工業(yè)控制系統(tǒng)安全威脅分析與防護

陳志強，張曉宇，孫楠楠

（中國電子科技集團公司第四十七研究所，沈陽110032）

工業(yè)控制系統(tǒng)安全威脅分析與防護

陳志強，張曉宇，孫楠楠

（中國電子科技集團公司第四十七研究所，沈陽110032）

隨著信息化技術的推進，工業(yè)控制系統(tǒng)獲得了前所未有的迅猛發(fā)展，這些系統(tǒng)主要由各種自動化控制組件和實時數(shù)據(jù)采集及監(jiān)測的過程控制組件共同構成。其組件包括數(shù)據(jù)采集與監(jiān)控系統(tǒng)、分布式控制系統(tǒng)、可編程邏輯控制器、遠程終端、智能電子設備，以及確保各組件通信的接口技術。隨著工業(yè)控制系統(tǒng)的發(fā)展，工業(yè)控制系統(tǒng)所面臨的安全威脅也越來越嚴峻，甚至提升到“國家安全戰(zhàn)略”的高度。在深入分析工業(yè)控制系統(tǒng)安全威脅的基礎上，提出了以基礎防護為根本，基于主控系統(tǒng)安全基線的增強防護方法。通過基礎與增強防護相結合，為工業(yè)控制系統(tǒng)建立全面、系統(tǒng)的安全體系，更好地解除工業(yè)控制系統(tǒng)面臨的內外部安全威脅，從而為推動工業(yè)信息化和現(xiàn)代化的穩(wěn)定發(fā)展提供保障。

工業(yè)控制系統(tǒng)；安全防護；安全威脅；網絡風險；網絡漏洞；基線防護

1 引 言

隨著工業(yè)化與信息化的不斷交叉與融合，網絡技術與通訊技術等信息技術越來越多地應用于工業(yè)控制系統(tǒng)領域中。目前，工業(yè)控制系統(tǒng)已廣泛應用于IC生產、電力、水利、先進制造、交通運輸、航空航天等工業(yè)領域，工業(yè)控制系統(tǒng)已經成為國家關鍵基礎設施的重要組成部分，工業(yè)控制系統(tǒng)的安全關系到國家的戰(zhàn)略安全［1-2］。與此同時，由于工業(yè)控制系統(tǒng)廣泛使用通用的軟硬件和網絡設施，以及與企業(yè)管理信息系統(tǒng)的高度集成，致使工業(yè)控制系統(tǒng)越來越開放，并且與企業(yè)內網，甚至是與互聯(lián)網產生了數(shù)據(jù)交換［3］。也就是說以前工業(yè)控制系統(tǒng)在物理環(huán)境上的相對封閉性以及工業(yè)控制系統(tǒng)軟、硬件的專用性將會被打破，這樣就給黑客、恐怖組織、商業(yè)間諜、內部不法人員、外部非法入侵者等創(chuàng)造了可乘之機。

2 工業(yè)控制系統(tǒng)概述

2.1 工業(yè)控制系統(tǒng)網絡化所帶來的安全問題

工業(yè)控制系統(tǒng)在最初發(fā)展的時候是完全獨立的，與企業(yè)各管理系統(tǒng)是隔離的。然而隨著企業(yè)對管理與控制一體化的需求不斷提高，工業(yè)控制系統(tǒng)與傳統(tǒng)管理系統(tǒng)逐漸實現(xiàn)了網絡化集成，管理系統(tǒng)與工業(yè)控制系統(tǒng)實現(xiàn)了數(shù)據(jù)交換，這樣導致工業(yè)控制系統(tǒng)不再是一個獨立運行的系統(tǒng)，而要與眾多的管理系統(tǒng)甚至與互聯(lián)網進行互聯(lián)、互通［4］。此外，工業(yè)控制系統(tǒng)的開放性越來越強，工業(yè)控制系統(tǒng)中大量使用了通用的PC服務器、PC終端、通用操作系統(tǒng)和數(shù)據(jù)庫，網絡化浪潮又將諸如嵌入式技術、無線技術等新興技術融合進來，從而又拓展了工業(yè)控制系統(tǒng)的發(fā)展空間，帶來新發(fā)展機遇的同時，也更容易遭受病毒、木馬以及黑客的攻擊。

2.2 案例分析

2010年，以美國為首的西方國家通過網絡對伊朗核設施發(fā)動了攻擊，伊朗濃縮鈾工廠離心機報廢率占全國的四分之一，致使伊朗的核發(fā)展受到了前所未有的嚴重阻礙。而致使離心機報廢的原因就是著名的“震網”病毒武器，自此之后全球工業(yè)大國紛紛將工業(yè)安全提升至國家戰(zhàn)略級的高度［5］。

回顧此次病毒爆發(fā)的原因，首先是病毒由被感染的U盤帶入伊朗，然后當U盤在計算機上使用的時候潛入計算機，再找到西門子的一個控制軟件，并通過其數(shù)據(jù)庫進入到局域網的其它節(jié)點。而西門子公司的這個控制軟件是用來控制伺服系統(tǒng)的馬達、電路開關和氣體液體閥門，被廣泛應用于各行各業(yè)［6］。該病毒找到控制軟件后，截獲控制軟件給可編程邏輯控制設備發(fā)指令，找出并識別應用在離心機上的軟件，而后發(fā)出虛假指令，致使離心機轉速不正常造成設備損壞。

2.3 工業(yè)控制系統(tǒng)面臨的安全威脅

信息化的迅猛發(fā)展，在為社會帶來巨大進步的同時，也使得工業(yè)控制系統(tǒng)面臨的威脅與日俱增，面對層出不窮的功擊，針對各式各樣的新式病毒，我們所面臨的安全威脅如下［5］：

（1）管理制度缺漏

工控系統(tǒng)缺乏完整有效的安全策略與管理流程，缺乏針對性的管理制度，相關部門和崗位職責不明確，缺少應急響應機制，安全風險評估和檢查從未開展［7］。這些都成為管理上的安全隱患。

（2）系統(tǒng)漏洞

大多數(shù)終端設備、工作站及HMI都是基于Windows操作系統(tǒng)平臺的，大量存在各種系統(tǒng)安全漏洞。為避免殺毒軟件與功能軟件在使用上產生沖突，需要經常更新病毒庫，殺毒軟件不適合工業(yè)控制環(huán)境。工控應用軟件的多樣性很難形成統(tǒng)一的防護規(guī)范和標準，從而引發(fā)大量的安全問題。

（3）存儲介質漏洞

存儲介質作為當前信息傳播、交流的重要方式，在為用戶提供便捷的同時也給內部系統(tǒng)的安全帶來威脅。一方面，可能由于用戶個人安全意識淡薄，無意中將企業(yè)的涉密信息通過移動存儲介質傳播出去；另一方面，也有可能是用戶所使用的設備感染病毒，信息被非法竊取或破壞［8］。如木馬，借助U盤在企業(yè)內外網之間傳播，并在感染病毒的終端中竊取涉密信息，并通過網絡將信息傳播出去。

（4）網絡架構漏洞

無隔離的網絡子系統(tǒng)架構，在工業(yè)生產現(xiàn)場，大多數(shù)工業(yè)網絡子系統(tǒng)之間沒有進行有效的安全隔離，從而極易造成安全故障通過網絡迅速蔓延，形成網絡風暴。

2.4 工業(yè)控制系統(tǒng)信息安全防護體系的規(guī)劃

建立系統(tǒng)、健全的安全防護體系，是解除當前工業(yè)控制系統(tǒng)所面臨的各種安全威脅的重中之重。應對現(xiàn)有的工控系統(tǒng)信息安全做有效規(guī)劃和進一步加固，不光需要關注傳統(tǒng)領域的網絡安全和連接安全，還應著重考慮數(shù)據(jù)安全的問題［9］，如圖1所示。同時，在管理、應急處置以及相關的安全檢查和風險評估上也應完善相關的制度和流程，建立全面有效的立體防護體系。

（1）通信協(xié)議防護

失泄密防護主要對工業(yè)控制系統(tǒng)進行網絡控制、應用層控制及外設控制。對網絡的控制，指禁用TCP、UDP、ICMP等端口或者在信任前提下允許有條件使用。應用層控制則集中在HTTP、FTP、TELNET、SMTP、NETBIOS以及即時通信工具的管理和控制上，如只允許工業(yè)控制系統(tǒng)中的終端訪問指定的Web地址，只允許終端向指定的接收方發(fā)送數(shù)據(jù)。通過網絡控制及應用層控制，可有效防止內部終端訪問網絡時被植入病毒，也可防止內部用戶將資料傳播給非法組織。

（2）終端安全防護

應用系統(tǒng)應有嚴格的賬戶和口令管理。關注設備終端的操作系統(tǒng)補丁及殺毒軟件病毒更新，關鍵工業(yè)控制系統(tǒng)軟件升級，補丁安裝前應進行安全評估和驗證。針對工業(yè)控制系統(tǒng)的操作開啟日志審計功能，對日常操作維護進行記錄和檢查。

圖1 工業(yè)控制體系安全解決方案

（3）數(shù)據(jù)安全防護

數(shù)據(jù)安全主要對數(shù)據(jù)進行加密保護和權限控制，是對工業(yè)控制系統(tǒng)內核心資料的全面防護。經過加密的數(shù)據(jù)，即使被系統(tǒng)內部用戶無意帶走，離開了工業(yè)控制系統(tǒng)的安全域，其數(shù)據(jù)也無法訪問。數(shù)據(jù)安全管理對于防止內部資料泄露具有得天獨厚的優(yōu)勢，也是工業(yè)控制系統(tǒng)防護的重要組成部分，如圖2所示。

圖2 工業(yè)控制系統(tǒng)基線的防護

3 我國工業(yè)控制系統(tǒng)的不足及建議

目前、在新形勢、新背景下，入侵檢測、防火墻、漏洞掃描、主機監(jiān)控與審計等傳統(tǒng)信息安全防護技術還存在手段單一，功能分散、集成化程度不高、兼容性差等問題。工業(yè)控制系統(tǒng)信息安全事關國家安全，為有效應對網絡攻擊的新變化，建議從以下幾方面著手。

（1）強化信息安全威脅分析技術研究

開展針對關鍵基礎設施及其控制系統(tǒng)的新型網絡威脅的跟蹤研究，分析網絡威脅的主要特征和關鍵技術，提高國家對信息安全風險隱患發(fā)現(xiàn)、監(jiān)測預警等能力。

（2）強化關鍵設施及其系統(tǒng)的安全評估

制定關鍵基礎設施及其控制系統(tǒng)安全檢查和風險評估的相關標準，加快培育專業(yè)技術力量。組織進行安全檢查和風險評估，通過檢查和評估，發(fā)現(xiàn)安全防護中的薄弱環(huán)節(jié)，針對性地提出風險消減和改進防范措施。

（3）助力工業(yè)控制系統(tǒng)國產化

信息安全是國家戰(zhàn)略問題，其硬件支撐就是核心芯片。核心芯片及基礎軟件是構建自主可控的工業(yè)控制安全防護體系的基石。目前，我國芯片主要依賴進口，信息安全難以保證，因此芯片的國產化，是我國實現(xiàn)工業(yè)控制系統(tǒng)國產化，保障信息安全的必經之路。

（4）搭建工業(yè)控制系統(tǒng)漏洞檢測等公共技術平臺

建立國家級工業(yè)控制系統(tǒng)數(shù)字仿真測試環(huán)境，通過實驗室測評、現(xiàn)場評估、滲透測試等方式，對工業(yè)控制系統(tǒng)進行網絡脆弱性評估。

4 結束語

面對迅猛發(fā)展的國際環(huán)境，我國工業(yè)控制系統(tǒng)的信息安全形勢日趨嚴重，為保障“互聯(lián)網+”行動計劃的順利實施，加強工業(yè)控制系統(tǒng)與信息安全技術的融合研發(fā)迫在眉睫。特別是在數(shù)據(jù)安全、業(yè)務連續(xù)性、災難恢復、自動化安全策略等方面，需要加大研究投入，形成具有國家自主知識產權的工業(yè)控制系統(tǒng)信息安全標準，完善我國工業(yè)控制系統(tǒng)信息安全標準體系，并通過積極參與工業(yè)控制系統(tǒng)信息安全國際標準的研究工作，不斷提升我國在工業(yè)控制系統(tǒng)信息安全領域的技術及標準地位，切實做到“隱患可發(fā)現(xiàn)、威脅可防范、風險可評估”，促進我國工業(yè)控制系統(tǒng)產業(yè)健康發(fā)展。

［1］ 余磊，楊斌，李遙，等.信息安全戰(zhàn)：企業(yè)信息安全建設之道［M］.北京：東方出版社，2010. Yu Lei，Yang Bin，Li Yao，et al.information security the way of enterprise information security construction［M］. Bei Jing：The Oriental Press，2010.

［2］ 肖建榮.工業(yè)控制系統(tǒng)信息安全［M］.北京：電子工業(yè)出版社，2015. Xiao Jian Rong.Industrial control system of information security［M］.Bei Jing：Publishing House of Electronics Industry，2015.

［3］ 王華忠.工業(yè)控制系統(tǒng)及應用PLC與組態(tài)軟件［M］.北京：機械工業(yè)出版社，2016. Wang Hua Zhong.Industrial control system and application of PLC and configuration software［M］.Bei Jing：China Machine Press，2016.

［4］ 歐陽武.順勢而行切實加強工業(yè)控制系統(tǒng)信息安全管理［J］.信息技術與標準化，2012（3）：4-6. OuyangWu.Conveniently and strengthen themanagement of industrial control system of information security［J］. Information Technology＆Standardization，2012（3）：4-6.

［5］ 于立業(yè)，薛向榮，張云貴，等.工業(yè)控制系統(tǒng)信息安全解決方案［J］.冶金自動化，2013（1）：5-11. Yu Li Ye，Xue Xiang Rong，Zhang Yun Gui，et al.Solutions of industrial control systems security［J］.Metallurgical Industry Automation，2012（3）：4-6.

［6］ 楊建軍，唐一鴻.工業(yè)控制系統(tǒng)信息安全標準化［J］.信息技術與標準化，2012（3）：20-23. Yang Jian Jun，Tang Yi Hong.Information Security Standardization of Industry Control System［J］.Information Technology＆Standardization，2012（3）：20-23.

［7］ 歐陽勁松，丁露.IEC62443工控網絡與系統(tǒng)信息安全標準綜述［J］.信息技術與標準化，2012（3）：24-27. Ouynag Jin Song，Ding Lu.Review on IEC 62443 Industrial Control Network＆System Security Standardization［J］.Information Technology＆Standardization，2012（3）：24-27.

［8］ 王孝良，崔保紅，李思其.關于工控系統(tǒng)信息安全的思考與建議［J］.全國計算機安全學術交流會，2012：36-37. Wang Xiao Liang，Cui Bao Hong，Li Si Qi.Thinking and Suggestions about industrial control system of information security［J］.The national computer security academic communication，2012：36-37.

［9］ 李戰(zhàn)寶，張文貴，潘卓.美國確保工業(yè)控制系統(tǒng)安全的做法及對我們的啟示［J］.信息網絡安全，2012（8）：51-53. Li Zhan Bao，Zhang Wen Gui，Pan Zhuo.American Ways of Ensuring SCADA Security and Its Revelation to Our Country［J］.Netinfo Security，2012（8）：51-53.

《微處理機》2017年度征訂通知

《微處理機》期刊由中國電子科技集團公司主辦，中國電子科技集團公司第四十七研究所主辦，是經國家科委批準的國家級工程技術刊物，并被《中國科技論文統(tǒng)計與分析》、《中國知網》和《中國電子科技文獻數(shù)據(jù)庫》以及Internet網上的重要源數(shù)據(jù)檢索刊物之一。自辦，國內外公開發(fā)行。

主要刊載國內外最新的各種微處理器、微控制器、微機外圍電路、專用電路的發(fā)展動態(tài)、設計、測試、開發(fā)與應用和微機系統(tǒng)與微機軟件的開發(fā)以及微機在各領域中的應用等方面的科技論文。

本刊系雙月刊，大16開本96頁。全年定價：90.00元。

用戶可直接向天津半導體雜志社訂購（代號：8385），有漏訂的用戶可直接在我處訂閱。

通訊地址：沈陽市皇姑區(qū)陵園街20號中國電子科技集團公司第四十七研究所《微處理機》編輯部

郵政編碼：110032

開 戶：中國電子科技集團公司第四十七研究所

賬 號：21001423601050005715

開戶銀行：建行三臺子支行

Analysis and Protection of Security Threats in Industrial Control System

Chen Zhiqiang，Zhang Xiaoyu，Sun Nannan
（The47th Research Institute of China Electronics Technology Group Corporation，Shenyang 110032，China）

With the progress of informatization technology，Industrial Control System（ICS），composed of automatic control component and real-time data acquisition and monitoring control components，has developed rapidly.The components of ICS consist of Supervisory Control and Data Acquisition（SCADA），Distributed Control System（DCS），Programmable Logic Controller（PLC），Remote Terminal（RT），Intelligent Electronic Device（IED）and interface technology for intercomponent communication.However，more serious threats are increased in ICS and even realized to be national security strategy.In this paper，the ICS security threats are deeply analyzed and the enhanced protection method based on baseline security of main control system is proposed.A comprehensive security system，combining with the basic protection and enhanced protection method，is made to absolutely remove internal and external threats for ICS and ensure the development of industry informatization and modernization.

ICS（Industrial Control System）；Security protection；Security threat；Network risk；Network vulnerability；Baseline protection

10.3969／j.issn.1002-2279.2016.06.021

TP393

A

1002-2279（2016）06-0085-04

陳志強（1986-），男，山東省德州市人，助理工程師，學士，主研方向：計算機網絡。

2016-06-05