时间：2024-01-24 14:56:42
绪论：在寻找写作灵感吗？爱发表网为您精选了8篇工业互联网安全分析，愿这些内容能够启迪您的思维，激发您的创作热情，欢迎您的阅读与分享！
大数据作为一种通用技术应用在各个行业，为数据的管理和应用提供重要的技术支撑，近年来，随着工业互联网的快速发展，相较于传统的应用型数据，数据源范围扩大，数据边界不在清晰，包括设备、系统、网络、平台等数据，数据种类存在复杂的多样性，且数据流动方向和路径复杂，数据采集和数据集成难度也很大，本文从工业互联网大数据通用架构进行概要解析。
1大数据平台概述
工业互联网大数据应用的整体架构一般分为四个部分：采集后台、数据、应用前台以及运维管理。
1.1采集后台
通常利用主动探测扫描、通信流量监测、被动蜜罐诱捕以及信息系统数据对接等技术手段，实现数据采集的功能，采集数据源一般包括互联网数据，工业互联网相关联网资产、资产漏洞、安全事件、威胁情报、关键信息基础设施数据等。
1.2数据
智能大数据分析与建模平台，定位于降低数据洞察阻力、大数据使用门槛、数据交换成本、数据监控难度以及提升数据洞察广度、探索深度、交换速度和监控精度，满足各类数据的集成、计算、存储、挖掘、管理等需求。
1.3应用前台
基于数据提供的底层数据，进行数据分析，支撑基础资源管理、网络安全态势感知、APP情报动态线索挖掘、工业互联网安全等多个顶层应用，一般可服务于多部门、多业务、多场景。
1.4运维管理
实现系统自身的运维管理，一般包括系统管理、安全管理、智能监控、告警处理等功能。2大数据平台功能
2.1采集后台
2.1.1接入数据源分析2.1.1.1互联网流量通过部署流量探针的方式，接入基础电信企业流量，主要是互联网专线流量、特定对象的牵引流量等，生成包括通联日志、报文样本、域名日志、HTTP日志、恶意代码日志等各类日志。2.1.1.2主动探测数据通过公网部署扫描设备，实施安全扫描，主要针对重保用户的网页、应用商店APP的爬取，以及基于IP段的关键信息基础设施的扫描发现。2.1.1.3相关部门和企业已建系统数据相关已建系统的数据主要包括：网安技术管理平台、基础监测系统、信安系统、企业侧安全监测系统等。2.1.2数据采集数据采集系统包括采集基础电信企业流量，爬取互联网网页/APP内容，被动诱捕网络攻击行为，主动扫描获取关基数据、重保网站的数据、以及现有系统的数据资源共享，对“主动+被动”方式获取的数据进行解析，提取各类用以支撑网络安全监测分析业务的数据。2.1.2.1互联网流量采集在关键网络节点部署流量采集探针，负责网络原始流量的采集，提取各类用以支撑网络与信息安全监测分析业务的数据。输出的日志一般包括通联日志、报文样本、域名日志、HTTP日志和恶意代码日志。通过相应汇聚分流设备进行流量的同源同宿、负载均衡处理，输出至网络流量探针专用设备。通过流量探针专用设备实现互联网流量采集、协议解析和访问日志提取，将输出的日志存入数据支撑上层业务应用分析。2.1.2.2互联网内容爬取网络爬虫主要实现对网页内容以及APP内容的爬取下载，供上层应用进行分析。（1）网页爬虫：互联网用户访问的网页浩如烟海、数量庞大,传统的互联网爬虫技术已经不能满足当前网页信息获取的准确性、全面性、及时性的要求,因此,可以采用并行爬虫技术和IP池技术,让爬虫的质量、覆盖率、爬取效率等性能得到全面的提升。（2）APP爬虫：通过积累大量的互联网诈骗网站,使用蜘蛛爬虫技术和ip池技术,24小时不间断的对网络中的互联网诈骗网站进行爬取。2.1.2.3关键信息基础设施数据采集一般采用网络资产探测识别设备进行主动扫描采集数据，同时结合网络流量被动分析，形成一套完整的网络资产及其指纹库信息，指纹信息包含系统指纹、应用指纹、网站指纹等，从而可以对网站、域名、IP等基础资源数据形成本地的互联网信息库，为网络安全漏洞分析、安全漏洞预警等提供有效数据支撑。
2.2数据
2.2.1数据集成数据集成支持数据采集、过滤、缓存、中转分发调度等，是内外数据交换的通道，完成数据在组件间及层次间中转、缓冲及调度。一般会采用数据集成ETL模块，包括数据采集模块、数据清洗和转换模块，其中数据采集模块一般包括批量结构化数据采集、半结构化数据采集、非结构化数据采集；数据清洗与转换模块一般也包括结构化数据清洗与转换、半结构化数据清洗与转换、非结构化数据清洗与转换三个模板。2.2.2数据计算2.2.2.1流式计算一般具备流计算能力，可基于flink集群，支持读取kafka、socket、hdfs的数据源里的数据，通过配置stdp、字段定义解析器，将数据通过输出统计组件、统计监控组件、窗口、水印设置，最终输出规则配置，统计结果输出。2.2.2.2实时计算实时计算模块一般可提供了高吞吐、低延迟、高性能的流处理能力。2.2.2.3离线计算大数据离线计算，就是利用大数据的技术栈（主要是Hadoop），在计算开始前准备好所有输入数据，该输入数据不会产生变化，且在解决一个问题后就要立即得到计算结果的计算模式。离线计算特点如下：(1)数据量巨大，保存时间长。(2)在大量数据上进行复杂的批量运算。(3)数据在计算之前已经完全到位，不会发生变化。2.2.3数据存储大数据平台的数据存储，一般包括结构化数据存储模块、NOSQL数据存储模块、非结构化数据存储模块以及图数据存储模块。数据存储是大规模通用集群存储系统，对外支持标准文件访问接口。数据存储层采用MPP分布式列式数据库系统、分布式集群存储系统、Hadoop系统、分布式数据仓库和分布式图关系数据库系统。用于存储结构化数据、NOSQL数据、非结构化数据以及图数据的存储与访问。2.2.4数据挖掘2.2.4.1IDE引擎通过可视化界面，进行创建、管理、编辑脚本，使用人员可在界面上对数据进行操作，系统通过调用不同的IDE引擎下发相应的指令，操作对应的数据服务组件，返回相应的数据结果。2.2.4.2数据探索数据探索是在具有较为良好的样本后，对样本数据进行解释性的分析工作，它是数据挖掘较为前期的部分。数据探索并不需要应用过多的模型算法，相反，它更偏重于定义数据的本质、描述数据的形态特征并解释数据的相关性。通过数据探索的结果，可以更好的开展后续的数据挖掘与数据建模工作。2.2.5数据管理2.2.5.1数据共享通过固定接口（如webservice接口、FTP传输、数据库以及组件，封装后的API接口等），将数据共享到各应用平台进行应用。提供统一应用接口进行数据共享，相关接口主要包括数据接入适配、流处理接口适配、数据查询接口适配、数据分析接口适配、用户管理接口适配、系统对外开发接口等。2.2.5.2数据资产数据资产主要涉及到各类数据源采集的数据，包括：威胁情报库、漏洞库、病毒库、nv-彄、僵木蠕特征库；基础信息库、企业库、IP库、域名库2.2.5.3数据安全通过数据访问策略制定，数据加密脱敏，日志审计等方式，保障数据数据安全，确保经过传输和交换的数据不会发生增加、修改、丢失和泄露。
2.3应用前台
2.3.1数据分析在企业的数据分析项目中，数据驾驶舱是系统搭建的一个重要过程。通过数据驾驶舱，可以将采集的数据形象化、直观化、具体化，为企业业务的相关决策提供支撑。数据驾驶舱提供的是一个管理过程，让数据能够以更加有组织的方式来进行体现。2.3.2业务应用基于数据以及应用前台的数据分析能力，可支撑包括基础资源管理、网络安全态势感知、APP情报动态线索挖掘、工业互联网安、物联网安全等常见应用场景在内的各种业务、应用场景。
2.4运维管理
2.4.1系统管理针对系统进行统一的用户管理、角色管理、权限管理、日志管理和资源管理等功能，能够统一管理分布在不同网络和地域的多个数据中心集群，封装各类数据存储和处理引擎的功能，为不同地域和网络的数据中心系统提供统一的逻辑视图，为系统的管理员和用户提供一站式服务。2.4.2安全管理借助于防火墙、防病毒等安全产品，平台实现安全机制：认证机制、授权机制、访问控制、机密性和完整性。2.4.3智能监控通过通用的数据采集模板和和终端采集程序汇集数据，通过强大的ETL能力将数据迁移到监控，实现监控数据的集中分析和展示。2.4.4告警处理一般大数据平台具备告警处理功能，对平台的运行状态进行全面监测，提供运行异常及时发现和告警，系统部分故障的准确定位；同时，实现基础资源的统一化管理，为管理人员的维护决策提供重要支撑。
3结束语
目前各类大数据平台均是基于大数据分析核心扩展出各类组件，国内外的应用技术已经成熟。大数据脱离了对数据的治理和应用就失去了数据的灵魂，根据行业领域不同，大数据平台所做的数据治理、标准化、数据管理和其他所需功能和展现的形式，将会存在较大不同。
参考文献
[1]李杰.从大数据到智能制造[M].上海交通大学出版社,2016.
[2]孙念,傅为政.基于大数据的工业互联网安全分析[J].数字通信世界,2020(05).
【 关键词 】 移动互联网；恶意软件；样本自动化分析
1 引言
我国移动互联网正处在快速发展的历史机遇中，手机应用软件（APP）层出不穷、繁荣发展。但由于安卓系统的开源和开放性，手机木马、手机病毒等各类恶意APP也开始出现并迅速增粘，安卓平台的安全形势越来越不容乐观。
根据360安全中心的《2012年中国手机安全状况报告》显示，2012年360互联网安全中心新增手机恶意软件样本174977款，同比2011年增长1907%，感染人次71664334人次，同比2011年增长160%；其中，Android平台以新增样本123681款，占全部新增样本数量的71%，感染量达51746864人次，占恶意软件感染总次数的78%，成为手机恶意软件的主要感染平台。2012年12月，其更以单月新增30809款达到历史新高。
恶意软件导致的移动终端个人信息泄露问题日益严峻，相关负面报道的不断出现，例如2011年12月，一款名为CarrierIQ（简称CIQ）的内核级间谍软件被曝光，该软件会暗中收集用户隐私信息，甚至每按下一次键盘都会被秘密地记录在案，并将手机内容上传至网络，让手机用户对隐私泄露产生恐慌。
随着个人信息泄露问题日益严峻，智能手机终端个人信息保护日益受到人们关注，迫切需求制定移动互联网软件安全标准，研发移动互联网智能手机恶意软件监测、分析和查杀的相关技术和产品，保护用户个人信息安全，为用户提供安全可控的移动互联网安全产品和服务。
2 手机恶意软件自动分析检测技术发展
对手机恶意软件的样本进行分析和鉴定，需要有一套自动化的分析和检测系统。目前，对手机恶意软件样本的自动化分析技术主要包括两类。
（1）静态扫描技术：包括两种，一种是传统的特征码扫描匹配技术，另一种是基于数据挖掘的样本识别与分析技术，例如项目承担单位实现了基于机器学习的样本人工智能分析技术，亦即：在建立大量已知黑白样本的训练集基础之上，采用人工智能机器学习算法，对程序文件的静态、行为等特征进行抽取，建立一定的机器学习模型，经过对新样本的不断训练，训练模型将在检出率和误报率之间达到一个较好的平衡，从而实现对未知恶意软件的智能启发式识别能力。
（2）动态行为分析技术：即在一个特定的模拟环境中，监控应用软件的行为，建立恶意软件行为的动态模型，形成一系列恶意软件行为的规则库，通过实时监控识别未知的可疑恶意软件。
3 360移动互联网恶意软件检测分析平台
3.1 系统总体架构
360移动互联网恶意软件自动化分析系统的总体设计方案如图1所示。
3.1.1终端恶意软件查杀
恶意软件查杀的技术路线主要从客户端和云端实现恶意软件的监控与防御――在手机客户端实现主动防御功能，在云端实现联网云查杀的接口服务。其中，主动防御是对系统事件进行实时监控，即当发现手机客户端有异常行为，如未经用户同意即发送付费短信，或者私自联网时，可以在第一时间进行拦截，并且明确提示用户（由用户决定是否继续此行为以及对该软件的后续处理）。
对于普通用户来说，由于软件信息不够透明，用户可能仍无法定性软件是否真的为恶意，因此仅有主动防御对于根除恶意软件是不够的。采用云安全系统设计，用户可以通过与服务器的交互进行“云查杀”――由手机客户端提取该软件的特征码信息，上传至服务端进行即时校验，然后返回该软件的具体信息向用户展现，帮助用户做出准确判断。
3.1.2服务器端手机恶意软件样本自动化分析检测
通过对手机应用软件的使用特点及其面临的安全风险进行分析，选取和使用相应的自动化分析技术和软件权限检测技术。从安装与卸载、程序访问权限、数据安全性、通讯安全性以及人机接口安全性等方面的技术对手机应用软件的安全性进行检测，防止非授权访问、异常执行等。
主要包括三部分技术实现：静态的智能终端恶意代码识别技术；智能终端恶意代码样本收集和特征提取技术；基于动态分析的权限识别技术的实现。
3.2 云端手机恶意软件自动化分析检测技术
360在云端实现软件安全性分析与权限检测的技术实现方法如图2所示。
（1） 静态的智能终端恶意代码识别技术
恶意代码的识别技术主要分为两类：基于静态特征的恶意代码识别技术、基于动态分析的恶意代码识别技术，本工具研究中将采取静态分析和动态分析结合的技术路线。
基于静态特征的恶意代码识别技术基于样本分析软件的生产者、软件唯一ID、签名证书信息、版本、安装包文件特征（每个文件大小、数量、时间）、可执行文件特征、权限等静态特征信息，对可疑程序进行分析和特征匹配，从而判断是否为恶意代码。
通过反编译软件包的源代码并对源代码进行扫描，找出具有恶意代码特征的片段，并对其进行分析。关键分析涉及吸费行为、个人隐私、联网行为等可能出现安全问题的行为，如图3所示。
（2） 基于动态行为监控分析的识别技术
主要有两种方法。一种是建立系统底层检测模块，使其能够检测、拦截、记录恶意使用某些敏感权限的行为。另一种方法是使用钩子技术（Hook）来检测对敏感权限相关API的调用行为。
建立系统底层模块是指对现有的系统源代码进行改造，加入安全检测模块。检测工具可以对软件运行过程中的发送扣费信息、非法链接、非法内容、盗取用户隐私数据的行为进行检测、记录和处理。其流程如图4所示。
使用Hook技术对调用系统敏感API的行为进行检测。应用程序请求系统服务时，首先调用智能终端上的系统函数库，然后由系统函数库对智能终端设备内核API进行系统调用。在进行用户级调用和系统调用时设置监听拦截器，对应用程序调用信息进行监听、收集，将这些信息传递给检测引擎，检测引擎提取软件行为库中的软件行为模型与监听拦截的系统调用信息进行比对，将比对信息传递给分析引擎，分析引擎对这些信息进行分析，得出软件的行为特征。其流程如图5所示。
4 基于海量用户群体智慧的恶意行为分析
手机恶意软件的自动化检测技术仍处于其发展初期阶段。由于手机应用的特点，应用的部分敏感行为需要结合用户实际操作场景才能做出准确判断，这给完全自动化的检测带来的障碍。
我们正在尝试在360手机卫士软件中引入用户举报反馈机制，由海量用户对特定应用软件进行涉及用户隐私信息的敏感操作进行判定，并将判定结果及上下文信息回传至云端，在云端形成海量用户对应用软件行为的判定数据，并进一步通过数据挖掘的方法，实现对软件恶意行为的分析。其基本原理如图6所示。
360手机终端主动防御模块，对用户每款软件的行为判决，回传到云端。云端有了亿万用户对各款软件的投票之后，能够根据真实用户对软件行为的评判，利用群体智慧，完成软件的恶意行为分析。
基于大数据的云计算，包括三个核心模块。
1）MapReduce计算框架。云端可以灵活地选取不同时间窗内的用户评判，利用分布式计算，快速得出结果，并做交叉验证。
2）智能用户分类算法。采用聚类/分类算法，根据用户的安装软件情况，以及对软件行为的判决，将用户划分为若干类，得到分类用户的特征。在时间轴内迭代计算，不断调优用户的特征参数。
3）采用多种维度的计算方法，如二分法、参与度/覆盖度排名、90%置信区间等算法，结合用户特征参数，综合计算软件的恶意行为的可信度。
5 结束语
随着移动互联网恶意软件的爆发式增长，恶意软件自动化分析技术的需求日益强烈。在传统的PC互联网安全领域的静态分析和基于行为监控的动态分析方法，依然适用于手机恶意软件的自动化分析。与此同时，针对手机应用的特性，对于软件恶意行为的判定依赖于用户操作场景，给自动化分析带来障碍。
在此方面，奇虎360公司开始尝试依据海量终端用户对特定敏感行为的举报，通过数据挖掘的方法提升样本自动化分析的能力。
基金项目：
本文研究工作得到“新一代宽带无线移动通信网”国家科技重大专项课题《移动应用软件的认证管理软件开发》（2012ZX03002029）支持。
作者简介：
卞松山（1981-），男，毕业于北京工业大学，获得通信工程专业学士学位，现任北京奇虎科技有限公司核心安全团队技术经理，主要从事手机应用软件的安全分析检测的产品技术研发工作。
【 关键词 】 工业控制系统；scada；安全防护；解决方案
1 引言
现代工业控制系统（ics）包括数据采集系统（scada），分布式控制系统（dcs），程序逻辑控制（plc）以及其他控制系统等，目前已应用于电力、水力、石化、医药、食品以及汽车、航天等工业领域，成为国家关键基础设施的重要组成部分，关系到国家的战略安全。为此，《国家信息安全产业“十二五”规划》特别将工业控制系统安全技术作为重点发展的关键技术之一。
与传统基于tcp/ip协议的网络与信息系统的安全相比，我国ics的安全保护水平明显偏低，长期以来没有得到关注。大多数ics在开发时，由于传统ics技术的计算资源有限，在设计时只考虑到效率和实时等特性，并未将安全作为一个主要的指标考虑。随着信息化的推动和工业化进程的加速，越来越多的计算机和网络技术应用于工业控制系统，在为工业生产带来极大推动作用的同时，也带来了ics的安全问题，如木马、病毒、网络攻击造成信息泄露和控制指令篡改等。工业基础设施中关键ics系统的安全事件会导致出现：（1）系统性能下降，影响系统可用性；（2）关键控制数据被篡改或丧失；（3）失去控制；（4）严重的经济损失；（5）环境灾难；（6）人员伤亡；（7）破坏基础设施；（8）危及公众安全及国家安全。
据权威工业安全事件信息库risi（repository of security incidents）的统计，截止2011年10月，全球已发生200余起针对工业控制系统的攻击事件。2001年后，通用开发标准与互联网技术的广泛使用，使得针对ics系统的攻击行为出现大幅度增长，ics系统对于信息安全管理的需求变得更加迫切。
典型工业控制系统入侵事件：
（1） 2007年，攻击者入侵加拿大的一个水利scada控制系统，通过安装恶意软件破坏了用于取水调度的控制计算机；
（2） 2008年，攻击者入侵波兰某城市的地铁系统，通过电视遥控器改变轨道扳道器，导致4节车厢脱轨；
（3） 2010年，“网络超级武器”stuxnet病毒通过针对性的入侵ics系统，严重威胁到伊朗布什尔核电站核反应堆的安全运营；
（4） 2011年，黑客通过入侵数据采集与监控系统scada，使得美国伊利诺伊州城市供水系统的供水泵遭到破坏。
2 工业控制系统的安全分析
分析可以发现，造成工业控制系统安全风险加剧的主要原因有两方面。
首先，传统工业控制系统的出现时间要早于互联网，它需要采用专用的硬件、软件和通信协议，设计上基本没有考虑互联互通所必须考虑的通信安全问题。
其次，互联网技术的出现，导致工业控制网络中大量采用通用tcp/ip技术，工业控制系统与各种业务系统的协作成为可能，愈加智能的ics网络中各种应用、工控设备以及办公用pc系统逐渐形成一张复杂的网络拓扑。另一方面，系统复杂性、人为事故、操作失误、设备故障和自然灾害等也会对ics造成破坏。在现代计算机和网络技术融合进ics后，传统icp/ip网络上常见的安全问题已经纷纷出现在ics之上。例如用户可以随意安装、运行各类应用软件、访问各类网站信息，这类行为不仅影响工作效率、浪费系统资源，而且还是病毒、木马等恶意代码进入系统的主要原因和途径。以stuxnet蠕虫为例，其充分利用了伊朗布什尔核电站工控网络中工业pc与控制系统存在的安全漏洞（lik文件处理漏洞、打印机漏洞、rpc漏洞、wincc漏洞、s7项目文件漏洞以及autorun.inf漏洞）。
2.1 安全策略与管理流程的脆弱性
追求可用性而牺牲安全，这是很多工业控制系统存在普遍现象，缺乏完整有效的安全策略与管理流程是当前我国工业控制系统的最大难题，很多已经实施了安全防御措施的ics网络仍然会因为管理或操作上的失误，造成ics系统出现潜在的安全短板。例如，工业控制系统中的移动存储介质的使用和不严格的访问控制策略。
作为信息安全管理的重要组成部分，制定满足业务场景需求的安全策略，并依据策略制定管理流程，是确保ics系统稳定运行的基础。参照nerccip、ansi/isa-99、iec62443等国际标准，目前我国安全策略与管理流程的脆弱
性表现为：（1）缺乏安全架构与设计；（2）缺乏ics的安全策略；（3）缺乏ics安全审计机制；（4）缺乏针对ics的业务连续性与灾难恢复计划；（5）缺乏针对ics配置变更管理；（6）缺乏根据安全策略制定的正规、可备案的安全流程（移动存储设备安全使用流程与规章制度、互联网安全访问流程与规章制度）；（7）缺乏ics的安全培训与意识培养；（8）缺乏人事安全策略与流程（人事招聘、离职安全流程与规章制度、ics安全培训和意识培养课程）。
2.2 工控平台的脆弱性
由于ics终端的安全防护技术措施十分薄弱，所以病毒、木马、黑客等攻击行为都利用这些安全弱点，在终端上发生、发起，并通过网络感染或破坏其他系统。事实是所有的入侵攻击都是从终端上发起的，黑客利用被攻击系统的漏洞窃取超级用户权限，肆意进行破坏。注入病毒也是从终端发起的，病毒程序利用操作系统对执行代码不检查一致性弱点，将病毒代码嵌入到执行代码程序，实现病毒传播。更为严重的是对合法的用户没有进行严格的访问控制，可以进行越权访问，造成不安全事故。
目前，多数ics网络仅通过部署防火墙来保证工业网络与办公网络的相对隔离，各个工业自动化单元之间缺乏可靠的安全通信机制，数据加密效果不佳，工业控制协议的识别能力不理想，加之缺乏行业标准规范与管理制度，工业控制系统的安全防御能力十分有限。例如基于dcom编程规范的opc接口几乎不可能使用传统的it防火墙来确保其安全性，在某企业的scada系统应用中，需要开放使用opc通讯接口，在对dcom进行配置后，刻毒虫病毒（计算机频繁使用u盘所感染）利用windows系统的ms08-67漏洞进行传播，造成windows系统频繁死机。 另一种容易忽略的情况是，由于不同行业的应用场景不同，其对于功能区域的划分和安全防御的要求也各不相同，而对于利用针对性通信协议与应用层协议的漏洞来传播的恶意攻击行为更是无能为力。更为严重的是工业控制系统的补丁管理效果始终无法令人满意，考虑到ics补丁升级所存在的运行平台与软件版本限制，以及系统可用性与连续性的硬性要求，ics系统管理员绝不会轻易安装非ics设备制造商指定的升级补丁。与此同时，工业系统补丁动辄半年的补丁周期，也让攻击者有较多的时间来利用已存在漏洞发起攻击。以stuxnet蠕虫为例，其恶意代码可能对siemens的cpu315-2和cpu417进行代码篡改，而siemens的组态软件（wincc、step7、pcs7）对windows的系统补丁有着严格的兼容性要求，随意的安装补丁可能会导致软件的某些功能异常。
2.3 网络的脆弱性
ics的网络脆弱性一般来源于软件的漏洞、错误配置或者ics网络管理的失误。另外，ics与其他网络互连时缺乏安全边界控制，也是常见的安全隐患。当前ics网络主要的脆弱性集中体现在几个方面。
（1） 网络配置的脆弱性（有缺陷的网络安全架构、未部署数据流控制、安全设备配置不当、网络设备的配置未存储或备份、口令在传输过程中未加密、网络设备采用永久性的口令、采用的访问控制不充分）。
（2） 网络硬件的脆弱性（网络设备的物理防护不充分、未保护的物理端口、丧失环境控制、非关键人员能够访问设备或网络连接、关键网络缺乏冗余备份）。
（3） 网络边界的脆弱性（未定义安全边界、未部署防火墙或配置不当、用控制网络传输非控制流量、控制相关的服务未部署在控制网络内）。
（4） 网络监控与日志的脆弱性（防火墙、路由器日志记录不充分、ics网络缺乏安全监控）。
（5） 网络通信的脆弱性（未标识出关键的监控与控制路径、以明文方式采用标准的或文档公开的通信协议、用户、数据与设备的认证是非标准的。
（6） 或不存在、通信缺乏完整性检查。
（7） 无线连接的脆弱性（客户端与ap之间的认证不充分、客户端与ap之间的数据缺乏保护）。
3 工业控制系统的安全解决方案
工业控制系统的安全解决方案必须考虑所有层次的安全防护安全解决方案，必须考虑所有层次的安全防护。
（1） 工厂安全（对未经授权的人员阻止其访问、物理上防止其对关键部件的访问）。
（2） 工厂it安全（采用防火墙等技术对办公网与自动化控制网络之间的接口进行控制、进一步对自动化控制网络进行分区与隔离、部署反病毒措施，并在软件中采
用白名单机制、定义维护与更新的流程）。
（3） 访问控制（对自动化控制设备与网络操作员进行认证、在自动化控制组件中集成访问控制机制）工业场景下的安全解决方案必须考虑所有层次的安全防护。
根据国内ics及企业管理的现状，建议ics的信息安全机制的建立从三个方面考虑：1）借鉴国际规范制定适合我国国情的ics分区分级安全管理及隔离防护机制，制定相关技术标准，鼓励国内相关企业开发符合相关技术标准的专业防火墙、隔离网关等专业产品；2）按ics系统的应用类型建立工控网络信息安全网络架构规范和组网原则，制定ics系统网络设备选取及运行管理规范，禁止接入外来不可信存储设备；3）建立市场准入机制并制定相关文件。
目前，国内大型成套设备的ics系统基本上以国外工控系统为主，甚至有些设备直接是国外全套进口的。国外厂商在ics系统集成、调试和后续维护上有许多办法和手段以降低工程项目的后期运行维护成本。其中最典型的手段就是设备的远程维护，包括监控、诊断、控制和远程代码升级。这些功能的实施通常是借助外部公共网络平台远程操控。这些功能方便了系统开发建造商，但给我们的大型（包括重点）工业项目的日后运行带来重大隐患。外部攻击者可以通过这些路由控制或改变、介入并控制ics系统。从信息安全的角度应严格控制国外具有远程外部操作后门的ics系统与装置进入国内核心工控系统。另外，随着高性能的通用pc平台与工控系统对接，越来越多的工控核心装置采用pc硬件平台和微软操作系统作为系统的核心，这样做的好处是借助pc平台和微软软件系统下的大量高性能软件资源降低开发成本。但这样做的危害是将工控系统置于pc平台中的各种病毒和网络攻击的威胁下。虽然相关企业不断推出各种补丁与升级，但工控系统24小时常年不断的运行模式使得这种间歇式的软件修补与升级显得非常无助。所以选用基于pc硬件平台和微软操作系统的底层ics装置进入核心工控系统应该予以认真考虑。
参考文献
[1] 王孝良，崔保红，李思其.关于工控系统的安全思考与建议.第27次全国计算机安全学术交流会，2012.08.
[2] 张帅.ics工业控制系统安全分析.计算机安全，2012.01.
[3] 唐文.工业基础设施信息安全.2011.
[4] 石勇，刘巍伟，刘博.工业控制系统（ics）的安全研究.网络安全技术与应用，2008.04.
作者简介：
购物车(0)
