谈工业控制系统信息安全检查评估范文

摘要：工业化与信息化高度融合，工控系统开始不断遭受外来攻击，国内外越来越关注工控行业的信息安全，陆续相关政策与标准，以此来指导工控行业的信息安全防护工作。与此同时，工控安全检查与评估顺势成为工控信息安全防护工作的一个重要部分，通过安全检查与评估来预判工控系统存在的风险，从而最大程度上降低工控安全带来的损失。

关键词：脆弱性；安全检查；风险

引言

工业控制系统，简称ICS，主要包括分布式控制系统（DCS)、监控和数据采集控制系统（SCADA）及可编程逻辑控制器(PLC)等控制系统装置[1]。现在，ICS遍及于石化、电力、能源、冶金、水处理等行业。日前，两化融合战略的不断推进，加之物联网等新兴技术领域的拓展，工控系统安全随之受到企业的关注。在信息安全攻防战的阴影下，工控系统作为能源、电力、石化制造等国家命脉行业的关键基础设施，其运行环境势必会面临着持续攀升的安全风险。目前，对我国影响广泛的工业控制系统软硬件漏洞日益增多，从国家信息安全漏洞共享平台数据可以看出[2]，较之2010年，近年安全漏洞增长幅度约10倍，包括施耐德、西门子、三维力控和亚控等国内外知名工控系统制造商的软硬件产品。工控漏洞的不断涌现，势必会对工控系统增加风险，从而影响正常的工控生产秩序，甚至危及人员的健康和财产安全。

1政策法规

1.1国外政策法规

为应对关键信息基础设施面临的威胁和挑战，各国纷纷在战略布局、政策法规、标准规范和重点技术创新牵引等方面开展了一系列举措，以推动关键信息基础设施的整体安全保障能力。2003年12月，美国了《关键基础设施标识、优先级和保护》[3]；2006年6月，美国国土安全部了《国家基础设施保护计划》，该计划建有全球相对领先的体系及标准；2016年，美国国土安全部了关于物联网安全的准则，即《保障物联网安全的战略原则》。2013年，法国《国防和国家安全白皮书》，重点关注关键信息基础设施控制系统安全；2014年，欧洲网络与信息安全局（ENISA）《国家网络安全战略评估框架》，目的是加强欧洲各国网络安全防范能力，保护关键信息基础设施；欧盟2016年《欧盟网络与信息系统安全指令》。2013年，日本《网络安全战略》，提出要建立关键信息基础设施保护的评估认知机制和信息共享机制；日本建有关键信息基础设施攻防实景模拟基地，并进行实战演习。

1.2国内政策法规

2016年4月19日，主席发表重要讲话，“没有网络安全，就没有国家安全”[4]。2016年10月17日，工信部《工业控制系统信息安全防护指南》，提出十一大项安全防护指导要求，为工控企业开展工控安全防护工作提供了有力的指导依据。2016年11月7日，第十二届全国人大常务委员会第二十四次会议顺利通过了《中华人民共和国网络安全法》，自2017年6月1日起施行。2017年7月31日，工信部制定了一项关于工控评估的管理办法，即《工业控制系统信息安全防护能力评估工作管理办法》，以此来指导工控企业开展工控系统信息安全防护工作。

2检查方法

鉴于工业控制现场环境的独有特性，工控安全检查评估的方法主要包括文档审查、人员访谈、核查验证、现场查看、安全监测等。

2.1文档审查

主要包括自查工作开展、安全问题整改、被检工控系统运行情况、安全防护措施及策略信息等相关资料。

2.2人员访谈

经与企业相关员工进行交谈和问询，了解被检工控系统技术和管理方面的基本信息、近一个月至半年的运行状况，并对一些需要抽检的相关内容进行确认。

2.3核查验证

有些信息还需要经过上机确认并加以核实，例如，通过人员访谈和文档审核中获得的信息，需要进行上机核查验证。

2.4现场查看

对被检工控系统运行环境、运维工作环境等进行现场查看。

2.5安全检测

根据实际情况，检查人员按照相关要求对被检工控系统进行检测。包括：工控漏洞扫描于渗透测试、配置策略核查、记录并分析运行日志等。

3检查流程

根据工业现场的情况，结合工业现场的特性，一般来说检查流程主要包扩方案制定、准备、现场核查和总结分析四个阶段，具体如图1所示。

4安全评估内容

相较于安全检查，安全评估是对检查过程中系统暴漏的风险进行量化分析，主要包括资产评估、脆弱性评估、威胁评估及已有安全措施确认。

4.1资产评估

评估的根本目标就是为了保护工控资产，避免遭受威胁攻击。为了开展好评估工作，需要对资产进行合理分类，并对资产的管理情况进行详细掌握。阶段一：确定好工控检查的项目范围，然后对资产进行识别并加以分类，包括人员资料以及软硬件资产等。阶段二：进行资产识别、分类并赋值。

4.2脆弱性评估

脆弱性是系统资产所暴露的一个或多个弱点的特性，脆弱性评估是通过一定方法识别系统在技术与管理上所暴露脆弱性，并对其进行赋值的过程。技术脆弱性评估主要是通过文档、访谈或借助人工及工具等方式对工控系统的主机、网络等技术层次方面进行脆弱性识别并赋值。管理脆弱性评估主要是借助文档查阅、管理访谈等方式对人员安全管理、工控安全管理制度、工控安全管理机构等进行脆弱性识别并赋值[5]。

4.3威胁评估

除传统的信息系统威胁外，工控DCS控制系统的威胁或是来自智能仪表的传输数据非法篡改、或是来自移动介质的病毒对上位机的感染、或是来自网络中针对控制器通讯协议的攻击。通过威胁分析，找出信息系统或者DCS控制系统目前存在的潜在风险因素，并进行统计，赋值，以便于列出风险。

4.4已有安全措施确认

在对工控系统脆弱性识别的同时，也应该对已采取的安全措施进行相关确认。安全措施确认的核心主要在于安全评估是否有效，也就是能否确切地降低了工控系统的内在脆弱性，防御了外来威胁。为了防止不必要的工作和成本，应该继续保持合理有效的已有安全措施，避免重复实施安全措施[6]。当确认已有安全措施有不适当的情况，应对其核查验证，确定是否取消、实施修正，或采取更合适的安全措施进行替代[7]。

5工控系统风险综合分析

风险是一种潜在可能性或概率，是指某个威胁利用系统的脆弱性，引发某项资产或一组资产的损失，进而直接地或间接地给工控企业或机构带来一定的损失。因此，风险和系统的资产本身的价值、资产暴漏的脆弱性、外在威胁等直接相关[8]。资产评估、威胁评估及脆弱性评估是计算风险的准备条件，参照风险计算原理图，计算出外在威胁利用内在脆弱性导致安全事件发生的概率，综合分析资产价值及脆弱性的严重程度判断一旦发生安全事件将带来的损失，从而计算出风险值，风险计算原理如图2所示[9]。

6结语

近年来，随着两化融合的推进，工业控制系统也开始互联网化，给工作带来方便的同时，也随之带来一些安全风险和隐患。因而，对工业控制系统进行相关检查及评估显得尤为重要，本文结合国内外的相关政策标准，介绍了工业控制系统的常见检查方法、检查流程以及安全评估内容，希望对工控系统安全的发展有一定的推动作用。

参考文献：

[1]冯伟.我国工业控制系统面临的信息安全挑战及措施建议[J].信息安全与技术，2013.

[2]魏晓雷,刘龙涛.电力行业工业控制系统信息安全风险评估研究[J].信息安全研究，2018.

[3]苏晓娟,钟建强,毛钧庆.美国加强关键基础设施保障的主要举措探析[J].信息安全与通信保密，2014.

[4]李欲晓,谢永江.世界各国网络安全战略分析与启示[J].网络与信息安全学报，2016.

[5]胡士菱.如何做好信息系统安全风险脆弱性评估[J].信息系统工程，2009.

[6]张海霞.基于CVE的网络安全评估系统[D].哈尔滨理工大学，2008.

[7]侯红霞,刘建华,范九伦.电信网风险评估方法研究[J].网络安全技术与应用，2007.

[8]李增鹏,马春光,李迎涛.基于层次分析涉密信息系统风险评估[J].信息网络安全，2014.

[9]陈国凯.无线局域网环境下移动智能终端安全评估研究[D].南京师范大学，2015.

作者：曹国江 唐厚学 唐彭 胡金宇 单位：中国电子科技网络信息安全有限公司