隨著制造業(yè)的轉型升級,萬物互聯(lián)已經(jīng)成為工業(yè)信息系統(tǒng)中不可逆轉的趨勢,在工業(yè)信息系統(tǒng)逐步與互聯(lián)網(wǎng)進行融合的過程中,安全問題也逐漸凸顯出來。

日前在成都舉行的2018年網(wǎng)絡安全周上,與會專家和業(yè)內(nèi)人士紛紛表示,由于工業(yè)信息系統(tǒng)安全水平相對較低,漏洞較多,這些漏洞極易被黑客利用。安全漏洞成了工業(yè)互聯(lián)網(wǎng)面臨的首要安全問題。

據(jù)我國國家信息安全漏洞共享平臺(CNVD)統(tǒng)計,2017年新增信息安全漏洞4798個,其中工控系統(tǒng)新增漏洞數(shù)351個,與2016年同期相比,新增數(shù)量幾乎翻番,工業(yè)控制系統(tǒng)漏洞呈快速增長趨勢。未來,工業(yè)物聯(lián)網(wǎng)領域的安全事件還會繼續(xù)呈現(xiàn)高發(fā)狀態(tài)。

來自補天平臺的監(jiān)測數(shù)據(jù)顯示,我國工業(yè)互聯(lián)網(wǎng)聯(lián)盟成員中82家工業(yè)企業(yè)的ICS、SCADA等工控系統(tǒng)里,有28.05%都出現(xiàn)過漏洞,并且23.2%是高危漏洞。值得注意的是,這些漏洞還僅僅是全部系統(tǒng)漏洞的一小部分,大量的工業(yè)設備暴露在公網(wǎng)上,因為缺乏基礎的安全保障,成為黑客甚至是全球不法分子攻擊的目標。

360企業(yè)安全集團董事長齊向東在接受《經(jīng)濟參考報》記者采訪時說,工業(yè)互聯(lián)網(wǎng)下的信息安全,暴露出工業(yè)企業(yè)的內(nèi)部問題。首先,工業(yè)設備資產(chǎn)的“底數(shù)不清”,很多工業(yè)協(xié)議、設備、系統(tǒng)在設計之初并沒有考慮到復雜網(wǎng)絡環(huán)境中的安全性,系統(tǒng)生命周期長、升級維護少也是巨大的安全隱患。其次,很多工控設備缺乏安全設計。再次,設備聯(lián)網(wǎng)機制缺乏安全保障。另外,IT和OT系統(tǒng)安全管理相互獨立,操作困難,一些智能制造工廠內(nèi)部生產(chǎn)管理數(shù)據(jù)等面臨丟失、泄露、篡改等安全威脅。

FOFA系統(tǒng)通過對1182種工業(yè)互聯(lián)網(wǎng)系統(tǒng)和16種工業(yè)互聯(lián)網(wǎng)協(xié)議進行統(tǒng)計,發(fā)現(xiàn)全網(wǎng)共有195243個工業(yè)互聯(lián)網(wǎng)系統(tǒng)暴露在外。其中工業(yè)控制系統(tǒng)中Somfy產(chǎn)品最多,占62%;其次是德國Beck IPC,占23%;霍尼韋爾的EnergyICT和Tridium_NiagaraAX各占3%;其余均低于2%。這些設備主要針對智能電網(wǎng)、能源管理、樓宇自控系統(tǒng)、工業(yè)控制等領域。

北京華順信安科技有限公司安全總監(jiān)吳明表示,這些設備沒有任何的安全防護措施,大部分也都爆出過漏洞,這些漏洞一旦被黑客掌握并加以利用,則可以直接通過遠程的方式獲取設備權限、竊取信息,甚至還可能導致系統(tǒng)癱瘓。國家的重要基礎設施一旦被侵入,將不僅僅涉及民生,國家安全也將受到極大威脅。

例如,2017年影子經(jīng)紀人泄露的NSA網(wǎng)絡武器庫,包含眾多工業(yè)互聯(lián)網(wǎng)系統(tǒng)漏洞,可以實現(xiàn)對設備的精確打擊。通過該方式還可以實現(xiàn)頻繁的、大規(guī)模的漏洞打擊。席卷全球的“WannaCry”勒索病毒就利用了影子經(jīng)紀人公布的NSA漏洞——“永恒之藍”漏洞進行傳播。而通過該漏洞,中石油、銀行ATM機、高校系統(tǒng)等眾政企、高校中招。

吳明表示,對于目前的網(wǎng)絡安全形勢,可通過對全球網(wǎng)絡對外開放服務的資產(chǎn)進行主動或被動方式探測、抓取、存儲,分析整理不同種類的網(wǎng)絡空間資產(chǎn)指紋信息(規(guī)則),并對符合規(guī)則的資產(chǎn)進行統(tǒng)計分析,進而快速檢索全球網(wǎng)絡空間資產(chǎn)。

多位與會專家表示,應建立漏洞管理全流程監(jiān)督處罰制度,制定覆蓋網(wǎng)絡安全漏洞的發(fā)現(xiàn)、審核、披露、通報、修復、追責等全流程管理細則,強制要求漏洞及時修復,對漏洞修復時間以及違規(guī)處罰措施予以明確規(guī)定。此外,應建立監(jiān)督檢查機制和力量,及時發(fā)現(xiàn)未及時修復漏洞的行為,并追究相關單位和責任人責任。

與此同時,有專家呼吁,應該研究制定新一代信息技術在工業(yè)領域應用的安全架構,盡快突破一批工業(yè)信息安全關鍵核心技術,重點發(fā)展一批高端產(chǎn)品,形成具有市場競爭力的產(chǎn)品體系。我國現(xiàn)有工業(yè)信息安全產(chǎn)業(yè)(包括產(chǎn)品、技術、服務等)占整個IT行業(yè)的比重不足2%,遠低于歐美發(fā)達國家近10%的水平。只有做強自主可控的工控系統(tǒng)相關行業(yè),才能夠在安全問題上掌握話語權。(記者 楊燁 )