工业网络与信息安全综述.docx

《工业网络与信息安全综述.docx》由会员分享，可在线阅读，更多相关《工业网络与信息安全综述.docx（4页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、工业网络与信息平安综述摘要：工业控制系统网络平安已经是关系工业“平安生产”的重要因素，工业控制系统关乎国家平安， 一旦受到破坏，其影响和损失，不仅仅限于直观的经济损失，重那么会直接影响普通民众的日常生活甚至造 成人员伤亡，更为严重的是会影响到国家的平安。加强工控网络平安是中国工业化与时俱进开展的必然要 求。关键词：工业控制系统网络平安Overview of industrial Network and information securityCHEN YaoJie(1. College of Engineering and Automation, Fuzhou University, Fuzh

2、ou, Fujian 350116, China;2. Testing Center, Fuzhou University, Fuzhou, Fujian 350116, China)Abstract: Industry control system network security is already a relationship safe production, the important factors of industrial control system about national security, once the damage, the impact and losses

3、, not just intuitive economic loss, heavy will directly affect the daily life of ordinary people and even cause casualties, more serious is that will affect the safety of the country. Strengthening industrial network security is an inevitable requirement for China*s industrialization to keep pace wi

4、th The Times.Keywords: Industrial control system Network security0引言工业控制系统(Industrial Control Systems, ICS)广泛运用于能源、制造、航天、军工等牵涉 国民经济核心地位的主要基础设施，一般指由计算机与工业过程控制部件组成的自动化控制系统。 传统工业控制系统自上而下分为5层，底层为现场层(各类传感器或阀门)，通过串口进行数据 通信；L1是控制层，由分布式控制系统(DCS)、可编程逻辑控制器(PLC)和远程终端(RTU) 组成，负责对底层设备进行逻辑远程控制；L2层为监控层，通过数据采集与监视控制

5、系统 (SCADA)实现对数据的采集和监控；L3层是管理层，由制造执行系统(MES)提供生产调度、 制造数据管理、人力管理等功能；L4是企业层，用于企业决策层和员工提供决策运行手段。早期 的工业控制系统运行于相对独立的网络，生命周期长达1520年，其中涉及到的工业协议五花八 门，且对延时要求高，所以设计时以高可用性、高效性、实时性为核心，缺乏平安领域考虑。随 着计算机技术在工业领域的不断开展融合，工业控制系统成为网络攻击的对象。网络作为工业控 制系统的核心组成局部，一旦受到恶意攻击，轻那么导致生产运行瘫痪，重那么危害社会国家利益， 所以它的平安性尤为重要。近年来，新一轮科技革命和产业变革加速演

6、进，5G、工业互联网、人工智能、大数据、云计 算、边缘计算、密码、区块链等新兴技术加快向经济社会各领域渗透融合，网络联接从人人互联 向万物互联迈进，深刻改变人们的生产生活方式，为经济社会开展注入强劲动力的同时，也使工 业控制系统信息平安威胁和风险严峻复杂，对关键信息基础设施、网络数据和信息平安带来新的 挑战，加强工业控制系统信息平安防护势在必行。1工控网络平安背景平安意识误区和技能缺乏工控平安防护中存在一些误区，如部署平安网络产品等于工业控制系统做了平安防护；单向 通信即可保证百分百平安等。实际上不合理的平安策略配置、平安功能的搭配选择、错误的产品 搭配以及工业系统网络结构的不规范，将导致引入

7、的平安网络产品事倍功半。人员技能方面，过 分依赖于供应商，但实际厂商对工业系统漏洞认知层次不同，技术支撑点不同，导致即便认识到 漏洞，处理手段也有限。平安防护并非一次性，需要伴随工业系统环境改变而做出相应改变，需 定期对网络平安产品和工业控制系统进行检查、更新和维护，这对人员的技能有一定的要求。 1.2制度体系不完善工控平安威胁不全来自于外部，内部制度的健全程度也直接关系到工业控制系统的抗攻击性。 工业控制系统网络平安制度的不完善和不适用，导致数据管理、资产管理、外包服务管理、技能 培训管理、平安运维管理等方面的混乱和不规范。在生产环境中或运维管理时，没有制度的约束 和规范，随意使用外接U盘、

8、移动硬盘等移动存储介质，随意接入运维终端至工控网络中，甚至 为方便，开放调试端口直接面向互联网，都对工业控制系统构成了威胁，给病毒、木马等恶意软 件进入工业控制系统提供了有力的传播通道。缺乏应急预案的培训，直接导致面临网络威胁攻击 时的无措。1.3 控制系统漏洞自2010年以来，漏洞数量迅速增长，截至2020年9月1日，根据国家信息平安共享平台CNVD 统计，公布工控漏洞2805个。一方面“震网(Stuxnet) ”、“毒区(Duqu) ”、“勒索病毒”等恶意攻 击事件造成的巨大损失引起人们对控制系统漏洞话题高度关注。另一方面工业控制系统从封闭走 向开放，工控信息平安走向国产化，各个领域的网络

9、厂商、信息厂商和老牌工控厂商加大对工控 平安的研发投入，导致公开漏洞数的迅速增长。由于国内平安技术与国外先进技术的差距，目前 重要的控制系统仍有80%使用国外的产品和技术，并且将近95%的高中危漏洞来自这些产品，直 接成为恶意攻击的突破口。1.4 控制系统漏洞网络化、无线化的引入，给工业控制系统带来了便捷，降低了本钱。但是，普遍缺乏网络准 入和控制机制，导致上位机和下位机之间、边界入口、不同业务区域之间的访问、通信和控制缺 少身份鉴别，加上信息的明文传输，大大降低了网络攻击的门槛。在工控网络边界，包括一些可 以接入工业控制系统的主机和网络设备，缺少必要的访问控制授权，导致终端违规接入、非法外

10、联等现象的出现，从而产生平安隐患。2工业控制系统平安技术总体工业平安保障框架对于工业控制系统的平安防护，光靠利用设备去做防护是远远不够的。应从技术、管理和运 行三个维度来保障工业控制系统平安。三个维度中主要包含工控网络边界防护、平安深度防护、 平安运行和平安管理要求等几个方面，融合了技术、管理和运行的要求来保障工业控制系统的安 全。同时，结合工业控制系统运行阶段的特点，针对工业控制系统的平安建设应从上线前的平安 检测、平安能力防护、平安运行三个阶段，覆盖工业控制系统运行周期的平安保障。2.1.1 技术方面访问控制：针对工业控制系统的访问控制可以参照等级保护中相关级别的访问控制内容，同时又要充分

11、 考虑到工业控制系统中的时机情况去设置。工业控制系统的访问控制可以使用基于角色的访问控 制模型，基本思想是将权限分配给一定的角色，用户所获得权限取决于用户所获得的角色。这是 因为在很多实际环境中，用户并不是可以访问的目标系统的所有者，访问控制应该基于用户的职 务角色，而不是基于用户在哪个组，即访问控制是由每个用户在生产系统中所扮演的角色来确定 的。相关的角色拥有不同对工业控制系统的访问，修改权限，并做好权限最小化的工作。审计：审计是一项记录的独立的审核和检查，也是访问系统控制的适当性的动作，用于确认同意建 立的政策和操作性过程，也用于推荐控制、政策或者过程中的必要的改变。审计日志也提供平安 防

12、卫来反映，例如审查失败或者审查日志能力已负荷。审查数据应该防止被修改并且被设计为具 有无可替代的能力。在传统的IT系统中，用于审查的最初基础已经被记录保存。在ICS环境中, 使用适当的工具需要从与ICS、主要产品和设备的平安隐患相似的IT专业获取可扩展的知识。安 装在ICS中的很多过程控制设备已经被安装多年，并且不具有提供文中所阐述审查记录的能力。 因此，这些用于审查系统和网络活动的调制解调器工具的适应性，依赖于ICS中组成局部的能力。 但是，如果相关的工控交换机支持端口镜像，那么应该采用第三方的审计设备对ICS系统的操作进 行审计。一般来说，为了应对固定端口进行协议识别的缺陷，系统应用识别引

13、擎采用DPI和DFI 两种技术,可以结合应用的行为和特征实现对应用的识别，而不依赖于端口或协议。因为在工控系 统中，很多系统采用的私有协议，或一些小厂家的设备，这些系统能采用动态端口，所以针对固 定端口的入侵检测是无法实现高效的检测。审计装置应使用DPI技术，即深度包检测。进行分析 报文头的基础上，结合不同的应用协议特征值综合判断所属的应用。DFT,即深度流检测，它是 基于一种流量行为的应用识别技术。DPI技术可以比拟准确地识别出具体的应用，而DFI技术由 于采用流量模型方式，可以识别出DPI技术无法识别的流量。同时，为了有效地对规约的指令进 行识别，审计装置应集成规约识别模板，能够对不同的指

14、令在应用场景中的不同进行有效选取， 针对不同厂家的控制设备，制定相应的模板。通过深度解析后，与定义模板进行匹配，发现相应 的工控设备类型，通过内置策略对记录相关的操作行为中的异常行为进行告警。 上位机管控：在大局部工控系统中，上位机是整个系统重要的脆弱性短板之一。主要的原因为大局部上位 机底层还是运行的Windows系统或者Linux系统，且这些系统版本一般来说都较为陈旧，厂商处 于降低后期维护本钱的目的，一般不会对底层系统进行升级或打补丁的操作，所以即使攻击者并 没有很多工控系统的入侵经验，也可以利用上位机本身系统的脆弱性进行攻击和渗透，所以要从 整个上位机来进行平安方面的考虑。现阶段，一般

15、来说针对上位机的平安措施主要有几点：首先 对上位机的底层系统进行加固和基线水平的提高；其次就是使用各类上位机管控软件，该类上位 机管控软件采用进程向名单机制，对白名单内的进程进行放过，对于白名单之外的进程全部杀停。 采用此种机制的原因主要是上位机的功能和安装的软件一般来说都较为单一，使用白名单机制不 管对于使用者还是软件维护者来说工作量都可以最小化，并且只要上位机软件不更新，相关的管 控软件和白名单列表便不需要更新，明显地降低了工控系统管理者的运维量和在升级过程中带来 的风险。2.2 运行事件响应：事件响应方案是预先通过演练确定一套动作或者应对的文档，目的是限制事件结果发生来保 护组织的信息系

16、统。一个事件被发现，那么会使用响应方案迅速对攻击和响应选择的风险进行评估。 例如，一个可能的响应选择是在受到攻击时进行断网。但是，这会导致对于相关业务造成影响， 因此需要在事前提前做好响应的应急响应措施，相关受到攻击的工业控制系统及时进行隔离、恢 复，短时间无法实现的可以切换到手动操作。2.3 平安培训对于ICS环境，必须包括控制系统特别信息平安意识和用于特别的ICS申请培训。此外，一 个组织必须认证、归档和培训所有具有明显ICS角色和责任的人员。意识和培训必须涵盖被控制 的物理进程和ICS。平安意识是一个ICS事件防护的重要局部，特别在社会工程威胁来临时显得 尤为重要。社会工程是一项用于操作

17、个人进入的个人信息，例如密码，这项信息能够被用于包括 其它的平安系统。完成一项ICS平安工程可能会导致在个人连接计算机工程、应用和计算机桌面 本身的方式上发生变化。组织者应该设计有效的培训工程和交流手段来帮助员工理解为什么需要 新的访问和控制方式、降低风险的方法以及如果控制方法不被落实对于组织产生的影响。培训项 目能够提高相关人员的平安意识，让他们在今后的生产活动中去积极落实相关平安管理制度，提 升工业控制系统平安性。3结语ICS作为工业大脑，一旦受到破坏，其后果不仅仅局限于紧急的损失，还会直接影响国民日 常生活甚至造成人员伤亡，乃至社会稳定。虽然工业控制系统为了保障业务的稳定运行，也具备 了

18、一定的平安功能，但是这些功能更多是防止误操作对工业控制系统的影响，在应对外部攻击所 导致功能失效的时候起到一定的作用。但是，随着工业网络互联及信息化的加深，必然将导致工 业控制系统受攻击的也会增多，结合实际的操作规程要求、实际功能平安属性、基于业务流程的 行为分析，形成信息平安技术手段与业务行为分析的相互融合技术，才能在工业控制系统信息安 全领域实现真正的突破。参考文献：1 GB/T 222392019.信息平安技术网络平安等级保护基本要求2康天娇，邹春明.工业控制系统网络平安产品研究分析J.网络空间平安,2020, (01): 34 - 38.3夏春明，刘涛，王华忠，吴清.工业控制系统信息平安现状及开展趋势J.信息平安与技术.2013, (02) : 13-18.4黄海舫.电力行业工业控制系统平安防护技术应用J.网络空间平安,2018, (03): 14 - 18.