調查數(shù)據(jù)顯示，2017年，有54%的企業(yè)至少遭遇一起網(wǎng)絡攻擊事件、74%的認為所在的工業(yè)控制系統(tǒng)極可能遭遇網(wǎng)絡攻擊、55%的企業(yè)承認，合作伙伴或服務提供商擁有訪問企業(yè)工業(yè)控制網(wǎng)絡的權限。調查還顯示，制造企業(yè)平均每年花費的無效網(wǎng)絡安全費用高達約338萬元。針對當前制造企業(yè)面臨的安全現(xiàn)狀，卡巴實驗室關鍵基礎設施保護負責人安德烈蘇沃洛夫表示，IT和OT系統(tǒng)日益互連增加了新的安全挑戰(zhàn)，企業(yè)需要充分了解威脅格局、考慮周全的保護措施以及提高員工的意識，做足準備應對ICS環(huán)境中的網(wǎng)絡威脅，善于利用滿足ICS需求的定制安全解決方案，緩解安全事件才會更加容易。

e-works認為，針對當前制造企業(yè)工業(yè)控制系統(tǒng)面臨的安全挑戰(zhàn)，企業(yè)首先需要走出技術誤區(qū)，然后針對性的選擇安全解決方案，從不同的層面杜絕可能存在的安全隱患，為工業(yè)控制系統(tǒng)的安全構建堅實的防護體系。

第一，構建網(wǎng)絡邊界防護，實現(xiàn)邏輯隔離。當前，很多人認為只要實現(xiàn)辦公網(wǎng)和生產(chǎn)網(wǎng)絡的物理隔離就可以杜絕工控控制系統(tǒng)安全風險。但是隨著智能工廠的推進，實現(xiàn)辦公網(wǎng)絡和工廠網(wǎng)絡的物理隔離已經(jīng)變得不太可能。一方面，智能工廠的基礎設施不僅包括生產(chǎn)控制系統(tǒng)，還必須包括上層的管理系統(tǒng)，這是工業(yè)控制系統(tǒng)的基本架構。其次，隨著無線技術和移動終端融入到工業(yè)生產(chǎn)，傳統(tǒng)的物理隔離也不可避免的被打破。

面對這種情況，企業(yè)需要做的是構建網(wǎng)絡邊界防護，實現(xiàn)辦公網(wǎng)絡與生產(chǎn)網(wǎng)絡的邏輯隔離。主要采取的方式是在企業(yè)辦公網(wǎng)和工業(yè)控制網(wǎng)絡之間的關鍵節(jié)點構建工業(yè)防火墻，通過工業(yè)防火墻內置的工業(yè)通訊協(xié)議白名單技術進行有選擇的協(xié)議隔離，然后配合數(shù)據(jù)包深度檢查技術，為網(wǎng)絡數(shù)據(jù)交換進行深層次的檢測。

第二，構建工業(yè)級和通用級結合的綜合安全防護體系。隨著IT與OT的融合，工業(yè)控制系統(tǒng)中開始廣泛的使用商用標準件和通用IT技術，通信網(wǎng)絡開始采用以太網(wǎng)和TCP/IP協(xié)議。監(jiān)控站和嵌入式設備、HMI人機交互系統(tǒng)也開始以Windows和Linux為主。這使得黑客只需利用傳統(tǒng)的攻擊手段就可以對企業(yè)的工業(yè)控制系統(tǒng)進行攻擊。

針對核心的工業(yè)控制系統(tǒng)仍然是采用工業(yè)級的安全防護體系，構建工業(yè)防火墻和工業(yè)級協(xié)議的數(shù)據(jù)審計和異常監(jiān)測，及時檢測工業(yè)網(wǎng)絡中出現(xiàn)的工業(yè)攻擊、蠕蟲病毒及非法入侵、設備異常等情況，并對危及系統(tǒng)網(wǎng)絡安全的因素做出智能預警分析，為工業(yè)網(wǎng)絡信息安全故障的及時排查、分析提供可靠地依據(jù)。針對通用型系統(tǒng)逐步采用以密碼硬件為核心的可信計算技術，用于實現(xiàn)計算環(huán)境和網(wǎng)絡環(huán)境安全可信，免疫未知惡意代碼破壞，應對高級別的惡意攻擊。

第三，基于可信計算構建移動存儲介質的管控體系。移動存儲介質是工業(yè)控制系統(tǒng)安全的重要防護部分。由“震網(wǎng)”病毒引發(fā)的伊朗核設施離心停機事件就是通過移動介質做擺渡而實現(xiàn)對系統(tǒng)的攻擊。利用可信計算機技術構建移動存儲介質管控系統(tǒng)，其主要功能包括：主機對移動存儲機制的身份認證、準入控制、下載更新等。首先，由可信服務器為主機及移動存儲設備頒發(fā)準入證書，然后可信服務器將統(tǒng)一產(chǎn)生并發(fā)布主機對移動存儲介質的準入策略，形成主機能插入的介質列表，最后主機準入控制將基于兩個方面的策略實施，一方面移動存儲介質的身份位于主機準入策略列表中，另一方面，主機身份必須位于移動存儲介質準入策略列表中。此外，移動設備接入和使用行為也將被嚴格審計和記錄。