信息安全技术水平，引导产业健康发展。

推荐访问： 不容忽视 信息安全 控制系统 工业