智能電網(wǎng)環(huán)境下工控系統(tǒng)信息安全初探

摘 要：文章對(duì)智能電網(wǎng)環(huán)境下，工控系統(tǒng)可能面臨的信息安全威脅進(jìn)行了分析，重點(diǎn)對(duì)嵌入式終端設(shè)備安全性進(jìn)行分析，并指出了相應(yīng)的防護(hù)方法。

關(guān)鍵詞：工控系統(tǒng)；信息安全；嵌入式設(shè)備；智能終端

1 概述

隨著信息化新技術(shù)在電網(wǎng)中廣泛的使用，智能終端的接入數(shù)量和接入方式不斷增多，在給用戶帶來便利的同時(shí)，也引入了大量安全風(fēng)險(xiǎn)和新的挑戰(zhàn)，工控系統(tǒng)面臨的網(wǎng)絡(luò)安全威脅和風(fēng)險(xiǎn)也日益突出，所以開展智能電網(wǎng)環(huán)境下，工控系統(tǒng)信息安全防護(hù)研究迫在眉睫。

2 系統(tǒng)簡(jiǎn)介

用電信息采集智能終端和配電自動(dòng)化終端在系統(tǒng)組成上基本一致，典型的電力配用電智能設(shè)備的組成從結(jié)構(gòu)上可分為三層：物理層、系統(tǒng)層、業(yè)務(wù)層。

終端設(shè)備一般由相關(guān)的物理硬件及其配套的軟件構(gòu)成，軟件部分可分為系統(tǒng)層和業(yè)務(wù)層兩個(gè)層次。配用電智能設(shè)備的安全運(yùn)行必須保障這些主要組成部分的安全性，一旦某一層次出現(xiàn)安全問題，都會(huì)造成整個(gè)設(shè)備運(yùn)行出現(xiàn)異常。

3 安全威脅分析

智能電網(wǎng)重要特點(diǎn)就是要求計(jì)算設(shè)備隨時(shí)聯(lián)網(wǎng)，網(wǎng)絡(luò)化使得攻擊者可以隨時(shí)發(fā)起攻擊；另外一方面，隨著集成電路等工業(yè)技術(shù)的提高，嵌入式系統(tǒng)越來越智能化，這也給攻擊者植入病毒、木馬帶來了便利。近年來，在國內(nèi)外由于嵌入式系統(tǒng)造成的電力系統(tǒng)事故屢有發(fā)生，比如有著名的伊朗Stuxnet震網(wǎng)病毒事件，該病毒專門針對(duì)PLC設(shè)備攻擊，通過修改PLC來改變工業(yè)生產(chǎn)控制系統(tǒng)的行為，一度導(dǎo)致伊朗核電站推遲發(fā)電。

下面分別對(duì)物理層、系統(tǒng)層、業(yè)務(wù)層進(jìn)行說明。

3.1 物理層

物理層提供了系統(tǒng)運(yùn)行的物理環(huán)境，為上層業(yè)務(wù)功能的實(shí)現(xiàn)提供了直接計(jì)算環(huán)境，包括CPU、主板、存儲(chǔ)器、電源等，其一般MCU方式實(shí)現(xiàn)，在體系結(jié)構(gòu)上主要以ARM為主，存儲(chǔ)器一般采用容量較小的FLASH。

（1）外圍接口脆弱性。外圍接口包括人機(jī)接口、通訊接口、控制/采集接口等，人機(jī)接口一般為按鍵、顯示屏、開關(guān)等方式，提供管理人員對(duì)設(shè)備配置和控制功能；通訊接口包括RS232、RS485、載波、光纖、無線等方式，主要用于配用電智能設(shè)備與外界進(jìn)行通訊；控制/采集接口采用電路方式與被控制的電力設(shè)備連接，用于采集電力設(shè)備的工作狀態(tài)以及發(fā)送控制電信號(hào)。應(yīng)對(duì)方法，根據(jù)具體工作環(huán)境加強(qiáng)物理保護(hù)裝置外殼、物理鎖等物理保護(hù)裝置。

（2）外設(shè)接入脆弱性。終端設(shè)備安裝位置多在用戶側(cè)或外人很容易接觸的地方，如果沒有對(duì)U盤等存儲(chǔ)介質(zhì)的使用進(jìn)行有效管理，會(huì)導(dǎo)致病毒傳播問題；如果系統(tǒng)的管理維護(hù)中沒有到達(dá)一定安全基線的筆記本電腦接入到系統(tǒng)，也有可能會(huì)對(duì)系統(tǒng)的安全造成很大的威脅。應(yīng)對(duì)方法，對(duì)外設(shè)進(jìn)行嚴(yán)格的控制。通過技術(shù)及管理手段實(shí)現(xiàn)移動(dòng)存儲(chǔ)介質(zhì)、軟件黑白名單、網(wǎng)絡(luò)準(zhǔn)入控制、安全配置管理等。

3.2 系統(tǒng)層

電力配用電智能設(shè)備一般采用專用嵌入式操作系統(tǒng)，目前采用的嵌入式操作系統(tǒng)包括嵌入式LINUX、VXWORKS等，這些系統(tǒng)一般經(jīng)過裁剪，能夠與底層專用硬件對(duì)接，并去掉了不需要的功能。但為了方便設(shè)備管理操作，開啟了一些自帶的系統(tǒng)服務(wù)，一般包括Telnet、FTP、HTTP等服務(wù)。在系統(tǒng)層主要面臨以下風(fēng)險(xiǎn)。

（1）操作系統(tǒng)脆弱性。終端設(shè)備操作系統(tǒng)多基于vxworks、linux等，某些操作系統(tǒng)版本存在已知的安全漏洞。如Vxworks WDB漏洞，如果編譯選項(xiàng)中包含了INCLUDE_WDB和ICLUDE_DEBUG，則會(huì)默認(rèn)打開WDB調(diào)試功能，提供讀寫內(nèi)存和執(zhí)行函數(shù)的功能。允許攻擊者通過WDB調(diào)試端口（UDP17185）讀寫內(nèi)存、執(zhí)行函數(shù)或使系統(tǒng)重啟。但由于考慮到系統(tǒng)兼容性問題、系統(tǒng)重啟等風(fēng)險(xiǎn)，所以設(shè)備安裝后系統(tǒng)不打補(bǔ)丁、帶病運(yùn)行的情況是很常見的。應(yīng)對(duì)方法是在保證系統(tǒng)安全的前提下及時(shí)更新操作系統(tǒng)補(bǔ)丁。

（2）病毒防護(hù)脆弱性。終端設(shè)備的操作系統(tǒng)基于存儲(chǔ)容量、性能和兼容性考慮，通常不安裝殺毒軟件，有感染病毒與惡意代碼的風(fēng)險(xiǎn)。但隨著現(xiàn)代工業(yè)與互聯(lián)網(wǎng)融合加深，工控系統(tǒng)由傳統(tǒng)的相對(duì)封閉轉(zhuǎn)向開放，即使有些系統(tǒng)仍相對(duì)孤立封閉，但是通過U盤擺渡等方式，仍然存在遭受病毒、木馬攻擊的可能性。應(yīng)對(duì)方法，在接入的主機(jī)上安裝防病毒軟件并定期更新補(bǔ)丁等。

（3）FTP攻擊。FTP攻擊分為弱口令漏洞攻擊和FTP服務(wù)器的溢出。FTP弱口令指開啟了FTP的匿名登錄功能，或系統(tǒng)口令的長度太短或者復(fù)雜度不夠。FTP弱口令漏洞可能造成包括系統(tǒng)配置，證書等敏感信息泄露。使用時(shí)應(yīng)對(duì)時(shí)應(yīng)禁用FTP匿名登錄，并且設(shè)置復(fù)雜密碼。FTP服務(wù)器的溢出漏洞指當(dāng)用戶成功登錄系統(tǒng)，F(xiàn)TP服務(wù)器處理命令時(shí)缺少正確的邊界檢查，攻擊者可以構(gòu)造特殊的請(qǐng)求數(shù)據(jù)，觸發(fā)緩沖區(qū)溢出，以FTP進(jìn)程權(quán)限在系統(tǒng)上執(zhí)行任意代碼。應(yīng)對(duì)時(shí)應(yīng)跟蹤漏洞庫信息，及時(shí)更新漏洞補(bǔ)丁。

3.3 業(yè)務(wù)層

業(yè)務(wù)層實(shí)現(xiàn)了具體的業(yè)務(wù)功能，主要包括：業(yè)務(wù)系統(tǒng)：提供了具體的業(yè)務(wù)處理功能，能夠通過專用標(biāo)準(zhǔn)規(guī)約與主站進(jìn)行通訊，能夠采集電力設(shè)備運(yùn)行狀態(tài)和進(jìn)行控制指令的執(zhí)行；管理系統(tǒng)：提供了配置管理功能，包括命令行、WEB、遠(yuǎn)程等多種管理方式；數(shù)據(jù)存儲(chǔ)：包括小型文件數(shù)據(jù)庫、配置文件、數(shù)據(jù)文件等內(nèi)容。

（1）SQL注入。SQL注入是一種最常見的Web漏洞，實(shí)現(xiàn)方式就是用戶在輸入的字符串中增加SQL命令，程序沒有很好的對(duì)用戶輸入的合法性進(jìn)行判斷或者處理不當(dāng)，那么這些注入進(jìn)去的SQL命令就會(huì)被數(shù)據(jù)庫當(dāng)作正常的SQL命令運(yùn)行，而不是按照設(shè)計(jì)者本意去執(zhí)行SQL語句。通過構(gòu)造巧妙的SQL語句，用戶可以獲得敏感數(shù)據(jù)或者控制整個(gè)服務(wù)器。

（2）跨站攻擊?？缯竟糁傅氖钱?dāng)Web程序?qū)τ脩糨斎脒^濾不足時(shí)，攻擊者通過在輸入中插入HTML和JavaScript腳本，可以在某個(gè)頁面里插入惡意HTML代碼，其他合法用戶通過瀏覽器訪問該頁面時(shí)，注入的腳本將被解釋執(zhí)行。相對(duì)于其他的攻擊，跨站漏洞的目標(biāo)是應(yīng)用程序的用戶，而不是直接針對(duì)服務(wù)器。

（3）代碼注入。代碼注入同樣是由于程序缺乏對(duì)用戶輸入的過濾造成的。攻擊者在發(fā)送給應(yīng)用程序的數(shù)據(jù)中注入代碼，導(dǎo)致了代碼執(zhí)行。以上幾種注入攻擊比較難以發(fā)現(xiàn)，它們表面看起來跟正常的Web頁面訪問沒什么區(qū)別，所以可以順利通過防火墻的檢查。但通過以下方法可以有效防御：不要信任用戶的輸入，對(duì)用戶的輸入進(jìn)行校驗(yàn)，轉(zhuǎn)義特殊字符；運(yùn)行數(shù)據(jù)庫和Web服務(wù)時(shí)應(yīng)使用較低權(quán)限用戶；敏感數(shù)據(jù)不要使用明文存儲(chǔ)；對(duì)原始錯(cuò)誤信息進(jìn)行封裝；采取WAF防火墻。

（4）越權(quán)訪問是指在遠(yuǎn)程維護(hù)與控制電力終端設(shè)備時(shí)，需通過管理員賬戶驗(yàn)證登錄WEB客戶端。WEB客戶端中每一項(xiàng)控制命令、參數(shù)設(shè)置都對(duì)應(yīng)一個(gè)頁面鏈接。在操作過程中可能出現(xiàn)通過輸入頁面地址直接實(shí)現(xiàn)相應(yīng)的控制命令或參數(shù)設(shè)置，從而繞過管理員賬戶驗(yàn)證，獲得管理員權(quán)限，并直接對(duì)電力終端設(shè)備進(jìn)行操作控制、參數(shù)篡改、數(shù)據(jù)竊取等攻擊。理清程序訪問控制邏輯，判斷訪問頁面的用戶是否具有適當(dāng)?shù)臋?quán)限。

4 結(jié)束語

近年來，隨著電網(wǎng)信息化建設(shè)發(fā)展，工控系統(tǒng)安全防護(hù)體系逐步完善，按照“安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向認(rèn)證”的原則，對(duì)電力生產(chǎn)控制系統(tǒng)的邊界采取了有效的安全防護(hù)措施及縱深防御策略。但是，隨著工業(yè)控制系統(tǒng)和設(shè)備中新的漏洞、后門等脆弱性信息的發(fā)現(xiàn)和披露，電網(wǎng)工業(yè)控制系統(tǒng)面臨如APT等更加隱蔽的攻擊風(fēng)險(xiǎn)。確保工控系統(tǒng)信息安全對(duì)提高企業(yè)信息安全整體水平、保證用戶的用電安全具有非常重要的意義。

作者簡(jiǎn)介：張偉（1977，09-），男，漢族，河南省鄭州市中原區(qū)，本科，工程師，國網(wǎng)河南省電力公司電力科學(xué)研究院信息安全技術(shù)督查室專責(zé)，從事信息安全研究工作。