第24章 工控安全需求分析与安全保护工程
第24章 工控安全需求分析与安全保护工程
24.1 工控系统安全威胁与需求分析
工业自动化控制系统一般简称为工业控制系统或工控系统，其已经被列为网络安全等级保护2.0的重要保护对象。
24.1.1 工业控制系统概念及组成
工业控制系统是由各种控制组件、监测组件、数据处理与展示组件共同构成的对工业生产过程进行控制和监控的业务流程管控系统。工业控制系统通常简称工控系统（ICS）。工控系统通常分为离散制造类和过程控制类两大类，控制系统包括SCADA系统、分布式控制系统（DCS）、过程控制系统（PCS）、可编程逻辑控制器（PLC）、远程终端（RTU）、数据机床及数据系统等。
1. SCADA系统
SCADA是 Supervisory Control And Data Acquisition 的缩写，中文名称是数据采集与监视控制系统，其作用是以计算机为基础对远程分布运行的设备进行监控，功能主要包括数据采集、参数测量和调节。
2. 分布式控制系统（DCS）
DCS是 Distribution Control System的缩写。DCS是基于计算机技术对生产过程进行分布控制、集中管理的系统。DCS系统一般包括现场控制级、系统控制级和管理级两/三个层次。
3. 过程控制系统（PCS）
PCS 是Process Control System的缩写。PCS是通过实时采集被控设备状态参数进行调节，以保证被控设备保持某一特定状态的控制系统。
4. 可编程逻辑控制器（PLC）
PLC是Programmable Logic Controller的缩写。PLC主要执行各类运算、顺序控制、定时等指令，用于控制工业生产装备的动作，是工业控制系统的基础单元。
5. 主终端设备
MTU是 Master Unit的缩写。MTU一般部署在调度控制中心，主要用于生产过程的信息收集和监测，通过网络与RTU保持通信。
6. 远程终端设备（RTU）
RTU是Remoter Terminal Unit的缩写。RTU主要用于生产过程的信息采集、自动测量记录和传导，通过网络与MTU保护通信。
7. 人机界面（HMI）
HMI是Human-Machine Interface的缩写。HMI是为操作者和控制器之间提供操作界面和数据通信的软件 硬件平台。
8. 工控通信网络
工控通信网络是各种工业控制设备及组成单元的连接器，传统工业通信网络一般采取专用的协议来构建，形成封闭网络。
24.1.2 工业控制系统安全威胁分析
根据已发生的典型事件看，工控系统的安全威胁主要来自五个方面。
1. 自然灾害及环境
2. 内部安全威胁
3. 设备功能安全故障
4. 恶意代码
5. 网络攻击。
24.1.3 工业控制系统安全隐患类型
工业控制系统是由传统IT技术及控制技术综合形成的复杂系统，除了传统IT系统的安全隐患外，工业控制系统还具有其特定的安全隐患，主要安全隐患分析如下。
1. 工控协议安全
2. 工控系统技术产品安全漏洞
3. 工控系统基础软件安全漏洞
4. 工控系统算法安全漏洞
5. 工控系统设备固件漏洞
6. 工控系统设备硬件漏洞
7. 工控系统开放接入漏洞
8. 工控系统供应链安全
24.1.4 工业控制系统安全需求分析
工业控制系统的安全除了传统IT的安全外，还涉及控制设备及操作安全。传统IT网络信息安全要求侧重于“保密性--完整性--可用性”的需求顺序，而工控系统网络信息安全侧重于“可用性--完整性-保密性”需求顺序。工控系统的网络信息安全主要有技术安全要求和管理安全要求两方面。其中，技术安全要求主要包含安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心；管理安全要求主要包含安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理。
24.2 工控系统安全保护机制与技术
24.2.1 物理及环境安全防护
物理及环境安全是工控系统的安全基础。为保护工业控制系统的物理及环境安全，《工业控制系统信息安全防护指南》要求如下：
- 对重要工程师站、数据库、服务器等核心工业控制软硬件所在区域采取访问控制、视频监控、专人值守等物理安全防护措施。
- 拆除或封闭工业主机上不必要的USB、光驱、无线等接口。若确需使用，通过主机外设安全管理技术手段实施严格访问控制。
24.2.2 安全边界保护
为确保有安全风险的区域隔离及安全控制管理，工业企业就将工业控制系统划分为若干安全域。一般来说，工业控制系统的开发、测试和生产应分别提供独立环境，避免把开发、测试环境中的安全风险引入生产系统。
工业企业针对不同的安全域实现安全隔离及防护。其中，安全隔离类型分为物理隔离、网络逻辑隔离等方式。
24.2.3 身份认证与访问控制
工业企业的安全权限管理应遵循最小特权原则，对工业控制系统中的系统帐户权限分配最小化，避免权限过多，防止特权滥用。
《工业控制系统信息安全防护指南》对身份认证提出要求，具体内容如下：
（1）在工业主机登录、应用服务资源访问、工业云平台访问等过程中使用身份认证管理。对于关键设备、系统和平台的访问采用多因素认证。
（2）合理分类设置帐户权限，以最小特权原则分配帐户权限。
（3）强化工业控制设备、SCADA软件、工业通信设备等的登录帐户及密码，避免使用默认口令或弱口令，定期更新口令。
（4）加强对身份认证证书信息的保护力度，禁止在不同系统和网络环境下共享。
24.2.4 远程访问安全
远程访问为工业企业的管理及维护提供方便，但与此同时也引入网络安全问题，威胁者可以利用远程访问的安全缺陷入侵工控系统。《工业控制系统信息安全防护指南》要求如下：
- 原则上严格禁止工业控制系统面向互联网开通HTTP、FTP、Telnet等高风险通用网络服务。
- 确需远程访问的，采用数据单向访问控制等策略进行安全加固，对访问时限进行控制，并采用加标锁定策略。
- 确需远程维护的，采用虚拟专用网络（VPN）等远程接入方式进行。
- 保留工业控制系统的相关访问日志，并对操作过程进行安全审计。
24.2.5 工控系统安全加固
工控系统安全加固通过安全配置策略、身份认证增强、强制访问控制、程序白名单控制等多种技术措施，对工程师站、SCADA服务器、实时数据库等工控组件进行安全增强保护，减少系统攻击面。
24.2.6 工控安全审计
通过审计系统保留工业控制系统设备、应用等访问日志，并定期进行备份，通过审计人员帐户、访问时间、操作内容等日志信息，跟踪定位非授权访问行为。
24.2.7 恶意代码防范
《工业控制系统信息安全防护指南》对恶意代码防范的相关安全要求如下：
（1）在工业主机上采用经过离线环境中充分验证测试的防病毒软件或应用程序白名单软件，只允许经过工业企业自身授权和安全评估的软件运行。
（2）工业企业需要建立工业控制系统防病毒和恶意软件入侵管理机制，对工业控制系统及临时接入的设备采用必要的安全防护措施。
（3）密切关注重大工控安全漏洞及其补丁发布，及时采取补丁升级措施。在补丁安装前，需对补丁进行严格的安全评估和测试验证。
24.2.8 工控数据安全
为保护好工业生产数据，国家工业和信息化部颁发《工业数据分类分级指南（试行）》和《工业控制系统信息安全防护指南》。针对数据安全，指南要求对数据进行分类分级管理，具体防护措施相关要求如下：
（1）对静态存储和动态传输过程中的重要工业数据进行保护，根据风险评估结果对数据信息进行分级分类管理。
（2）定期备份关键业务数据。
（3）对测试数据进行保护。
24.2.9 工控安全监测与应急响应
目前，《工业控制系统信息安全防护指南》针对网络安全监测与应急响应的相关要求如下：
（1）在工业控制网络部署网络安全监测设备，及时发现、报告并处理网络攻击或异常行为。
（2）在重要工业控制设备前端部署具备工业协议深度包检测功能的防护设备，限制违法操作。
（3）制订工控安全事件应急响应预案，当遭受安全威胁导致工业控制系统出现异常或故障时，应立即采取紧急防护措施，防止事态扩大，并逐级报送直至属地省级工业和信息化部门，同时注意保护现场，以便进行调查取证。
（4）定期对工业控制系统的应急响应预案进行演练，必要时对应急响应预案进行修订。
（5）对关键主机设备、网络设备、控制组件等进行冗余配置。
24.2.10 工控安全管理
网络安全管理是工业控制系统的必要安全措施，技术安全实施依赖于安全管理到位。目前，国家《工业控制系统信息安全防护指南》针对安全管理的相关要求包括资产管理、安全软件选择与管理、配置和补丁管理、供应链管理等，其具体要求如下：
（1）建设工业控制系统资产清单，明确资产责任人，以及资产使用及处置规则。
（2）对关键主机设备、网络设备、控制组件等进行冗余配置。
（3）安全软件选择与管理。
（4）配置和补丁管理。
（5）供应链管理。
（6）落实责任。
24.2.11 工控安全典型产品技术
工业控制系统的安全产品技术除了传统的IT安全产品技术外，相关安全厂商也根据工业控制系统环境的特殊要求，研发了相关工控安全产品技术，主要有防护类型、物理隔离类型、检查类型、审计与监测类型、运维和风险管控类型等。
1. 防护类型
工控系统防护类型技术产品较多，典型技术产品有工控防火墙、工控加密、工控用户身份认证、工控可信计算、系统安全加固等。
2. 物理隔离类型
针对工控系统的不同安全区域，为实现更强的安全保护，通过物理隔离技术防止不同安全域的非安全通信。常见的技术产品有网闸、正反向隔离装置等。
3. 审计与监测类型
工控安全审计与监测类型产品技术用于掌握工控系统的安全状态，主要产品有工控安全审计和工控入侵检测系统。
4. 检查类型
工控安全检查类型产品技术主要有工控漏洞扫描、工控漏洞挖掘、工控安全基线检查等。
5. 运维和风险管控类型
工控运维和风险管控类型产品技术主要有工控堡垒机、工控风险管理系统等。
