問(wèn)題分析

在上位機(jī)上運(yùn)行的程序都是組態(tài)軟件廠商開發(fā)的專用程序，或者是工程師開發(fā)的衍生程序，這些程序?qū)τ趥鹘y(tǒng)的防病毒軟件來(lái)講，往往是不被識(shí)別的，很容易被錯(cuò)誤終止或刪除。由于上位機(jī)上的應(yīng)用程序“服役”時(shí)間較長(zhǎng)，它又很容易成為攻擊者的目標(biāo)和惡意代碼注入的對(duì)象。

上位機(jī)和現(xiàn)場(chǎng)設(shè)備之間的通信往往是專業(yè)的工控協(xié)議，這些協(xié)議在設(shè)計(jì)之初，只考慮到了功能特性，忽略了安全性的設(shè)計(jì)，因此，網(wǎng)絡(luò)協(xié)議比較脆弱，技術(shù)深厚的攻擊者往往比較容易挖掘到0day漏洞并進(jìn)行利用。由于工控行業(yè)設(shè)備長(zhǎng)周期運(yùn)行的特點(diǎn)，這些漏洞會(huì)長(zhǎng)期存在，得不到修復(fù)，這給惡意的攻擊者提供了足夠的攻擊準(zhǔn)備時(shí)間，也使得攻擊路徑不易被發(fā)覺(jué)，攻擊后果更加慘重。

由于工控網(wǎng)絡(luò)的相對(duì)封閉，工程師站上使用移動(dòng)存儲(chǔ)介質(zhì)拷貝數(shù)據(jù)的行為比較普遍，這為攻擊者提供了一條便捷的攻擊路徑，大量移動(dòng)存儲(chǔ)介質(zhì)的不合規(guī)使用也為病毒的傳播和蔓延提供了便利。

工程師的誤操作或者未授權(quán)的惡意操作也會(huì)使上位機(jī)的軟件環(huán)境發(fā)生變化，可能促發(fā)生產(chǎn)故障，引發(fā)安全生產(chǎn)事故。

在工業(yè)特定工作中部分系統(tǒng)調(diào)試和維護(hù)時(shí)，通常需要本地或遠(yuǎn)程接入上位機(jī)，對(duì)這些接入的移動(dòng)終端缺乏有效的安全監(jiān)管，易導(dǎo)致病毒引入或被植入惡意代碼。

工業(yè)主機(jī)自身操作系統(tǒng)記錄的日志有限，并沒(méi)有存儲(chǔ)機(jī)制，日志信息更是簡(jiǎn)單。缺乏有效的審計(jì)能力，對(duì)發(fā)生的安全事件無(wú)法追蹤記錄。

防護(hù)思考

對(duì)于上述脆弱性和威脅，工業(yè)企業(yè)可通過(guò)提升企業(yè)人員網(wǎng)絡(luò)安全意識(shí)，加強(qiáng)供應(yīng)鏈的管理，強(qiáng)化上位機(jī)防御技術(shù)和審計(jì)機(jī)制，建立綜合防御體系，降低安全風(fēng)險(xiǎn)，以保護(hù)工業(yè)主機(jī)安全和正常生產(chǎn)秩序。

上位機(jī)作為工控網(wǎng)絡(luò)環(huán)境的一部分，那么上位機(jī)安全防護(hù)也是整體工控網(wǎng)絡(luò)安全防護(hù)的一部分，不能僅僅期望通過(guò)在上位機(jī)上實(shí)施一種安全手段就能全部解決上位機(jī)安全問(wèn)題，也不能在其上下游乃至整個(gè)工控網(wǎng)絡(luò)環(huán)境中留下“安全短板”。應(yīng)本著“集中規(guī)劃、分步實(shí)施”的原則來(lái)整體解決工控上位機(jī)的安全問(wèn)題。應(yīng)對(duì)工控環(huán)境的資產(chǎn)、網(wǎng)絡(luò)結(jié)構(gòu)、制度等進(jìn)行全面的安全分析，對(duì)安全風(fēng)險(xiǎn)、威脅進(jìn)行詳盡的評(píng)估，從而制定周全的安全解決方案和實(shí)施規(guī)劃。通過(guò)分步實(shí)施來(lái)逐步提升工控網(wǎng)絡(luò)的安全防范能力。

在防范深度上，應(yīng)充分分析各生產(chǎn)網(wǎng)絡(luò)區(qū)域的重要性和業(yè)務(wù)的重要性，實(shí)現(xiàn)真正的安全結(jié)構(gòu)分區(qū)，針對(duì)不同的安全分區(qū)的需求，實(shí)現(xiàn)層次化的安全防護(hù)，在保證“可用和安全”的前提下，盡量減少引入不利于工控環(huán)境的方案。