《今日自動化》 上海工業自動化儀表研究院/繆學勤
眾所周知，2010年6月伊朗布什爾核電廠遭到“Stuxnet（震網）”病毒的攻擊，該病毒利用Windows操作系統漏洞，透過USB傳播，專門攻擊西門子公司設計制造的供水、發電等基礎設施的工業控制系統。經過大量數據的分析研究發現，“震網”蠕蟲病毒能夠尋找目標設施的控制系統，并且只有在指定配置的工業控制系統中才會被激活，從而控制被攻擊核電設施的冷卻系統或渦輪機的運作，最嚴重情況，病毒能控制關鍵過程并開啟一連串執行程序，可讓設施失控，最終導致整個系統自我毀滅。因為這種Stuxnet病毒的目標是攻擊核電站，所以被形容為全球首個“計算機超級武器”或“網絡炸彈”。受“Stuxnet”病毒的影響，同年8月，伊朗布什爾核電廠啟用后發生了一連串的故障。但由于發現早，并及時采取措施，沒有造成嚴重后果。但是，“震網”病毒事件，已充分反映出工業控制系統信息安全面臨著嚴峻的形勢。
伊朗遭遇第二輪網絡戰病毒攻擊
最近，多家國際計算機病毒防控機構先后發出警告，他們發現一種威力強大的網絡病毒“火焰”(Flame)正在中東地區大范圍傳播。其中，伊朗受病毒影響最嚴重。新型網絡病毒的目的是收集伊朗石油行業工廠企業關鍵信息，以配合正在對伊朗進行的石油戰。
研究表明，“火焰”病毒利用“視窗”操作系統漏洞侵入,可借助局域網絡、打印網絡和USB接口等傳播。這一病毒呈現木馬病毒和蠕蟲病毒的部分特征, 不會中斷終端系統,其目的只是收集情報。它實際是一個工具包，當計算機感染最初的“火焰”病毒后，計算機就會被安裝特定的任務模塊。這些特定的任務模塊可捕捉鍵盤敲擊、竊取密碼、刪除硬盤數據、自動截取屏幕信息、激活語音系統竊聽網絡電話和聊天內容，甚至利用藍牙功能竊取與被感染電腦相連的智能手機、平板電腦中的內容。然后再將竊取到的這些資料發送給遠程操控該病毒的服務器。病毒編寫者借助北美、歐洲和亞洲等地區大約80個服務器操控病毒，一旦完成搜集數據任務，這些病毒還可自行毀滅，不留蹤跡。以復雜程度和功能效力衡量,新現身的“火焰”病毒超過已知的任何一種計算機病毒。“火焰”是危險的間諜工具，可以用于攻擊關鍵的基礎設施。盡管伊朗宣布病毒被發現并得到有效遏制，但是早在今年4月，火焰病毒就竊取了伊朗石油行業工廠企業系統的大量信息，石油出口貢獻伊朗財政收入的80%，對經濟起至關重要作用。
防患未然，早日建立縱深防御體系
為了確保國家經濟安全，加強工業控制系統信息安全，工信部于2011年9月下發了（工信部協〔2011〕451號）《關于加強工業控制系統信息安全管理的通知》。通知指出工業控制系統廣泛運用于工業、能源、交通、水利以及市政等領域，用于控制生產設備的運行，一旦工業控制系統信息安全出現漏洞，將對工業生產運行和國家經濟安全造成重大隱患。隨著計算機和網絡技術的發展，特別是信息化與工業化深度融合以及物聯網的快速發展，工業控制系統產品越來越多地采用通用協議、通用硬件和通用軟件，以各種方式與互聯網等公共網絡連接，病毒、木馬等威脅正在向工業控制系統擴散，工業控制系統信息安全問題日益突出。
為了提高工業控制系統及其工業通信網絡的信息安全性，國際電工委員會從技術和管理兩個方面制定了IEC 62443 “用于工業過程測量和控制的網絡與系統信息安全”國際標準，標準規定工業控制系統分成5層，每層都要采取信息安全防護措施，以構成多層分布式縱深防御體系架構，如圖1所示。從圖中看出，在第5（企業）層，工廠企業防火墻用于保護整個企業防御Internet的安全威脅；在第3/4 (監控) 層，管理層到控制系統的具有DMZ隔離區的防火墻用于保護整個控制系統；在第1/2（現場設備）層，分布式安全組件則用于保護諸如PLC或DCS等關鍵設備。
根據上述信息安全標準的概念，德國菲尼克斯電氣公司研發了FL MGUARD工業信息安全組件，該組件可以使用在這種分布式架構中，它們保護部分系統網絡、每一個生產單元或一個單獨的自動化設備。FL MGUARD平臺是一個獨立的系統，該平臺可以直接集成到連接至工業網絡的工業計算機，若有需要，也可以PCI卡的形式完成集成。工業信息安全組件基于硬件的安全協議的實現既不需要修改計算機的配置，也不需要定期進行軟件升級，相對于被保護系統所使用的處理機和操作系統，它是完全獨立的系統，絕不會對系統產生負面影響。
由于采用的分布式安全系統架構是為每個工業系統的中央計算機、控制計算機或生產機器人分配一個其自身的工業信息安全組件，因而它具有獨立的安全等級，并特地配置了訪問權和其它方面的中央管理功能。工業信息安全組件使用被其保護的計算機相同的IP地址，因而它不會被入侵者識別，使它很難被發現，從而避免了隨之而來的攻擊。同時，該組件配置了基于Kaspersky Lab技術的病毒掃描器，用于監視數據源以識別協議中的病毒（如HTTP、SMTP和FTP），使得工業自動化系統能夠全面防御DOS、DDOS以及網絡病毒的攻擊。
目前，一些國家正在進行進攻性和防御性兩種網絡戰爭系統的研究。我國應當防患未然，從戰略高度考慮，按照國際標準嚴格要求工廠企業在信息安全建設之初，即根據業務發展的需要，明確風險狀況與安全需求、確立企業信息安全架構的藍圖及建設路線圖，根據實際情況和需要選擇相應的安全功能組件。從技術上實施系統的安全防護，工廠企業應設置多道安全防線，提高系統的入侵檢測能力、事件反應能力和快速恢復能力，形成綜合的、立體的網絡安全技術防護體系，使得重點領域工業控制系統信息安全走向縱深防御階段。
