一 工(gōng)控安全市場現(xiàn)狀

其實工(gōng)控安全并不是一個新課題，早在2006年8月，中國工(gōng)業設備網就刊發了(le)一篇文(wén)章《工(gōng)控軟件安全性的設計(jì)問題探讨》，文(wén)章中針對(duì)工(gōng)控軟件存在的信息安全問題提出了(le)針對(duì)性的解決方案，要求工(gōng)控軟件要在用(yòng)戶身份認證、訪問控制、操作(zuò)審計(jì)以及與殺毒軟件的兼容性等多方面采取解決措施。

這(zhè)樣一篇文(wén)章，當時(shí)并沒有引起業界很(hěn)多的關注。然而時(shí)隔8年之後，工(gōng)控安全在2014年忽然間就成爲了(le)大(dà)衆話(huà)題，從(cóng)年頭到(dào)年尾，各路英雄是你(nǐ)方唱罷我登台，恨不能(néng)一夜之間，将工(gōng)控安全市場炒個底朝天。

在這(zhè)一年裏，市場上(shàng)突然出現(xiàn)了(le)接近10家專業的工(gōng)控安全解決方案廠(chǎng)商;

在這(zhè)一年裏，工(gōng)控安全第一次以獨立論壇的方式亮(liàng)相2014中國互聯網安全大(dà)會(huì);

在這(zhè)一年裏，工(gōng)控安全産品發布會(huì)此起彼伏，威努特、海天炜業、啓明(míng)星辰、綠盟以及三零衛士陸續發布新産品;

在這(zhè)一年裏，工(gōng)控系統信息安全國家标準首次發布;

在這(zhè)一年裏，“工(gōng)業控制系統信息安全技術國家工(gōng)程實驗室”在電子部六所揭牌成立。

……

物聯網、工(gōng)業4.0以及兩化融合等國家政策的引導，讓衆多廠(chǎng)家都敏銳的感到(dào)了(le)工(gōng)控市場興起的前兆。總的來(lái)說，這(zhè)一年的确稱得上(shàng)是工(gōng)控安全元年!

工(gōng)控安全廠(chǎng)商現(xiàn)狀工(gōng)控安全廠(chǎng)商作(zuò)爲這(zhè)個市場中最重要、最活躍的推動力量，在工(gōng)控安全元年的各項重大(dà)活動中都扮演着非常重要的角色。

二 工(gōng)控安全真實情況

在過去一年裏，所有關于工(gōng)控安全的演講、文(wén)章中，出現(xiàn)最多的就是震網病毒和(hé)Havex。每逢論壇、展會(huì)，無一不講震網病毒。在2014年7月發現(xiàn)的Havex病毒，也(yě)很(hěn)快(kuài)被某些(xiē)廠(chǎng)商大(dà)肆加以宣傳利用(yòng)。

實際上(shàng)，震網病毒和(hé)Havex跟中國幾乎沒有直接關系，震網病毒主要破壞了(le)伊朗的核設施，而Havex病毒的影響也(yě)主要在歐洲。中國的工(gōng)控系統到(dào)底面臨哪些(xiē)實實在在的威脅，好(hǎo)像沒有人能(néng)真正說清楚。

中國有沒有工(gōng)控安全事(shì)件，有多少，影響如何?在國内由于這(zhè)類事(shì)件很(hěn)快(kuài)被處理(lǐ)，信息傳播被控制，公開(kāi)資料非常有限，在網上(shàng)幾乎搜索不到(dào)。筆(bǐ)者作(zuò)爲工(gōng)控安全的從(cóng)業者，通過跟衆多客戶的真實接觸，得到(dào)了(le)很(hěn)多一手的資料，在這(zhè)裏與大(dà)家分享。

2011年，某石化企業某裝置控制系統分别感染Conficker病毒，造成控制系統服務器與控制器通訊不同程度地中斷。

筆(bǐ)者曾出差到(dào)江蘇某地級市，該市自(zì)來(lái)水(shuǐ)公司将所有小(xiǎo)區(qū)泵站(zhàn)的PLC都通過某公司企業路由器直接聯網，通過VPN遠程進行控制訪問，實時(shí)得到(dào)各泵站(zhàn)PLC的數據;結果發現(xiàn)大(dà)量的PLC聯網狀态不穩定，出現(xiàn)時(shí)斷時(shí)續的現(xiàn)象。經過現(xiàn)場診斷，發現(xiàn)是PLC的TCP/IP協議(yì)棧存在明(míng)顯缺陷導緻，最後靠廠(chǎng)家升級PLC固件解決。

某大(dà)型石化公司，控制網内已經部署了(le)大(dà)量某外(wài)國品牌的工(gōng)業防火牆，以爲可以從(cóng)此高(gāo)枕無憂。但(dàn)實際情況卻是控制網内大(dà)量工(gōng)程師站(zhàn)、操作(zuò)員站(zhàn)感染了(le)大(dà)量病毒，導緻控制軟件運行緩慢，正常操作(zuò)無法進行。

2014年，某大(dà)型冶金(jīn)廠(chǎng)車間控制系統發現(xiàn)病毒，是因爲員工(gōng)在某一台工(gōng)作(zuò)站(zhàn)上(shàng)私自(zì)安裝娛樂軟件帶入在控制網擴散。

從(cóng)以上(shàng)筆(bǐ)者獲得的部分實際案例來(lái)看(kàn)，中國的工(gōng)控安全威脅長期以來(lái)就已存在，但(dàn)由于信息的曝光度不高(gāo)，并沒有獲得更高(gāo)層面的足夠重視(shì)。并且往往一些(xiē)簡單的電腦(nǎo)病毒，就能(néng)在企業工(gōng)控網内肆虐，對(duì)生産造成嚴重影響。

三 工(gōng)控安全問題根源分析

從(cóng)上(shàng)一章節我們可以看(kàn)出，我國的工(gōng)業控制網絡的确存在着較爲明(míng)顯的網絡安全問題，導緻這(zhè)些(xiē)問題的根源，主要可以概括爲以下(xià)幾個方面：

1)工(gōng)控系統以可用(yòng)性爲第一位，系統的穩定可靠運行是管理(lǐ)人員關注的重點。設備停車帶來(lái)的經濟損失、甚至人員傷亡事(shì)故是所有人不願意看(kàn)到(dào)的。這(zhè)就導緻了(le)對(duì)工(gōng)控設備的管理(lǐ)維護非常保守謹慎，工(gōng)作(zuò)人員隻會(huì)按照設備廠(chǎng)商的要求做已經驗證的、必要的軟硬件升級，而防病毒軟件、防火牆等網絡安全設備的軟硬件升級幾乎不予考慮。這(zhè)就給病毒、惡意程序以可乘之機，可以輕松繞過形同虛設的防火牆和(hé)病毒庫陳舊的殺毒軟件，直接攻陷對(duì)工(gōng)控系統至關重要的操作(zuò)控制主機。筆(bǐ)者一位長期從(cóng)事(shì)石化行業維護的朋友就說他(tā)們甯可工(gōng)作(zuò)站(zhàn)出了(le)問題重裝系統，也(yě)不敢升級系統補丁和(hé)病毒庫。

2)工(gōng)控系統的生命周期普遍較長，現(xiàn)場存在很(hěn)多老(lǎo)舊設備。這(zhè)些(xiē)老(lǎo)舊設備因爲曆史的技術所限，或多或少都存在一定的設計(jì)缺陷。在新的應用(yòng)條件下(xià)，一些(xiē)以前不太明(míng)顯的缺陷會(huì)暴露出來(lái)。比如上(shàng)一章節提到(dào)的PLC的TCP/IP協議(yì)棧缺陷問題，在以前的應用(yòng)中，PLC的通訊網口很(hěn)少會(huì)直接連接到(dào)互聯網，所以沒有發生這(zhè)類問題，是用(yòng)戶新的需求導緻了(le)問題的暴露。

3)工(gōng)廠(chǎng)對(duì)于信息類設備的管理(lǐ)流程和(hé)制度，往往也(yě)存在明(míng)顯漏洞。比如員工(gōng)個人的筆(bǐ)記本、U盤可以随時(shí)接入控制網絡，可以随時(shí)從(cóng)工(gōng)作(zuò)站(zhàn)拷貝資料到(dào)個人電腦(nǎo)等。這(zhè)些(xiē)操作(zuò)無疑會(huì)給工(gōng)控網絡帶來(lái)顯而易見的風(fēng)險——衆所周知(zhī)，Stuxnet震網病毒就是從(cóng)U盤流入完全隔離的伊朗核設施網絡的。

傳統的工(gōng)控網絡一直被認爲是一片祥和(hé)的“世外(wài)桃源”，彼此之間是一個完全信任的體系，“小(xiǎo)國寡民、夜不閉戶、路不拾遺”，當其不得不對(duì)外(wài)開(kāi)放(fàng)時(shí)，何來(lái)抵禦外(wài)來(lái)盜匪的能(néng)力?

四 工(gōng)控安全解決之道(dào)

首先，筆(bǐ)者先說明(míng)一下(xià)關于安全的三個概念：第一，安全不免費;第二，安全的最高(gāo)境界是感覺不到(dào)安全;第三，安全無僥幸。

安全不免費，這(zhè)個概念很(hěn)好(hǎo)理(lǐ)解，世上(shàng)沒有白(bái)吃的午餐，企業要想做安全就要做好(hǎo)投入的準備，這(zhè)個概念誰都同意，但(dàn)是很(hěn)多人就未必願意做。爲什(shén)麽呢(ne)?他(tā)會(huì)說以前我沒做安全也(yě)一直都運行的很(hěn)好(hǎo)，爲什(shén)麽還要花(huā)錢(qián)、花(huā)精力去搞這(zhè)些(xiē)。做個對(duì)比就很(hěn)好(hǎo)理(lǐ)解，以前國内有些(xiē)大(dà)山内的村子，家家戶戶根本沒有鎖的，但(dàn)是現(xiàn)在随着社會(huì)發展，交流增多，誰家還敢不上(shàng)鎖?

從(cóng)控制網發布的《2014年中國工(gōng)業控制系統信息安全藍皮書》數據看(kàn)，2014年狹義的工(gōng)控安全市場不足2億，隻占信息安全整體市場的1%!而作(zuò)爲對(duì)比，中國2014年PLC、DCS、SCADA等都有接近百億的市場規模，按IT行業通用(yòng)标準，安全産品及服務應該占整個信息化投入的8%~10%。即正常來(lái)講，工(gōng)控安全應該每年有20-30億投入，才能(néng)達到(dào)IT界平均的安全水(shuǐ)準。并且在工(gōng)控安全市場剛起步時(shí)，産品和(hé)解決方案都不完善，各個企業的投入并不平均，考慮“智豬博弈”的原理(lǐ)，那些(xiē)行業内的大(dà)企業需要先期投入更多。

第二個概念，安全的最高(gāo)境界是感覺不到(dào)安全。從(cóng)投入效益比來(lái)說，預防永遠比治療更劃算(suàn)。正所謂善戰者無赫赫之功，一個真正好(hǎo)的安全解決方案，是能(néng)夠把所有隐患消除在萌芽階段，讓使用(yòng)的人甚至完全感覺不到(dào)它在起作(zuò)用(yòng)。但(dàn)是，正如保健品永遠不如特效藥有名，一個真正好(hǎo)的安全産品也(yě)無法給用(yòng)戶那麽明(míng)顯的存在感。總之，我們這(zhè)個行業，不但(dàn)需要一批真正懂安全的賣家，也(yě)需要一批真正懂安全的買家。

第三個概念，安全無僥幸。既然安全又花(huā)錢(qián)效果又不明(míng)顯，是不是我們就可以不去做了(le)呢(ne)?事(shì)實告訴我們，這(zhè)種僥幸的心理(lǐ)是千萬要不得的。墨菲定律告訴我們，如果事(shì)情有變壞的可能(néng)，無論它的幾率多麽小(xiǎo)，它一定會(huì)發生。以震網病毒爲例，爲了(le)攻擊網絡完全隔離、隻能(néng)使用(yòng)U盤進行數據交換的伊朗核設施工(gōng)廠(chǎng)，在它被發現(xiàn)之前，它感染了(le)全球超過45000個網絡，6000萬台主機作(zuò)爲跳闆，互聯網時(shí)代的網絡攻擊就是如此恐怖。又比如Havex病毒，其後期對(duì)主要SCADA供應商的官網下(xià)載軟件進行了(le)挂馬的水(shuǐ)坑攻擊，使得很(hěn)多國家的電網、水(shuǐ)壩等設施中招，目前它的最終攻擊目标還不明(míng)。面臨着可自(zì)我複制，可通過多種途徑傳播的網絡病毒、木(mù)馬，企業網絡沒有一個自(zì)身強健的“免疫系統”，是一定要感冒的。所以，網絡安全是一定要做的。但(dàn)是想做新、做好(hǎo)很(hěn)難，可能(néng)需要很(hěn)多人、很(hěn)多廠(chǎng)家前仆後繼的投入，最後能(néng)夠活下(xià)來(lái)的就那麽幾家。技術和(hé)理(lǐ)念不能(néng)太超前，又不能(néng)不超前，這(zhè)個窗口是非常小(xiǎo)的。有這(zhè)麽一句話(huà)“我們隻領先别人半步，領先一步的都成了(le)烈士。”

在技術和(hé)理(lǐ)念上(shàng)，我們是怎麽做到(dào)領先别人半步的呢(ne)?作(zuò)爲一家繼承了(le)傳統IT安全廠(chǎng)家深厚技術積累，并對(duì)工(gōng)控安全有着自(zì)己深入研究的企業，威努特公司沒有簡單照搬傳統IT安全思維，而是以工(gōng)控系統安全的視(shì)角，針對(duì)工(gōng)控系統對(duì)可靠性、穩定性、業務連續性的嚴格要求，以及工(gōng)控系統軟件和(hé)設備更新不頻繁、通信和(hé)數據較爲特定的特點，提出了(le)建立工(gōng)控系統安全生産與運行的“可信網絡白(bái)環境”以及“軟件應用(yòng)白(bái)名單”概念，進而構築工(gōng)業控制系統的整體網絡安全“白(bái)環境”。

區(qū)别于傳統防護“黑名單”的方式，所謂“白(bái)”指的是好(hǎo)的、可信的，即隻有可信任的設備、軟件和(hé)數據，才允許在工(gōng)控網絡内部流通;其他(tā)惡意的、不明(míng)确的或者規定不允許的東西都不允許流通使用(yòng)。

●隻有可信任的設備，才能(néng)接入控制網絡;

●隻有可信任的消息，才能(néng)在網絡上(shàng)傳輸;

●隻有可信任的軟件，才允許被執行。

其次，要加強工(gōng)控企業對(duì)操作(zuò)維護人員的網絡安全意識的培訓，杜絕一些(xiē)高(gāo)危操作(zuò)的發生，如将個人U盤插入控制主機，将個人電腦(nǎo)連入控制網絡;讓每個員工(gōng)都對(duì)網絡安全有明(míng)确的認識，同時(shí)也(yě)有切實可行的操作(zuò)方式。

另外(wài)，要建立健全工(gōng)廠(chǎng)的整體網絡安全操作(zuò)規章制度，讓所有人的行爲都有章可循，有章可依，有章可查;把所有可能(néng)的隐患都列入制度的管理(lǐ)之中，這(zhè)樣才能(néng)保證網絡安全問題長治久安。

其實在安全領域，一個普遍的觀點是沒有100%的安全，再強大(dà)的産品、再完善的制度都有漏洞，都會(huì)被攻破。我們做安全的目的都不是防住所有的攻擊，而是盡可能(néng)提高(gāo)攻擊者的成本，使得攻擊者攻破安全防禦體系付出的代價遠遠高(gāo)于其可能(néng)獲得的利益。威努特構建工(gōng)控網絡“白(bái)環境”的解決方案既能(néng)最大(dà)限度保證工(gōng)控用(yòng)戶原有系統的可用(yòng)，又能(néng)有效利用(yòng)IT安全積累的成果，保證最大(dà)限度的安全性，能(néng)夠爲用(yòng)戶構建有效抵禦工(gōng)控系統攻擊的工(gōng)控安全防禦體系，爲客戶帶來(lái)工(gōng)控安全防護的真正價值。

結語：

中國到(dào)底需要什(shén)麽樣的工(gōng)控安全，這(zhè)個問題不但(dàn)是所有的工(gōng)控安全廠(chǎng)商應該考慮的問題，而且是所有相關從(cóng)業者都應該回答(dá)的問題。筆(bǐ)者在這(zhè)裏抛磚引玉，希望工(gōng)控安全不僅是大(dà)家讨論的焦點，更能(néng)早日形成真正的産業化。