力学哥工业安全盲点严重，工业控制风险有哪些？-愚越时代

力学哥工业安全盲点严重，工业控制风险有哪些？-愚越时代

力学哥
机器人本身是自带智能控制的，同时它又是一个执行终端，而智能仪表，智能电机等还具有感知功能，把数据往上传，部分代替工业物联网的感知层。从感知层到管理层、企业层、云端，都需要工业控制系统的安全保护。
前几年一个圣诞节前，乌克兰电网遭到黑客攻击，造成了大规模停电，影响到140万名居民。黑客利用欺骗手段让电力公司员工下载了一款名为BlackEnergy的恶意软件，攻击了约60座变电站。同样的，2014年10月至2015年9月，美国发生了295起入侵关键基础设施的黑客攻击案件，如机场、隧道和炼油厂等。在世界各地，还有许多攻击事件未被曝光。
对于传统互联网安全软件而言，工业安全领域依旧是一个盲点。国内人口密集，电力、交通情况更为复杂，供电、供水这些基础设施的核心控制器件是工控系统，如果遭遇黑客攻击，会面临更大面积的瘫痪。
而一些创业者正在围绕“这一盲点”尝试着创业。
“工业控制系统与传统IT系统存在很大的差异，工控协议类型繁多、适用于不同的控制环境，我们在对这些协议进行深度解析之后，推出了工控检测审计系统，这些软件需要部署在客户网络的网关处，能记录正在发生的网络行为，并检测到异常行为。”北京匡恩网络科技高级副总裁李江力告诉钛媒体。匡恩网络在工业控制系统网络安全领域探索多年，今年完成B轮融资，曾牵头制定“工控网络监测”、“工控漏洞挖掘”、“智慧城市安全”、“数控安全”等多项国家和行业标准。最近，该公司发布了面向工业控制系统和物联网安全的威胁态势感知平台和漏洞挖掘云服务平台，试图解决工业控制系统网络安全和物联网安全的问题。
智能制造时代的创业机遇
中国过去以工业制造为核心的产业结构正在改变，早已经不再是“世界工厂”，国家开始把“智能制造”作为国家产业转型升级的一个必然的方向。国内一些企业已经加入智能制造的浪潮，海尔这两年先后建造了7家智能工厂，这对于匡恩网络这样的创业公司，是一个机遇。在国家发改委提出的《智能制造2025白皮书》中，从价值链、生命周期和系统架构三个纬度定义智能制造。李江力告诉钛媒体：其中，系统架构产业链包括设备层、控制层、管理层、企业层、网络层，在设备层和控制层，尤其需要植入工业控制网络安全基因。
在传统工业控制网络中，底层是设备层，包括仪表、电动机、机床等等，上一层是PLC、DCS，统控制机器运行；再往上是操作层，比如工作站、服务器等；然后是企业管理、企业数据；最顶端是企业层，比如企业OA、企业邮。
前三层和传统IT相关，四、五层是工业控制领域一个被忽视的地方。李江力说：“智能制造时代，底层的智能设备，实际上是控制层和设备层的一个智能化融合，很多控制器件和我们的设备融为一体了，比如机器人。”
机器人本身是自带智能控制的，同时它又是一个执行终端，而智能仪表，智能电机等还具有感知功能，把数据往上传，部分代替工业物联网的感知层。从感知层到管理层、企业层、云端，都需要工业控制系统的安全保护。所有底层设备，要实现自动化与智能化，必须依靠工业控制系统，工控系统一旦遭遇黑客攻击，像乌克兰的电力系统一样崩溃，网络战争的爆发会变得非常容易。
解决这些问题，是创业公司的机遇。
未来的工业控制风险有哪些？
美国工业互联网应急响应中心统计全球工控安全事件，基本上呈逐年递增态势，2015年是295件，2014年是245起。
再来看来自工信部互联网响应中心的数据：国内的漏洞，大概有65%以上是属于中高危的，有33%是属于高危的，漏洞的性质大部分还是一些信息泄露、跨站攻击、安全绕过。
李江力对钛媒体表示，他们向有关部门提出两个问题，一是工控设备的国产化率需要增加，第二个进口设备的安全检测需要有手段，发现漏洞他们需要解决办法。工控环境的风险，在现场控制层、监控层、生产层、运营层都存在。
比如，各网段之间可能缺乏有效的隔离，一些主机设备可能是一些弱口令，还有一些服务没有口令就可以登陆。一些OPC服务器配置错误造成数据被越权读取，很多设备的日志安全问题没有解决等等。一个工业控制安全距离的案例是：Havex病毒是针对OPC的漏洞的，Havex病毒首先干扰目标机，然后非法获取OPC的一些数据，黑客拿到数据之后会上传到数据端，进行非法操作。
李江力为工业控制系统的安全问题做了归纳：
首先是工控设备漏洞，其次是外国设备存在后门，比如说远程维护功能，一旦远程维护功能被人恶意利用，可能就是一个安全风险；以及针对工控环境的APT攻击，比如乌克兰电力事件，是典型的APT攻击事件。
其他还有无线技术的应用，比如说3G、4G、Wi-Fi，在方便现场使用的同时，也会带来安全的风险和数据丢失。
一个完整的安全网络体系是什么样？
匡恩网络试图搭建一个安全网络体系。工业网络安全保障体系需要考虑结构安全、本体安全、行为安全、基因安全和时间持续性保护。李江力说，匡恩网络的安全设计包括这几块：
首先是本体安全是指设备本身的安全性能，保证漏洞不出问题有，一个方法是原厂商直接打补丁，其次是给它额外加修补措施。
在结构安全方面，通过合理的区域划分，保障每个区域的安全。而乌克兰电力事件是黑客不断扫描尝试，最后达成攻击，这是很多行为的组合，需要安全保障系统对这些行为进行综合分析和统计。
基因安全是设备本身的安全属性，也被称为自主可控的安全性。这需要有国产的CPU、国产的操作系统、国产的芯片，还要加上辅助器件。此外还需要持续的安全管理和安全运营。
谈到时间持续性保护，就是建立长效的安全防护机制，在持续对抗中保障工业控制系统安全。从技术、设备、人员、管理等多个维度，实现综合安全服务能力，保障工业控制系统及关键基础设施全生命周期的安全性。
据李江力介绍，在不同的场合、区域之间，需要加入工业防火墙或工业网闸进行网络隔离，以及一些工业控制审计系统来审核网络行为的风险，由此得出报告，告诉用户什么地方出了问题、有异常流量需要怎么解决。