作者 | 北京天融信科技集团 袁留记
近年来，以伊朗“震网”事件、乌克兰电网事件、台积电中招变种木马、委内瑞拉大停电为代表的工业控制系统安全事件，均是以工业主机为突破口，攻击整个工业控制系统。不难看出整个工业控制系统最脆弱、最不可控和最容易受到攻击的就是工业主机设备。
工业主机包括上位机（工程师站、操作员站）与工控服务器（应用服务器、实时数据服务器、历史数据服务器、OPC服务器）等主机设备，是整个工业控制系统的指挥中心，主要负责工业控制系统的工作流程、工艺管理、状态监控、数据采集、信息存储等工作。同时工业主机也是 IT/OT 技术融合的连接点，信息世界和物理世界的桥梁。
工控上位机的“服役”周期较长，操作系统老旧，存在大量漏洞，并且由于工业生产连续性的特点，导致工控上位机很难定期升级补丁，因此工控上位机已然成为各类网络攻击和安全事件的首要攻击目标。
问题分析
在上位机上运行的程序都是组态软件厂商开发的专用程序，或者是工程师开发的衍生程序，这些程序对于传统的防病毒软件来讲，往往是不被识别的，很容易被错误终止或删除。由于上位机上的应用程序“服役”时间较长，它又很容易成为攻击者的目标和恶意代码注入的对象。
上位机和现场设备之间的通信往往是专业的工控协议，这些协议在设计之初，只考虑到了功能特性，忽略了安全性的设计，因此，网络协议比较脆弱，技术深厚的攻击者往往比较容易挖掘到0day漏洞并进行利用。由于工控行业设备长周期运行的特点，这些漏洞会长期存在，得不到修复，这给恶意的攻击者提供了足够的攻击准备时间，也使得攻击路径不易被发觉，攻击后果更加惨重。
由于工控网络的相对封闭，工程师站上使用移动存储介质拷贝数据的行为比较普遍，这为攻击者提供了一条便捷的攻击路径，大量移动存储介质的不合规使用也为病毒的传播和蔓延提供了便利。
工程师的误操作或者未授权的恶意操作也会使上位机的软件环境发生变化，可能促发生产故障，引发安全生产事故。
在工业特定工作中部分系统调试和维护时，通常需要本地或远程接入上位机，对这些接入的移动终端缺乏有效的安全监管，易导致病毒引入或被植入恶意代码。
工业主机自身操作系统记录的日志有限，并没有存储机制，日志信息更是简单。缺乏有效的审计能力，对发生的安全事件无法追踪记录。
防护思考
对于上述脆弱性和威胁，工业企业可通过提升企业人员网络安全意识，加强供应链的管理，强化上位机防御技术和审计机制，建立综合防御体系，降低安全风险，以保护工业主机安全和正常生产秩序。
上位机作为工控网络环境的一部分，那么上位机安全防护也是整体工控网络安全防护的一部分，不能仅仅期望通过在上位机上实施一种安全手段就能全部解决上位机安全问题，也不能在其上下游乃至整个工控网络环境中留下“安全短板”。应本着“集中规划、分步实施”的原则来整体解决工控上位机的安全问题。应对工控环境的资产、网络结构、制度等进行全面的安全分析，对安全风险、威胁进行详尽的评估，从而制定周全的安全解决方案和实施规划。通过分步实施来逐步提升工控网络的安全防范能力。
在防范深度上，应充分分析各生产网络区域的重要性和业务的重要性，实现真正的安全结构分区，针对不同的安全分区的需求，实现层次化的安全防护，在保证“可用和安全”的前提下，尽量减少引入不利于工控环境的方案。
综合分析来看，工控上位机的防护需要建立适配工业企业场景的防御体系。建议工业企业应加强工业信息安全建设，强化端点安全防御，及时联动处置相关威胁事件，避免发生大规模网络安全事件；同时加强管理体系的建设，增强人员和供应链的管理，提高人员的网络安全意识；针对企业情况建立重大网络事件应急、响应预案。威胁没有消失，安全进化就不会停止，工业企业需通过不断完善防御体系，工控安全厂家需要加强安全技术研究，从而保障企业免遭信息安全威胁的影响，保证企业的安全生产。
原文来源：关键基础设施安全应急响应中心