实战分享|工业现场工控网络安全风险总结

近年来，伴随着工业信息化及两化融合的快速发展，工控系统安全风险也日益严峻。安盟信息通过大量工业现场工控网络环境调研，整理以下几点工控系统安全问题及对应的解决办法，本文将针对目前工控网络安全重点风险进行探讨。

工控系统安全现状：

1、工业通讯协议问题：工控设备（如PLC、DCS等）以及工控协议普遍在设计之初较少考虑信息安全方面的问题。工控设备主要关注功能安全，系统的稳定性及可靠性问题；互联网通常通过加密、身份认证等方式来保障协议传输的安全性，如SSH、HTTPS协议。而工控协议基本采用明文方式传输，且缺少身份认证支持，这在传统IT领域是绝对无法接受的。比如工业控制系统常用的通讯协议：modbus
tcp，可以很容易从网上搜索到。

2、边界安全问题：工控系统在建设之初较少考虑信息安全问题。较早建立的工控系统很少有与外网进行信息交互的需求，随着"两化融合"、"互联网+"、"工业4.0"等概念的推进，工控系统与互联网的信息交互变得十分必要且频繁，工业现场通常使用方式为双网卡，这就把系统中隐藏的风险、漏洞暴露出来，同时也会引入新的风险。

3、工业计算环境：工业现场存在着技术升级、数据备份、工程备份等需求，同时对移动存储的管理比较松散，常常使用罚款进行代替。

工业现场的计算环境往往存在着带毒生产、使用传统杀毒软件的情况。带毒生产时病毒一旦发作，可导致工业现场生产停滞，给企业带来巨大经济损失。而使用传统杀毒软件容易造成误杀，尤其像工业现场使用SCADA/HMI软件、PI/PHD实时数据库、各类通讯服务组件等，其使用的各类动态库文件和可执行文件等关键程序组件是传统杀毒软件所不能识别的，一旦出现误杀或者沙箱隔离，造成工业软件无法正常运行或者某功能性缺失，产生生产事故。

4、人员的安全意识差：工业现场存在在工控机USB口上插入充电线给手机充电，而智能手机往往具备通过数据线使得计算机联网的功能，给工业计算环境带来安全风险。

针对以上工业通讯协议安全、边界安全、工业计算环境安全、人员安全意识问题，安盟信息结合多年工控安全领域实战经验，提出以下四点解决方案。

解决方案：

1、利用安盟华御工业防火墙的白名单策略及安盟华御工业安全审计系统工业协议深度审计，实现工业协议深度审计，从而解决工业通信协议问题。

2、在生产网与办公网（或互联网）间部署安盟华御工业安全隔离装置，取代双网卡机降低运维节点和成本，并提高边界安全指数。

3、生产网络终端主机设备部署安盟华御主机卫士产品，对USB口进行限制使用、白名单策略及一键固化的功能，完全杜绝误杀、沙箱隔离各类动态库文件和可执行文件等关键程序组件的风险。

4、利用安盟华御工控网络安全态势感知平台，以大数据安全分析技术为基础，实现工业资产集中管理、威胁统一分析与运营、工艺异常行为建模与分析、日志集中管理与分析、设备集中管理与监控等核心功能，帮助工业企业集中管理工业资产、全面持续监测安全风险、可视化分析安全态势，形成工业企业的工控安全微态势。

5、通过安全管理制度及安盟信息专业工控安全服务，助力提升工业企业从业人员的安全意识。