text: 护卫国之重器：工控系统安全的矛与盾 | CCCF精选
  本文从安全本质、威胁问题、防御体系、未来发展等多角度出发，深入探讨工控系统安全的根本来源和威胁模式，提出工控系统“识别-保护-检测-响应”一体化主动防御技术体系，从政策驱动和人才培养角度提出工控系统安全的发展方向，为构建工控系统信息物理安全主动防御框架提供理论指导。关键词：工控系统安全信息物理融合安全主动防御技术体系引言21世纪以来，随着自动化、计算机和通信等学科的迅猛发展和交叉创新，我国的自动化水平得到了巨大提升，在石油、化工、电力、冶金、国防等工业领域取得了重大技术突破，锻造了一系列“国之重器”，为改善国计民生和促进科学技术进步作出了重要贡献。在工业化和信息化深度融合的背景下，以智能制造为方向的新一代工业制造技术，以大数据、自主智能和人机融合为特征的人工智能技术，以5G、TSN、SDN等为代表的新一代信息通信技术，汇聚成了由工业互联网赋能的新一代工控系统。工业互联网被列入我国“新基建”八大核心领域之一，预示着控制系统信息化势必迎来新一轮的高速发展浪潮。然而，网络安全与信息化是一体之两翼，驱动之双轮。从2010年11月伊朗核电站控制系统遭受震网病毒攻击，到2019年3月委内瑞拉电力系统遭受网络攻击，针对工控系统的攻击事件频发，工控系统面临日益严峻的安全威胁，如图1所示。在全球信息化背景下，工控系统暴露在网络战争的炮火之下，不可避免地成为各种恶意势力攻击破坏的首要目标。工控系统安全是实现工业控制过程全面深度感知、高效精准分析和智能决策优化的前提与基石。为此，我国“十四五”规划提出“加强国家安全体系和能力建设”目标，为保护新时代“国之重器”构建系统化的安全防护框架。图1 工控系统攻击事件从系统特性看工控安全工控系统安全是全局性、多层次、多维度的系统性安全。工控系统面临诸多安全问题，究其根源，与工控系统的内生特性相关。信息系统开放性与控制系统封闭性之间的矛盾从系统目标的视角看，工控系统的本质是控制，互联网的核心目标是交换。因此，与传统互联网采用平等关系的点对点传输模式相比，工控网络多采用基于主从关系的非对等网络。互联网和控制业务的深度融合打破了传统工控系统相对封闭可信的运行环境，来自互联网的安全威胁可以渗透到控制系统的控制层和现场层。从设计思路的视角看，工控系统一般采用专用且相对封闭、可靠的通信线路，而互联网采用开放、透明、通用的通信网络。传统工业环境中的通信网络通过隐匿或隔离确保整个系统的安全性。但随着工控系统向互联网的转移以及工控网络与企业其他业务应用程序的整合，原本封闭的工控系统遭到破坏，越来越容易受到来自互联网的攻击。且大多数的工控系统通信协议在设计之初都未考虑机密性问题，基本是采用明文传输的方式，尤其是国内尚未建立自有、安全的工控网络通信协议和数据交换协议，传输数据存在极大的安全隐患。工业时代确定性思维和信息时代不确定性思维之间的冲突机械决定论的确定性是指一旦给定初始条件，就完全决定了一切。但工控系统内在非线性功能的耦合带来的阶段发展和变化的不确定性，以及复杂安全因素导致的威胁广谱性、攻击样式多样性，使工控系统面临具有不可知性的未知威胁，安全人员无法用简单的或确定的方式对其进行防御。此外，传统的工业软件开发工作侧重功能的正确性，并没有假设攻击方参与其中，而信息技术的不确定性还包含安全威胁的不确定性。信息系统中的漏洞、后门均被视为潜在的不确定性威胁。随着生产过程自动化的发展，功能强大的软件一方面促进了安全自动控制系统的发展，另一方面使工业控制和保护系统变得越来越复杂。软件组件的行为总被认为应该与它被编程时的逻辑完全一致，但实际上并非如此。传统的基于软件故障进行的统计描述会失效，管理概率故障的方法无法解决漏洞威胁，最先进的基于测试覆盖率的方法也无法保证覆盖率与错误率之间具有必然的联系。因此，在传统工业环境与互联网环境融合的大背景下，如何将传统工业时代的确定性思维与信息时代的不确定性思维结合是解决安全问题时应该考虑的因素。工控系统的矛盾和统一封闭与开放的矛盾和统一工控系统的封闭性与信息系统的开放性之间的矛盾是由客观发展规律造成的，难以避免且无法融合，因此，如何构建安全可靠的工控系统信息物理空间交互通道成为重要的研究方向。随着工业互联网的发展，工控系统提供开放的操作环境是必然趋势，否则难以适应信息科技的发展和日益激烈的产业竞争。从哲学角度讲，工控系统的封闭性和开放性既对立又统一，工控系统的封闭性体现其维护功能安全、网络安全的重要性，而开放性是从业务需求的角度寻求更多的发展契机，二者体现了安全与发展之间的关系，如同“鸟之双翼、车之双轮”。以电力系统为例，从安全角度来讲，我国电力网络遵循十六字方针“横向隔离、纵向认证、安全分区、网络专用”，将电力网络与外界系统隔断和分离，给电力网络构造了一个相对封闭的运行环境。与此同时，电力系统大力推进能源互联网、泛在电力系统、新型电力系统等，完善和提升电力系统的信息化、数字化水平，构建数据双向流通、新能源并网、分布式能源交易等系统开放电力资源。因此，有机协调封闭性与开放性之间的关系尤为重要，电力系统信息化的点多面广、逻辑复杂的控制环境给安全防护带来了严峻挑战。为解决这一矛盾问题，管理层要提高重视，构建合理的安全管理制度，在控制层做到适量适中的安全防护，在控制性能不受影响的前提下最大限度地增强系统的安全防护性能。确定性与不确定性的矛盾和统一信息系统的引入必然带来不确定性，而确定性是物理系统必然遵循的规则，工控系统是确定性和不确定性的统一体。在工业时代，人们以机械思维为美，追求标准化、专精化、同步化、集中化。机器生产取代了体力劳作，技术超越了技能。从1869年世界上第一条流水生产线投入使用，到1968年世界上第一块可编程逻辑控制器Modicon 084诞生，工控系统一直沿用工业时代可度量、可标准化的思路实现产品和生产的高度自动化。随着信息时代的到来，视角从宏观世界转入微观世界，系统论从简单转为复杂，科学认识从海森堡不确定性原理（Heinsberg’s Uncertainty Principle）发展到香农三大定律，人类不断改变思维模式，通过去除不确定性解决工业和社会问题。工业互联网的复杂性带来了诸多不确定性，工控系统本身也是复杂系统，加上数据可能被污染、伪造，算法本身可能存在缺陷等因素，融入信息系统的工控系统充满了对抗。随着计算泛在化，工控系统中的控制下移，系统智能决策比例逐步提升，整个工控系统运转的确定性中的不确定性本身就是一种不确定性。工控系统的新型安全威胁：信息物理融合安全工控系统面临的攻击越发频繁，攻击的威胁模式也越来越复杂。2010年，针对伊朗核设施的震网病毒通过U盘摆渡劫持上位机软件，并利用合法的可编程逻辑控制器（PLC）损坏离心机；2014年发现的Havex病毒可以入侵工控系统管理层，对目标供应链软件发起攻击；2016年黑客大会上提出的PLC蠕虫病毒可以在PLC之间自动传播；2017年发现的Triton病毒可以对安全仪表系统发起攻击；2019年Ransomware勒索软件通过入侵工控系统上位机并加密关键文件索取赎金。工控系统安全威胁随着工控系统信息化和智能化程度的提高，其面临的安全威胁不再局限于单一的信息空间或物理空间。经过分析，工控系统面临如下威胁：（1）物理攻击威胁。攻击者直接对可达的物理设备或基础运营设施进行损坏，如暴力破坏物理资产、强行中断电力、拆除关键设备等。（2）网络攻击威胁。通过互联网或内部网络，攻击者可以利用设备和协议漏洞入侵工控系统，获取敏感信息或控制设备实施远程破坏。（3）间谍行为威胁。攻击者利用木马病毒等方式，长期潜伏在系统中，获取关键信息或盗取系统机密，破坏系统安全性。（4）人为失误威胁。由于工控系统的运行必须依赖人员操作，操作者的非理智判断或失误也会导致安全事件的发生，因此人员问题也是一种不可忽视的安全威胁。（5）信息物理协同攻击威胁。这是工控系统面临的新型威胁，信息攻击和物理攻击在时空尺度上的协同，能够造成比单一攻击更为严重的攻击后果，且能保持较长时间的隐蔽性和持续性。信息物理融合安全工业数字化、网络化的发展使控制系统中的信息传输、状态估计、传感与反馈等可能被攻击者操纵，导致控制系统数据传输不安全、控制对象不稳定和机械结构不可靠，造成控制系统面临“所见非所得，所得非所执行”的困境。跨域网络攻击日益成为现实，物理域、信息域乃至认知域都将面临新的安全挑战。从信息侧发起攻击，引发关键信息所在基础设施内部信息域的局部扰动，再运用这种扰动构造跨越效应，引起信息域或物理域更大尺度的暂态变化，并结合物理侧手段进一步延迟或者破坏其他域的工作进程，从而导致严重的事故发生，这是发生在工控系统中常见的攻击流程，由信息侧引发的物理攻击造成的后果不可估量。基于信息物理融合的特性，工控系统的安全威胁既不能单纯在信息侧从传统信息领域角度分析，也不能仅考虑物理域存在的功能安全问题，而应认识到工控系统信息物理安全问题不再是两个系统中威胁的简单叠加，而是具有内在耦合关联，因而往往产生“1+1&gt;2”的协同效应。与传统互联网安全问题相比，工控系统信息物理融合使黑客能够利用的攻击链被拉长。信息空间的攻击目标包括软硬件漏洞、设备和协议的脆弱性，物理空间的攻击目标包括工控系统本身的设备故障或物理破坏。由于信息物理融合的高度复杂性，威胁向量的设计具有多样性，除了信息系统的脆弱性，工控系统的物理约束同样可被攻击者利用，因此，针对工控系统的攻击行为体现着极强的信息物理协同特点，例如，BlackEnergy在通过控制断路器切断输电线路的同时，执行DDoS攻击电话服务系统阻止故障上报。威胁建模传统工控系统更加关注可靠性，可靠性分析和安全评估是工控系统设计和研究的重点。面向物理空间的威胁建模方法主要包括故障树分析法、事件树分析法、可靠性框图法、马尔可夫分析法、GO-FLOW法和贝叶斯网络等。而针对信息系统的威胁分析，常见的威胁建模方法包括攻击树、STRIDE、DREAD、KillChain、ATT&amp;CK等，但这些威胁建模方法只适用于分析信息空间的网络攻击，并不能直接用于工控系统。因此，如何结合工控系统信息物理融合特征，研究适合工控系统的威胁建模方法是亟须解决的问题。现有一些工作在该方面有些探索，例如，STPA-Sec威胁模型细化了针对功能安全和信息安全威胁的分析过程，提出了控制层与组件层安全约束的映射方法，通过形式化建模方法对OCL、OWL-DL、SWRL、SysML、BIP等描述语言进行了拓展，以构建工控系统信息物理综合安全的统一建模框架。工控系统安全主动防御技术体系信息系统安全防御技术体系防护-检测-响应(Protection-Detection-Response，PDR)防御技术体系是最早体现主动防御思想的一种网络安全模型。PDR模型建立在基于时间的安全理论基础之上，包括防护、检测、响应三个过程，是一个可量化、可被数学证明的安全模型。与信息安全相关的所有活动，无论是攻击、防护、检测还是响应，都要消耗时间，因此可以用时间尺度衡量一个体系的能力和安全性。在PDR模型的基础上，美国国际互联网安全系统公司（ISS）将其优化为循环式PDR模型（P2DR），也称可适应网络安全模型。该模型包含4个主要部分：安全策略（policy）、防护、检测和响应。在整体安全策略的指导下，通过部署安全防护措施及时处置风险，并对处置过程中的经验进行总结，从而保证防护、检测和响应组成了动态安全循环。在P2DR模型的基础上，文献进一步将恢复环节提升到与防护、检测和响应等环节同等重要的程度，提出了PPDRR模型，也称为P2DR2模型。该模型是在整体安全策略的控制和指导下，综合运用防护工具和检测工具，通过适当的响应策略将系统调整到“最安全”和“风险最低”的状态。该模型能够解决对业务连续性要求很高的系统安全防护问题。APPDRR模型认为网络安全的第一个重要环节是风险评估，通过风险评估，掌握网络安全面临的风险信息，进而采取必要的处置措施，使网络安全水平呈现动态螺旋上升的趋势。第二个重要环节是安全策略，一方面，安全策略应当随着风险评估的结果和安全需求的变化做相应的更新；另一方面，安全策略在整个网络安全工作中处于原则性的指导地位，其后的检测、响应等环节都应在安全策略的基础上展开。系统防护是安全模型中的第三个环节，体现了网络安全的静态防护措施。接下来是动态检测、实时响应、灾难恢复三环节，体现了安全动态防护和安全入侵、安全威胁“短兵相接”的对抗性特征。面向工控系统信息物理安全的IPDR主动防御技术体系工控系统的保护对象和防护侧重点与传统信息系统各不相同，如表1所示。在设备层面，根据工艺生产要求，工控设备需要保持长周期运行，导致系统和软件实时更新困难，传统防病毒和检测手段难以保障安全；在协议层面，工业协议私有化程度高，为满足功能性、实时性要求，导致基础功能不完善，技术兼容性差；在业务方面，嵌入式计算环境对实时性要求高，但计算、存储资源有限，传统安全技术将导致较高的系统负荷。表1 信息系统与工控系统安全防御区别 从威胁源头来看，工控系统不仅面临来自信息侧的威胁，还面临物理域与信息域手段的叠加作用，因此防范难度更大。从现实案例来看，这种融合表现为阶段连续性的信息物理融合。面对信息物理融合带来的各类威胁，防御人员需要深入探究工控系统安全内涵和安全体系构建原则，综合考虑功能安全和信息安全，构建面向工控系统全生命周期的一体化安全防护体系。根据工控系统防护的脆弱性，遵循现有的工控系统安全防护要求，我们构建了“识别(identification)-防护-检测-响应（IPDR）”一体化的主动防御技术体系（如图2所示）。IPDR主动防御技术体系融合威胁识别、设备保护、入侵检测、攻击响应等安全防护技术，形成三大安全控制回路：系统安全加固回路通过分析控制工程设计架构、运行机理、历史记录等，识别工控系统的安全脆弱点，完善系统设备、控制行为和业务流程的安全加固方案；威胁实时防护回路通过监测物理系统业务流程和网络系统信息通信，检测工控系统异常状态并制定防御响应策略；系统加固与实时防护回路通过分析威胁实时防护的异常检测和响应策略，持续提升对系统脆弱性的识别能力，通过执行系统安全加固方案进一步提升系统异常检测和防御能力。图2 IPDR工控安全主动防御技术体系识别——全面识别工控系统在设计、运行、服务等全生命周期中组件、协议、设备等关键功能节点的自身脆弱性，并进行脆弱性关联分析；从刻画威胁行为模式及其影响的角度，识别并总结控制工程全生命周期各阶段的核心控制设备破坏、恶意代码注入等威胁的行为特征，以此制定识别策略应对潜在威胁。防护——基于识别环节所得到的脆弱性分析结果，利用安全加密、多重访问控制、设备可信保护等技术对工控系统本体进行加固；同时根据工控系统本体在控制工程设计、运行、服务等阶段的全生命周期中的交互行为，对编译器、控制器、操作系统及通信系统进行安全优化。检测——关联系统内部功能结构与外部威胁信息，分析工控系统功能、信息、操作等安全的相互依赖关系，根据系统自身结构与物理域的动态行为特征，关联管理、监控、控制与部件等层级的安全数据，进行静态威胁特征匹配与动态异常检测，实时发现工控系统运行、服务等时期的异常；基于攻击源指纹信息、系统设备状态、工控系统各层数据流信息，结合工控系统拓扑结构、系统动态行为特征，实现威胁位置及传播路径的跟踪溯源。响应——基于工控系统脆弱性与威胁事件的关联关系，结合网络安全防御技术与物理系统安全保障机制（功能安全与操作安全），构建结合功能、信息、操作等安全的前置防御响应策略库；结合专家知识与行业安全事件处置规则，构建基于特征匹配的应急响应方案科学决策机制。与现有安全防护技术体系相比，IPDR具有以下优势。针对性：不同于传统的安全模型，IPDR主动防御模型聚焦工控行业特点，从工控系统需求出发，分析防御技术与策略对工控系统功能、性能的影响，综合考虑防御效果、防御成本和场景需求之间的博弈平衡关系，有针对性地解决工控系统安全防护问题。全面性：IPDR模型以“识别-防护-检测-响应”四个关键步骤，形成一套完整的一体化主动防御体系，安全保护范围覆盖了工控场景中常被作为攻击目标的工业控制器、监控上位机、通信网络及其他工控设备，全面保护了数据采集、指令控制、信息传输等工控行为。系统性：IPDR模型各个环间相互支持，构成了完整的安全防护系统。三大回路闭环反馈，实现工控系统脆弱性识别、安全防护、异常检测和实时响应的一体化联动和持续提升，形成了可自动演化的安全防护生态系统。综合性：由于工控系统信息网络漏洞、网络攻击等安全威胁与物理系统业务逻辑缺陷、设备随机故障等安全风险深度耦合，单一信息网络防御或物理系统防御难以对工控系统提供有效防护。通过识别、防护、检测、响应四个防护模块联动，统筹各项防御措施，确保生产的信息安全、功能安全、操作安全，协同优化工控系统防御能力，提升工控场景的综合安全性。工控系统安全发展政策驱动工控系统安全至关重要，但保证工控系统百分百安全是难以做到的，安全产品的功能性往往被弱化以满足系统运行的可靠性要求，因此，寻求合理的安全方案是重中之重。首先，需要上层的政策驱动，从合法合规的角度将网络安全纳入企业运营规范的范畴，强调网络安全的重要性，安全是“1”，其他为“0”。出台从需求侧到供给侧的安全责任制度，提升产品内生安全能力、安全服务能力、上下游产业链安全的保障能力，强化安全标准、等保体系的落地实施，建立与企业信息化发展战略相匹配的安全管理制度和技术防护体系，落实安全主体责任。其次，网络安全是一个相对的概念，绝对安全是不可能实现的，因此，保护工控系统安全和满足生产需求必须并行不悖，构建动态管理和控制机制，把握安全防护的“度”，平衡安全投入和生产收益之间的关系。再次，从国家层面，构建网络安全标准体系，出台相应法律法规，通过鼓励和处罚相结合的方式，以项目立项、专项驱动等形式鼓励工控企业和研究机构落地部署安全设施，根据《网络安全法》《数据安全法》等法律条文管控工控企业安全风险。最后，构建工控设备生产商到产品应用企业的全链条产业生态，通过工控企业的安全需求倒逼工控设备的产品研发，将安全机制嵌入工控设备的功能模组中，打通安全需求与设备厂商之间的沟通管道。人才培养培养工业自动化和网络安全复合型人才，加强交叉专业能力培养和技能培训，建立符合工控系统安全人才需求的选拔机制，构建可持续、有梯队的工控安全人才培养体系。着力培养云计算、物联网、人工智能、工业信息化与智能化等方向的安全人才，强调交叉创新，强化控制、网络安全等学科关键信息基础设施安全课程体系建设，鼓励高校、科研院所、安全企业、平台企业和工业企业制定联合培养新模式，促进人才的双向流动，构建“仰望星空”前沿研究与“脚踏实地”工程项目之间的桥梁，实现项目需求、科学研究、人才培养之间的有效联动。开展工控安全技术队伍选拔评价，着力打造覆盖国家、地方、行业的，技术实力强、综合素质好的专业技术队伍。围绕威胁识别、设备保护、入侵检测、攻击响应等，发挥工控安全专业队伍合力，构建“上下联动、多方协同”工作机制，实现工控安全人才培养与工控信息化建设深度融合，构建与实际生产环境紧耦合、可持续的工控安全人才培养体系。总结近年来，数字化、网络化、智能化成为工业转型升级的典型特征，扩展到了包括电力、石化、冶金等在内的主流工控行业。原本独立、封闭的工控系统与互联网的广泛互联，对提高工控企业的生产管控、运作、节能减排效率发挥了积极作用。然而，开放的工控系统也带来了信息物理安全问题，本文从工控系统特性及其面临的安全威胁出发，分析了工控系统封闭性和开放性、确定性和不确定性的矛盾与统一问题，探索了工控系统面临的信息物理融合安全问题，提出了工控系统IPDR一体化主动防御技术体系，并结合政策管理和人才培养，对工控系统安全发展进行了展望。致谢：本文中的研究成果受到了科技部重点研发项目子课题“工控系统安全主动防御机制及体系研究”（2018YFB0803501）、中国科协决策咨询项目“工业控制系统安全国家战略研究”的支持，部分观点来自2022年中国计算机大会（CNCC）“护卫国之重器：工控系统安全的矛与盾”论坛的交流成果，在此特别感谢论坛共同主席马建峰，华中科技大学周纯杰、解放军战略支援部队信息工程大学魏强、360安全人才能力研究院姜思鸿、工业信息安全发展研究中心张格、中国南方电网陶文伟、北京航天紫光科技有限公司陈贺等论坛讲者的大力支持。程鹏CCF专业会员。浙江大学教授。主要研究方向为工业互联网安全、信息物理融合系统、数据安全。lunarheart@zju.edu.cn张镇勇CCF专业会员。贵州大学教授。主要研究方向为智能电网安全、人工智能安全、应用密码等zhangzy@gzu.edu.cn魏强CCF高级会员。解放军战略支援部队信息工程大学教授。主要研究方向为软件系统安全分析与工业互联网安全。funnywei@163.com特别声明：中国计算机学会(CCF)拥有《中国计算机学会通讯》(CCCF)所刊登内容的所有版权，未经CCF允许，不得转载本刊文字及照片，否则被视为侵权。对于侵权行为，CCF将追究其法律责任CCF推荐【精品文章】