（五）工業信息安全威脅的來源

1．工業信息安全內部威脅

當前，工業信息系統面臨的內部威脅包含以下幾個方面。

（1）設計之初未充分考慮安全需求

工業控制系統設備、協議及應用程序在設計之初未充分考慮信息安全需求，對于訪問控制、認證、授權等缺乏策略機制，無法有效抵御常見的網絡攻擊，使得外部網絡的病毒和攻擊行為可以暢通無阻地進入工業控制系統，并造成破壞。

（2）存在大量老舊工業控制系統及設備

工業控制設備長時間不升級，導致工業控制系統中存在大量過時的技術和產品，例如國內發電廠和金屬冶煉廠仍然大量使用Windows 2000和Windows XP系統，而微軟公司在很久以前就停止了對這兩種操作系統的支持。此外，早已過時的DCOM技術仍在使用，該技術的通信端口不固定，網絡攻擊很容易和DCOM技術混在一起以逃避追蹤。

（3）補丁更新不及時且修補難度大

鑒于業務的特殊性，補丁可能導致正常業務不能進行，因此很難對工業控制系統實施安全補丁升級。同時，這些正常業務很容易被殺毒軟件識別為病毒程序，所以工業控制系統往往呈現為既沒有補丁、又沒有殺毒軟件的裸機狀態。

（4）內部人員誤操作致使系統被破壞

受傳統工業生產安全意識的影響，工作人員普遍關注人員安全和設備安全，基本不關注網絡安全。工業企業通常未制定明確的網絡安全工作方案和框架，同時忽視了員工網絡安全意識和技能的培訓，使得內部人員在應用系統層面的誤操作、違規操作或故意的破壞性操作成為工業控制系統所面臨的重要安全風險，相關安全事件頻發。

例如，2000年3月，澳大利亞昆士蘭州新建的馬盧奇污水處理廠出現故障，無線連接信號丟失，污水泵工作異常，報警器也未發出報警信號。在分析事件原因時，最初以為是新系統的磨合問題，后來發現是該廠一名前工程師因不滿工作續約被拒而蓄意報復所為。這名前工程師通過一臺筆記本電腦和一個無線發射器控制了150個污水泵站；前后3個多月，總計有100萬升的污水未經處理而直接經雨水渠排入自然水系，導致當地環境受到嚴重破壞。2008年3月，美國佐治亞州的哈奇核電廠2號機組發生自動停機事件。當時，一名工程師正在對該廠業務網絡中的一臺計算機（用于采集控制網絡中的診斷數據）進行軟件更新，以同步業務網絡與控制網絡中的數據信息。當工程師重啟該計算機時，同步程序重置了控制網絡中的相關數據，使得控制系統以為反應堆儲水庫水位突然下降，自動關閉了整個機組。

2．工業信息安全外部威脅

隨著網絡空間對抗博弈的不斷加劇，工業領域的信息基礎設施成為重點攻擊目標，防護壓力空前增大。總體來看，工業信息安全面臨的外部威脅主要有以下3個方面。

（1）技術共享推動攻擊難度降低

隨著工業信息安全的研究熱度與日俱增，大量工業信息安全漏洞、攻擊技術可通過互聯網等多種公開或半公開渠道擴散，因此攻擊者獲取針對工業控制系統的攻擊方法越來越容易。一方面，諸如黑客大會、開源社區、白帽社區的出現，在提高人們發現工業信息漏洞能力的同時，技術的相互交流也使得漏洞信息甚至攻擊方法能夠被攻擊者快速獲取。另一方面，黑客組織公開披露了大量安全漏洞等敏感信息，易被攻擊者利用并引發安全事件。此外，各類信息獲取渠道的便利化也使得黑客可通過至少3種方式發現聯網的工業控制系統和產品，包括通過百度、谷歌等網頁搜索引擎檢索工控產品Web發布的統一資源定位符（Uniform Resource Locator，URL）；通過Shodan等主機搜索引擎檢索工業控制系統軟硬件的HTTP/SNMP等傳統網絡服務端口關鍵指紋信息；通過在線監測平臺匹配工業控制通信私有協議端口網絡指紋特征，以發現正在運行的工控軟硬件設備等。

（2）境外國家級黑客組織攻擊加劇

隨著工業生產環境對管理和控制一體化需求的不斷升級，以及網絡、通信等信息技術的廣泛深入應用，越來越多的工業控制系統與企業網中運行的管理信息系統之間實現了互聯、互通、互操作，甚至可以通過互聯網、移動互聯網等直接或間接地訪問，導致攻擊者可從研發端、管理端、消費端、生產端任意一端實現對工業控制系統的攻擊或病毒傳播。而越來越多的工業控制系統及設備與互聯網連接，使得我國面臨的安全風險進一步加大。

（3）國外品牌的工業控制系統占比較高

自主可控的設備產品、技術和服務是保障重點行業工控安全的基石。我國工業控制基礎軟硬件發展滯后，核心競爭力較弱，工業控制系統產品仍然較大程度地依賴國外進口和運維，核心技術仍然受制于國外公司，企業的自主創新能力不強，如精密采集、精準時鐘、智能算法、故障定位、中斷調度等技術還未完全掌握。此外，部分國產工業控制基礎軟件仍然缺乏基礎編碼、軟件開發、接口集成、運行維護等標準規范，導致軟件的可擴展性、可配置性、可重構性和互操作性較差，應用效果不佳。