薛一波

博士，清华大学信息技术研究院研究员

现任清华大学CPU&SoC研究中心副主任，兼任IEEE会员、ACM会员、IEEE ComSoc 通信安全技术委员会委员、中国计算机学会高级会员、计算机体系结构专委会常务委员、计算机容错计算专委会委员、国家网络安全实验平台项目专家、国家242计划专家、北京市经信委专家。目前主要从事网络与信息安全、云安全、计算机体系结构等领域的研究工作，先后参加过自然科学基金重大项目、攀登计划项目、国家公益类科研专项、核高基、中科院重大项目、国家科技支撑计划、973计划、863计划、242计划等多个重大科研项目，以及“2.5G SDH光传输系统”和“10G SDH光传输系统”等重大产品的研发，具有丰富的科研和产品研发经验，在国内外重要学术会议和期刊上发表论文150余篇，申请发明专利40余项，承担课题40余项，获得过中科院科技进步二等奖一项。

2010年9月，伊朗布什尔核电站遭到Stuxnet病毒攻击，这是第一次从虚拟信息世界对现实物理世界的网络攻击。如今，工业控制系统在我国应用十分广泛，涉及重要的基础设施，如水、电、气、交通等。

工业控制系统信息安全（以下简称“工控信息安全”）问题一直存在，并越来越突出。早期的工控系统发展，致力于解决用户的功能应用问题，由于信息化技术的快速发展，以及以太网在工控系统中的应用，工控系统的安全问题随之而来。清华大学信息技术研究院研究员薛一波博士一直关注该问题，并与一些工业控制领域的公司展开合作。通过近几年的课题研究和与企业合作，在工控信息安全领域积累了一些成果，主要针对通用信息安全技术在工业控制领域的特殊应用，以及用户的实际需求，研究适用于工业控制领域的信息安全解决方案。

认识问题，发现问题

据薛一波介绍，工业控制系统信息安全除涉及传统的物理安全、数据安全、网络安全、内容安全等之外，还涉及启动安全（BOOT）、认证安全（SSL）、内部安全和外部安全、社交工程攻击、流量攻击、APT攻击等。相比IT信息安全，工业控制系统信息安全有很多不一样的特点：首先，工业控制系统的信息安全更加重要，工业控制系统不能间断，因此信息安全保障不再可有可无，而必须是一个使命性的保障，所以需要在信息安全和性能方面进行平衡和折中，宁可牺牲性能，也要保障安全；其次，工业控制系统信息安全涉及一些工业控制方面的协议，如SCADA、Modbus协议等，需要对这些协议的安全性进行深入的分析和验证；第三，工业控制系统中CPU的处理能力不高、系统资源有限，IT领域普遍采用的核心技术和关键算法不一定适用，需要提出新的实现方法等，不一而足。

薛一波用表1以对比的方式清晰地阐述了工业控制网络与IT网络各自不同的特点：

表1 工业控制网络与 IT网络特点比较

通过比较IT网络与工业控制网络的差异可以发现，常规的IT网络安全技术都不是专门针对工业控制网络需求设计的，用在工业控制网络上就会存在很多局限性。

薛一波告诉记者：“工业控制安全具有自身的特殊性，为了保障工业控制系统信息安全，需要解决以下问题：（1）潜心研究工业控制领域协议的安全性，及时发现漏洞；（2）分析工业控制系统的特点，如什么是CPU？多少资源？有无操作系统？轻操作系统如何？无操作系统如何？Firmware如何?等；（3）根据工业控制系统的特点和安全需求，提出高效算法，实现核心技术；（4）提出测评规范和标准等。”

采访中，薛一波多次强调，目前，我国控制领域用于控制基础设施的核心系统配置相对较高，但是很多软、硬件配置都全套采用了国外主流技术和产品。虽然在设备配置方面走在了前列，但是对信息安全的可控性、可知性和可预防性的认识水平和重视程度还需要大幅提高，需要建立自主可控、安全可靠的信息安全体系，对非自主产品应增强防范意识、加强控制管理、制定风险应对措施，有效避免安全威胁。

信息安全问题应得到高度重视

据了解，网络已经成为继陆地、海洋、天空、太空之外的第五维国家安全领域，它是一个新的国家核心利益和战略制高点，目前，已有50余个国家发布网络安全战略，超过40个国家组建了网络作战部队，网络安全已经引起各国政府的高度重视。

薛一波谈道：“在中国，未被保护，认识不足，重视不够，是工控安全最为突出的问题。生产厂商不仅需要不断修复自身设备和产品的安全隐患，还需要国家的政策指引、标准制定、第三方权威机构和服务商等角色的参与，共同讨论，合理分工，方能在工控安全各环节预防问题、发现问题和解决问题。”

2014年2月27日，以国家主席习近平为组长的中央网络安全与信息化领导小组正式成立，标志着网络安全进入了一个新高度。在被问及如何看待“中央网络安全与信息化领导小组”的成立时，薛一波表示，在该领导小组的第一次会议上，首次提出“网络安全和信息化是一体之两翼、驱动之双轮”，指出“没有网络安全就没有国家安全，没有信息化就没有现代化”，首次把网络安全提升到一个战略高度，与信息化齐名，解决了过去“重发展、轻安全”的问题；强调“必须统一谋划、统一部署、统一推进、统一实施”，解决了过去“缺乏统一规划，缺乏协调机制，各自为战，头痛医头、脚痛医脚”的问题。该小组的作用一是要意识到我国工业控制领域信息安全方面的严重性和紧迫性；二是要制定该领域的总体规划和发展战略；三是整合全社会的力量，加大投入，鼓励创新，激发科研机构和企业的热情和动力，研发自主设备，提供高效解决方案。

掌握自主知识产权是当务之急

目前，中国的工控信息安全领域呈现出几大现状：国外厂商不提供核心技术；国内厂商处于起步阶段；用户企业对专业知识缺乏，对安全问题不重视。薛一波具体讲道：“国外厂商通常不会向中国用户提供核心技术（或相关专利），因此国内用户很难对设备的安全性进行全面检测，也就很难发现设备中是否存在‘后门’、‘陷阱’、‘漏洞’、‘软件炸弹’、‘隐蔽指令’等安全威胁，一旦这些漏洞被用来对工业控制网络实施攻击，其后果将不堪设想。”据统计，近年来国内很多信息安全事件均与此类漏洞有关。因此，提高自主可控能力，在一定程度上能够起到堵塞信息安全漏洞、防患于未然的效果。他接着说：“工业控制领域核心信息系统投资规模大，很多企业的基础网络平台、服务系统平台、安全支撑平台、控制和智能化系统都被国外产品垄断，这些非自主产品具有封闭性强、操作复杂、技术资料短缺、持续升级维护能力差等特点，国内用户很难组织二次开发或者自主生产。因此，提高自主可控能力，也是信息化建设的战略需要。”

正如薛一波所言，国内厂商在工业控制领域信息安全领域基本处于空白和刚起步阶段，国外研究较早，有一些好的品牌和产品，但出于国家安全的考虑，需要自主可控、安全可靠。他认为，国家正在出台一系列的政策、专项资金来鼓励国内企业加大研发，突破技术，掌握知识产权，推出自己的工业控制领域的信息安全产品，这是解决国家当下信息安全形势的当务之急。

据相关数据统计，2011年国家信息安全漏洞共享平台就收录了100余个对我国影响广泛的工业控制系统软件安全漏洞，较2010年大幅增长近10倍。深入这些数据之后，有80％以上来自于国外品牌，这些漏洞几乎全部由国外发现，国内企业发现的漏洞很少。“我国的工业控制领域，90％以上的控制系统来自于国外，这些已知或未知漏洞的核心技术，并没有被国内所掌握，如果发生攻击，将非常被动，这对国内工业控制安全形势而言是非常严峻的。”薛一波讲道，“与此同时，安全漏洞和威胁还会继续大幅增长，越来越多的安全人员和黑客开始关注这一领域，不断寻找新的攻击方法，这就意味着我国工业控制的信息安全问题会越来越多、越来越突出，需要国家、政府和企业高度重视、未雨绸缪、身行力践，因此需要加大对国产自主品牌的支持力度，通过资金、政策、产品首试、认证测试等环节，给予扶持和指导。由此也为国产自主品牌创造了巨大的商机和前景。”

产学研用结合，构建良好生态系统

薛一波这样评价工业用户：工业用户对信息安全问题的重视程度不高，一是领导重视不够，一般只重视生产和效率，而忽视安全，特别是信息安全，认为是“既麻烦，又白花钱”；二是对计算机和网络的了解不足，特别是对信息安全的危害性认识不够；三是从业人员的整体素质不高，安全意识薄弱，培训不足等。当然，这样的结果并不仅是一方原因导致。他说道：“用户企业自身的问题，不重视；政府监督的问题，一是本身就没有意识到信息安全的重要性，二是监督不力；安全产品厂商的问题，没有开发高效、实用、已用的拳头产品，让用户用起来感到麻烦；科研机构的问题，没有及时跟进这一领域，提出好的解决方案。”

为了解决工业控制系统信息安全的问题，薛一波深知需要动用全社会的力量，整合资源、统一规划、合理布局，整合产、学、研、用几方面的力量，构建良好的研发生态系统，打造完整的产业链。大学和科研机构在协议安全性、核心算法、关键技术、实现方案等方面要敢于突破和创新，提出实用的解决技术和手段，大学还需要多培养这方面的人才；生产企业要加强产品设计、测试和生产；广大用户要多试用，发现问题，提出问题，反馈需求。各个方面相互合作，相互融合，相互促进，才能共同推进工业控制系统信息安全的健康发展。

目前，清华大学与国内率先进入并专注于工控信息安全领域的北京力控华康科技有限公司展开合作，在信息与数据安全技术、加密和存储技术等方面，采用联合研发、技术引进和知识产权转让等方式，整合相关资源，缩短了研发周期。

除了学校与企业的进一步合作外，第三方机构的出现也是促进工控信息安全产业快速发展的重要手段。谈到工业控制系统信息安全产业联盟的成立，薛一波这样说：“工业控制系统信息安全产业联盟的成立，无论对于政府，还是用户、厂商来说，都是极大的利好消息，这是一次很好的尝试，也是一步很好的实践。成立此联盟，可以协调各方资源，整合各方力量，统筹总体规划，制定行业标准，促进合作交流，引领产业健康发展。”

在薛一波眼中，工控系统信息安全的问题主要包括两方面：一是，在工业控制领域重要的设备基本由国外垄断和控制；二是，工业控制系统的信息安全非常薄弱，基本处于空白，因此开发我国的拳头产品势在必行。近年来，薛一波不断尝试突破一些关键技术，并取得了一些知识产权。我们期待能有更多像薛一波这样将产、学、研、用相结合的技术专家，为国家的工业控制系统信息安全贡献力量。

摘自《工业控制系统信息安全专刊（第一辑）》