重新审视工业信息安全，要从工业主机开始

摘要

工业信息安全发展多年，勒索软件针对工业企业的攻击打破了现有的安全状况，再次验证了工业控制系统的脆弱性，同时也打破了工控系统长时期带病运行的常态。重新分析重边界防护的安全意识，安全事件多是由工业主机作为攻击目标的现状，真正意义上的加强工业主机的防护，保障信息世界与物理世界桥梁，是保障工业信息安全的起点。

1 引言

工业安全是个很大的概念，既包括通常所说的功能安全，也包括现在很火的信息安全，但不管是哪个方面，工业企业的生产安全是首要任务。即使是工业信息安全，出现最严重的后果，也是影响企业的生产。不管如何表述，工业信息安全，目前已经逐步上升到了和功能安全一样的高度。学术界、科技界，正在不断探讨如何将工业控制系统的功能安全、信息安全、操作安全相融合。因此，工业信息安全，已经是工业企业不可或缺的一个安全要素。

回顾超过百年历史的工业发展历程，其实就是工业控制系统的发展历史，就是生产安全的历史，功能安全由此而生。与控制理论和工程化发展对比，信息化的时间其实只有短短的几十年，而信息化应用在工业领域，工控信息安全由此而来。尤其是最近20年，工业信息安全的历史有点“黑”。

2 工业信息安全的“黑”历史

工业信息安全，即大家通常所说的工控信息安全，最新的解读将工业互联网安全也包含在内。为何是“黑”历史？因为工控系统被“黑”的次数越来越多。

究其原因，主要是工控人依然以功能安全为主线，并未与时俱进地将信息安全的思想融合在工业安全的大概念里。因此，澳大利亚污水处理厂、美国核电站、波兰地铁等因信息安全而产生的事故不断发生。直到2007年，美国爱达荷国家实验室搞了一次接近真实环境的试验，证明了通过网络攻击手段，是可以造成工控系统的物理损坏，为2010年伊朗震网病毒事件的爆发埋下了伏笔。

一般提到工业信息安全是必提震网事件的。在2010年后，针对关键基础设施的攻击，包括了大量针对工控系统的攻击手段和病毒。2015年又一个标志性事件发生了——乌克兰电网停电事件，又是一次被黑，又一次造成了物理损失，最重要的是，我们通常认为的黑客，已经非常熟悉工业领域的工艺和工作业务流程。2017年，“永恒之蓝”勒索软件的出现，以及随后的各种变种，目标由最初的教育、医疗领域，转移到了价值更高的工业领域，目标直指工业主机，也打破了工业环境中，只要病毒木马不影响生产，就可以忽略的现象。“带病运行”的常态，因勒索软件所打破。

3  “篱笆”还是那个“篱笆”

篱笆，是用来保护院子的一种设施。工控系统的“篱笆”，传统的方法就是隔离，如物理隔离，以物理鸿沟的方式保护着工控系统的安全。即使是信息化深入的当代，隔离的思维，依然是工控系统的主流防护措施。比如能源局36号文，针对电力监控系统安全防护的要求，在管理信息大区和生产控制大区的隔离要求是“接近甚至达到物理隔离水平”。

即使要求等级不够高的工业领域，信息安全建设不如电力行业，基本的边界隔离要求都是有的。物理隔离、逻辑隔离，多种隔离手段兼顾的要求在工业的各个领域中都有所提及。隔离即是安全，是普遍的安全思维定式，保护的效果如何却无法得到有效的验证。甚至个别企业认为有个边界防护设备就万事大吉，并没有考虑这个“篱笆”是否适用于自己、是否真的起到了保护作用。也就出现了只有透明模式的边界，内部毫无安全防护，工控系统运行状况一目了然的案例出现。

因此，单纯的“篱笆”思维，以为隔离即是安全，需要在思想上做出改变。

4 勒索软件打破了幻想

2017年的“永恒之蓝”勒索病毒爆发，影响面非常广泛。在应对这起全球性的安全事件过程中，没有特别的进行行业的区分和深度分析。而后的事件，却发生了很有意思的变化。勒索病毒的目标，盯上了工业领域。国内多个工业企业遭受了勒索病毒的攻击，工业主机被锁、蓝屏，不断重启，严重影响了工业企业的正常生产。国内某制造企业，因勒索病毒肆虐，导致近一个月的停产。而在处理此次安全事件过程中发现，边界设置了防火墙，但该企业内部是一张大网，办公、OA、财务、控制网，都可以互联互通，野蛮性扩张，导致安全漏洞百出，信息安全设备除了边界防护外，一片空白；管理制度形同虚设，移动介质滥用；除了发现勒索病毒外，传统的病毒、木马竟然有一万多种。在和企业人员访谈过程中，控制网有病毒和木马，已经有好多年了，因为没有导致停机停产，也没做任何安全措施；在处置分析此次安全问题过程中，甚至发现其用于系统恢复的GHOST文件，也都被植入了病毒和木马。其实，这类企业的安全问题和事件，是一大批企业的代表。要不是勒索病毒爆发，导致了停产，企业可能仍然不会真的在意工业信息安全的建设。

5 工业信息安全，从保护工业主机安全开始

经过这么多年的工控安全“洗礼”，在很多行业以及企业，都做了试点验证工作，甚至进行了成体系的安全规划及建设。但从美国ICS-CERT、中国CNVD和卡巴斯基工控安全应急响应中心研究报告中显示，工控漏洞的数量并没有因为工控安全建设而减少，反而是逐年增加的趋势。但我们相信看到的公开披露的工控安全漏洞，也只是冰山的一角。

在分析这些公开的工控安全漏洞的过程中，我们发现以工业主机运行的软件和通信协议漏洞占主流。通过调查，一个中级程序员在编写1000行代码中就会存在一个bug，而工业软件的漏洞，大部分集中在软件bug上。当然，发现工业主机软件漏洞持续增加，也有其他的原因存在，包括工业软件获取渠道多、成本低；分析研究工业软件漏洞的技术利用IT软件漏洞分析的经验、方法和工具；工业现场主机系统老旧，几乎不做安全更新，漏洞多、防护差等问题。

工业环境之前“带毒运行”是常态，勒索病毒将使此常态成为过去时。以前的工业环境，只要病毒和木马未威胁到工业企业的正常生产，工业企业几乎放任自流，最多因为病毒和木马导致系统运行缓慢；但勒索病毒的出现，打破了这一情况，比如今年8月的台积电安全事件，勒索病毒的爆发，导致了业务停摆，直接经济损失近2亿美金，毛利率降1%的损失，这还是在有一定安全能力的工业企业里发生的安全事件。其实国内的工业企业也或多或少受到勒索病毒的影响，主要分布在汽车制造、电子制造、烟草、能源等行业。高价值、低保护的工业主机将成为网络犯罪集团理想的勒索攻击目标。

APT攻击，已经不再仅仅停留在“狼来了”阶段，而是“狼已经来了”。 震网（Stuxnet）、BlackEnergy2、Havex再到乌克兰停电事件的反复爆发，以及最近针对沙特石油天然气工厂攻击的Triton/TriSYS。Triton攻击框架能与施耐德公司的Triconex安全仪表系统控制器（SIS）形成通信交互，通过SIS控制器的重新编程，可导致不可逆转的关机操作和设备物理损害。可以看到，针对以工控系统为业务核心的能源行业、关键制造业、水处理行业等国家关键基础设施的攻击一直在持续。APT攻击就像一把达摩克里斯之剑，高悬在工业企业的头顶，不得不令人担忧。

面对这些问题和挑战，针对工控系统的主要威胁进行了深度研究，研究结果是：信息技术的发展，工业互联的需求，工业主机是IT与OT技术融合的连接点，是信息世界与物理世界的通道和桥梁，也是成本低廉、效果极佳的攻击实施点。做好工业主机的安全防护和控制，是极为关键的。因此，针对工业企业的特点、面临的三大安全威胁，提出了相应的三大对策：

·马上行动，工业信息安全从主机防护开始；

·开放心态，建立工控漏洞的协同治理机制；

·协同联动，建立工控安全事件协同应急响应机制。

工业主机运行环境是非常特殊的，绝大部分工业主机安装部署后，就不会再进行根本性的升级、修改；工业主机以及软件的特殊性，以防黑为主的杀毒软件是很难在工业环境中进行适配、使用；因此业内普遍采用“白名单”技术进行工业主机的安全防护。

在互联网安全领域内，正是360首次提出了白名单技术，基于白名单机制建立起来的防恶意代码软件，也正是360的强项。因此提出了工业主机一体化安全防护的理念，是以白名单技术为基础，集成了资产管理、外设管控、虚拟补丁、准入控制等功能，并集成特定病毒查杀工具、主机加固工具等。其中虚拟补丁技术是很关键的，在工业主机不能进行补丁更新的情况下，发现工业主机漏洞后，可以采用虚拟补丁技术，结合白名单机制，进行有效的漏洞防护，不仅仅是禁止非法软件启动，甚至可以防止非法软件入侵主机。比如针对勒索病毒的防护模块就是基于此类技术建立起来的，可以有效地防御勒索病毒。

但在工业主机防护方面，单一的白名单技术不能做较全面的防护，有些高级的恶意攻击代码可以绕过简单的白名单机制。因此，工业主机防护技术需要在“白名单”技术的基础上，引入“白行为”技术。

工控系统具备两个“有限”：首先是设备运行状态是有限的，其次是运行状态下的控制指令是有限的。工业主机防护同样具备这样的特点。控制指令的有限，恰恰证明了工业主机的操作行为是稳定、可知的，采用大数据技术很容易建立起稳定的工业主机“白行为”基线，偏离基线的工业主机异常行为，也非常容易检测到。因此，建立基于工业主机为重要节点的工业主机操作“白行为”，通过监测操作行为，扩大可知探测能力、确定已知合法行为、防范未知威胁操作；实时监视工控系统的资产、操作等，出现异常，实时报警，启动应急处置流程；结合工业威胁情报进行威胁的追踪溯源，提供更高强度的工业主机主动防御能力。

工控系统的纵深防御策略，在不少工业企业内已经进行了部署。但安全是动态的，纵深防御更多的是静态的防御方式，不具备与时俱进的能力。工业互联网时代，业务的不断发展、数据量成级数增长，以业务规则为核心，建立安全基线，动态地实时监测工业互联网的信息流及操作指令，以控制指令有限为原则，监测、告警异常行为，从而建立工业互联网的“白行为”知识库，建立以实时监测为基础的安全运营体系。

安全的本质：漏洞是源头、响应是最佳实践。因此针对安全事件的应急响应机制的建立，同样迫在眉睫。安全响应不仅仅只是安全厂商的事情，应该是工业用户、自动化厂商、安全厂商联动，共同解决棘手的安全问题，共建一个良好的安全应急响应机制。

6 总结

综上所述，工业信息安全的体系，到目前为止还是在不断的发展阶段，虽然静态的纵深防御策略普遍被业内人所认可，但安全是动态的、持续的，单纯的“扎篱笆”已经被证明是严重不足的。只有加强工业主机安全，建立安全基础，以实时监测技术建立行为基线，以联动的安全响应为保障，才可有效地解决工业企业的工控信息安全的老大难问题。