随着制造业的转型升级,万物互联网已成为工业信息系统中不可逆转的趋势。在工业信息系统与互联网逐步融合的过程中,安全问题逐渐凸显。
在成都举行的2018年网络安全周上,与会专家和业内人士表示,由于工业信息系统安全水平相对较低,漏洞较多,这些漏洞很容易被黑客利用。安全漏洞已成为工业互联网面临的主要安全问题。
据中国国家信息安全漏洞共享平台(CNVD)统计,2017年新增信息安全漏洞4798个,其中工业控制系统新增漏洞351个。与2016年同期相比,新增数量几乎翻了一番,工业控制系统漏洞呈快速增长趋势。未来,工业物联网领域的安全事件将继续呈现高发病率。
根据补天平台的监控数据,中国工业互联网联盟82家工业企业的ICS、SCADA等工业控制系统中,有28.05%存在漏洞,23.2%存在高风险漏洞。值得注意的是,这些漏洞只是所有系统漏洞的一小部分。由于缺乏基本的安全保障,大量的工业设备暴露在公共网络上,成为黑客甚至全球犯罪分子攻击的目标。
360企业安全集团董事长齐向东在接受《经济参考报》采访时表示,工业互联网下的信息安全暴露了工业企业的内部问题。首先,工业设备资产的基础不清楚。许多工业协议、设备和系统在设计之初并没有考虑到复杂网络环境中的安全性。系统生命周期长,升级维护少也是一个巨大的安全隐患。其次,许多工业控制设备缺乏安全设计。第三,设备联网机制缺乏安全保障。此外,IT和OT系统的安全管理相互独立,操作困难,部分智能制造厂的内部生产管理数据面临丢失、泄露、篡改等安全威胁。
FOFA系统通过对1182种工业互联网系统和16种工业互联网协议的统计,发现全网共有195243个工业互联网系统曝光。其中,Somfy产品最多,占62%;其次是德国BeckIPC,占23%;霍尼韦尔的EnergyICT和Tridium_niagaraax各占3%;其余均低于2%。这些设备主要用于智能电网、能源管理、建筑自控系统、工业控制等领域。
北京华顺新安科技有限公司安全总监吴明表示,这些设备没有安全防护措施,大部分都有漏洞。这些漏洞一旦被黑客掌握和利用,就可以直接通过远程获取设备权限,窃取信息,甚至导致系统瘫痪。一旦国家重要基础设施被侵犯,不仅涉及民生,而且对国家安全构成极大威胁。
例如,2017年电影经纪人泄露的NSA网络武器数据库包含了许多工业互联网系统漏洞,可以实现对设备的准确打击。通过这种方式,也可以实现频繁、大规模的漏洞打击。席卷世界的天堂勒索病毒利用电影经纪人发布的NSA漏洞——永恒的蓝色漏洞传播。通过漏洞、中石油、银行自动取款机、大学系统和其他政府和企业,大学被招募。
吴明说,对于当前的网络安全形势,可以通过全球网络开放服务资产主动或被动探索、捕获、存储、分析和整理不同类型的网络空间资产指纹信息(规则),对符合规则的资产进行统计分析,快速检索全球网络空间资产。
多位与会专家表示,要建立漏洞管理全过程监督处罚制度,制定全过程管理细则,如发现、审核、披露、通报、修复、追究网络安全漏洞等,强制及时修复漏洞,明确规定漏洞修复时间和违法处罚措施。此外,要建立监督检查机制和力量,及时发现未及时修复漏洞的行为,并追究有关单位和责任人的责任。
同时,有专家呼吁研究制定新一代信息技术在工业领域的安全结构,尽快突破一批工业信息安全关键核心技术,重点发展一批高端产品,形成具有市场竞争力的产品体系。我国现有工业信息安全产业(包括产品、技术、服务等)占整个IT产业的比重不到2%,远低于欧美发达国家的近10%。只有加强自主可控工控系统相关产业,才能在安全问题上掌握发言权。