工業控制系統安全現狀

◆鄭少波 徐 偉 石 彬

工業控制系統安全現狀

◆鄭少波 徐 偉 石 彬

（貴州航天計量測試技術研究所 貴州 550009）

工業控制系統（ICS）是工業基礎設施的核心設備，被廣泛應用于石油、化工、電力、軍工、制造等領域，其安全關系著企業生死存亡，關系著國計民生。2010年震網病毒（Stuxnet）爆發后，工業控制系統安全才逐步受到企業乃至國家層面的重視。目前，工業控制系統漏洞發現數量為2362個，僅占信息安全漏洞發現量的1.68%，而行業漏洞中也僅占14%。根據信息系統漏洞分布規律，可以預測還有很多工控漏洞尚未發現，這些未知漏洞對工業工控系統構成了極大的威脅，但同時也給從事工業控制系統安全廠商帶來了巨大的發展機遇。

工業控制系統（ICS）；信息安全；漏洞

工業控制系統[1]（ICS）是多種控制系統類型的總稱，典型的工業控制系統有監控和數據采集系統（SCADA[2]）、分布式控制系統（DCS[3]）、過程控制系統（PCS）、可編程控制器（PLC）、遠程終端單元（RTU）等。隨著信息技術的發展，企業生產活動不再局限于單一地點，而是跨區域、跨國際進行合作生產。已有的工控系統很難滿足跨區域的要求，以以太網為代表的新的工業控制系統應運而生。工業的快速發展使得工業控制系統向智能化、分布化、互聯網化方向發展，但隨之也帶來了新的問題，即工業控制系統安全問題。

1 工控系統安全現狀

工控系統應用領域包括石油化工、電力、水利、航空航天系統、交通運輸等涉及國家命脈的重要行業和關鍵基礎設施。這些領域的系統一旦遭受攻擊，將會導致非常嚴重的后果，甚至威脅到國家安全。近幾年針對工業控制系統的攻擊事件越來越頻繁，其幕后甚至出現國家身影。從2000年以來，攻擊事件持續發生，圖1統計了2000年至2019年來的重大攻擊事件，從圖中可以看出2016年以后針對工控系統的攻擊事件出現暴增趨勢。下面將列舉幾例導致嚴重后果的攻擊事件，其中很多都出現了國家身影，如攻擊伊朗的Stuxnet、針對能源行業的Duqu、攻擊烏克蘭電廠的Blackenergy和Industroyer等[4]。

（1）震網病毒攻擊伊朗核電站事件

Stuxnet蠕蟲（俗稱“震網”、“雙子”）2010年6月被VirusBlokAda首次發現，據估計它的傳播是從2009年6月開始甚至更早。震網利用了微軟操作系統中至少4個漏洞，WinCC系統中的兩個漏洞，通過一整套精心設計的入侵和傳播流程，突破工業局域網的物理限制，對化工、發電和電力傳輸企業所使用的核心生產控制電腦軟件實施破壞。在2011年2月的攻擊中，伊朗納坦茲鈾濃縮基地至少有1/5的離心機因感染該病毒而被迫關閉。

圖1 工控系統重大攻擊事件時間軸

（2）烏克蘭電網遭攻擊事件

2016年12月17日當地時間23點左右，烏克蘭的國家電力部門又一次遭遇了黑客襲擊，這次停電持續了 30 分鐘左右，受影響的區域是烏克蘭首都基輔北部及其周邊地區。推測2016年12月那次半個小時的烏克蘭停電事件是由Industroyer攻擊導致。

（3）臺積電勒索病毒入侵事件

2018年8月3日晚間，臺積電位于臺灣新竹科學園區的12英寸晶圓廠和營運總部，遭遇勒索軟件攻擊且生產線全數停擺。直到8月6日臺積電官方才發表聲明，稱已經恢復生產。官方發言人還表示這三天的停擺，將會直接導致臺積電第三季度的營收下降3%！而據此前對臺積電第三季度營收的預測為600億，3%也就是18億！臺灣媒體爆料稱，這次攻擊臺積電設備的是勒索病毒Wannacry，而中毒的原因可能是Windows 7系統沒有升級補丁，或者沒有關閉445端口，導致WannaCry病毒入侵就迅速傳播到其他生產線中。

美國、歐盟對工控安全的研究起步較早、并取得了較大的成果。以美國為例，其在工控安全領域起步早、研究成果豐碩，發布了大量的標準文獻及指導性文獻；成立了多家工控系統重點實驗室，如愛達荷國家實驗室、桑迪亞國家實驗室等。此外，NIST還制定了工控安全相關的標準如NIST SP800-82 NIST800-53等，并不斷持續更新以適應新的安全局勢。

我國的工控安全研究起步晚，政策管理上還有待完善，相關的行業標準也處在研究階段，未來我國的工控安全形勢依舊嚴峻。

2 工控安全威脅

工業控制系統安全面臨威脅主要來自Windows操作系統、工業軟件系統、工業控制硬件、工控協議等漏洞，攻擊者常常利用這些漏洞來達到入侵工控系統的目的。其次由于工控系統的特殊性，常常與互聯網物理隔離，導致管理者忽視漏洞的修復工作，這也是工控系統面臨的又一大問題。此外工控威脅的來源還包括內部無意威脅如操作失誤、網絡過載、軟硬件故障老化，第三方后門如維修人員在系統維修時對統進行未授權更改或安裝非法軟件，內部有意攻擊如蓄意破壞、非授權篡改、非授權竊聽等[5]。值得注意的是，以工控系統為目的的攻擊才是真正的威脅。

從2010年震網病毒被發現以來，工控安全才逐漸引起企業和國家的高度重視。來自國家信息安全漏洞共享平臺的數據顯示，截至2020年2月18日，上報到漏洞庫的工業控制系統漏洞數達到2362個，如圖2所示，2010年以前每年的工控系統發現的漏洞數量不超過5個，1970年數據為此前漏洞發現數量的匯總。2010年以后，工控漏洞發現數逐年遞增，這表明工控安全真正在逐步受到企業乃至政府的重視。

圖2 漏洞發現年份分布圖

雖然工控漏洞發現數量正在逐年增多，截至2020年2月18日工業控制系統漏洞發現數量為2362個，僅占信息安全漏洞發現量的1.68%，而行業漏洞中也僅占14%，圖3為國家信息安全漏洞共享平臺統計的行業漏洞發現數量的占比情況。

圖3 行業漏洞發現率

造成工業控制系統漏洞發現數量過低的原因主要有以下幾方面：

（1）工控安全行業仍處于發展階段，對工控漏洞挖掘、入侵檢測、防御等相關的技術還處于技術積累階段；

（2）工控系統使用的軟、硬件設施涉及的種類多、技術實現復雜且價格昂貴。想要對工控安全開展全面的研究，這不僅要求從事工控安全產業的廠商具有雄厚技術基礎，而且還需要有大量的資金支持。

（3）工控行業涉及領域極其廣泛，包括石油化工、電力、水利、交通、軍工以及各種制造行業，這就決定很少有工控安全廠商能夠將業務覆蓋到如此多的行業中去。各大工控安全廠商通常都是深耕在一到兩個行業中開展相關的工控安全業務。

3 工控安全防御技術

常見的工業控制系統安全防護技術主要包括入侵檢測技術、漏洞掃描與挖掘技術、工業防火墻技術、工業網閘等。

（1）工業防火墻

工業防火墻技術[6]和傳統的防火墻技術有很大區別。通常工業系統中使用的很多工業協議都是專門建立在TCP/IP協議之上的應用層協議，因此在工業控制系統中需要專門的防火墻技術。此外，工業防火墻必須具有對大多數工業協議如Modbus TCP、OPC、PROFNET等的深度解析能力，并且能夠支持對異常報文的過濾、阻斷、報警等各類功能。

（2）入侵檢測技術

入侵檢測技術[7]是一種主動的安全防護技術，通過對工控系統的通信數據進行監聽，并分離出異常的系統通信行為，在攻擊者實施攻擊前進行攔截或者通知其他安全設備進行聯動，從而保護整個工控系統的安全。

（3）漏洞掃描與挖掘技術

工控系統漏洞掃描技術[8]是指通過掃描及時發現可以利用的工控系統漏洞的一種技術。漏洞掃描技術可以幫助系統管理員及時發現系統中潛在的安全威脅，并快速排除這些安全問題。漏洞掃描技術可分為基于網絡的漏洞掃描技術和基于主機的漏洞掃描技術。兩種漏洞掃描技術都有一個共同的特點，即通過非破壞性、主動的方法檢測系統漏洞。

漏洞挖掘技術是指通過特定手段發掘系統漏洞的一種技術。和漏洞掃描技術不同的是漏洞挖掘技術發掘的是未知的漏洞。工控漏洞挖掘有動態測試和靜態分析兩種技術：動態測試技術是指在運行狀態下采用模糊測試[9]、雙向測試和風暴測試等手段進行的漏洞挖掘辦法；靜態測試[10]是指在非運行狀態下進行的漏洞挖掘技術，如靜態代碼審計、二進制比對及逆向分析等。

（4）工業網閘

工業網閘應用在兩個不存在通信鏈路的網絡之間，對需要傳輸的數據進行無協議擺渡。工業網閘從邏輯上隔離、阻斷了對工控網具有潛在攻擊可能的一切網絡連接，使外部攻擊者無法直接入侵、攻擊或破壞內網，保障了內部主機的安全。

[1]K Stouffer，J Falco，K Scarfone[R]. NIST Special publication，2008：82.

[2]Wei Gao， Thomas Morris， Bradley Reaves. On SCADA Control System Command and Response Injection and Intrusion Detection[C]// ECrime Researchers Summit（ECrime）. IEEE， 2010.

[3]Pollet J. Using cyber vulnerability testing techniques to expose undocumented security vulnerabilities in DCS and SCADA equipment[J]. 2006.

[4]魏祺. 工業控制系統信息安全研究綜述[J]. 通信電源技術，2019（5）.

[5]陶耀東，李寧，曾廣圣. 工業控制系統安全綜述[J]. 計算機工程與應用，2016（52）：18.

[6]華镕. 工業控制網絡中的防火墻[J]. 自動化博覽，2018（4）：58-60.

[7]賴英旭，劉增輝，蔡曉田，等. 工業控制系統入侵檢測研究綜述[J]. 通信學報，2017（2）.

[8]孫易安，胡仁豪. 工業控制系統漏洞掃描與挖掘技術研究[J]. 網絡空間安全，2017（1）：75-77.

[9]陳衍鈴，王正. 模糊測試研究進展[J]. 計算機應用與軟件（7）：297-299+301.

[10]張林，曾慶凱. 軟件安全漏洞的靜態檢測技術[J]. 計算機工程（12）：163-165.