工业控制系统ICS的安全研究.docx

引言    现代工业控制系统包括过程控制、数据采集系统(SCADA)，分布式控制系统(DCS)，程序逻辑控制(PLC)以及其他控制系统等，目前已应用于电力、水力、石化、医药、食品以及汽车、航天等工业领域，成为国家关键基础设施的重要组成部分，关系到国家的战略安全。为此，国家信息化安全标准化“十一五”规划特别将制定ICS的安全标准作为“十一五”期间信息安全标准化工作的重点。    与传统的基于TCPIC协议的网络与信息系统的安全相比，我国ICS的安全保护水平明显偏低，长期以来没有得到关注。大多数ICS在开发时，由于传统ICS技术的计算资源有限，在设计时只考虑到效率与实时等特性，并未将安全作为一个主要的指标考虑。随着信息化的推动与工业化进程的加速，越来越多的计算机与网络技术应用于工业控制系统，在为工业生产带来极大推动作用的同时，也带来了ICS的安全问题，如木马、病毒、网络攻击造成信息泄露与控制指令篡改等。图1是美国自1982年起发生的ICS安全事故统计。与互联网上的攻击事件相比，这些数字小得多。但是，由于ICS的特殊性，每一次事件，都代表着广大人群的生活、生产受到巨大影响，经济遭受重大损失甚至倒退。    图1 美国统计到的ICS安全事件1工业控制系统安全分析    11 ICS的威胁分析    工业控制系统面临的威胁是多样化的：    一方面，敌对政府、恐怖组织、商业间谍、内部不法人员、外部非法入侵者等对系统虎视眈眈。国家关键基础所依赖的很多重要信息系统从技术特征上讲是ICS，而不是传统上我们熟悉的TCPIP网络，其安全是国家经济稳定运行的关键，是信息战中敌方的重点攻击目标，攻击后果极其严重。另一方面，系统复杂性、人为事故、操作失误、设备故障与自然灾害等也会对ICS造成破坏。在现代计算机与网络技术融合进ICS后，传统ICPIP网络上常见的安全问题已经纷纷出现在ICS之上。例如用户可以随意安装、运行各类应用软件、访问各类网站信息，这类行为不仅影响工作效率、浪费系统资源，而且还是病毒、木马等恶意代码进入系统的主要原因与途径。    12 ICS的脆弱性分析    (1)策略与实施存在缺陷    工业控制系统的脆弱性通常是由于缺少完整而合理的策略文档或有效的实施过程而引起的，安全策略文档与管理支持是系统安全的基础，有效的安全策略在系统中的强制实施是减少系统面临的安全风险的前提。    (2)平台弱点    由于ICS终端的安全防护技术措施十分薄弱，所以病毒、木马、黑客等攻击行为都利用这些安全弱点，在终端上发生、发起，并通过网络感染或破坏其他系统。事实足所有的入侵攻击都是从终端上发起的，黑客利用被攻击系统的漏洞窃取超级用户权限，肆意进行破坏。注入病毒也是从终端发起的，病毒程序利用操作系统对执行代码不检查一致性弱点，将病毒代码嵌入到执行代码程序，实现病毒传播。更为严重的是对合法的用户没有进行严格的访问控制，可以进行越权访问，造成不安全事故。    (3)网络弱点    ICS的网络弱点一般来源于软件的漏洞、错误配置或者ICS网络管理的失误。另外，ICS与其他网络互连时缺乏安全边界控制，也是常见的安全隐患。通过基于“深层防御”思路的网络设计、网络通信加密、网络流量控制、物理访问控制等措施，ICS的网络弱点可以有效避免。    13可能的安全事件    可能导致ICS安全事件的因素有：    (1)控制系统发生拒绝服务；    (2)对PLC、DCS或SCADA中可编程指令进行非授权修改，使报警门限值改变，或使设备本身发生破坏；    (3)向控制系统的操作员发生虚假信息，使操作员采取错误动作；    (4)修改控制系统的软件或配置设置；    (5)系统中被引入了恶意软件(例如病毒、蠕虫、特洛伊木马等)。2一种针对ICS的主动式安全方案    在主机及其计算环境中，安全保护对象包括用户应用环境中的服务器、客户机以及其上安装的操作系统与应用系统。系统由安全管理平台与安全终端两大模块组成，如图2所示。    图2 系统结构    安全管理平台：负责其所在网络中各终端的安全策略的制定、维护与分发；严格管理模式：只允许终端安装与使用与业务相关的应用软件，禁止一切娱乐软件、聊天软件、理财软件等的安装与使用。    安全终端：安全控制系统最突出的特点是终端应用相对固定，要防范传统方式的病毒或木马等恶意软件，最直接的方式就是在应用加载之前对其进行真实性与完整性检查，但是随着攻击方式的不断改进，这种安全控制措施强度已经变得不够，因为类似rootkit这类攻击会对操作系统底层代码与系统服务产生破坏，因此对操作系统静态与动态内容也必须要进行有效的可信检查。深层次的终端防御体系如图3所示。    现阶段木马的主要运行方式为向宿主进程插入非法动态库，达到隐藏木马进程本身的目的，基于这一原理，利用HOOK API技术“钩住”系统中所有创建进程以及动态库调用过程，达到监控系统中所有可执行文件加载情况。通过完整性校验，判定某一可执行模块的加载是否合法，实现对木马、病毒等恶意代码的主动防御，判断的依据是由管理平台制定并下发的可信应用白名单。    图3 安全保护体系    工业控制系统对实时性要求较高，系统性能问题值得关注，实验结果表明可执行代码度量模块在每次验证主要时间开销表达在hash值计算过程中。表1给出了不同大小文件的hash时间，显然hash计算这个时间是非常小的，实际结果表明256K的文件Hash计算的时间平均为8ms，加之一般情况下，工业控制系统的可执行代码模块数量相对固定，变化次数不会太频繁，因此我们增加的完整性验证的时间开销可以忽略。    表1 不同大小文件的hash值计算时间3结论    目前，工业控制系统的网络安全体系在很大程度上是由通用信息安全技术在工业控制系统具体环境的实施下演化而来，工业控制系统面临着通用信息系统所具有的大多安全问题，同时也存在独特的安全需求。    本文中我们针对工业控制系统的安全特点，结合完整性度量技术，提出了在工业控制系统中的一种主动式安全模型，有效避免了工业控制系统安全策略实施的困难性与平台的安全脆弱性，不仅能够防范已知病毒与木马，而且对未知的恶意代码具有免疫能力，能够保证工业控制系统业务的连续性第 6 页