广告
广告
缓解工控安全领域危机 国家应该推行准入制
您的位置 资讯中心 > 产业新闻 > 正文

缓解工控安全领域危机 国家应该推行准入制

2013-04-12 14:13:58 来源:OFweek工控网 点击:2030

【哔哥哔特导读】随着工业化和信息化的深度融合,公共基础设施通过工业控制系统也分享了“两化”融合所带来的管理水平提升的成果,同时也把互联网虚拟世界的破坏带进了真实的物理空间。

摘要:  随着工业化和信息化的深度融合,公共基础设施通过工业控制系统也分享了“两化”融合所带来的管理水平提升的成果,同时也把互联网虚拟世界的破坏带进了真实的物理空间。

关键字:  工控安全工业控制系统徐新国

随着工业化和信息化的深度融合,公共基础设施通过工业控制系统也分享了“两化”融合所带来的管理水平提升的成果,同时也把互联网虚拟世界的破坏带进了真实的物理空间。

当前中国工业控制领域的基本格局如何?中国的基础工业设施面临哪些威胁和挑战?如何打破外国企业产品在工控系统关键产品的市场垄断优势?记者专访了华北计算机系统工程研究所总工程师徐新国。他认为,只有从国家层面整合资源,推动国外产品进入国内市场的准入制度建设,创新发展国内工控系统防御思路,才能缓解目前工控安全领域的危机。

记者:目前我国的工控安全现状如何?面临的问题是怎么形成的?

徐新国:工业控制系统信息安全问题其实一直存在,它的安全隐患主要来自两方面。首先,传统工控系统在设计之初,计算资源和存储资源都非常有限,首要考虑的是实时性和功能性,在安全性方面往往缺乏完整的设计。

其次,随着信息技术的快速发展,工控系统变得越来越开放,特别是近年来国家推进工业化和信息化的深度融合,也是信息技术与控制技术融合的一个过程。工控系统与其他信息化系统结合越来越紧密,大量采用通用的操作系统平台、数据库系统、通讯协议和标准等信息技术,信息技术本身就存在安全隐患,它的引入势必放大控制系统的安全问题。

工控系统本身的重要性和应用环境的复杂性决定了它的安全问题并不仅仅是信息的泄露和安全,更重要的是它的安全性一旦遭到破坏可能引起与之相连的生产系统、生活系统也遭到破坏,造成重大安全事故、人员财产损失以及生态环境破坏。工控安全最重要的就是系统的本质安全问题。

记者:关键基础设施的工控安全主要体现在哪些领域?

徐新国:传统信息安全关注的是虚拟网络的安全,工控系统安全则与现实世界紧密联系,整个国民经济的各个领域都离不开工控系统,尤其是在电力(包括核电)、石油石化以及轨道交通等关键基础设施中的工控系统。它不仅是企业层面的问题,还是涉及国家基础经济和战略安全的重要问题,这些领域都是我们首要关注的领域。

记者:国内目前有没有可以解决本质安全问题的工控产品?

徐新国:事实上,中国工控产品的市场格局正是我们最担忧的问题。中国关键基础设施的控制系统现在有相当大的比例是国外公司供应的,比如西门子、施耐德和西屋电气等。关键系统由国外企业的产品运行就存在一些不可控的风险,如果采用的系统和数据库内核是别人的,别人只需要简单的逻辑激发就可以使你的系统瘫痪。

[#page#]

目前国内的工控产品,特别是高端工控系统方面实力还很弱,确实无法完全替代国外产品。像城铁系统的信号控制部分,目前工业和信息化部批准的9家有竞标资格的企业所采用的核心技术都依赖于国外。

记者:那你认为工控安全的问题应该如何解决?

徐新国:多年来我们一直在工业控制领域进行相关技术和产品的研究,工控安全问题我们很早就开始关注。在具体措施方面,首先,我认为应该先从立法入手,改变安全问题受制于人的现状。美国在这方面的做法值得参考,他颁布了国土安全总统令、联邦信息安全管理法、国家基础设施保护计划等相关法规战略以及配套的标准和指南,要求产品生产企业充分披露相关信息。而俄罗斯则推行了审查制,国外的产品要进入市场必须经过专门的测试、考评、认证和白盒审查。

在我们软硬件系统主要依赖进口的现况下,对于规范国外产品进入中国市场,国家应该推行准入制。所谓准入制,就是厂商必须备案,并声明产品没有安全问题。一旦发现问题得接受审查,有追溯机制。在产品使用的过程中,我们还可以要求对国外产品进行白盒检测。以前的黑盒测试,就是不管产品的具体设计,只要功能达到输入输出标准就行了。但是,现在我们要求厂商进一步披露信息,知道问题出在哪里,并且对出问题的环节问责、改进。当然,这需要进一步研究和设计出工控安全的基本准则,我们能提出明确的技术检测指标和方法,才有资格和别人进行博弈。

其次,就是需要各部委联合,集整个国家之力来推动这件事。总体而言,国内相关研究工作相对滞后,各方面的建设刚刚起步。与工控安全相关的企业目前有两类,一类是传统信息安全技术和产品提供商。他们普遍认为:工控系统安全是传统IT安全的延伸,希望通过传统信息安全防护技术应用于工控系统,来实现对工控系统的全面监控。但过度监控的理念,在资源有限的条件下,与工控系统要求的实时性和功能性是有冲突的,并且在复杂的应用环境下,传统信息安全手段也无法解决工控系统的本质安全问题。

另一类是工控产品提供商,出于成本的考虑和技术的限制,在提高自身系统安全性和相关防护产品方面,厂商普遍缺乏主动性,很少对自身产品的安全漏洞进行主动检测和公布。工控安全并不是单一学科、单一技术就能解决的问题,必须将信息安全技术、工业控制技术、功能安全技术等进行融合才能取得研究的突破。这就要求不同政府主管部门打破壁垒,开展深入合作,充分发挥大政府的优势,从顶层设计出发,带动相关行业、企业,进行思路上的深刻变革和高度的资源整合,才有可能实现工控安全研究的突破。

具体而言,可以组织相关技术和行业专家共同组成专家组,重点针对电力、石化、轨道交通等关键领域开展试点工作,开展行业工控系统安全问题的深入调研,进行漏洞分析和风险评估,制定行业安全标准,搭建测试、测评平台。在试点经验的基础上,进行推广应用,逐步形成我国工控信息安全防护的长效机制。

[#page#]

记者:你刚才主要讲了从国家立法层面和资源整合方面推动问题的解决,那从技术应用的角度来讲是否有什么新的思路?

徐新国:目前,我们使用的操作系统,最大的安全问题就是超级用户的问题。超级用户是操作系统体系架构设计之初,按照人类的思维模式制定的,具有当时的历史局限性。现在,具有无限权力的超级用户往往被病毒和入侵行为所利用,一旦被控制,就可以向控制对象发出破坏性指令,并向系统发送虚假数据信息,欺骗操作人员,造成事故和损失。

2010年的“震网”事件,就是很典型的例子。有的工控系统采用双工热备的方式进行安全防护,就是两套系统同时工作,一旦一套系统出现故障,就切换到另一套系统继续工作。但对于恶意入侵行为,由于两套系统的原理是一样的,一套系统被攻破,另一套也就不具有安全性。

基于多年来在工控领域的技术积累和应用实践,我们正在开展安全的实时数据库、实时操作系统,以及工控系统防危机制的研究。和一般信息系统相比,工控系统有两个特点:一是工业控制系统的运行状态是有限的,二是在每个状态下允许执行的指令也是有限的。这个和信息系统不一样,信息系统有很多指令可以处于中间状态,而工控系统由于它的应用特性导致他的状态一定是可以穷举的,并且可以用规则表达出来。

基于这个思路,我们根据不同工控系统的功能需求,提炼出设计原则,并进一步生成规则库。将规则库装入一套防危系统中,并保持与控制系统的联通,如果工控系统正常运行,防危系统则不进行干预。一旦发现控制系统状态异常,则进行相应的处理。从工控安全的基本要求来讲,这套防危系统不一定能满足系统的高效要求,但由于是完全独立于工控系统运行的,至少可以保证当系统运行异常的时候发出警示,避免系统在异常状态下导致的崩溃。目前,这套防危系统已经在一个地方电力系统中运用了。

实际的工控系统往往是一个复杂的网络,各设备之间存在着相互依赖关系,对一个设备的操作势必会对其他设备造成影响,针对独立设备的防危还不能完全达到整体防危的要求。目前我们正在深入研究具有主动、全局、实时等特性的工控系统防危机制。

本文为哔哥哔特资讯原创文章,未经允许和授权,不得转载,否则将严格追究法律责任;

阅读延展
工控安全 工业控制系统
  • 智能制造的风力发电机组方案的创新与应用

    智能制造的风力发电机组方案的创新与应用

    本文以智能制造的创新产品--风力发电机组解决方案的应用案例为重点,对其风力发电机总架构设计思想及方案实施,包括功能安全、工业控制系统信息安全及工业通信技术等领域的风力发电机自动化和网络技术的要求,以及实施所需的保护措施等新技术应用作分析研讨。

  • 加强工业控制安全防护基础 助力制造业高质量发展

    加强工业控制安全防护基础 助力制造业高质量发展

    近年来,针对工业控制系统的网络攻击呈现出显著的政治、军事和经济意图,工业控制系统逐渐成为网络空间对抗的主战场,提升我国工控安全防护水平已成为实现制造业高质量发展的重要基础。

  • 信号调理模块的原理与应用

    信号调理模块的原理与应用

    信号调理模块或称隔离变送器,是采用光电、磁电等隔离技术,实现输入输出信号相互隔离转换的装置。因其抗干扰能力强,传输精度高,广泛应用于仪器仪表、油田、石化加工、装备制造等领域,是工业控制系统中重要的组成部分。

  • 工业控制系统与视频监控系统

    工业控制系统与视频监控系统

    本文综合运用工业控制和视频监控两种不同专业领域的最新技术,设计了一套完整的解决方案,可以在同一监控网络中同时传输数据、视频、控制信号,在同一计算机软件的同一画面中同时进行工情和视频监控,从而实现了工业控制系统与视频监控系统真正意义上的“两网合一”。

  • 陕西省工业控制系统信息安全中心成立

    陕西省工业控制系统信息安全中心成立

    陕西省工信厅在省网络与信息安全测评中心的基础上成立陕西省工业控制系统信息安全中心,支撑陕西省工业控制系统信息安全工作。

  • 工控系统安全 不容忽视的安全领域

    工控系统安全 不容忽视的安全领域

    随着工业化与信息化进程的不断交叉融合,越来越多的信息技术应用到了工业领域。目前,超过80%的涉及国计民生的关键基础设施依靠工业控制系统来实现自动化作业。工业控制系统已经成为国家关键基础设施的重要组成部分,工业控制系统的安全关系到国家的战略安全。

微信

第一时间获取电子制造行业新鲜资讯和深度商业分析,请在微信公众账号中搜索“哔哥哔特商务网”或者“big-bit”,或用手机扫描左方二维码,即可获得哔哥哔特每日精华内容推送和最优搜索体验,并参与活动!

发表评论

  • 最新评论
  • 广告
  • 广告
  • 广告
广告
粤B2-20030274号   Copyright Big-Bit © 2019-2029 All Right Reserved 大比特资讯 版权所有     未经本网站书面特别授权,请勿转载或建立影像,违者依法追究相关法律责任