【软考信息安全】第二十四章 工业控制系统安全分析与防护

本文为软考信息安全工程师个人学习笔记，依据官方考试大纲与公开技术规范整理，仅用于学习交流，不作为商业用途。

一、工业控制系统概念及组成

1.1 基本定义

工业控制系统是由各种控制组件、监测组件、数据处理与展示组件共同构成的对工业生产过程进行控制和监控的业务流程管控系统。工业控制系统通常简称工控系统（ICS）。

英文缩写：ICS（Industrial Control System）。

1.2 系统分类

工业控制系统通常分为离散制造类和过程控制类两大类。

1.3 核心组件

控制系统包括SCADA系统、分布式控制系统（DCS）、过程控制系统（PCS）、可编程逻辑控制器（PLC）、远程终端（RTU）、数控机床及数控系统等。

关键设备说明：

• PCS系统：采用闭环控制，实时调节温度/压力/流量等参数（案例：100℃恒温控制）
• HMI：人机交互界面软硬件平台（如温度设置操作台）
• MTU与RTU：主终端设备（MTU）与远程终端设备（RTU）构成数据采集传输体系

二、工控系统安全威胁

根据已发生的典型事件看，工控系统的安全威胁主要来自五个方面：

威胁来源：

• 自然灾害：洪水/雷电对室外设备的物理破坏
• 内部威胁：操作失误（如错误指令输入）
• 设备故障：磁盘/服务器硬件失效
• 恶意代码：PLC蠕虫（震网病毒）、勒索软件
• 定向攻击：乌克兰电网攻击事件

三、工业控制系统安全隐患类型

除了传统IT系统的安全隐患外，工业控制系统还具有其特定的安全隐患，分析如下：

特有风险：

• 协议缺陷：Modbus等协议缺乏认证/加密（明文传输控制指令）
• 产品漏洞：PLC/SCADA/DCS等设备的软硬件漏洞
• 开放接入风险：电网等系统联网后暴露攻击面（案例：手机缴电费接口）
• 供应链风险：依赖西门子/三菱等国外厂商的关键技术断供风险

四、工业控制系统安全需求分析

工业控制系统的安全除了传统IT的安全外，还涉及控制设备及操作安全。

传统IT网络信息安全要求侧重于"保密性-完整性-可用性"需求顺序，而工控系统网络信息安全偏重于"可用性-完整性-保密性"需求顺序。

国家网络安全等级保护2.0标准已将工控系统列为等级保护对象。工控系统的网络信息安全主要有技术安全要求和管理安全要求两方面。

• 技术安全要求：安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心
• 管理安全要求：安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理

工控系统的安全保护需求不同于普通IT系统，要根据工业业务的重要性和生产安全，划分安全区域，确定安全防护等级，然后持续提升工控设备、工控网络和工控数据的安全保护能力。

核心特性：

• 优先级倒置：可用性>完整性>保密性（与传统IT系统相反）
• 等保2.0要求：新增"云大物移工"保护对象
• 防护体系：
  • 技术层面：物理环境/通信网络/区域边界/计算环境/管理中心五维防护
  • 管理层面：制度/机构/人员/建设/运维五位一体
• 防护要点：按业务重要性划分安全区域，持续提升设备/网络/数据防护能力

五、工控系统安全保护机制与技术

5.1 物理及环境安全防护

物理及环境安全是工控系统的安全基础。为保护工业控制系统的物理及环境安全，《工业控制系统信息安全防护指南》要求如下：

• 对重要工程师站、数据库、服务器等核心工业控制软硬件所在区域采取访问控制、视频监控、专人值守等物理安全防护措施。
• 拆除或封闭工业主机上不必要的USB、光驱、无线等接口。若确需使用，通过主机外设安全管理技术手段实现严格访问控制。

核心区域防护：对工程师站、数据库、服务器等核心区域需实施三重防护措施：访问控制（如门禁系统）、视频监控（留存追溯证据）、专人值守（核设施等关键场所需军队驻守）。机房外设备需锁闭在防护箱内。

外设管理：必须拆除或封闭工业主机非必要接口（USB/光驱/无线），确需使用时需通过外设安全管理平台实现严格访问控制，包括U盘病毒查杀和敏感内容检测。数据交互应通过安全检测平台完成。

5.2 安全边界保护

安全边界保护：为确保有安全风险的区域隔离及安全控制管理，工业企业应将工业控制系统划分为若干安全域。工业控制系统的开发、测试和生产应分别提供独立环境，避免把开发、测试环境中的安全风险引入生产系统。

安全隔离类型分为物理隔离、网络逻辑隔离等高网关。常见的工业控制边界安全防护设备包括工业防火墙、工业网闸、单向隔离设备及企业定制的边界防护网关。

企业按照实际情况，在不同安全区域边界之间部署边界安全防护设备，实现安全访问控制，阻断非法网络访问。

安全域划分：工控系统必须划分为开发域、测试域、生产域三个独立环境，防止开发测试环节的安全风险传导至生产系统。

隔离技术：

• 物理隔离：工业网闸、单向光闸等设备
• 逻辑隔离：工业防火墙、定制安全网关

部署原则：根据实际业务需求在不同安全域边界部署防护设备，实现访问控制与非法访问阻断，符合等保2.0要求。

5.3 身份认证与访问控制

常见的认证技术：口令密码、USB-Key、智能卡、人脸、指纹、虹膜等。

• 防范口令撞库攻击及敏感认证信息泄露影响，不同系统和网络环境下禁止使用相同的身份认证证书信息，减小身份信息暴露后对系统和网络的影响。
• 对于工业控制设备、SCADA软件、工业通信设备等设定不同强度的登录账户及密码，并进行定期更新，避免使用默认口令或弱口令。

针对内部威胁，工业企业的安全权限管理应遵循最小特权原则。具体内容如下：

• （1）在工业主机登录、应用服务资源访问、工业云平台访问等过程中使用身份认证管理，对于关键设备、系统和平台的访问采用多因素认证。
• （2）合理分类设置账户权限，以最小特权原则分配账户权限。
• （3）强化工业控制设备、SCADA软件、工业通信设备等的登录账户及密码，避免使用默认口令或弱口令，口令定期更新口令。
• （4）加强对身份认证证书信息的保护力度，禁止在不同系统和网络环境下共享。

认证方式：支持口令密码、USB-Key、智能卡、生物特征（人脸/指纹/虹膜）等多种技术，关键系统需采用多因素认证（如密码+UK+短信验证码组合）。

密码管理：

• 禁止跨系统使用相同凭证，防止撞库攻击导致全面沦陷
• 工控设备/SCADA软件需设置差异化强密码，定期更新
• 严禁使用默认口令或弱口令（如admin/123456）

权限原则：

• 最小特权分配：仅授予必要权限（如不给普通操作员管理员权限）
• 证书信息保护：禁止跨系统共享数字证书

5.4 远程访问安全

原则上严格禁止工业控制系统面向互联网开通HTTP、FTP、Telnet等高风险通用网络服务。

确需远程访问的，采用数据单向访问控制等策略进行安全加固，对访问时限进行控制，并采用加标锁定策略。

确需远程维护的，采用虚拟专用网络（VPN）等远程接入方式进行。

保留工业控制系统的相关访问日志，并对操作过程进行安全审计。

基本原则：禁止工控系统直接连接互联网，严禁开放HTTP/FTP/Telnet等高危服务。

例外处理：

• 必要远程访问：采用单向访问控制（如光闸）+时间限制（如仅工作日9:00-17:00开放）
• 远程维护：强制使用VPN加密通道
• 审计要求：完整保留访问日志，记录操作人员、时间、行为等关键信息，支持事后追溯。

5.5 工控系统安全加固与安全审计

工控系统安全加固：通过安全配置策略、身份认证增强、强制访问控制、程序白名单控制等多种技术措施，对工程师站、SCADA服务器、实时数据库等工控组件进行安全增强保护，减少系统攻击面。

工控安全审计：工业企业部署安全审计设备，保留访问日志，定期进行备份，通过审计人员账户、访问时间、操作内容等日志信息，追踪定位非授权访问行为。

加固措施：

• 安全配置：关闭非必要服务端口
• 身份强化：增加多因素认证
• 访问控制：实施白名单机制（仅允许可信程序运行）
• 攻击面缩减：定期漏洞修补

审计实施：

• 部署专用审计设备
• 日志管理：至少保留6个月操作日志并异地备份
• 审计内容：重点监测非授权访问行为（如越权操作、异常时间登录等）

5.6 恶意代码防范

《工业控制系统信息安全防护指南》对恶意代码防范的相关安全要求如下：

• （1）在工业主机上采用经过离线环境中充分验证测试的防病毒软件或应用程序白名单软件，只允许经过工业企业自身授权和安全评估的软件运行。
• （2）工业企业需要建立工业控制系统防病毒和恶意软件入侵管理机制，对工业控制系统及临时接入的设备采用必要的安全预防措施。安全预防措施包括定期扫描病毒和恶意软件、定期更新病毒库、查杀临时接入设备（如临时接入U盘、移动终端等外设）等。
• （3）密切关注重大工控安全漏洞及其补丁发布，及时采取补丁升级措施。在补丁安装前，需对补丁进行严格的安全评估和测试验证。

离线验证原则：工业主机安装的防病毒软件或白名单软件必须在与生产环境物理隔离的离线环境中完成充分验证测试，确保无木马或病毒。例如汽车生产线若感染病毒可能导致整车报废。

管理机制建设：需建立防病毒和恶意软件入侵管理机制，具体措施包括：

• 病毒库每周更新（字幕中强调"定期"）
• 对外接设备（U盘、移动终端等）进行强制查杀

补丁管理流程：对重大工控安全漏洞补丁需执行"评估-测试-部署"三步流程：

• 在测试环境验证兼容性
• 模拟生产环境压力测试
• 确认无异常后方可上线

5.7 工控数据安全

工业生产数据是工业企业的核心资源，常见的工业数据类型有：

• 研发数据（研发设计数据、开发测试数据等）
• 生产数据（控制信息、工况状态、工艺参数、系统日志等）
• 运维数据（物流数据、产品售后服务数据等）
• 管理数据（系统设备资产信息、客户与产品信息、产品供应链数据、业务统计数据等）
• 外部数据（与其他主体共享的数据等）

工业生产数据的安全目标是保障数据全生命周期的可用性、完整性、保密性和时效性，防止遭受未授权泄露、修改、移动、销毁，特别是防止实时数据延缓滞后，防护措施如下：

• （1）静态存储和动态传输过程中的重要工业数据进行保护，根据风险评估结果对数据信息进行分级分类管理。
• （2）定期备份关键业务数据，关键业务数据，如工艺参数、配置文件、设备运行数据、生产数据、控制指令等进行定期备份。
• （3）对测试数据进行保护。测试数据，包括安全评估数据、现场组态开发数据、系统联调数据、现场变更测试数据、应急演练数据等进行保护，如签订保密协议、回收测试数据等。

数据分类：

• 研发数据：设计图纸、测试数据等
• 生产数据：工艺参数、控制指令等（需重点保护）
• 运维数据：物流信息、售后记录
• 管理数据：客户信息、供应链数据
• 外部数据：共享数据

防护四要素：需保障数据的可用性、完整性、保密性，特别强调时效性（如实时控制信号延迟超过t毫秒可能导致生产事故）

核心措施：

• 静态存储加密+动态传输加密（采用国密算法）
• 关键数据每日增量备份+每周全量备份
• 测试数据管理：签订保密协议、物理销毁存储介质（政府/军工企业采用硬盘不回收制度）

5.8 工控安全监测与应急响应

《工业控制系统信息安全防护指南》针对网络安全监测与应急响应的相关要求如下：

• （1）在工业控制网络部署网络安全监测设备，及时发现、报告并处理网络攻击或异常行为。
• （2）在重要工业控制设备前端部署具备工业协议深度包检测功能的防护设备，限制违法操作。
• （3）制订工控安全事件应急响应预案，当遭受安全威胁导致工业控制系统出现异常或故障时，应立即采取紧急防护措施，防止事态扩大，并逐级报送直至属地省级安全监管和信息化工业主管部门，同时注意保护现场，以便进行调查取证。
• （4）定期对工业控制系统的应急响应预案进行演练，必要时对应急响应预案进行修订。
• （5）对关键主机设备、网络设备、控制组件等进行冗余配置。

监测体系：

• 部署工控专用IDS（入侵检测系统）
• 关键设备前端安装工业协议深度包检测防火墙

应急五要素：

• 预案制定：结合具体生产场景（如化工、电力等）
• 逐级上报：异常→安全部→省工信部门
• 现场保护：取证需保留原始日志
• 季度演练：验证预案可操作性
• 冗余配置：主机/网络设备N+1热备

5.9 工控安全管理

《工业控制系统信息安全防护指南》针对安全管理的相关要求包括：

• （1）建设工业控制系统资产清单，明确资产责任人，以及资产使用及处置规则。工业企业应建立工业控制系统资产清单，包括信息资产、软件资产、硬件资产等。
• （2）对关键主机设备、网络设备、控制组件等进行冗余配置。
• （3）安全软件选择与管理。一是在工业主机上采用经过离线环境中充分验证测试的防病毒软件或应用程序白名单软件，其中，离线环境指的是与生产环境物理隔离的环境。二是建立防病毒和恶意软件入侵管理机制，对工业控制系统及临时接入的设备采取病毒查杀等安全预防措施。
• （4）配置和补丁管理。一是对工业主机和工业控制网络设备进行安全加固，开展漏洞扫描配置进行分析，形成分析报告。其中，重大配置变更是指重大漏洞补丁更新、安全设备的新增或减少、安全策略的重大变更等，同时，在变更过程中对出现的风险进行分析，并在离线环境中对配置变更进行安全性验证。三是密切关注重大工控安全漏洞及其补丁发布，及时采取补丁升级措施。
• （5）供应链管理。一是选择工业控制系统规划、设计、建设、运维或评估服务商时，优先考虑具备工控安全防护经验的企事业单位，以合同等方式明确服务商应承担的信息安全责任和义务。二是以保密协议的方式要求服务商做好保密工作，防范敏感信息外泄。
• （6）落实责任。通过建立工控安全管理机制、成立信息安全协调小组等方式，明确工控安全管理责任人，落实责任制，部署工控安全防护措施。

资产清单：

• 涵盖硬件/软件/信息资产（如某PLC控制器明确维护人）
• 实行"资产到人"责任制

变更管理：

• 重大变更需影响分析（如安全域重组）
• 配置变更前需在测试环境验证72小时

供应链安全：

• 服务商选择标准：具有工控安全防护经验
• 合同需明确信息安全条款
• 核心供应商签订保密协议

责任落实：

• 建立跨部门安全协调小组
• 实行"谁主管谁负责"追责制度

5.10 工控安全典型产品技术

工业控制系统的安全产品技术除了传统的IT安全产品技术外，相关安全厂商也根据工业控制系统环境的特殊要求，研发了相关工控安全产品技术，主要有：

• 1.防护类型：典型技术产品有工业防火墙、工控加密、工控用户身份认证、工控可信计算、系统安全加固等。其中，工控防火墙区别于传统防火墙，工控防火墙可对进入工业控制网络中的网络数据包进行深度分析，可以解读工控协议数据包内容；工控加密有VPN、加密机、数据加密工具等具体实现形式；工控用户身份认证有传统的口令认证、双因素认证以及基于人脸、指纹、虹膜等生物认证技术；可信计算可采取密码和硬件安全技术，确保工控主机可信环境和设备可信连接；系统安全加固针对工控主机和终端设备的安全不足，采取包括强化认证、强制访问控制、应用白名单等、安全配置、恶意代码防护等。
• 2.物理隔离类型：针对工控系统的不同安全区域，为实现更强的安全保护，通过物理隔离技术防止不同安全域的非安全通信。常见技术产品有网闸、正向反向隔离装置。
• 3.审计与监测类型：用于掌握工控系统的安全状态，主要产品有工控安全审计和工控入侵检测系统（IDS）。
• 4.检查类型：工控安全检查类型产品技术主要有工控漏洞扫描器、工控漏洞挖掘、工控安全基线检查等。
• 5.运维和风险管控类型：主要有工控堡垒机、工控风险管理系统等。其中，工控堡垒机可以用于集中管理工控设备的运行维护和运维过程审计，减少安全隐患；工控风险管理系统则用于管理工控系统的资产、安全威胁、漏洞及潜在影响的综合平台。

防护类技术：

• 工控防火墙：与传统防火墙不同，能深度解析工控协议数据包内容
• 工控加密：包括VPN、加密机、数据加密工具等具体实现形式
• 身份认证：涵盖口令认证、双因素认证及人脸/指纹/虹膜等生物认证技术
• 可信计算：通过密码学和硬件安全技术，确保工控主机可信环境和设备可信连接
• 系统加固：采用身份增强认证、强制访问控制、应用白名单等5项核心措施

物理隔离技术：

• 典型设备：网闸和正反向隔离装置
• 核心功能：实现不同安全域间的物理隔离，阻断非安全通信

审计监测技术：

• 主要产品：工控安全审计系统和工控入侵检测系统（IDS）
• 应用价值：实时掌握工控系统安全状态

检查类技术：

• 三大手段：工控漏洞扫描、漏洞挖掘和安全基线检查
• 重点设备：工控漏洞扫描设备是核心工具

运维管控技术：

• 堡垒机：实现运维集中管理和操作审计，需先登录堡垒机才能管理设备
• 风险管理系统：管理资产、威胁、漏洞及潜在影响的综合平台

六、工控系统安全综合应用案例分析

6.1 电力监控系统

电力监控系统的安全策略是"安全分区、网络专用、横向隔离、纵向认证"。

核心策略：

技术实现：

• 隔离装置：正向/反向安全隔离装置实现横向物理隔离
• 加密认证：纵向加密认证装置保障数据传输安全
• 访问控制：安全区之间采用逻辑隔离措施和防火墙

重点记忆：

• 控制区与非控制区间需逻辑隔离并配置有效访问规则
• 生产控制大区防火墙需通过国家检测认证
• 重要业务系统推荐采用双向认证机制

6.2 水厂工控安全集中监控

水厂工控安全监管过程如图所示。在工业交换机旁路部署工业集中监控管理平台，通过私有安全协议建立安全加密的连接，实现对工业防火墙及工业监控设备的集中管理和监控。对异常行为、恶意代码攻击、威胁行为管理等可实现集中管理及预防。

在工业以太网交换机及控制网络交换机旁路部署ICS信息安全监控设备，实现网络结构风险感知和即时的即可见，对网络中的可疑行为或攻击行为产生报警。同时，对网络通信行为进行稳定的审计记录，定期生成统计报表，可用于分析及展示。

系统架构：

• 前端：工业控制网络（含PLC、数据采集单元等）
• 后端：常规以太网（含服务器、中控室等）
• 连接方式：通过工业交换机实现前后端通信

安全机制：

• 集中监控平台：旁路部署于工业交换机，采用私有安全协议加密
• 监控设备：部署ICS信息安全监控设备实现网络行为可视化和审计
• 防护功能：统一管理工业防火墙、异常行为检测和恶意代码防护

典型特征：

• 采用分布式入侵检测架构，前端多监测设备+后端统一管理
• 定期生成统计报表用于安全分析和展示
• 相比电网纵向架构，水厂系统更偏向局域网部署模式

本章小结

本章节系统梳理了工业控制系统安全分析与防护：

• 工控系统定义：由控制/监测/数据处理组件构成的工业生产过程管控系统，简称ICS
• 两大分类：离散制造类（汽车组装，多个零部件组装）vs过程控制类（酿酒，发酵→蒸馏→包装连续过程）
• 八大核心组件：SCADA（数据采集监视，MTU+RTU）、DCS（分布式控制，现场控制级/系统控制级/管理级三级）、PCS（过程控制，闭环反馈调节温度/压力/流量）、PLC（可编程逻辑控制器，基础单元，震网病毒攻击目标）、MTU/RTU（主/远程终端数据采集传输）、HMI（人机交互界面）、工控通信网络（专用协议OPC/Modbus/DNP3/工业以太网）
• 五大安全威胁：自然灾害（洪水雷电）、内部威胁（操作失误）、设备故障（硬件失效）、恶意代码（PLC蠕虫/勒索软件）、定向攻击（乌克兰电网事件）
• 八大特有隐患：协议缺陷（Modbus明文无认证）、产品漏洞（PLC/SCADA）、基础软件漏洞、算法漏洞、固件漏洞（BIOS）、硬件漏洞（CPU）、开放接入风险（联网暴露攻击面，Shodan扫描）、供应链风险（西门子/三菱断供）
• 安全需求核心特性：优先级倒置——可用性>完整性>保密性（与传统IT相反）；等保2.0新增"云大物移工"保护对象；技术五维防护（物理/通信/边界/计算/管理中心）+管理五位一体（制度/机构/人员/建设/运维）
• 十大防护机制：物理环境防护（三重防护+外设封闭）、安全边界保护（三域独立+物理/逻辑隔离）、身份认证与访问控制（多因素+最小特权+禁跨系统共享凭证）、远程访问安全（禁连互联网+VPN加密+审计）、安全加固与审计（白名单+6个月日志）、恶意代码防范（离线验证+补丁三步流程）、数据安全（四要素+国密加密+测试数据物理销毁）、监测与应急响应（工控IDS+应急五要素+N+1冗余）、安全管理（资产清单到人+变更72小时验证+供应链保密协议）、典型产品技术（工控防火墙深度解析协议/物理隔离网闸/审计监测/漏洞检查/堡垒机）
• 电力监控案例：16字方针"安全分区、网络专用、横向隔离、纵向认证"；生产控制大区（控制区/非控制区）+管理信息大区；正反向隔离装置+纵向加密认证
• 水厂集中监控案例：前端工控网络+后端以太网；分布式IDS架构（前端监测+后端统一管理）；旁路部署私有安全协议加密

上述内容中，工控系统优先级倒置（可用性>完整性>保密性）、Modbus协议明文传输缺陷、震网病毒攻击PLC案例、等保2.0新增工控保护对象、电力监控16字方针、恶意代码离线验证原则为高频考点，工控安全防护机制和电力监控架构可能出现在下午案例分析题中。

本文为软考信息安全工程师个人学习笔记，依据官方考试大纲与公开技术规范整理，仅用于学习交流，不作为商业用途。