施耐德電氣(中國)有限公司 工業事業部最終用戶業務部自動化技術支持中心經理 陳小淙

   隨著工業控制系統向網絡化、智能化發展，工業以太網等技術的應用使得工業控制系統從傳統的封閉系統演變到開放的系統，工業控制系統的信息安全問題也日益突出。

   工業過程控制系統信息安全現狀

   從當前中國信息安全工業行業現狀來說，中國工業控制系統信息安全研究起步較晚，對病毒、網絡攻擊等信息安全威脅重視不足，安全防范手段不到位，安全保障機制缺失，工業控制系統信息安全標準不健全。

   從最終用戶的角度來說，對于工業過程控制系統信息安全問題的認識和防范也存在嚴重的不足，表現為：沒有足夠的信息安全職位安置及培訓，不安全的邊界防火墻，計算機及軟件的補丁不充分，集團網絡及工廠網絡分離不充分，口令強度不夠，不必要的第三方產品設備，企業信息安全的文檔不充分。

   信息安全威脅的來源及類型

   安全威脅可以來自外部和內部 ，攻擊者包括: 員工、 激進分子/政府/勒索團伙、‘腳本小子’、 研究者 。攻擊原因 也多種多樣：如興趣、勒索/報復、商業間諜、國家間諜、意外等。

   常見的攻擊手段和漏洞包括：邏輯炸彈、拒絕服務、緩沖溢出、后門、口令攻擊、‘中間人’攻擊、重放攻擊、網絡釣魚、Rootkits、DNS / Bootp / 服務扮演、Web 跨站腳本攻擊 – XSS、Web 目錄遍歷、IP地址欺騙、MAC地址欺騙等。

   實現工業過程控制系統信息安全的建議

   實現工業控制系統信息安全需要多方的共同努力，作為供應商需要設計或提供具有信息安全特性的產品或解決方案，確保他們能使客戶遵守相應的信息安全標準，并給用戶提供實施安全的指導建議及方法。

   另外很重要的一方面是最終用戶需要制定信息安全制度 (組織架構的信息安全性保證)，指定相應的責任人(人員的信息安全保證)，并確保遵守相應的信息安全標準。

   實現信息安全不僅僅與產品相關，是涉及人員、制度、系統架構、產品等多方面的問題。

   實現工業過程控制系統信息安全需要多層保護，如信息安全計劃、 網絡分離，縱深防御是實現工業控制系統信息安全的最佳方法。縱深防御包括安全計劃、網絡分隔、邊界保護、網段分離、設備加固、監視與更新六大關鍵步驟。

   施耐德電氣的信息安全解決方案

   作為產品供應商，為保護用戶的工業控制系統信息安全，首先，施耐德建立了專門信息安全指導及漏洞信息的發布站點來為用戶提供相關信息，包括對于安全指導的白皮書、產品安全漏洞數據（漏洞清單、緩解/解決方案、補丁及固件更新、信息安全漏洞報告）、信息安全新聞、產品發布及更新等。

   其次，施耐德致力于為用戶提供安全的產品，目前新產品的開發都將依據工業信息安全標準，如Achilles 認證和ISA安全認證。對于沒有信息安全設計特性的老產品，我們建議用戶應用ConneXium Tofino防火墻保護。施耐德提供的安全網絡基礎設備有ConneXium 系列產品 ，包括Connexium Eagle 及 Tofino 防火墻。

   此外，施耐德還建立了信息安全認證實驗室，以對相關產品進行認證。施耐德還提供評估及設計服務，可以確認客戶系統中存在漏洞，根據確認的漏洞及威脅評估系統的風險，并為客戶提供建議，如架構、設備加固、培訓、處理等。

   施耐德還與安全評估的領導者、主要的安全標準提供者Wurldtech及SiS積極合作，共同幫助客戶應對工業工控系統信息安全問題。

   摘自《自動化博覽》2013年1期