工业以太网安全性问题探析-精品文档.docx

工业以太网安全性问题探析摘要：随着网络技术的发展，以太网技术已经被广泛应用工业控制当中，但是这也暴露出了众多的安全问题。所以，深化的研究工业以太网中的各种协议，从协议的角度探究安全性问题的解决方案，会有更好的效果。基于此，本文首先分析了工业以太网的安全性问题；接着，总结并完善了工业以太网技术的安全防护技术；最后，对工业以太网的安全防护方案进行了总结。关键词：工业以太网；协议；安全防护；解决方案随着中国制造2025计划的提出1，工业互联网的发展已经上升到了国家战略的层面上，工业互联网的安全性问题，也越来越遭到业界的重视。根据国家信息漏洞分享平台的统计，2017年就发现了超过1000条重大的信息安全漏洞。这其中涉及了绝大多数的工业互联网控制设备供给商，并且其中的高危漏洞占比更是到达了48.59%。根据权威机构工业安全事件信息库RISI的统计，仅在2017年，就发生了超过200起专门针对基础工业网络所发起的攻击，并且每一次的攻击均造成了难以估量的经济损失2。一般来讲，绝大多数的攻击都是利用了现有的工业以太网的漏洞，来进行恶意的攻击和控制的。由于工业以太网的设计之初是应用在封闭的网络环境中的，所以其各种控制协议和策略均没有考虑安全性的问题。但是随着工业以太网的发展，封闭的网络环境已经无法支持如今工业以太网的发展，并且互联网化也是发展的趋势。所以根据现有的工业以太网协议，攻击者只需要获得相应的权限，便能够轻松进行恶意的篡改和监听3。以著名的Stuxnet蠕虫病毒为例，该病毒便是利用西门子工控机的协议缺乏认证和加密的缺陷，使得攻击者能够轻松进行监听和攻击，这次的恶意攻击给伊朗的核电站造成了难以估量的损失。1工业以太网的安全性问题分析目前工业互联网的主要安全问题解决方式，到目前为止仍然是IEC62443标准的安全解决方案4。但是这种安全解决方案，是偏向于系统级的。工业以太网所使用的协议是现场总线型协议，与IT系统有着较大的差异，所以在安全性的需求上也不同5。工业以太网控制系统的安全性问题主要出如今数据明文传输，容易被监听或篡改等方面。工业以太网控制协议主要有Modbus/Tcp、Ethernet/IP、OPC、DNP3这五种，下面将对其安全性问题进行分析。1Modbus/Tcp协议安全性问题一个典型的Modbus/Tcp控制系统的构造如图1所示，多个PLC控制器与设备之间采用串行Modbus协议进行通信。文献6就指出了Modbus/Tcp控制系统在信息传输时，缺乏安全保护措施，容易遭到洪泛攻击、重放攻击等安全性威胁。文献7总结了Modbus/Tcp协议的主要安全性威胁，主要包括加密、认证、效验、可编程、溢出、广播风暴等。2Ethernet/IP协议安全性问题Ethernet/IP是实时的通信协议，由于该协议缺乏时间戳和加密操作，所以容易遭到拒绝服务的攻击，以及数据篡改和中间人攻击等8。同时由于UDP之上的Ethernet/IP协议是无连接的，其并没有进行数据的可靠性和完好性校验，这就会造成重放攻击和拒绝服务攻击的开展。总的来讲Ethernet/IP协议存在着加密、认证、重放、拒绝服务等安全性漏洞。3OPC协议安全性问题OPC协议是一种中间协议，实现现场信号和软件的数据通信。最新的OPC协议规范已经进行了安全性防护的补充，其能够在底层的数据通信中提供加密的需求，并且提供可靠性和完好性校验。固然这些措施对整个协议的安全性有一定的提高，但是其仍然存在着认证、DOS、主机等方面的安全性威胁9。4DNP3协议安全性问题DNP3是美国国家通信标准，其存在着DNP3-Sec和DNP3-SAv5两个加强安全性的变种版本。DNP3-Sec主要是在数据链路层进行安全性加强，DNP3-SAv5主要是在应用层进行安全性加强。固然其在数据的认证、加密、完好性校验、可靠性等方面有一定程度的提升，但是其仍然存在着拒绝服务、恶意篡改、恶意监听等安全性威胁10。上述四种协议，在一定程度上都知足了可用性和可靠性的要求，其对安全性的提升主要侧重在完好性上。只要DNP3协议对信息安全的五项基本要求保密性、完好性、可用性、可控性、不可否认性都做出了安全性的提升。但是某些研究也表明，DNP3协议仍然存在着安全性的问题11。2工业以太网的安全性问题解决方案本文将从外部主动防护技术、内部被动防护技术和协议本身的安全性改良三个方面来进行阐述。1外部主动防护技术外部主动防护系统部署在系统外部，主要有纵深防御技术、入侵检测、入侵防御等等。防火墙、网间隔离、白名单、黑名单、端口过滤等技术都属于纵深防御技术。其也是目前来讲能够有效确保工业控制系统安全的有效方法，其能够将工业控制设备分成多个“区，如分军事区、安全隔离区等等，再进行安全策略的设计。目前国内市场上的工业防火墙和网络隔离设备供给商主要有三零卫士、海天炜业、力控华康等12。其产品均能够在工控网络中建立黑名单、白名单协议关键字段过滤等安全防护措施，这能够有效较低工控网络的安全性威胁。入侵检测系统和入侵防御系统也是纵深防御技术重要的实现方式。其主要采用形式匹配的方法，对数据进行辨析。入侵检测系统是并联旁路在系统中，它能够对系统中的所有数据流量进行监测，并发现恶意数据。入侵防御系统是串联在系统中，系统中的所有数据需要通过入侵防御系统才能够进行接收，其能够有效过滤恶意报文等13。2内部被动防护技术内部被动防护技术主要包括深度分组检测和安全评估两种方式。深度分组检测主要是流量统计和协议报文分析，其能够发现异常流量和异常数据，以便在问题出现之前将安全漏洞扼杀在摇篮中。安全评估系统也是工业控制网络安全性解决方案中重要的组成部分，其通过对系统协议的分析，来对系统的整个安全性和可疑的攻击进行评估。安全性评估包含多种方法，主要有基于协议模型的方法、基于异常行为处理的方法、基于聚类分析的方法、基于中间件检测的方法14。3协议的安全性改良就目前技术来讲，协议安全性改良主要是通过加密和其他的安全协议承载传输数据这两种方式来实现的。再细分又能够分为从端到端加密、链路加密、节点加密三种方式来实现15，如图2所示。随着工业大数据、中国制造2025的推进，工业控制系统的安全性问题显得越来越重要，尤其是关乎国家安全的领域，如电网、核能等等。本文以协议为基础，总结并阐述了现今的工业控制网络中存在的安全性问题；并且从外部主动防护、内部被动防护、协议改良这三种方式来阐述工业控制网络安全性提升的方法。