陳志強(qiáng)，張曉宇，孫楠楠

（中國電子科技集團(tuán)公司第四十七研究所，沈陽110032）

工業(yè)控制系統(tǒng)安全威脅分析與防護(hù)

陳志強(qiáng)，張曉宇，孫楠楠

（中國電子科技集團(tuán)公司第四十七研究所，沈陽110032）

隨著信息化技術(shù)的推進(jìn)，工業(yè)控制系統(tǒng)獲得了前所未有的迅猛發(fā)展，這些系統(tǒng)主要由各種自動化控制組件和實時數(shù)據(jù)采集及監(jiān)測的過程控制組件共同構(gòu)成。其組件包括數(shù)據(jù)采集與監(jiān)控系統(tǒng)、分布式控制系統(tǒng)、可編程邏輯控制器、遠(yuǎn)程終端、智能電子設(shè)備，以及確保各組件通信的接口技術(shù)。隨著工業(yè)控制系統(tǒng)的發(fā)展，工業(yè)控制系統(tǒng)所面臨的安全威脅也越來越嚴(yán)峻，甚至提升到“國家安全戰(zhàn)略”的高度。在深入分析工業(yè)控制系統(tǒng)安全威脅的基礎(chǔ)上，提出了以基礎(chǔ)防護(hù)為根本，基于主控系統(tǒng)安全基線的增強(qiáng)防護(hù)方法。通過基礎(chǔ)與增強(qiáng)防護(hù)相結(jié)合，為工業(yè)控制系統(tǒng)建立全面、系統(tǒng)的安全體系，更好地解除工業(yè)控制系統(tǒng)面臨的內(nèi)外部安全威脅，從而為推動工業(yè)信息化和現(xiàn)代化的穩(wěn)定發(fā)展提供保障。

工業(yè)控制系統(tǒng)；安全防護(hù)；安全威脅；網(wǎng)絡(luò)風(fēng)險；網(wǎng)絡(luò)漏洞；基線防護(hù)

1 引 言

隨著工業(yè)化與信息化的不斷交叉與融合，網(wǎng)絡(luò)技術(shù)與通訊技術(shù)等信息技術(shù)越來越多地應(yīng)用于工業(yè)控制系統(tǒng)領(lǐng)域中。目前，工業(yè)控制系統(tǒng)已廣泛應(yīng)用于IC生產(chǎn)、電力、水利、先進(jìn)制造、交通運輸、航空航天等工業(yè)領(lǐng)域，工業(yè)控制系統(tǒng)已經(jīng)成為國家關(guān)鍵基礎(chǔ)設(shè)施的重要組成部分，工業(yè)控制系統(tǒng)的安全關(guān)系到國家的戰(zhàn)略安全［1-2］。與此同時，由于工業(yè)控制系統(tǒng)廣泛使用通用的軟硬件和網(wǎng)絡(luò)設(shè)施，以及與企業(yè)管理信息系統(tǒng)的高度集成，致使工業(yè)控制系統(tǒng)越來越開放，并且與企業(yè)內(nèi)網(wǎng)，甚至是與互聯(lián)網(wǎng)產(chǎn)生了數(shù)據(jù)交換［3］。也就是說以前工業(yè)控制系統(tǒng)在物理環(huán)境上的相對封閉性以及工業(yè)控制系統(tǒng)軟、硬件的專用性將會被打破，這樣就給黑客、恐怖組織、商業(yè)間諜、內(nèi)部不法人員、外部非法入侵者等創(chuàng)造了可乘之機(jī)。

2 工業(yè)控制系統(tǒng)概述

2.1 工業(yè)控制系統(tǒng)網(wǎng)絡(luò)化所帶來的安全問題

工業(yè)控制系統(tǒng)在最初發(fā)展的時候是完全獨立的，與企業(yè)各管理系統(tǒng)是隔離的。然而隨著企業(yè)對管理與控制一體化的需求不斷提高，工業(yè)控制系統(tǒng)與傳統(tǒng)管理系統(tǒng)逐漸實現(xiàn)了網(wǎng)絡(luò)化集成，管理系統(tǒng)與工業(yè)控制系統(tǒng)實現(xiàn)了數(shù)據(jù)交換，這樣導(dǎo)致工業(yè)控制系統(tǒng)不再是一個獨立運行的系統(tǒng)，而要與眾多的管理系統(tǒng)甚至與互聯(lián)網(wǎng)進(jìn)行互聯(lián)、互通［4］。此外，工業(yè)控制系統(tǒng)的開放性越來越強(qiáng)，工業(yè)控制系統(tǒng)中大量使用了通用的PC服務(wù)器、PC終端、通用操作系統(tǒng)和數(shù)據(jù)庫，網(wǎng)絡(luò)化浪潮又將諸如嵌入式技術(shù)、無線技術(shù)等新興技術(shù)融合進(jìn)來，從而又拓展了工業(yè)控制系統(tǒng)的發(fā)展空間，帶來新發(fā)展機(jī)遇的同時，也更容易遭受病毒、木馬以及黑客的攻擊。

2.2 案例分析

2010年，以美國為首的西方國家通過網(wǎng)絡(luò)對伊朗核設(shè)施發(fā)動了攻擊，伊朗濃縮鈾工廠離心機(jī)報廢率占全國的四分之一，致使伊朗的核發(fā)展受到了前所未有的嚴(yán)重阻礙。而致使離心機(jī)報廢的原因就是著名的“震網(wǎng)”病毒武器，自此之后全球工業(yè)大國紛紛將工業(yè)安全提升至國家戰(zhàn)略級的高度［5］。

回顧此次病毒爆發(fā)的原因，首先是病毒由被感染的U盤帶入伊朗，然后當(dāng)U盤在計算機(jī)上使用的時候潛入計算機(jī)，再找到西門子的一個控制軟件，并通過其數(shù)據(jù)庫進(jìn)入到局域網(wǎng)的其它節(jié)點。而西門子公司的這個控制軟件是用來控制伺服系統(tǒng)的馬達(dá)、電路開關(guān)和氣體液體閥門，被廣泛應(yīng)用于各行各業(yè)［6］。該病毒找到控制軟件后，截獲控制軟件給可編程邏輯控制設(shè)備發(fā)指令，找出并識別應(yīng)用在離心機(jī)上的軟件，而后發(fā)出虛假指令，致使離心機(jī)轉(zhuǎn)速不正常造成設(shè)備損壞。

2.3 工業(yè)控制系統(tǒng)面臨的安全威脅

信息化的迅猛發(fā)展，在為社會帶來巨大進(jìn)步的同時，也使得工業(yè)控制系統(tǒng)面臨的威脅與日俱增，面對層出不窮的功擊，針對各式各樣的新式病毒，我們所面臨的安全威脅如下［5］：

（1）管理制度缺漏

工控系統(tǒng)缺乏完整有效的安全策略與管理流程，缺乏針對性的管理制度，相關(guān)部門和崗位職責(zé)不明確，缺少應(yīng)急響應(yīng)機(jī)制，安全風(fēng)險評估和檢查從未開展［7］。這些都成為管理上的安全隱患。

（2）系統(tǒng)漏洞

大多數(shù)終端設(shè)備、工作站及HMI都是基于Windows操作系統(tǒng)平臺的，大量存在各種系統(tǒng)安全漏洞。為避免殺毒軟件與功能軟件在使用上產(chǎn)生沖突，需要經(jīng)常更新病毒庫，殺毒軟件不適合工業(yè)控制環(huán)境。工控應(yīng)用軟件的多樣性很難形成統(tǒng)一的防護(hù)規(guī)范和標(biāo)準(zhǔn)，從而引發(fā)大量的安全問題。

（3）存儲介質(zhì)漏洞

存儲介質(zhì)作為當(dāng)前信息傳播、交流的重要方式，在為用戶提供便捷的同時也給內(nèi)部系統(tǒng)的安全帶來威脅。一方面，可能由于用戶個人安全意識淡薄，無意中將企業(yè)的涉密信息通過移動存儲介質(zhì)傳播出去；另一方面，也有可能是用戶所使用的設(shè)備感染病毒，信息被非法竊取或破壞［8］。如木馬，借助U盤在企業(yè)內(nèi)外網(wǎng)之間傳播，并在感染病毒的終端中竊取涉密信息，并通過網(wǎng)絡(luò)將信息傳播出去。

（4）網(wǎng)絡(luò)架構(gòu)漏洞

無隔離的網(wǎng)絡(luò)子系統(tǒng)架構(gòu)，在工業(yè)生產(chǎn)現(xiàn)場，大多數(shù)工業(yè)網(wǎng)絡(luò)子系統(tǒng)之間沒有進(jìn)行有效的安全隔離，從而極易造成安全故障通過網(wǎng)絡(luò)迅速蔓延，形成網(wǎng)絡(luò)風(fēng)暴。

2.4 工業(yè)控制系統(tǒng)信息安全防護(hù)體系的規(guī)劃

建立系統(tǒng)、健全的安全防護(hù)體系，是解除當(dāng)前工業(yè)控制系統(tǒng)所面臨的各種安全威脅的重中之重。應(yīng)對現(xiàn)有的工控系統(tǒng)信息安全做有效規(guī)劃和進(jìn)一步加固，不光需要關(guān)注傳統(tǒng)領(lǐng)域的網(wǎng)絡(luò)安全和連接安全，還應(yīng)著重考慮數(shù)據(jù)安全的問題［9］，如圖1所示。同時，在管理、應(yīng)急處置以及相關(guān)的安全檢查和風(fēng)險評估上也應(yīng)完善相關(guān)的制度和流程，建立全面有效的立體防護(hù)體系。

（1）通信協(xié)議防護(hù)

失泄密防護(hù)主要對工業(yè)控制系統(tǒng)進(jìn)行網(wǎng)絡(luò)控制、應(yīng)用層控制及外設(shè)控制。對網(wǎng)絡(luò)的控制，指禁用TCP、UDP、ICMP等端口或者在信任前提下允許有條件使用。應(yīng)用層控制則集中在HTTP、FTP、TELNET、SMTP、NETBIOS以及即時通信工具的管理和控制上，如只允許工業(yè)控制系統(tǒng)中的終端訪問指定的Web地址，只允許終端向指定的接收方發(fā)送數(shù)據(jù)。通過網(wǎng)絡(luò)控制及應(yīng)用層控制，可有效防止內(nèi)部終端訪問網(wǎng)絡(luò)時被植入病毒，也可防止內(nèi)部用戶將資料傳播給非法組織。

（2）終端安全防護(hù)

應(yīng)用系統(tǒng)應(yīng)有嚴(yán)格的賬戶和口令管理。關(guān)注設(shè)備終端的操作系統(tǒng)補(bǔ)丁及殺毒軟件病毒更新，關(guān)鍵工業(yè)控制系統(tǒng)軟件升級，補(bǔ)丁安裝前應(yīng)進(jìn)行安全評估和驗證。針對工業(yè)控制系統(tǒng)的操作開啟日志審計功能，對日常操作維護(hù)進(jìn)行記錄和檢查。

圖1 工業(yè)控制體系安全解決方案

（3）數(shù)據(jù)安全防護(hù)

數(shù)據(jù)安全主要對數(shù)據(jù)進(jìn)行加密保護(hù)和權(quán)限控制，是對工業(yè)控制系統(tǒng)內(nèi)核心資料的全面防護(hù)。經(jīng)過加密的數(shù)據(jù)，即使被系統(tǒng)內(nèi)部用戶無意帶走，離開了工業(yè)控制系統(tǒng)的安全域，其數(shù)據(jù)也無法訪問。數(shù)據(jù)安全管理對于防止內(nèi)部資料泄露具有得天獨厚的優(yōu)勢，也是工業(yè)控制系統(tǒng)防護(hù)的重要組成部分，如圖2所示。

圖2 工業(yè)控制系統(tǒng)基線的防護(hù)

3 我國工業(yè)控制系統(tǒng)的不足及建議

目前、在新形勢、新背景下，入侵檢測、防火墻、漏洞掃描、主機(jī)監(jiān)控與審計等傳統(tǒng)信息安全防護(hù)技術(shù)還存在手段單一，功能分散、集成化程度不高、兼容性差等問題。工業(yè)控制系統(tǒng)信息安全事關(guān)國家安全，為有效應(yīng)對網(wǎng)絡(luò)攻擊的新變化，建議從以下幾方面著手。

（1）強(qiáng)化信息安全威脅分析技術(shù)研究

開展針對關(guān)鍵基礎(chǔ)設(shè)施及其控制系統(tǒng)的新型網(wǎng)絡(luò)威脅的跟蹤研究，分析網(wǎng)絡(luò)威脅的主要特征和關(guān)鍵技術(shù)，提高國家對信息安全風(fēng)險隱患發(fā)現(xiàn)、監(jiān)測預(yù)警等能力。

（2）強(qiáng)化關(guān)鍵設(shè)施及其系統(tǒng)的安全評估

制定關(guān)鍵基礎(chǔ)設(shè)施及其控制系統(tǒng)安全檢查和風(fēng)險評估的相關(guān)標(biāo)準(zhǔn)，加快培育專業(yè)技術(shù)力量。組織進(jìn)行安全檢查和風(fēng)險評估，通過檢查和評估，發(fā)現(xiàn)安全防護(hù)中的薄弱環(huán)節(jié)，針對性地提出風(fēng)險消減和改進(jìn)防范措施。

（3）助力工業(yè)控制系統(tǒng)國產(chǎn)化

信息安全是國家戰(zhàn)略問題，其硬件支撐就是核心芯片。核心芯片及基礎(chǔ)軟件是構(gòu)建自主可控的工業(yè)控制安全防護(hù)體系的基石。目前，我國芯片主要依賴進(jìn)口，信息安全難以保證，因此芯片的國產(chǎn)化，是我國實現(xiàn)工業(yè)控制系統(tǒng)國產(chǎn)化，保障信息安全的必經(jīng)之路。

（4）搭建工業(yè)控制系統(tǒng)漏洞檢測等公共技術(shù)平臺

建立國家級工業(yè)控制系統(tǒng)數(shù)字仿真測試環(huán)境，通過實驗室測評、現(xiàn)場評估、滲透測試等方式，對工業(yè)控制系統(tǒng)進(jìn)行網(wǎng)絡(luò)脆弱性評估。

4 結(jié)束語

面對迅猛發(fā)展的國際環(huán)境，我國工業(yè)控制系統(tǒng)的信息安全形勢日趨嚴(yán)重，為保障“互聯(lián)網(wǎng)+”行動計劃的順利實施，加強(qiáng)工業(yè)控制系統(tǒng)與信息安全技術(shù)的融合研發(fā)迫在眉睫。特別是在數(shù)據(jù)安全、業(yè)務(wù)連續(xù)性、災(zāi)難恢復(fù)、自動化安全策略等方面，需要加大研究投入，形成具有國家自主知識產(chǎn)權(quán)的工業(yè)控制系統(tǒng)信息安全標(biāo)準(zhǔn)，完善我國工業(yè)控制系統(tǒng)信息安全標(biāo)準(zhǔn)體系，并通過積極參與工業(yè)控制系統(tǒng)信息安全國際標(biāo)準(zhǔn)的研究工作，不斷提升我國在工業(yè)控制系統(tǒng)信息安全領(lǐng)域的技術(shù)及標(biāo)準(zhǔn)地位，切實做到“隱患可發(fā)現(xiàn)、威脅可防范、風(fēng)險可評估”，促進(jìn)我國工業(yè)控制系統(tǒng)產(chǎn)業(yè)健康發(fā)展。

［1］ 余磊，楊斌，李遙，等.信息安全戰(zhàn)：企業(yè)信息安全建設(shè)之道［M］.北京：東方出版社，2010. Yu Lei，Yang Bin，Li Yao，et al.information security the way of enterprise information security construction［M］. Bei Jing：The Oriental Press，2010.

［2］ 肖建榮.工業(yè)控制系統(tǒng)信息安全［M］.北京：電子工業(yè)出版社，2015. Xiao Jian Rong.Industrial control system of information security［M］.Bei Jing：Publishing House of Electronics Industry，2015.

［3］ 王華忠.工業(yè)控制系統(tǒng)及應(yīng)用PLC與組態(tài)軟件［M］.北京：機(jī)械工業(yè)出版社，2016. Wang Hua Zhong.Industrial control system and application of PLC and configuration software［M］.Bei Jing：China Machine Press，2016.

［4］ 歐陽武.順勢而行切實加強(qiáng)工業(yè)控制系統(tǒng)信息安全管理［J］.信息技術(shù)與標(biāo)準(zhǔn)化，2012（3）：4-6. OuyangWu.Conveniently and strengthen themanagement of industrial control system of information security［J］. Information Technology＆Standardization，2012（3）：4-6.

［5］ 于立業(yè)，薛向榮，張云貴，等.工業(yè)控制系統(tǒng)信息安全解決方案［J］.冶金自動化，2013（1）：5-11. Yu Li Ye，Xue Xiang Rong，Zhang Yun Gui，et al.Solutions of industrial control systems security［J］.Metallurgical Industry Automation，2012（3）：4-6.

［6］ 楊建軍，唐一鴻.工業(yè)控制系統(tǒng)信息安全標(biāo)準(zhǔn)化［J］.信息技術(shù)與標(biāo)準(zhǔn)化，2012（3）：20-23. Yang Jian Jun，Tang Yi Hong.Information Security Standardization of Industry Control System［J］.Information Technology＆Standardization，2012（3）：20-23.

［7］ 歐陽勁松，丁露.IEC62443工控網(wǎng)絡(luò)與系統(tǒng)信息安全標(biāo)準(zhǔn)綜述［J］.信息技術(shù)與標(biāo)準(zhǔn)化，2012（3）：24-27. Ouynag Jin Song，Ding Lu.Review on IEC 62443 Industrial Control Network＆System Security Standardization［J］.Information Technology＆Standardization，2012（3）：24-27.

［8］ 王孝良，崔保紅，李思其.關(guān)于工控系統(tǒng)信息安全的思考與建議［J］.全國計算機(jī)安全學(xué)術(shù)交流會，2012：36-37. Wang Xiao Liang，Cui Bao Hong，Li Si Qi.Thinking and Suggestions about industrial control system of information security［J］.The national computer security academic communication，2012：36-37.

［9］ 李戰(zhàn)寶，張文貴，潘卓.美國確保工業(yè)控制系統(tǒng)安全的做法及對我們的啟示［J］.信息網(wǎng)絡(luò)安全，2012（8）：51-53. Li Zhan Bao，Zhang Wen Gui，Pan Zhuo.American Ways of Ensuring SCADA Security and Its Revelation to Our Country［J］.Netinfo Security，2012（8）：51-53.

《微處理機(jī)》2017年度征訂通知

《微處理機(jī)》期刊由中國電子科技集團(tuán)公司主辦，中國電子科技集團(tuán)公司第四十七研究所主辦，是經(jīng)國家科委批準(zhǔn)的國家級工程技術(shù)刊物，并被《中國科技論文統(tǒng)計與分析》、《中國知網(wǎng)》和《中國電子科技文獻(xiàn)數(shù)據(jù)庫》以及Internet網(wǎng)上的重要源數(shù)據(jù)檢索刊物之一。自辦，國內(nèi)外公開發(fā)行。

主要刊載國內(nèi)外最新的各種微處理器、微控制器、微機(jī)外圍電路、專用電路的發(fā)展動態(tài)、設(shè)計、測試、開發(fā)與應(yīng)用和微機(jī)系統(tǒng)與微機(jī)軟件的開發(fā)以及微機(jī)在各領(lǐng)域中的應(yīng)用等方面的科技論文。

本刊系雙月刊，大16開本96頁。全年定價：90.00元。

用戶可直接向天津半導(dǎo)體雜志社訂購（代號：8385），有漏訂的用戶可直接在我處訂閱。

通訊地址：沈陽市皇姑區(qū)陵園街20號中國電子科技集團(tuán)公司第四十七研究所《微處理機(jī)》編輯部

郵政編碼：110032

開 戶：中國電子科技集團(tuán)公司第四十七研究所

賬 號：21001423601050005715

開戶銀行：建行三臺子支行

Analysis and Protection of Security Threats in Industrial Control System

Chen Zhiqiang，Zhang Xiaoyu，Sun Nannan
（The47th Research Institute of China Electronics Technology Group Corporation，Shenyang 110032，China）

With the progress of informatization technology，Industrial Control System（ICS），composed of automatic control component and real-time data acquisition and monitoring control components，has developed rapidly.The components of ICS consist of Supervisory Control and Data Acquisition（SCADA），Distributed Control System（DCS），Programmable Logic Controller（PLC），Remote Terminal（RT），Intelligent Electronic Device（IED）and interface technology for intercomponent communication.However，more serious threats are increased in ICS and even realized to be national security strategy.In this paper，the ICS security threats are deeply analyzed and the enhanced protection method based on baseline security of main control system is proposed.A comprehensive security system，combining with the basic protection and enhanced protection method，is made to absolutely remove internal and external threats for ICS and ensure the development of industry informatization and modernization.

ICS（Industrial Control System）；Security protection；Security threat；Network risk；Network vulnerability；Baseline protection

10.3969／j.issn.1002-2279.2016.06.021

TP393

A

1002-2279（2016）06-0085-04

陳志強(qiáng)（1986-），男，山東省德州市人，助理工程師，學(xué)士，主研方向：計算機(jī)網(wǎng)絡(luò)。

2016-06-05