工業互聯網作為新一代網絡信息技術與制造業深度融合的產物，是實現產業數字化、網絡化、智能化發展的重要基礎設施和關鍵技術支撐。2021年2月，工信部印發《工業互聯網創新發展行動計劃（2021—2023年）》，對今后3年工業互聯網的重點工作內容做出部署，特別強調安全的重要性。

　　《行動計劃》提到，工業互聯網企業網絡安全分類分級管理有效實施，聚焦重點工業領域打造200家貫標示范企業和100個優秀解決方案。培育一批綜合實力強的安全服務龍頭企業，打造一批工業互聯網安全創新示范園區。基本建成覆蓋全網、多方聯動、運行高效的工業互聯網安全技術監測服務體系。同時要求強化企業自身防護，鼓勵支持重點企業建設集中化安全態勢感知和綜合防護系統，提升網絡和數據安全技術能力。

　　工控系統是工業互聯網的核心

　　工控系統是工業互聯網重要的關鍵環節，工控系統的安全對整個工業互聯網的健康發展有著重大影響。

　　工控系統主要有IT層和OT層兩個體系。其中，IT是信息技術，用于檢索、傳輸信息的硬件和軟件。而OT（Operational Technology）是運營技術或操作技術，用于監視、觸發物理設備變化的硬件和軟件。

　　OT體系是工控系統架構中的重要數據來源，通過工業控制系統（ICS），以及監控和數據采集（SCADA）、分布式控制系統（DCS）、工業自動化和控制系統（IACS）、可編程邏輯控制器（PLC）、可編程自動化控制器（PAC）、遠程終端單元（RTU）、控制服務器、智能電子設備（IED）和傳感器等各子系統，實現對數據實時采集、存儲、運算、實時控制輸出，從而使生產制造更加自動化、效率化、精確化、可視化、可控化。

　　這其中，特別關注可編程邏輯控制器（PLC）、數據采集和監控系統（SCADA）和分布式控制系統（DCS）等三個子系統。

　　可編程邏輯控制器（PLC）是自動化機械控制的關鍵，專門為工業生產而設計的數字運算操作的一種電子裝置，能實現開關量的邏輯控制、模擬量控制、運動控制、過程控制、數據處理、通信及聯網等功能。

　　數據采集和監控系統（SCADA），以計算機技術、通信技術以及自動化技術為基礎的生產監控系統，實現對現場的運行設備進行監視和控制，實現數據采集、設備控制、測量、參數調節以及各類信號報警等各項功能。

　　分布式控制系統（DCS）是流程工業的大腦，一個由過程控制級和過程監控級組成的以通信網絡為紐帶的多級計算機系統，綜合了計算機、通訊、顯示和控制等技術，能夠實現分散控制、集中操作、幫助生產線自動化，對控制精度要求較高。

　　工控系統風險面臨的風險挑戰

　　隨著“兩化融合”帶來工業控制系統外連，以及生產網絡內底層計算技術、網絡技術的更新，使得內網單機開始聯網，這就對當前防護技術的功能、性能提出了不同于傳統技術的安全要求。這種工業網絡規模、工業數據量的變化，對傳統的隔離、檢測、統一管理的防護邏輯帶來挑戰。

　　第一，安全漏洞的挑戰。工控系統存在大量老舊且利用門檻低的漏洞，不僅長期未被發現和修復，并且有大量全新的0DAY漏洞。漏洞是風險的爆發源頭，無論是病毒攻擊還是網絡攻擊大多是基于漏洞。這些“帶病運行”的軟件和設備帶來巨大安全隱患，面臨攻擊的風險逐步加大。

　　第二，運營中斷的挑戰。工業設備資產分布廣、設備類型繁多。很多企業是幾十年前的遺留系統，且長期未做更新。不僅面臨生產故障、設備老化等風險，設備上的風險隱患在不能有效安全配置下，更加劇了各類設備、軟件的脆弱程度，進而導致持續運營中斷。

　　第三，生產效率降低的挑戰。OT 團隊不了解系統風險趨勢與安全重要性，IT 團隊不知道業務運營流程。這一關鍵的技能差距會帶來認知偏差，產生壁壘和數據“孤島”，不僅導致投入的設備與系統效力大打折扣，更會影響業務生產與安全。

　　“工控系統安全標準”為企業工控建設護航

　　工業系統是工業互聯網的關鍵基礎，為保障工控系統安全，多部門陸續發布了一系列政策文件，為建立工控安全防護體系指明方向。

　　2011 年，工信部印發《關于加強工業控制系統信息安全管理的通知》，提出加強工業控制系統信息安全管理的重要性和緊迫性。2016年10月，工信部發布《工業控制系統信息安全防護指南》。2017年7月，工信部發布《工業控制系統信息安全防護能力評估工作管理辦法》，規范工控安全評估工作。2020年2月，工信部印發《工業數據分類分級指南（試行）》，指導企業提升工業數據管理能力。2021年，全國信息安全標準化技術委員會發布《信息安全技術工業控制系統信息安全防護能力成熟度模型》，這是對工控系統設計、建設、運維等相關方的一套安全標準。

　　《信息安全技術工業控制系統信息安全防護能力成熟度模型》將工控安全防護能力成熟度等級劃分為五級：1級是基礎建設級，包括45項安全要求；2級是規范防護級，包括167項安全要求；3級是集成管控級，包括259項安全要求；4級是綜合協同級，包括320項安全要求；5級是智能優化級，包括365項安全要求：

　　級別1，基礎建設級

　　組織能夠依據工業控制系統信息安全防護的技術基礎和條件開展基本保護工作，安全防護能力建設主要基于特定業務場景，尚未形成規范化、流程化的工作方式，相關工作多依賴信息安全人員主觀經驗，建設過程未要求以文檔形式記錄，無法形成可復制。

　　例如，工業控制系統信息安全防護PA可被標識，初步建立工業控制系統信息安全管理制度，但主要基于組織的特定業務場景和知識經驗水平，未形成規范化、流程化的工作方式。

　　級別2，規范保護級

　　組織建立并記錄工業控制系統信息安全防護能力建設工作，能夠針對工業控制設備、工業主機、工業網絡、工業數據等方面，制定規范化安全防護制度、規章，使得組織能夠以重復的方式執行，采用數字化裝備、信息技術手段等，有針對性的開展安全防護，面向各方面形成獨立、可復制的安全防護能力。

　　例如，工業控制系統信息安全防護PA（過程域，就是實現同一安全目標的相關工業控制系統信息安全防護基礎實踐的集合）管理符合標準的規定，相關BP（基本實現，就是實現某一安全目標的工業控制系統信息安 全防護相關活動）的執行是規范化的，并可對實踐情況進行過程驗證，與等級1“基礎建設”主要區別是BP執行過程被規范地計劃和管理。

　　級別3，集成管控級

　　組織能夠對工業控制系統設備、主機、系統、網絡、數據等方面，在規范防護已有工作基礎上，通過集成化工具、系統等，對相對獨立的單點防護設備進行集中統一管控，同時整合相關防護規章制度文件，形成體系化制度，實現組織內部工業控制 系統信息安全的集中管理、統一控制的安全防護能力。

　　例如，對工業控制系統設備、主機、系統、網絡、數據等方面進行集中統一管控，并形成體系化制度。與等級2“規范防護”的主要區別在于，使用集成化工具來策劃和管理工業控制系統信息安全。

　　級別4，綜合協同級

　　組織能夠面向不同產線、廠區、工廠及產業鏈上下游相關單位，統籌考慮信息安全風險需求，開展安全防護建設，建立多級協 同的安全管理體系，并通過態勢感知、統一管控等技術手段實現綜合決策、協調防護的安全能力。

　　例如，統籌考慮不同產線、廠區、工廠及產業鏈上下游相關單位的信息安全風險需求，建立多級協同的安全防護體系。與等級3“集成管控”的主要區別在于執行過程的綜合決策和協調防護。

　　級別5，智能優化級

　　組織能夠采用人工智能、主動防御、內生安全等先進技術，與已有安全防護設備、系統、制度體系深度融合，使得可通過知識學習、 智能建模分析等技術，構建可智能化演進的安全防護系統，形成具有自決策、自進化能力的安全防護體系。

　　例如，將已有安全防護設備、系統、制度體系進行深度融合，形成具有自決策、自進化能力的安全防 護體系。與等級4“綜合協同”的主要區別在于執行過程的智能優化和演進。

　　頂象助企業構建立體工控安全體系

　　《信息安全技術工業控制系統信息安全防護能力成熟度模型》對企業工控系統安全能力的系統檢驗和評估，主要是基于“安全能力要素”、“能力成熟度等級”和“能力建設過程”等三個維度。

　　其中，“能力建設過程維度”包含核心保護對象安全和通用安全兩個方面：核心保護對象安全主要包含工業設備安全、工業主機安全、工業網絡邊界安全、工業控制軟件安全和工業數據安全等5個過程類，共計20個過程域，188個 基本實踐；而通用安全主要包含安全規劃與機構、人員管理與培訓、物理與環境安全、監測預警與應急響應、供應鏈安全保障等5個過程類，共計20個過程域， 177個基本實踐。

　　2021年7月，頂象成為工業控制系統信息安全防護能力推進分會會員單位，助力《信息安全技術工業控制系統信息安全防護能力成熟度模型》試點示范，幫助工業企業開展工控安全防護工作。

　　讓企業全面掌握工控系統安全現狀

　　通過安全檢測和風險評估，能夠對企業的工控系統進行全面的“體檢”，發現各類潛在攻擊和未知威脅，將威脅扼殺在早期或萌芽狀態，將風險防范的關口前移，從而提升企業整體的安全性。

　　頂象洞見實驗室主要面向底層工控設備和裝置( PLC、DCS、SCADA等)以及各類組態軟件的漏洞挖掘和安全研究，基于領先的工業系統漏洞挖掘與利用、漏洞模糊測試和工業協議分析技術，為國內外數十家知名工業企業提供過安全檢測服務。

　　頂象OT-Argus通過集成自主研發的非入侵式無損智能漏洞掃描系統，結合集成的4000+種工控漏洞，1000+種獨家挖掘的0DAY漏洞，50000+種IT漏洞檢測掃描插件，全面覆蓋IT/OT漏洞檢測。對設備進行完整性、脆弱性、安全性進行全面檢測與評估，提升設備的安全性、可靠性和穩定性。

　　防范已知威脅和正在發生的攻擊

　　幫助企業及時修復工控系統存在的各類已知漏洞，有效防范病毒威脅；同時“誘捕”攔截已發生的攻擊，良好保障工控系統安全。

　　頂象OT-Guard獨有的“虛擬補丁”技術，能夠自動生成基于已知和未知漏洞的針對性防護策略，實時監控各類工控漏洞攻擊，阻斷各類威脅。石油石化企業不依賴設備廠家升級和修復、無需專業人員手動操作，也可以完成未知缺陷動態修復的解決方案。該方案修復功能完全可逆可追溯，確保生產環境完全可控。

　　頂象OT-Phantom第三代的欺騙誘捕技術能夠自動化高度仿真海量的資產和業務，主動引誘攻擊者攻擊仿真的“幻影系統”，誤導與迷惑攻擊者，增加攻擊時效，通過使用欺騙防御技術來挫敗攻擊者的探測過程。可以有效感知攻擊者以及蠕蟲病毒、木馬等通過技術手段對系統進行針對性的攻擊行為，詳細觀察記錄攻擊手法、入侵行為、訪問記錄、威脅破壞等，對被防護網絡的攻擊、異常事件進行實時預警。并通過實時的行為分析，結合關聯網絡、智能模型建設和風控引擎，對攻擊者進行快速溯源和風險特征分析，幫助運營者進行針對性防御。該技術在每年的實戰攻防演習得到充分實踐證明，目前已在多個企業落地。

　　預知未知威脅和潛在被攻擊風險

　　幫助企業及時發現并掌握各類異常行為、風險隱患及故障隱患，通過事前應對或消除，保障工控系統的安全，保障業務的連續性。同時，基于業務系統的大數據，構建威脅模型，能夠幫助企業預測內外部和主觀因素下的偶然與必然結果，為可能發生安全事件提供決策支撐。

　　頂象通過有監督和無監督的機器學習威脅行為建模，能夠對工控系統中的行為進行自動聚類與分類，精準識別網絡內的正常和異常行為，發現各類潛在攻擊和未知威脅，提升網絡和設備的安全檢測結果，協助安全運維人員將威脅消滅在萌芽狀態，進一步提升整體的安全性。

　　頂象OT-Eye基于知識圖譜技術，打通不同層次的風險數據，實現風險的統一的采集、匯聚、融合與關聯。結合內部和外部風險知識，深入挖掘分析，形成獨有的風險知識圖譜。進而追溯風險原因和傳播機制，實現風險的感知和預測，協同網內往外聯防聯控，幫助安全人員制定更科學有效的防護策略，讓企業從被動防御轉為主動保障。

　　作為國內領先的業務安全公司，頂象自主研發了全鏈路的風控中臺產品矩陣體系，包括設備指紋、無感驗證、實時決策平臺、端加固、數據采集保護、工業硬件保護、模型平臺、關聯網絡平臺、知識圖譜等風控、安全和人工智能產品，能夠有效防范工控系統風險，助力工業互聯網健康發展。