工控網(wǎng)絡(luò)安全，一直是網(wǎng)絡(luò)安全行業(yè)想積極探索的“深水區(qū)”，但這個(gè)“深水區(qū)”的深度和廣度都超出了想象。作為一個(gè)工控網(wǎng)絡(luò)安全管理人員，戰(zhàn)戰(zhàn)兢兢，如履薄冰，始終懷著敬畏之心在向前摸索，不敢妄言了解，只是將這幾年的一些想法和總結(jié)拿出來討論一下，如有不恰，敬請指正。
一、工控系統(tǒng)為什么很難進(jìn)行安全防護(hù)？
這得從工控系統(tǒng)的發(fā)展和特點(diǎn)說起。一般來說，工控系統(tǒng)主要運(yùn)行過程是通過采集遠(yuǎn)端生產(chǎn)設(shè)備上的生產(chǎn)運(yùn)行參數(shù)及相關(guān)運(yùn)行指標(biāo)，進(jìn)行集中分析處理后，再下發(fā)指令至遠(yuǎn)端生產(chǎn)設(shè)備，指揮相應(yīng)設(shè)備進(jìn)行生產(chǎn)和控制動(dòng)作。
所以，工控系統(tǒng)的用途是對大量工業(yè)生產(chǎn)設(shè)備進(jìn)行集約化管理和自動(dòng)化操作，其需要采集的數(shù)據(jù)點(diǎn)位非常多而較為分散，并且前端用于收發(fā)控制指令的設(shè)備（比如PLC和RTU）并不是具有較高的處理性能和信息處理能力；其使用的網(wǎng)絡(luò)為獨(dú)立網(wǎng)絡(luò)，不與互聯(lián)網(wǎng)和其他網(wǎng)絡(luò)直接相連；其使用的通信協(xié)議也一般為工業(yè)控制協(xié)議；其對穩(wěn)定性和實(shí)時(shí)性有著非?？量痰囊螅坏た叵到y(tǒng)所用版本和操作系統(tǒng)、相關(guān)設(shè)備更新速度都較慢，甚至遠(yuǎn)遠(yuǎn)落后于當(dāng)前主流。同時(shí)，由于工控系統(tǒng)完全服務(wù)于生產(chǎn)業(yè)務(wù)，隨著生產(chǎn)業(yè)務(wù)量的動(dòng)態(tài)變化，工控系統(tǒng)變化更是顯著變化。
從工控系統(tǒng)的特點(diǎn)就能發(fā)現(xiàn)，工控系統(tǒng)最重要的任務(wù)就是生產(chǎn)控制數(shù)據(jù)端到端的可靠通信；但從網(wǎng)絡(luò)安全防護(hù)角度來看，特別是傳統(tǒng)的網(wǎng)絡(luò)安全角度，似乎很難有準(zhǔn)確的切入點(diǎn)，更或者說一些傳統(tǒng)的網(wǎng)絡(luò)安全技術(shù)與工控系統(tǒng)的要求是存在沖突點(diǎn)的，更何況不同行業(yè)不同企業(yè)的工控系統(tǒng)都不盡相同，不同工控系統(tǒng)的運(yùn)行指標(biāo)和安全要求更是千差萬別。
要做好工控系統(tǒng)的安全防護(hù)方案，不僅要對工控系統(tǒng)及相關(guān)網(wǎng)絡(luò)有深入了解，更要對其所承載的業(yè)務(wù)有著足夠認(rèn)識。但從目前現(xiàn)狀來說，工控網(wǎng)絡(luò)安全人員與業(yè)務(wù)運(yùn)行、系統(tǒng)運(yùn)行的銜接性還有待加強(qiáng)，掌握的數(shù)據(jù)不夠準(zhǔn)確，對工控系統(tǒng)的網(wǎng)絡(luò)安全需求定位不夠清晰，導(dǎo)致實(shí)施的安全防護(hù)策略對系統(tǒng)運(yùn)行產(chǎn)生非正面的影響，或使用的相關(guān)網(wǎng)絡(luò)安全技術(shù)針對性不足，沒有真正起到防護(hù)作用，這些都會(huì)影響到生產(chǎn)業(yè)務(wù)的連續(xù)性，讓網(wǎng)絡(luò)安全部門成了“背鍋俠”。
二、在工控網(wǎng)絡(luò)中，網(wǎng)絡(luò)安全管理人員如何把握安全與業(yè)務(wù)的平衡？
這其實(shí)不光在工控網(wǎng)絡(luò)中存在類似情況，但確實(shí)是網(wǎng)絡(luò)安全管理人員的難題。想必現(xiàn)在大多數(shù)企業(yè)的系統(tǒng)運(yùn)行管理團(tuán)隊(duì)和網(wǎng)絡(luò)安全管理團(tuán)隊(duì)是兩個(gè)隊(duì)伍，這兩個(gè)團(tuán)隊(duì)經(jīng)常協(xié)同合作，但對待問題的出發(fā)點(diǎn)是截然不同。系統(tǒng)運(yùn)行管理團(tuán)隊(duì)需要立足當(dāng)前，借鑒過去經(jīng)驗(yàn)，排除問題和隱患，充分保證系統(tǒng)和業(yè)務(wù)穩(wěn)定；而網(wǎng)絡(luò)安全管理團(tuán)隊(duì)也是需要立足當(dāng)前，發(fā)現(xiàn)安全隱患，但不同的是，網(wǎng)絡(luò)安全管理團(tuán)隊(duì)是會(huì)著眼未來，評估問題和隱患對系統(tǒng)和業(yè)務(wù)造成的影響，進(jìn)而推動(dòng)問題和隱患整改，目的也是為了充分保證系統(tǒng)和業(yè)務(wù)穩(wěn)定。所以當(dāng)面對工控系統(tǒng)運(yùn)行和網(wǎng)絡(luò)安全發(fā)生沖突時(shí)，不光是系統(tǒng)運(yùn)行管理團(tuán)隊(duì)，甚至于管理層，都會(huì)優(yōu)先保證系統(tǒng)穩(wěn)定運(yùn)行，而暫時(shí)舍棄掉網(wǎng)絡(luò)安全，網(wǎng)絡(luò)安全管理團(tuán)隊(duì)確實(shí)也無可奈何。
其實(shí)，作為一個(gè)工控網(wǎng)絡(luò)安全管理人員，我也一直在思考：形成這種情況是因?yàn)楣た叵到y(tǒng)的特點(diǎn)決定業(yè)務(wù)優(yōu)先；但從另外一個(gè)角度看，目的都是為了充分保證系統(tǒng)和業(yè)務(wù)穩(wěn)定，工控系統(tǒng)運(yùn)行和網(wǎng)絡(luò)安全為什么會(huì)發(fā)生沖突呢？處理好這個(gè)問題就能很好的把握業(yè)務(wù)與安全的平衡。從根源上說，工控系統(tǒng)在建設(shè)之初并沒有過多考慮網(wǎng)絡(luò)安全的需求，后期安全的介入，特別是防護(hù)策略的部署和網(wǎng)絡(luò)安全設(shè)備的融入，會(huì)在工控系統(tǒng)中產(chǎn)生影響是不可避免的。如果在工控系統(tǒng)建設(shè)的時(shí)候就實(shí)現(xiàn)“同步規(guī)劃、同步發(fā)展、同步實(shí)施”的“三同步”原則，問題可能會(huì)極大消除，但對于已經(jīng)運(yùn)行的工控系統(tǒng)，網(wǎng)絡(luò)安全管理團(tuán)隊(duì)要首先做的是“以保業(yè)務(wù)為核心目標(biāo)，以尋找判斷處置系統(tǒng)被攻擊后可造成最大破壞力的風(fēng)險(xiǎn)點(diǎn)為重心向邊緣延伸，以破壞路徑分析和動(dòng)態(tài)風(fēng)險(xiǎn)評估為手段”統(tǒng)籌兼顧，以點(diǎn)帶面，逐步摸索所轄工控系統(tǒng)的安全需求，最后達(dá)到系統(tǒng)運(yùn)行和安全防護(hù)協(xié)調(diào)配合，互為補(bǔ)充的和諧狀態(tài)。
工控網(wǎng)絡(luò)安全管理人員要站在攻擊者的角度思考問題。
筆者認(rèn)為工控系統(tǒng)的數(shù)據(jù)雖然很重要，但對于攻擊者來說，不管是掌握數(shù)據(jù)，還是侵入系統(tǒng)，其所有行為的最終目的只有一個(gè)--破壞生產(chǎn)，那么他們的目標(biāo)只能是現(xiàn)場生產(chǎn)設(shè)備，從伊朗離心機(jī)中毒事件、烏克蘭核電廠事件和委內(nèi)瑞拉大規(guī)模停電事件中可以看到，攻擊者就是要破壞生產(chǎn)設(shè)備，而且這種破壞是不可逆的，破壞越徹底造成的影響就越大。所以從這個(gè)角度向外延伸，網(wǎng)絡(luò)安全管理團(tuán)隊(duì)要思考攻擊者會(huì)通過何種方式進(jìn)行系統(tǒng)，又會(huì)通過何種方式掌握控制現(xiàn)場生產(chǎn)設(shè)備，這樣就能有效的梳理出攻擊者破壞路徑，評估該路徑下存在的風(fēng)險(xiǎn)點(diǎn)，從而制定合理高效有針對性的防護(hù)措施。
三、工控網(wǎng)絡(luò)安全具體怎樣做，能夠真正切入到工控業(yè)務(wù)中去？
畢竟系統(tǒng)不一樣，看問題的角度不同，每個(gè)工控網(wǎng)絡(luò)安全管理人員的做法也不盡相同。在這里，我分享下我的方法。
筆者是從網(wǎng)絡(luò)運(yùn)行這個(gè)角度為切入點(diǎn)，開始逐步深入開展對所在工控系統(tǒng)進(jìn)行觀察了解的。因?yàn)楣た鼐W(wǎng)絡(luò)作為工控業(yè)務(wù)數(shù)據(jù)的承載體，肯定符合業(yè)務(wù)的承載要求，并且網(wǎng)絡(luò)安全設(shè)備首先是要融合進(jìn)入網(wǎng)絡(luò)中的，所以通過深入了解和網(wǎng)絡(luò)運(yùn)行中所面臨的問題，大部分的業(yè)務(wù)要求和所面臨的風(fēng)險(xiǎn)也呼之欲出；也可以通過網(wǎng)絡(luò)結(jié)構(gòu)和通信質(zhì)量的安全性、可靠性優(yōu)化，將網(wǎng)絡(luò)安全的理念和標(biāo)準(zhǔn)融入，形成安全域，分割風(fēng)險(xiǎn)域，再進(jìn)行風(fēng)險(xiǎn)隱患的逐一消減。
四、在網(wǎng)絡(luò)安全深入工控業(yè)務(wù)的過程中，要注意哪些原則呢？
在此過程中要保證網(wǎng)絡(luò)安全的靈活性。部分安全風(fēng)險(xiǎn)由于系統(tǒng)和歷史的原因，沒有辦法進(jìn)行完全消除。網(wǎng)絡(luò)安全管理團(tuán)隊(duì)要結(jié)合系統(tǒng)運(yùn)行團(tuán)隊(duì)進(jìn)行有效的管理和技術(shù)等措施消減，同時(shí)及時(shí)跟管理層進(jìn)行反饋，做到必要的風(fēng)險(xiǎn)接受；對處于非重點(diǎn)防護(hù)區(qū)域但與重點(diǎn)區(qū)域有交互的核心系統(tǒng)和設(shè)備，則要根據(jù)其屬性和運(yùn)行特點(diǎn)適當(dāng)提升其部分安全防護(hù)能力，防止網(wǎng)絡(luò)安全問題蔓延。
五、工控網(wǎng)絡(luò)安全管理人員要怎樣做才能體現(xiàn)自己的價(jià)值呢？
筆者認(rèn)為首先工控網(wǎng)絡(luò)安全管理工作的價(jià)值是合理合規(guī)部署網(wǎng)絡(luò)安全措施，感知工控系統(tǒng)的網(wǎng)絡(luò)安全隱患，降低風(fēng)險(xiǎn)，為生產(chǎn)業(yè)務(wù)穩(wěn)定運(yùn)行保駕護(hù)航。
那么安全管理人員要在工作中做到“擴(kuò)展格局、耐心觀察、大膽設(shè)想、靈活求證”這十六個(gè)字。工控網(wǎng)絡(luò)安全管理是站在一定高度，自上而下來看待問題的，所以工控網(wǎng)絡(luò)安全管理人員要有大視野，要從業(yè)務(wù)和行業(yè)的發(fā)展角度，找到真正的網(wǎng)絡(luò)安全需求和發(fā)展方向，要洞悉出現(xiàn)的網(wǎng)絡(luò)安全問題的本質(zhì)，要抓住網(wǎng)絡(luò)安全問題的重點(diǎn)來解決。
工控網(wǎng)絡(luò)是有其運(yùn)行規(guī)律和細(xì)節(jié)要求的，這要求安全管理人員要耐心，要深入到運(yùn)行維護(hù)中去，找到規(guī)律，發(fā)現(xiàn)細(xì)節(jié)，最終找到契合點(diǎn)和風(fēng)險(xiǎn)點(diǎn)；正如沒有一個(gè)企業(yè)的工控網(wǎng)絡(luò)是完全一樣的，針對工控網(wǎng)絡(luò)暴露出來的風(fēng)險(xiǎn)隱患也并不是全能夠依靠經(jīng)驗(yàn)?zāi)芴幚砗玫模绾斡行Ы鉀Q需要安全管理人員要敢想，結(jié)合管理措施和技術(shù)手段，做出大膽設(shè)想，進(jìn)而開展多種形式的驗(yàn)證，從模擬驗(yàn)證到并行驗(yàn)證在逐步過渡到現(xiàn)網(wǎng)驗(yàn)證，靈活小心貫穿始終。
本文作者王云鵬，CCIE8年, CISSP在讀，具有12年甲方網(wǎng)絡(luò)及網(wǎng)絡(luò)安全管理經(jīng)驗(yàn)，目前就職于北京油氣調(diào)控中心，任網(wǎng)絡(luò)安全主管，從事工控網(wǎng)絡(luò)安全管理及工控網(wǎng)絡(luò)架構(gòu)設(shè)計(jì)工作，不斷探索、尋找工控網(wǎng)絡(luò)的安全之道。
