http://kadhoai.com.cn 2026-04-26 14:19:23 來源:中國化工報
編者:21世紀是信息化時代。對石油化工等製造業而言,以震網蠕蟲為代表的木馬、bingdudengduigongyezidonghuashengchananquandailailejidaweixie,yincigongyekongzhixitongdeanquanchengweixinxihuashidaiqiyeanquanshengchandezhongzhongzhizhong。tiaozhabaogaoxianshi,zaigongyexinxianquanchanpinyingyonglingyuzhong,shiyouhuagongzhanbizuiduo,da34%,其中油氣占13%、石化占11%、化工占10%;而在工控係統專用防火牆產品應用領域中,石油化工占比更高達76%……

茂名石化公司煉油中心控製室
21世紀是信息化時代。對石油化工等製造業而言,以震網蠕蟲為代表的木馬、bingdudengduigongyezidonghuashengchananquandailailejidaweixie,yincigongyekongzhixitongdeanquanchengweixinxihuashidaiqiyeanquanshengchandezhongzhongzhizhong。tiaozhabaogaoxianshi,zaigongyexinxianquanchanpinyingyonglingyuzhong,shiyouhuagongzhanbizuiduo,da34%,其中油氣占13%、石化占11%、化工占10%;而在工控係統專用防火牆產品應用領域中,石油化工占比更高達76%,其中油氣占25%、石化占37%、化工占14%。那麼,目前我國石油和化工行業工業控製係統安全現狀如何?麵臨的安全挑戰有哪些?我們又該如何應對?對此,記者進行了深入采訪。
工控係統安全不容忽視
國(guo)家(jia)網(wang)絡(luo)與(yu)信(xin)息(xi)安(an)全(quan)技(ji)術(shu)研(yan)究(jiu)所(suo)副(fu)所(suo)長(chang)許(xu)俊(jun)峰(feng)指(zhi)出(chu),保(bao)護(hu)工(gong)控(kong)係(xi)統(tong)之(zhi)所(suo)以(yi)引(yin)起(qi)高(gao)度(du)重(zhong)視(shi),是(shi)因(yin)為(wei)工(gong)控(kong)安(an)全(quan)所(suo)麵(mian)臨(lin)的(de)風(feng)險(xian)有(you)急(ji)劇(ju)擴(kuo)大(da)的(de)趨(qu)勢(shi)。最(zui)初(chu)的(de)工(gong)控(kong)係(xi)統(tong),被(bei)設(she)計(ji)為(wei)獨(du)立(li)封(feng)閉(bi)的(de)係(xi)統(tong),其(qi)安(an)全(quan)風(feng)險(xian)主(zhu)要(yao)是(shi)設(she)備(bei)運(yun)行(xing)的(de)穩(wen)定(ding)、操(cao)作(zuo)合(he)理(li)性(xing)等(deng)問(wen)題(ti)。但(dan)是(shi),隨(sui)著(zhe)係(xi)統(tong)規(gui)模(mo)及(ji)相(xiang)應(ying)係(xi)統(tong)的(de)融(rong)合(he),商(shang)用(yong)管(guan)理(li)軟(ruan)件(jian)也(ye)被(bei)廣(guang)泛(fan)使(shi)用(yong),這(zhe)使(shi)得(de)傳(chuan)統(tong)互(hu)聯(lian)網(wang)中(zhong)的(de)攻(gong)擊(ji)手(shou)段(duan)可(ke)能(neng)被(bei)應(ying)用(yong)於(yu)工(gong)控(kong)係(xi)統(tong)。
中(zhong)國(guo)科(ke)學(xue)院(yuan)軟(ruan)件(jian)研(yan)究(jiu)所(suo)可(ke)信(xin)計(ji)算(suan)與(yu)信(xin)息(xi)保(bao)障(zhang)實(shi)驗(yan)室(shi)副(fu)主(zhu)任(ren)蘇(su)璞(pu)睿(rui)也(ye)表(biao)示(shi),工(gong)業(ye)控(kong)製(zhi)係(xi)統(tong)的(de)廣(guang)泛(fan)應(ying)用(yong)使(shi)其(qi)成(cheng)為(wei)網(wang)絡(luo)攻(gong)擊(ji)的(de)焦(jiao)點(dian)。和(he)傳(chuan)統(tong)網(wang)絡(luo)相(xiang)比(bi),對(dui)工(gong)業(ye)控(kong)製(zhi)係(xi)統(tong)的(de)攻(gong)擊(ji)將(jiang)對(dui)現(xian)實(shi)社(she)會(hui)造(zao)成(cheng)破(po)壞(huai),其(qi)破(po)壞(huai)性(xing)更(geng)直(zhi)接(jie)。未(wei)來(lai),針(zhen)對(dui)工(gong)業(ye)控(kong)製(zhi)係(xi)統(tong)的(de)攻(gong)擊(ji)將(jiang)越(yue)來(lai)越(yue)頻(pin)繁(fan),越(yue)來(lai)越(yue)普(pu)遍(bian)。震(zhen)網(wang)雖(sui)然(ran)在(zai)國(guo)內(nei)尚(shang)未(wei)有(you)發(fa)作(zuo)記(ji)錄(lu),但(dan)其(qi)潛(qian)在(zai)威(wei)脅(xie)不(bu)容(rong)忽(hu)視(shi),它(ta)讓(rang)業(ye)內(nei)人(ren)士(shi)認(ren)識(shi)到(dao)工(gong)業(ye)控(kong)製(zhi)係(xi)統(tong)麵(mian)臨(lin)的(de)安(an)全(quan)威(wei)脅(xie)。
xinxianquanyijingshangshengdaoguojiazhanlvegaodu。youzhuanjiabiaoshi,muqianzhangwodexinxidoubiaoming,zhenwangruchongdekaifashiyizhongguojiaxingwei。congqicaiyongdejishushouduaneryan,yuqisuoyongdaodewindows係統的漏洞或工控係統的漏洞是普通的個人或一般網絡黑客組織所不具備的。而對安全保障專家而言,震網也是目前網絡戰最成功、最典型的代表。其原理是通過蠕蟲在互聯網傳播,不需要借助特工,通過病毒自由傳播、搜集目標進行攻擊。雖然其研發成本很高,但攻擊成本很低且較易實現。
海(hai)天(tian)煒(wei)業(ye)總(zong)經(jing)理(li)劉(liu)安(an)正(zheng)以(yi)公(gong)司(si)自(zi)身(shen)的(de)發(fa)展(zhan)舉(ju)例(li)說(shuo),在(zai)自(zi)動(dong)化(hua)係(xi)統(tong)運(yun)維(wei)過(guo)程(cheng)中(zhong)可(ke)以(yi)發(fa)現(xian),信(xin)息(xi)安(an)全(quan)問(wen)題(ti)已(yi)經(jing)愈(yu)來(lai)愈(yu)嚴(yan)重(zhong)。有(you)的(de)企(qi)業(ye)影(ying)響(xiang)了(le)生(sheng)產(chan),造(zao)成(cheng)了(le)停(ting)車(che);youdeqiyesuiranmeiyouyingxiangtingche,danshengchananquanwendingyunxingyijingcunzaijidadeyinhuan。juliuanzhengjieshao,daxingliuchenggongyedegongkongxitonghenduozhongguobingdu,ciqianyifashengguomoulianhuayasuojisuduyichangjiangdi、某石化芳烴裝置中蠕蟲病毒、某煉化公司硫黃裝置因類似原因停車等多起事故。
因yin此ci,兩liang化hua融rong合he下xia的de信xin息xi安an全quan隱yin患huan應ying予yu以yi重zhong視shi。齊qi魯lu石shi化hua公gong司si勝sheng利li煉lian油you廠chang自zi動dong化hua信xin息xi所suo所suo長chang王wang永yong昌chang認ren為wei,隨sui著zhe石shi化hua行xing業ye信xin息xi化hua的de不bu斷duan深shen入ru、精細化管理的需求,特別是智能工廠的即將實施,都離不開及時了解現場信息,管控結合就成為必然趨勢,DCS控製係統與外界不再隔離。控製網絡和信息網絡之間廣泛采用OPC通信技術。此外,先進過程控製(APC)也需要OPC技術建立通訊。
然而,目前常用的OPC通訊隨機使用1024~65535中的任意端口,采用傳統IT防火牆進行防護配置時,被迫需要開放大量端口,形成嚴重的安全漏洞;同時,OPC的訪問權限過於寬鬆,任意網絡中的任意計算機都可以運行OPC中的服務;且OPC使用的Windows的DCOM和RPC服務極易受到攻擊。普通IT方後勤無法實現工業通訊協議的過濾,網絡中某個操作站/工程師站感染病毒,會馬上傳播到其他計算機,造成所有操作站同時故障,嚴重時可導致操作站失控甚至停車。
王永昌表示,僅靠目前現有的安全防護措施,已經不能滿足石油化工行業信息安全的需求。他告訴中國化工報記者,2010年4月23日,齊魯石化SSOT裝(zhuang)置(zhi)四(si)台(tai)操(cao)作(zuo)站(zhan)同(tong)時(shi)報(bao)警(jing),連(lian)接(jie)不(bu)到(dao)服(fu)務(wu)器(qi),同(tong)時(shi)發(fa)現(xian)服(fu)務(wu)器(qi)運(yun)行(xing)速(su)度(du)非(fei)常(chang)慢(man),無(wu)法(fa)正(zheng)常(chang)關(guan)機(ji)重(zhong)啟(qi),斷(duan)電(dian)重(zhong)啟(qi)後(hou)服(fu)務(wu)器(qi)及(ji)各(ge)操(cao)作(zuo)站(zhan)運(yun)行(xing)正(zheng)常(chang)。此(ci)後(hou)幾(ji)天(tian)連(lian)續(xu)出(chu)現(xian)反(fan)複(fu),並(bing)造(zao)成(cheng)數(shu)據(ju)丟(diu)失(shi)。技(ji)術(shu)人(ren)員(yuan)在(zai)對(dui)各(ge)服(fu)務(wu)器(qi)、操作站係統打補丁時發現了病毒。“采cai用yong傳chuan統tong的de黑hei名ming單dan方fang式shi進jin行xing病bing毒du和he攻gong擊ji阻zu斷duan,會hui產chan生sheng滯zhi後hou,勢shi必bi對dui生sheng產chan造zao成cheng影ying響xiang,而er且qie要yao持chi續xu對dui病bing毒du庫ku進jin行xing更geng新xin,所suo以yi企qi業ye希xi望wang有you一yi種zhong更geng好hao的de防fang護hu方fang式shi。”王永昌說。
工控信息安全技術須自主
許xu俊jun峰feng認ren為wei,就jiu國guo內nei而er言yan,由you於yu工gong控kong產chan品pin被bei幾ji個ge國guo際ji寡gua頭tou控kong製zhi,國guo內nei中zhong高gao端duan設she備bei主zhu要yao依yi賴lai進jin口kou,這zhe進jin一yi步bu激ji化hua了le國guo內nei工gong業ye安an全quan風feng險xian。在zai此ci背bei景jing之zhi下xia,國guo內nei眾zhong多duo的de科ke研yan院yuan所suo、企事業單位均開展了工控安全的研究工作。
工gong業ye和he信xin息xi化hua部bu電dian子zi科ke學xue技ji術shu情qing報bao研yan究jiu所suo副fu所suo長chang李li新xin社she指zhi出chu,隻zhi有you開kai發fa具ju有you自zi主zhu知zhi識shi產chan權quan的de工gong控kong信xin息xi安an全quan防fang護hu核he心xin產chan品pin,才cai能neng擺bai脫tuo工gong控kong係xi統tong安an全quan產chan品pin受shou製zhi於yu人ren的de局ju麵mian。
同(tong)時(shi),李(li)新(xin)社(she)表(biao)示(shi),工(gong)業(ye)信(xin)息(xi)安(an)全(quan)已(yi)經(jing)成(cheng)為(wei)國(guo)家(jia)的(de)戰(zhan)略(lve)需(xu)求(qiu)。震(zhen)網(wang)病(bing)毒(du)隻(zhi)是(shi)我(wo)們(men)所(suo)知(zhi)的(de)案(an)例(li)之(zhi)一(yi),事(shi)實(shi)上(shang),與(yu)工(gong)控(kong)係(xi)統(tong)相(xiang)關(guan)聯(lian)的(de)潛(qian)在(zai)威(wei)脅(xie)仍(reng)然(ran)有(you)很(hen)多(duo),所(suo)有(you)的(de)工(gong)業(ye)控(kong)製(zhi)基(ji)礎(chu)設(she)施(shi)都(dou)麵(mian)臨(lin)著(zhe)信(xin)息(xi)安(an)全(quan)威(wei)脅(xie)。
李新社認為,工控係統安全不僅是國家關鍵設施穩定運行的保障,也是我國工業長期健康可持續發展的核心競爭力之一。“今天,新工業革命的浪潮正在到來。大家都在說工業4.0、工業互聯網、智慧工廠、互聯企業……這些新的概念提出的同時也預示著一個個重要的安全隱患的存在。當我們進一步利用數字化、信息化對工業基礎設施進行控製的時候,麵臨的威脅就越來越大。”李(li)新(xin)社(she)表(biao)示(shi),防(fang)火(huo)牆(qiang)的(de)產(chan)品(pin)首(shou)先(xian)麵(mian)臨(lin)的(de)是(shi)物(wu)理(li)的(de)防(fang)護(hu),而(er)更(geng)重(zhong)要(yao)的(de)是(shi)要(yao)考(kao)慮(lv)其(qi)心(xin)髒(zang)部(bu)分(fen),即(ji)信(xin)息(xi)流(liu)在(zai)流(liu)動(dong)和(he)控(kong)製(zhi)期(qi)中(zhong)間(jian)所(suo)麵(mian)臨(lin)的(de)安(an)全(quan)威(wei)脅(xie),這(zhe)樣(yang)的(de)威(wei)脅(xie)是(shi)看(kan)不(bu)見(jian)的(de)。
據悉,習近平主席在最近的幾次講話中連續多次提到了網絡安全的問題,工信部也就此提出要研發技術先進、行業領先、安全可信、自主可控的產品。此前,工信部於2010年9月發布了《關於加強工控安全係統信息安全》的通知,明確了工控係統安全與領導組織機構、技術保障、規章製度等方麵的要求。2012年,發改委信息安全專項也將工業防火牆列為重點支持領域,為海天煒業新一代工業防火牆的誕生提供了重要的經費、政策支持。
歐美發達國家一直將具有重要戰略意義的工業控製係統融入到國防規劃之中。自“9·11”以來,工控安全已經日益成為反恐和國土安全的研究核心。2010年5月,美國成立網絡戰司令部,將對傳統基礎設施的攻擊能力作為國家網絡戰的重要作戰能力之一。美國中央情報局(CIA)局長萊昂·帕內塔2011年2月10日稱,電網係統“代表了未來的戰場”。相比而言,國內對該領域的研究起步較晚。直至伊朗震網病毒的發現,中國才從政策層麵和行業層麵開展工控安全的排查。
工控係統未來走向何方
目前我國工控係統呈現出哪些發展趨勢?
對此,蘇璞睿從“攻擊者”和“防護者”的視角解讀了目前工業控製係統的發展趨勢。他認為,從“攻擊者”的視角看,工控係統發展主要有三大趨勢。
一是從定製化向通用平台的轉變。早期工業控製係統針對特定應用需求研發,各係統之間的軟硬件產品通用性差;反觀現有控製係統,其集成化程度越來越高,越來越多地采用通用的軟硬件產品(芯片、操作係統等)。
ershichunyingjianxiangruanyingjiehedezhuanbian,zhejiangdilegongjigongkongxitongdejishumenkan。zaoqidegongyekongzhixitongzhuyaoyilaiyingjianshixian,xitongkekuozhanxingcha,xianyoukongzhixitongzaitongyongyingjianjisuanpingtaijichushang,daliangcaiyongruanjianfangshishixian;網絡攻擊的實施在某種程度上也是在原有係統平台上擴展實現新的功能,工業控製係統的可擴展性也決定了其攻擊實現的難易程度。
三是單一設備控製向網絡互聯的轉變。早期的工業控製係統主要在單一、獨立的設備中實現,現在的工業控製係統則將大量設備互聯,工業控製係統甚至與互聯網相連,係統越來越複雜;同時網絡互聯使係統暴露更多的漏洞,為攻擊的實現提供了更多潛在的技術渠道,也為攻擊造成大規模破壞提供了條件。
而從“防護者”的視角看,工控係統的發展同樣有三大趨勢。
一(yi)是(shi)高(gao)穩(wen)定(ding)性(xing)要(yao)求(qiu)帶(dai)來(lai)的(de)係(xi)統(tong)技(ji)術(shu)陳(chen)舊(jiu)。蘇(su)璞(pu)睿(rui)表(biao)示(shi),工(gong)業(ye)控(kong)製(zhi)係(xi)統(tong)對(dui)係(xi)統(tong)的(de)穩(wen)定(ding)性(xing)有(you)很(hen)高(gao)的(de)要(yao)求(qiu),一(yi)般(ban)情(qing)況(kuang)下(xia),一(yi)套(tao)係(xi)統(tong)建(jian)設(she)完(wan)成(cheng)之(zhi)後(hou),係(xi)統(tong)內(nei)的(de)設(she)備(bei)、平台不會輕易地做更新換代,造成當下很多的共控製係統仍在采用Dos、Windows XP等操作係統平台;而對於已發現的安全漏洞若無法充分地驗證,評估補丁程序對控製係統穩定性的影響,企業也會更傾向於選擇不打補丁。“不會像個人電腦一樣,下載補丁後立刻打上。”他說,“在這種條件下,如何保障信息係統安全穩定運行,是個很有難度的事情。”
二是高實時性要求帶來的防護係統性能挑戰。“互聯網中我們也很強調性能,但跟工業控製係統相比就是小巫見大巫了。”supuruibiaoshi,gongyekongzhixitongduixitongdeshishixiangyingyaoqiushiputonghulianwangwufabinide,yinciyeduigeleifanghuxitongtichulegenggaodexingnengyaoqiu。zhezaochengyixiliefuzade、智能化的分析、檢測算法都無法滿足工業控製係統的安全防護要求,限製了防護方法的應用。
三san是shi高gao可ke靠kao性xing要yao求qiu帶dai來lai的de檢jian測ce高gao準zhun確que性xing目mu標biao。工gong業ye控kong製zhi係xi統tong同tong時shi具ju有you高gao可ke靠kao性xing要yao求qiu,這zhe樣yang也ye要yao求qiu防fang護hu係xi統tong的de分fen析xi檢jian測ce結jie果guo要yao具ju有you明ming確que的de確que定ding性xing,從cong而er造zao成cheng當dang前qian基ji於yu模mo糊hu匹pi配pei、聚類分析等智能算法的入侵檢測、計算機免疫等各類模糊檢測方法無法應用。
如何應對工控信息安全挑戰
麵對工控安全新趨勢及挑戰,石油和化工企業如何應對?為此,蘇璞睿也給出了三條建議。
首(shou)先(xian),建(jian)立(li)以(yi)可(ke)信(xin)計(ji)算(suan)為(wei)核(he)心(xin)的(de)安(an)全(quan)防(fang)護(hu)技(ji)術(shu)體(ti)係(xi)。蘇(su)璞(pu)睿(rui)指(zhi)出(chu),可(ke)信(xin)計(ji)算(suan)是(shi)解(jie)決(jue)工(gong)業(ye)控(kong)製(zhi)係(xi)統(tong)安(an)全(quan)問(wen)題(ti)的(de)重(zhong)要(yao)思(si)路(lu)之(zhi)一(yi),在(zai)解(jie)決(jue)工(gong)業(ye)控(kong)製(zhi)係(xi)統(tong)安(an)全(quan)方(fang)麵(mian)具(ju)有(you)獨(du)特(te)的(de)優(you)勢(shi)。
一是相對穩定的環境更有利於可信計算技術的應用。工控係統中設備、係統、應用、業務均較為穩定、單一,沒有頻繁的更新;同時也可根據業務環境,執行更嚴格的安全策略,適合可信計算的應用模式。
二是非黑即白的防禦策略具有更好的檢測確定性。可信計算根據安全策略,允許運行執行代碼才能運行,具有明確的結果確定性。
三是核心算法簡單保證了良好的防護性能。與各類複雜的智能算法相比,可信計算技術算法簡單、運行效率高,可更好地滿足工業控製係統的實時性要求,實現可信、可控、可管的目標。
同(tong)時(shi),蘇(su)璞(pu)睿(rui)表(biao)示(shi),安(an)全(quan)沒(mei)有(you)一(yi)個(ge)放(fang)之(zhi)四(si)海(hai)皆(jie)行(xing)的(de)解(jie)決(jue)方(fang)案(an)。不(bu)同(tong)行(xing)業(ye)麵(mian)臨(lin)不(bu)同(tong)的(de)安(an)全(quan)威(wei)脅(xie),因(yin)此(ci),要(yao)針(zhen)對(dui)不(bu)同(tong)的(de)威(wei)脅(xie)製(zhi)定(ding)不(bu)同(tong)的(de)解(jie)決(jue)方(fang)案(an)。如(ru)國(guo)家(jia)重(zhong)要(yao)基(ji)礎(chu)設(she)施(shi)麵(mian)對(dui)的(de)主(zhu)要(yao)是(shi)國(guo)家(jia)級(ji)、有組織的對抗破壞,其造成的危害直接影響到國家安全;putongshangyexingqiyemianduidezhuyaoshiyixiejingzhengduishouhuojingjifanzuideganraopohuai,qizaochengdeweihaizhuyaoshiyingxiangdaoqiyedefazhanheshangyeliyi。ciwai,butongdexingyeyejuyoubutongdeyewubeijing。gongyekongzhixitongjuyoujiaoweidulideyewumoni、專有協議、專zhuan有you數shu據ju格ge式shi等deng特te殊shu性xing,需xu要yao針zhen對dui不bu同tong行xing業ye建jian立li有you針zhen對dui性xing的de防fang護hu策ce略lve,研yan發fa有you針zhen對dui性xing的de防fang護hu技ji術shu手shou段duan,提ti高gao工gong業ye控kong製zhi係xi統tong安an全quan防fang護hu能neng力li。“最具有針對性的安全解決方案才是最有效的。”他說。
qici,jiaqiangguojiajichusheshizhongxitonghechanpindeanquanxingjiance。supuruizhichu,guojiajichusheshiheputongqiyeshengchanxitongxiangbi,juyougenggaodeanquanxuqiu,danwoguozaixianjieduanrengbukebimiandixuyaocaiyongguojigeleichanpin。tongshi,xianyoudeanquanjiancejishushouduanzhuyaomianxiangchuantongjisuanjiwangluo,ergongyekongzhixitongzhongdaliangcaiyongqianrushixitonghuoqitazhuanyongjisuanpingtai,jiancejishushouduanjiaoweiboruo。
最(zui)後(hou),建(jian)立(li)專(zhuan)用(yong)測(ce)試(shi)驗(yan)證(zheng)環(huan)境(jing),加(jia)強(qiang)聯(lian)合(he)技(ji)術(shu)攻(gong)關(guan)。蘇(su)璞(pu)睿(rui)解(jie)釋(shi)說(shuo),工(gong)業(ye)控(kong)製(zhi)係(xi)統(tong)具(ju)有(you)其(qi)自(zi)身(shen)的(de)獨(du)特(te)性(xing),建(jian)立(li)專(zhuan)用(yong)測(ce)試(shi)驗(yan)證(zheng)環(huan)境(jing)是(shi)開(kai)展(zhan)深(shen)入(ru)研(yan)究(jiu)工(gong)作(zuo)的(de)前(qian)提(ti)和(he)基(ji)礎(chu)。這(zhe)是(shi)理(li)論(lun)方(fang)法(fa)體(ti)係(xi)研(yan)究(jiu)的(de)需(xu)要(yao),也(ye)是(shi)技(ji)術(shu)產(chan)品(pin)測(ce)試(shi)驗(yan)證(zheng)的(de)需(xu)要(yao),同(tong)時(shi)也(ye)是(shi)係(xi)統(tong)集(ji)成(cheng)與(yu)評(ping)估(gu)的(de)需(xu)要(yao)。同(tong)時(shi)他(ta)表(biao)示(shi),工(gong)業(ye)控(kong)製(zhi)係(xi)統(tong)安(an)全(quan)與(yu)傳(chuan)統(tong)計(ji)算(suan)機(ji)網(wang)絡(luo)安(an)全(quan)有(you)一(yi)定(ding)的(de)共(gong)性(xing),也(ye)有(you)一(yi)定(ding)的(de)特(te)殊(shu)性(xing),應(ying)加(jia)強(qiang)兩(liang)方(fang)麵(mian)團(tuan)隊(dui)的(de)聯(lian)合(he),推(tui)動(dong)研(yan)究(jiu)的(de)深(shen)入(ru)。