浙大程鹏：护卫国之重器——工控系统安全的矛与盾 | CNCC专家谈

伴随自动化、计算机、通信等学科的持续发展和交叉创新，我国整体自动化水平得到了巨大提升，在石油、化工、电力、冶金、国防等工业领域取得了重大技术突破，锻造了一系列改善国计民生、促进科技发展的“国之重器”。进入新世纪，随着工业化与信息化深度融合，以智能制造为方向的新一代工业制造技术，以大数据、自主智能、人机融合等为特征的新一代人工智能技术，以5G、TSN、软件定义网络等为代表的新一代信息通信技术蓬勃发展，使得由工业互联网赋能的工控系统应运而生。随着工业互联网列入我国“新基建”八大核心领域，控制系统信息化也势必迎来新一轮的高速发展浪潮。

然而，网络安全与信息化是一体之两翼，驱动之双轮。从2010年11月针对伊朗核电站控制系统的震网病毒事件，到2019年3月的委内瑞拉电力系统安全事件，工控系统面临的安全威胁日益严峻。在全球信息化背景下，工控系统暴露在网络战争的炮火之下，不可避免地成为各种恶意势力攻击破坏的首要目标^[1]。工控系统安全是实现工业控制过程全面深度感知、高效精准分析和智能决策优化的前提与基石。为此，我国十四五规划中提出“加强国家安全体系和能力建设”目标，为保护新时代“国之重器”构建系统化的安全防护框架。   

图1 工控系统攻击事件

工控系统安全是全局性、多层次、多维度的系统性安全。工控系统面临诸多安全问题，究其根源来看，与其特性密切相关^[1]。

(1)信息系统的开放性与控制系统的封闭性之间的矛盾

从本质目标上看，工业控制系统的本质目标是控制，互联网的核心目标是交换。与传统互联网采用平等关系的点对点传输模式相比，工控网络多采用基于主从关系的非对等网络。互联网和控制业务的深度融合打破了传统工控系统相对封闭可信的运行环境，将互联网的安全威胁渗透到了控制层和现场层。从设计思路上看，工业控制系统一般采用专用的相对封闭、可靠、实时的通信线路，而互联网采用开放、透明、通用的通信网络。在传统工业环境中，工控网络通过隐匿或者隔离确保了整个系统的安全性。随着工业控制系统向互联网的转移以及与企业其他业务应用程序的整合，系统越来越容易受到来自互联网的攻击。大多数的工业控制系统通信协议在设计之初都未考虑机密性问题，基本是采用明文传输的方式，且国内尚未建立自有、安全的工控网络通信协议、数据交换协议，因此难以保证传输数据的安全性。

图2 工控系统的封闭性与互联网的开放性之间的矛盾

(2)工业时代确定性思维和信息时代非确定性思维之间的冲突

机械决定论的确定性指的是一旦给定初始条件，一切就完全决定了。但由于工控系统内在非线性功能的耦合所带来的阶段发展和变化的不确定性、复杂安全因素导致的威胁广谱性、攻击样式多样致使的未知威胁防御难题使我们无法用简单的方式消除不确定性威胁。另外，传统的工业软件开发工作侧重功能的正确性，并没有假设敌手参与其中，而信息技术的非确定性还包含安全威胁的非确定性。信息系统中的漏洞、后门可以被视为一种非确定性威胁。随着生产过程自动化的发展，功能强大的软件一方面促进了安全自动控制系统的发展，另一方面使得工业控制和保护系统越来越复杂。软件组件的行为虽然总被认为应该遵循与它被编程时完全一致的原则，但实际上并非如此。传统的基于软件故障进行的统计描述会失效，管理概率故障的方法也不能解决漏洞威胁，直至今天，最先进的基于测试覆盖率的方法也无法保证覆盖率与错误率之间有着必然的联系。

工业数字化、网络化的发展使控制系统中的信息传输、状态估计、传感与反馈等可以被攻击者操纵，导致控制系统数据传输不安全、控制对象不稳定和机械结构不可靠，造成控制系统面临“所见非所得，所得非所执行”的安全困境。由于跨域网络攻击日益成为现实，物理域、信息域乃至认知域都将面临新的网络安全挑战，通过从信息侧发起攻击，引发关键信息基础设施内部信息域的局部扰动，再运用这种扰动构造跨越效应，引起信息域或者物理域的更大尺度的暂态变化，并结合物理侧手段进一步延迟或者破坏其他域的正常工作进程。

图3 针对工控系统的真实攻击案例^[2][3]和在实验室环境实现的工控系统攻击^[4][5]

面对信息物理融合带来的各类新老威胁，防御人员需要深入探究工控系统安全内涵和安全体系构建原则，综合考虑功能、信息安全，构建面向工控系统全生命周期的一体化安全防护体系^[6]。贯穿融合威胁识别、设备保护、入侵检测、攻击响应等安全防护技术，形成三大安全控制回路：系统安全加固回路通过分析控制工程设计架构、运行机理、历史记录等，识别工控系统安全脆弱点，完善系统设备、控制行为和业务流程的安全加固方案；威胁实时防护回路通过监测物理系统业务流程和网络系统信息通信来检测工控系统异常状态并制定防御响应策略；系统加固与实时防护回路通过分析威胁实时防护的异常检测和响应策略，持续提升对系统脆弱性的识别能力，通过系统安全加固方案的执行进一步提升系统异常检测和防御能力。

图4 IPDR工控安全主动防御模型

[1] 魏强，程鹏，王文海，工业互联网安全：架构与防御，机械工业出版社，2021.

[2] Aurora Generator Test, 2007, website: https://en.wikipedia.org/wiki/Aurora_Generator_Test

[3] Gonjeshke Darande, Cyberattacks against Iran’s steel industry, website: https://twitter.com/gonjeshkedarand/status/1541288345183158272

[4] 程鹏，何阳，陈积明，王文海，孙优贤，一种用于渗透测试的工业控制系统安全实验平台，专利号：CN201810535838.9，公开号：CN108769022A

[5] Hongyi Pu, Liang He, Chengcheng Zhao, David KY Yau, Peng Cheng, Jiming Chen， “Fingerprinting Movements of Industrial Robots for Replay Attack Detection,” IEEE Transactions on Mobile Computing, Early Access, 2022.

[6] 程鹏，张镇勇等，冶金工控系统主动防御技术体系白皮书（2021），浙江大学网络传感与控制研究组，2021.

本年度CNCC大会将举办“护卫国之重器——探索工业控制系统安全防护新路径”技术论坛，邀请数位国内信息安全领域的重磅学者专家，核心展开以下探讨：

1、如何看待信息系统开放性与控制系统封闭性之间的矛盾，解决工业控制系统安全的瓶颈问题有哪些。 

2、如何解决工业控制系统功能安全、物理安全、信息安全融合的带来复杂性与不一致性问题。 

3、面向工业控制系统安全防护有哪些前沿的方法、技术和体系，如何落地实施。 

4、针对国内工业控制系统安全人才紧缺的问题，如何构建工业控制系统安全人才培养体系。欢迎你来参与！

CNCC是级别高、规模大的高端学术会议，探讨计算及信息科学技术领域最新进展和宏观发展趋势，展示计算领域学术界、企业界最重要的学术、技术成果，搭建交流平台，促进科技成果转换，是学术界、产业界、教育界的年度盛会。今年邀请嘉宾包括ACM图灵奖获得者、田纳西大学教授Jack Dongarra，以及高文、管晓宏、江小涓、钱德沛、徐宗本、张平等多位院士，还有七百余位国内外名校学者、名企领军人物、各领域极具影响力的业内专家，CNCC在计算领域的水准及影响力逐年递增。本届CNCC的主题是：算力、数据、生态。

CNCC2022将汇聚国内外顶级专业力量、专家资源，为逾万名参会者呈上一场精彩宏大的专业盛宴。大会期间还将举办“会员之夜”大型主题狂欢活动，让参会者畅快交流，燃爆全场。如此盛会，岂能缺席！等你来，马上行动，欢迎参会报名！