安全是個“老生常談”的話題，尤其是工業(yè)安全，工業(yè)作為國家經(jīng)濟的主體，面臨的安全隱患也是不容忽視的。隨著工業(yè)4.0、互聯(lián)網(wǎng)+、中國智能制造2025等已成為國家重點發(fā)展戰(zhàn)略，加快建設和發(fā)展工業(yè)互聯(lián)網(wǎng)，是順應全球新一輪工業(yè)革命發(fā)展趨勢、推動經(jīng)濟高質(zhì)量發(fā)展的優(yōu)先戰(zhàn)略選擇。在工業(yè)互聯(lián)網(wǎng)時代，由于人、數(shù)據(jù)和機器的連接，必然會增加維護工業(yè)安全的復雜度，給安全領域的企業(yè)帶來更大的挑戰(zhàn)。近日，OFweek工控網(wǎng)有幸在上海拜訪了上海控安的核心團隊，雙方就如何保障工業(yè)安全等問題進行了交流和探討。

工業(yè)安全事故頻發(fā)，上海控安為工業(yè)安全賦能

據(jù)相關數(shù)據(jù)統(tǒng)計，中國每年的工控安全漏洞多達數(shù)百個，近一半的漏洞已發(fā)展成為高危漏洞，工控安全維護迫在眉睫。目前我國面臨的現(xiàn)狀是多方面原因造成的，一是我國很多關鍵基礎設施的安全維護很落后；二是工業(yè)網(wǎng)絡的擴大帶來了很大的被攻擊風險，安全設施并未及時跟上；三是與工業(yè)安全相關的政策不完善，導致“黑客”鉆空子，安全風險無處不在。

工業(yè)互聯(lián)網(wǎng)為人類提高生產(chǎn)效率，降低成本，減少資源的浪費的同時，隨之而來的是，通用設備的受到病毒及自身系統(tǒng)設計缺陷等威脅也在工業(yè)控制系統(tǒng)大肆蔓延，工業(yè)控制系統(tǒng)的安全問題日益突出。另一方面，我國的工業(yè)控制系統(tǒng)核心部件與基礎軟件一直被國外若干巨頭公司所壟斷，這也為我國工業(yè)控制系統(tǒng)的安全埋下了隱患。上海控安作為技術引領的工業(yè)安全產(chǎn)品生態(tài)服務平臺，深耕工業(yè)互聯(lián)網(wǎng)領域，助力工控安全健康發(fā)展。隨著工業(yè)互聯(lián)網(wǎng)、物聯(lián)網(wǎng)技術、移動技術的發(fā)展，嵌入式軟件在工業(yè)應用越來越廣泛，尤其在航空航天、軌道交通、汽車電子、核電控制等重點工業(yè)領域，嵌入式軟件的可靠和安全至關重要。

工控安全領域的創(chuàng)新功能型平臺

工業(yè)安全該如何保證？前期的安全測試尤為關鍵，不僅是保障軟件可靠性和安全性的重要環(huán)節(jié)，更是功能安全測試中的一項重要工作。據(jù)上海控安相關人員介紹，上海工業(yè)控制系統(tǒng)安全創(chuàng)新功能型平臺與華東師范大學聯(lián)合研發(fā)的國內(nèi)首款智能化單元測試數(shù)據(jù)自動生成商用工具。采用人工智能領域的自動推理與符號執(zhí)行技術，自動分析程序路徑，自動產(chǎn)生滿足覆蓋標準的測試用例，并在后臺自動執(zhí)行測試用用例，實現(xiàn)基本無需手工修改的全自動單元測試。該工具能夠讓測試人員擺脫效率低下、質(zhì)量參差不齊的手工測試用例編寫任務，大幅提高測試人員的工作效率，有效提升測試質(zhì)量。提升嵌入式軟件應用的可靠性和安全性。截至目前，已測試航空航天、軌道交通、汽車電子、核電控制及知名開源軟件超過100W行，平均語句覆蓋率超過85%，能夠節(jié)省大量的人力物力，推動工業(yè)軟件安全測試效能提升。

在技術成果研發(fā)方面，作為上海市政府主導建設的首批研發(fā)與轉(zhuǎn)化功能型平臺，上海控安圍繞工業(yè)控制系統(tǒng)功能安全和信息安全，對接國際國內(nèi)工業(yè)控制系統(tǒng)安全前沿技術領域以及產(chǎn)業(yè)發(fā)展現(xiàn)狀，聯(lián)合產(chǎn)業(yè)鏈上下游單位形成一批面向工業(yè)控制系統(tǒng)安全的核心技術成果。已針對工業(yè)控制安全行業(yè)研發(fā)出多款技術產(chǎn)品，如適用于功能安全檢測的首款智能化單元測試用例設計工具；工業(yè)控制安全態(tài)勢感知與監(jiān)測平臺；具有主動防御功能的物聯(lián)網(wǎng)防火墻；專門為工業(yè)控制環(huán)境打造的終端安全防護產(chǎn)品工業(yè)終端安全衛(wèi)士、工業(yè)互聯(lián)網(wǎng)APP安全檢測云平臺等一系列產(chǎn)品。

在社會服務支撐方面，平臺依托軌道交通、汽車電子、能源電力等行業(yè)資源，聚焦形成具有行業(yè)指導和推廣意義的工業(yè)控制系統(tǒng)安全解決方案，并在長三角地區(qū)開展示范性應用。對接國家工業(yè)信息安全發(fā)展研究中心，建設具有國家先進水平的工業(yè)信息安全仿真測試、檢測評估、網(wǎng)絡攻防、監(jiān)測預警等共性技術平臺，開展工業(yè)控制系統(tǒng)安全示范性、基礎性安全服務；以現(xiàn)有檢測認證、監(jiān)測預警功能型機構和技術平臺為基礎，多方共同參與，加強工業(yè)領域信息安全審查、產(chǎn)品認證、系統(tǒng)測評、威脅通報、咨詢培訓等社會服務能力，為保障工業(yè)安全提供有力保障。

在產(chǎn)業(yè)集聚融合方面，上海工控安全功能型平臺將引入市、區(qū)兩級引導資金和社會資本，成立工控系統(tǒng)安全發(fā)展基金。以基礎實驗環(huán)境、發(fā)展基金及相關配套政策吸引具有技術引領和產(chǎn)業(yè)服務發(fā)展價值的研究機構，工控系統(tǒng)集成商、制造商，信息安全企業(yè)進駐主題式產(chǎn)業(yè)園，相關技術和服務由長三角地區(qū)輻射至全國，并提供相應的投融資銜接服務。

用創(chuàng)新的產(chǎn)品為工業(yè)安全保駕護航

工業(yè)互聯(lián)網(wǎng)是新一輪工業(yè)革命和產(chǎn)業(yè)變革的重點發(fā)展領域，其核心便是物聯(lián)網(wǎng)，功能安全與信息安全是相互關聯(lián)的，在設計功能安全時需兼顧信息安全，在滿足信息安全時又不能影響功能安全的應用。作為工業(yè)安全領域的權威專家，上海控安用創(chuàng)新的產(chǎn)品為工業(yè)安全保駕護航。據(jù)相關工作人員介紹，它們推出的產(chǎn)品非常受歡迎，這些產(chǎn)品在智能、綠色和技術創(chuàng)新等方面表現(xiàn)出色，成為業(yè)內(nèi)人關注的焦點。

據(jù)悉，上海控安推出的Scantist是國內(nèi)首款自主研發(fā)的開源軟件安全分析工具，是市場上唯一結合了源代碼與二進制文件分析的解決方案，對應用程序中使用的第三方組件提供詳細分析與見解，使用戶能更主動的管理第三方組件所帶來的安全與合規(guī)風險，是實施DevsecOPs的里程碑。

車聯(lián)網(wǎng)是未來的趨勢，隨著而來的是安全難題，根據(jù)車內(nèi)通信網(wǎng)絡的功能的不同，對安全性的要求也不同，需要針對通信內(nèi)容設計特定的安全功能部署。汽車系統(tǒng)功能安全與汽車信息安全是相互滲透的，所有功能安全關鍵系統(tǒng)本身都是信息安全關鍵系統(tǒng)，兩者的目標一致，因此在架構功能設計之初就需將功能安全和信息安全都納入到系統(tǒng)。目前主流的安全方案有一定局限性，主要集中在端到端的數(shù)據(jù)安全以及車載網(wǎng)絡層安全，缺點在于不具備車載終端主機加固能力。據(jù)了解，上海控安的智能網(wǎng)聯(lián)汽車的安全方案非常具有前瞻性，推出的車載嵌入式安全套件，提供T-Box、IVI終端安全加固，防止惡意代碼威脅入侵及非法訪問，支持Linux、QNX等嵌入式操作系統(tǒng)，支持網(wǎng)絡協(xié)議白名單、應用進程白名單、USB設備白名單，保護系統(tǒng)進程和關鍵文件支持白名單策略配置和自學習。

據(jù)介紹，上海控安研發(fā)的國內(nèi)首款工業(yè)嵌入式單元智能測試工具已在上海汽車集團股份有限公司、浙江吉利汽車有限公司、廣州汽車集團股份有限公司等企業(yè)進行測試應用，該工具能夠讓測試人員擺脫效率低下、質(zhì)量參差不齊的手工測試用例編寫任務，大幅提高測試人員的工作效率，有效提升測試質(zhì)量，提升工業(yè)控制系統(tǒng)嵌入式軟件應用的可靠性和安全性。

除了上述產(chǎn)品之外，上海控安的工業(yè)互聯(lián)網(wǎng)APP安全檢測云平臺為客戶提供工業(yè)產(chǎn)品全面安全測評，包括提供主動式工控設備安全檢測、工業(yè)移動應用軟件安全檢測、分布式性能測試、工業(yè)軟件源代碼安全檢測、兼容性測試、互聯(lián)互通測試等服務；平臺針對典型的工業(yè)互聯(lián)網(wǎng)應用軟件進行安全測評和風險評估，并在測評數(shù)據(jù)分析的基礎上提出有效的整改建議，可應用在各行業(yè)的工業(yè)互聯(lián)網(wǎng)領域。

助力中國制造2025

工業(yè)安全作為國家網(wǎng)絡和信息安全的重要組成部分，是推動中國制造2025、制造業(yè)與互聯(lián)網(wǎng)融合發(fā)展的基礎保障。面對逐步開放和互聯(lián)的工業(yè)控制網(wǎng)絡，企業(yè)需要審查自身安全漏洞，建立更新的網(wǎng)絡防護體系。隨著工業(yè)互聯(lián)網(wǎng)新技術新模式帶來新的安全挑戰(zhàn)越來越多，我國工業(yè)互聯(lián)網(wǎng)安全產(chǎn)業(yè)亟待轉(zhuǎn)型升級。從應急響應已經(jīng)轉(zhuǎn)變?yōu)槌掷m(xù)響應，企業(yè)是響應政策的關鍵力量。上海工控安全功能型平臺對接工業(yè)互聯(lián)網(wǎng)及中國制造2025戰(zhàn)略創(chuàng)新發(fā)展要求，聚焦工業(yè)控制系統(tǒng)功能安全和信息安全核心技術研發(fā)及成果轉(zhuǎn)化，致力于全面提升上海市工業(yè)控制安全領域核心能力，推動工業(yè)互聯(lián)網(wǎng)和智能制造產(chǎn)業(yè)升級。

談到未來的建設目標，上海控安將在技術轉(zhuǎn)化、服務支撐、產(chǎn)業(yè)引導方面形成自己的核心能力：一是布局建設基礎實驗環(huán)境，搭建工控系統(tǒng)安全一體化驗證測試系統(tǒng)、工業(yè)互聯(lián)網(wǎng)安全試驗床和攻防靶場；二是突破若干工控安全核心技術，梳理安全瓶頸技術難題，組織力量協(xié)同攻關；三是積極參加國際和國家標準的制定，在軌道交通、汽車電子、電力等領域形成行業(yè)解決方案和技術標準；四是完善專業(yè)服務，與相關主體聯(lián)合形成基礎實驗環(huán)境與技術平臺建設與共享機制，完善檢測評估、仿真驗證、監(jiān)測預警等能力，并為政府與企業(yè)提供決策咨詢、人才培訓等服務。