5月12日20時左右，新型“蠕蟲式”勒索軟件“WannaCry”在全球爆發，波及范圍多達上百個國家，涉及能源、電力、交通、醫療、教育等多個重點行業領域。
但據記者了解，工業系統在此次危機中卻有驚無險。可業內人士表示，事實上，目前我國的工業控制系統安全防護能力還處在初級階段，極易受到黑客的攻擊。
正如此次暴發的WannaCry，萬一其變種傳播到工業系統主機，最糟糕的后果就是工控主機系統癱瘓，導致生產系統無法正常運行，也可能會導致爆炸等事故。
在兩化融合加劇的情況下，我國脆弱的工業控制系統急需受到保護。
安全隱患需警示
預警在前防范在先。在WannaCry爆發的第二天，國家工業信息安全發展研究中心就緊急發布《惡意勒索軟件WannaCry肆虐對我工業經信安全造成嚴重威脅》的預警通知，提到如果不加以防范和控制，勢必對我國工業領域信息安全造成極大威脅。
通知中提到，工業主機存在被攻擊的安全隱患。我國工業領域的工業主機（如操作站、工程師站、歷史服務器等）廣泛使用了Windows通用型操作系統，尤其是大量應用了默認開放445端口的Windows 2000和Windows XP系統，極有可能被WannaCry利用漏洞進行入侵攻擊，并迅速蔓延至工業企業內網甚至工業控制網絡，導致工業主機被加密鎖定以至于無法正常運行，甚至造成整個工業企業內網的癱瘓。
其次，工業企業相關敏感數據存在被鎖定、篡改和銷毀的風險。一旦中招，該勒索軟件可以對目標系統和設備中的數十種類型的文件加密，涉及文檔、數據庫、視頻、音頻、圖像、制圖、壓縮包等幾乎所有文件類型，可能導致工業企業生產運行等敏感數據無法正常采集和讀取，對工業生產造成嚴重經濟損失。
目前，多個國家的電力、石油、通信、交通運輸等領域受到嚴重影響，例如，西班牙電力公司Iberdrola、天然氣公司Gas Natural以及電信巨頭Telefonica等均遭受到勒索軟件的攻擊。通知中提到：“鑒于該惡意軟件傳播速度極快、影響范圍極廣，我重點工業領域已然受到波及，如若不加防范和控制，大范圍中招只是時間問題。”
事實上，由于“兩網”融合，傳統信息網絡所面臨的病毒、木馬、入侵攻擊、拒絕服務等安全威脅正在向工業控制系統擴散。北京和利時系統工程有限公司信息安全系統架構師劉盈介紹道，工業控制系統的網絡威脅源包括網絡病毒木馬攻擊、控制權限截獲、數據監聽及竊取、數據篡改、通信健壯性攻擊等。
具體而言，網絡病毒木馬攻擊包括惡意代碼、APT攻擊病毒、漏洞攻擊、后門服務等攻擊類型，通過已知的操作系統漏洞和后門、電子郵件攻擊和零日漏洞等方式對工控系統構成威脅；控制權限截獲則可通過操作系統或軟件漏洞獲取操作權限或更高級的權限、竊取或窮舉攻擊等手段暴力破解口令。
另外，劉盈還表示，工控系統大部分采用明文傳輸的方式，對于數據監聽缺乏防護能力，明文存儲的數據信息風險較大。不僅如此，控制系統通信健壯性薄弱，面對網絡攻擊易造成通信鏈路中斷，甚至面臨系統重啟的風險。
防御由被動轉向主動
當前，智能工廠和數字化車間成為智能制造的標配，也將新一代信息技術貫穿于設計、生產、管理、服務等制造活動的各個環節，信息深度自感知、智慧優化自決策、精準控制自執行等也成為智能制造的基本功能。
但需要強調的是，“智能制造的主要安全目標就是，保證系統功能不會失效和失控。”機械工業儀器綜合技術經濟研究所副所長梅恪強調說。
工業控制系統通常包括傳感器、轉換器、發射器、控制器、執行器等儀器儀表，工業控制系統就像是這些工業裝備的大腦，在它的指揮下，大量儀器儀表以子系統的形式進行組合，完成各種復雜的控制任務。
近年來，工業控制系統安全事故層出不窮。去年卡巴斯基安全實驗室就揭露了針對工控行業的“食尸鬼”網絡攻擊活動，攻擊通過偽裝阿聯酋國家銀行電郵，使用魚叉式釣魚郵件，對中東和其它國家的工控組織發起了定向網絡入侵。
此次WannaCry來襲，再次為工業控制系統的安全防控敲響警鐘。如何構建安全的防護體系，如何正確應對工業控制系統網絡安全問題，備受工業企業的關注。
“過去傳統的網絡安全模型是封、堵、查、殺的被動防御，而當前應該借鑒傳統防御方式建立主動防御體系。”劉盈說。
工業控制系統信息安全領域資深專家李鴻培也表示，從攻防對抗的角度，系統總會被攻破，也就是說，僅部署傳統的安全防護機制是不夠的。
“針對系統缺陷的攻防，攻方占盡先機。”李鴻培說，“防御成功的關鍵在于如何及時洞察系統中的安全缺陷，并盡早主動彌補。另外，如何盡早發現攻擊行為并及時處置，縮小系統被自由攻擊的時間窗口。”
對于信息安全防護關鍵技術，劉盈重點介紹了幾種，例如基于數字證書的身份驗證機制，對接入設備進行雙向驗證；采用對稱算法對系統通信數據進行加解密處理；以及訪問控制技術、入侵檢測技術、虛擬化隔離技術、可信啟動技術等。
中國能源建設集團有限公司工程研究院副院長許繼剛則以電廠為例表示，電廠信息安全的防范重點就是設置好三道重要防線，第一道是電廠信息系統與外部系統的安全防線；第二道是電廠控制系統與產品供貨商的安全防線；第三道是電廠控制系統與電廠信息系統的安全防線。
許繼剛還針對電廠的主要信息系統的信息安全防御重點指出，廠級監控信息系統（SIS）是電廠的運行數據中心，處于電廠所有自動化系統的中心位置，其防御重點就是必須切斷所有從實時或歷史數據庫讀取數據的用戶系統對SIS的入侵。
上述人士普遍認為，當前急需加大對工業控制網絡安全設備的投入，防止相關企業受到攻擊，避免造成巨大損失。
工控系統產業或迎“金海”
此次WannaCry來襲，許多網絡安全企業都在第一時間做出應急處置方案。總之，勒索病毒爆發，網絡安全產業再迎催化。
“超過80%的關鍵基礎設施依靠工業控制系統實現自動化作業，工業控制系統己廣泛應用于涉及國計民生的各領域，隨著網絡空間安全上升為國家戰略，工控網絡安全行業蘊含巨大的機遇。”北京匡恩網絡科技有限責任公司技術委員會主席兼首席戰略官孫一桉說。
國內網絡安全產業現狀究竟如何？中國網絡安全產業聯盟理事長沈繼業此前已做了幾點概括：一是產業規模小，廠商眾多并且背景多樣化，產品眾多，整體水平不高并且同質化嚴重；二是行業競爭激烈，不良物種侵入，產業生態遭到嚴重破壞。但與此同時，這又是一個熱門的行業，未來前景被各方看好。
事實上，我國工業控制系統規模巨大且嚴重依賴進口，智能化改造使得生產網絡從開放走向互聯，進一步加劇系統網絡安全威脅，而且大規模的新建工控系統依然缺乏網絡安全規劃和設計。
可喜的是，國家已經注意到這一情況，高度重視并開始部署一系列旨在提升我國工控系統網絡安全的舉措。中央網絡安全和信息化領導小組的成立，標志著我國進入了全面防護網絡空間安全的戰略時期。《中華人民共和國網絡安全法（草案）》和《中華人民共和國國家安全法》的相繼頒布，也使我國網絡安全立法達到了前所未有的高度。
在業界看來，工業控制系統產業方興未艾，誰先搶占這一片藍海，收獲的或許將是一片“金海”。
摘自《中國科學報》
