曾凡森
近年來(lái)，工業(yè)互聯(lián)網(wǎng)安全正引起國(guó)家層面的重視。2014年2月27日，習(xí)近平總書記在中央網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組第一次會(huì)議上發(fā)表講話，指出“沒(méi)有網(wǎng)絡(luò)安全就沒(méi)有國(guó)家安全”。在這個(gè)大背景下，工信部于2016年10月發(fā)布《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》，全國(guó)各行各業(yè)尤其是冶金行業(yè)都開(kāi)始針對(duì)自身的工業(yè)控制系統(tǒng)進(jìn)行信息化融合以及信息安全的建設(shè)。
在今年3月份召開(kāi)的2023年鋼鐵行業(yè)智能制造聯(lián)盟年會(huì)暨第二屆鋼鐵行業(yè)數(shù)字化解決方案交流會(huì)上，英賽克科技（北京）有限公司（下稱英賽克）、首鋼京唐鋼鐵聯(lián)合有限責(zé)任公司（下稱首鋼京唐）聯(lián)合申報(bào)的“基于‘工業(yè)互聯(lián)網(wǎng)縱深防御’的鋼鐵行業(yè)工業(yè)互聯(lián)網(wǎng)安全解決方案”獲評(píng)鋼鐵行業(yè)十大優(yōu)秀解決方案之一，成為鋼鐵企業(yè)在網(wǎng)絡(luò)安全領(lǐng)域持續(xù)探索的一大優(yōu)秀成果。
安全方案實(shí)施要“臨機(jī)制變”
通過(guò)前期多次現(xiàn)場(chǎng)調(diào)研勘察，采納各工藝技術(shù)人員的意見(jiàn)和建議，英賽克建立并完善了首鋼京唐全廠一二級(jí)工業(yè)網(wǎng)絡(luò)安全防護(hù)方案，并在現(xiàn)場(chǎng)技術(shù)人員的陪同下實(shí)施了該方案。
該方案通過(guò)安裝工業(yè)安全主機(jī)衛(wèi)士軟件實(shí)現(xiàn)對(duì)工業(yè)現(xiàn)場(chǎng)主機(jī)、服務(wù)器的安全防護(hù)。主機(jī)衛(wèi)士采用白名單技術(shù)，對(duì)已知的業(yè)務(wù)系統(tǒng)軟件進(jìn)行掃描識(shí)別、形成白名單，從而禁止白名單之外其他可執(zhí)行程序的運(yùn)行，無(wú)需病毒庫(kù)即可保障現(xiàn)場(chǎng)主機(jī)、服務(wù)器的安全。
然而，白名單技術(shù)由于其自身“非黑即白”的絕對(duì)性，在前期現(xiàn)場(chǎng)實(shí)施時(shí)，也曾出現(xiàn)了一段“小插曲”。英賽克相關(guān)負(fù)責(zé)人員回憶道，在某工藝段實(shí)施成功并進(jìn)入試運(yùn)行階段時(shí)，現(xiàn)場(chǎng)的操作員反饋安裝主機(jī)衛(wèi)士的操作站出現(xiàn)問(wèn)題，原有的畫面監(jiān)控軟件無(wú)法運(yùn)行，不過(guò)只要運(yùn)維人員關(guān)閉主機(jī)衛(wèi)士的防護(hù)功能，業(yè)務(wù)系統(tǒng)就能正常運(yùn)行了。收到反饋之后，英賽克技術(shù)人員第一時(shí)間趕往現(xiàn)場(chǎng)，對(duì)現(xiàn)場(chǎng)出現(xiàn)問(wèn)題的操作站進(jìn)行檢查。“經(jīng)過(guò)排查，技術(shù)人員發(fā)現(xiàn)主機(jī)衛(wèi)士確實(shí)攔截了很多可執(zhí)行程序。”負(fù)責(zé)人介紹，“經(jīng)過(guò)查詢主機(jī)衛(wèi)士的告警日志，我們發(fā)現(xiàn)，這些程序都是現(xiàn)場(chǎng)業(yè)務(wù)系統(tǒng)在運(yùn)行時(shí)自動(dòng)生成的新程序。這些程序原先并不在白名單中，因而被主機(jī)衛(wèi)士攔截，導(dǎo)致現(xiàn)場(chǎng)業(yè)務(wù)軟件無(wú)法運(yùn)行。”
在查清事故原因后，技術(shù)人員果斷調(diào)整這臺(tái)主機(jī)衛(wèi)士的安全策略，將此類系統(tǒng)軟件所在的文件路徑添加為白名單。“這樣該業(yè)務(wù)軟件所有的運(yùn)行內(nèi)容都被視為允許的，既解決了現(xiàn)場(chǎng)誤攔截的問(wèn)題，又不影響現(xiàn)場(chǎng)操作站的安全防護(hù)。”負(fù)責(zé)人表示。
為企業(yè)創(chuàng)造年效益近千萬(wàn)元
首鋼京唐全廠一二級(jí)工業(yè)網(wǎng)絡(luò)安全防護(hù)項(xiàng)目共實(shí)施了上千套主機(jī)衛(wèi)士軟件、近百臺(tái)工業(yè)防火墻。該項(xiàng)目實(shí)施后，可節(jié)省首鋼京唐公司一二級(jí)工控系統(tǒng)每年升級(jí)和購(gòu)買殺毒軟件、獲得授權(quán)的費(fèi)用。同時(shí)，每年可有效減少網(wǎng)絡(luò)安全事故，縮短因網(wǎng)絡(luò)安全問(wèn)題造成的停機(jī)時(shí)間，從而降低生產(chǎn)和運(yùn)維成本。該項(xiàng)目年效益預(yù)計(jì)近千萬(wàn)元。
除了提升經(jīng)濟(jì)效益外，該項(xiàng)目應(yīng)用成果還體現(xiàn)在多個(gè)方面。第一，建設(shè)創(chuàng)新性安全示范工程。建成具有先進(jìn)性、代表性、創(chuàng)新性的工業(yè)網(wǎng)絡(luò)安全示范工程，為其他流程及控制系統(tǒng)網(wǎng)絡(luò)安全建設(shè)提供方案和技術(shù)支撐。第二，無(wú)需更新和維護(hù)，一次購(gòu)買、終身使用。該方案中的工業(yè)網(wǎng)絡(luò)安全產(chǎn)品均采用白名單技術(shù)，產(chǎn)品部署過(guò)程中不需要更改現(xiàn)場(chǎng)主機(jī)及控制系統(tǒng)任何配置，避免了傳統(tǒng)網(wǎng)絡(luò)安全產(chǎn)品需高頻率更新的缺點(diǎn)，更適用于工業(yè)網(wǎng)絡(luò)環(huán)境。同時(shí)，所有產(chǎn)品一次購(gòu)買、永久使用，擺脫了傳統(tǒng)安全產(chǎn)品需定期購(gòu)買授權(quán)的缺點(diǎn)。第三，杜絕不合規(guī)應(yīng)用，降低安全風(fēng)險(xiǎn)。該方案通過(guò)應(yīng)用程序、移動(dòng)存儲(chǔ)介質(zhì)的白名單策略，可以有效防止業(yè)務(wù)系統(tǒng)安裝運(yùn)行違規(guī)程序、非法使用移動(dòng)存儲(chǔ)介質(zhì)等，降低安全風(fēng)險(xiǎn)。第四，保護(hù)關(guān)鍵對(duì)象，增強(qiáng)核心資產(chǎn)穩(wěn)定性。該方案通過(guò)建立穩(wěn)定的計(jì)算環(huán)境，結(jié)合應(yīng)用程序白名單機(jī)制，可對(duì)未知病毒進(jìn)行安全“免疫”，有效降低生產(chǎn)網(wǎng)絡(luò)中的安全風(fēng)險(xiǎn)，杜絕病毒、木馬、勒索軟件的傳播，增強(qiáng)業(yè)務(wù)系統(tǒng)的連續(xù)性和穩(wěn)定性。第五，提高運(yùn)營(yíng)單位安全生產(chǎn)水平，為提高企業(yè)經(jīng)營(yíng)效益做貢獻(xiàn)。該方案可提高生產(chǎn)控制網(wǎng)絡(luò)行為的合規(guī)性識(shí)別能力，避免發(fā)生由網(wǎng)絡(luò)安全引起的突發(fā)事件，避免或減少生產(chǎn)控制網(wǎng)絡(luò)安全威脅，杜絕重大災(zāi)難性事件，為企業(yè)安全生產(chǎn)提供保障。
《中國(guó)冶金報(bào)》（2023年05月30日 03版三版）
