摘 要 隨著信息化和工業化的不斷融合，大量的信息技術應用到工業領域，工控安全也越來越得到廣泛的關注，面對工控安全問題日趨嚴峻的今天，工控安全風險防范并不是一個簡單問題，它既需要安全產品、安全設施的技術支持，也需要自身習慣安全管理的不斷完善。本文將針對當前工控安全存在的幾個主要威脅為例，分析如何有效防控工控安全風險。

　　一、工控安全研究背景和意義

　　2016年10月21日，為美國眾多公司提供域名解析網絡服務的Dyn公司遭DDoS攻擊。Dyn公司在當天早上確認，其位于美國東海岸的DNS基礎設施所遭受DDoS攻擊來自全球范圍，嚴重影響其DNS服務客戶業務，甚至導致客戶網站無法訪問。直到2016年10月26日，全球感染Mirai的設備已經超過100萬臺，其中美國感染設備有418,592臺，中國大陸有145,778臺，澳大利亞94,912臺，日本和中國香港分別為47,198和44,386臺。

　　2015年12月23日，烏克蘭電力部門遭受到惡意代碼BlackEnergy(黑色能量)攻擊。供電企業在15時30分至16時30分同時遭到網絡攻擊，直接造成7個110千伏變電站和23座35千伏變電站停機,導致80000用戶斷電。2015年12月27日，攻擊者再次使用惡意破壞性程序，感染了烏3個地區的電力基礎設施，直接導致發電設備故障。

　　當前，工控安全問題日趨嚴峻，我們應始終將工控安全風險防控作為信息系統管理的首要任務，對內不斷自查、檢測，對外強化防控，提高信息科技風險管理水平，確保企業信息系統安全、穩健的運行。

　　二、電力工控安全面臨的主要威脅

　　生產控制系統與信息管理系統的連接通訊，使系統受到來自上層系統的安全威脅，網絡容易遭受惡意攻擊，并使危險事件、惡意攻擊行為等泛濫到其他區域。

　　無有效的安全管控措施，生產控制大區的非法外聯現象時有發生，部分生產控制系統中的終端對U盤和移動硬盤等無限制措施。

　　主站系統操作系統無法防范惡意代碼和惡意軟件攻擊，主站系統操作系統未安裝安全防護軟件。

　　系統網絡主機、服務器、網絡設備等，無賬號密碼復雜度要求，適用默認賬號和密碼的情況比較多，容易被入侵攻擊。

　　由于缺乏對管理和技術人員操作行為的有效安全監管和審計，誤操作或者惡意操作安全風險較大。

　　針對系統終端設備、網絡設備、網絡安全設備產生的日志，無完善的安全審計平臺，對網絡運行日志、操作系統運行日志、安全設備運行日志等進行集中收集、自動分析。

　　針對信息系統的管理分散且困難，無法實時、集中地管理工控系統中的網絡相關設備，無法整體把握生產和管理各大區的網絡狀況，實現針對系統統一的安全事態監控和態勢感知。

　　三、工控安全全面防控管理

　　(一) 完善管理體系

　　針對易發、頻發、多發的風險點進行調研、挖掘和分析，制定了相關規章制度及應急預案，并成立專項信息管理小組，明確分工、落實職責，實施實時監測系統漏洞，全面追蹤、分析和解決信息系統潛在問題，并對問題進行記錄、分類和索引，有效規避風險。強化業務經辦人員操作權限管理，對操作人員按照權限、責任范圍實行一人一key，嚴格的限制操作范圍，防止權限過于集中，避免出現管理空檔。

　　(二) 強化安全設施管理

　　1.內外網隔離

　　網絡系統由內部局域網和外部因特網兩個相對獨立部分組成，內部網專線與外部網為光纖，之間不存在物理上的連接，使來自Internet的入侵者無法通過計算機從外部網進入內部網，從而有效地保障了內部網重要數據的安全，業務核心系統實現了物理隔離。

　　2.防御架構

　　信息系統使用鏈路負載均衡架構，同時鋪設不同線路，形成雙回路網絡保險體系，同時，在每條專線前加入防火墻和防病毒服務器，鏈路必須先經防火墻過濾，在通過防病毒服務器，這種方式對內部數據有極大的安全性保護作用，穩定防護系統不受多重不定因數影響。

　　3.安全審計

　　在所需大區旁路鏡像部署安全審計平臺，通過監測、預警和審計三模塊實現對生產控制大區的工控系統和業務的安全狀態進行實時監測和安全事件分析，發現網絡中的異常，從全局角度進行安全事件實時分析處理， 為管理者提供網絡安全風險的實時告警性 提升工控網絡的風險防護深度。

　　4.主機安全防護系統(主機加固)

　　在重要終端主機部署主機安全防護軟件，對非安全操作系統進行有效的惡意代碼防護，打造系統本身的免疫系統。通過白名單方式對安全程序進行管理，防范非法程序和應用安裝運行以及未經授權的任何行為，同時控制U盤、移動硬盤等移動設備的使用，規范終端用戶操作行為。

　　(三) 安全技術應用

　　1.域名技術

　　由域名訪問代替原有IP撥號訪問方式，減少網絡抓包等危害工控安全的行為，提高網絡安全的整體水平，規避IP被攻擊風險，確保網銀系統風險可避、可控。

　　2.加密技術

　　針對系統數據重要性的不同，在數據加密環節，我們采用分區、分級的方式，對于系統中基本信息等非一級數據，采用系統底層MD5算法加密，其最大作用在于，將不同格式的大容量文件信息在用數字簽名軟件來簽署私人密鑰前壓縮成一種保密的格式，關鍵之處在于其壓縮是不可逆的，MD5加密技術中safety-belts的加密方式，可產生一個獨一無二的“指紋”，任何人對相應數據做過改動，對應的"數字指紋"就會發生變化;比如服務器針對一個數據預先提供一個MD5值，用戶使用這個算法重新計算下數據的MD5值，通過比較這兩個值是否相同，就能判斷下載的數據是否出錯，或者說數據是否被篡改。

　　3. 認證技術

　　系統中相對重要的核心數據，采用高強度密碼保護密鑰，支持USB Key硬件設備認證和軟件認證，關鍵信息散列保存，杜絕遺失;

　　(1)身份認證

　　身份認證是訪問控制的基礎,是針對主動攻擊的重要防御措施。身份認證必須做到準確無誤地將對方辨別出來,同時還應該提供雙向認證,即互相證明自己的身份。目前公司業務信息系統采用的是軟硬件相結合的高安全性較USBKEY認證方法，USBKEY是一種USB接口的硬件設備，用戶的密鑰或數字證書無需存于內存，也無需通過網絡傳播，這種方法，既大大增強了用戶使用信息的安全性采用，又很好地解決了安全性與易用性之間的矛盾。

　　(2)數字證書

　　數字證書采用公鑰體制，即利用一對互相匹配的密鑰進行加密、解密。每個用戶自己設定一把特定的僅為本人所知的私有密鑰(私鑰)，用它進行解密和簽名;同時設定一把公共密鑰(公鑰)并由本人公開，為一組用戶所共享，用于加密和驗證簽名。當發送一份保密文件時，發送方使用接收方的公鑰對數據加密，而接收方則使用自己的私鑰解密，這樣信息就可以安全無誤地到達目的地了。通過數字的手段保證加密過程是一個不可逆過程，即只有用私有密鑰才能解密。在公開密鑰密碼體制中，常用的一種是RSA體制。其數學原理是將一個大數分解成兩個質數的乘積，加密和解密用的是兩個不同的密鑰。即使已知明文、密文和加密密鑰(公開密鑰)，想要推導出解密密鑰(私密密鑰)，在計算上是不可能的。按當下計算機技術水平，要破解1024位RSA密鑰，需要很多年的計算時間。