中控技术：以保障工业生产装置安全和为用户创造价值为首要目标

随着两化融合和“中国制造2025”的不断推进和深化，工业控制系统逐步趋向开放、互联和智能，呈现数字化、网络化和智能化发展趋势。同时，由于工业物联网、工业互联网、CPS、云计算、边缘计算等新型技术的快速发展和不断融合，以及数字化移交、远程诊断与运维等创新模式的广泛应用，进一步加大了工业控制系统信息安全深度防护的难度，带来了一系列工业互联趋势下的新型安全风险。在这种越来越开放的工业互联趋势下，工业控制系统既面临传统的IT安全威胁（典型为恶意软件，但是趋向攻击更加频繁，蔓延更加迅速，遭受破坏的后果更加严重），又面临以物理攻击为主的信息通信技术（ICT）与自动化技术（AT）、操作技术（OT）融合的新型安全威胁（表现为日益复杂新型的攻击手段，高级可持续的威胁，新型变种病毒的快速扩散等）。面对日益严峻的信息安全威胁，浙江中控技术股份有限公司工业通讯技术总监章维表示：“中控作为中国最大的流程工业领域工业控制系统提供商之一，以保障工业生产装置安全和为用户创造价值为首要目标，为用户提供可信赖的工控安全解决方案和服务。”

浙江中控技术股份有限公司工业通讯技术总监章维

工控安全威胁形势严峻

近年来，国内外工业控制系统信息安全事件频发，引发了各国政府的高度重视。谈及国内工业控制系统信息安全的基本态势，章维表示：“总体来讲，当前国内的工业控制系统信息安全呈现国家政策法规明朗、资本市场日趋冷静、产品和技术逐步落地的态势，但是面临的威胁日益严峻。”他对此作了详细分析：

首先，随着2017年6月份《中华人民共和国网络安全法》正式实施，强化了网络运行安全，重点保护关键信息基础设施；按照工信部【2016】338文《工业控制系统信息安全防护指南》及解读：工控安全必须采取系统性的综合防护；必须经过工业企业授权和安全评估，与工业控制系统兼容，无缝衔接。工业和信息化部发布《工业控制系统信息安全行动计划（2018-2020年）》及解读，旨在深入落实国家安全战略，加快我国工业控制系统信息安全保障体系建设，提升工业企业工业控制系统信息安全防护能力，促进工业信息安全产业发展；网信办2017年5月发布《网络产品和服务安全审查办法（试行）》；4部委2017年6月联合发布《网络关键设备和网络安全专用产品目录（第一批）》，包括高性能PLC产品；工信部2017年6月发布《工业控制系统信息安全事件应急管理工作指南》。

其次， 国内关于工控安全相关的标准逐步完善和发布，其中2 0 1 7年5月正式发布《G A / T1390.5-2017信息安全技术 网络安全等级保护基本要求 第5部分：工业控制系统安全扩展要求》，标志着工业控制系统也正在逐步纳入等级保护的范畴。

然而工控安全威胁形势依然严峻，从2016年到2017年，平均每月都会发生数起重大的工业信息安全事件，工业控制系统面临的安全风险具有明显的新趋势。具体表现为长久潜伏瞬时爆发、快速蔓延快速更新换代、攻击门槛降低、攻击数量持续高涨且明显趋利性、跨国网络攻击事件频繁发生、联网智能设备遭受恶意控制；DDoS攻击现象越发严重、欺诈勒索软件肆虐蔓延；具有工业专业化研究的团队尤其是具有政治背景的黑客组织发动的APT攻击事件不断出现。例如：2017年5月份的WannaCry病毒造成100多个国家和地区超过10万台主机被攻击，并且层层渗透，攻击了很多缺少防护的工业控制系统，导致生产中断，用户遭受重大损失；6月份的Industroyer病毒，能够控制关键工业控制系统，引发大规模停电，造成设施损害，甚至其他更大的危害，同时攻击者对于工控系统尤其是电力系统相关的工控协议有着深厚的知识背景，并且具有目标工控环境下的各种工控设备，攻击者需要这些设备来实现恶意代码的编写和测试工作。

提供全方位工控安全解决方案

面对日益严峻的信息安全威胁，工业用户在进行工业控制系统信息安全建设的时候，应如何部署？章维认为工业用户首要考虑的是信息安全的各项管理措施和技术措施能否保证工业生产装置正常连续运行，在发生工控安全事件时能否保证装置和人员安全（Safety），工控安全运维和审计要求能否与现有流程一体化整合。

针对此，中控的工业控制系统，从设计阶段开始即以安全生产为核心目标，基于工控安全的风险评估和标准研究，围绕工业控制系统故障模式和攻击链，进行FMEA分析和威胁建模，形成基于安全一体化（功能安全、信息安全、操作安全）的设计规范和内建安全总体设计方案，包括组成控制器系统的组态软件、监控软件、控制器、工业协议这四个关键组件的内建安全，主要策略有结构安全、接口动态防护、数据安全监护、故障安全、访问权限控制、内核自主可信。

其次，围绕工厂网络安全全生命周期纵深防御技术体系，设计研发的智能工厂网络安全评估工具和防护套件，已在大型联合工程项目中示范应用，实现全厂一体化网络安全管控。结合大型联合工程典型网络架构和安全需求，按照安全分区（纵向分层、横向分域）、边界防护、网段隔离、网络安全控制、恶意软件监测与防护、网络实时监测和异构系统接入防护等纵深防御技术建设，保障炼油、化工等大型联合工程装置的可靠性、可用性和安全性。

谈及中控信息安全解决方案和服务的核心竞争力，章维总结认为：“首先，中控提供的工控安全解决方案和服务是对用户使用中控工业控制系统的增值补充，而并不是作为独立的业务存在；其次，中控经过近30年的工业控制系统研发、应用的技术积累，掌握了流程工业自动化、企业信息化等核心技术，已经具备在大型、关键的项目及装置中与ABB、西门子、横河、霍尼韦尔等国际一流企业同台竞争的能力，成为了少数能与跨国公司竞争的自主品牌工业自动化企业，专业性毋庸置疑；再次，中控提供的工控安全防护纵深防御方案和产品，涵盖主机安全防护、网络边界防护、网络实时监测、工控系统备份和审计、工业现场总线和异构系统接入防护等。”

正是基于这样的优势，中控在工业控制系统信息安全市场收获颇丰。2017年重点开展了神华宁煤智能工厂一体化设计和实施、镇海炼化大型煤制氢装置DCS和SIS系统项目、大庆石化线型低密度聚乙烯DCS和SIS系统项目、吉化高压聚乙烯DCS项目等纵深防御整体解决方案。

此外，据章维透露中控对于工业控制系统信息安全的研发和投入仍在继续：“中控将在2018年继续深入开展工业控制系统内建安全技术研究，结合网信办、各部委要求和国际标准国内标准的发展趋势，进一步强化现有ECS-700控制系统和TCS-900安全仪表系统的安全防护能力，使其从基因上就具备很强的安全防护能力。在常规工业控制项目的纵深防御解决方案中，工业主机全面配置基于白名单技术的工控安全卫士，防止任何非法的病毒木马的执行；在大型生产装置不同工段之间和不同管理层级之间，开展分层分域的网络构架设计，配置专用工控防火墙，隔离网络中的风险和威胁；推广工业控制系统备份解决方案。

• end •

摘自《自动化博览》2018年2月刊

如需合作或咨询，请联系工业安全产业联盟小秘书微信号：ICSISIA20140417

扫我扫我，等你哦~