智慧水務(wù)安全挑戰(zhàn)與應(yīng)對(duì)措施

全康環(huán)保:2020年5月28日，以色列國(guó)家網(wǎng)絡(luò)安全負(fù)責(zé)人公開承認(rèn)，該國(guó)4月份挫敗了對(duì)其供水系統(tǒng)的大規(guī)模網(wǎng)絡(luò)攻擊。此次針對(duì)以色列中部供水設(shè)施的攻擊不是為了經(jīng)濟(jì)利益，而是具有國(guó)家背景的黑客組織攻擊，目標(biāo)是控制用于供水網(wǎng)絡(luò)閥門的PLC（可編程邏輯控制器），是對(duì)以色列及其國(guó)家安全攻擊的一部分，目的是“引發(fā)人道災(zāi)難”。

此次事件再次引起對(duì)供水設(shè)施遭受攻擊和入侵的重視，美國(guó)國(guó)土安全部的統(tǒng)計(jì)顯示：早在2015年，針對(duì)供水系統(tǒng)的網(wǎng)絡(luò)攻擊事件，就已經(jīng)排入前三名，僅次于關(guān)鍵制造和能源行業(yè)。針對(duì)關(guān)鍵基礎(chǔ)設(shè)施的首個(gè)網(wǎng)絡(luò)攻擊事件不是2010年伊朗震網(wǎng)病毒，而是2000年澳大利亞昆士蘭州惡意控制污水控制系統(tǒng)的網(wǎng)絡(luò)攻擊。

頻發(fā)網(wǎng)絡(luò)安全事件表明，網(wǎng)絡(luò)威脅已經(jīng)向城市供水系統(tǒng)領(lǐng)域滲透，把水務(wù)工業(yè)控制系統(tǒng)作為攻擊目標(biāo)，為城市供水系統(tǒng)敲響了安全警鐘。

一、智慧水務(wù)簡(jiǎn)介

智慧水務(wù)利用新一代信息技術(shù)，通過傳感器技術(shù)、網(wǎng)絡(luò)和移動(dòng)系統(tǒng)與水務(wù)信息系統(tǒng)的結(jié)合，構(gòu)建成智能感知、智能仿真、智能診斷、智能預(yù)警、智能調(diào)度、智能處置、智能控制和智能服務(wù)全方位的水務(wù)管理系統(tǒng)?！爸腔鬯畡?wù)”是智慧城市建設(shè)的重要組成部分，旨在提升水務(wù)管理和服務(wù)的水平，為城市的發(fā)展提供更好的支撐，有效提升城市智慧建設(shè)和宜居能力。

城市供水安全直接關(guān)系著人們的生命安全，是構(gòu)建經(jīng)濟(jì)繁榮、政治穩(wěn)定的現(xiàn)代化城市的重要基礎(chǔ)。伴隨著智慧水務(wù)的建設(shè)，城市供水系統(tǒng)網(wǎng)絡(luò)安全問題日益突出。

網(wǎng)絡(luò)安全已上升到國(guó)家安全戰(zhàn)略高度，習(xí)近平總書記在中央網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組第一次會(huì)議中明確闡述了網(wǎng)絡(luò)安全對(duì)于國(guó)家的重要性。2017年6月1日《中華人民共和國(guó)網(wǎng)絡(luò)安全法》正式頒布實(shí)施，明確指出針對(duì)城市水務(wù)公共服務(wù)等關(guān)鍵信息基礎(chǔ)設(shè)施，在網(wǎng)絡(luò)安全等級(jí)保護(hù)制度的基礎(chǔ)上，實(shí)行重點(diǎn)保護(hù)。網(wǎng)絡(luò)安全是智慧水務(wù)健康、長(zhǎng)久發(fā)展的重要保障。

二、智慧水務(wù)安全挑戰(zhàn)分析

智慧水務(wù)通過數(shù)采儀、無線網(wǎng)絡(luò)、水質(zhì)水壓表等在線監(jiān)測(cè)設(shè)備實(shí)時(shí)感知城市供排水系統(tǒng)的運(yùn)行狀態(tài)，并采用可視化的方式有機(jī)整合水務(wù)管理部門與供排水設(shè)施，形成"城市水務(wù)物聯(lián)網(wǎng)"，并可將海量水務(wù)信息進(jìn)行及時(shí)分析與處理，并做出相應(yīng)的處理結(jié)果輔助決策建議，以更加精細(xì)和動(dòng)態(tài)的方式管理水務(wù)系統(tǒng)的整個(gè)生產(chǎn)、管理和服務(wù)流程，從而達(dá)到"智慧"的狀態(tài)。

智慧水務(wù)建設(shè)必然會(huì)打通生產(chǎn)運(yùn)行體系、服務(wù)營(yíng)銷體系、決策支持體系、綜合管理體系等城市水務(wù)環(huán)節(jié)，實(shí)現(xiàn)水務(wù)企業(yè)所有相關(guān)信息（水務(wù)管網(wǎng)基礎(chǔ)數(shù)據(jù)、水務(wù)管網(wǎng)運(yùn)營(yíng)數(shù)據(jù)、水務(wù)用戶信息、水務(wù)系統(tǒng)實(shí)時(shí)監(jiān)測(cè)數(shù)據(jù)、采樣點(diǎn)水質(zhì)數(shù)據(jù)、熱線信息、管線工程等）在網(wǎng)絡(luò)上的互相流轉(zhuǎn)與共享，從而實(shí)現(xiàn)真正意義上的水務(wù)信息的完全共享，最終實(shí)現(xiàn)城市水務(wù)行業(yè)的智慧運(yùn)作。而這也就意味著城市水務(wù)賴以運(yùn)行的工業(yè)控制網(wǎng)絡(luò)會(huì)直接與管理網(wǎng)、互聯(lián)網(wǎng)連通，面臨極大的安全風(fēng)險(xiǎn)。

（一）通信協(xié)議風(fēng)險(xiǎn)

自動(dòng)化和信息化的高度融合和物聯(lián)網(wǎng)的發(fā)展使得ModBus協(xié)議、ProfiBus協(xié)議、OPC協(xié)議等工業(yè)協(xié)議廣泛應(yīng)用于城市水務(wù)工業(yè)控制網(wǎng)絡(luò)，協(xié)議的公開性導(dǎo)致極易遭受攻擊，而傳統(tǒng)防火墻往往無法發(fā)現(xiàn)和防范出現(xiàn)的安全問題。

（二）工業(yè)設(shè)備風(fēng)險(xiǎn)

國(guó)內(nèi)水務(wù)企業(yè)工業(yè)控制系統(tǒng)大量采用進(jìn)口工業(yè)控制設(shè)備，而這些設(shè)備普遍存在漏洞，可利用漏洞進(jìn)行腳本攻擊改變操作指令，進(jìn)而影響生產(chǎn)正常進(jìn)行。

（三）操作系統(tǒng)風(fēng)險(xiǎn)

城市水務(wù)工業(yè)控制系統(tǒng)的工業(yè)主機(jī)基本上都是Windows平臺(tái)，為保證過程控制系統(tǒng)的相對(duì)獨(dú)立性，同時(shí)考慮到系統(tǒng)的穩(wěn)定運(yùn)行，通常不會(huì)對(duì)操作系統(tǒng)安裝任何補(bǔ)丁，存在很大的安全隱患。

（四）安全策略和管理流程風(fēng)險(xiǎn)

追求可用性而犧牲安全性，是水務(wù)工業(yè)控制系統(tǒng)存在的普遍現(xiàn)象，缺乏完整有效的安全策略與管理流程也帶來了一定的威脅。例如移動(dòng)存儲(chǔ)介質(zhì)包括筆記本電腦、U盤等設(shè)備的隨意使用和不嚴(yán)格的訪問控制策略。

（五）感染病毒風(fēng)險(xiǎn)

為了保證工控應(yīng)用軟件的可用性，許多工業(yè)主機(jī)通常不會(huì)安裝殺毒軟件，因?yàn)闅⒍拒浖?huì)造成工控應(yīng)用軟件運(yùn)行出現(xiàn)異常，而且工業(yè)主機(jī)緊張的資源配置也不能滿足殺毒軟件的運(yùn)行需求，但是工控環(huán)境的數(shù)據(jù)交互會(huì)導(dǎo)致病毒進(jìn)入工業(yè)主機(jī)，近兩年頻繁的勒索病毒攻擊也正是因此而起。

（六）安全監(jiān)管風(fēng)險(xiǎn)

城市水務(wù)工業(yè)控制網(wǎng)絡(luò)普通缺乏工業(yè)安全審計(jì)設(shè)備和安全日志統(tǒng)計(jì)分析手段，無法實(shí)現(xiàn)對(duì)工業(yè)控制網(wǎng)絡(luò)的可感知與可控制。

三、智慧水務(wù)安全應(yīng)對(duì)措施

城市水務(wù)是國(guó)家關(guān)鍵基礎(chǔ)設(shè)施的重要組成部分，關(guān)系著廣大人民群眾的生命安全，必然會(huì)面臨國(guó)內(nèi)外黑客組織的重點(diǎn)關(guān)注和攻擊。近年來，全球發(fā)生的多起針對(duì)水務(wù)行業(yè)工業(yè)控制系統(tǒng)的攻擊事件給人們敲響了警鐘。如何應(yīng)對(duì)水務(wù)行業(yè)的工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，是智慧水務(wù)建設(shè)過程中必須考慮和解決的現(xiàn)實(shí)問題。

智慧水務(wù)安全防護(hù)應(yīng)貫穿采水、凈水、供水、排水等環(huán)節(jié)，綜合采用縱深防御、大數(shù)據(jù)分析、協(xié)議深度解析、智能感知、態(tài)勢(shì)監(jiān)控等新技術(shù)新手段，形成貼合水務(wù)行業(yè)實(shí)際情況的應(yīng)對(duì)措施。

（一）全環(huán)節(jié)態(tài)勢(shì)感知

針對(duì)智慧水務(wù)工業(yè)控制網(wǎng)絡(luò)中安全防護(hù)手段眾多、安全信息雜亂、安全態(tài)勢(shì)不可見的現(xiàn)狀，建議以水務(wù)企業(yè)為主體，建設(shè)涵蓋其下屬水源廠、凈水廠、泵站、管網(wǎng)等生產(chǎn)設(shè)施、覆蓋采水、凈水、給水、供水、排水等全環(huán)節(jié)的工控安全態(tài)勢(shì)感知平臺(tái)，實(shí)現(xiàn)對(duì)企業(yè)下屬企業(yè)全方位、全天候的網(wǎng)絡(luò)安全態(tài)勢(shì)感知，及時(shí)發(fā)現(xiàn)各類網(wǎng)絡(luò)安全風(fēng)險(xiǎn)以及非法訪問事件，實(shí)現(xiàn)工業(yè)信息安全的閉環(huán)管理，全面提高水務(wù)企業(yè)工業(yè)安全防護(hù)的整體水平。

智慧水務(wù)工控安全態(tài)勢(shì)感知平臺(tái)引入大數(shù)據(jù)威脅情報(bào)分析技術(shù)，綜合底層海量數(shù)據(jù)采集及威脅情報(bào)分析能力，形成安全防護(hù)手段統(tǒng)籌協(xié)調(diào)、資源信息全面監(jiān)控、態(tài)勢(shì)分析高度集中、運(yùn)營(yíng)數(shù)據(jù)智能分析實(shí)時(shí)預(yù)警、態(tài)勢(shì)呈現(xiàn)可見可控的綜合監(jiān)控中心，采用被動(dòng)掃描方式??現(xiàn)資產(chǎn)脆弱性識(shí)別和分析，實(shí)時(shí)主動(dòng)感知潛在的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，形成高價(jià)值、高可見、高實(shí)時(shí)的戰(zhàn)略性威脅情報(bào)，及時(shí)發(fā)現(xiàn)安全威脅、評(píng)估安全風(fēng)險(xiǎn)，按照風(fēng)險(xiǎn)、威脅、事件等構(gòu)建態(tài)勢(shì)要素及態(tài)勢(shì)模型，從計(jì)算環(huán)境、網(wǎng)絡(luò)邊界、業(yè)務(wù)流程等維度實(shí)現(xiàn)對(duì)智慧水務(wù)工業(yè)控制網(wǎng)絡(luò)全網(wǎng)安全態(tài)勢(shì)感知的可視化。

（二）白名單主動(dòng)防護(hù)

智慧水務(wù)工業(yè)控制系統(tǒng)主機(jī)存在運(yùn)行資源有限、操作系統(tǒng)老舊、補(bǔ)丁難以及時(shí)更新、無法部署殺毒軟件等現(xiàn)實(shí)情況，建議采用應(yīng)用程序白名單技術(shù)建立主動(dòng)防護(hù)機(jī)制，形成以白名單技術(shù)為基礎(chǔ)、應(yīng)用程序數(shù)據(jù)智能采集分析、惡意代碼識(shí)別阻斷、移動(dòng)設(shè)備安全管控的主機(jī)安全防護(hù)體系，通過大數(shù)據(jù)采集和分析，智能學(xué)習(xí)并自動(dòng)生成工業(yè)主機(jī)操作系統(tǒng)及工業(yè)應(yīng)用軟件正常行為模式的白名單基線，僅允許必要的系統(tǒng)進(jìn)程及工業(yè)應(yīng)用軟件運(yùn)行，主動(dòng)抵御已知未知安全風(fēng)險(xiǎn)，實(shí)現(xiàn)對(duì)工業(yè)主機(jī)設(shè)備的全面安全加固，進(jìn)行病毒防護(hù)、阻止惡意軟件攻擊、禁止非授權(quán)程序運(yùn)行等。

（三）多邊界縱深防御

智慧水務(wù)網(wǎng)絡(luò)邊界主要存在于辦公網(wǎng)、工業(yè)控制網(wǎng)絡(luò)、互聯(lián)網(wǎng)的內(nèi)部以及這些網(wǎng)絡(luò)之間。目前辦公網(wǎng)與互聯(lián)網(wǎng)之間安全防護(hù)措施相對(duì)比較完善，但是工業(yè)控制網(wǎng)絡(luò)內(nèi)部及與其他網(wǎng)絡(luò)之間普遍缺乏安全防護(hù)措施，存在很大的安全隱患。

為了保證智慧水務(wù)工業(yè)控制網(wǎng)絡(luò)的安全，建議對(duì)辦公網(wǎng)、工業(yè)控制網(wǎng)絡(luò)、互聯(lián)網(wǎng)進(jìn)行合理安全區(qū)劃分，并對(duì)工業(yè)控制網(wǎng)絡(luò)進(jìn)行細(xì)致區(qū)域劃分，根據(jù)網(wǎng)絡(luò)情況及工業(yè)控制設(shè)備實(shí)際情況選擇合適的工業(yè)安全防護(hù)設(shè)備進(jìn)行針對(duì)性安全保護(hù)，構(gòu)建多邊界縱深防御體系。

1. 安全分區(qū)規(guī)劃

根據(jù)網(wǎng)絡(luò)實(shí)際情況進(jìn)行梳理，將與生產(chǎn)管理監(jiān)控相關(guān)的設(shè)備剝離出來，形成獨(dú)立的管理層網(wǎng)絡(luò)，然后再將工業(yè)控制網(wǎng)絡(luò)按照功能屬性進(jìn)行網(wǎng)絡(luò)區(qū)域劃分，各網(wǎng)絡(luò)區(qū)域內(nèi)部再根據(jù)不同工藝流程或生產(chǎn)任務(wù)進(jìn)行安全域劃分，形成更為細(xì)致合理的安全區(qū)域。

2. 辦公網(wǎng)與工業(yè)網(wǎng)邊界防護(hù)

通過在辦公網(wǎng)與工業(yè)網(wǎng)絡(luò)邊界部署工業(yè)安全防護(hù)設(shè)備，并嚴(yán)格配置安全策略實(shí)現(xiàn)網(wǎng)絡(luò)之間數(shù)據(jù)安全交換，實(shí)現(xiàn)了辦公網(wǎng)與工業(yè)網(wǎng)之間的縱向隔離防護(hù)，確保辦公網(wǎng)與工業(yè)網(wǎng)之間不會(huì)互相影響。

3. 各網(wǎng)絡(luò)區(qū)域之間邊界防護(hù)

通過在各網(wǎng)絡(luò)區(qū)域入口部署工業(yè)安全防護(hù)設(shè)備，實(shí)現(xiàn)對(duì)工業(yè)專有協(xié)?h深度解析，建立網(wǎng)絡(luò)通訊“白環(huán)境”，阻止區(qū)域間的越權(quán)訪問以及病毒、蠕蟲的擴(kuò)散和入侵，將危險(xiǎn)源控制在有限范圍內(nèi)，有效防止安全威脅在區(qū)域之間串?dāng)_。

（四）全流量安全審計(jì)

針對(duì)智慧水務(wù)工業(yè)控制網(wǎng)絡(luò)中專用工業(yè)協(xié)議多、生產(chǎn)網(wǎng)絡(luò)運(yùn)行情況缺乏監(jiān)控、安全風(fēng)險(xiǎn)難以及時(shí)預(yù)警的現(xiàn)狀，建議建立以工業(yè)協(xié)議深度解析為基礎(chǔ)、“持續(xù)監(jiān)測(cè)數(shù)據(jù)聯(lián)動(dòng)”為核心理念、實(shí)時(shí)監(jiān)測(cè)分析告警的網(wǎng)絡(luò)安全審計(jì)機(jī)制，對(duì)智慧水務(wù)工業(yè)控制網(wǎng)絡(luò)中的所有層面進(jìn)行全面持續(xù)的監(jiān)控，通過全面的數(shù)據(jù)感知和分析，建立智慧水務(wù)安全數(shù)據(jù)庫(kù)，并結(jié)合威脅情報(bào)，實(shí)現(xiàn)對(duì)已知威脅、高級(jí)威脅、APT攻擊的有效預(yù)防、發(fā)現(xiàn)、防御和過程回溯。

通過安全審計(jì)實(shí)時(shí)監(jiān)測(cè)智慧水務(wù)工業(yè)控制網(wǎng)絡(luò)中針對(duì)工業(yè)協(xié)議的惡意攻擊、誤操作、違規(guī)行為、非法設(shè)備接入以及蠕蟲、病毒等惡意軟件的傳播，及時(shí)告警并聯(lián)動(dòng)態(tài)勢(shì)感知平臺(tái)動(dòng)態(tài)調(diào)整安全防護(hù)措施，避免發(fā)生安全事件。

四、結(jié)語

智慧水務(wù)的建設(shè)剛剛起步，網(wǎng)絡(luò)安全問題造成的危害還未充分暴露，尚未引起足夠重視。另外，隨著新技術(shù)不斷應(yīng)用到智慧水務(wù)建設(shè)中，各種新的安全風(fēng)險(xiǎn)應(yīng)運(yùn)而生，智慧水務(wù)的網(wǎng)絡(luò)安全保障建設(shè)任重道遠(yuǎn)，需要從頂層規(guī)劃、制度、標(biāo)準(zhǔn)、管理和技術(shù)防護(hù)等方面全面思考，才能保障智慧水務(wù)又好又快發(fā)展。

作者單位：中孚信息北京研究院