深度解讀工控安全技術(shù)發(fā)展現(xiàn)狀與應(yīng)用趨勢

近年來，工業(yè)自動化控制系統(tǒng)和工控網(wǎng)絡(luò)的安全事件頻發(fā)，造成巨大的經(jīng)濟(jì)損失和信息泄露等嚴(yán)重問題。本文將分析工控安全技術(shù)發(fā)展現(xiàn)狀，盤點(diǎn)國內(nèi)外工控安全主流廠商發(fā)展態(tài)勢，分析我國工控安全市場發(fā)展現(xiàn)狀，展望未來工控安全技術(shù)的發(fā)展與應(yīng)用趨勢。 ? 中國專精特新“小巨人”與德國“隱形冠軍”培育政策研究? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?本文作者：李靜怡、王聰

近年來，工業(yè)自動化控制系統(tǒng)和工控網(wǎng)絡(luò)的安全事件頻發(fā)，造成巨大的經(jīng)濟(jì)損失和信息泄露等嚴(yán)重問題。根據(jù)國家工信安全中心的數(shù)據(jù)統(tǒng)計，2022年公開披露的工業(yè)信息安全事件共312起，勒索軟件攻擊持續(xù)威脅工業(yè)信息安全、工業(yè)數(shù)據(jù)泄露事件影響進(jìn)一步擴(kuò)大、供應(yīng)鏈攻擊加劇安全威脅。同時，地緣政治沖突推動了安全風(fēng)險的持續(xù)升級，如何有效防范此類事故成為工業(yè)企業(yè)關(guān)注的焦點(diǎn)。

本文將分析工控安全技術(shù)發(fā)展現(xiàn)狀，盤點(diǎn)國內(nèi)外工控安全主流廠商發(fā)展態(tài)勢，分析我國工控安全市場發(fā)展現(xiàn)狀，展望未來工控安全技術(shù)的發(fā)展與應(yīng)用趨勢。

工控安全面臨嚴(yán)峻挑戰(zhàn)

工業(yè)控制系統(tǒng)是指用于監(jiān)測和控制工業(yè)生產(chǎn)過程的設(shè)備和軟件，如可編程邏輯控制器（PLC）、人機(jī)界面（HMI）、分布式控制系統(tǒng)（DCS）等。工業(yè)控制系統(tǒng)廣泛應(yīng)用于電力、石油、化工、交通等關(guān)鍵基礎(chǔ)設(shè)施領(lǐng)域，對國家安全和社會穩(wěn)定具有重要意義。然而，隨著工業(yè)控制系統(tǒng)不斷走向數(shù)字化、網(wǎng)絡(luò)化和智能化，面臨著越來越多的網(wǎng)絡(luò)威脅，一旦工業(yè)控制系統(tǒng)遭到網(wǎng)絡(luò)攻擊，可能導(dǎo)致嚴(yán)重后果。因此，加強(qiáng)工控安全的防護(hù)和應(yīng)急能力是制造業(yè)的重要課題。以下是一些典型的工控安全事件：

◎ 2014年，德國蒂森克虜伯公司遭到黑客攻擊，導(dǎo)致高爐無法正常關(guān)閉，造成嚴(yán)重的損失。黑客利用社會工程學(xué)手段獲取鋼廠員工的憑證，然后入侵鋼廠的辦公網(wǎng)絡(luò)和生產(chǎn)網(wǎng)絡(luò)，并篡改高爐的控制參數(shù)，使其無法按照預(yù)定程序停止。

◎ 2017年，全球著名半導(dǎo)體廠商臺積電遭到WannaCry勒索軟件攻擊，導(dǎo)致部分生產(chǎn)線停產(chǎn)，損失超過2億美元。WannaCry勒索軟件是利用微軟Windows系統(tǒng)漏洞進(jìn)行傳播和加密文件的惡意軟件，要求受害者支付比特幣贖金才能解密文件。該廠商由于沒有及時更新系統(tǒng)補(bǔ)丁，導(dǎo)致部分設(shè)備感染了勒索軟件。

◎ 2020年，日本的一家汽車廠商遭到Snake勒索軟件攻擊，導(dǎo)致部分生產(chǎn)線停止運(yùn)作，影響全球業(yè)務(wù)。Snake勒索軟件是一種針對工業(yè)控制系統(tǒng)的惡意軟件，可以識別并加密與工業(yè)控制系統(tǒng)相關(guān)的文件和進(jìn)程，并刪除副本和備份文件，使數(shù)據(jù)恢復(fù)變得困難。

圖1 ?2022年十大典型工業(yè)信息安全事件

（數(shù)據(jù)來源：國家工信安全中心）與IT網(wǎng)絡(luò)安全相比，工控安全有很大的不同：首先，工業(yè)系統(tǒng)的目標(biāo)價值更高，其安全系統(tǒng)的復(fù)雜程度也遠(yuǎn)遠(yuǎn)高于傳統(tǒng)的IT網(wǎng)絡(luò)系統(tǒng)，在保障目標(biāo)對象、安全需求等方面也具有其特殊性，其保護(hù)需求往往融合考慮了信息安全、功能安全和生產(chǎn)安全等多種安全需求。這也導(dǎo)致了工控系統(tǒng)易于成為攻擊和勒索的目標(biāo)，根據(jù)國家工信安全中心發(fā)布的《2022年工業(yè)信息安全態(tài)勢報告》顯示，2022年公開披露的工業(yè)領(lǐng)域勒索事件共89起，較2021年增長78%，再創(chuàng)新高。其中電子制造行業(yè)遭勒索攻擊最多，占比約23%。例如2022年初臺達(dá)電子遭勒索攻擊，導(dǎo)致1,500臺服務(wù)器和12,000臺電腦控制設(shè)備被攻擊者加密，受影響的設(shè)備占了整體約20.8%，被勒索贖金1,500萬美元。

其次，工控系統(tǒng)受研發(fā)設(shè)計、生產(chǎn)制造等工業(yè)數(shù)據(jù)高價值驅(qū)動，相關(guān)行業(yè)的數(shù)據(jù)泄露風(fēng)險近年來持續(xù)攀升。根據(jù)Verizon發(fā)布的《2022數(shù)據(jù)泄漏調(diào)查報告》顯示，2022年全球制造業(yè)發(fā)生的數(shù)據(jù)泄漏事件共338起，比去年增長了25.2%。并且數(shù)據(jù)泄漏影響呈連鎖反應(yīng)之勢，許多攻擊者會在“暗網(wǎng)”上公開敏感數(shù)據(jù)，允許被任意下載，供其他攻擊者進(jìn)一步利用數(shù)據(jù)實施犯罪。第三，工控安全風(fēng)險造成的后果更為嚴(yán)重，不僅會造成設(shè)備故障、系統(tǒng)癱瘓、生產(chǎn)停滯，甚至還能引發(fā)安全事故，造成環(huán)境污染，導(dǎo)致人員傷亡。去年俄烏沖突升級推動了大規(guī)模、有組織的黑客攻擊事件，使工業(yè)領(lǐng)域威脅格局發(fā)生重大變化，針對國防工業(yè)領(lǐng)域的高級可持續(xù)攻擊（APT）向全球蔓延，特別是能源行業(yè)被鎖定為重點(diǎn)攻擊目標(biāo)。例如去年烏克蘭能源公司DTEK、俄羅斯石油生產(chǎn)商Rosneft、石油管道運(yùn)輸公司Transneft、天然氣公司GazpromNef等均遭到黑客攻擊，導(dǎo)致大量數(shù)據(jù)被竊取，生產(chǎn)運(yùn)營遭受嚴(yán)重影響。

可以看出，隨著工業(yè)領(lǐng)域數(shù)字化、網(wǎng)絡(luò)化、智能化與服務(wù)化的加速發(fā)展，網(wǎng)絡(luò)安全威脅正向工業(yè)領(lǐng)域加速滲透，網(wǎng)絡(luò)攻擊手段日趨復(fù)雜多樣，工控安全整體面臨的挑戰(zhàn)也日益嚴(yán)峻，突出表現(xiàn)在以下方面：

1.封閉的OT環(huán)境走向開放促使風(fēng)險加劇

隨著工業(yè)企業(yè)加速應(yīng)用各種數(shù)字化解決方案和工具，原本封閉的OT環(huán)境正走向開放，工業(yè)控制系統(tǒng)邊界逐漸模糊，傳統(tǒng)信息網(wǎng)絡(luò)所面臨的病毒、木馬、入侵攻擊、拒絕服務(wù)等安全威脅也正在向工業(yè)控制系統(tǒng)擴(kuò)散。其中，企業(yè)系統(tǒng)門戶洞開，未建立安全防線、缺少工業(yè)控制系統(tǒng)信息安全仿真驗證環(huán)境，工業(yè)控制系統(tǒng)“帶病上崗”等安全狀況層出不窮。

2.工控設(shè)備和系統(tǒng)基礎(chǔ)防護(hù)能力薄弱

工業(yè)安全相較于傳統(tǒng)信息安全而言，呈現(xiàn)出“倒三角”（底層設(shè)備復(fù)雜，上層管控單一）的特點(diǎn)。許多控制設(shè)備及系統(tǒng)在設(shè)計之初更傾向于確保其實際功能，在安全防護(hù)方面反而考慮較少，導(dǎo)致OT設(shè)備及系統(tǒng)普遍存在安全漏洞，控制協(xié)議、控制軟件等也缺少諸如認(rèn)證、授權(quán)、加密等安全功能，整體先天具有脆弱性。

3.企業(yè)對于工控安全重視程度不高

工業(yè)企業(yè)普遍存在重發(fā)展、輕安全的現(xiàn)象，對工業(yè)信息安全缺乏足夠的重視，大多僅停留在表面以及口號上，缺乏有效的信息安全管理機(jī)制與應(yīng)對措施，資金與人員投入也不足，造成工業(yè)信息安全防護(hù)能力滯后于工業(yè)發(fā)展能力。IBM Scecurity曾針對370家擁有OT環(huán)境的工業(yè)企業(yè)進(jìn)行了調(diào)研，結(jié)果顯示有74%的受訪者沒有進(jìn)行OT風(fēng)險評估；78%的受訪者沒有針對OT系統(tǒng)的特定安全策略。這意味著絕大多數(shù)工業(yè)企業(yè)都并未就如何應(yīng)對OT網(wǎng)絡(luò)安全風(fēng)險做好準(zhǔn)備，一旦遭遇網(wǎng)絡(luò)威脅和攻擊，很容易因此受到嚴(yán)重影響。

4. 安全人才缺乏，安全技能有限

對于很多工業(yè)企業(yè)而言，既懂信息安全又熟悉工業(yè)系統(tǒng)環(huán)境的專業(yè)人員嚴(yán)重匱乏，制約著信息安全意識與防護(hù)技術(shù)的提升；另一方面由于工控設(shè)備須保證7*24小時高可用性，往往不允許頻繁調(diào)試，即使發(fā)生了設(shè)備故障或者安全事故也必須在極短的時間內(nèi)恢復(fù)，也增加了工控安全防護(hù)上的困難。

圖2 工控安全面臨的四大挑戰(zhàn) ?

工控安全技術(shù)發(fā)展概覽

工控安全體系的演進(jìn)

工控安全建設(shè)主要經(jīng)歷了三個發(fā)展階段：邊界隔離階段、單點(diǎn)防護(hù)階段和縱深防護(hù)階段。

第一階段：邊界隔離階段。在這一階段，工業(yè)企業(yè)開始關(guān)注工控系統(tǒng)的安全運(yùn)行，安全防護(hù)重心主要在網(wǎng)絡(luò)邊界隔離，通過防火墻、安全網(wǎng)關(guān)及專用網(wǎng)閘等安全設(shè)備將生產(chǎn)網(wǎng)、辦公網(wǎng)及互聯(lián)網(wǎng)進(jìn)行有效隔離等。這一階段的工控安全產(chǎn)品和能力建設(shè)還處于早期階段，用戶對應(yīng)用專業(yè)工控安全產(chǎn)品的意識也剛剛起步。

第二階段：單點(diǎn)防護(hù)階段。在這一階段，工控安全產(chǎn)品應(yīng)用開始成熟，企業(yè)在實現(xiàn)工控安全邊界隔離的基礎(chǔ)上，開始通過部署單點(diǎn)式工控安全產(chǎn)品來提升安全防護(hù)水平并解決監(jiān)管合規(guī)的要求。單點(diǎn)防護(hù)產(chǎn)品基本技術(shù)架構(gòu)逐漸成型，產(chǎn)品形態(tài)也趨于成熟和完善，能力基本可以覆蓋工控系統(tǒng)的基礎(chǔ)設(shè)施安全、體系結(jié)構(gòu)安全、系統(tǒng)自身安全、安全可信防護(hù)等方面。

第三階段：縱深防護(hù)階段。網(wǎng)絡(luò)安全需要體系化防護(hù)已成行業(yè)共識，在工控安全領(lǐng)域，從單點(diǎn)安全能力建設(shè)轉(zhuǎn)向體系化縱深防護(hù)也是行業(yè)發(fā)展的必然趨勢。工業(yè)企業(yè)在業(yè)務(wù)發(fā)展和技術(shù)進(jìn)步的驅(qū)動下，在單點(diǎn)防護(hù)逐步完善的基礎(chǔ)上，需要盡快考慮如何以體系化管理、自動化運(yùn)維、智能化感知等方式來建立工控安全的縱深防御體系，并考慮如何在工業(yè)互聯(lián)網(wǎng)環(huán)境下應(yīng)對工控安全的新形態(tài)。

圖3 工控安全建設(shè)發(fā)展演進(jìn)

工控安全關(guān)鍵核心技術(shù)

工控系統(tǒng)安全的核心任務(wù)是保證生產(chǎn)操作指令正確下達(dá)、實時有效，并確保生產(chǎn)指令、生產(chǎn)要素、生產(chǎn)活動得以依托工控網(wǎng)絡(luò)快速開展。而工業(yè)數(shù)據(jù)是現(xiàn)代工業(yè)信息化的核心，任何一家工業(yè)企業(yè)的日常生產(chǎn)運(yùn)營都對工業(yè)數(shù)據(jù)有著高度的依賴性。對于工業(yè)企業(yè)來說，諸如生產(chǎn)工藝參數(shù)、設(shè)備配置文件、設(shè)備運(yùn)行數(shù)據(jù)、生產(chǎn)數(shù)據(jù)、控制指令等工業(yè)數(shù)據(jù)是影響企業(yè)生產(chǎn)活動的關(guān)鍵業(yè)務(wù)數(shù)據(jù)，這些數(shù)據(jù)的安全性直接關(guān)系到企業(yè)生產(chǎn)線的穩(wěn)定運(yùn)行，數(shù)據(jù)的篡改、丟失或錯誤都可能造成整條生產(chǎn)線的停產(chǎn)，直接影響企業(yè)生產(chǎn)計劃的實施，進(jìn)而損害企業(yè)的經(jīng)營效益。特別是對于電力、軍工、核能、水務(wù)等一些關(guān)系國計民生的關(guān)鍵企業(yè)，工業(yè)數(shù)據(jù)的泄露甚至?xí)绊憞野踩?/p>

為保障生產(chǎn)鏈路的實時貫通以及工業(yè)數(shù)據(jù)的安全性，要依靠工控安全防護(hù)技術(shù)進(jìn)行全方位防御，主要涉及到圖3中的關(guān)鍵核心技術(shù)。目前從市場上的產(chǎn)品來看，可分為六大基礎(chǔ)領(lǐng)域，包括終端安全、網(wǎng)絡(luò)安全、應(yīng)用安全、身份與訪問管理、物理安全、數(shù)據(jù)安全；再加上安全方案與集成、安全運(yùn)維、風(fēng)險評估、滲透測試、應(yīng)急響應(yīng)、攻防對抗、攻防靶場、培訓(xùn)認(rèn)證、安全意識教育十大網(wǎng)絡(luò)安全服務(wù)。從技術(shù)領(lǐng)域來劃分，工控安全產(chǎn)品可以分為四類，防護(hù)類產(chǎn)品、監(jiān)測類產(chǎn)品、審計類產(chǎn)品和管理服務(wù)平臺類產(chǎn)品：

? 防護(hù)類產(chǎn)品主要包含的技術(shù)點(diǎn)有白名單機(jī)制、工控防火墻、物理隔離、漏洞掃描、訪問控制。

? 監(jiān)測類產(chǎn)品中常見的工控安全監(jiān)測分析技術(shù)手段主要包括基于特征庫匹配、基于流量分析和基于工控協(xié)議解析。

? 審計類產(chǎn)品中根據(jù)審計對象，安全審計又可分為主機(jī)安全審計、網(wǎng)絡(luò)安全審計、數(shù)據(jù)庫安全審計、業(yè)務(wù)安全審計和運(yùn)維安全審計。

? 管理服務(wù)平臺類產(chǎn)品一般采用綜合的防護(hù)方式，從而為用戶提供統(tǒng)一的管理平臺。

圖4 工控安全關(guān)鍵核心技術(shù)及國內(nèi)主流廠商

（圖源：善金資本）

1、防護(hù)類產(chǎn)品技術(shù)

白名單機(jī)制：作為防護(hù)類產(chǎn)品中常見的技術(shù)之一，白名單主動防御技術(shù)是通過提前計劃好的協(xié)議規(guī)則來限制網(wǎng)絡(luò)數(shù)據(jù)的交換，在控制網(wǎng)到信息網(wǎng)之間進(jìn)行動態(tài)行為判斷。通過對約定協(xié)議的特征分析和端口限制的方法，從根源上節(jié)制未知惡意軟件的運(yùn)行和傳播。“白名單”安全機(jī)制是一種安全規(guī)范，既應(yīng)用于防火墻軟件的設(shè)置規(guī)則中，也應(yīng)用于實際管理中，例如在對設(shè)備進(jìn)行實際操作時，需要使用指定的筆記本、U盤等，未經(jīng)授權(quán)的行為將被拒絕。由于工控系統(tǒng)在建設(shè)完成投入運(yùn)行之后，其系統(tǒng)將基本保持穩(wěn)定不變，因而很容易獲得系統(tǒng)合法的白名單。通過這種方式能夠識別由于感染病毒或者受到攻擊而產(chǎn)生的各種異常狀況，即防護(hù)軟件對準(zhǔn)備啟動的進(jìn)程進(jìn)行認(rèn)證，與預(yù)先存儲好的進(jìn)程白名單進(jìn)行對比，進(jìn)程在白名單中的才可啟動，不在白名單內(nèi)一律禁止。

工控防火墻：工控防火墻不同于普通防火墻，是一種更為先進(jìn)的針對工控系統(tǒng)設(shè)計的防火墻產(chǎn)品。工控防火墻是一個專用的硬件或軟硬件解決方案，通過一系列規(guī)則，對傳送到控制網(wǎng)絡(luò)信息流實施允許或拒絕。與普通防火墻相比，工控防火墻除了具有通用協(xié)議過濾能力外，還應(yīng)具有對工業(yè)控制協(xié)議的過濾能力，同時，它比傳統(tǒng)防火墻具有更高的環(huán)境適應(yīng)能力，更高的可靠性、穩(wěn)定性等要求。

數(shù)據(jù)防泄漏：對于很多工業(yè)企業(yè)而言，數(shù)據(jù)是企業(yè)的重要資產(chǎn)，數(shù)據(jù)防泄漏可以通過數(shù)據(jù)庫加密實現(xiàn)核心數(shù)據(jù)加密存儲，可以通過數(shù)據(jù)庫防火墻實現(xiàn)批量數(shù)據(jù)泄漏的網(wǎng)絡(luò)攔截，也可以通過數(shù)據(jù)脫敏實現(xiàn)外發(fā)敏感數(shù)據(jù)的匿名化，這些數(shù)據(jù)庫安全技術(shù)可以實現(xiàn)數(shù)據(jù)防泄漏問題?！稊?shù)據(jù)安全法》等法律法規(guī)的實施，則進(jìn)一步將工業(yè)企業(yè)數(shù)據(jù)保護(hù)提到了新的高度。 ? ?

2、監(jiān)測類產(chǎn)品技術(shù)

基于特征庫匹配，通過對工控網(wǎng)絡(luò)中傳輸數(shù)據(jù)與所積累入侵模型進(jìn)行對比，如具有一致性則判斷為入侵行為從而產(chǎn)生報警；基于流量分析，通過采集分析工控網(wǎng)絡(luò)中的原始通信報文，進(jìn)行2-7層解碼分析，對異常流量進(jìn)行實時檢測和流向跟蹤；基于工控協(xié)議解析，針對OPC、S7、Modbus等主流工控協(xié)議進(jìn)行深度解析還原，發(fā)現(xiàn)存在的安全漏洞。工業(yè)安全產(chǎn)業(yè)聯(lián)盟則提出了工控安全監(jiān)測分析系統(tǒng)架構(gòu)：采用前端分布式監(jiān)測采集(智能采集探針)與后臺集中式綜合分析(數(shù)據(jù)分析中心)的系統(tǒng)結(jié)構(gòu)，充分發(fā)揮網(wǎng)絡(luò)監(jiān)測探針強(qiáng)大的數(shù)據(jù)采集、存儲與分析能力，提供數(shù)據(jù)平面與控制平面全面的監(jiān)控指標(biāo)與可視化分析。 ? ?

3、審計類產(chǎn)品技術(shù)

主機(jī)安全審計顧名思義就是對單臺主機(jī)的安全審計。這是較基礎(chǔ)的審計也是較復(fù)雜的審計，因為主機(jī)幾乎是所有業(yè)務(wù)系統(tǒng)的承載體，主機(jī)安全關(guān)系重大，同時主機(jī)也是最通用的計算單元，功能最復(fù)雜，接口最多，需要審計的內(nèi)容和格式也多種多樣。等保2.0要求的安全計算環(huán)境的審計，大部分可以算作主機(jī)安全審計的范疇。為了拿到最可靠的審計證據(jù)，主機(jī)安全審計一般需要在主機(jī)上安裝代理軟件來采集數(shù)據(jù)進(jìn)行審計。主機(jī)安全審計的內(nèi)容很多，但是又需要嚴(yán)格控制對主機(jī)系統(tǒng)資源（CPU、內(nèi)存、硬盤等）的占用，避免影響正常業(yè)務(wù)運(yùn)行。

網(wǎng)絡(luò)安全審計是針對網(wǎng)絡(luò)訪問或網(wǎng)絡(luò)通信的審計。現(xiàn)在幾乎所有的業(yè)務(wù)系統(tǒng)都要使用網(wǎng)絡(luò)，幾乎沒有基于單機(jī)的業(yè)務(wù)系統(tǒng)了，所以網(wǎng)絡(luò)安全審計也是非常重要的一個審計類別，和網(wǎng)絡(luò)相關(guān)的所有信息都可以納入審計的范圍。

數(shù)據(jù)庫安全審計的概念相對比較新，近幾年因為數(shù)據(jù)安全相關(guān)問題被頻繁暴露出來，大家開始重視數(shù)據(jù)庫的安全審計工作。數(shù)據(jù)庫安全審計主要針對常見數(shù)據(jù)庫（比如：SQL Server、Oracle、MySQL、MongoDB等）的各項操作進(jìn)行審計，比如增、刪、改、查等操作。數(shù)據(jù)庫服務(wù)器相關(guān)的內(nèi)容都可以列入審計范圍。

業(yè)務(wù)安全審計是對業(yè)務(wù)系統(tǒng)應(yīng)用過程的審計。業(yè)務(wù)系統(tǒng)一般包括服務(wù)器、網(wǎng)絡(luò)設(shè)備、應(yīng)用系統(tǒng)、數(shù)據(jù)庫系統(tǒng)、客戶端等，所以業(yè)務(wù)安全審計需要融合主機(jī)安全審計、網(wǎng)絡(luò)安全審計、數(shù)據(jù)庫安全審計和運(yùn)維安全審計等功能，一般需要定制開發(fā)，針對業(yè)務(wù)系統(tǒng)用戶在系統(tǒng)中的操作行為進(jìn)行記錄和審計。另外，為減少應(yīng)用系統(tǒng)因?qū)徲嫸a(chǎn)生的性能降低，可以配合第三方審計系統(tǒng)（比如日志審計）來完成審計工作。業(yè)務(wù)安全審計是融合多種內(nèi)容的審計工作。

運(yùn)維安全審計是一種特殊的業(yè)務(wù)審計，主要包括2種：堡壘機(jī)接入審計和KVM接入審計。堡壘機(jī)是運(yùn)維人員通過網(wǎng)絡(luò)遠(yuǎn)程接入的代理，KVM則適用于運(yùn)維人員在機(jī)房直接操作其他服務(wù)器。運(yùn)維審計以應(yīng)用層代理的方式運(yùn)行，獲取應(yīng)用層網(wǎng)絡(luò)協(xié)議，進(jìn)行還原分析，在重新打包提交給目標(biāo)主機(jī)。運(yùn)維安全審計的數(shù)據(jù)采集方式比較直接，作為代理，可以獲得加密前的數(shù)據(jù)，所以運(yùn)維安全審計可以獲得更多的審計證據(jù)。 ? ?

4、管理服務(wù)平臺類產(chǎn)品

工控安全管理平臺包含設(shè)備和應(yīng)用的監(jiān)控與管理，提供統(tǒng)一的管理平臺，全面直觀的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)能夠幫助用戶快速定位網(wǎng)絡(luò)故障，及時發(fā)現(xiàn)網(wǎng)絡(luò)流量異常，系統(tǒng)能對網(wǎng)絡(luò)中的關(guān)鍵節(jié)點(diǎn)性能提供全面監(jiān)控和告警，主動監(jiān)控應(yīng)用服務(wù)的狀態(tài)和性能。平臺廣泛應(yīng)用于石油、石化、電力、化工、制造等行業(yè)的工業(yè)控制網(wǎng)絡(luò)，大大提高了工業(yè)控制網(wǎng)絡(luò)通訊可控性與可信性，確保了生產(chǎn)系統(tǒng)的穩(wěn)定可靠。

APT防護(hù)（高級持續(xù)性威脅防護(hù)）：大多數(shù)惡意軟件會執(zhí)行快速的破壞性攻擊，但 APT 采用不同的、更具策略性和隱蔽性的方法。攻擊者通過木馬或網(wǎng)絡(luò)釣魚等傳統(tǒng)惡意軟件入侵工控系統(tǒng)，如工廠中的一臺PLC或網(wǎng)關(guān)后，但之后會掩蓋自己的行跡，在整個網(wǎng)絡(luò)中秘密移動并植入其攻擊軟件，在長達(dá)數(shù)月甚至數(shù)年的時間中，持續(xù)不斷地提取數(shù)據(jù)。用戶可以采用惡意代碼檢測、主機(jī)應(yīng)用保護(hù)、網(wǎng)絡(luò)入侵分析、大數(shù)據(jù)分析檢測等綜合手段進(jìn)行防護(hù)。

應(yīng)急響應(yīng)：制定行之有效的應(yīng)急響應(yīng)策略，能夠幫助工業(yè)企業(yè)在發(fā)生突發(fā)/重大信息安全事件時，第一時間提供包括抑制止損、事件分析、業(yè)務(wù)損失評估、系統(tǒng)加固、事件溯源的應(yīng)急響應(yīng)服務(wù)，盡可能的減小和控制信息安全事件造成的損失，提供有效的響應(yīng)和恢復(fù)指導(dǎo)，并努力防止安全事件的發(fā)生。

云安全：隨著國內(nèi)工業(yè)互聯(lián)網(wǎng)的深化應(yīng)用，工業(yè)企業(yè)需要在云平臺上實現(xiàn)一種“工業(yè)操作系統(tǒng)”，從系統(tǒng)安全生產(chǎn)管理的角度協(xié)同資源、業(yè)務(wù)與安全。根據(jù)資源、數(shù)據(jù)、流程、業(yè)務(wù)的安全等級，在云平臺中設(shè)計安全域，從可靠性、實時性和性能等方面設(shè)計安全域的信息安全通信等級。 ?

國內(nèi)外工控安全主流廠商發(fā)展態(tài)勢

1、國際工控安全主流廠商發(fā)展態(tài)勢

隨著全球工控安全事件頻發(fā)，工控安全形勢日益嚴(yán)峻，全球工控安全市場需求顯著提升，市場規(guī)模也不斷擴(kuò)大。而市場規(guī)模擴(kuò)大的背后，則是國內(nèi)外眾多不同背景的工控安全廠商紛紛涌入：

Fortinet（飛塔）：傳統(tǒng)IT安全領(lǐng)域廠商，較早將業(yè)務(wù)范圍拓展至工控安全領(lǐng)域。2019年Fortinet提出了Operational Technology（OT）安全架構(gòu)，并與自身IT安全解決方案融合形成Fortinet Security Fabric工控安全整體解決方案，幫助企業(yè)構(gòu)建全面、智能、彈性的OT安全體系，建設(shè)可信任的OT數(shù)字空間，實現(xiàn)網(wǎng)絡(luò)微分段、資產(chǎn)全面可視化、設(shè)備準(zhǔn)入控制、高級威脅防御，并借助主動安全、OT安全態(tài)勢感知平臺，保護(hù)企業(yè)數(shù)字化轉(zhuǎn)型。

Symantec（賽門鐵克）：傳統(tǒng)IT安全領(lǐng)域廠商，近年來加速拓展至工控安全領(lǐng)域，目前有兩大防護(hù)系統(tǒng)和一個安全分析平臺，包括面向工業(yè)控制系統(tǒng)安全的神經(jīng)網(wǎng)絡(luò)解決方案ICSP Neural。該解決方案是業(yè)內(nèi)首個神經(jīng)網(wǎng)絡(luò)集成型USB掃描站，能夠全面確保企業(yè)關(guān)鍵基礎(chǔ)設(shè)施的安全防護(hù)。

McAfee（邁克菲）：傳統(tǒng)IT安全領(lǐng)域廠商，較早將業(yè)務(wù)范圍拓展至工控安全領(lǐng)域，解決方案主要集中在網(wǎng)絡(luò)安全方向，同時利用動態(tài)白名單機(jī)制，保護(hù)客戶的動態(tài)干重，多區(qū)域保護(hù)等。目前，McAfee已為超過6億個端點(diǎn)提供保護(hù)，使其能夠收集有關(guān)網(wǎng)絡(luò)攻擊的大量數(shù)據(jù)，這些信息反過來又有助于提高其安全能力。2021年3月，McAfee宣布將企業(yè)業(yè)務(wù)部分以40億美金出售給Symphony Technology Group。

Cisco（思科）：綜合的IT解決方案供應(yīng)商，深耕工控安全領(lǐng)域多年，解決方案覆蓋攻擊發(fā)生前、中、后全生命周期。在攻擊發(fā)生前可提供ASA防火墻，ASA下一代防火墻，ISE身份認(rèn)證引擎技術(shù)和VPN解決方案；攻擊發(fā)生時可提供下一代入侵防御，郵件安全，Web安全解決方案；攻擊發(fā)生后可提供惡意軟件防護(hù)和異常流量分析解決方案。

Siemens（西門子）：全球工業(yè)自動化巨頭之一，企業(yè)工控系統(tǒng)的主要供應(yīng)商，旗下完善的產(chǎn)品線使其在工控市場積累了領(lǐng)先優(yōu)勢并沉淀形成了自身工控安全能力，對協(xié)議的理解和解析是其獨(dú)有優(yōu)勢，強(qiáng)調(diào)縱深防御，多層次防護(hù)。西門子的控制與驅(qū)動技術(shù)中，例如CHEMSTAR 電機(jī)、變頻器和 IDS 等，也集成了安全技術(shù)。西門子驅(qū)動技術(shù)還針對極端條件配套有防爆功能和大量的各種認(rèn)證，具備最高能效等級，通過將現(xiàn)場數(shù)據(jù)集成到控制系統(tǒng)，轉(zhuǎn)化成有用信息，實現(xiàn)整個工廠的安全控制。

Schneider Electric（施耐德電氣）：全球工業(yè)自動化巨頭之一，企業(yè)工控系統(tǒng)的主要供應(yīng)商，主要致力于提升企業(yè)整體安全性，創(chuàng)新推出了自上而下的三級終身防御體系，包括設(shè)備級、系統(tǒng)級和管理級三級形成縱深防御，涉及安全計劃、網(wǎng)絡(luò)分隔、邊界保護(hù)、網(wǎng)段分離、設(shè)備加固以及監(jiān)視和更新6大安全防御步驟。

Tofino（多芬諾）：加拿大專業(yè)的工控安全廠商，以其工控系統(tǒng)防火墻作為主打產(chǎn)品，國內(nèi)有廠商已經(jīng)代理其產(chǎn)品，目前主要應(yīng)用在石化等多個行業(yè)內(nèi)，多芬諾的防火墻基于內(nèi)置工業(yè)通訊協(xié)議的防護(hù)模式，不僅是端口上的防護(hù)，更是基于應(yīng)用層上數(shù)據(jù)包的深度檢測、協(xié)議解析，屬于新一代工業(yè)防火墻。

Codenomicon（科諾康）：芬蘭的專業(yè)工控安全廠商，主要是專注于漏洞發(fā)掘，其測試技術(shù)在工控安全領(lǐng)域具有較高的優(yōu)勢，其測試解決方案能夠重點(diǎn)對測試目標(biāo)的相應(yīng)進(jìn)行分析，并且通過自動分析定位等方式分析問題所在。

Honeywell（霍尼韋爾）：是一家業(yè)務(wù)多元化的綜合自動化公司，霍尼韋爾提出安全管理系統(tǒng)有助于最大限度地減少事故并最大限度地提高產(chǎn)量，同時確保工廠安全。安全管理系統(tǒng)集成了過程安全數(shù)據(jù)、應(yīng)用程序、系統(tǒng)診斷和關(guān)鍵控制策略，確保合規(guī)性、提高系統(tǒng)可靠性并增加正常運(yùn)行時間，從而打造更安全、更高效的生產(chǎn)環(huán)境。

ABB：全球工業(yè)自動化巨頭之一，企業(yè)工控系統(tǒng)的主要供應(yīng)商，在其ABB Ability數(shù)字化平臺中，專門推出了面向關(guān)鍵工控系統(tǒng)保護(hù)和資產(chǎn)安全套件Cyber Security Workplace(CSWP)，能夠?qū)BB和第三方安全解決方案整合到一個簡單但全面的數(shù)字化平臺中，使運(yùn)營團(tuán)隊能夠更輕松、更科學(xué)地制定決策并提升工業(yè)自動化系統(tǒng)的安全性。ABB在網(wǎng)絡(luò)安全和工業(yè)過程控制兩大領(lǐng)域擁有豐富經(jīng)驗，對于在流程中對工控系統(tǒng)實施網(wǎng)絡(luò)保護(hù)，ABB編寫制定了《生產(chǎn)型企業(yè)的網(wǎng)絡(luò)安全》白皮書。

Palo Alto Networks（派拓網(wǎng)絡(luò)）：傳統(tǒng)IT領(lǐng)域安全廠商，率先提出下一代防火墻（NGFW）解決方案，共8次榮獲 Gartner 網(wǎng)絡(luò)防火墻魔力象限領(lǐng)導(dǎo)者稱號，擁有超過69,000家下一代防火墻客戶。除了為工業(yè)企業(yè)強(qiáng)化SaaS安全、高級URL過濾、DNS安全、云身份引擎和新型機(jī)器學(xué)習(xí)防火墻等功能外，派拓網(wǎng)絡(luò)還打造了STRATA、Prisma和Cortex三大產(chǎn)品平臺戰(zhàn)略，幫助工業(yè)企業(yè)將安全工具動態(tài)整合，以保證網(wǎng)絡(luò)通信的端到端可視性，以及全面的安全策略控制和管理功能。
?

IBM：綜合的IT解決方案供應(yīng)商，同時也是全球領(lǐng)先的企業(yè)安全服務(wù)提供商。IBM專門推出了用于應(yīng)對OT安全戰(zhàn)略的IBM Security解決方案，幫助工業(yè)企業(yè)了解業(yè)務(wù)、定義風(fēng)險并制定戰(zhàn)略，并通過執(zhí)行OT和ICS設(shè)備發(fā)現(xiàn)，進(jìn)行安全架構(gòu)審核，執(zhí)行數(shù)據(jù)發(fā)現(xiàn)、分類和分析，實現(xiàn)數(shù)據(jù)與終端的安全、制定OT安全事件響應(yīng)計劃。

Nozomi Networks：初創(chuàng)工控安全廠商，旗艦產(chǎn)品 SCADAguardian 通過機(jī)器學(xué)習(xí)和行為分析來實時檢測零日攻擊。當(dāng)與防火墻和SIEM集成時，ICS事件報警和通知系統(tǒng)使得操作人員能夠快速對報警做出響應(yīng)。目前，Nozomi Networks在能源，制造，采礦，運(yùn)輸，公用事業(yè)和關(guān)鍵基礎(chǔ)設(shè)施等1,400多個工業(yè)企業(yè)中安裝、支持和保護(hù)數(shù)十萬個設(shè)備。

Waterfall：以色列專業(yè)工控安全廠商，專注于工控邊界防護(hù)領(lǐng)域，主要產(chǎn)品是工控網(wǎng)閘，支持主流的工業(yè)協(xié)議和應(yīng)用，其解決方案被監(jiān)管和政府機(jī)構(gòu)中廣受好評，大量地降低了政府和合規(guī)監(jiān)管在關(guān)鍵基礎(chǔ)設(shè)施等領(lǐng)域的成本和復(fù)雜性。

Checkpoint（捷邦）：傳統(tǒng)IT安全領(lǐng)域廠商，較早將業(yè)務(wù)范圍拓展至工控安全領(lǐng)域，在ICS/SCADA網(wǎng)絡(luò)安全領(lǐng)域提供先進(jìn)的威脅防御，加固設(shè)備選擇和綜合協(xié)議支持去保障關(guān)鍵基礎(chǔ)設(shè)施，例如提供SCADA流量的全面可視化和精細(xì)管理，具有SCADA感知威脅檢測和預(yù)防的全面安全性。

Indegy：以色列初創(chuàng)工控安全廠商，提供可視化操作和控制面板技術(shù)，確保運(yùn)營安全，防止網(wǎng)絡(luò)攻擊、內(nèi)部員工惡意操作以及運(yùn)營操作失誤等情況發(fā)生。旗艦產(chǎn)品Indegy監(jiān)測器可以鎖定工業(yè)控制系統(tǒng)內(nèi)的所有數(shù)據(jù)，并開發(fā)控制層協(xié)議支持實時監(jiān)測各種工業(yè)控制系統(tǒng)配置變化。

Trend Micro（趨勢科技）：傳統(tǒng)IT安全領(lǐng)域廠商，較早將業(yè)務(wù)范圍拓展至工控安全領(lǐng)域。為構(gòu)建全方位的工控安全防護(hù)，趨勢科技與Moxa攜手成立了TXOne Networks，致力發(fā)展OT安全方案，有效反制層出不窮的蠕蟲病毒、APT Ransom或Coin Miner，2015年被亞信安全收購。

2、國內(nèi)工控安全主流廠商發(fā)展態(tài)勢

《中國工業(yè)信息安全產(chǎn)業(yè)發(fā)展白皮書（2021-2022年）》顯示，2021年我國工業(yè)信息安全產(chǎn)業(yè)規(guī)模為168.43億元，同比增長32.94%。約有373家國內(nèi)企業(yè)涉及工業(yè)信息安全業(yè)務(wù)，同比增長17.3%。其中包括和利時、浙江中控、安控科技、華為、科遠(yuǎn)智慧、力控華康、海天煒業(yè)、奇安信、綠盟科技、深信服、新華三、藍(lán)盾股份、啟明星辰、網(wǎng)御星云、得安信息、天地和興、天融信、英賽克科技、威努特、安恒信息、中科網(wǎng)威、圣博潤、網(wǎng)藤科技、珞安科技、木鏈科技、立思辰、珠海鴻瑞、六方云、長揚(yáng)科技、瑞星網(wǎng)安、卓識網(wǎng)安、天空衛(wèi)士、三零衛(wèi)士、安策科技、中油瑞飛、南信瑞通、博智軟件、谷神星、天地和興、安點(diǎn)科技、亞信安全等。

從歷史背景來看，其中既有傳統(tǒng)的IT領(lǐng)域安全廠商拓展工控安全解決方案，如趨勢科技、奇安信、綠盟科技、立思辰、中科網(wǎng)威、三零衛(wèi)士、天融信、瑞星網(wǎng)安等；也有立足自動化控制等業(yè)務(wù)的自動化廠商培養(yǎng)工控安全能力，如和利時、浙江中控、力控華康、海天煒業(yè)、珠海鴻瑞、天?？萍嫉?；以及IT系統(tǒng)集成商/網(wǎng)絡(luò)供應(yīng)商通過合作、OEM等方式推出工控安全產(chǎn)品，如華為、新華三、中油瑞飛、南信瑞通等；最后是專注于工控安全領(lǐng)域的廠商，如六方云、威努特、木鏈科技、天地和興等。

圖5 工控安全產(chǎn)業(yè)結(jié)構(gòu)生態(tài)圖

（圖源：嘶吼安全產(chǎn)品研究院）

①自動化背景廠商

這類廠商原來從事自動化相關(guān)的業(yè)務(wù)，后來看好工控安全的市場機(jī)遇，成立工控安全部門或子公司進(jìn)入工控安全領(lǐng)域。典型廠商包括：青島海天煒業(yè)自動化控制系統(tǒng)有限公司、北京力控華康科技有限公司、珠海市鴻瑞軟件技術(shù)有限公司、中京天?？萍?北京)有限公司。這類公司的特點(diǎn)是對工控系統(tǒng)有比較深刻的理解，包括青島海天煒業(yè)自動化控制系統(tǒng)有限公司、北京力控華康科技有限公司在工控安全市場上有較大的影響力，珠海市鴻瑞軟件技術(shù)有限公司在電力行業(yè)有較大的影響力。

圖6 自動化背景主流廠商對比

②IT安全廠商

這類廠商原來從事IT信息安全的業(yè)務(wù)，工控安全作為信息安全市場的一個新興的細(xì)分市場得到關(guān)注，成立工控安全部門進(jìn)入工控安全領(lǐng)域。典型廠商包括：啟明星辰信息技術(shù)有限公司/北京網(wǎng)御星云信息技術(shù)有限公司、北京神州綠盟信息安全科技股份有限公司、北京中科網(wǎng)威信息技術(shù)有限公司、上海三零衛(wèi)士信息安全有限公司。目前啟明星辰信息技術(shù)有限公司、北京神州綠盟信息安全科技股份有限公司在工控安全市場上有一定的影響力。

圖7 傳統(tǒng)IT安全主流廠商對比

（圖源：鵬越網(wǎng)絡(luò)安全研究院）

③專業(yè)工控安全廠商

這類廠商基本屬于近年來成立的公司，綜合了信息安全與自動化方面的人才，100%專注于工控安全領(lǐng)域。典型廠商包括：北京六方云科技有限公司、北京威努特技術(shù)有限公司。這類公司的特點(diǎn)是專注，他們的業(yè)務(wù)全部聚焦在工控安全領(lǐng)域，工控安全業(yè)務(wù)的成敗決定了公司的生死存亡，因此能夠全力投入，并深耕工業(yè)互聯(lián)網(wǎng)、智能制造中的核心使能技術(shù)。

圖8 專業(yè)工控安全主流廠商對比

（圖源：鵬越網(wǎng)絡(luò)空間安全研究院）

④IT系統(tǒng)集成商/網(wǎng)絡(luò)供應(yīng)商

此類廠商主要是根據(jù)市場需求整合自身產(chǎn)品線，強(qiáng)化自身的整體解決方案供應(yīng)能力。例如華為技術(shù)有限公司、新華三集團(tuán)、北京中油瑞飛信息技術(shù)有限責(zé)任公司等。雖然安全業(yè)務(wù)在此類廠商整體營收中占比并不高，但由于自身體量巨大，在整體工控市場上也有一定的話語權(quán)。以華為為例，防火墻是華為網(wǎng)絡(luò)安全的主線產(chǎn)品，連續(xù)8年入圍國際Gartner象限，并多次獲得UTM防火墻中國市場份額第一的成績。

圖9? IT系統(tǒng)集成商/網(wǎng)絡(luò)供應(yīng)商廠商對比 ?

工控安全技術(shù)應(yīng)用案例

1、海天煒業(yè)：Guard工業(yè)防火墻保障生產(chǎn)網(wǎng)絡(luò)安全

江蘇某石化企業(yè)已完成基于實時數(shù)據(jù)庫應(yīng)用的MES系統(tǒng)建設(shè)，實時數(shù)據(jù)庫的建立是以采集過程控制系統(tǒng)的數(shù)據(jù)為前提，這就需要MES的信息網(wǎng)絡(luò)必須要實現(xiàn)與控制網(wǎng)絡(luò)之間的數(shù)據(jù)交換，控制網(wǎng)絡(luò)不再以一個獨(dú)立的網(wǎng)絡(luò)運(yùn)行，而要與信息網(wǎng)絡(luò)互通、互聯(lián)。MES系統(tǒng)實施后，生產(chǎn)網(wǎng)絡(luò)與管理網(wǎng)及辦公網(wǎng)之間有著大量數(shù)據(jù)的讀取、控制指令的下置、計劃排產(chǎn)的下發(fā)。生產(chǎn)網(wǎng)與外網(wǎng)的互聯(lián)互通是一種趨勢也是一種必需，但辦公網(wǎng)及外網(wǎng)的應(yīng)用復(fù)雜，多樣性強(qiáng)。感染病毒及惡意程序的機(jī)率大，生產(chǎn)網(wǎng)的開放，勢必對PI數(shù)據(jù)庫的數(shù)據(jù)完整性、保密性、安全性形成挑戰(zhàn)，對DCS、PLC控制系統(tǒng)形成嚴(yán)重的安全威脅，如果系統(tǒng)受到攻擊或感染病毒后，使得DCS或PLC控制發(fā)生故障，壓力、溫度、流量、液位、計量等指示失效，檢測系統(tǒng)連鎖報警失效，或各類儀表電磁閥制動空氣及電源無供給后，一旦重大危險源處于失控狀態(tài)，后果不堪設(shè)想，將危急現(xiàn)場操作人員甚至工廠附近人群的生命安全。 Guard工業(yè)防火墻是海天煒業(yè)聯(lián)合中科院軟件所共同推出的一款自主工控網(wǎng)絡(luò)安全防護(hù)產(chǎn)品，也是首批榮獲國家發(fā)改委資金支持的工業(yè)防火墻，屬于新一代工業(yè)協(xié)議增強(qiáng)型防火墻，通過區(qū)域隔離、通訊管控、實時報警，為工業(yè)通訊提供獨(dú)特的、工業(yè)級的專業(yè)隔離防護(hù)解決方案。針對江蘇某石化企業(yè)的網(wǎng)絡(luò)結(jié)構(gòu)及要求，海天煒業(yè)分別在如下幾個安全薄弱環(huán)節(jié)及功能網(wǎng)絡(luò)邊界部署工業(yè)網(wǎng)絡(luò)安全產(chǎn)品，達(dá)到多層面分重點(diǎn)的網(wǎng)絡(luò)安全防護(hù)目的。海天煒業(yè)所提供的是基于網(wǎng)絡(luò)安全、網(wǎng)路安全、關(guān)鍵設(shè)備安全需要的解決方案，能深層保障工業(yè)通訊安全，有效防止蠕蟲、病毒的傳播和擴(kuò)散，從而創(chuàng)建“本質(zhì)安全”的生產(chǎn)控制網(wǎng)。

①控制系統(tǒng)網(wǎng)絡(luò)安全防護(hù)

在控制器入口端部署控制器防護(hù)設(shè)備，能夠識別針對控制器的操控服務(wù)指令（包括組態(tài)服務(wù)、數(shù)據(jù)上傳服務(wù)、數(shù)據(jù)下載服務(wù)、讀服務(wù)、寫服務(wù)、控制程序下載服務(wù)、操控指令服務(wù)等），并能夠根據(jù)安全策略要求對非法的服務(wù)請求進(jìn)行報警和自動阻斷。使用工業(yè)防火墻對控制器進(jìn)行安全防護(hù)，一方面通過對源、目的地址的控制，僅允許工程師站和操作員站可訪問控制器，且對關(guān)鍵控制點(diǎn)的讀寫權(quán)限加以嚴(yán)格限制，保障了資源的可信與可控，另一方面，通過對端口服務(wù)的控制，杜絕了一切有意或無意的攻擊，最后通過“白名單”機(jī)制，僅允許OPC 等專有協(xié)議通過，阻斷一切 TCP 及其它訪問，從而確保控制器的安全。

②網(wǎng)路邊界防護(hù)

在OPC Server與數(shù)據(jù)采集服務(wù)器之間加裝Guard防火墻，對OPC Server進(jìn)行防護(hù)，保護(hù)采集到的數(shù)據(jù)在傳輸中不被病毒篡改及刪除。在OPC Server與數(shù)據(jù)采集服務(wù)器之間加裝Guard防火墻，對OPC Server進(jìn)行防護(hù)，保護(hù)采集到的數(shù)據(jù)在傳輸中不被病毒篡改及刪除；將生產(chǎn)管理系統(tǒng)MES所在數(shù)采網(wǎng)與控制網(wǎng)隔離，Guard工業(yè)防火墻插件能夠過濾兩個區(qū)域網(wǎng)絡(luò)間的通信，防止數(shù)采網(wǎng)或者控制網(wǎng)中節(jié)點(diǎn)感染病毒后，在數(shù)采網(wǎng)和控制網(wǎng)之間互相傳播。

③關(guān)鍵設(shè)備防護(hù)

在控制網(wǎng)內(nèi)部，操作站安裝的操作系統(tǒng)為Windows系統(tǒng)，工程師站、操作站與DCS控制器使用OPC協(xié)議進(jìn)行通訊，一旦感染針對OPC協(xié)議的病毒，將極易導(dǎo)致DCS控制器誤動作或出現(xiàn)故障，危險性較大。如果工程師站、操作站感染了普通的網(wǎng)絡(luò)病毒也會造成控制系統(tǒng)網(wǎng)絡(luò)擁堵或崩潰。因此在控制網(wǎng)內(nèi)部，重點(diǎn)對工程師站、操作站進(jìn)行安全防護(hù)，對進(jìn)入和出去的訪問行為進(jìn)行有效的控制，防止非授權(quán)行為的任意接入，避免發(fā)生網(wǎng)絡(luò)惡意行為對工程師站、操作員等關(guān)鍵系統(tǒng)的破壞性和非法操作。在中控室現(xiàn)場，海天煒業(yè)的工程師嚴(yán)格遵守項目實施流程，規(guī)范施工。

2、綠盟科技：某水電廠電力工控系統(tǒng)安全防護(hù)建設(shè)項目

①項目場景：

電力監(jiān)控系統(tǒng)作為水電廠生產(chǎn)系統(tǒng)中最為核心的系統(tǒng)之一，其信息安全可靠與否直接關(guān)乎電力生產(chǎn)的安全穩(wěn)定運(yùn)行。為提高水電廠電力監(jiān)控系統(tǒng)的網(wǎng)絡(luò)安全強(qiáng)度，防范黑客及惡意代碼等對電力監(jiān)控系統(tǒng)的攻擊及侵害。綠盟科技結(jié)合多年在工控系統(tǒng)安全領(lǐng)域的安全防護(hù)經(jīng)驗，為發(fā)電企業(yè)提供電力監(jiān)控系統(tǒng)工控安全防護(hù)全方位的信息安全解決方案，保障電力監(jiān)控系統(tǒng)安全穩(wěn)定運(yùn)行。

②解決方案：

遵循《電力監(jiān)控系統(tǒng)安全防護(hù)規(guī)定》、國家信息安全等級保護(hù)制度基本要求開展全面的安全防護(hù)建設(shè)工作。綠盟科技作為本次項目的系統(tǒng)集成服務(wù)廠商，為水電廠提供涵蓋工控系統(tǒng)主機(jī)與邊界安全防護(hù)、機(jī)房動態(tài)環(huán)境監(jiān)控系統(tǒng)建設(shè)、工控系統(tǒng)信息安全制度梳理等全方位安全建設(shè)服務(wù)。水電廠工控信息系統(tǒng)安全防護(hù)建設(shè)方案如圖10所示，主要防護(hù)工作包括： 工控系統(tǒng)邊界防護(hù)：工控安全審計、入侵檢測系統(tǒng)、工業(yè)防火墻、安全監(jiān)管平臺。 工控系統(tǒng)主機(jī)加固：在上位機(jī)上部署終端保護(hù)與管控軟件。 機(jī)房動環(huán)監(jiān)控系統(tǒng)建設(shè)：在通訊、電力監(jiān)控和集控中心機(jī)房部署動態(tài)環(huán)境監(jiān)控系統(tǒng)，向客戶提供一套可靠的、使用便利的監(jiān)控管理平臺，實現(xiàn)機(jī)房設(shè)備與環(huán)境精細(xì)化管理提供有效支撐平臺。 工控系統(tǒng)安全制度梳理：依據(jù)電力監(jiān)控系統(tǒng)等級保護(hù)基本要求，從安全管理制度、安全管理機(jī)構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理和系統(tǒng)運(yùn)維管理五個方面開展公開系統(tǒng)安全制度梳理工作。

圖10 新源風(fēng)電場電力監(jiān)控系統(tǒng)

3、威努特：軌道交通綜合監(jiān)控系統(tǒng)等級保護(hù)（三級）安全解決方案

①背景概述：

城市軌道交通是城市公共交通的主干線，客流運(yùn)送的大動脈，是城市的生命線工程，將直接關(guān)系到城市居民的出行、工作、購物和生活。同時，城市軌道交通的作用不僅僅在于提高居民效率，更能夠能帶動工業(yè)、運(yùn)輸、房地產(chǎn)等相關(guān)產(chǎn)業(yè)的發(fā)展，對當(dāng)?shù)氐慕?jīng)濟(jì)促進(jìn)有著重要的作用。作為國家關(guān)鍵信息基礎(chǔ)設(shè)施，為防止發(fā)生網(wǎng)絡(luò)安全事件導(dǎo)致不可接受的后果，城市軌道交通業(yè)務(wù)系統(tǒng)應(yīng)按照國家相關(guān)法律規(guī)定，進(jìn)行等級保護(hù)建設(shè)，增強(qiáng)抵御網(wǎng)絡(luò)安全風(fēng)險能力，保障城市軌道交通的安全、穩(wěn)定運(yùn)行。

②解決方案：

建設(shè)目標(biāo)：符合等級保護(hù)三級基本要求。

核心理念：工控網(wǎng)絡(luò)“白環(huán)境”。

體系架構(gòu)：基于“一個中心、三重防護(hù)”的縱深防御。

圖11 軌道交通綜合監(jiān)控系統(tǒng) 安全區(qū)域邊界：軌道交通業(yè)務(wù)系統(tǒng)與外部系統(tǒng)接口邊界處部署工業(yè)防火墻和入侵檢測系統(tǒng)，通過運(yùn)用“白名單+智能學(xué)習(xí)”技術(shù)，建立工業(yè)網(wǎng)絡(luò)通信“白環(huán)境”，僅允許正常業(yè)務(wù)數(shù)據(jù)穿過阻止任何來自安全區(qū)域外的非授權(quán)訪問，有效抑制病毒、木馬在工控網(wǎng)絡(luò)中的傳播和擴(kuò)散，實現(xiàn)外部系統(tǒng)的邊界隔離和已知網(wǎng)絡(luò)威脅防護(hù)，保證軌道交通業(yè)務(wù)系統(tǒng)區(qū)域邊界安全。

安全通信網(wǎng)絡(luò)：在軌道交通業(yè)務(wù)系統(tǒng)岡絡(luò)關(guān)鍵節(jié)點(diǎn)部署工控安全監(jiān)控與審計系統(tǒng)，通過“白名單+智能學(xué)習(xí)”技術(shù)，建立安全通信模型，實時檢測網(wǎng)絡(luò)當(dāng)中的網(wǎng)絡(luò)攻擊、用戶誤操作、用戶違規(guī)操作、非法設(shè)備接入以及蠕蟲、病毒等惡意軟件的傳播并告警，同時詳實記錄一切網(wǎng)絡(luò)通信行為，保證軌道交通業(yè)務(wù)系統(tǒng)通信網(wǎng)絡(luò)安全。

安全計算環(huán)境：在軌道交通業(yè)務(wù)系統(tǒng)中各個主機(jī)、服務(wù)器安裝工控主機(jī)衛(wèi)士軟件，開啟程序白名單功能，禁止非可信任程序運(yùn)行，開啟外設(shè)管控功能、對非安全移動介質(zhì)禁止接入，開啟雙因子認(rèn)證功能，對關(guān)鍵主機(jī)管理員進(jìn)行認(rèn)證，開啟安全基線及訪問控制功能，最大限度保證軌道交通業(yè)務(wù)系統(tǒng)主機(jī)安全。

安全管理中心：在控制中心劃出獨(dú)立的安全管理中心區(qū)域、部署安全管理平臺、工控漏洞掃描平臺、日志審計與分析系統(tǒng)、安全配置核查系統(tǒng)和安全運(yùn)維管理系統(tǒng)，通過對軌道交通業(yè)務(wù)系統(tǒng)的安全設(shè)備進(jìn)行集中管控，并對日志數(shù)據(jù)、告警數(shù)據(jù)等進(jìn)行集中分析，同時對系統(tǒng)管理員、安全管理員、審計管理員進(jìn)行身份鑒別及權(quán)限管理，實現(xiàn)軌道交通業(yè)務(wù)系統(tǒng)的管理安全。 ?

工控安全技術(shù)發(fā)展與應(yīng)用趨勢

在不斷爆發(fā)的工控安全事件面前，工業(yè)企業(yè)已經(jīng)意識到了工控系統(tǒng)安全的重要性。正在或者計劃加大力度，完善提高工控安全技術(shù)和管理水平。然而由于工控系統(tǒng)的穩(wěn)定性需求高、信息資產(chǎn)更新迭代慢，以及工業(yè)環(huán)境特有的復(fù)雜性和敏感性，很難一勞永逸地全面解決工控安全問題。企業(yè)需要關(guān)注以下技術(shù)發(fā)展和應(yīng)用趨勢，逐漸完善自身工控安全防御體系，全力保障工業(yè)控制系統(tǒng)安全。

1. 以業(yè)務(wù)數(shù)據(jù)為核心的安全能力建立

隨著大數(shù)據(jù)、云計算、數(shù)字孿生等新興技術(shù)的深化應(yīng)用和交叉融合，促使工業(yè)企業(yè)更加強(qiáng)調(diào)生產(chǎn)高效、低耗、業(yè)務(wù)聯(lián)動等特點(diǎn)。貫穿企業(yè)研發(fā)、生產(chǎn)全生命周期數(shù)據(jù)，在準(zhǔn)確度、時效性、防篡改、防抖動等方面需求是極為迫切的。由于生產(chǎn)的輸入和輸出，完全基于數(shù)據(jù)的信息流的完整程度和準(zhǔn)確程度。因此，結(jié)合工藝的業(yè)務(wù)數(shù)據(jù)，同時也包括基于工業(yè)企業(yè)資產(chǎn)的數(shù)據(jù)，就成為工業(yè)企業(yè)安全建立的核心，也是技術(shù)和管理雙向保障企業(yè)安全的基礎(chǔ)。

2.從單點(diǎn)防御到全方位體系建設(shè)

對于工業(yè)企業(yè)而言，一個科學(xué)、完善的防護(hù)體系非常重要。從過往安全事件來看，企業(yè)不僅需要加強(qiáng)安全風(fēng)險的發(fā)現(xiàn)、管理與動態(tài)處置能力的建設(shè)，還需要加強(qiáng)深度防御，及安全事件的關(guān)聯(lián)分析與安全預(yù)警機(jī)制的建設(shè)，形成安全事件的快速反應(yīng)、快速處置體系。企業(yè)需要一改往日的單點(diǎn)防護(hù)模式，而以全局性思維考慮平臺化、體系化的安全架構(gòu)。

3.加快人工智能等最新安全技術(shù)應(yīng)用

工業(yè)安全防護(hù)作為防守方需要“補(bǔ)課”的地方很多，如果僅僅把傳統(tǒng)的IT安全防護(hù)產(chǎn)品加上一些OT的功能和特性，是遠(yuǎn)遠(yuǎn)不夠的。從數(shù)字孿生到人工智能，工業(yè)企業(yè)在新技術(shù)應(yīng)用下正呈現(xiàn)出前所未有的速度，如果在OT安全防護(hù)上慢慢補(bǔ)課，勢必導(dǎo)致差距越來越大，因此企業(yè)工控安全防護(hù)必須有前瞻性，用目前最先進(jìn)的理念和技術(shù)應(yīng)對OT安全。

4.相關(guān)標(biāo)準(zhǔn)完善下對企業(yè)合規(guī)性提出具體要求

近年來，國家對于工控安全越發(fā)得到關(guān)注與重視。在國家層面，《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》、《網(wǎng)絡(luò)安全法》、《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求》、《工業(yè)互聯(lián)網(wǎng)行動發(fā)展計劃》、《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》、《工業(yè)信息安全標(biāo)準(zhǔn)化白皮書》陸續(xù)出臺。例如《工業(yè)信息安全技術(shù)洞察》全面梳理了相關(guān)法規(guī)和標(biāo)準(zhǔn)，并以此為背景對工業(yè)系統(tǒng)網(wǎng)絡(luò)的演變，以及信息安全的護(hù)航作用進(jìn)行了闡述。對標(biāo)這些合規(guī)性要求，工業(yè)企業(yè)可以理清究竟自身所處工控安全到底存在什么問題、有什么缺陷和風(fēng)險、需要提高到什么樣的水平。此外，一些重大專項也對申報企業(yè)提出了具體的安全要求，讓安全合規(guī)成為企業(yè)邁向智能制造不可或缺的環(huán)節(jié)。

圖12 工控安全技術(shù)發(fā)展與應(yīng)用趨勢 ?

工控安全市場發(fā)展趨勢

近年來，工業(yè)領(lǐng)域安全事件的不斷頻發(fā)、數(shù)字化轉(zhuǎn)型大背景下IT與OT融合的持續(xù)加深，政策監(jiān)管力度的不斷增強(qiáng)都在驅(qū)動著中國工控安全市場的發(fā)展。其中，除了傳統(tǒng)的網(wǎng)絡(luò)安全技術(shù)外，工控防火墻、工控網(wǎng)閘、工控安全審計、工控安全管理平臺等產(chǎn)品均迎來了市場的快速發(fā)展期。IDC最新發(fā)布的《全球OT安全預(yù)測，2022-2026》報告顯示，到2026年，全球工控安全市場規(guī)模將達(dá)到67.6億美元，年復(fù)合增長率將達(dá)到28.4%。根據(jù)嘶吼安全產(chǎn)業(yè)研究院公開的數(shù)據(jù)及多家企業(yè)訪談的結(jié)果顯示，工控安全產(chǎn)業(yè)2023年將步入高速發(fā)展期，到2029年市場相對飽和，生態(tài)環(huán)境逐漸成熟，產(chǎn)業(yè)鏈布局清晰，廠商間建立完備的商業(yè)合作模式且擁有較高認(rèn)可度和信任度的產(chǎn)品或服務(wù)。

圖13 中國工控安全未來產(chǎn)業(yè)發(fā)展階段及其特點(diǎn)分析圖

（圖源：嘶吼安全產(chǎn)品研究院）工控安全市場將呈現(xiàn)出即定制化、場景化、國產(chǎn)化、體系化、智能化、內(nèi)生化、融合化、服務(wù)化和多元化九大趨勢。定制化即提升二次開發(fā)對接與快速集成能力，為行業(yè)客戶提供工控安全可定制化的產(chǎn)品/服務(wù)；場景化即持續(xù)開發(fā)、賦能新場景應(yīng)用，比如在物聯(lián)網(wǎng)、工業(yè)互聯(lián)網(wǎng)、新基建等方面，滿足其安全需求；國產(chǎn)化即支持全線的國產(chǎn)化安全產(chǎn)品，從芯片-內(nèi)存-主板組件-整體產(chǎn)品和操作系統(tǒng)，實現(xiàn)自主安全可控；內(nèi)生化即構(gòu)建具有內(nèi)生安全能力的工控系統(tǒng)建設(shè)，防御未來威脅；智能化即結(jié)合人工智能與深度學(xué)習(xí)，在工控智能安全運(yùn)營、工控智能安全產(chǎn)品進(jìn)行探索；體系化即拓展以工控安全管理平臺、審計、防火墻和主機(jī)衛(wèi)士組成的最小化防御體系；融合化即與工控安全生態(tài)圈的融合、IT和OT的深度融合、與行業(yè)業(yè)務(wù)的深度融合等；服務(wù)化即工控安全的未來重點(diǎn)是中小企業(yè)，通過SaaS化的產(chǎn)品實現(xiàn)對其安全的降本增效；整合化即以產(chǎn)業(yè)園區(qū)形式整合工控安全相關(guān)行業(yè)資源，打造產(chǎn)學(xué)研用協(xié)同創(chuàng)新發(fā)展平臺并推廣。