三、工业控制系统安全风险分析
1、风险分析
工业控制系统是我国重要基础设施自动化生产的基础组件，安全的重要性可见一斑，然而受到核心技术限制、系统结构复杂、缺乏安全与管理标准等诸多因素影响，运行在ICS系统中的数据及操作指令随时可能遭受来自敌对势力、商业间谍、网络犯罪团伙的破坏。根据工信部《关于加强工业控制系统信息安全管理的通知》要求，我国工业控制系统信息安全管理的重点领域包括核设施、钢铁、有色、化工、石油石化、电力、天然气、先进制造、水利枢纽、环境保护、铁路、城市轨道交通、民航、城市供水供气供热以及其他与国计民生紧密相关的领域。这些领域中的工业控制系统一旦遭到破坏，不仅会影响产业经济的持续发展，更会对国家安全造成巨大的损害。
典型工业控制系统入侵事件：
·2007年，攻击者入侵加拿大的一个水利SCADA 控制系统，通过安装恶意软件破坏了用于取水调度的控制计算机；
·2008年，攻击者入侵波兰某城市的地铁系统，通过电视遥控器改变轨道扳道器，导致4 节车厢脱轨；
·2010年，“网络超级武器”Stuxnet 病毒通过针对性的入侵ICS 系统，严重威胁到伊朗布什尔核电站核反应堆的安全运营；
·2011年，黑客通过入侵数据采集与监控系统SCADA，使得美国伊利诺伊州城市供水系统的供水泵遭到破坏。
分析可以发现，造成工业控制系统安全风险加剧的主要原因有两方面：
首先，传统工业控制系统的出现时间要早于互联网，它需要采用专用的硬件、软件和通信协议，设计上以武力安全为主，基本没有考虑互联互通所必须考虑的通信安全问题。
其次，互联网技术的出现，导致工业控制网络中大量采用通用TCP/IP 技术，工业控制系统与各种业务系统的协作成为可能，愈加智能的ICS 网络中各种应用、工控设备以及办公用PC 系统逐渐形成一张复杂的网络拓扑。
仅基于工控协议识别与控制的安全解决方案在两方面因素的合力下，已无法满足新形势下ICS 网络运维要求，确保应用层安全是当前ICS系统稳定运营的基本前提。利用工控设备漏洞、TCP/IP 协议缺陷、工业应用漏洞，攻击者可以针对性的构建更加隐蔽的攻击通道。以Stuxnet 蠕虫为例，其充分利用了伊朗布什尔核电站工控网络中工业PC 与控制系统存在的安全漏洞（LIK 文件处理漏洞、打印机漏洞、RPC 漏洞、WinCC 漏洞、S7 项目文件漏洞以及Autorun.inf 漏洞），为攻击者入侵提供了七条隐蔽的通道。
图4：Stuxnet 蠕虫病毒传播的七条途径
2、脆弱性分析
工业控制系统的安全性和重要性直接影响到国家战略安全实施，但为兼顾工业应用的场景和执行效率，在追求ICS 系统高可用性和业务连续性的过程中，用户往往会被动的降低ICS 系统的安全防御需求。识别ICS 存在的风险与安全隐患，实施相应的安全保障策略是确保ICS 系统稳定运行的有效手段。
·安全策略与管理流程的脆弱性
追求可用性而牺牲安全，这是很多工业控制系统存在普遍现象，缺乏完整有效的安全策略与管理流程是当前我国工业控制系统的最大难题，很多已经实施了安全防御措施的ICS网络仍然会因为管理或操作上的失误，造成ICS 系统出现潜在的安全短板。例如，工业控制系统中的移动存储介质的使用和不严格的访问控制策略。
作为信息安全管理的重要组成部分，制定满足业务场景需求的安全策略，并依据策略制定管理流程，是确保ICS 系统稳定运行的基础。参照NERC CIP、ANSI/ISA-99、IEC 62443等国际标准，目前我国安全策略与管理流程的脆弱性表现为：
·缺乏ICS 的安全策略；
·缺乏ICS 的安全培训与意识培养；
·缺乏安全架构与设计
·缺乏根据安全策略制定的正规、可备案的安全流程；
·缺乏ICS 安全审计机制；
·缺乏针对ICS 的业务连续性与灾难恢复计划；
·缺乏针对ICS 配置变更管理。
※工控平台的脆弱性
随着TCP/IP 等通用协议与开发标准引入工业控制系统，开放、透明的工业控制系统同样为物联网、云计算、移动互联网等新兴技术领域开辟出广阔的想象空间。理论上绝对的物理隔离网络正因为需求和业务模式的改变而不再切实可行。
目前，多数ICS 网络仅通过部署防火墙来保证工业网络与办公网络的相对隔离，各个工业自动化单元之间缺乏可靠的安全通信机制，例如基于DCOM 编程规范的OPC 接口几乎不可能使用传统的IT 防火墙来确保其安全性。数据加密效果不佳，工业控制协议的识别能力不理想，加之缺乏行业标准规范与管理制度，工业控制系统的安全防御能力十分有限。
旨在保护电力生产与交通运输控制系统安全的国际标准NERC CIP 明确要求，实施安全策略确保资产安全是确保控制系统稳定运行的最基本要求。将具有相同功能和安全要求的控制设备划分到同一区域，区域之间执行管道通信，通过控制区域间管道中的通信内容是目前工业控制领域普遍被认可的安全防御措施。
另一种容易忽略的情况是，由于不同行业的应用场景不同，其对于功能区域的划分和安全防御的要求也各不相同，而对于利用针对性通信协议与应用层协议的漏洞来传播的恶意攻击行为更是无能为力。更为严重的是工业控制系统的补丁管理效果始终无法令人满意，考虑到ICS 补丁升级所存在的运行平台与软件版本限制，以及系统可用性与连续性的硬性要求，ICS 系统管理员绝不会轻易安装非ICS 设备制造商指定的升级补丁。与此同时，工业系统补丁动辄半年的补丁发布周期，也让攻击者有较多的时间来利用已存在漏洞发起攻击。著名的工业自动化与控制设备提供商西门子就曾因漏洞公布不及时而饱受质疑。
据金山网络企业安全事业部统计，2010-2011 年间，已确认的针对工业控制系统攻击，从攻击代码传播到样本被检测确认，传统的安全防御机制通常需要2 个月左右的时间，而对于例如Stuxnet 或更隐蔽的Duqu 病毒，其潜伏期更是长达半年之久。无论是针对工业系统的攻击事件，还是更隐蔽且持续威胁的APT 攻击行为，基于黑名单或单一特征比对的信息安全解决方案都无法有效防御，更不要说利用0day 漏洞的攻击行为。而IT 领域广泛采用的主动防御技术，因为其存在较大的误杀风险，并不适用于工业控制系统的高性能作业。目前，唯有基于白名单机制的安全监测技术是被工业控制系统用户普遍任何的解决方案。
※网络的脆弱性
通用以太网技术的引入让ICS 变得智能，也让工业控制网络愈发透明、开放、互联，TCP/IP 存在的威胁同样会在工业网络中重现。此外，工业控制网络的专属控制协议更为攻击者提供了了解工业控制网络内部环境的机会。确保工业网络的安全稳定运营，必须针对ICS 网络环境进行实时异常行为的“发现、检测、清除、恢复、审计”一体化的保障机制。当前ICS 网络主要的脆弱性集中体现为：
·边界安全策略缺失；
·系统安全防御机制缺失；
·管理制度缺失或不完善；
·网络配置规范缺失；
·监控与应急响应制度缺失；
·网络通信保障机制缺失；
·无线网络接入认证机制缺失；
·基础设施可用性保障机制缺失。
3、潜在威胁分析
作为国家关键基础设施自动化控制的基本组成部分，由于其承载着海量的操作数据，并可以通过篡改逻辑控制器控制指令而实现对目标控制系统的攻击，针对工业控制网络的定向攻击目前正成为敌对势力和网络犯罪集团实施渗透攫取利益的重点对象。稍有不慎就有可能对涉及国计民生的重要基础设施造成损害。可导致ICS 系统遭受破坏的威胁主要有：
·控制系统发生拒绝服务；
·向控制系统注入恶意代码；
·对可编程控制器进行非法操作；
·对无线AP 进行渗透；
·工业控制系统存在漏洞；
·错误的策略配置；
·人员及流程控制策略缺失。
联系客服
