（五）工业信息安全威胁的来源

1．工业信息安全内部威胁

当前，工业信息系统面临的内部威胁包含以下几个方面。

（1）设计之初未充分考虑安全需求

工业控制系统设备、协议及应用程序在设计之初未充分考虑信息安全需求，对于访问控制、认证、授权等缺乏策略机制，无法有效抵御常见的网络攻击，使得外部网络的病毒和攻击行为可以畅通无阻地进入工业控制系统，并造成破坏。

（2）存在大量老旧工业控制系统及设备

工业控制设备长时间不升级，导致工业控制系统中存在大量过时的技术和产品，例如国内发电厂和金属冶炼厂仍然大量使用Windows 2000和Windows XP系统，而微软公司在很久以前就停止了对这两种操作系统的支持。此外，早已过时的DCOM技术仍在使用，该技术的通信端口不固定，网络攻击很容易和DCOM技术混在一起以逃避追踪。

（3）补丁更新不及时且修补难度大

鉴于业务的特殊性，补丁可能导致正常业务不能进行，因此很难对工业控制系统实施安全补丁升级。同时，这些正常业务很容易被杀毒软件识别为病毒程序，所以工业控制系统往往呈现为既没有补丁、又没有杀毒软件的裸机状态。

（4）内部人员误操作致使系统被破坏

受传统工业生产安全意识的影响，工作人员普遍关注人员安全和设备安全，基本不关注网络安全。工业企业通常未制定明确的网络安全工作方案和框架，同时忽视了员工网络安全意识和技能的培训，使得内部人员在应用系统层面的误操作、违规操作或故意的破坏性操作成为工业控制系统所面临的重要安全风险，相关安全事件频发。

例如，2000年3月，澳大利亚昆士兰州新建的马卢奇污水处理厂出现故障，无线连接信号丢失，污水泵工作异常，报警器也未发出报警信号。在分析事件原因时，最初以为是新系统的磨合问题，后来发现是该厂一名前工程师因不满工作续约被拒而蓄意报复所为。这名前工程师通过一台笔记本电脑和一个无线发射器控制了150个污水泵站；前后3个多月，总计有100万升的污水未经处理而直接经雨水渠排入自然水系，导致当地环境受到严重破坏。2008年3月，美国佐治亚州的哈奇核电厂2号机组发生自动停机事件。当时，一名工程师正在对该厂业务网络中的一台计算机（用于采集控制网络中的诊断数据）进行软件更新，以同步业务网络与控制网络中的数据信息。当工程师重启该计算机时，同步程序重置了控制网络中的相关数据，使得控制系统以为反应堆储水库水位突然下降，自动关闭了整个机组。

2．工业信息安全外部威胁

随着网络空间对抗博弈的不断加剧，工业领域的信息基础设施成为重点攻击目标，防护压力空前增大。总体来看，工业信息安全面临的外部威胁主要有以下3个方面。

（1）技术共享推动攻击难度降低

随着工业信息安全的研究热度与日俱增，大量工业信息安全漏洞、攻击技术可通过互联网等多种公开或半公开渠道扩散，因此攻击者获取针对工业控制系统的攻击方法越来越容易。一方面，诸如黑客大会、开源社区、白帽社区的出现，在提高人们发现工业信息漏洞能力的同时，技术的相互交流也使得漏洞信息甚至攻击方法能够被攻击者快速获取。另一方面，黑客组织公开披露了大量安全漏洞等敏感信息，易被攻击者利用并引发安全事件。此外，各类信息获取渠道的便利化也使得黑客可通过至少3种方式发现联网的工业控制系统和产品，包括通过百度、谷歌等网页搜索引擎检索工控产品Web发布的统一资源定位符（Uniform Resource Locator，URL）；通过Shodan等主机搜索引擎检索工业控制系统软硬件的HTTP/SNMP等传统网络服务端口关键指纹信息；通过在线监测平台匹配工业控制通信私有协议端口网络指纹特征，以发现正在运行的工控软硬件设备等。

（2）境外国家级黑客组织攻击加剧

随着工业生产环境对管理和控制一体化需求的不断升级，以及网络、通信等信息技术的广泛深入应用，越来越多的工业控制系统与企业网中运行的管理信息系统之间实现了互联、互通、互操作，甚至可以通过互联网、移动互联网等直接或间接地访问，导致攻击者可从研发端、管理端、消费端、生产端任意一端实现对工业控制系统的攻击或病毒传播。而越来越多的工业控制系统及设备与互联网连接，使得我国面临的安全风险进一步加大。

（3）国外品牌的工业控制系统占比较高

自主可控的设备产品、技术和服务是保障重点行业工控安全的基石。我国工业控制基础软硬件发展滞后，核心竞争力较弱，工业控制系统产品仍然较大程度地依赖国外进口和运维，核心技术仍然受制于国外公司，企业的自主创新能力不强，如精密采集、精准时钟、智能算法、故障定位、中断调度等技术还未完全掌握。此外，部分国产工业控制基础软件仍然缺乏基础编码、软件开发、接口集成、运行维护等标准规范，导致软件的可扩展性、可配置性、可重构性和互操作性较差，应用效果不佳。