工控網(wǎng)首頁
>

應(yīng)用設(shè)計(jì)

>

工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全防護(hù)九大誤區(qū),你知道嗎?

工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全防護(hù)九大誤區(qū),你知道嗎?

2016/7/11 9:22:53

  

  近年來,由于能源需求持續(xù)增長、管理模式不斷變化以及對(duì)信息通訊技術(shù)(ICT)的廣泛應(yīng)用,工業(yè)控制系統(tǒng)正在經(jīng)受一場快速而深刻的變革。原本相對(duì)簡單、相對(duì)獨(dú)立的工控系統(tǒng)正在向自動(dòng)化、信息化和網(wǎng)絡(luò)化發(fā)展。雖然工業(yè)控制系統(tǒng)的網(wǎng)絡(luò)安全問題已經(jīng)引起很多國家和權(quán)威機(jī)構(gòu)的高度重視,但是對(duì)相關(guān)企業(yè)和從業(yè)者來說,仍是一個(gè)很新的領(lǐng)域,工作上還存在著很多誤區(qū)。

  誤區(qū)一:工業(yè)控制系統(tǒng)(ICS)是與外界隔離的

  實(shí)際上,基礎(chǔ)設(shè)施領(lǐng)域不僅包括生產(chǎn)和控制系統(tǒng),還包括市場分析、財(cái)務(wù)計(jì)劃等信息管理系統(tǒng)。生產(chǎn)系統(tǒng)與管理系統(tǒng)的互聯(lián)已經(jīng)成為ICS的基本架構(gòu),與外界完全隔離幾乎不可能。另外,維護(hù)用的移動(dòng)設(shè)備或移動(dòng)電腦也會(huì)打破系統(tǒng)與外界的隔離,打開網(wǎng)絡(luò)安全風(fēng)險(xiǎn)之門。

  事實(shí)證明,不管多嚴(yán)格的隔離措施也會(huì)有隱患發(fā)生。2003年Davis-Besse核電站被Slammer蠕蟲病毒侵入;2006年13家Daimler-Chrysler汽車企業(yè)因感染Zotob蠕蟲病毒被迫停工;2008年有超過千萬臺(tái)的設(shè)備,包括所謂隔離了的設(shè)備,受到Conficker蠕蟲病毒的攻擊。即使在太空也不能做到完全隔離:2008年美國宇航局證實(shí)其國際太空站筆記本電腦遭到病毒入侵。2010年震驚世界的伊朗震網(wǎng)病毒。

  誤區(qū)二:沒有人會(huì)襲擊我們

  上個(gè)世紀(jì),雖然有些零星事件發(fā)生,公眾對(duì)ICS網(wǎng)絡(luò)安全問題并沒有足夠認(rèn)識(shí)。直到2000年澳大利亞MaroochyShire排水系統(tǒng)受攻擊事件報(bào)道之后,人們才意識(shí)到ICS系統(tǒng)一旦受襲擊有可能造成嚴(yán)重后果。該次事件中,由于數(shù)據(jù)采集和監(jiān)控系統(tǒng)(SCADA)受到攻擊,導(dǎo)致800,000升污水直接排放到環(huán)境中。

  另外,ICS系統(tǒng)并不是堅(jiān)不可摧。2006年以來,美國計(jì)算機(jī)應(yīng)急響應(yīng)小組對(duì)外公布的ICS系統(tǒng)安全漏洞越來越多。2009底其數(shù)據(jù)庫顯示的24條SCADA相關(guān)漏洞都是已經(jīng)預(yù)警的,而且,主流黑客工具如MetasploitFramework中已經(jīng)集成有其中一些漏洞的攻擊方法。

  越來越多的跡象表明,ICS系統(tǒng)已經(jīng)受到黑客、政治對(duì)手、不滿的員工或犯罪組織等各類攻擊者的目標(biāo)關(guān)注。

  誤區(qū)三:黑客不懂我們的協(xié)議/系統(tǒng),系統(tǒng)非常安全

  實(shí)際上,工業(yè)環(huán)境中已廣泛使用商業(yè)標(biāo)準(zhǔn)件(COTS)和IT技術(shù);除開某些特殊環(huán)境,大部分通訊采用的是以太網(wǎng)和TCP/IP協(xié)議;ICS、監(jiān)控站以及嵌入式設(shè)備的操作系統(tǒng)也多以Microsoft和Linux為主。其中,Microsoft已通過智能能源參考架構(gòu)(SERA)打進(jìn)電力行業(yè),意圖將微軟技術(shù)安插到未來智能電網(wǎng)架構(gòu)的核心中。

  那些特殊環(huán)境采用的內(nèi)部協(xié)議其實(shí)也有公開的文檔可查。典型的電力系統(tǒng)通訊協(xié)議定義在IEC和IEEE標(biāo)準(zhǔn)中都可以找到。象Modbus這些工業(yè)協(xié)議,不僅可以輕易找到詳細(xì)說明,其內(nèi)容也早已被黑客圈子熟知。

  另外,由于ICS設(shè)備功能簡單、設(shè)計(jì)規(guī)范,只需少許計(jì)算機(jī)知識(shí)和耐心就可以完成其逆向工程,何況大部分的工業(yè)協(xié)議都不具備安全防護(hù)特征。甚至某些應(yīng)急工具都可以自動(dòng)完成逆向工程。

  即使經(jīng)過加密處理的協(xié)議也可以實(shí)施逆向工程。例如,GSM手機(jī)全球系統(tǒng)、繳費(fèi)終端及汽車點(diǎn)火裝置的射頻信號(hào)、DVD反復(fù)制保護(hù)機(jī)制,他們都采用專門的加密技術(shù),但最終都被破解。

  誤區(qū)四:ICS系統(tǒng)不需要防病毒軟件或有防病毒軟件就可以了;我們的防火墻會(huì)自動(dòng)提供保護(hù)等

  認(rèn)為ICS系統(tǒng)不需要防病毒和誤區(qū)一(系統(tǒng)是隔離的)和誤區(qū)三(黑客不了解系統(tǒng))有關(guān)。實(shí)際上,除了Window平臺(tái)易受攻擊,Unix/Linux都有過病毒或跨平臺(tái)病毒攻擊的經(jīng)歷。Proof-of-concept病毒則是專門針對(duì)SCADA和AMI系統(tǒng)的。所以對(duì)ICS系統(tǒng),防病毒軟件不可或缺,并且需要定時(shí)更新。

  那么,有了防病毒軟件是否就高枕無憂了?雖然有效管理的防病毒措施可以抵御大部分已知的惡意軟件,但對(duì)更隱蔽或鮮為人知的病毒的防御還遠(yuǎn)遠(yuǎn)不夠。而且,防病毒軟件本身也有弱點(diǎn)存在。從最近一次安全會(huì)議得知,在對(duì)目前使用最多的7個(gè)防病毒軟件進(jìn)行防病毒能力挑戰(zhàn)時(shí),有6個(gè)可以在2分鐘內(nèi)被攻破。

  另外,雖然防火墻也是應(yīng)用最廣泛的安全策略之一,但其發(fā)揮效用的前提是必須正確設(shè)置了防火墻的安全規(guī)則。即使智能型防火墻,也需要自定義安全規(guī)則。研究表明,由于設(shè)置規(guī)則比較復(fù)雜,目前80%的防火墻都沒有正確配置,都沒有真正起到安全防護(hù)的作用。

  誤區(qū)五:網(wǎng)絡(luò)安全事件不會(huì)影響系統(tǒng)運(yùn)行

  事實(shí)證明,ICS系統(tǒng)遭受攻擊后不僅可能影響運(yùn)行,還可能導(dǎo)致嚴(yán)重后果。前面提到的澳大利亞MaroochyShire排水系統(tǒng)受攻擊事件就是一例;2003年Davis-Besse核電站因Slammer蠕蟲病毒入侵導(dǎo)致系統(tǒng)計(jì)算機(jī)停機(jī)6小時(shí)以上;2007年美國愛達(dá)荷國家實(shí)驗(yàn)室一臺(tái)為13.8KV網(wǎng)格測試臺(tái)供電的柴油發(fā)電機(jī)因網(wǎng)絡(luò)攻擊而被毀;2008年Hatch核電廠一工程師在數(shù)據(jù)采集服務(wù)器上測試軟件更新時(shí),在其不知情的情況下,測試值被供應(yīng)商軟件同步設(shè)置到生產(chǎn)系統(tǒng)上,結(jié)果導(dǎo)致反應(yīng)堆自動(dòng)停機(jī)事故。另外,攻擊者也會(huì)想法設(shè)法接近ICS設(shè)備,如將攜有惡意軟件的U盤以禮相送;或是向收集到的目標(biāo)企業(yè)工作人員郵寄地址發(fā)送電子郵件,一旦郵件內(nèi)鏈接被打開,惡意軟件就會(huì)下載到工作站。攻擊者聲稱,通過這些惡意軟件,他們可以全面控制工作站和SCADA系統(tǒng)。

  誤區(qū)六:ICS組件不需要特別的安全防護(hù),供應(yīng)商會(huì)保證產(chǎn)品的安全性

  人們能夠理解ICS系統(tǒng)核心組件(如數(shù)據(jù)庫、應(yīng)用軟件、服務(wù)器等)安全性的重要,但常常會(huì)忽視ICS系統(tǒng)外圍組件(如傳感器、傳動(dòng)器、智能電子設(shè)備、可編程邏輯控制器、智能儀表、遠(yuǎn)程終端設(shè)備等)的安全防護(hù)。其實(shí)這些外圍設(shè)備很多都內(nèi)置有與局域網(wǎng)相聯(lián)的網(wǎng)絡(luò)接口,采用的也是TCP/IP協(xié)議。這些設(shè)備運(yùn)行時(shí)可能還有一些調(diào)試命令,如telnet和FTP等,未及時(shí)屏蔽。這種情況在網(wǎng)絡(luò)服務(wù)器上也很常見。網(wǎng)絡(luò)服務(wù)器一般隱含有一項(xiàng)特殊功能,即允許用戶通過定位某個(gè)網(wǎng)址重新啟動(dòng)遠(yuǎn)程終端設(shè)備(RTU)。

  用戶通常以為供應(yīng)商會(huì)對(duì)他們產(chǎn)品的缺陷和安全性了如指掌,實(shí)際上供應(yīng)商對(duì)他們產(chǎn)品的認(rèn)識(shí)僅限于產(chǎn)品所能提供的功能方面,而且對(duì)出現(xiàn)的安全問題也做不到快速響應(yīng)。2008年研究人員發(fā)現(xiàn)ICS特有的數(shù)據(jù)通訊協(xié)議(WonderwareSuitlink)存在漏洞后,立即聯(lián)系了供應(yīng)商Wonderware,但是Wonderware1個(gè)月后才開始回應(yīng);等到Wonderware認(rèn)識(shí)到產(chǎn)品缺陷,并知會(huì)Suitlink用戶相關(guān)補(bǔ)救措施時(shí),已是三個(gè)月以后的事了。這件事讓很多供應(yīng)商開始關(guān)注自己產(chǎn)品的安全性,但對(duì)大部分供應(yīng)商來說,還是任重道遠(yuǎn)。

  誤區(qū)七:ICS系統(tǒng)的接入點(diǎn)容易控制

  ICS系統(tǒng)存在很多未知或已知但不安全的接入點(diǎn),如維護(hù)用的手提電腦可以直接和ICS網(wǎng)絡(luò)聯(lián)接、可不經(jīng)過防火墻的接入點(diǎn)、遠(yuǎn)程支持和維護(hù)接入點(diǎn)、ICS設(shè)備和非ICS設(shè)備的連接點(diǎn)、ICS網(wǎng)絡(luò)設(shè)備中的可接入端口等。實(shí)際上,ICS系統(tǒng)的所有者并不知曉有多少個(gè)接入點(diǎn)存在以及有多少個(gè)接入點(diǎn)正在使用,也不知道個(gè)人可以通過這種方式訪問ICS系統(tǒng)。

  誤區(qū)八:系統(tǒng)安全可以一次性解決或是可以等到項(xiàng)目結(jié)束再解決

  以前,ICS系統(tǒng)功能簡單,外部環(huán)境穩(wěn)定,現(xiàn)場維護(hù)設(shè)備也非智能型,所以,針對(duì)某一問題的解決方案可以維持很長一段時(shí)間不變。然而,現(xiàn)在的ICS系統(tǒng)功能復(fù)雜,外部環(huán)境經(jīng)常變化,現(xiàn)場維護(hù)設(shè)備也需要定期更新和維護(hù)。不僅ICS系統(tǒng)和現(xiàn)場維護(hù)設(shè)備需要安全防護(hù),其管理和維護(hù)工作也需要安全防護(hù),而且是動(dòng)態(tài)管理的安全防護(hù),即一旦有新的威脅或漏洞產(chǎn)生,就要及時(shí)采取安全措施。

  近些年,雖然ICS項(xiàng)目建設(shè)開始關(guān)注系統(tǒng)安全,但是由于工期較長,通常在最后階段才開始考慮安全防護(hù)問題,但此時(shí)不僅實(shí)施不易,而且成本頗高。因?yàn)樾枨笞兏酵砘蚵┒窗l(fā)現(xiàn)越遲,更改或彌補(bǔ)的費(fèi)用越高。

  誤區(qū)九:單向通信100%安全

  某些情況下,極重要的ICS系統(tǒng)允許以單向通訊方式與其他安全區(qū)域聯(lián)接。但是,這種聯(lián)接方式是很不嚴(yán)密的,其安全程度高低取決于單向通信的實(shí)現(xiàn)方式。方式一為限制發(fā)起方方式,即通信只能由某一方發(fā)起,然后雙方可以互相通信;方式二為限制負(fù)載流方式,即在方式一基礎(chǔ)上,對(duì)方只能發(fā)送控制信號(hào),不能發(fā)送數(shù)據(jù)或應(yīng)用信息;方式三最嚴(yán)格,僅允許一方發(fā)送信息,不允許另一方發(fā)送任何信息。方式一采用基本防火墻就能實(shí)現(xiàn),方式二需要進(jìn)行信息包檢測,方式三需要采用特殊設(shè)備實(shí)現(xiàn)。通常認(rèn)為,將前兩種方式結(jié)合起來將是最安全的防護(hù)措施。但是,即使它們可以提供很強(qiáng)的安全保護(hù),網(wǎng)絡(luò)攻擊還是有可能發(fā)生。因?yàn)榭刂坪托盘?hào)信息允許進(jìn)入受保護(hù)區(qū)域,經(jīng)過設(shè)備編譯后,惡意代碼就有可能得到運(yùn)行。所以,單向通信并不能提供100%的安全保護(hù)。

審核編輯(
王靜
)
投訴建議

提交

查看更多評(píng)論
其他資訊

查看更多

新大陸自動(dòng)識(shí)別精彩亮相2024華南國際工業(yè)博覽會(huì)

派拓網(wǎng)絡(luò)被Forrester評(píng)為XDR領(lǐng)域領(lǐng)導(dǎo)者

智能工控,存儲(chǔ)強(qiáng)基 | ??低晭砭手黝}演講

展會(huì)|Lubeworks路博流體供料系統(tǒng)精彩亮相AMTS展會(huì)

中國聯(lián)通首個(gè)量子通信產(chǎn)品“量子密信”亮相!