西门子部署纵深防御的安全工控系统

西门子王爱鹏（右）在2014中国工业信息化及信息安全发展论坛接受工控网专访

         目前，ICS会遭受哪些安全威胁？针对工业控制系统典型应用，西门子梳理出工业控制系统缺乏清晰的网络边界、域间缺乏边界访问控制、域间通信缺乏防护、缺乏对恶意程序的防护、缺乏严格的账号管理、对恶意操作缺乏控制等6个薄弱环节。
        “未经授权的访问、恶意代码的攻击、拒绝服务攻击、针对控制/组态通信的攻击，以及恶意操作都会对ICS带来安全威胁。”西门子中国研究院信息安全 部核心技术专家唐文说。
        由此可见，工业信息安全的关键需求包括五个方面，分别是开展工业安全风险评估，建设全面的信息安全管理；实现安全域的划分与隔离，网络接口遵从清晰的安全规范；部署集成安全措施的保护基于PC的控制系统；保护ICS控制级，防御安全攻击；实现对ICS通信的可感知与可控制。
        “西门子工业安全理念涉及上述五个关键需求领域，覆盖了工业自动化控制系统的所有级别。”唐文说。西门子将“纵深防御”引入工业控制系统的信息安全解决方案：在外部世界的威胁和工控网络之间建立尽可能多层次的防护。通过部署多层次的、具有不同针对性的安全措施，保护关键的工业自动化控制过程与应用的安全。
        “作为TIA的重要组成部分，西门子工业信息安全解决方案可以针对不同的工业客户提供量身订制服务。”王爱鹏说，“我们的产品、服务、解决方案在设计初始就充分考虑了安全因素，保证所有产品在面市发布之前都必需通过包含工业信息安全在内的严密系统测试。”
        据了解，西门子工业安全解决方案包括物理环境安全、安全策略与流程、划分安全单元与DMZ、部署防火墙与VPN，进行系统加固、管理用户账号、部署补订管理、监测与防护恶意软件。同时，西门子还提供贯穿整个生命周期的支持，包括咨询服务、安全分析、客户培训和托管服务等。

工业信息安全需要动态防御
        国家对工业信息安全的高度关注刺激工业信息安全市场的快速增长，很多业内最终用户开始关注或正在应用信息安全产品或解决方案。据西门子一项调查显示，目前，98%的中国工业用户已经认识到工业信息安全工作的重要性，自动化系统处于联网状态的用户达到77.5%。
        “但是，我们也发现国内很多客户对工业信息安全的认识还停留在初级阶段，或者认为自己的控制系统太小、很特殊，攻击事件不会发生在自己身上；或者将安全寄托在某个单一的产品上。”王爱鹏说。
         “集成”大于单个组件的总和，西门子已在物理层面上证明了这一点，对于ICS信息安全防控亦是如此。西门子希望能够通过不断的沟通和交流，让客户意识到，工业信息安全是一套完整的解决方案，在IEC 62443标准体系指导下，需要根据不同客户的实际需求制定不同的解决方案。
        据王爱鹏介绍，西门子中国研究院自2005年就开始开展工业信息安全的研究工作，现在已经建立了一支专业化的研发团队，其研究覆盖了安全风险评估、安全咨询、安全解决方案设计、安全工具研发、渗透测试、安全健壮性测试等工业信息关键领域，其创新创新的成果不仅有效支持了西门子工业信息安全解决方案的本地化，还提供给德国总部应用于其他国家和地区。
        目前，西门子信息安全方案已应用于石化、交通、先进制造、电力等信息安全性要求较高的领域。针对化工、食品饮料、烟草、汽车、制药、供水和污水处理、玻璃制造、太阳能和机械工程等行业，西门子都有不同的解决方案框架，可根据客户的实际应用，规划具体的解决方案。（文/gongkong张丽莹）