工业控制软件测试评价体系,工业控制信息安全产品测试评价的体系.doc

工业控制信息安全产品测试评价的体系

工业控制信息安全产品测试评价的体系

摘 要：工业控制系统的信息安全问题日益凸显，严重影响了社会和国家安全。但工业控制系统的特殊性，也使其与传统信息系统在所面临的安全威胁、安全问题及所需要考虑的安全防护措施等方面存在较大的不同。传统的信息安全产品无法适用于工业控制领域，因此出现了专用的工控信息安全产品，但缺少专业规范的工控信息安全测评体系，无法保证工控信息安全产品的基本安全。详细分析了工业控制系统与传统信息系统的区别，梳理了目前广泛使用的工控信息安全产品，建立了工控信息安全产品测试评价体系，并将该体系应用到实际的产品测试中，进一步推动工控信息安全的发展。

关键词：工业控制系统；信息安全；测试

中图分类号：TP39 文献标志码：A

Testing and Evaluation System for Information Security Products of Industrial Control Systems

SHEN Qing-hong，ZOU Chun-ming，LU Zhen，TIAN Yuan，MENG Shuang

(The Third Research Institute of Ministry of Public Security，Shanghai 200031，China)

Abstract：The problem of information security for industrial control systems (ICS) has become increasingly prominent，and it seriously affects the social and national security.However，because of the features of ICS，it faces much more differences in parts of security threats，security issues and security measures.This paper deeply analysis the differences between ICS and traditional information systems，and then lists the information security products widely used in the field of industrial control.The testing and evaluation system for information security products of industrial control systems is established and applied in the actual products testing work to further promote the industrial information security development.

Key words：industrial control system；information security；testing

1 引 言

工?I控制系统(Industrial Control Systems，ICS)是由各种自动化控制组件以及对实时数据进行采集、监测的过程控制组件，共同构成的确保工业基础设施自动化运行、过程控制与监控的业务流程管控系统[1]。现代的ICS网络，越来越依靠于商业IT和Internet领域的操作系统、开放协议和通信技术，这些技术已被证明存在着脆弱性。通过将ICS连接到互联网或其他公共网络，ICS脆弱性就暴露给潜在的攻击者[2]。

为了提高工业控制系统的安全性，现在一般从两方面考虑：一方面是提高工业控制系统的自身安全性，从设计阶段就开始安全性架构，并落实在工控系统的研发、部署、运行的各个阶段；另一方面是通过附加信息安全保障手段(如在系统中部署信息安全专用产品)在一定程度上弥补系统本身的安全漏洞。由于工业控制系统对高稳定性和高可用性的要求，通过附加信息安全保障的方式来提升工控安全性是目前最容易实现和被接受的方式。

工业控制系统本质上是一类信息系统，因此工控系统的安全性问题是信息系统安全性与工业控制系统的特点相结合产生的。美国国家安全局(National Security Agency，NSA)针对信息系统的安全保障陆续制定了多个版本的信息保障技术框架(Information Assurance Technical Framework，IATF)[3]，成为信息安全保障的权威架构。IATF把信息安全保障分为四个环节