對于制造型企業而言，大部分的工作都是圍繞生産制造而進行，以前大量的工作都是由人工來完成,用于管理控制的系統很少；而現在，随着科技的發展，越來越多的企業采用各種工業控制系統來提高效率，增加産能；出于資料交換和分析的目的，這些控制系統又組成了一個網絡<Industrial LAN>, 這篇文章将簡單分析工業控制系統存在的風險以及一些解決方法。 首先，工業控制系統對于制造型企業而言，作用毋庸置疑。很多公司可以容忍一到兩天沒有郵件，沒有網絡，但是不能容忍生産線停産一到兩個小時，因為這将會直接給公司帶來損失。 但是現在對于工業控制系統安全的管理确實非常少，甚至可以說沒有。 下面是一個分析表
| Security Topic | Office IT 辦公IT | Industrial Control Systems |
| 防病毒 | 絕大部分部署 | 很少/不可能部署 |
| 維保 | 2-3 年 | 可到20年 |
| 維保供應商 | 相當多，可選 | 唯一的，基本不可更換 |
| 更新檔部署 | 經常 | 很少 |
| 變更管理 | 有系統/流程 | 高度依賴于供應商，相當複雜 |
| 安全意識 | 中等 | 沒有，除了實體安全外 |
| 可用性 | 允許一段時間的當機 | 24*7×365 |
| 安全測試/稽核 | 有 | 沒有，出問題的時候才檢測 |
| 實體安全 | 安全（IT室） | 較少管理 |
從上面看來，工業控制系統處于管理很少，風險很高的程度。你可以從下面的執行個體上看出更多的問題出來
- 出了問題，該系統負責人（一般還不是IT，而是工程部或者維修部員工）聯系供應商，讓供應商遠端或者到現場來解決，每次解決的費用都非常驚人，并且花費的時間相當長。
- 由于缺少安全意識,IT部門也隻是簡單的将工業IT系統直接連接配接到公司辦公網絡内，而不做任何過濾和隔離；
- 工業IT系統現在的負責人一般不是IT，而是工程部，生産部，即使IT部門意識到風險并且希望來改進時，工程部/生産部都會持反對意見“我們不敢改，所有的都是供應商設好的，如果出問題怎麼辦？整個生産線可要停下來的啊”
- 很多工業IT系統就是一台普通PC，負責人都會強調該系統的重要性，但是對所有的使用，包括U盤，CD光牒甚至網絡都沒有控制
- 如果系統需要調試，供應商會通過内置的Modem/或者網絡直接連接配接進來，而沒有任何的限制。試想，如果有人知道該Modem号碼，将會非常容易連接配接進來修改裡面的配置，或者調出裡面的資料，這些資料，絕大部門就是公司的高度機密《裡面的配方，以及生産量，原料等資料都是很重要的》；如果有人惡意修改配置，将會直接導緻生産線停産…
- 如果系統需要現場調試，供應商會直接将電腦連接配接到工業控制系統上，而沒有經過IT安全檢查；如果供應商筆記本電腦上有病毒的話，那這工業IT系統也将會有。這樣的系統還穩定嗎？
- 有些工業控制系統身兼數職，即使生産線的大腦，控制整個生産；也是操作員的娛樂中心，遊戲電影一個都不能少；還是操作員的工作中心，Outlook,QQ,MSN就這樣用着,任何人發過來的附件想都不想就打開。。。
- 很多公司都自己有幾台辦公電腦很熟悉，但是下面的工業控制系統有幾台，是什麼作業系統，供應商是誰，安裝的軟體是什麼等等，一無所知，沒有完成的裝置清單<Inventory List>,出了問題,兩眼一抹黑
下面是典型的工業網絡和辦公網絡混合在一起,沒有任何過濾和隔離的拓撲圖. 如果是這樣的構架，那就意味着工業控制系統要面臨和辦公網絡一樣甚至更加嚴重的安全威脅。
通過Google，可以知道《工業控制系統遭襲擊4年激增10倍》，并且“2003年報道的10例網絡***很可能僅是冰山一角，因為擔心招緻更多的***或産生不良影響，大多數公司都不願報道此類事件”。
轉載于:https://blog.51cto.com/oujianjun/312401