許 平 李緒國 杜偉軍

1(中國電子科技集團公司第三十研究所 成都 610041)2(民航智慧能源工程技術研究中心 北京 100088)3(上海三零衛(wèi)士信息安全有限公司 上海 200233)4(中國民航科學技術研究院 北京 100028)

工業(yè)控制系統(tǒng)(industrial control system, ICS)網絡安全技術標準對于保障系統(tǒng)正常運行發(fā)揮著重要作用，既可幫助生產運營單位完善技術防護手段，規(guī)范員工操作行為；也有助于供應商及時發(fā)現自身產品存在的問題，不斷完善產品功能和性能；又有助于政府部門加強ICS網絡安全產品準入管理，保障供應鏈安全.

國內外高度重視ICS網絡安全標準化工作，形成了從國際標準、國家標準和行業(yè)標準等一系列標準.當前，我國工業(yè)互聯網快速發(fā)展，對ICS網絡安全國家標準尤其是網絡安全等級保護國家標準的針對性和適用性提出新的需求.本文對ICS網絡安全防護技術應用需求和國家標準關鍵技術指標要求進行研究分析，為相關標準的制定和修訂工作提供參考.

1 當前ICS網絡安全標準技術指標分析

1.1 國內外主要標準技術指標對比分析

國際電工委員會(IEC)、電氣和電子工程師協(xié)會(IEEE)和國際自動化協(xié)會(ISA)等國際標準化組織一直致力于ICS網絡安全技術標準建設，其中最具適用性的國際標準有IEC62443《工業(yè)過程測量、控制和自動化 網絡與系統(tǒng)信息安全》和SP 800-82《工業(yè)控制系統(tǒng)(ICS)安全指南》.全國信息安全標準化技術委員會(SAC/TC260)、全國工業(yè)過程測量與控制標準化技術委員會(SAC/TCl24)、全國電力系統(tǒng)管理及其信息交換標準化技術委員會(SAC/TC82)和全國電力監(jiān)管標準化技術委員會(SAC/TC296)等國內標準化技術委員會結合國內實際需求，積極推廣上述國際標準，例如 IEC 62443-2-1 于2016 年被等同采納為《建立工業(yè)自動化和控制系統(tǒng)安全程序》(GB/T 33007—2016)，《工業(yè)控制系統(tǒng)安全控制應用指南》(GB/T32919—2016)基本采納了NIST SP 800-82中的主要技術指標.

《中華人民共和國網絡安全法》明確要求“國家實行網絡安全等級保護制度，建立和完善網絡安全標準體系”，《網絡安全等級保護基本要求》(GB/T 22239—2019)和《網絡安全等級保護安全設計技術要求》(GB/T 25070—2019)作為落實法律規(guī)定的核心標準，提出了適用于所有信息系統(tǒng)的通用技術指標要求，也提出了適用于ICS的擴展技術指標要求.本文分別就IEC62443和SP 800-82與上述標準中適用于ICS的技術指標進行對比分析.

1.1.1 IEC 62443標準與網絡安全等級保護標準

1)體系架構.

IEC 62443 標準包含4部分：第1部分為總體要求，建立了定量系統(tǒng)信息安全符合性度量體系所必要的要求，提供系統(tǒng)目標、系統(tǒng)設計和最終達到的信息安全保障等級；第2部分為策略和規(guī)程，提出了建立網絡信息安全管理系統(tǒng)所要求的元素、工作流程和實現指南，規(guī)定了系統(tǒng)信息安全程序運行方法和有效性度量體系；第3部分為系統(tǒng)級措施，提供了對不同網絡安全產品的評估、緩解措施以及系統(tǒng)調節(jié)和監(jiān)控技術，提出了系統(tǒng)的區(qū)域和通道網絡安全保障等級要求和驗證方式以及不同信息安全分區(qū)的基本防護措施和增強防護措施；第4部分為組件級措施，規(guī)定了嵌入式設備、主機設備、網絡設備等安全產品開發(fā)時的網絡安全技術要求.該標準從ICS自身安全需求延伸到網絡安全層面，涵蓋資產所有者、系統(tǒng)集成商、組件供應商等相關方，提出了全方位的網絡安全技術要求.

我國網絡安全等級保護國家標準提出了“一個中心、三重防御”的技術架構，即安全管理中心、安全通信網絡、安全區(qū)域邊界和安全計算環(huán)境，包含通用安全要求和ICS安全擴展要求.在指標體系架構上，參照IEC62443提出的層級結構模型，把ICS從底層往上劃分為現場設備層、現場控制層和過程監(jiān)控層，并基于不同層級信息交互，設立了邊界安全隔離、訪問策略控制、數據安全傳輸和存儲以及監(jiān)測審計等技術指標，保障系統(tǒng)運行安全和數據安全.

2)技術指標.

下面以IEC 62443-3-3標準“系統(tǒng)技術和組件技術”與GB/T 22239—2019標準的技術指標為例說明[1].IEC 62443-3-3 規(guī)定了標志和鑒別控制等7項基本要求，每項要求包含1項基線要求及若干增強要求；GB/T 22239—2019 標準由安全通信網絡等4項指標構成，每項指標包含通用安全要求和ICS安全擴展要求.

在此對IEC 62443-3-3的基本要求和GB/T 22239—2019標準中的技術控制點及其數量進行對比，如表1和圖1所示：

表1 IEC 62443-3-3基本要求與GB/T 22239—2019技術指標對比

圖1 IEC 62443-3-3基本要求與GB/T 22239—2019技術指標控制點對比

可以看出：IEC 62443-3-3標準基于ICS高可用性需求，設置防止未經授權訪問、受限數據流、事件實時響應以及資源可用性等指標，側重于保障系統(tǒng)可靠運行，且技術要求隨信息安全保障等級(SAL)逐級遞增.GB/T 22239—2019在安全計算環(huán)境指標中也設置了保障系統(tǒng)可用性的指標，并按照安全等級(SL)逐級遞增，但注重通過邊界隔離防護、網絡監(jiān)測審計、入侵防范、集中安全管理等網絡通信約束類指標提高系統(tǒng)安全防護能力.在保障系統(tǒng)高可用性方面，前者比后者指標更具體，對系統(tǒng)響應時間的影響更小，更能保證系統(tǒng)的可靠運行；在網絡安全綜合防御技術體系方面，后者指標更加完善.

注重系統(tǒng)的可用性是IEC62443標準的顯著特點，例如：

在安全計算環(huán)境方面，二者都提出了用戶身份鑒別指標及設備與軟件的口令策略、雙因子認證等要求.前者對設備、進程和人員的標志和身份鑒別都提出了具體要求，如控制系統(tǒng)提供初始化鑒別器，鑒別器安裝完成后立即改變其默認值，改變或刷新所有鑒別器，存儲或者傳輸時保護鑒別器免受未經授權的泄露和修改，控制系統(tǒng)提供鑒別過程中隱藏鑒別信息反饋的能力.后者只要求對登錄系統(tǒng)的用戶身份進行標識和鑒別.

在網絡邊界防護方面，前者強調系統(tǒng)自我保護能力.如“孤島模式、失效關閉”指標提出：系統(tǒng)一旦遭受攻擊，不但阻斷網絡邊界的通信，而且還切斷一切與其通信的路徑和傳輸數據，做到自身與外界無任何數據交互，形成信息孤島，確保系統(tǒng)自身安全穩(wěn)定運行.后者圍繞網絡分區(qū)分域、邊界隔離防護、入侵監(jiān)測與防范、設備應用程序可信驗證等設置網絡通信約束性指標，以傳統(tǒng)信息系統(tǒng)適用性指標體系為基礎，適當補充了ICS特殊適用性指標控制項.

1.1.2 SP 800-82標準與網絡安全等級保護標準

SP 800-82標準基于ICS的脆弱性和面臨的威脅，圍繞系統(tǒng)軟硬件及固件的實施和執(zhí)行，提出了標識與鑒別、訪問控制、審計與核查、系統(tǒng)和通信保護、配置管理、系統(tǒng)與信息完整性、介質保護、事件應急響應、安全與隱私保護9項技術指標.每項指標提出詳細的安全控制技術措施集合，內容包括結構化構件、措施編排方法和措施基線選擇過程，用戶可在滿足自身防護需求的前提下對措施進行裁剪或補充[2].

SP 800-82的技術指標分為152個控制點，GB/T 22239—2019分為4類、28個控制點，重點從邊界、網絡、主機和應用等方面進行分類[3].對比來看，SP 800-82的控制點更加全面和詳細，更加注重系統(tǒng)遭受攻擊時持續(xù)提供服務、系統(tǒng)恢復和降低損害等能力.

1.2 國內主要行業(yè)標準技術指標特點

國內電力行業(yè)ICS網絡安全防護工作起步早、最具代表性[4].行業(yè)管理部門發(fā)布實施了《電力二次系統(tǒng)安全防護規(guī)定》《電力監(jiān)控系統(tǒng)安全防護規(guī)定》等規(guī)范性文件以及《電力監(jiān)控系統(tǒng)網絡安全防護導則》(GB/T 36572)等系列標準，提出了“安全分區(qū)、網絡專用、橫向隔離、縱向認證”的基本防護策略，重點從基礎設施安全、體系結構安全、系統(tǒng)本體安全、安全可信免疫等方面明確具體技術要求.主要特點為：

1)分區(qū)分域和安全隔離.

網絡分為生產控制大區(qū)和管理信息大區(qū)，其中：生產控制大區(qū)根據業(yè)務重要性和響應級別分為控制區(qū)和非控制區(qū)；生產控制大區(qū)與管理信息大區(qū)之間部署經國家指定部門檢測認證的專用橫向隔離裝置，隔離強度達到物理隔離；生產控制大區(qū)與外部公用數據網采用虛擬專用網絡(VPN)等通信時，設立安全接入區(qū)，并采用具有訪問控制功能的設備、防火墻或者相當功能的邏輯隔離設施.

2)專用通信和加密認證.

控制區(qū)采用電力調度數據網或專用信道縱向通信；非控制區(qū)采用電力調度數據網縱向通信；管理信息大區(qū)采用電力企業(yè)數據網或外部互聯網縱向通信；生產控制大區(qū)SCADA/AGC、電力市場交易等重要業(yè)務采用行業(yè)專用縱向加密認證裝置遠程通信.

3)主機和服務器防護.

生產控制大區(qū)統(tǒng)一部署惡意代碼防護系統(tǒng)，離線更新病毒庫、木馬庫以及IDS 規(guī)則庫，禁止生產控制大區(qū)與管理信息大區(qū)共用一套惡意代碼防護系統(tǒng).撥號訪問服務器和用戶端使用經國家指定部門認證的安全加固操作系統(tǒng)，并采取加密、認證和訪問控制等措施.

4)自主安全可控.

采用行業(yè)專用的電力調度數字證書系統(tǒng)，實現行業(yè)密碼基礎設施一體化管理，為電力監(jiān)控系統(tǒng)以及電力調度數據網上的關鍵應用、用戶和設備提供數字證書服務，實現高強度的身份認證、安全的數據傳輸以及可靠的行為審計.生產控制大區(qū)采用國產硬件防火墻，其功能、性能、電磁兼容性須經過國家相關部門的認證和測試.

此外，煙草行業(yè)發(fā)布實施《煙草工業(yè)企業(yè)生產網與管理網網絡互聯安全規(guī)范》，把生產企業(yè)網絡分為生產網和管理網，兩網之間通過專用互聯接口通信，具備身份鑒別、訪問控制、網絡互聯控制、惡意行為防范、安全審計以及支撐操作系統(tǒng)安全等功能.石化行業(yè)發(fā)布實施《石油化工工廠信息系統(tǒng)設計規(guī)范》，要求網絡間嚴格進行安全隔離.

1.3 分析小結

1)國內ICS網絡安全技術標準大多借鑒IEC62443和SP 800-82系列標準技術指標要求.結合國內需求，網絡安全等級保護標準提出了“一個中心、三重防御”的技術指標體系，在網絡邊界隔離、網絡通信、系統(tǒng)應用、數據保護、集中管理等方面提出針對性指標要求.

2)IEC62443和SP 800-82標準作為ICS專用安全防護標準，注重從保護ICS的高可用性設計指標，從系統(tǒng)自身安全需求延伸到外圍網絡安全層面，盡量減小對系統(tǒng)響應時間的影響；國內相關標準注重通過邊界隔離、網絡監(jiān)測、入侵防范、集中安全管理等網絡通信約束性指標，提高網絡安全加固能力.

3)GB/T 22239—2019以傳統(tǒng)信息系統(tǒng)適用性指標體系為基礎，適當補充了ICS特殊適用性指標控制項，難以充分體現ICS針對性網絡安全技術需求.

4)IEC 62443標準技術指標涵蓋資產所有者、系統(tǒng)集成商、組件供應商等利益相關方，國內標準側重于針對資產所有者提出技術指標要求.

5)國內電力等重要行業(yè)結合行業(yè)需求提出了ICS專用網絡邊界隔離、專用通信和加密認證、惡意代碼防范、自主安全可控等特色指標，重點保護核心生產控制業(yè)務的安全，防護強度高于國際標準和國家標準.

2 ICS網絡安全防護技術應用需求分析

2.1 工業(yè)互聯網對ICS網絡安全帶來的挑戰(zhàn)

2.1.1 系統(tǒng)泛在互聯，缺乏有效的隔離防護手段

1)生產管理系統(tǒng)實時采集ICS數據，并與經營管理系統(tǒng)、互聯網互聯，ICS與管理網、互聯網處于同一網絡平面，工業(yè)病毒極易通過互聯網進入ICS，遠程操作行為帶來的入侵很容易對ICS造成危害.目前以分區(qū)隔離為主要模式的網絡安全技術弱化了連接安全性，使ICS在面對針對性網絡攻擊時愈發(fā)脆弱.

2)ICS系統(tǒng)大都集成化部署，子系統(tǒng)間缺乏有效隔離和認證手段，存在可被入侵者利用的漏洞，一旦某個子系統(tǒng)感染病毒或受到攻擊，會迅速擴散到其他子系統(tǒng).

3)上位機和下位機之間缺乏可靠的隔離防護措施，彼此間的通信缺少必要的身份鑒別和訪問控制機制，一般采用明文傳輸數據，大大降低了通過上位機對下位機攻擊的門檻.

4)具有數據采集分析、計算處理和遠程控制功能的智能化設備多使用嵌入式通用操作系統(tǒng)，一定程度上降低了入侵難度，若遭受惡意攻擊，會變成“跳板”并大規(guī)模主動擴散.

2.1.2 系統(tǒng)“帶病運行”，缺乏針對性的防護手段

1)核心控制設備長期不間斷運行，難以深度安全檢測，設備運行程序缺乏有效的實時備份和恢復手段，缺乏違規(guī)操作和越權訪問行為審計能力，設備漏洞修復依賴供應商且難以被修復，極易導致設備配置和梯形邏輯被篡改、被寫入或刪除內存模塊上的數據等.

2)工作站普遍采用Windows操作系統(tǒng)，存在可遠程執(zhí)行代碼、未授權訪問等高危漏洞，漏洞補丁更新嚴重滯后且缺乏可靠的防病毒措施，攻擊者可利用上述漏洞篡改系統(tǒng)配置參數或控制指令，可直接導致系統(tǒng)服務癱瘓并停產.

2.1.3 系統(tǒng)國產化率低，難以做到自主安全可控

核心控制設備、上位機操作系統(tǒng)、工業(yè)軟件等大多采用國外廠商產品，難以徹底排查后門等“暗功能”，容易形成隱蔽的攻擊通道.系統(tǒng)運維服務嚴重依賴供應商，對其行為缺乏違規(guī)操作、越權行為審計能力，生產和工藝配方信息存在泄露風險，系統(tǒng)難以做到“安全可靠、安全可信”.

2.1.4 缺乏網絡安全精準監(jiān)控手段，無法做到事件協(xié)同處置

我國工業(yè)互聯網缺乏全網感知體系和終端監(jiān)測手段，監(jiān)測審計和事件感知能力不足，無法準確預警、有效防御并追蹤溯源高級可持續(xù)性威脅等有組織的攻擊行為.

目前國內建設的ICS網絡安全態(tài)勢感知平臺難以及時更新現場監(jiān)測設備安全行為基線和威脅庫，事件誤報、漏報問題突出，難以精準定位事件，以及集中下發(fā)安全策略，不具備事件協(xié)同處置能力.

2.2 國內ICS網絡安全防護技術應用需求

1)以保證ICS高可用性為前提，從網絡、主機、控制設備、數據等方面采用針對性的防護技術，切實提升高級可持續(xù)性威脅等重大網絡安全風險防御能力.

2)完善ICS邊界以及工業(yè)互聯網移動互聯、無線接入等邊界防護技術要求，邊界隔離防護措施既不影響系統(tǒng)間信息交互，也能有效降低事件快速蔓延風險.

3)推進國產密碼技術在重要ICS中的應用，解決系統(tǒng)與數據的身份認證、訪問控制、機密性和完整性問題.

4)推進核心控制設備、工作站、服務器、基礎軟件、業(yè)務軟件等軟硬件產品國產化，完善內生安全機制，有效避免“后門”攻擊威脅.

5)采用新建、改造ICS上線前軟件源代碼安全性檢測和系統(tǒng)安全性測試技術,針對存在的漏洞和“后門”，提出安全可控的防護技術要求.

3 ICS網絡安全技術標準關鍵控制項

基于上述分析，本文從系統(tǒng)本體、通信網絡、數據安全、安全監(jiān)測與應急處置、防護產品安全等方面提出ICS網絡安全防護技術指標和關鍵控制項.如圖2所示：

圖2 ICS網絡安全標技術標準關鍵控制項

3.1 網絡邊界安全防護

防護目標：適應工業(yè)互聯網對系統(tǒng)互聯的要求，部署高可靠性的邊界隔離設備，既能滿足ICS與外部網絡、內部子系統(tǒng)間信息交互需求，又能有效抵御系統(tǒng)內外部攻擊行為.

關鍵控制項：

1)ICS與外部網絡邊界部署安全隔離技術裝置，重要ICS采用單向(雙單向)隔離并采用無連接通信協(xié)議通信，所造成的系統(tǒng)延時≤5 ms[5]，既滿足網絡間數據雙向傳輸和下發(fā)遠程控制指令等系統(tǒng)運行和低時延通信要求，也能有效防止外部網絡向ICS發(fā)動基于工控協(xié)議的攻擊；

2)重要ICS與外部網絡之間設置非軍事區(qū)(DMZ)，避免網絡之間直接交換數據，采取各自獨立的鑒別機制和憑證，消除兩網之間不受管制的通信；

3)重要ICS根據控制和監(jiān)測等不同功能劃分安全區(qū)域，不同區(qū)域邊界采用具備邏輯隔離功能的設備，對系統(tǒng)內的通信行為進行細粒度的控制，能夠識別和阻止已知的網絡安全威脅，保證控制類系統(tǒng)可靠運行；

4)重要ICS核心控制器前部署邏輯隔離裝置，所造成的系統(tǒng)延時≤100 μs，阻止非法數據包與控制器通信，減輕控制器負荷，保護控制器免受風暴數據包攻擊；

5)移動互聯、無線接入設備接入ICS前通過認證網關和工控防火墻安全隔離，訪問控制主客體力度至少細化到IP地址和端口號、MAC地址及應用協(xié)議,對傳輸數據進行加密.

3.2 工業(yè)主機安全防護

防護目標：

有效控制工業(yè)主機各類訪問行為，避免非授權訪問，防止受到非法入侵或造成工業(yè)數據泄露，但不因采用安全防護技術措施而影響系統(tǒng)正常運行或對系統(tǒng)的功能安全產生不利影響.

關鍵控制項：

1)安裝主機加固類軟件，設置白名單配置策略，僅允許系統(tǒng)執(zhí)行已知安全程序，實時監(jiān)控主機進程、服務、網絡端口和外接設備狀況，及時阻止執(zhí)行非授權應用或篡改信任應用的行為，阻止開啟非法進程或開放非法端口；

2)重要ICS上位機安裝組態(tài)軟件或修改重要參數時，采用 “口令+證書” “口令+生物鑒別”等身份鑒別方式[6]，采用面向ICS的遠程安全運維管控平臺，實現運維服務行為可控、可審計；

3)統(tǒng)一管理主機外接U盤等移動介質，針對不同身份配置相應可讀、可寫、可使用等權限，利用文件過濾技術阻止所有可疑文件，并對操作行為進行日志審計，消除移動介質使用時可能出現的BadUSB攻擊、LNK攻擊等安全威脅；

4)采用在線無損漏洞掃描技術定期對主機進行深度漏洞安全檢測，在兼顧主機高可用性的情況下及時更新漏洞補丁.

3.3 數據安全保護

防護目標：

保護傳輸和存儲數據的完整性和保密性，保證ICS內部及與外部網絡之間信息的安全傳輸.

關鍵控制項：

1)重要系統(tǒng)采用專用數據網絡或專用信道通信，通過無線網絡傳輸數據時采用無線信號加密、接入設備認證、無線-有線網絡間隔離等控制手段；

2)數據采集時進行識別、解析和清洗，數據存儲時判別數據敏感等級并實施一定程度的加密，數據傳輸時進行簽名和驗證，實現對數據流向的動態(tài)管控；

3)采用數據標識身份認證技術，保證標識身份的真實性，通過標識數據加密防止數據傳輸時被泄露，借助標識行為授權機制防范異常解析或篡改行為；

4)系統(tǒng)采用統(tǒng)一的安全協(xié)議底層架構，工業(yè)網絡協(xié)議具備保密和認證機制，能夠抵御互聯網中常見的重放攻擊、篡改攻擊、中間人攻擊、拒絕服務攻擊、修改控制系統(tǒng)程序軟件等惡意攻擊行為.

3.4 惡意代碼防范

防護目標：

在不干擾ICS正常功能的前提下，統(tǒng)一部署安全可靠的惡意代碼防護系統(tǒng)，有效阻止有害入侵在系統(tǒng)內的傳播蔓延.

關鍵控制項：

1)統(tǒng)一部署惡意代碼防護系統(tǒng)，病毒庫、木馬庫以及IDS 規(guī)則庫離線更新，禁止與管理信息系統(tǒng)共用一套防惡意代碼管理服務器；

2)在ICS與外部網絡邊界、內部子系統(tǒng)連接處、上位機和下位機之間等重要部位部署恰當的防病毒和惡意代碼策略，有效阻止來自系統(tǒng)內外部的病毒和惡意代碼穿透性地擴散至整個系統(tǒng)；

3)工程師站、操作員站及時安裝經過測試的安全補丁，使用反病毒軟件和文件完整性檢測軟件進行安全控制，以消減惡意軟件威脅；

4)U盤等移動介質和運維筆記本等接入ICS前首先進行病毒查殺，所有輸入數據先存放在文檔服務器進行病毒查殺，內部終端從服務器讀取數據；

5)重要系統(tǒng)服務器、核心控制設備等關鍵部件采用冷備機制，防止因感染勒索病毒等惡意軟件而導致數據無法恢復.

3.5 防護產品安全

防護目標：

安全防護產品安全可靠、管控策略有效，避免因產品自身缺陷對ICS正常功能產生影響.

關鍵控制項：

1)串接類產品部署不影響系統(tǒng)的響應時間等性能要求，比如在系統(tǒng)上位機和下位機之間部署的安全隔離設備須滿足最低通信延時要求；

2)產品不應設置鎖定用于基本功能的賬戶等系統(tǒng)所必須支持的功能，不應對系統(tǒng)功能的可靠性和功能安全產生影響；

3)產品不應因自身安全措施失效導致系統(tǒng)的基本功能中斷；

4)產品應具備對存儲在其上的敏感數據進行安全保護的功能，不存在未授權泄露身份認證信息、配置信息等風險；

5)產品不應存在已公布的漏洞，預裝軟件、補丁包/升級包不應存在惡意程序，不應存在未聲明的功能和訪問接口(含遠程調試接口).

3.6 自主安全可控

防護目標：

ICS采用國產化軟硬件產品并建立內生安全機制，有效防御未知漏洞和后門攻擊.

關鍵控制項：

1)采用嵌入式安全可信上位機，具有安全模塊及可信驗證等機制，具備身份加密認證、數據加密傳輸等功能，能有效防御未知漏洞和后門攻擊；

2)采用具有國產化芯片和操作系統(tǒng)的核心控制設備，控制指令執(zhí)行時間≤0.08 μs[5]，具有嵌入式安全模組等內生安全機制，具備身份加密認證、數據加密傳輸等功能，能有效防御未知漏洞和后門攻擊[7].

3.7 安全監(jiān)測與應急處置

防護目標：

對ICS部署授權、認證和監(jiān)聽等安全功能，從資產、漏洞、威脅、攻擊等多個方面監(jiān)測網絡安全態(tài)勢，實時分析安全風險并及時預警，集中下發(fā)安全策略并協(xié)同處置安全事件.

關鍵控制項：

1)智能化設備采用自身硬件安全保護機制，具備網絡安全感知、監(jiān)測預警和應急處置功能，保證網絡通信和數據安全；

2)監(jiān)測審計設備具備安全行為基線和威脅告警規(guī)則自學習能力，能夠智能識別網絡異常和入侵行為，具備高級可持續(xù)性威脅檢測和發(fā)現能力，能及時、準確預警木馬病毒或主機受控等攻擊事件；

3)企業(yè)級ICS網絡安全態(tài)勢感知與集中管控平臺具備設備漏洞庫、威脅情報庫、應急響應工具庫等安全知識庫，能夠全天候動態(tài)監(jiān)測、關聯分析和綜合感知威脅并發(fā)布預警，能夠集中下發(fā)安全處置策略并快速協(xié)同應急處置，防止黑客利用漏洞進行更廣泛的攻擊；

4)重要系統(tǒng)服務器、交換機應支持設備整機主備切換功能或關鍵部件應支持冗余功能，在設備或關鍵部件運行狀態(tài)異常時能自動切換到冗余設備或冗余部件以降低安全風險.

4 有關建議

建議管理部門應組織加強工業(yè)互聯網環(huán)境下ICS網絡安全防護關鍵技術指標研究，盡快制定針對性技術標準，保障重要行業(yè)領域ICS安全可靠運行.

1)組織國內各相關標準化專業(yè)機構和技術委員會等建立聯席會議機制，復審已發(fā)布的ICS網絡安全國家標準，針對工業(yè)互聯網對ICS網絡安全防護的特殊需求，研究制定《工業(yè)控制系統(tǒng)網絡安全防護關鍵技術要求》強制性國家標準，確保落地實施.

2)指導性國家標準《信息安全技術重要工業(yè)控制系統(tǒng)網絡安全防護導則》(GB/Z 41288—2022)于2022年3月9日發(fā)布，該標準從安全防護技術、應急備用措施和安全管理等方面提出了重要ICS網絡安全防護體系，建議盡快按照推薦性國家標準發(fā)布.

3)建立ICS網絡安全技術標準符合性測試認證制度，定期對標準技術指標要求的有效性、適用性開展測試評估，積極吸納成熟的安全防護新技術，不斷完善技術指標要求.

4)在后續(xù)標準制定中，充分借鑒IEC 62443和SP 800-82等相關國際標準先進思路，積極引導ICS功能安全和信息安全技術的融合，不斷提升ICS自主安全可控能力.