工业控制系统信息安全现状及发展趋势

【 摘 要 】 文章基于工业安全事件信息库RISI，对国内外电力、石化、交通、水利等国家基础设施行业的典型工业控制系统安全事件进行统计，从工业控制系统的自身特点、网络结构及引发安全事件的攻击手段等角度分析了工控系统的现状，总结了国内外针对工业控制系统安全所面临的问题、相关措施及未来的发展趋势。

【 关键词 】 工业控制系统；信息安全；现状；趋势

【 中图分类号 】 T-19 【 文献标示码 】 A

1 引言

随着科学技术的发展，工业控制系统（Industrial Control Systems， ICS）已成为电力、水力、石化天然气及交通运输等行业的基石。但工业控制系统往往缺乏或根本不具备防护能力，与此同时工业控制系统的每次安全事件都会造成巨大的经济损失，并直接关系到国家的战略安全。特别是2010年爆发的Stuxnet病毒让全球都明白，一直以来被认为相对安全的工业控制系统已经成为黑客攻击的目标，因此，工业控制系统安全是世界各国关注的焦点。本文将从工业控制系统特点出发、立足典型工控安全事件，对该领域的现状及未来发展趋势做详细阐述和分析。

2 典型工业控制系统基本结构

工业控制系统是由各种自动化组件、过程监控组件共同构成的以完成实时数据采集、工业生产流程监测控制的管控系统，其结构如图1所示，主要分为控制中心、通信网络、控制器组。工业控制系统包括过程控制、数据采集系统（SCADA）、分布式控制系统（DCS）、程序逻辑控制（PLC）以及其他控制系统等，目前已广泛应用于电力、水力、石化、医药、食品以及汽车、航天等工业领域，成为国家关键基础设施的重要组成部分。

作为工业控制系统的重要组件，SCADA、DCS及PLC各具特点。

SCADA（Supervisory Control And Data Acquisition）系统：SCADA经通信网络与人机交互界面进行数据交互，可以对现场的运行设备实时监视和控制，以实现数据采集、设备控制、测量、参数调节以及各类信号报警等。可见其包含两个层次的基本功能：数据采集和监控。常见的SCADA系统结构如城市煤气管网远程监控、电力行业调度自动化及城市排水泵站远程监控系统等。

DCS（Distributed Control System）系统：分布式控制系统是相对于集中式控制系统而言的一种新型计算机控制系统，由过程控制级和过程监控级组成的以通信网络为纽带的多级计算机系统，其基本思想是分散控制、集中操作、分级管理，广泛应用于流程控制行业，例如电力、石化等。

PLC（Programmable Logic Controllers）：用以实现工业设备的具体操作与工艺控制，通常在SCADA或DCS系统中通过调用各PLC组件实现业务的基本操作控制。

其他工业控制系统：除以上介绍外，一些生产厂商对典型的控制系统进行改造，生产出符合特定工作环境、满足特定生产工艺的工业控制系统。

无论在何种工业控制系统中，工业控制过程都包括控制回路、人机交互界面（Human Interface，HMI）及远程诊断与维护组件：其中控制回路用于向执行器输出逻辑控制指令；HMI执行信息交互，包括实时获取控制器及执行器的状态参数，向控制器发送控制指令，修改工艺参数等；远程诊断与维护工具确保出现异常时进行诊断和系统恢复，例如系统的紧急制动、报警等。图1为典型的ICS控制过程。

3 工业控制系统信息安全现状及策略

3.1 工业控制系统安全现状

相比于传统的网络与信息系统，大多数的工业控制系统在开发设计时，需要兼顾应用环境、控制管理等多方面因素，首要考虑效率和实时特性。因此，工业控制系统普遍缺乏有效的工业安全防御及数据通信保密措施。特别是随着信息化的推动和工业化进程的加速，越来越多的计算机和网络技术应用于工业控制系统，在为工业生产带来极大推动作用的同时也带来了诸如木马、病毒、网络攻击等安全问题。根据工业安全事件信息库RISI（Repository of Industrial Security Incidents）的统计，截止2011年，全球已发生200余起针对工业控制系统的重大攻击事件，尤其在2000年之后，随着通用协议、通用硬件、通用软件在工业控制系统中的应用，对过程控制和数据采集监控系统的攻击增长了近10倍。

针对工业控制系统的攻击主要威胁其物理安全、功能安全和系统信息安全，以达到直接破坏控制器、通信设备，篡改工业参数指令或入侵系统破坏生产设备和生产工艺、获取商业信息等目的。

对于工业控制系统破坏主要来自与对工控系统的非法入侵，目前此类事件已频繁发生在电力、水利、交通、核能、制造业等领域，给相关企业造成重大的经济损失，甚至威胁国家的战略安全。以下是各行业典型的工业控制系统（ICS）遭入侵事件。

* 2000年，黑客在加斯普罗姆（Gazprom）公司（俄罗斯国营天然气工业股份公司）内部人员的帮助下突破了该公司的安全防护网络，通过木马程序修改了底层控制指令，致使该公司的天然气流量输出一度控制在外部用户手中，对企业和国家造成了巨大的经济损失。

* 2001年，澳大利亚昆士兰Maroochy 污水处理厂由于内部工程师的多次网络入侵，该厂发生了46次不明原因的控制设备功能异常事件，导致数百万公升的污水进入了地区供水系统。

* 2003年，美国俄亥俄州的戴维斯-贝斯（Davis Besse）核电站进行维修时，由于施工商在进行常规维护时，自行搭接对外连接线路，以方便工程师在厂外进行维护工作，结果当私人电脑接入核电站网络时，将电脑上携带的SQL Server蠕虫病毒传入核电站网络，致使核电站的控制网络全面瘫痪，系统停机将近5小时。

* 2005年，13家美国汽车厂（尤其是佳士拿汽车工厂）由于被蠕虫感染而被迫关闭，50000名生产工人被迫停止工作，直接经济损失超过140万美元。

* 2006年8月，美国Browns Ferry核电站，因其控制网络上的通信信息过载，导致控制水循环系统的驱动器失效，使反应堆处于“高功率，低流量”的危险状态，核电站工作人员不得不全部撤离，直接经济损失数百万美元。

* 2007年，攻击者入侵加拿大的一个水利SCADA控制系统，通过安装恶意软件破坏了用于控制萨克拉门托河河水调度的控制计算机系统。

* 2008年，攻击者入侵波兰罗兹（LodZ）市的城市铁路系统，用一个电视遥控器改变了轨道扳道器的运行，导致四节车厢脱轨。

* 2010年6月，德国安全专家发现可攻击工业控制系统的Suxnet病毒，截止9月底，该病毒感染了全球超过45000个网络，其中伊朗最为严重，直接造成其核电站推迟发电。

除对工业控制系统的直接恶意攻击外，获取商业信息、工业数据等也是近年来入侵工业控制系统的常见现象。例如，2011年出现的Night Dragon可以从能源和石化公司窃取诸如油田投标及SCADA运作这样敏感的数据。世界著名安全公司迈克菲（McAfee）在一份报告中披露，黑客曾依靠该方式入侵了五家跨国石油天然气公司窃取其商业机密；与此同时出现的Duqu病毒和Suxnet不同，它并不攻击PLC系统，而是收集与其攻击目标有关的各种情报（如工业控制系统的设计文件等），根据世界著名信息安全公司卡巴斯基的报告，Duqu作为一种复杂的木马，可能与Suxnet蠕虫的编写者同为一人，这也预示着网络犯罪有足够的能力成功执行工业间谍活动；类似的恶意软件还有Nitro，它攻击了25家化工和新材料制造商，收集相关知识产权资料，以获得竞争优势。

据不完全统计，近年来发生的工业控制系统安全事件（主要以恶意入侵、攻击为主），除水利、电力、交通运输等公共设施领域外，更为集中的发生在诸如石油、石化等能源行业。如图4所示为主要领域工业控制系统安全事件统计。

通过相关工控事件案例分析可以发现，导致工业控制系统安全问题日益加剧的原因有三。

A.工业控制系统的自身特点所致：如前所述，工业控制系统的设计开发并未将系统防护、数据保密等安全指标纳入其中，再者工业控制网络中大量采用TCP/IP技术，而且工业控制系统网络与企业网络连接，防护措施的薄弱（如TCP/IP协议缺陷、工业应用漏洞等）导致攻击者很容易通过企业网络间接入侵工业控制系统，如图5所示。

经统计，工控系统遭入侵的方式多样，其入侵途径以透过企业广域网及商用网络方式为主，除此之外还包括通过工控系统与因特网的直接连接，经拨号调制解调器、无线网络、虚拟网络连接等方式。如图6所示为常用的工业控制系统入侵手段。

B.工业控制系统设备的通用性：在工业控制系统中多采用通用协议、通用软件硬件，这些通用设备的漏洞将为系统安全带来极大隐患。

1） 组态软件作为工业控制系统监控层的软件平台和开发环境，针对不同的控制器设备其使用具有一定的通用性。目前使用比较广泛的有WinCC、Intouch、IFix等，在国内，组态王在中小型工控企业中也占有一定份额。Suxnet病毒事件即为利用西门子WinCC漏洞所致。

2） 通信网络是工业控制系统中连接监测层与控制层的纽带，目前工控系统多采用IEC61158中提供的20种工业现场总线标准，例如Modbus系列（Modbus-TCP和Modbus-RTU等）、Profibus系列（Profibus-DP、Profibus-FMS）、Ethernet等，图7为通用现场总线的网络结构，可见只要利用这些通用协议的缺陷、漏洞即可入侵工业控制系统，获得控制器及执行器的控制权，进而破坏整个系统。控制器设备则主要采用西门子、RockWell、HoneyWell、施耐德等公司产品，因此这些通信协议及通用控制器所具有的漏洞极易成为恶意攻击的突破口（如施耐德电气Quantum以太网模块漏洞可以使任何人全方位访问设备的硬编码密码）。

C.入侵、攻击手段的隐蔽性：大多对工业控制系统的入侵和攻击手段极为隐蔽、木马和蠕虫病毒的潜伏周期较长，待发现时已对企业国家造成严重损失。

据金山网络安全事业部的统计报告显示，一般的防御机制需要2个月的时间才能确认针对工业控制系统的攻击行为，对于更为隐蔽的Stunet及Duqu病毒，则需要长达半年之久。如图8所示为McAfee披露Night Dragon的入侵模式。

3.2 工业控制系统安全策略

自Stuxnet病毒爆发以来，工业控制系统的安全就成为各国所关注的焦点。针对越发严重的工业系统入侵等安全事件，世界各国都在积极研究相应的应对措施。

* 美国成立了工业控制系统网络应急小组（Industrial Control Systems Cyber Emergency Response Team，ICS-CERT），专注于协助美国计算机应急相应小组US-CERT处理工业控制系统安全方面的事宜，其职能包括：对已发生的工控安全事件进行处理分析，以便将来避免发生类似的安全事件；引导系统脆弱性分析和恶意软件分析；提供对事件相应和取证分析的现场支持等。

* 于此同时美国国土安全局建立了工业控制系统联合工作小组（Industrial Control Systems Joint Working Group，ICSJWG），主要是促进国家工业控制系统的信息共享，降低系统风险。

* RISI作为权威的工控事件数据库，收集了自2000年以来涉及各个行业的工业控制系统安全事件，并以此为依据发布相关分析信息，提供预防措施。

* 各大信息网络安全公司，如国外的卡巴斯基、国内的金山网络都已将工业控制系统安全防护列为主要的研究领域，并提出相应的防御策略及防护产品。

* 国家信息安全漏洞共享平台开始收录工业控制系统软件的安全漏洞，涉及西门子、北京亚控、北京三维力控等国内外知名控制系统制造商的产品。

* 国内青岛多芬诺公司专为SCADA、DCS、PLC等控制系统提供相应的工控安全解决方案，提出了针对工控系统安全的纵深防御的策略，目前已和中石化中石油等建立合作项目。

4 工业控制系统信息安全发展趋势

工业控制系统未来的发展决定了工控安全这一领域的方向。特别是自2000年以来，通用通信协议、通用软件、硬件及大量的TCP/IP技术在工业控制系统中的应用，使得工业控制系统与传统企业网络高度一体化，因此引发了严重的工控安全事件，带来了诸多安全隐患。虽然各国致力于工控安全研究，但目前形势仍然较为严峻。近期有关工控领域的调查报告显示，以太网在各种总线使用中占用主导地位，与ProfiNET一起成为使用最为广泛的通信方式，通信协议的单一化势必会为工业控制系统安全带来新的挑战。除此之外，具有提供工业安全技术或服务能力的企业少之又少，据多芬诺首席技术官Eric J.Byres关于SPS IPC Drivers展览会的介绍，在1429家参展商中，只有屈指可数的16家涉及工控安全，并且很多工控系统供应商表示安全问题仍然不是现在关注的重点。由此可见，工业控制系统安全需要国家、企业进一步重视。

提高整个工业控制系统的物理安全、功能安全及信息安全主要从技术和管理两个层面入手。具体的操作步骤归纳如下：

A.对现有的工业控制系统进行安全风险评估：了解工业控制系统的网络结构、漏洞、进而评定整个系统的风险等级；

B.针对系统的风险等级从技术及管理角度制定相关的政策和规程：如升级防火墙、操作系统、数据库，加强系统访问的权限管理，定时安全系统补丁等；

C.对系统各个组件功能进行严格管理：包括禁用控制器或其他关键设备上的对外接口、修补已知的系统漏洞，确保将配置选项设定为最安全的设置；

D.对控制系统及系统以外人员（供应商、维修维护人员等）进行安全意识培训：制定相关培训计划，确保员工熟悉并遵守制定的相关规程制度。

5 结束语

通过对工业控制系统特点及系统安全现状的分析，可以发现工业控制系统不但面临着大多数传统信息系统所具有的安全问题，而且也存在独特的安全需求。因此，必须从工业控制、信息安全两个角度出发，双重考虑工控系统安全问题。

参考文献

[1] 贾东耀，汪仁煌.工业控制网络结构的发展趋势[J].工业仪表与自动化装置，2002（5）：42-46.

[2] Keith Stouffer， Joe Falco， Karen Scarfone. Guide to Industrial Control Systems （ICS） Security，June 2011.

[3] Kevin Poulsen， "Slammer worm crashed Ohio nuke plant network"， SECURITYFOCUS NEWS， Security Focus Aug 19 2003.

[4] E. J. Byres and J. Lowe， “The Myths and Facts behind Cyber Security Risks for Industrial Control Systems，” in Proc. of VDE Congress，Berlin， October 2004.

[5] Eric M. Hutchins，Michael J. Clopperty，Rohan M. Amin， Ph.D.，Intelligence-Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains.

[6] Katherine Campbell， Lawrence A. Gordon， Martin P.Loeb and Lei Zhou； The Economic Cost of Publicly Announced Information Security Breaches： Empirical Evidence from the Stock Market， Journal of Computer Security，Vol. 11，No. 3， 2003， pp. 431-448.

[7] 缪学勤.20种类型现场总线进入IEC61158第四版国际标准[J].自动化仪表，2007（S1）：31-36.

[8] IEC Standard 61158-3， “Part 3： Data link service definition，” Third Edition， 2003-05.

[9] IEC Standard 61158-1， “Part 1： Overview and guidance for the IEC 61158 series，” Third Edition 2003-05.

[10] IEC Standard 61158-2， “Part 2： Physical layer specification and service definition，” Third Edition， 2003-05.

[11] Global Energy Cyberattacks： “Night Dragon”. McAfee Foundstone Professional Services and McAfee Labs？ February 10， 2011.

[12] Eric Byres， John Karsch， and Joel Carter， NISCC Good Practice Guide on Firewall Deployment for SCADA and Process Control Networks， National Infrastructure Security Coordination Centre （NISCC）， Jul 8， 2004.

[13]王孝良，崔保红，李思其.关于工控系统信息安全的思考与建议. 信息网络安全，2012年第8期（总第140期）第36页.

[14]刘威，李冬，孙波.工业控制系统安全分析.信息网络安全，2012年第8期（总第140期）第41页.

作者简介：

夏春明（1969-）男，上海人，2003年获英国University of Glasgow博士学位，华东理工大学机械学院副院长，教授，博士生导师，发表论文50多篇（其中SCI8篇，EI检索40篇）；主要研究方向为过程工业故障诊断、工业信息安全、医疗康复工程、模式识别等。

刘涛（1987-）男，上海人，华东理工大学大学机械电子工程系在读硕士研究生。

王华忠，上海人，华东理工大学信息科学与工程学院自动化系主任。

吴清（1972-）男，上海人，华东理工大学机械与动力工程学院讲师。