工業控制系統安全威脅分析與防護

陳志強，張曉宇，孫楠楠

（中國電子科技集團公司第四十七研究所，沈陽110032）

工業控制系統安全威脅分析與防護

陳志強，張曉宇，孫楠楠

（中國電子科技集團公司第四十七研究所，沈陽110032）

隨著信息化技術的推進，工業控制系統獲得了前所未有的迅猛發展，這些系統主要由各種自動化控制組件和實時數據采集及監測的過程控制組件共同構成。其組件包括數據采集與監控系統、分布式控制系統、可編程邏輯控制器、遠程終端、智能電子設備，以及確保各組件通信的接口技術。隨著工業控制系統的發展，工業控制系統所面臨的安全威脅也越來越嚴峻，甚至提升到“國家安全戰略”的高度。在深入分析工業控制系統安全威脅的基礎上，提出了以基礎防護為根本，基于主控系統安全基線的增強防護方法。通過基礎與增強防護相結合，為工業控制系統建立全面、系統的安全體系，更好地解除工業控制系統面臨的內外部安全威脅，從而為推動工業信息化和現代化的穩定發展提供保障。

工業控制系統；安全防護；安全威脅；網絡風險；網絡漏洞；基線防護

1 引 言

隨著工業化與信息化的不斷交叉與融合，網絡技術與通訊技術等信息技術越來越多地應用于工業控制系統領域中。目前，工業控制系統已廣泛應用于IC生產、電力、水利、先進制造、交通運輸、航空航天等工業領域，工業控制系統已經成為國家關鍵基礎設施的重要組成部分，工業控制系統的安全關系到國家的戰略安全［1-2］。與此同時，由于工業控制系統廣泛使用通用的軟硬件和網絡設施，以及與企業管理信息系統的高度集成，致使工業控制系統越來越開放，并且與企業內網，甚至是與互聯網產生了數據交換［3］。也就是說以前工業控制系統在物理環境上的相對封閉性以及工業控制系統軟、硬件的專用性將會被打破，這樣就給黑客、恐怖組織、商業間諜、內部不法人員、外部非法入侵者等創造了可乘之機。

2 工業控制系統概述

2.1 工業控制系統網絡化所帶來的安全問題

工業控制系統在最初發展的時候是完全獨立的，與企業各管理系統是隔離的。然而隨著企業對管理與控制一體化的需求不斷提高，工業控制系統與傳統管理系統逐漸實現了網絡化集成，管理系統與工業控制系統實現了數據交換，這樣導致工業控制系統不再是一個獨立運行的系統，而要與眾多的管理系統甚至與互聯網進行互聯、互通［4］。此外，工業控制系統的開放性越來越強，工業控制系統中大量使用了通用的PC服務器、PC終端、通用操作系統和數據庫，網絡化浪潮又將諸如嵌入式技術、無線技術等新興技術融合進來，從而又拓展了工業控制系統的發展空間，帶來新發展機遇的同時，也更容易遭受病毒、木馬以及黑客的攻擊。

2.2 案例分析

2010年，以美國為首的西方國家通過網絡對伊朗核設施發動了攻擊，伊朗濃縮鈾工廠離心機報廢率占全國的四分之一，致使伊朗的核發展受到了前所未有的嚴重阻礙。而致使離心機報廢的原因就是著名的“震網”病毒武器，自此之后全球工業大國紛紛將工業安全提升至國家戰略級的高度［5］。

回顧此次病毒爆發的原因，首先是病毒由被感染的U盤帶入伊朗，然后當U盤在計算機上使用的時候潛入計算機，再找到西門子的一個控制軟件，并通過其數據庫進入到局域網的其它節點。而西門子公司的這個控制軟件是用來控制伺服系統的馬達、電路開關和氣體液體閥門，被廣泛應用于各行各業［6］。該病毒找到控制軟件后，截獲控制軟件給可編程邏輯控制設備發指令，找出并識別應用在離心機上的軟件，而后發出虛假指令，致使離心機轉速不正常造成設備損壞。

2.3 工業控制系統面臨的安全威脅

信息化的迅猛發展，在為社會帶來巨大進步的同時，也使得工業控制系統面臨的威脅與日俱增，面對層出不窮的功擊，針對各式各樣的新式病毒，我們所面臨的安全威脅如下［5］：

（1）管理制度缺漏

工控系統缺乏完整有效的安全策略與管理流程，缺乏針對性的管理制度，相關部門和崗位職責不明確，缺少應急響應機制，安全風險評估和檢查從未開展［7］。這些都成為管理上的安全隱患。

（2）系統漏洞

大多數終端設備、工作站及HMI都是基于Windows操作系統平臺的，大量存在各種系統安全漏洞。為避免殺毒軟件與功能軟件在使用上產生沖突，需要經常更新病毒庫，殺毒軟件不適合工業控制環境。工控應用軟件的多樣性很難形成統一的防護規范和標準，從而引發大量的安全問題。

（3）存儲介質漏洞

存儲介質作為當前信息傳播、交流的重要方式，在為用戶提供便捷的同時也給內部系統的安全帶來威脅。一方面，可能由于用戶個人安全意識淡薄，無意中將企業的涉密信息通過移動存儲介質傳播出去；另一方面，也有可能是用戶所使用的設備感染病毒，信息被非法竊取或破壞［8］。如木馬，借助U盤在企業內外網之間傳播，并在感染病毒的終端中竊取涉密信息，并通過網絡將信息傳播出去。

（4）網絡架構漏洞

無隔離的網絡子系統架構，在工業生產現場，大多數工業網絡子系統之間沒有進行有效的安全隔離，從而極易造成安全故障通過網絡迅速蔓延，形成網絡風暴。

2.4 工業控制系統信息安全防護體系的規劃

建立系統、健全的安全防護體系，是解除當前工業控制系統所面臨的各種安全威脅的重中之重。應對現有的工控系統信息安全做有效規劃和進一步加固，不光需要關注傳統領域的網絡安全和連接安全，還應著重考慮數據安全的問題［9］，如圖1所示。同時，在管理、應急處置以及相關的安全檢查和風險評估上也應完善相關的制度和流程，建立全面有效的立體防護體系。

（1）通信協議防護

失泄密防護主要對工業控制系統進行網絡控制、應用層控制及外設控制。對網絡的控制，指禁用TCP、UDP、ICMP等端口或者在信任前提下允許有條件使用。應用層控制則集中在HTTP、FTP、TELNET、SMTP、NETBIOS以及即時通信工具的管理和控制上，如只允許工業控制系統中的終端訪問指定的Web地址，只允許終端向指定的接收方發送數據。通過網絡控制及應用層控制，可有效防止內部終端訪問網絡時被植入病毒，也可防止內部用戶將資料傳播給非法組織。

（2）終端安全防護

應用系統應有嚴格的賬戶和口令管理。關注設備終端的操作系統補丁及殺毒軟件病毒更新，關鍵工業控制系統軟件升級，補丁安裝前應進行安全評估和驗證。針對工業控制系統的操作開啟日志審計功能，對日常操作維護進行記錄和檢查。

圖1 工業控制體系安全解決方案

（3）數據安全防護

數據安全主要對數據進行加密保護和權限控制，是對工業控制系統內核心資料的全面防護。經過加密的數據，即使被系統內部用戶無意帶走，離開了工業控制系統的安全域，其數據也無法訪問。數據安全管理對于防止內部資料泄露具有得天獨厚的優勢，也是工業控制系統防護的重要組成部分，如圖2所示。

圖2 工業控制系統基線的防護

3 我國工業控制系統的不足及建議

目前、在新形勢、新背景下，入侵檢測、防火墻、漏洞掃描、主機監控與審計等傳統信息安全防護技術還存在手段單一，功能分散、集成化程度不高、兼容性差等問題。工業控制系統信息安全事關國家安全，為有效應對網絡攻擊的新變化，建議從以下幾方面著手。

（1）強化信息安全威脅分析技術研究

開展針對關鍵基礎設施及其控制系統的新型網絡威脅的跟蹤研究，分析網絡威脅的主要特征和關鍵技術，提高國家對信息安全風險隱患發現、監測預警等能力。

（2）強化關鍵設施及其系統的安全評估

制定關鍵基礎設施及其控制系統安全檢查和風險評估的相關標準，加快培育專業技術力量。組織進行安全檢查和風險評估，通過檢查和評估，發現安全防護中的薄弱環節，針對性地提出風險消減和改進防范措施。

（3）助力工業控制系統國產化

信息安全是國家戰略問題，其硬件支撐就是核心芯片。核心芯片及基礎軟件是構建自主可控的工業控制安全防護體系的基石。目前，我國芯片主要依賴進口，信息安全難以保證，因此芯片的國產化，是我國實現工業控制系統國產化，保障信息安全的必經之路。

（4）搭建工業控制系統漏洞檢測等公共技術平臺

建立國家級工業控制系統數字仿真測試環境，通過實驗室測評、現場評估、滲透測試等方式，對工業控制系統進行網絡脆弱性評估。

4 結束語

面對迅猛發展的國際環境，我國工業控制系統的信息安全形勢日趨嚴重，為保障“互聯網+”行動計劃的順利實施，加強工業控制系統與信息安全技術的融合研發迫在眉睫。特別是在數據安全、業務連續性、災難恢復、自動化安全策略等方面，需要加大研究投入，形成具有國家自主知識產權的工業控制系統信息安全標準，完善我國工業控制系統信息安全標準體系，并通過積極參與工業控制系統信息安全國際標準的研究工作，不斷提升我國在工業控制系統信息安全領域的技術及標準地位，切實做到“隱患可發現、威脅可防范、風險可評估”，促進我國工業控制系統產業健康發展。

［1］ 余磊，楊斌，李遙，等.信息安全戰：企業信息安全建設之道［M］.北京：東方出版社，2010. Yu Lei，Yang Bin，Li Yao，et al.information security the way of enterprise information security construction［M］. Bei Jing：The Oriental Press，2010.

［2］ 肖建榮.工業控制系統信息安全［M］.北京：電子工業出版社，2015. Xiao Jian Rong.Industrial control system of information security［M］.Bei Jing：Publishing House of Electronics Industry，2015.

［3］ 王華忠.工業控制系統及應用PLC與組態軟件［M］.北京：機械工業出版社，2016. Wang Hua Zhong.Industrial control system and application of PLC and configuration software［M］.Bei Jing：China Machine Press，2016.

［4］ 歐陽武.順勢而行切實加強工業控制系統信息安全管理［J］.信息技術與標準化，2012（3）：4-6. OuyangWu.Conveniently and strengthen themanagement of industrial control system of information security［J］. Information Technology＆Standardization，2012（3）：4-6.

［5］ 于立業，薛向榮，張云貴，等.工業控制系統信息安全解決方案［J］.冶金自動化，2013（1）：5-11. Yu Li Ye，Xue Xiang Rong，Zhang Yun Gui，et al.Solutions of industrial control systems security［J］.Metallurgical Industry Automation，2012（3）：4-6.

［6］ 楊建軍，唐一鴻.工業控制系統信息安全標準化［J］.信息技術與標準化，2012（3）：20-23. Yang Jian Jun，Tang Yi Hong.Information Security Standardization of Industry Control System［J］.Information Technology＆Standardization，2012（3）：20-23.

［7］ 歐陽勁松，丁露.IEC62443工控網絡與系統信息安全標準綜述［J］.信息技術與標準化，2012（3）：24-27. Ouynag Jin Song，Ding Lu.Review on IEC 62443 Industrial Control Network＆System Security Standardization［J］.Information Technology＆Standardization，2012（3）：24-27.

［8］ 王孝良，崔保紅，李思其.關于工控系統信息安全的思考與建議［J］.全國計算機安全學術交流會，2012：36-37. Wang Xiao Liang，Cui Bao Hong，Li Si Qi.Thinking and Suggestions about industrial control system of information security［J］.The national computer security academic communication，2012：36-37.

［9］ 李戰寶，張文貴，潘卓.美國確保工業控制系統安全的做法及對我們的啟示［J］.信息網絡安全，2012（8）：51-53. Li Zhan Bao，Zhang Wen Gui，Pan Zhuo.American Ways of Ensuring SCADA Security and Its Revelation to Our Country［J］.Netinfo Security，2012（8）：51-53.

《微處理機》2017年度征訂通知

《微處理機》期刊由中國電子科技集團公司主辦，中國電子科技集團公司第四十七研究所主辦，是經國家科委批準的國家級工程技術刊物，并被《中國科技論文統計與分析》、《中國知網》和《中國電子科技文獻數據庫》以及Internet網上的重要源數據檢索刊物之一。自辦，國內外公開發行。

主要刊載國內外最新的各種微處理器、微控制器、微機外圍電路、專用電路的發展動態、設計、測試、開發與應用和微機系統與微機軟件的開發以及微機在各領域中的應用等方面的科技論文。

本刊系雙月刊，大16開本96頁。全年定價：90.00元。

用戶可直接向天津半導體雜志社訂購（代號：8385），有漏訂的用戶可直接在我處訂閱。

通訊地址：沈陽市皇姑區陵園街20號中國電子科技集團公司第四十七研究所《微處理機》編輯部

郵政編碼：110032

開 戶：中國電子科技集團公司第四十七研究所

賬 號：21001423601050005715

開戶銀行：建行三臺子支行

Analysis and Protection of Security Threats in Industrial Control System

Chen Zhiqiang，Zhang Xiaoyu，Sun Nannan
（The47th Research Institute of China Electronics Technology Group Corporation，Shenyang 110032，China）

With the progress of informatization technology，Industrial Control System（ICS），composed of automatic control component and real-time data acquisition and monitoring control components，has developed rapidly.The components of ICS consist of Supervisory Control and Data Acquisition（SCADA），Distributed Control System（DCS），Programmable Logic Controller（PLC），Remote Terminal（RT），Intelligent Electronic Device（IED）and interface technology for intercomponent communication.However，more serious threats are increased in ICS and even realized to be national security strategy.In this paper，the ICS security threats are deeply analyzed and the enhanced protection method based on baseline security of main control system is proposed.A comprehensive security system，combining with the basic protection and enhanced protection method，is made to absolutely remove internal and external threats for ICS and ensure the development of industry informatization and modernization.

ICS（Industrial Control System）；Security protection；Security threat；Network risk；Network vulnerability；Baseline protection

10.3969／j.issn.1002-2279.2016.06.021

TP393

A

1002-2279（2016）06-0085-04

陳志強（1986-），男，山東省德州市人，助理工程師，學士，主研方向：計算機網絡。

2016-06-05