辨清功能安全與信息安全

　　一提到工業控製係統(Industry Control System，以下簡稱為ICS)的信息安全，人們首先想到的就是2010年伊朗布什爾核電站遭到的“震網病毒”攻擊。

　　工業生產係統中相關安全事件層出不窮
，不僅影響到企業生產
，而且直接影響到企業財產、人身安全等國計民生問題。如：

　　· 2012年4月10日


，深圳遭遇十年來最大範圍停電事故，福田、羅湖、龍崗三個區停電兩個小時，經濟損失達8個億;

　　· 2013年11月22日


，中石化輸油儲運公司濰坊分公司輸油管線破裂

，直接經濟損失7.5億元。

　　而這些事件在自動化人的眼中不屬於信息安全問題
，而是功能安全問題。在國際標準IEC62443中描述
，一個完整的安全工控係統是由功能安全
、物理安全和信息安全三部分組成，上述事故以及企業生產環節中90%的事故都屬於功能安全問題。

　　在傳統的信息安全定義中，主要強調保密性、完整性和可用性，在IEC62443中對工控信息安全主要強調了五點，最重要的思想是強調保護一個係統所采用的額外措施，以防止對係統的非授權訪問及惡意攻擊。

　　功能安全與信息安全兩者邊界清晰，但互相關聯、相互影響、互相促進。功能安全的不完善會很容易被利用，進而導致信息安全問題。信息安全問題的暴露會促進功能安全的完善。IEC62443中非常清楚的闡述了傳統的信息安全與ICS信息安全的區別，隻有把這個本質看清楚了，才知道如何建設工控係統的信息安全工作，否則就容易偏離方向、班門弄斧。

　　工業4.0悄然啟動

　　說起工控係統的信息安全，必須看到工控係統的發展，以德國的Industrie 4.0為代表的第四次工業革命已經悄然而起。

　　德國人認為第四次工業革命是指：機械化+電氣化+IT技術+Internet技術。第四次工業革命就是第三次工業革命的成果上再加上互聯網技術。必須說明這裏所要求的互聯網是“Things and Services”的互聯網

，Things可理解為物和事情;Services泛指一切服務。所以，第四次工業革命首先要建設“物事互聯網”與“服務互聯網”。這意味著有史以來第一次將資源、信息、物事
、人和對這一切的服務進行互聯。在the Internet of Things and Services的支持下革新、改造整個工業及製造業。製造業中的智能機器、存儲係統和生產設施將融入the Internet of Things and Services中
，成為信息-物理係統(Cyber-Physical System，CPS)。

　　中國應該盡快地構建自己的第四次工業革命綱領——中國工業4.0
，盡快地在工業領域特別是製造業中構建起自己的CPS
，在係統各層麵實現信息與物理實體的融合，應該用中國的智能產品、智能生產流程主導中國的市場。

　　找準風險落實防護定位

　　由工業4.0可以看出，工控係統必將與信息化融合。

　　普度大學很早就提出了自動化的經典五層普度模型(如下圖所示)，這個模型其實把自動化與信息化已經關聯在了一起。

　    普度模型

　　工(gong)控(kong)係(xi)統(tong)的(de)信(xin)息(xi)安(an)全(quan)問(wen)題(ti)

，在(zai)各(ge)層(ceng)上(shang)都(dou)麵(mian)臨(lin)著(zhe)來(lai)自(zi)不(bu)同(tong)方(fang)麵(mian)的(de)威(wei)脅(xie)，詳(xiang)細(xi)如(ru)下(xia)圖(tu)所(suo)示(shi)。企(qi)業(ye)網(wang)的(de)管(guan)理(li)信(xin)息(xi)層(ceng)麵(mian)臨(lin)來(lai)自(zi)互(hu)聯(lian)網(wang)的(de)攻(gong)擊(ji)，也(ye)有(you)企(qi)業(ye)內(nei)部(bu)惡(e)意(yi)的(de)攻(gong)擊(ji)通(tong)過(guo)企(qi)業(ye)網(wang)進(jin)入(ru)工(gong)控(kong)網(wang)
，一(yi)直(zhi)到(dao)現(xian)場(chang)網(wang)絡(luo);在控製層有係統管理人員非法操作
，最嚴重的要屬第三方運維人員的對現場設備的操作;還有遠程撥號的攻擊，有部分現場還有野外搭線的威脅。

　　 國際NIST SP800-82《工業控製係統安全指南》中已經詳細描述了各種威脅來源

，也從策略程序、平台及網絡等方麵講述了可能的風險和脆弱性。

　　當然不同行業麵臨的威脅和風險重點不同，比如軍工行業主要強調工控網和涉密網連接時的信息保密;石化強調DCS係統生產的連續和非異常;電力強調SCADA調度係統的不中斷等等。

　　總zong體ti上shang，明ming晰xi麵mian臨lin的de風feng險xian才cai能neng進jin行xing有you針zhen對dui性xing的de防fang護hu。信xin息xi安an全quan防fang護hu的de整zheng體ti架jia構gou性xing必bi須xu要yao跟gen工gong業ye自zi動dong化hua體ti係xi保bao持chi一yi致zhi，方fang可ke成cheng為wei同tong一yi體ti係xi，因yin此ci在zaiGT/T 26335-2010工業企業信息化集成係統規範中提到了工業企業信息化集成總體架構。

　　無論是從普度模型還是工業企業信息化集成架構圖中都可以看出


，防護必須全方位考慮。例如，早在2005年
，電力係統的二次防護方案中就提出了“縱向隔離、橫向分區”的概念。

　　雖然工業4.0已經非常明確工業係統將會互聯網、物(wu)聯(lian)網(wang)化(hua)，但(dan)距(ju)離(li)現(xian)在(zai)各(ge)行(xing)業(ye)的(de)實(shi)際(ji)情(qing)況(kuang)還(hai)有(you)一(yi)段(duan)時(shi)間(jian)，但(dan)由(you)於(yu)事(shi)關(guan)生(sheng)產(chan)就(jiu)無(wu)小(xiao)事(shi)
，不(bu)能(neng)輕(qing)舉(ju)妄(wang)動(dong)。作(zuo)為(wei)信(xin)息(xi)安(an)全(quan)建(jian)設(she)方(fang)，要(yao)深(shen)入(ru)研(yan)究(jiu)工(gong)業(ye)網(wang)絡(luo)中(zhong)使(shi)用(yong)的(de)協(xie)議(yi)，以(yi)實(shi)現(xian)對(dui)工(gong)業(ye)網(wang)絡(luo)的(de)異(yi)常(chang)監(jian)測(ce)和(he)防(fang)護(hu)
，下(xia)表(biao)中(zhong)列(lie)出(chu)部(bu)分(fen)通(tong)訊(xun)協(xie)議(yi)：

　　 自動化係統建設方，則要深入借鑒信息安全的攻防知識、產品體係。

　　 信息安全產品體係

信息安全服務體係圖

　　工業控製係統信息安全關係國計民生
，尤其是在當前國際形勢嚴竣的情況下
，小至一名從事自動化安全、信息安全工作的個人，大到一個企業，都應本著“本主創新、自主掌控”的原則
，響應我們國家網絡安全領導小組提出的“向著網絡基礎設施基本普及、自主創新能力增強
、信息經濟全麵發展
、網絡安全保障有力的”目標不斷前進。

原文鏈接：http://sec.chinabyte.com/346/13007346.shtml