接近裸奔的工控系統(tǒng)將面臨諸多威脅

臺(tái)積電遭病毒攻擊事件再次敲響了工業(yè)互聯(lián)網(wǎng)安全的警鐘。據(jù)臺(tái)積電方面確認(rèn)，此次病毒是勒索病毒W(wǎng)annaCry的變種。該病毒自去年5月肆虐全球，對(duì)150個(gè)國(guó)家的用戶造成超過(guò)80億美元的損失。臺(tái)積電事件主要是因?yàn)樾聶C(jī)臺(tái)安裝過(guò)程中發(fā)生的操作失誤：未先隔離并確認(rèn)無(wú)病毒的情況下聯(lián)網(wǎng)，導(dǎo)致病毒快速傳播，影響生產(chǎn)。

“臺(tái)積電事件雖然發(fā)生在工控系統(tǒng)內(nèi)，本質(zhì)實(shí)為一般病毒引起的操作站故障。但這次事件的發(fā)生也表明：即使是普通病毒的攻擊，也可造成嚴(yán)重的生產(chǎn)事故。如果是更強(qiáng)大的工控系統(tǒng)專有病毒，多數(shù)公司是沒(méi)有抵抗力的?！敝锌丶瘓F(tuán)創(chuàng)始人褚健接受《中國(guó)經(jīng)濟(jì)周刊》記者采訪時(shí)說(shuō)。

國(guó)內(nèi)工業(yè)互聯(lián)網(wǎng)第一股東土科技董事長(zhǎng)李平認(rèn)為，臺(tái)積電事件是對(duì)全世界、尤其是制造業(yè)大國(guó)中國(guó)的一個(gè)警示：“與民用互聯(lián)網(wǎng)不同，工業(yè)互聯(lián)網(wǎng)牽涉到國(guó)家安全等核心利益。因此，與民用通信相比，機(jī)器之間的工業(yè)通信的安全性要求也更高，除了安全技術(shù)標(biāo)準(zhǔn)高，還必須自主可控?！?/p>

在勒索病毒W(wǎng)annaCry的肆虐之下，即使是像法國(guó)雷諾這樣的大型汽車集團(tuán)為了防止勒索病毒感染擴(kuò)散也不得不因此被迫關(guān)停。

工業(yè)控制系統(tǒng)安全國(guó)家聯(lián)合實(shí)驗(yàn)室主任、360企業(yè)安全集團(tuán)副總工程師陶耀東接受《中國(guó)經(jīng)濟(jì)周刊》記者采訪時(shí)介紹，超過(guò)100個(gè)國(guó)家的上千萬(wàn)臺(tái)電腦被WannaCry病毒感染，很多系統(tǒng)癱瘓，“尤其是對(duì)工業(yè)生產(chǎn)系統(tǒng)造成的破壞尤為嚴(yán)重，法國(guó)汽車制造商雷諾集團(tuán)的部分生產(chǎn)線受到感染，為了防止勒索病毒感染進(jìn)一步在其生產(chǎn)內(nèi)網(wǎng)擴(kuò)散，其世界多處汽車生產(chǎn)線被迫關(guān)停?！?/p>

不止于此，羅馬尼亞汽車制造商達(dá)西亞公司位于米奧維尼的生產(chǎn)線部分IT系統(tǒng)也被勒索病毒感染，并隨即停止生產(chǎn)，關(guān)閉所有生產(chǎn)線，采取隔離、打補(bǔ)丁等各種措施防止病毒擴(kuò)散；日本汽車制造商N(yùn)ISSAN位于英格蘭的桑德蘭工廠同樣也遭到勒索病毒的攻擊，其生產(chǎn)也受到了影響。

在國(guó)內(nèi)，僅360企業(yè)處理過(guò)的勒索病毒感染事件，就涉及汽車生產(chǎn)、智能制造、電子加工、煙草等領(lǐng)域的10余家單位，規(guī)模最大的涉及2000多臺(tái)工業(yè)主機(jī)，重要生產(chǎn)線停產(chǎn)。在陶耀東看來(lái)，安全事件暴露出的主要問(wèn)題是企業(yè)的工業(yè)資產(chǎn)不清、工業(yè)網(wǎng)絡(luò)連接混亂、移動(dòng)介質(zhì)疏于管理、工業(yè)網(wǎng)絡(luò)缺少安全監(jiān)測(cè)防護(hù)措施以及員工網(wǎng)絡(luò)安全意識(shí)普遍不強(qiáng)等。

“這也是現(xiàn)狀，我國(guó)的工業(yè)系統(tǒng)普遍處于沒(méi)有任何防護(hù)手段的裸奔狀態(tài)，企業(yè)甚至不了解自己的工業(yè)系統(tǒng)資產(chǎn)以及系統(tǒng)之間如何互聯(lián)，對(duì)于勒索軟件危害與安全事件發(fā)展趨勢(shì)和應(yīng)對(duì)策略更是缺乏了解?！碧找珫|提醒，在勒索軟件攻擊日益頻繁、各類網(wǎng)絡(luò)危害日益嚴(yán)重的背景下，不排除將來(lái)爆發(fā)更大范圍的勒索類惡意軟件或網(wǎng)絡(luò)危害事件，甚至發(fā)展為以商業(yè)攻擊或破壞為目的、定點(diǎn)投放勒索或破壞類惡意軟件的攻擊方式，進(jìn)而可能給企業(yè)造成毀滅性打擊。

相較于消費(fèi)類互聯(lián)網(wǎng)，工業(yè)互聯(lián)網(wǎng)安全影響面更大。“臺(tái)積電遭攻擊屬于傳統(tǒng)互聯(lián)網(wǎng)威脅對(duì)工控系統(tǒng)的一次誤傷，而非典型的工控安全事件?！痹隈医】磥?lái)，典型的工控系統(tǒng)安全事件當(dāng)屬2010年伊朗的“震網(wǎng)事件”。報(bào)道稱，伊朗購(gòu)買的幾十臺(tái)離心機(jī)的工控系統(tǒng)多次被震網(wǎng)病毒攻擊而癱瘓，對(duì)其國(guó)家安全造成嚴(yán)重影響。

褚健說(shuō)，工控安全不同于傳統(tǒng)信息安全，針對(duì)工控系統(tǒng)攻擊的發(fā)起者通常存在一定的戰(zhàn)略目的，而非簡(jiǎn)單的利益需求。工控系統(tǒng)的攻擊分顯性和隱性兩種，顯性如破壞關(guān)鍵設(shè)備，隱性如長(zhǎng)期潛伏，篡改生產(chǎn)工藝，破壞產(chǎn)品品質(zhì)。前者會(huì)導(dǎo)致國(guó)家關(guān)鍵基礎(chǔ)設(shè)施受到破壞，引起社會(huì)恐慌，威脅國(guó)家安全；后者會(huì)對(duì)企業(yè)造成不可估量的損失，且不易被發(fā)現(xiàn)。“兩類攻擊都會(huì)破壞工控系統(tǒng)的原有控制邏輯，多數(shù)是有組織、有預(yù)謀、有針對(duì)性的‘特殊任務(wù)’?！?/p>

“我國(guó)曾經(jīng)發(fā)生過(guò)多次生產(chǎn)安全事故，但安全事件一般被認(rèn)為是操作失誤或者設(shè)備缺陷導(dǎo)致，很少?gòu)墓た匦畔踩慕嵌热シ治?。”褚健認(rèn)為，這恰好符合工控專有病毒(工控專有攻擊行為)的特征：以破壞生產(chǎn)安全為目的且十分隱蔽。工控專有病毒可直搗控制系統(tǒng)核心控制區(qū)域，在造成破壞的同時(shí)不留痕跡。他希望有關(guān)方面吸取教訓(xùn)，更加重視工業(yè)信息安全。

長(zhǎng)期關(guān)注工業(yè)互聯(lián)網(wǎng)發(fā)展的中發(fā)智造總裁邢鳳祥對(duì)《中國(guó)經(jīng)濟(jì)周刊》記者說(shuō)，很多工業(yè)領(lǐng)域的安全建設(shè)幾乎為零，聯(lián)網(wǎng)后的絕大部分工控系統(tǒng)是“零防護(hù)”裸露在互聯(lián)網(wǎng)中，極易成為病毒的主要攻擊目標(biāo)。面對(duì)已經(jīng)到來(lái)的數(shù)字時(shí)代和更多未知的安全威脅，如何構(gòu)建工業(yè)互聯(lián)網(wǎng)安全體系？

褚健認(rèn)為，要改變過(guò)去“先生產(chǎn)、再安全”的工控安全實(shí)施策略，要讓安全建設(shè)與工業(yè)互聯(lián)網(wǎng)同步發(fā)展。與此同時(shí)，從國(guó)防、工業(yè)等戰(zhàn)略安全角度去分析問(wèn)題，從工控系統(tǒng)安全產(chǎn)業(yè)與服務(wù)一體化的角度去解決問(wèn)題，防控工業(yè)互聯(lián)網(wǎng)安全風(fēng)險(xiǎn)。

需要注意的是，我國(guó)工業(yè)控制系統(tǒng)安全產(chǎn)業(yè)鏈尚未形成，缺少符合各層級(jí)工業(yè)企業(yè)和工程的工業(yè)信息安全整體解決方案，尤其是針對(duì)工控系統(tǒng)的安全。電廠電網(wǎng)、石油煉化、重大水利工程、城市與軌道交通、輸油管線、國(guó)防裝備以及其他重要基礎(chǔ)設(shè)施，目前仍大量使用國(guó)外控制系統(tǒng)。

“當(dāng)然，工控系統(tǒng)網(wǎng)絡(luò)安全問(wèn)題不能一概而論，建議從國(guó)家安全需求出發(fā)，對(duì)工控系統(tǒng)網(wǎng)絡(luò)安全進(jìn)行分類；建設(shè)國(guó)家級(jí)工控網(wǎng)絡(luò)靶場(chǎng)，提供開(kāi)放的環(huán)境體系化、全生命周期研究工控安全?！瘪医≌f(shuō)。

陶耀東也建議，工業(yè)企業(yè)要從戰(zhàn)略層面高度重視網(wǎng)絡(luò)安全，制定安全戰(zhàn)略，盡快開(kāi)展企業(yè)資產(chǎn)和脆弱性識(shí)別，進(jìn)行威脅建模。根據(jù)面臨的風(fēng)險(xiǎn)級(jí)別和企業(yè)的能力，采取措施以消除隱患；政府應(yīng)加強(qiáng)管理、監(jiān)督和指導(dǎo)，出臺(tái)相關(guān)安全方面的法律法規(guī)；工業(yè)控制系統(tǒng)生產(chǎn)商、集成商和服務(wù)商，信息安全廠商等要加強(qiáng)工業(yè)網(wǎng)絡(luò)安全研究和投入，提升保障能力。