工控系统面临的安全问题及解决方案

　　3、标准制订：国家主管机构应促进工业控制系统行业与安全研究机构、厂商的合作，并主导制订相关的通信协议的安全标准。以提供推荐性行业标准。

　　建立针对ICS的违规操作、越权访问等行为的有效监管

　　1、异常行为检测：对ICS系统的各种操作行为进行分析，并基于主体、地点、时间、访问方式，操作，客体的行为描述六元组模型构建系统操作行为或网络运行相关的白环境。基于白环境可以很方便地开发针对ICS异常行为的检测类产品。

　　2、安全审计：基于对ICS通信协议与规约的深度解码分析，实现对ICS系统的安全日志记录及审计功能。应考虑对控制过程实现基于网络流量的安全审计，审计过程应力争做到对控制指令的识别和可控，如Modbus、DNP3等经典工控协议的解析能力分析，实现工业控制协议会话的过程记录和审计；并提供安全事件之后的事后追查能力。

　　建立完善的ICS安全保障体系，加强安全运维与管理

　　ICS安全保障体系建设。在保证工业控制系统的正常运行的前提下，充分调动技术、管理等安全手段，对帐号与口令安全、恶意代码管理、安全更新（补丁管理）、业务连续性管理等关键控制领域实施制度化/流程化、可落地的、具有多层次纵深防御能力的安全保障体系建设。

　　加强针对ICS的新型攻击技术的防范研究

　　目前ICS领域影响最大的就是“震网病毒”为代表的高级可持续性威胁（APT）类攻击。这类APT攻击并不是一个独立的、具体的攻击技术，而是一种攻击行为模式的体现。这样的攻击不是能够依靠单一的技术实现防范和检测的，针对性的防护需要多个层面安全防护措施的综合开展：

　　1、做好ICS系统的基础性安全防护工作。从防范主体的角度来看，应当做到“安全防御无死角”。面对长期的侦测和试探，任何安全短板都可能成为攻击者的快速通道。也许只有做好各方面的防范，通过多种安全产品（机制）协同工作的体系化防御措施才能够抵御APT这些高级的持久性攻击。

　　2、加强“深入分析”技术的探索。APT攻击并不意味着没有痕迹，只是隐蔽性较强而难以发现。通过收集APT攻击事件相关的技术情报（攻击的特征、原理、危害、样本及分析报告等），并利用多维度的海量数据挖掘和关联分析技术，实现跨时域、跨设备和跨区域的踪迹分析，来大幅增加发现攻击行为的概率。

　　3、加强国际合作，协同研究与防范。由于APT攻击具有低成本、高破坏和隐蔽性的特点，它对CII或工业控制系统攻击所造成的破坏和社会影响，很有可能不逊于核武器的攻击后果。如果不对其加以限制，只会使破坏程度不断升级。所以，成立国际联合组织、建立国际性的抑制体系可以减少国家间的过激行为，同时也可监控和打击网络犯罪及恐怖主义行为。

　　结语

　　上述描述的安全建议从多维度考虑对工业控制系统可能面对的风险进行防护，并尽可能降低相关系统的安全风险级别。但需要意识到由于外部威胁环境和系统技术演变将可能引入新的风险点。

　　系统、人员、商业目标以及内、外部威胁等安全相关因素的任何一个发生改变时，都应建议企业对当前安全防护体系的正确性和有效性重新进行评估，以确定其能否有效应对新的风险。

　　因此ICS的安全保障措施也将是一个持续的改善过程，通过这一过程可使工业控制系统获得最大程度的保护。