军工行业

一、现状与问题

多年来，以十二家军工集团为代表的军工行业，凭借自身优势，不断更新自身的经营模式，依托信息技术逐渐形成了现代化的研发体系。实现了从纸质制图到电子化制图应用，甚至是计算机模拟的转变。当前，“军民融合”、“军为民用”和“民技军用”逐步成为大势所趋，无论是在民用飞机制造单位，还是到武器零部件生产厂房，数控机床等先进装备均得到广泛应用。在此我们可以看出，在军工行业信息化与工业现代化已是大势所趋，信息化和工业化融合的态势也将不可逆转。

不过，军工行业工控系统在现代化的进程中也遇到了一些问题：

Ø 军工行业遵循的涉密标准中，现阶段缺少工控安全相关指导条款。
Ø 由于保密工作需要，军工生产单位的数控机床普遍未接入涉密生产网，而是采用离线编程和本地化编程的方式进行生产加工，严重影响了智能制造的效率。
Ø 军工生产单位的数控机床硬件、软件系统大多来自国外，或仅仅经过简单的二次开发，结构性问题和系统性问题并未得到有效解决。
Ø 由于工控系统的封装性和特殊性，长期以来绝大多数军工企业并没有条件对工控系统进行漏洞评估和修复。
Ø 当前影响较大的工控安全事件，大部分属于能源、机场等直接服务于公众的行业。军工行业受保密限制相关报道较少，一直并未引起各级单位的重视。
Ø 工控系统厂商人员在对系统进行维护升级过程中，采用移动介质和笔记本电脑与工控系统直连的方式，用户单位对工控系统厂商人员监管基本处于失控状态。
 
二、安全与威胁

Ø 控制设备/系统安全风险
Ø 漏洞百出，易被利用
Ø 检测手段单一，恶意代码有可乘之机
Ø 工业控制系统协议缺乏足够的安全性考虑
Ø 缺乏违规操作、越权访问行为审计能力面对新型的APT攻击，缺乏有效应对措施
 
三、解决思路


 
Ø 安全域划分
NIST SP800-82R2、IEC62443与新修订的面向工业控制系统的等级保护扩展要求，都提出了对ICS划分安全域，并且按照纵深防御的原则选择适当的安全技术措施对安全域的边界和内部计算环境进行安全防护的整体思路。

Ø 上线前的安全检测
工业控制系统的入网与上线是整个系统安全生命周期的重要阶段，也是系统所有者和操作者掌握其安全风险水平的最佳时机，立足于系统上线过程，基于验收规范的整体规程要求，通过对工控系统的安全性进行分析，发现系统中潜在的安全漏洞，基于发现的安全漏洞与相应的工控设备和系统提供商进行联系，获取相关的漏洞解决方案。漏洞的检测主要从已知漏洞的漏洞扫描如采用漏洞扫描技术和工控设备、系统主动漏洞挖掘技术等，来发现系统中潜在的安全隐患。

Ø 入侵检测
未来军工企业工业控制系统是一个与涉密网通过以太网或者总线形式连接的局域网，网络相对来说较为封闭，厂端与信息中心之间通信多采用专用的通信协议，必须部署能够识别基于工控协议入侵的检测设备。

Ø 异常行为审计
在工控网络中，通过被动检测的方式采集数据包，并进行数据包的解析，智能地与系统内置的协议特征、设备对象等进行匹配，生成可供参考的网络交互信息列表，通过对协议分布和流量信息的匹配，形成“工控场景行为基线”，以最直观的方式了解和掌握网络中的业务通信状态，发现工控网络潜在的安全风险。

Ø 工控威胁隔离
通过在控制层与生产层之间部署工业控制防火墙，能够自动学习归纳出生产常用的操作指令和规律，并加入白名单防护策略，对于攻击流量和非正常操作指令能够及时拦截，保证PLC只能收到合法的操作指令，漏洞不会被非法利用；

Ø 主机安全
对于工控系统来说，操作站等各类主机极有可能成为入侵的载体和跳板，保证该类主机的安全，是安全中的重点。
 
四、客户价值

工控安全建设，必须正确认识到工业控制系统（ICS）安全日益得到重视的背后原因，其实是ICS的IT化和普遍互联这两大发展趋势所驱动，要着手解决ICS的安全问题，正确的出发点必须是客观面对ICS和IT的联系和差异。不顾ICS的特点，照搬IT安全的套路是不可取的，片面夸大ICS和IT的差异，甚至割裂ICS与IT的联系，全面否定IT安全的借鉴经验，也同样不可取，需要将传统IT安全领域的风险管理理论和方法融入到工控安全建设中。