據CNNVD監測，2012年1～5月，我國新增安全漏洞2619個(ge) ，其中危急和高危漏洞1071個(ge) ，占到漏洞總量的41%

　　工業(ye) 控製係統(以下簡稱“工控係統”)的安全關(guan) 係到國民經濟重大行業(ye) 和關(guan) 鍵領域的安全，也關(guan) 係到國家安全。2010年伊朗爆發的“震網”病毒事件和2011年“震網”病毒再次發作向普通大眾(zhong) 展現了工控係統的安全性問題的嚴(yan) 重性。那麽(me) ，我國工控係統的安全防禦現狀如何？這些病毒對我國工控係統危害多大？采取何種措施應對？和利時係統工程有限公司技術總監朱毅明表示，大部分在役和在售的工控係統多是從(cong) 相對封閉的專(zhuan) 用計算機和網絡體(ti) 係發展而來，在體(ti) 係架構上偏重效率，抵禦病毒攻擊的能力較差。因此，對於(yu) 在役和在售的工控係統，適宜增加外置的加解密設備解決(jue) 安全隱患，對於(yu) 正在開發的係統，應在設備本體(ti) 內(nei) 解決(jue) 。

　　“震網”及類似病毒肆虐全球

　　“震網”等病毒帶來的威脅已經遠遠超出了以往任意一款計算機病毒給行業(ye) 、社會(hui) 、乃至國家帶來的威脅。

　　近年來，針對工業(ye) 控製係統的病毒“震網”、“Duqu”、“火焰”等不斷湧現，為(wei) 各國的基礎設施安全運行帶來了巨大隱患，引起了各國的高度重視。

　　據賽迪智庫信息安全所馮(feng) 偉(wei) 博士介紹，“震網”是第一款針對工控係統的病毒，具有極強的隱蔽性和破壞力，其主要為(wei) 攻擊伊朗核設施而專(zhuan) 門研製的。2011年底又發現了“震網”病毒的新變種Duqu病毒，其攻擊目標通常是工業(ye) 控製領域的元器件製造商。現在，又出現了迄今為(wei) 止威力最強大的電腦病毒“火焰”(Flame)，在中東(dong) 地區大範圍傳(chuan) 播。

　　朱毅明表示，“震網”病毒初始設計針對的某國際著名廠家的工控係統，已在我國能源、電力、通信、交通等多個(ge) 重要行業(ye) 和領域都有應用。這些病毒的可怕之處是通過工控係統作為(wei) 橋梁，將數字虛擬世界的威脅引入到真實物理世界，造成工業(ye) 基礎設施損壞、嚴(yan) 重社會(hui) 恐慌，而大部分在役和在售的工控係統在設計之初並未考慮信息安全問題，抵禦病毒攻擊的能力較差，總體(ti) 風險非常高。

　　“震網”等病毒帶來的威脅已經遠遠超出了以往任意一款計算機病毒給行業(ye) 、社會(hui) 乃至國家帶來的威脅。例如電廠，四方繼保自動化股份有限公司技術研究中心主任焦邵華博士介紹，針對工業(ye) 控製網絡的攻擊可能破壞反應器的正常溫度和壓力測控，導致反應器超溫或超壓，最終就會(hui) 導致衝(chong) 料、起火甚至爆炸等災難性事故，還可能造成次生災害和人道主義(yi) 災難。

　　工控係統病毒的可怕之處還在於(yu) 其呈現出的高級可持續的特點。馮(feng) 偉(wei) 表示，這些病毒可能會(hui) 持續幾周、幾個(ge) 月，甚至更長時間。據專(zhuan) 家判斷，2011年11月發生的伊朗導彈爆炸造成重要人員傷(shang) 亡事件，是因為(wei) 導彈電腦控製係統遭病毒感染，自動下令彈頭爆炸引起的。事件發生距2010年震網病毒爆發一年以上，足見此攻擊的持續性。而且，對“震網”、“Duqu”、“火焰”病毒源代碼的分析結果表明，這三種病毒一脈相承，其不以獲取用戶數據或經濟利益為(wei) 目的，而是特定國家的關(guan) 鍵基礎設施或者特定行業(ye) 的工控係統，攻擊旨在獲取係統中的敏感信息，或者摧毀關(guan) 鍵基礎設施運行。#p#分頁標題#e#

多數工控係統存有漏洞

　　國外產(chan) 品已占領大部分市場，如PLC國內(nei) 產(chan) 品市場占有率不到1%，衛星導航係統芯片95%依賴進口。

　　我國的工控市場過度開放，使得國外係統大麵積使用在我國的基礎項目中。四方繼保是我國電廠自動化係統的主要供應商，所研發產(chan) 品已在市場投入20年，具有完整的設備、係統軟件研發能力，完整的產(chan) 品線，並具有深厚的係統集成經驗，然而，焦邵華認為(wei) ，在現有的電廠自動化係統中，國外產(chan) 品、尤其是核心的自動化控製係統仍然占很大比例。

　　據了解，在西氣東(dong) 輸項目的400公裏中，其中僅(jin) 有180公裏克倫(lun) 管線采用了某國內(nei) 工控企業(ye) 的監控係統，其他無一例外全是進口的控製係統和設備。該企業(ye) 老總表示，作為(wei) 這一項目僅(jin) 有的一家國內(nei) 企業(ye) ，可以說他們(men) 創造了奇跡。但是如果換位思考，假如這是美國的西氣東(dong) 輸項目，他們(men) 絕對不會(hui) 用我國輸出的工控係統，就像華為(wei) 的服務器賣不進美國一樣。

　　國外產(chan) 品已經占領了大部分市場，如PLC國內(nei) 產(chan) 品的市場占有率不到1%，衛星導航係統的芯片95%依賴進口，其中80%來自美國。以某數控設備有限公司為(wei) 例，在硬件方麵，目前他們(men) 所生產(chan) 的產(chan) 品90%以上的元器件都使用國外品牌，其中最多的是X86芯片，這些係統有一部分已經被銷售到重要領域，廠商對此深表憂慮。沒有自主硬件和係統軟件的平台，很難實現工控行業(ye) 的自立，工業(ye) 信息係統的安全可控更無從(cong) 實現。

　　正如馮(feng) 偉(wei) 所說，大部分工控係統核心控製模塊從(cong) 國外引進，而國外工業(ye) 控製芯片、工業(ye) 控製係統產(chan) 品設計和配置等都可能存在漏洞。這些漏洞給予不法分子利用病毒進行網絡攻擊的機會(hui) ，極有可能造成嚴(yan) 重後果。

　　加密和身份識別可防攻擊

　　隨著信息技術和自動化控製的融合，運行數據采集與(yu) 監視控製係統(SCADA)已成為(wei) 黑客重點攻擊的目標。

　　隨著網絡化的發展，越來越多的工控係統連入企業(ye) 內(nei) 網和外網，也帶來了更多安全隱患。

　　早先，用於(yu) 控製生產(chan) 環節的自動化控製係統都是孤立的係統，隻有在所在企業(ye) 的控製室裏才可以對閥門、壓力等進行控製。隨著信息技術和自動化控製的融合，以及企業(ye) 管理的需求，越來越多的控製係統開始聯入企業(ye) 的內(nei) 部網，而企業(ye) 的內(nei) 網又由於(yu) 商務的需求和互聯網連在了一起，於(yu) 是提供了黑客通過互聯網入侵企業(ye) 內(nei) 網去盜取企業(ye) 商業(ye) 秘密的可能，進一步，還提供了黑客入侵控製係統去遠程控製生產(chan) 的可能。因為(wei) 在工控係統智能化、網絡化的情況下，係統廠商既可以對客戶所用大型設備進行遠程監測與(yu) 維護，也可以進行遠程幹預，這種運行數據采集與(yu) 監視控製係統(SCADA)已經成為(wei) 黑客重點攻擊的目標。#p#分頁標題#e#

　　朱毅明表示，近20年來，工控係統強調開放性，在係統中大量引入民用的COTS產(chan) 品，如Windows操作係統、關(guan) 係數據庫等，並廣泛使用以太網和TCP/IP協議。對於(yu) 大部分工控係統而言，簡單的DoS攻擊就可以使係統網絡完全癱瘓，造成工業(ye) 過程失控或裝置停機。大部分的工業(ye) 網絡和現場總線協議，廣泛使用MODBUS/TCP、CAN等明碼傳(chuan) 輸，沒有嚴(yan) 格的身份識別，報文很容易被偽(wei) 造。這種由相對封閉的專(zhuan) 用計算機和網絡體(ti) 係發展而來的工控係統，安全最薄弱的環節就落在了工業(ye) 網絡數據傳(chuan) 輸上，特別對於(yu) 大型SCADA係統，設備分散安裝，部分采用公網和無線網絡，更容易受到攻擊。

　　加密和身份識別是解決(jue) 工業(ye) 網絡數據傳(chuan) 輸的措施之一，但由於(yu) 工控係統大多采用嵌入式設計，CPU能力弱加密和身份識別需要耗費一定的資源。他建議，對於(yu) 在售係統和在役係統改造適宜增加外置的加解密設備解決(jue) ，而對於(yu) 正在開發的係統，應在設備本體(ti) 內(nei) 解決(jue) 。