在与工业各行业客户进行咨询对话的过程中，他们常会提出一个疑问：“既然我们的工业控制系统与互联网相隔，宛如一座孤岛，外界的数据和信息都无法进入，那为何还需开展网络安全建设呢？”对此，笔者将从以下数点进行阐述，以解答客户的疑惑，并强调即便与互联网隔离的工控系统，其安全性亦不容忽视。

一、WIFI无线连接打通工业系统和互联网通道

如今，手机普遍具备上网功能，大多数人的手机网络全天候开启。手机电量不足时，人们会借助电脑的USB接口或电源为其充电。然而，在工业环境中，调度员或运维人员有时会将手机现场工控机的USB接口充电，并在充电的同时使用手机上网。这一行为直接导致原本隔离的工控系统与互联网相连，互联网中的病毒也可能通过手机传播至工业现场的工控主机，从而在工控网络中扩散。如下图所示：

病毒潜入流程图

美国塔尔萨大学曾对风电场进行了专门的渗透测试，该测试的第一阶段是利用物理安全的缺陷，将微型WIFI设备接入控制系统，以实现对风电场的攻击。具体攻击的细节内容，本文不予详述，有兴趣的读者可以查阅安全牛网站发布的文章《黑客入侵风力发电厂全过程》来全面了解攻击的全过程。

目前针对该问题有以下解决方案：

对U口通过物理方式或者软件进行管控，禁止外设接入U口；

部署无线防护设备对无线信号进行防护；

对主机采用白名单的方式进行防护。

二、通过远程维护打通工业系统和互联网通道

当工业现场遇到问题且现场工作人员无法解决时，客户通常会采纳以下两种应对策略：

（1）、请工程师来现场处理；

若工程师无法亲临现场，则只能借助远程方式，由他们进行问题处理。

第1种情形不予探讨，我们关注的是第2种情形，即工业现场中普遍存在的远程处理现场问题。在通常与互联网隔绝的工业系统里，远程运维通常采取何种手段呢？一般而言，我们会采取以下几种方法来解决问题：

针对无法连接WIFI热点的电脑，需启动远程控制软件，进而执行远程操作以解决问题。

利用具备网络功能的交换机，将故障电脑连接起来，随后启动远程操控程序，实施远程操作以解决问题。

现场通过私接交换机来实现上网

此类做法对工业控制系统构成极大风险，首先，存在问题的电脑一旦接入网络，便已将工业控制系统与互联网连接起来；其次，仅凭远程控制软件对现场电脑进行操控，无法对远程维护人员实施身份核实，也无法记录操作过程，若发生事故，将难以追溯责任。

遇到现场问题时，我们首先会邀请工程师现场解决问题。若工程师无法及时到达，我们将采取远程运维措施。为应对远程运维中的网络安全挑战，我们需在工控系统中安装一台工控运维系统。具体部署图示见下：

工控运维系统部署示意图

该系统主要可以实现以下功能：

本系统具备对工业协议（例如OPC等）进行解析的能力，这一功能使得对工控指令的审计成为可能。

部署灵活，即插即用，方便针对性的进行设备远程运维；

确保运维设备与被管理设备之间实现有效隔离，避免运维设备的不当操作和恶意软件传播至工业控制系统，从而确保工业控制系统的安全稳定运行。

对工业控制系统配置软件实施监控与记录，此功能涵盖了国内外众多主流的工控系统供应商。

运维人员的身份采集和身份认证，全程记录运维数据。

三、企业信息化的发展，ERP系统需要从生产网取数据

工业化与信息化的进程不断推进，众多工业和能源类企业纷纷投身于信息化建设的浪潮之中，众多行业亦纷纷完成了工业系统的更新与变革，逐步涌现出诸如数字化矿山、智慧电力、智慧油田以及智能制造等一系列前沿生产技术。这些前沿技术的实现，随之而来的便是网络安全问题。企业信息化架构图如下所示：

系统架构图

信息化建设的推进，实现了生产网与管网之间的互联互通，使得管网能够从生产网中提取数据，进而进行分析，为高层决策提供依据。经过决策后的信息，管网通过网络传输至生产网，以便于执行，从而提升了整体的生产效率。然而，若管网遭受病毒或恶意代码的侵袭，数据在传输过程中极有可能被带入生产层。

2017年，一家规模庞大的能源公司由于服务器采用了双网卡设置，分别接入生产网络与管理系统，缺乏必要的防护措施，不幸遭受了勒索病毒的侵袭。该病毒进而扩散至生产网络，给企业带来了显著的财务损失。具体情形如图所示。

现场感染勒索病毒的服务器

要解决这个问题，我们可以采取在管理网络与生产网络之间设置工业级防火墙的策略，以此达到生产和管理的有效分离。具体部署方式如图所示：

工业防火墙部署示意图

四、生产网内部使用U盘进行数据拷贝传输

U盘作为病毒传播的关键途径，在工业环境中被频繁使用，常用于数据复制。尽管部分场所采用封条来封闭U口，但这种做法实际上并未起到实质性的作用。当工作人员需要使用U口时，他们会撕去封条，使用完毕后再将封条重新贴上。

现场主机大量U盘插拔记录

最有效的解决方案是利用主机防护软件对电脑的接口实施管理，并且在数据传输过程中，采用特定的安全U盘来执行数据的复制与转移。

五、生产内部管理不善，导致重要数据信息泄露或丢失

当前在工业控制系统领域，信息安全的管理体系尚不健全，关键的信息安全职位存在空缺，且对员工进行信息安全意识的教育培训不足，同时，粘贴密码以及使用弱密码的情况相当普遍，具体情形如图所示。

现场发现粘贴系统密码

若缺乏定期进行的漏洞检测，便无法了解自身系统存在的风险点，进而难以准确描绘系统的安全状况。

以上所述的安全管理漏洞，将引发员工安全防范意识薄弱，可能导致现场关键数据遗失或遭窃，以及关键控制措施被竞争对手或黑客获取并加以利用等一系列不良后果。

要彻底解决这些问题，单靠建立安全规章是远远不够的，必须定期开展风险评估，加强员工安全意识的宣传教育，从国内外发生的各类安全事故中汲取经验教训，持续优化和升级安全规章及应急计划。概括而言，安全管理的构建是一项需要长期培育的工作。

六、结论

综合来看，即便与互联网隔绝的工业控制系统，也必须强化网络安全防护措施。这不仅仅意味着安装几套安全设备，或是设定一些安全规则就能解决。我们必须依据国家发布的规范和法规，运用安全技术与管理相结合的方法，同时加强员工的安全意识教育，通过系统化的全面规划，才能更有效地确保工业系统的网络安全，从而保护好我国的重要基础设施。

*本文作者：，本文属 原创奖励计划，未经许可禁止转载。