工业控制系统信息安全的安全保障-Achilles认证

工业控制系统信息安全的安全保障-Achilles认证

施耐德电气工业事业部 王斌

1 当前信息安全现状

随着“两化融合”和物联网的普及，越来越多的信息技术应用到了工业领域。工业以太网技术由于开放、灵活、高效、透明、标准化等特点，越来越多的在工控控制系统中得到广泛应用。

目前，超过80%的涉及国计民生的关键基础设施依靠工业控制系统来实现自动化作业，如工业、能源、交通、水利以及市政等领域。一旦这些工业控制系统信息安全出现漏洞，将对工业生产运行和国家经济安全造成重大隐患，甚至威胁到国家的战略安全。

2010年发生的“震网”病毒事件，充分反映出工业控制系统信息安全面临的严峻形势，也为提升工业控制系统信息安全的迫切性敲响了警钟。最近几年，针对工业控制系统信息安全攻击事件的爆炸式增长，引发了国家相关管理部门、企业用户、系统集成商、设备生产商的共同关注和高度重视。如何保障企业用户工业控制系统的安全性，如何满足工业控制系统的安全要求，如何保证系统部件的安全性，是目前面临的针对工业控制系统信息安全的最大挑战。

2 工业控制系统信息安全标准

为了充分应对工业自动化和控制系统通信网络中的信息安全遇到的越来越多的挑战，IEC/TC65/WG10（工业过程测量、控制与自动化/网络与系统信息安全工作组）与国际自动化协会ISA99成立联合工作组，共同制定IEC62443《工业过程测量、控制和自动化网络与系统信息安全》系列标准。该系列标准分为通用、信息安全程序、系统技术和部件技术4个部分，分别描述了工业控制系统信息安全的不同方面。

其中，IEC62443第2-4部分涉及到信息安全的认证内容，包括功能性信息安全评估、软件开发信息安全评估和通信鲁棒性测试三个方面。

面对工业控制系统信息攻击事件的日益增加、产生的危害越来越大，如何确保客户购买的工业控制设备、系统和相关服务能够满足相关的信息安全认证，从而减少用户端在系统投运后信息安全部署所需的进一步资金投入；如何确保产品供应商提供的所有产品满足全球的信息安全要求，避免地区差异造成的生产和系统集成的成本提高。这些问题是摆在最终客户和产品供应商面前的需要迫切解决的首要问题。

表1 IEC62443/ISA-99系列的四个部分

3 Achilles认证简介

当前，对于最终用户来说，令他们头疼的问题是：如何选择一种安全的工业控制系统？到底什么样的产品是安全的？如何证明该产品是安全的？有没有相关的认证？

而对于产品供应商而言，如何生产出一个安全的产品？需要注意哪些方面？有没有相关的证书可以证明？这些是他们非常关心的话题。

是否存在一种信息安全认证能够同时满足最终客户和产品供应商的上述信息安全要求？可以保证最终用户使用的工业控制系统直接满足信息安全标准，进一步减少部署信息安全策略所需的资金投入，可以保证产品供应商提供的工业控制设备、产品也可以满足全球的信息安全标准，减少由于标准差异化带来的产品研发、生产、制造等的成本投入，来自于沃泰公司的Achilles认证可以确保这些要求同时得到满足。

沃泰公司的Achilles认证确保了产品供应商的相关产品、系统和服务可以满足最终客户的工业控制系统信息安全标准，成为事实上的行业标准。Achilles认证主要有：

（1）Achilles通信认证

（2）Achilles实践认证

3.1 Achilles通信认证

该认证主要是针对关键基础设施中常见的利用有线或者无线通讯协议的应用、设备和系统间健壮性的测试认证。通过该认证的产品，已经达到了通讯稳定性的最高标准要求，可以有效的防范上万种“零日漏洞”，以及其他未公开的漏洞或隐患。目前来自于全球前10大自动化公司中的8个（如Siemens、SchneiderElectric、ABB、HIMA、HIRSCHMANN等）公司的自动化产品已经成功通过了“Achilles通信认证”的所有要求。该认证共分为两个等级：

（1）Level1：该等级测试和监视了受测设备基于Ethernet、ARP、IP、ICMP、TCP和UDP的数据包的详细执行过程，用于验证是否满足OSI2–4层定义的可靠性和稳定性等级要求。该等级已经成为工控产品健壮性的行业标杆，并得到全球主要自动化产品供应商和全球工业企业巨头的认可；

（2）Level2：该等级是Level1认证的扩展认证，采用了更多的测试，和更多通讯成功/失败要求。Level2通过进一步产生更多测试值、检测协议状态、使用更高频率的Dos攻击测试每一种通讯协议。

适用于“Achilles通讯认证”的产品有：

（1）嵌入式设备：运行嵌入式软件，用于实现监视、控制，或者执行工业过程控制的设备，如PLC、SIS或DCS等；

（2）主机设备：运行通用操作系统完成多个应用、数据存储等功能的设备，如HMI、工程师站等；

（3）控制应用：作为过程控制接口，在嵌入式、主机或网络设备中执行的软件程序，如HMI软件、历史数据库软件、PLC逻辑等；

（4）网络组件：实现数据传输或限制了数据流的设备，如路由器、交换机、网关、防火墙、无线设备等；

3.2 Achilles实践认证

该认证主要依据国际仪器用户协会（WerkgroepInstrumentBe oorderling(WIB)）为工业控制系统产品供应商建立的一整套要求来评估安全工程流程，这些要求是沃泰公司根据35个重要的过程现场中评估了人、流程和执行的过程后开发的272个安全基准。通过该认证的产品供应商，可以确保系统的整个开发周期，包括实施、维护和退市等都符合最好的安全管理实践。最重要的是，该认证也符合WIB的测试要求。该协会的50多家全球企业巨头已经将该认证作为企业的强制性标准，要求他们的产品供应商必须通过该认证。目前，如Siemens、Honeywell、Emerson、Invensys等产品供应商已经成功获得该认证。“Achilles实践认证”完全参照IEC62443-2-4标准进行执行。

专为产品供应商量身打造的认证过程包括：认证范围、供应商准备、评估和生成报告四个阶段。

4 Achilles认证平台

4.1 Achilles测试平台

随着技术的发展，工业控制系统越来越多的采用开放、兼容、互联的网络实现数据交互。在“大数据”、“两化融合”、“物联网”等时代背景下，关键基础设施中的工业控制系统在信息安全攻击下变得越来越脆弱。如何确保产品供应商提供的产品免受信息安全攻击的影响？Achilles测试平台是最重要的测试攻击，也是唯一监视网络和操作参数的通信健壮性测试平台。该测试平台可以发现、重现、隔离、标识和消除系统中存在的隐患，并在产品投放市场前解决该问题。

Achilles测试平台可以测试所有基于IP的网络组件的稳定性，无论该产品是复杂的DCS、PLC、SCADA、AMI，还是终端智能仪表。

真实环境下的Achilles测试平台，如图1所示。

图1 真实环境下的Achilles测试平台

Achilles测试平台支持的协议有：

4.2 Achilles测试软件

Achilles测试软件是专为产品供应商的研发团队打造的重要工具，这些产品供应商希望自己开发的产品能消除信息安全隐患。Achilles测试软件是行业内全方位的强壮性测试工具，帮助研发团队发现产品中存在的隐患。利用这个重要的测试工具，研发团队可以在产品研发的周期中更早的进行测试，节省了大量的研发时间和费用。

Achilles测试软件涵盖的通讯协议有：

4.3 Achilles威胁智能防护软件（ATIS）

ATIS是由安全防护策略和配置文件组成，再加上业界领先的信息安全入侵检测和入侵防护（IDS/IPS）系统确保ICS和SCADA系统的安全防护。同时，在无需停机执行补丁更新的情况下，让关键设备和系统免受零日攻击。与全球自动化产品供应商及全球工业巨头的合作，可以不断发现和分析新兴的、不断变化的安全隐患，并将相应的安全防护策略和配置文件集成到ATIS系统的IPS/IDS中，满足日益变化的工业控制系统的信息安全要求。

图2 ATIS防护体系架构图

ATIS防护体系如图2所示。

ATIS系统覆盖的产品供应商和产品有：

5 通过Achilles认证后的获益

（1）给产品供应商带来的好处是：

• 验证了产品或者设备的可靠性和完整性，避免了现场解决问题时的费用支出风险；

• 减少了补丁发放、客户的现场服务等费用，避免了质量问题，增加了市场份额；

• 实现了产品的差异化，提升了产品竞争力；

• 充分满足服务商提出的认证要求。

（2）给工业企业客户带来的好处是：• 简化了采购流程；

• 全球公认的、更好的通讯网络稳定性标杆适用于所有的产品供应商；

• 减少了系统稳定性和安全性方面的投资；

• 确保系统和网络满足当前的或新兴的国际信息安全标准以及政府规定等。

6 结语

工业控制系统的信息安全与产品、系统架构、用户的管理制度、政府和行业主管部门的政策、标准、规范等息息相关，如何保障企业用户工业控制系统的信息安全，需不断加强产品供应商的信息安全意识和行动，建立和健全信息安全标准和评估认证机制，增强工业企业用户的安全意识和完善管理制度，共同打造一个安全、可靠的工业控制系统环境。

沃泰公司（Wurldtech）简介

成立于2006年，总部位于加拿大温哥华的沃泰公司，可以提供持续和不断更新的信息安全解决方案，是国际公认的，可以为产品供应商和关键基础设施客户提供专业信息安全解决方案的供应商。这些解决方案可以有效的防护大量、复杂的工业控制系统与外部系统互联时产生的信息安全问题，同时可以帮助全球的客户评估和消除信息安全隐患，减少风险影响和降低成本损失。

• 认证要求和合规性来自于与关键基础设施服务商和产品供应商的合作经验，这些经验直接促成了“Achilles实践认证”成为行业公认的最佳实现标准；

• 沃泰公司的信息安全解决方案已经被证明可以显著地减少客户的信息安全风险和降低成本损失，客户包含了10大全球自动化公司中的8个（如Siemens、SchneiderElectric、ABB、HIMA、HIRSCHMANN等），和5大能源供应商中的4个（BP、SHELL、SouthernCompany等）；

• 沃泰公司也是唯一具有风险和隐患全方位视野，利用积累的经验和知识，在整个产品开发的生命周期建立安全最佳实践，为关键基础设施服务商和产品供应商提供全方位服务。

王斌（1974-），男，汉，毕业于北京航空航天大学自动控制专业，现任施耐德电气（中国）有限公司解决方案开发经理/信息安全总监，曾编写《Quantum PLC设备信息安全解决方案操作手册》和《Quantum PLC设备信息安全解决方案简明手册》，并被国家电力监管委员会和国家能源局推广到所有电力企业。