张大卫

（中海石油炼化有限责任公司 北京 100029）

炼化行业是工业控制系统普及度较高的行业之一，同时也是对工控系统的控制策略复杂性及稳定性要求非常高的行业。在我国石油炼化行业中，主要工业控制系统包括集散控制系统（DCS）、可编程逻辑器件（PLC）、安全仪表系统（SIS）、可燃气报警系统（GDS）等，如今炼化企业中越来越多的工业控制系统对工厂正常生产运行起到了不可替代的作用，但同时也带来了不少安全问题。

石油炼化行业由于自身的特点，网络信息安全防护有其特殊性。一是炼化企业在遭受攻击后损失一般很严重，大型石油炼化装置一旦遭受攻击会直接影响到社会安定及国家经济发展和安全。二是攻击主体特殊，不同于以谋财为目的的网络诈骗等传统网络攻击，攻击者一般不是普通的黑客，而很可能是恐怖组织甚至是敌对国家的组织。

国内外出现过多次由信息安全引发的安全事故，比如2012年8月，沙特阿拉伯国家石油公司的3万多台电脑遭到黑客攻击，公司在应急响应不力的情况下停止了石油生产。据调查是黑客组织“正义之剑”出于政治目的实施了此次攻击；2000年，黑客在俄罗斯加斯普罗姆公司内部人员的帮助下突破了该公司的安全防护网络，致使该公司的天然气流量输出一度控制在外部用户手中，对该企业和俄罗斯造成了巨大的经济损失；2015年12月23日，乌克兰电力部门遭受到恶意代码攻击，攻击者入侵了监控管理系统，超过一半的地区和部分伊万诺-弗兰科夫斯克地区断电几个小时；2017年6月27日，乌克兰、俄罗斯、英国以及欧洲多国遭遇Petya类勒索病毒袭击，政府、银行、电力系统、通讯系统、企业以及机场都不同程度地受到了影响。

随着新型信息化技术在企业中的飞速发展，工控网络和企业管理网之间的联系越来越紧密。而传统工控系统采用专用的通信协议、软件及硬件，由于计算能力的限制，在系统设计时着重考虑效率和实时等特性，而未将信息安全作为主要指标考虑。与基于TCP/IP协议的信息系统的安全相比，我国工控系统由于长期以来没有得到关注，安全保护水平明显偏低。工控网络与企业管理网几乎没有隔离功能，防护功能很弱。在当前不断发展的“两化融合”需求下，工控网络与企业管理网络之间的数据交换成为必然，工控系统的安全风险就越发突出。系统中任何一点受到攻击都有可能导致整个系统的瘫痪，造成重大人员财产损失。

目前工控网络主要的安全威胁表现在以下几个方面：

（1）操作系统漏洞

目前大多数系统级工业控制系统的都是基于Windows平台的，由于Windows平台的漏洞，许多系统已经暴露于攻击之下。卡巴斯基曾做过的调查显示，越来越多运行了SCADA软件的电脑感染了相同的恶意软件，其中包括但不仅限于众所周知的木马、病毒、蠕虫、PUP以及其他一些针对Windows操作系统的漏洞利用。另外，对于大多采用嵌入式结构及专用实时操作系统的设备级工控系统，由于有限的计算资源，为了保证实时性和可用性，系统对信息安全的设计需求往往不够关注，从关键芯片到文件系统、进程调度、内存分配等都有可能存在安全漏洞。随着设备级工控系统越来越智能化和网络化，它已经成为重点攻击目标。

（2）应用软件漏洞

根据中国国家信息安全漏洞共享平台（CNVD）所发布的信息，2018年1—3月新增的工业控制网络相关的漏洞97个。其中高危漏洞和中危漏洞达到96%，由此可见工控相关应用系统和软件的安全性不足。隐患严重的软件Bug通常在软件发布初期出现的较多，随着软件版本不断更新而减少。工控应用系统中的高危漏洞的占比如此之高，说明这些目标系统的安全性设计和验证还处于初期阶段，存在着大量的安全优化空间，亟待自动化厂商在开发测试阶段就加入安全因素，降低中高危漏洞的数量。互联网攻击者很有可能会利用一些大型工程自动化软件的安全漏洞获取诸如炼化厂、天然气管道以及其他大型设备的控制权，一旦这些控制权被不良意图黑客所掌握，那么后果不堪设想。

（3）通信协议漏洞

工控通信协议作为工控设备与应用、设备与设备之间沟通的一种重要语言。工控系统中如果需要实现远程数据监控（SCADA）就一定离不开通讯协议，SCADA系统中会使用经由双方约定的协议直接与下层设备或数据采集转换器进行数据通信。随着工控网络中大量引入了以太网，TCP/IP 协议和OPC 协议等通用协议越来越广泛地应用在工业控制网络中，随之而来的通信协议漏洞问题也日益突出。因为一般的工控协议都经历了长时间的演变与积累，协议在设计之初都没有考虑加密、认证等在当今看来保障用户安全的必要认证条件，所以我们常见的工控网络协议的安全性一直都不高。加上工控协议的特性是面向命令、面向功能、轮询应答式，攻击者只需要掌握协议构造方式，并接入到了工控网络中，便可以通过协议对目标设备的任意数据进行篡改。

（4）管理流程漏洞

众多企业在工业控制系统管理方面普遍存在追求可用性而牺牲安全的现象，并且缺乏完整有效的安全策略与管理流程。2016年，来自俄罗斯的ICS/SCADA研究人员发布了一份被称为SCADAPaas的清单，清单中的全球上百款工控系统产品默认密码已在互联网泄露，涵盖范围从控制器到Web服务器，而相关厂商则涉及艾伦-布拉德利、施耐德电气以及西门子等业界巨头。如果以root方式对工业路由器、PLC或者其它ICS/SCADA设备进行远程接入，攻击者将了解到整个工业流程，并借此发动破坏性袭击。而炼化企业的工控系统普遍使用默认密码，存在严重信息安全隐患。

此外，对于移动存储介质在工控系统中的管理普遍存在着漏洞，需要企业制定更加严格的访问控制策略，否则攻击者很容易通过U盘等移动存储介质将木马、病毒感染给工控系统，给企业造成巨大的损失。