從震網(wǎng)病毒看工業(yè)控制系統(tǒng)的安全性

　　在機(jī)場、酒店大堂、時(shí)尚的咖啡廳，可以看到人們很自在地用筆記本電腦享受著上網(wǎng)沖浪的便捷，同時(shí)電信運(yùn)營商們也在積極推廣城市熱點(diǎn)的接入覆蓋訪問。但隨著無線網(wǎng)絡(luò)嗅探變得輕而易舉，你是否考慮過網(wǎng)絡(luò)環(huán)境是否安全?

　　伊朗布舍爾核電站的遭遇為我們敲響警鐘，黑客攻擊正在從開放的互聯(lián)網(wǎng)向封閉的工控網(wǎng)蔓延，黑客動(dòng)機(jī)從技術(shù)展示到利益獲取再到如今的高端性攻擊。因此，在關(guān)系到國計(jì)民生與國家安全的重大項(xiàng)目中，對國外品牌的選擇需要更加謹(jǐn)慎，并對中國自主研發(fā)的產(chǎn)品有足夠的重視。目前，許多國家對引進(jìn)國外產(chǎn)品帶來的國家安全隱患都十分重視。在同類項(xiàng)目中，可以分別采用不同的品牌、不同的技術(shù)，把雞蛋放在不同的籃子里，以分散風(fēng)險(xiǎn)。應(yīng)該在一定程度上，采取多種品牌、多種技術(shù)的策略，權(quán)衡項(xiàng)目成本與項(xiàng)目安全，使二者達(dá)到最大程度的優(yōu)化與平衡。

　　據(jù)權(quán)威工業(yè)安全事件信息庫RISI統(tǒng)計(jì)，截止到2011年10 月，全球已發(fā)生200 余起針對工業(yè)控制系統(tǒng)的攻擊事件。2001年后，通用開發(fā)標(biāo)準(zhǔn)與互聯(lián)網(wǎng)技術(shù)的廣泛使用，使針對ICS 系統(tǒng)的攻擊行為出現(xiàn)大幅度增長，ICS 系統(tǒng)對于信息安全的需求變得更加迫切。

　　近年來典型工業(yè)控制系統(tǒng)入侵事件：

　　·2005年，美國水電溢壩事件;

　　·2007年，攻擊者入侵加拿大的一個(gè)水利SCADA 控制系統(tǒng)，破壞了用于取水調(diào)度的控制計(jì)算機(jī);

　　·2008年，攻擊者入侵波蘭某城市地鐵系統(tǒng)，通過電視遙控器改變軌道扳道器，導(dǎo)致四節(jié)車廂脫軌;

　　·2010年，“網(wǎng)絡(luò)超級武器”Stuxnet 病毒針對性的入侵ICS 系統(tǒng)，嚴(yán)重威脅到伊朗布什爾核電站核反應(yīng)堆的安全運(yùn)營;

　　·2011年，黑客通過入侵?jǐn)?shù)據(jù)采集與監(jiān)控系統(tǒng)，使美國伊利諾伊州城市供水系統(tǒng)的供水泵遭到破壞。

　　工業(yè)控制系統(tǒng)(ICS)概述

　　工業(yè)控制系統(tǒng)(ICS)是由各種自動(dòng)化控制組件以及對實(shí)時(shí)數(shù)據(jù)進(jìn)行采集、監(jiān)測的過程控制組件，共同構(gòu)成的確保工業(yè)基礎(chǔ)設(shè)施自動(dòng)化運(yùn)行、過程控制與監(jiān)控的業(yè)務(wù)流程管控系統(tǒng)。其核心組件包括SCADA、DCS、PLC、RTU、IED以及接口技術(shù)等。

　　對工業(yè)控制系統(tǒng)中IT基礎(chǔ)設(shè)施的運(yùn)行狀態(tài)進(jìn)行監(jiān)控，是工業(yè)工控系統(tǒng)穩(wěn)定運(yùn)行的基礎(chǔ)，其中核心組件就是數(shù)據(jù)采集與監(jiān)視控制系統(tǒng)(SCADA)，典型的SCADA系統(tǒng)由以下組件構(gòu)成：

　　目前工業(yè)控制系統(tǒng)廣泛應(yīng)用于我國電力、水利、污水處理、石油天然氣、化工、交通運(yùn)輸、制藥以及大型制造等行業(yè)中，據(jù)不完全統(tǒng)計(jì)，超過80%涉及國計(jì)民生的關(guān)鍵基礎(chǔ)設(shè)施依靠工業(yè)控制系統(tǒng)來實(shí)現(xiàn)自動(dòng)化作業(yè)，工業(yè)控制系統(tǒng)已是國家安全戰(zhàn)略的重要組成部分。

　　一次典型的ICS 控制過程通常由控制回路、HMI、遠(yuǎn)程診斷與維護(hù)工具三部分組件共同完成，控制回路用以控制邏輯運(yùn)算、HMI執(zhí)行信息交互、遠(yuǎn)程診斷與維護(hù)工具，確保出現(xiàn)異常操作時(shí)進(jìn)行診斷和恢復(fù)。

　　隨著計(jì)算機(jī)和網(wǎng)絡(luò)技術(shù)的發(fā)展，特別是信息化與工業(yè)化深度融合以及物聯(lián)網(wǎng)的快速發(fā)展，工業(yè)控制系統(tǒng)產(chǎn)品越來越多地采用通用協(xié)議、通用硬件和通用軟件，通過各種方式與互聯(lián)網(wǎng)等公共網(wǎng)絡(luò)連接，病毒、木馬等威脅正在向工業(yè)控制系統(tǒng)擴(kuò)散。其風(fēng)險(xiǎn)主要來源于：

　　ICS風(fēng)險(xiǎn)的主要根源

　　·漏洞隱蔽性和嚴(yán)重性;采用專用的硬件、軟件和通信協(xié)議。

　　·安全重視不夠、連接無序、數(shù)據(jù)保護(hù)和應(yīng)急管理不足;設(shè)計(jì)上考慮到封閉性、主要以傳統(tǒng)安全為主。

　　·默認(rèn)配置、連接、組網(wǎng)、采購升級無序;主要基于工業(yè)應(yīng)用的場景和執(zhí)行效率。

　　工控平臺的脆弱性

　　·平臺本身的安全漏洞問題;

　　·殺毒軟件安裝及升級更新問題;

　　·大量默認(rèn)配置和默認(rèn)口令;

　　·專用平臺和通用平臺漏洞。

　　工控網(wǎng)絡(luò)的脆弱性

　　TCP/IP等通用協(xié)議與開發(fā)標(biāo)準(zhǔn)引入工業(yè)控制系統(tǒng)，特別是物聯(lián)網(wǎng)、云計(jì)算、移動(dòng)互聯(lián)網(wǎng)等新興技術(shù)，使得理論上絕對的物理隔離網(wǎng)絡(luò)正因?yàn)樾枨蠛蜆I(yè)務(wù)模式的改變而不再切實(shí)可行。傳統(tǒng)的威脅同樣會(huì)在工業(yè)網(wǎng)絡(luò)中重現(xiàn)。

　　·邊界安全策略缺失;

　　·系統(tǒng)安全防御機(jī)制缺失;

　　·管理制度缺失或不完善;

　　·網(wǎng)絡(luò)配置規(guī)范缺失;

　　·監(jiān)控與應(yīng)急響應(yīng)機(jī)制缺失;

　　·網(wǎng)絡(luò)通信(無線接入+撥號網(wǎng)絡(luò))保障機(jī)制缺失;

　　·基礎(chǔ)設(shè)施可用性保障機(jī)制缺失。

　　安全管理、標(biāo)準(zhǔn)和人才的脆弱性

　　缺乏完整有效安全管理、標(biāo)準(zhǔn)和資金投入是當(dāng)前我國工業(yè)控制系統(tǒng)的難題之一。其次，過多的強(qiáng)調(diào)網(wǎng)絡(luò)邊界的防護(hù)、內(nèi)部環(huán)境的封閉，讓內(nèi)部安全管理變得混亂。另外，既了解工控系統(tǒng)原理和業(yè)務(wù)操作又懂信息安全的人才少之又少，為混亂的工控安全管理埋下了伏筆。最后，內(nèi)網(wǎng)審計(jì)、監(jiān)控、準(zhǔn)入、認(rèn)證、終端管理等缺失也是造成工控系統(tǒng)安全威脅的重要原因。如：使用U盤、光盤導(dǎo)致的病毒傳播、筆記本電腦的隨意接入與撥號、ICS缺少監(jiān)控和審計(jì)等問題。

　　為了加強(qiáng)工控網(wǎng)防護(hù)，工信部緊急下發(fā)了工信部協(xié)【2011】451號文《關(guān)于加強(qiáng)工業(yè)控制系統(tǒng)信息安全管理的通知》，指出我國目前工控系統(tǒng)現(xiàn)狀：對工業(yè)控制系統(tǒng)信息安全問題重視不夠;管理制度不健全;相關(guān)標(biāo)準(zhǔn)規(guī)范缺失;技術(shù)防護(hù)措施不到位;安全防護(hù)能力和應(yīng)急處置能力不高等。工信部要求工業(yè)、能源、交通、水利以及市政等加強(qiáng)工業(yè)控制系統(tǒng)安全管理。

　　工控網(wǎng)安全基本安全防護(hù)原則

　　ICS網(wǎng)絡(luò)中有代表性的EPA(Ethernet for Plant Automation)網(wǎng)絡(luò)由企業(yè)信息管理層、過程監(jiān)控層和現(xiàn)場設(shè)備層三個(gè)層次組成，采用分層化的網(wǎng)絡(luò)安全管理措施。

　　EPA現(xiàn)場設(shè)備采用特定的網(wǎng)絡(luò)安全管理功能，對其接收到的任何報(bào)文進(jìn)行訪問權(quán)限、訪問密碼等的檢測，使只有合法的報(bào)文才能得到處理，其他非法報(bào)文將直接予以丟棄，避免了非法報(bào)文的干擾。

　　在過程監(jiān)控層，采用EPA網(wǎng)絡(luò)對不同微網(wǎng)段進(jìn)行邏輯隔離，以防止非法報(bào)文流量干擾EPA網(wǎng)絡(luò)的正常通信，占用網(wǎng)絡(luò)帶寬資源。

　　對于來自于互聯(lián)網(wǎng)上的遠(yuǎn)程訪問，則采用EPA代理服務(wù)器以及各種可用的信息網(wǎng)絡(luò)安全管理措施，以防止遠(yuǎn)程非法訪問。

　　美國《工業(yè)控制系統(tǒng)安全指南》也提出了ICS系統(tǒng)如下縱深防護(hù)體系架構(gòu)(如下圖)，可供我們參考。

　　電力二次系統(tǒng)防護(hù)方案是工業(yè)控制系統(tǒng)安全防護(hù)的典型案例

　　電力二次系統(tǒng)方案遵循“安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向認(rèn)證”的原則，涵蓋電力監(jiān)控系統(tǒng)、電力調(diào)度管理信息系統(tǒng)、電力通信及調(diào)度數(shù)據(jù)網(wǎng)絡(luò)等，該方案為電力信息安全搭建了最為基礎(chǔ)的安全框架，但由于電力二次系統(tǒng)基本原則出臺較早，基本搭建在網(wǎng)絡(luò)安全防護(hù)的基礎(chǔ)上，對系統(tǒng)、業(yè)務(wù)應(yīng)用、數(shù)據(jù)安全以及安全管理方面考慮較少，目前面臨著新的安全威脅，需要更全面的解決方案應(yīng)對。

　　總而言之，工控系統(tǒng)安全要做到“進(jìn)不來、拿不走、看不到、改不了、走不脫”。只有管理體系、技術(shù)體系、運(yùn)維體系三管齊下，有機(jī)融合，方能保一方平安。