制造业防范网络攻击的主动策略

制造商必须与网络世界的“黑帽子”博弈，以保障流程安全

不是会不会被黑，而是何时被黑。网络安全专家援引近期勒索软件浪潮（如全球爆发的“WannaCry”加密数据勒索）发出警示。

应对日益狡猾的网络犯罪，制造运营须结合网络安全软件、“硬化”硬件（工厂自动化控制与网络设备）及新标准最佳实践。凭借这些工具，企业更有机会预防攻击或事后补救。

Spohn Security Solutions高级顾问Timothy Crosby指出：“攻击广泛持续。”许多工业系统运行旧版嵌入式OS（Win XP/2003/2000），无法打补丁，漏洞利用代码易得，成高频目标。“需全方位防护，无银弹。”

身份盗窃资源中心与CyberScout报告：2016年数据泄露增40%，创纪录1083起，黑客/盗刷/钓鱼占55.5%，同比增17.7%。

全方位防护路径

WannaCry、Petya（2016乌克兰瘫痪关键基础设施）等攻击波及能源、政府设施。UL首席工程师Ken Modeste称：“攻击会从入口扩散。”美加有FBI等机构协助恢复。

UL发布全球网络安全保障计划（UL CAP），基于UL 2900系列标准识别风险，提供工业控制、医疗、汽车、楼宇自动化等领域缓释方案。Modeste强调：“硬编码密码（不可改嵌入式密码）是根本缺陷。”勒索软件多通过钓鱼邮件传播，点击即繁殖。

员工网络安全培训是关键。“培训解决大问题。坏人做物理侦察，胜算在他们。”

Siemens PLM植物安全服务负责人Henning Rudoff指出，近期勒索攻击暴露工业环境脆弱性。依据IEC 62443实施并持续维护全方位工业安全概念至关重要。数字化加深，工业安全愈发重要。Siemens将工业安全作为数字企业核心，其CSOC（网络安全运营中心）在慕尼黑、里斯本、俄亥俄米尔福德全球监控并响应。

Rudoff主张：所有层级（厂管理至现场、访问控制至拷贝保护）同步独立防护——纵深防御。基于ISA99/IEC 62443标准。Siemens产品持续迭代强化安全，定义工业整体安全概念（HSC）覆盖全生命周期，五杠杆：意识、前沿功能、流程改进、事件处理、产品/方案/服务及周边IT基础设施安全。获TÜV IEC 62443开发流程认证，PCS 7等系统通过认证。强烈建议及时应用补丁、用最新版本。S7控制器提供程序块知情保护、拷贝/访问保护、通信完整性；Scalance/Ruggedcom网络安全产品支持远程访问、DMZ、安全冗余、单元防护。Plant Security Services提供全方位监测、分析、响应，持续监控赋予运营透明度。

融合安全与网络安全

全球勒索威胁终结行业自满。Crosby引述：NotPetya袭击乌克兰关键设施波及80国，德/俄/英最重。美企49%设专门IT/数据安全计划，英/德仅37%/34%。Tripwire调查显示多数组织准备度未因WannaCry/NotPetya显著提升。

Rockwell Automation首席产品安全官Lee Lane分析：Petya/NotPetya加密恶意软件实施DDoS，重创马士基、联邦快递、生命科学企业。停机不止直接损失，更引发连锁反应：失去ERP即失去订单、计划、发运信息。恶意代码（勒索、DDoS、零日如Stuxnet）由国家、内部人员、恐怖组织、黑客行动主义者等多元攻击者部署。IBM报告：2015-2016年攻击增110%（仅报告数）。

Rockwell专注工业自动化，提供软硬件融合安全与安防，及咨询服务。Lane强调：“需对的人、流程、工具。”资产识别与记录是起点。NIST网络安全框架为良好切入。FactoryTalk Asset Manager软件配合安全加固功能。选型前询问供应商安全路线图、加固实施。寻找抗数据风暴能力等硬化特性。ControlLogix检测硬件变更预警恶意软件，支持PLC密码/钥匙开关/归档恢复。自动/可控恢复为高级网络安全关键特性。

Lane警示：传统安全系统在网络攻击下不可靠，融合安全与安防是正道。UL CAP提供指南工具，首版发布后测试35产品，含反恶意/勒索工具，操作系统级控制（防引导记录覆写、文件系统管理）重要。传感器广泛部署，工具持续涌现。

潜伏威胁

部分攻击潜伏许久才被发现，解决更难。PFP Cybersecurity CEO Steve Chen指出：2015年Cisco路由器固件植入恶意代码，NSA系统、军用电子元件亦中招。

PFP采用设备监测、射频信号处理、大数据分析、运行时检测补救。Virginia Tech技术授权，获4项新专利。Chen称：“用异常检测而非特征库。典型检测间隙200天，我们演示可更快检测补救。”Black Hat USA大会展示。两种部署：内置设备内（自动检测补救）或外挂。

PFP面向IoT设备提供云/本地安全平台，RF扫描检测补救恶意代码。Dashboard通过合作伙伴SaaS交付。Chen说：“模拟Stuxnet隐蔽性。”系统亦可用于芯片防伪：软扫内存芯片，批量采购省大钱。同一数学模型，向未上电设备注入射频能量。拟授权半导体厂商。当前面向企业/政府，目标推出Cisco路由器天线防固件植入，家用便携扫描仪，让万物互联世界更安全。