王文海 浙江大學

工業控制系統是現代工業裝備、國家重大工程及關鍵基礎設施的神經中樞、運行中心和安全屏障。工業控制系統與信息網絡融合的不斷深化，網絡攻擊方法的日益復雜多變，工控系統面臨前所未有的安全威脅。面對震網、BlackEnergy等集團式攻擊，僅依靠傳統圍堵式被動防御體系已無法有效應對，亟需在攻防嚴重不對稱、存在大量被漏洞被后門的現實環境中，抵御跨越信息物理空間的未知威脅，突破功能安全與信息安全深度融合場景下的工控安全防護難題。工控安全事關國家之戰略安全，自主可控，掌握核心關鍵技術是立足之本。

本項目突破存在未知威脅環境下工控系統“知、防、強、評”困局，保障工控系統全生命周期的安全性、可靠性、可用性。項目的實施，將增強我國在工業控制系統防護領域的國際主動權和話語權，為有效保護我國重大基礎設施奠定重要技術基礎。

1　總體目標

本項目研究工業控制系統脆弱性分析與威脅態勢感知技術、工控系統動態防護主動防御技術、工控系統可信增強免疫安全技術，及其控制裝備研制與安全測試評估方法與標準；構建結合功能安全、信息安全、操作安全，覆蓋工控系統管理層、監控層、控制層、器件（部件）層，貫穿控制工程的設計、運行、服務等全生命周期，全面保障工控系統的安全性、可靠性、實時性以及可用性的主動防御內生安全的工控系統安全防范核心技術體系；研制工控系統入侵偵測與態勢感知、隔離加密與動態異構、可信增強與入侵容忍、驗證平臺與測評分析等的工具與裝備；形成工控系統深度安全防護整體解決方案，并在萬點大型工業裝置中示范應用。

2　主要研究內容

（1）深度安全機理與體系架構研究

針對工控系統攻擊機理和工程特征，研究多層次多維度工控系統動態防御機理與脆弱性分析理論；研究工控系統全生命周期全流程攻防建模。

研究基于動態重構及可信增強的工控系統內生安全主動防御機理，構建可抵御多層次多維度復雜攻擊的工控系統深度安全體系架構。

研究面向未知威脅的測試方式，提出工業控制系統安全評估指標體系。

（2）脆弱性分析與威脅態勢感知技術

研究基于數值、結構及語義多層次特征指標的函數高精度匹配算法，以及跨平臺漏洞關聯檢測機制；研究針對工控系統監控軟件、通信協議、嵌入式操作系統、實時控制引擎的漏洞挖掘機制，研制工控系統設備漏洞挖掘與關聯平臺。

研究基于信息物理系統工程特征的深度防御體系，構建多層次多維度的異常行為檢測機制；研究自學習的自動化逆推溯源方法，推斷攻擊路徑與源頭；研究層次化的工控威脅態勢感知指標體系和風險計算方法，推斷整體威脅態勢。

（3）動態重構的主動防御技術

研究動態重構策略、多余度表決機制、相異性度量理論，提出工業控制系統動態重構主動防御框架體系。

研究控制邏輯多態隨機混合編譯及運行時驗證保護技術，采用隨機編譯技術生成多平臺等價邏輯執行體，及其平行實時執行策略。

基于動態密鑰構建通訊通道，重構工控系統安全通信協議，完成工控系統端到端加密安全傳輸；基于區塊鏈技術，以共識方式實現工程文件的安全存儲。

（4）可信增強的主動防御技術

研究控制系統可編程電子組件的可信增強技術和動態防護技術。突破可信鏈、完整性檢測、信源可信和協同安全認證、安全聯動、多重異構容錯、動態隔離與在線恢復技術等關鍵技術，實現控制行為安全可信。

研究工業控制系統工程設計與運行安全可信技術，建立安全受控的關鍵工業裝備控制設計與運行維護機制，保障控制系統工程設計鏈的可信受控。

研究工業控制系統容侵彈性控制技術，研究局部網絡單元分布式協同估計與局部子系統協調控制方法，突破分布式動態隔離與多重異構容錯技術，實現工業控制系統全局彈性控制。

（5）裝備研制與安全測評

研究動態防護、可信增強等主動防御技術在工業控制系統的應用技術和工程設計方法，研制自主可控、深度安全的工業控制系統產品。

研究工業控制系統深度安全測試驗證技術，研制深度安全評估與測試驗證平臺。評估工業控制系統深度安全技術措施的執行情況和有效性。

研究大型工程項目工業控制系統全生命周期綜合安全防護技術措施，研制面向大型工程項目的集成應用與安全防護整體解決方案，完成萬點規模大型工程項目的示范應用。

3　項目階段成果

項目的成功實施依賴于工業控制與信息安全的有機深度融合，防御未知攻擊必須跨越傳統信息安全與功能安全簡單式疊加的思維誤區。項目團隊由在主動防御、工控裝備與安全、高端網絡設備研制、工控安全測評與標準等方面具備優勢工作基礎的22家單位組成，包括浙江大學、中國科學院信工所、信息工程大學、浙江中控、北京神州綠盟、中國信息安全測評中心、西安交通大學、北京工業大學、杭州電子科技大學等單位。項目現階段研究成果顯著：

（1）洞挖掘平臺的原型開發，3個工控漏洞獲得CVE漏洞確認；研發了大規模固件函數關聯平臺；

（2）設（石油輸送、大型火電）2類典型工業裝置的工控深度安全技術測試驗證平臺，及國內外3種主流ICS的深度安全技術測試驗證平臺；

（3）完成自主可控深度安全的工控系統的架構原理設計，完成部分模塊的功能設計、開發實現或部件調試；研發具有動態重構、隨機多樣化或異構冗余特征的主動防護ICS相關組件及工具3個。

4　結語

本項目預期形成工控系統深度安全防護技術與裝備體系，滿足國家重大基礎設施與重大工程安全、可控、可信的需求，激發出新一代工控安全產業創新活力，具有顯著的經濟效益與社會效益。

基金項目：國家重點研發計劃“網絡空間專項”（2016YFB0800200）

作者簡介

王文海（1967-），研究員，浙江大學控制學院研究員，博士生導師，長期專注于工業控制系統及其設計開發平臺、控制系統功能安全與信息安全等的研究開發與產業化。最終形成獨具特色的具有完全自主知識產權的完整計算機控制系統技術體系，領導技術團隊開發完成了全系列計算機控制系統產品。并進行大型工業裝備自動化系統的應用研究，獲得一系列應用創新成果。

摘自《工業控制系統信息安全》專刊第四輯