中國自動化學會專家咨詢工作委員會指定宣傳媒體
新聞詳情
gkongbbs

數字時代需筑牢工控系統“安全堤”

http://m.casecurityhq.com 2021-06-02 16:10 來源:中國產業(yè)經濟信息網

近日,一個自稱黑暗面(DarkSide)的團體因攻擊美國科洛尼爾管道運輸公司(Colonial Pipeline),導致美國能源基礎設施遭遇了有史以來最具破壞性的網絡攻擊。美東多州宣布進入緊急狀態(tài),在國內掀起了囤油熱潮。最終,Colonial Pipeline公司不得不向黑客支付了440萬美元贖金。

此后不久,日本科技巨頭東芝的一家子公司公開承認受到“DarkSide”勒索軟件襲擊,超過740GB的數據被竊取,包括護照掃描和其他個人信息。

另據最新消息,美國最大的保險公司之一(CNA Financial Corp.)也因遭遇勒索軟件攻擊,被迫支付了4000萬美元贖金,以重新獲得對其網絡的控制權。該公司已確認這起攻擊的實施者是一個名為Phoenix的組織。

自2010年伊朗“震網”事件爆發(fā)以來,世界范圍內針對工業(yè)信息系統的網絡攻擊事件愈演愈烈。關系到國家關鍵基礎設施建設、國防安全和經濟安全的工控系統已成為網絡攻擊重點目標。面對數字時代新形勢,應該如何筑牢工控系統的安全堤壩?在近日召開的2021第四屆工業(yè)安全大會上,來自各行各業(yè)的專家對此進行了深入探討。

可信計算提高工控安全“免疫力”

一直以來,國家工控系統網絡安全都是一場沒有硝煙的戰(zhàn)爭。“考慮到工控系統的脆弱性和工業(yè)應用場景的特殊性,傳統網絡安全防護手段已經難以滿足工業(yè)控制系統安全需求。”寧波和利時信息安全研究院有限公司方案總監(jiān)穆雷霆指出。

中國工程院院士沈昌祥介紹稱,由于人們對IT的認知邏輯的局限性,不能窮盡所有組合,只能局限于完成計算任務去設計IT系統,必然存在邏輯不全的缺陷,從而難以應對人為利用缺陷進行的攻擊。因此,為了安全必須從邏輯正確驗證、計算體系結構和計算模式等方面進行科學計算創(chuàng)新,以解決邏輯缺陷被攻擊者所利用的問題,形成攻防矛盾的統一體。確保為完成計算任務的邏輯組合不被篡改和破壞,實現正確計算,這就是主動免疫防御??尚庞嬎銥闃嫿ㄖ鲃用庖叻烙軜嬏峁┝思夹g支撐。

可信計算是指計算運算的同時進行安全防護,全程可測可控,不被干擾,是一種運算和防護并存的主動免疫的新計算模式,以密碼為基因,實施身份識別、狀態(tài)度量、保密存儲等功能。它可以及時識別“自己”和“非己”成分,從而破壞與排斥進入機體的有害物質,相當于為計算機信息系統培育了免疫能力。

穆雷霆稱:“工業(yè)網絡安全應基于可信計算等主動防御技術,通過控制系統內嵌可信計算防護體系,可實現主動識別、主動度量和主動保護功能,增強自身防護能力。”

“網絡空間已經成為繼陸、海、空、天之后的第五大主權領域空間。沒有網絡安全就沒有國家安全,安全是發(fā)展的前提。”沈昌祥指出,“網絡空間安全是計算科學問題,是體系結構問題,也是計算模式問題。經過長期攻關應用,我國形成了自主創(chuàng)新安全可信體系,完備的可信計算3.0產品鏈,將形成巨大的新型產業(yè)空間。”

風險評估是安全狀態(tài)的試金石

根據工控典型風險評估案例分析,工控系統目前面臨十大主要安全風險,涉及網絡架構、工控協議、安全基線、安全漏洞、威脅感知、人員機構、安全管理、接入管理、物理環(huán)境、運維記錄等多個方面。工控系統安全不僅需要核心技術支撐,還需進一步加強安全防護能力建設,風險評估首當其沖。

國家信息技術安全研究中心牽頭、參與了核電網絡安全大檢查、某大型樞紐網絡安全驗收、工業(yè)互聯網分類分級試點、車聯網網絡安全檢測評估、數控機床網絡安全檢查等幾十項專項任務。通過對核電領域DCS系統、油氣管道SCADA系統、智能制造DNC系統的對比分析發(fā)現,各類系統基本都會存在服務器機房或控制器節(jié)點位置等物理環(huán)節(jié)風險。部分安全防護意識較差的機構,未將工控系統納入企業(yè)網絡安全管理體系或網絡安全防護規(guī)劃建設中,且未設專門人員負責工控網絡安全。此外,數據安全與技術防護方面也存在欠缺。

為此,國家信息技術安全研究中心總工程師王宏指出,工業(yè)控制系統涉及領域廣、業(yè)務場景豐富,系統類型差異巨大,因此,風險評估工作需要在網絡安全法律法規(guī)和標準要求下,根據工業(yè)控制系統實際特點,針對性開展評估工作。同時,要將目標系統模擬仿真環(huán)境測試與實際系統評估相結合,將未知漏洞挖掘與已知漏洞對標兩種檢測途徑相結合,加強評測環(huán)境選擇合理性。另外,要加強技術手段選擇的有效性,基于多種手段開展綜合評估,保障評估的有效性與完整性。

“網絡安全本質上是動態(tài)的平衡,沒有百分百的安全,也沒有一步到位的解決方案,它永遠在路上。風險評估是安全狀態(tài)的試金石,只有不斷發(fā)現目標系統的安全風險,才能促進系統網絡安全防護良性循環(huán)。”王宏談道。

貫標是工控安全政策標準落地、落實的基礎,旨在為工控安全防護領域提供技術、標準、人才等方面支撐。中國電子技術標準化研究院高級工程師李琳指出,要進一步提升工業(yè)企業(yè)工業(yè)控制系統信息安全防護水平,服務制造業(yè)高質量發(fā)展,應該在學習借鑒兩化融合貫標、數據管理能力成熟度評估等先進經驗基礎上,以貫標為抓手,推動工業(yè)企業(yè)工業(yè)信息安全防護工作的開展。

工業(yè)互聯網數據安全亟待加強

進入數字時代,工業(yè)互聯網數據日益成為提升制造業(yè)生產力、競爭力、創(chuàng)新力的關健要素。然而,在互聯開放的環(huán)境下,網絡攻擊路徑增多、難度降低,這導致數據安全風險進一步加劇。與此同時,新一代信息技術的廣泛應用與滲透,帶來了包括深度偽造、數據污染等在內的全新的數據安全風險。從數據采集、數據傳輸、數據存儲、數據使用的全生命周期各個環(huán)節(jié)來看,工業(yè)數據安全風險無處不在。

如何加強互聯網數據安全防護?國家工業(yè)信息安全發(fā)展研究中心標準質量處處長陳雪鴻認為,工業(yè)互聯網數據進行分類分級防護刻不容緩。應從工業(yè)互聯網數據全生命周期各環(huán)節(jié),細化防護方位及內容,從工業(yè)互聯網數據分類分級、通用安全、一級數據安全、二級數據安全、三級數據安全等方面的不同防護要求進行治理。

“未來是高度數字化的數字孿生世界,網絡安全風險遍布數字化所有場景。”360政企安全集團助理總裁兼工業(yè)安全事業(yè)部總經理李航談道,“傳統安全思路還停留在碎片化產品層面。我們應以工業(yè)數據為核心、資產為基礎,通過‘白+黑’的技術手段,打造工業(yè)安全‘三位一體’的縱深安全運營防護體系。”

美國歷史學家克拉克教授曾經說過:“人類歷史上只發(fā)生過一件事情,那就是工業(yè)革命。”現如今,中國已經到了從要素密集型、規(guī)模型的重工業(yè),向智能化、信息化、服務化的高端制造、智能制造轉型的新階段,工業(yè)安全成為一個繞不過去的重要話題。數字時代新形勢下,應該如何筑牢工業(yè)控制系統“安全堤”?長路雖漫漫,但未來仍可期。

版權所有 中華工控網 Copyright?2024 Gkong.com, All Rights Reserved