IEC TS 62771：工业自动化控制系统信息安全

工业控制系统与企业IT系统在安全要求上存在根本差异。受损害的PLC或DCS控制器可能导致设备物理损坏、环境泄漏或人员安全危险。IEC TS 62771 通过将常规风险评估方法适配到IACS环境的特定约束条件——包括实时运行要求、有限的补丁窗口和工业设备的长期生命周期——来应对这些独特特征。

面向IACS的风险评估方法

该标准定义了一套针对工业自动化环境的全面风险评估流程。该方法始于系统特征化，将被评估的IACS根据功能和安全要求分解为区域（Zone）和管道（Conduit）。每个区域代表共享共同安全要求的资产组，而管道代表连接区域的通信路径。这种区域分解对于理解工业控制系统的攻击面至关重要。

IACS环境中的威胁识别必须考虑从心怀不满的员工（可物理访问）到针对关键基础设施的老练国家级行为者等各种威胁源。该标准提供了识别工业环境特定威胁的指南，包括未经授权的控制逻辑修改、工艺参数操纵以及可能中断生产的拒绝服务攻击。漏洞评估必须考虑工业协议的独特特性，如Modbus、Profibus和OPC，这些协议通常缺乏身份验证和加密等固有安全机制。

安全等级与目标确定

IEC TS 62771 的一个关键贡献是它与IEC 62443系列的安全等级概念保持一致。该标准定义了四个安全等级（SL 1至SL 4），分别对应抵御不同类别攻击者的递增保护水平。SL 1防止偶然或巧合的违规，SL 2防止使用简单手段的有意违规，SL 3防止使用复杂手段的有意违规，SL 4防止使用高级手段和扩展资源的有意违规。

每个区域的目标安全等级通过基于后果的评估来确定，考虑安全漏洞对安全、环境、生产和声誉的潜在影响。例如，如果被攻破可能导致灾难性泄漏的安全仪表系统区域通常需要SL 3或SL 4保护，而仅用于监视且无直接过程控制的区域可能只需要SL 1。该标准提供了将业务后果映射到目标安全等级的详细指南，支持系统化和可辩护的安全投资决策。

工业自动化安全工程设计要点

从实际工程角度来看，应用IEC TS 62771方法得出几个关键见解。首先，网络分段是IACS环境中最有效的安全控制措施。通过将控制网络与企业网络分离，并进一步按功能和关键性划分控制区域，组织可以遏制安全事件并防止攻击者的横向移动。标准建议为IACS网络与其他网络之间的所有连接实施隔离区（DMZ），并使用严格的防火墙规则控制流量。

其次，安全远程访问是一个经常实施不当的关键需求。许多工业组织需要为供应商支持、系统集成和下班后排障提供远程访问。标准建议对所有远程访问连接实施多因素身份验证、加密隧道（VPN）和会话日志记录。位于DMZ中的跳板主机通过阻止从外部网络直接连接到控制系统资产来提供额外的安全层。

第三，人为因素不容忽视。标准强调对所有能够接触IACS环境的人员进行安全意识培训，包括操作员、维护技术人员和工程师。针对工业人员的社会工程攻击越来越常见，仅有技术安全控制措施是不够的。定期进行针对工业控制系统场景的桌面演练和应急响应演习有助于保持警惕性。

第四，供应链安全正在成为工业自动化的关键关注点。标准建议组织评估其系统集成商、设备供应商和软件提供商的安全实践。这包括审查供应商的安全开发实践、控制系统软件的软件物料清单以及安全固件更新的程序。Stuxnet事件表明，老练的攻击者可以通过供应链攻陷工业系统，使供应商安全评估成为风险管理计划的重要组成部分。