問題分析

在上位機上運行的程序都是組態(tài)軟件廠商開發(fā)的專用程序，或者是工程師開發(fā)的衍生程序，這些程序?qū)τ趥鹘y(tǒng)的防病毒軟件來講，往往是不被識別的，很容易被錯誤終止或刪除。由于上位機上的應(yīng)用程序“服役”時間較長，它又很容易成為攻擊者的目標(biāo)和惡意代碼注入的對象。

上位機和現(xiàn)場設(shè)備之間的通信往往是專業(yè)的工控協(xié)議，這些協(xié)議在設(shè)計之初，只考慮到了功能特性，忽略了安全性的設(shè)計，因此，網(wǎng)絡(luò)協(xié)議比較脆弱，技術(shù)深厚的攻擊者往往比較容易挖掘到0day漏洞并進(jìn)行利用。由于工控行業(yè)設(shè)備長周期運行的特點，這些漏洞會長期存在，得不到修復(fù)，這給惡意的攻擊者提供了足夠的攻擊準(zhǔn)備時間，也使得攻擊路徑不易被發(fā)覺，攻擊后果更加慘重。

由于工控網(wǎng)絡(luò)的相對封閉，工程師站上使用移動存儲介質(zhì)拷貝數(shù)據(jù)的行為比較普遍，這為攻擊者提供了一條便捷的攻擊路徑，大量移動存儲介質(zhì)的不合規(guī)使用也為病毒的傳播和蔓延提供了便利。

工程師的誤操作或者未授權(quán)的惡意操作也會使上位機的軟件環(huán)境發(fā)生變化，可能促發(fā)生產(chǎn)故障，引發(fā)安全生產(chǎn)事故。

在工業(yè)特定工作中部分系統(tǒng)調(diào)試和維護(hù)時，通常需要本地或遠(yuǎn)程接入上位機，對這些接入的移動終端缺乏有效的安全監(jiān)管，易導(dǎo)致病毒引入或被植入惡意代碼。

工業(yè)主機自身操作系統(tǒng)記錄的日志有限，并沒有存儲機制，日志信息更是簡單。缺乏有效的審計能力，對發(fā)生的安全事件無法追蹤記錄。

防護(hù)思考

對于上述脆弱性和威脅，工業(yè)企業(yè)可通過提升企業(yè)人員網(wǎng)絡(luò)安全意識，加強供應(yīng)鏈的管理，強化上位機防御技術(shù)和審計機制，建立綜合防御體系，降低安全風(fēng)險，以保護(hù)工業(yè)主機安全和正常生產(chǎn)秩序。

上位機作為工控網(wǎng)絡(luò)環(huán)境的一部分，那么上位機安全防護(hù)也是整體工控網(wǎng)絡(luò)安全防護(hù)的一部分，不能僅僅期望通過在上位機上實施一種安全手段就能全部解決上位機安全問題，也不能在其上下游乃至整個工控網(wǎng)絡(luò)環(huán)境中留下“安全短板”。應(yīng)本著“集中規(guī)劃、分步實施”的原則來整體解決工控上位機的安全問題。應(yīng)對工控環(huán)境的資產(chǎn)、網(wǎng)絡(luò)結(jié)構(gòu)、制度等進(jìn)行全面的安全分析，對安全風(fēng)險、威脅進(jìn)行詳盡的評估，從而制定周全的安全解決方案和實施規(guī)劃。通過分步實施來逐步提升工控網(wǎng)絡(luò)的安全防范能力。

在防范深度上，應(yīng)充分分析各生產(chǎn)網(wǎng)絡(luò)區(qū)域的重要性和業(yè)務(wù)的重要性，實現(xiàn)真正的安全結(jié)構(gòu)分區(qū)，針對不同的安全分區(qū)的需求，實現(xiàn)層次化的安全防護(hù)，在保證“可用和安全”的前提下，盡量減少引入不利于工控環(huán)境的方案。