国家网络与信息安全技术研究所副所长许俊峰指出，保护工控系统之所以引起高度重视，是因为工控安全所面临的风险有急剧扩大的趋势。初的工控系统，被设计为独立封闭的系统，其安全风险主要是设备运行的稳定、操作合理性

    编者：21世纪是信息化时代。对石油化工等制造业而言，以震网蠕虫为代表的木马、病毒等对工业自动化生产安全带来了极大威胁，因此工业控制系统的安全成为信息化时代企业安全生产的重中之重。调查报告显示，在工业信息安全产品应用领域中，石油化工占比多，达34%，其中油气占13%、石化占11%、化工占10%;而在工控系统专用防火墙产品应用领域中，石油化工占比更高达76%……　　

茂名石化公司炼油中心控制室。(关平 摄)

　　21世纪是信息化时代。对石油化工等制造业而言，以震网蠕虫为代表的木马、病毒等对工业自动化生产安全带来了极大威胁，因此工业控制系统的安全成为信息化时代企业安全生产的重中之重。调查报告显示，在工业信息安全产品应用领域中，石油化工占比多，达34%，其中油气占13%、石化占11%、化工占10%;而在工控系统专用防火墙产品应用领域中，石油化工占比更高达76%，其中油气占25%、石化占37%、化工占14%。那么，目前我国石油和化工行业工业控制系统安全现状如何?面临的安全挑战有哪些?我们又该如何应对?对此，中国化工报记者进行了深入采访。

　　工控系统安全不容忽视

　　国家网络与信息安全技术研究所副所长许俊峰指出，保护工控系统之所以引起高度重视，是因为工控安全所面临的风险有急剧扩大的趋势。初的工控系统，被设计为独立封闭的系统，其安全风险主要是设备运行的稳定、操作合理性等问题。但是，随着系统规模及相应系统的融合，商用管理软件也被广泛使用，这使得传统互联网中的攻击手段可能被应用于工控系统。

　　中国科学院软件研究所可信计算与信息保障实验室副主任苏璞睿也表示，工业控制系统的广泛应用使其成为网络攻击的焦点。和传统网络相比，对工业控制系统的攻击将对现实社会造成破坏，其破坏性更直接。未来，针对工业控制系统的攻击将越来越频繁，越来越普遍。震网虽然在国内尚未有发作记录，但其潜在威胁不容忽视，它让业内人士认识到工业控制系统面临的安全威胁。

　　信息安全已经上升到国家战略高度。有专家表示，目前掌握的信息都表明，震网蠕虫的开发是一种国家行为。从其采用的技术手段而言，与其所用到的windows系统的漏洞或工控系统的漏洞是普通的个人或一般网络黑客组织所不具备的。而对安全保障专家而言，震网也是目前网络战成功、典型的代表。其原理是通过蠕虫在互联网传播，不需要借助特工，通过病毒自由传播、搜集目标进行攻击。虽然其研发成本很高，但攻击成本很低且较易实现。

　　海天炜业总经理刘安正以公司自身的发展举例说，在自动化系统运维过程中可以发现，信息安全问题已经愈来愈严重。有的企业影响了生产，造成了停车;有的企业虽然没有影响停车，但生产安全稳定运行已经存在极大的隐患。据刘安正介绍，大型流程工业的工控系统很多中过病毒，此前已发生过某炼化压缩机速度异常降低、某石化芳烃装置中蠕虫病毒、某炼化公司硫黄装置因类似原因停车等多起事故。

　　因此，两化融合下的信息安全隐患应予以重视。齐鲁石化公司胜利炼油厂自动化信息所所长王永昌认为，随着石化行业信息化的不断深入、精细化管理的需求，特别是智能工厂的即将实施，都离不开及时了解现场信息，管控结合就成为必然趋势，DCS控制系统与外界不再隔离。控制网络和信息网络之间广泛采用OPC通信技术。此外，先进过程控制(APC)也需要OPC技术建立通讯。

　　然而，目前常用的OPC通讯随机使用1024~65535中的任意端口，采用传统IT防火墙进行防护配置时，被迫需要开放大量端口，形成严重的安全漏洞;同时，OPC的访问权限过于宽松，任意网络中的任意计算机都可以运行OPC中的服务;且OPC使用的Windows的DCOM和RPC服务极易受到攻击。普通IT方后勤无法实现工业通讯协议的过滤，网络中某个操作站/工程师站感染病毒，会马上传播到其他计算机，造成所有操作站同时故障，严重时可导致操作站失控甚至停车。

　　王永昌表示，仅靠目前现有的安全防护措施，已经不能满足石油化工行业信息安全的需求。他告诉中国化工报记者，2010年4月23日，齐鲁石化SSOT装置四台操作站同时报警，连接不到服务器，同时发现服务器运行速度非常慢，无法正常关机重启，断电重启后服务器及各操作站运行正常。此后几天连续出现反复，并造成数据丢失。技术人员在对各服务器、操作站系统打补丁时发现了病毒。“采用传统的黑名单方式进行病毒和攻击阻断，会产生滞后，势必对生产造成影响，而且要持续对病毒库进行更新，所以企业希望有一种更好的防护方式。”王永昌说。

　　工控信息安全技术须自主

　　许俊峰认为，就国内而言，由于工控产品被几个国际寡头控制，国内中设备主要依赖进口，这进一步激化了国内工业安全风险。在此背景之下，国内众多的科研院所、企事业单位均开展了工控安全的研究工作。

　　工业和信息化部电子科学技术情报研究所副所长李新社指出，只有开发具有自主知识产权的工控信息安全防护核心产品，才能摆脱工控系统安全产品受制于人的局面。

　　同时，李新社表示，工业信息安全已经成为国家的战略需求。震网病毒只是我们所知的案例之一，事实上，与工控系统相关联的潜在威胁仍然有很多，所有的工业控制基础设施都面临着信息安全威胁。

　　李新社认为，工控系统安全不仅是国家关键设施稳定运行的保障，也是我国工业长期健康可持续发展的核心竞争力之一。“今天，新工业革命的浪潮正在到来。大家都在说工业4.0、工业互联网、智慧工厂、互联企业……这些新的概念提出的同时也预示着一个个重要的安全隐患的存在。当我们进一步利用数字化、信息化对工业基础设施进行控制的时候，面临的威胁就越来越大。”李新社表示，防火墙的产品首先面临的是物理的防护，而更重要的是要考虑其心脏部分，即信息流在流动和控制期中间所面临的安全威胁，这样的威胁是看不见的。

　　据悉，习近平主席在近的几次讲话中连续多次提到了网络安全的问题，工信部也就此提出要研发技术先进、行业、安全可信、自主可控的产品。此前，工信部于2010年9月发布了《关于加强工控安全系统信息安全》的通知，明确了工控系统安全与领导组织机构、技术保障、规章制度等方面的要求。2012年，发改委信息安全专项也将工业防火墙列为重点支持领域，为海天炜业新一代工业防火墙的诞生提供了重要的经费、政策支持。

　　欧美发达国家一直将具有重要战略意义的工业控制系统融入到国防规划之中。自“9·11”以来，工控安全已经日益成为反恐和国土安全的研究核心。2010年5月，美国成立网络战司令部，将对传统基础设施的攻击能力作为国家网络战的重要作战能力之一。美国中央情报局(CIA)局长莱昂·帕内塔2011年2月10日称，电网系统“代表了未来的战场”。相比而言，国内对该领域的研究起步较晚。直至伊朗震网病毒的发现，中国才从政策层面和行业层面开展工控安全的排查。

　　工控系统未来走向何方

　　目前我国工控系统呈现出哪些发展趋势?

　　对此，苏璞睿从“攻击者”和“防护者”的视角解读了目前工业控制系统的发展趋势。他认为，从“攻击者”的视角看，工控系统发展主要有三大趋势。

　　一是从定制化向通用平台的转变。早期工业控制系统针对特定应用需求研发，各系统之间的软硬件产品通用性差;反观现有控制系统，其集成化程度越来越高，越来越多地采用通用的软硬件产品(芯片、操作系统等)。

　　二是纯硬件向软硬结合的转变，这降低了攻击工控系统的技术门槛。早期的工业控制系统主要依赖硬件实现，系统可扩展性差，现有控制系统在通用硬件计算平台基础上，大量采用软件方式实现;网络攻击的实施在某种程度上也是在原有系统平台上扩展实现新的功能，工业控制系统的可扩展性也决定了其攻击实现的难易程度。

　　三是单一设备控制向网络互联的转变。早期的工业控制系统主要在单一、独立的设备中实现，现在的工业控制系统则将大量设备互联，工业控制系统甚至与互联网相连，系统越来越复杂;同时网络互联使系统暴露更多的漏洞，为攻击的实现提供了更多潜在的技术渠道，也为攻击造成大规模破坏提供了条件。

　　而从“防护者”的视角看，工控系统的发展同样有三大趋势。

　　一是高稳定性要求带来的系统技术陈旧。苏璞睿表示，工业控制系统对系统的稳定性有很高的要求，一般情况下，一套系统建设完成之后，系统内的设备、平台不会轻易地做更新换代，造成当下很多的共控制系统仍在采用Dos、Windows XP等操作系统平台;而对于已发现的安全漏洞若无法充分地验证，评估补丁程序对控制系统稳定性的影响，企业也会更倾向于选择不打补丁。“不会像个人电脑一样，下载补丁后立刻打上。”他说，“在这种条件下，如何保障信息系统安全稳定运行，是个很有难度的事情。”

　　二是高实时性要求带来的防护系统性能挑战。“互联网中我们也很强调性能，但跟工业控制系统相比就是小巫见大巫了。”苏璞睿表示，工业控制系统对系统的实时响应要求是普通互联网无法比拟的，因此也对各类防护系统提出了更高的性能要求。这造成一系列复杂的、智能化的分析、检测算法都无法满足工业控制系统的安全防护要求，限制了防护方法的应用。

　　三是高可靠性要求带来的检测高准确性目标。工业控制系统同时具有高可靠性要求，这样也要求防护系统的分析检测结果要具有明确的确定性，从而造成当前基于模糊匹配、聚类分析等智能算法的入侵检测、计算机免疫等各类模糊检测方法无法应用。

　　如何应对工控信息安全挑战

　　面对工控安全新趋势及挑战，石油和化工企业如何应对?为此，苏璞睿也给出了三条建议。

　　首先，建立以可信计算为核心的安全防护技术体系。苏璞睿指出，可信计算是解决工业控制系统安全问题的重要思路之一，在解决工业控制系统安全方面具有独特的优势。

　　一是相对稳定的环境更有利于可信计算技术的应用。工控系统中设备、系统、应用、业务均较为稳定、单一，没有频繁的更新;同时也可根据业务环境，执行更严格的安全策略，适合可信计算的应用模式。

　　二是非黑即白的防御策略具有更好的检测确定性。可信计算根据安全策略，允许运行执行代码才能运行，具有明确的结果确定性。

　　三是核心算法简单保证了良好的防护性能。与各类复杂的智能算法相比，可信计算技术算法简单、运行效率高，可更好地满足工业控制系统的实时性要求，实现可信、可控、可管的目标。

　　同时，苏璞睿表示，安全没有一个放之四海皆行的解决方案。不同行业面临不同的安全威胁，因此，要针对不同的威胁制定不同的解决方案。如国家重要基础设施面对的主要是国家级、有组织的对抗破坏，其造成的危害直接影响到国家安全;普通商业型企业面对的主要是一些竞争对手或经济犯罪的干扰破坏，其造成的危害主要是影响到企业的发展和商业利益。此外，不同的行业也具有不同的业务背景。工业控制系统具有较为独立的业务模拟、专有协议、专有数据格式等特殊性，需要针对不同行业建立有针对性的防护策略，研发有针对性的防护技术手段，提高工业控制系统安全防护能力。“具有针对性的安全解决方案才是有效的。”他说。

　　其次，加强国家基础设施中系统和产品的安全性检测。苏璞睿指出，国家基础设施和普通企业生产系统相比，具有更高的安全需求，但我国在现阶段仍不可避免地需要采用国际各类产品。同时，现有的安全检测技术手段主要面向传统计算机网络，而工业控制系统中大量采用嵌入式系统或其他专用计算平台，检测技术手段较为薄弱。

　　后，建立专用测试验证环境，加强联合技术攻关。苏璞睿解释说，工业控制系统具有其自身的独特性，建立专用测试验证环境是开展深入研究工作的前提和基础。这是理论方法体系研究的需要，也是技术产品测试验证的需要，同时也是系统集成与评估的需要。同时他表示，工业控制系统安全与传统计算机网络安全有一定的共性，也有一定的特殊性，应加强两方面团队的联合，推动研究的深入。