工业控制系统安全现状风险分析-CS工业控制系统安全

1、-. zc o m p u t e rs e c u r i t y工控平安专题导语 :本文将从 IT 领域熟悉的信息平安管理体系的根本理论和潜在威胁的角度,借鉴国际上有关工业控 制系统平安保护要求及标准,分析当前我国工业控制系统存在的风险,并提出一套基于 I C S 系统的威胁发 现与识别模型。工业控制系统平安现状与风险分析 ICS 工业控制系统平安风险分析之一2021年 11月 12日,待测伊朗弹道导弹收到控 制指令后突然爆炸。事故经媒体披露,迅速引发各 国政府与平安机构的广泛关注,对真凶的质疑直指 曾攻击布什尔核电站工业控制系统的 Stu*net 蠕虫 病毒。截至目前,事故真相与细节并未

2、公布,但工 业控制系统长期存在的风险隐患却已是影响国家关 键根底设施稳定运行重要因素,甚至威胁到国家安 全战略实施。为此工信部于 2021年 10月份发布文 件,要求加强国家主要工业领域根底设施控制系统 与 SCADA 系统的平安保护工作。1 工业控制系统介绍工业控制系统(Industrial Control Systems, ICS ,是由各种自动化控制组件以及对实时数据进 行采集、监测的过程控制组件,共同构成确实保工 业根底设施自动化运行、过程控制与监控的业务流 程管控系统。其核心组件包括数据采集与监控系统 (SCADA 、分布式控制系统(DCS 、可编程逻辑 控制器(PLC 、远程终端(

3、RTU 、智能电子设备 (IED ,以及确保各组件通信的接口技术。目前工业控制系统广泛地应用于我国电力、水 利、污水处理、石油天然气、化工、交通运输、制 药以及大型制造行业,其中超过 80%的涉及国计民 生的关键根底设施依靠工业控制系统来实现自动化 作业,工业控制系统已是国家平安战略的重要组成 局部。一次典型的 I C S 控制过程通常由控制回路、 H M I、远程诊断与维护工具三局部组件共同完成, 控制回路用以控制逻辑运算,H M I 执行信息交互, 远程诊断与维护工具确保出现异常的操作时进展诊 断和恢复。见图 1。图 1 典型的 ICS 操作过程SCADA(Supervisory Cont

4、rol And Data Acquisition数据采集与监控系统,是工业控制系 统的重要组件,通过与数据传输系统和 HMI 交互, SCADA 可以对现场的运行设备进展实时监视和控 制,以实现数据采集、设备控制、测量、参数调节 以及各类信号报警等各项功能。目前,SCADA 广c o m p u t e rs e c u r i t y 工控平安专题泛应用于水利、电力、石油化工、电气化、铁路等分布式工业控制系统中。图 2 SCADA系统总体布局DCS(Distributed Control Systems分布式 控制系统,广泛应用于基于流程控制的行业,例如 电力、石化等行业分布式作业,实现对各

5、个子系统 运行过程的整理管控。PLC(Programmable Logic Controllers可 编程逻辑控制器,用以实现工业设备的具体操作与 工艺控制。通常 SCADA 或 DCS 系统通过调用各 P C L 组件来为其分布式业务提供根本的操作控制, 例如汽车制造流水线等。2 工业控制系统平安现状与传统的信息系统平安需求不同,I C S 系统设 计需要兼顾应用场景与控制管理等多方面因素,以 优先确保系统的高可用性和业务连续性。在这种设 计理念的影响下,缺乏有效的工业平安防御和数据 通信措施是很多工业控制系统所面临的通病。据权威工业平安事件信息库 RISI(Repository of Se

6、curity Incidents统计,截止 2021年 10月, 全球已发生 200余起针对工业控制系统的攻击事件。 见图 3。图 3 1982-2021工业系统攻击事件由上图可见,2001年后,通用开发标准与互联 网技术的广泛使用,使得针对 ICS 系统的攻击行为 出现大幅度增长,I C S 系统对于信息平安管理的需 求变得更加迫切。纵观我国工业控制系统的整表达状,西门子、 洛克韦尔、I G S S 等国际知名厂商生产的工控设备 占据主动地位,由于缺乏核心知识产权和相关行业管理实施标准,在愈发智能开放的 ICS 系统架构与 参差不齐的网络运维现实前,存储于控制系统、数 据采集与监控系统、现场

7、总线以及相关联的 E R P、 CRM、SCM 系统中的核心数据、控制指令、 信息随时可能被攻击者窃取或篡改破坏。作为一项 复杂而繁琐的系统工程,保障工业系统的信息平安 除了需要涉及工业自动化过程中所涉及到的产品、 技术、操作系统、网络架构等因素,企业自身的管 理水平更直接决定了 ICS 系统的整体运维效果。遗 憾的是当前我国网络运维现实,决定了国 ICS 系 统的平安运维效果并不理想,平安风险存在于管理、 配置、架构的各个环节。借鉴 IT 平安领域 ISO27001信息平安管理体系 和风险控制的成功经历,综合工业控制网络特点以 及工业环境业务类型、组织职能、位置、资产、技 术等客观因素,对工

8、业控制系统构建 ICS 信息平安 管理体系,是确保工业控制系统高效稳定运行的理 论依据。3 工业控制系统平安风险分析3.1 风险分析工业控制系统是我国重要根底设施自动化生产 的根底组件,平安的重要性可见一斑,然而受到核心技术限制、系统构造复杂、缺乏平安与管理标准 等诸多因素影响,运行在 ICS 系统中的数据及操作 指令随时可能遭受来自敌对势力、商业间谍、网络犯罪团伙的破坏。根据工信部关于加强工业控制c o m p u t e r s e c u r i t y 工控平安专题系统信息平安管理的通知要求,我国工业控制系 统信息平安管理的重点领域包括核设施、钢铁、有 色、化工、石油石化、电力、天然气

9、、先进制造、 水利枢纽、环境保护、铁路、城市轨道交通、民 航、城市供水供气供热以及其他与国计民生严密相 关的领域。这些领域中的工业控制系统一旦遭到破 坏,不仅会影响产业经济的持续开展,更会对国家 平安造成巨大的损害。典型工业控制系统入侵事件 :(1 2007年,攻击者入侵加拿大的一个水利 SCADA 控制系统,通过安装恶意软件破坏了用于 取水调度的控制计算机 ;(2 2021年,攻击者入侵波兰*城市的地铁系 统,通过电视遥控器改变轨道扳道器,导致 4节车 厢脱轨 ;(3 2021年, 网络超级武器Stu*net 病毒通 过针对性的入侵 ICS 系统,严重威胁到伊朗布什尔 核电站核反响堆的平安运

10、营 ;(4 2021年,黑客通过入侵数据采集与监控系 统 SCADA,使得美国伊利诺伊州城市供水系统的 供水泵遭到破坏。通过分析可以发现,造成工业控制系统平安风 险加剧的主要原因有两方面 :第一,传统工业控制系统的出现时间要早于互 联网,它需要采用专用的硬件、软件和通信协议, 设计上以武力平安为主,根本没有考虑互联互通所 必须考虑的通信平安问题。第二,互联网技术的出现,导致工业控制网络 量采用通用 TCP/IP技术,工业控制系统与各 种业务系统的协作成为可能,愈加智能的 ICS 网络 中各种应用、工控设备以及办公用 P C 系统逐渐形 成一复杂的网络拓扑。仅基于工控协议识别与控制的平安解决方案

11、在 两方面因素的合力下,已无法满足新形势下 ICS 网 络运维要求,确保应用层平安是当前 ICS 系统稳定 运营的根本前提。利用工控设备漏洞、TCP/IP协 议缺陷、工业应用漏洞,攻击者可以针对性地构建 更加隐蔽的攻击通道。以 Stu*net 蠕虫为例,其充 分利用了伊朗布什尔核电站工控网络中工业 P C 与 控制系统存在的平安漏洞(LI K 文件处理漏洞、打 印机漏洞、RPC 漏洞、WinCC 漏洞、S7工程文件 漏洞以及 Autorun.inf 漏洞 ,为攻击者入侵提供 了七条隐蔽的通道。图 4 Stu*net蠕虫病毒传播的七条途径3.2 脆弱性分析工业控制系统的平安性和重要性直接影响到国

12、 家战略平安实施,但为兼顾工业应用的场景和执行 效率,在追求 ICS 系统高可用性和业务连续性的过 程中,用户往往会被动地降低 ICS 系统的平安防御 需求。识别 ICS 存在的风险与平安隐患,实施相应 的平安保障策略是确保 ICS 系统稳定运行的有效手 段。1 平安策略与管理流程的脆弱性追求可用性而牺牲平安,这是很多工业控制系 统存在普遍现象,缺乏完整有效的平安策略与管理 流程是当前我国工业控制系统的最大难题,很多已 经实施了平安防御措施的 ICS 网络仍然会因为管理 或操作上的失误,造成 ICS 系统出现潜在的平安短 板。例如,工业控制系统中的移动存储介质的使用 和不严格的控制策略。作为信

13、息平安管理的重要组成局部,制定满足c o m p u t e rs e c u r i t y 工控平安专题业务场景需求的平安策略,并依据策略制定管理流 程,是确保 ICS 系统稳定运行的根底。参照 NERC CIP、 ANSI/ISA-99、IEC 62443等国际标准,目 前我全策略与管理流程的脆弱性表现为 :(1缺乏 ICS 的平安策略 ;(2缺乏 ICS 的平安培训与意识培养 ;(3缺乏平安架构与设计(4缺乏根据平安策略制定的正规、可备案的 平安流程 ;(5缺乏 ICS 平安审计机制 ;(6缺乏针对 ICS 的业务连续性与灾难恢复方案;(7缺乏针对 ICS 配置变更管理。2 工控平台的

14、脆弱性随着 TCP/IP等通用协议与开发标准引入工业 控制系统,开放、透明的工业控制系统同样为物联 网、云计算、移动互联网等新兴技术领域开辟出广 阔的想象空间。理论上,绝对的物理隔离网络正因 为需求和业务模式的改变而不再切实可行。目前,多数 I C S 网络仅通过部署防火墙来保证 工业网络与办公网络的相对隔离,各个工业自动 化单元之间缺乏可靠的平安通信机制,例如基于 D 编程规的 OPC 接口几乎不可能使用传统 的 I T 防火墙来确保其平安性。数据加密效果不佳, 工业控制协议的识别能力不理想,加之缺乏行业标 准规与管理制度,工业控制系统的平安防御能力 十分有限。旨在保护电力生产与交通运输控制

15、系统平安的 国际标准 NERC CIP 明确要求,实施平安策略确 保资产平安是确保控制系统稳定运行的最根本要求。 将具有一样功能和平安要求的控制设备划分到同一 区域,区域之间执行管道通信,通过控制区域间管 道中的通信容是目前工业控制领域普遍被认可的 平安防御措施。另一种容易忽略的情况是,由于不同行业的应 用场景不同,其对于功能区域的划分和平安防御的 要求也各不一样,而对于利用针对性通信协议与应 用层协议的漏洞来传播的恶意攻击行为更是无能为 力。更为严重的是,工业控制系统的补丁管理效果 始终无法令人满意,考虑到 ICS 补丁升级所存在的 运行平台与软件版本限制,以及系统可用性与连续 性的硬性要求

16、,I C S 系统管理员绝不会轻易安装非 I C S 设备制造商指定的升级补丁。与此同时,工业 系统补丁动辄半年的补丁发布周期,也让攻击者有 较多的时间来利用已存在的漏洞发起攻击。著名的 工业自动化与控制设备提供商西门子就曾因漏洞公 布不及时而饱受质疑。据金山网络企业平安事业部统计,2021-2021年间,已确认的针对工业控制系统攻击,从攻击代 码传播到样本被检测确认,传统的平安防御机制通 常需要两个月左右的时间,而对于例如 Stu*net 或 更隐蔽的 D u q u 病毒,其潜伏期更是长达半年之久。 无论是针对工业系统的攻击事件,还是更隐蔽且持 续威胁的 A P T 攻击行为,基于黑或单一

17、特征 比对的信息平安解决方案都无法有效防御,更不要 说利用 0day 漏洞的攻击行为。而 IT 领域广泛采用 的主动防御技术,因为其存在较大的误杀风险,并 不适用于工业控制系统的高性能作业。目前,惟有 基于白机制的平安监测技术是被工业控制系统 用户普遍任何的解决方案。3 网络的脆弱性通用以太网技术的引入让 I C S 变得智能,也让 工业控制网络愈发透明、开放、互联,TCP/IP存 在的威胁同样会在工业网络中重现。此外,工业控 制网络的专属控制协议更为攻击者提供了了解工业 控制网络部环境的时机。确保工业网络的平安稳 定运营,必须针对 ICS 网络环境进展实时异常行为 的 发现、检测、去除、恢复

18、、审计一体化的保 障机制。当前 ICS 网络主要的脆弱性集中表达为 :c o m p u t e r s e c u r i t y 工控平安专题(1边界平安策略缺失 ;(2系统平安防御机制缺失 ;(3管理制度缺失或不完善 ;(4网络配置规缺失 ;(5监控与应急响应制度缺失 ;(6网络通信保障机制缺失 ;(7无线网络接入认证机制缺失 ;(8根底设施可用性保障机制缺失。4 潜在威胁分析作为国家关键根底设施自动化控制的根本组成部 分,由于其承载着海量的操作数据,并可以通过篡改 逻辑控制器控制指令而实现对目标控制系统的攻击, 针对工业控制网络的定向攻击目前正成为敌对势力和 网络犯罪集团实施渗透攫取利

19、益的重点对象。稍有不 慎就有可能对涉及国计民生的重要根底设施造成损害。 可导致 ICS 系统遭受破坏的威胁主要有 :(1控制系统发生拒绝效劳 ;(2向控制系统注入恶意代码 ;(3对可编程控制器进展非法操作 ;(4对无线 AP 进展渗透 ;(5工业控制系统存在漏洞 ;(6错误的策略配置 ;(7人员及流程控制策略缺失。参考文献:1Keith Stouffer,Joe Falco,Karen Scarfone,Guide to Industrial Control Systems (ICS Security,June 2021.2贾东耀,汪仁煌 . 工业控制网络构造的开展趋势 . 工业 仪表与自动化

20、装置 ,2002年 (5.3Eric M. Hutchins,Michael J. Clopperty,Rohan M. Amin, Ph.D.,Intelligence-Driven puter Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill ChainsEric Byres,P.Eng.,What Does Stu*net Mean for Industrial Control System4唐文 . 工业根底设施信息平安 . 西门子中国研究院信息 平安部 ,2021.卡巴斯基预测

21、2021年网络威胁三大特征知名信息平安厂商卡巴斯基近 日发布了 2021年网络威胁预测报告, 指出 2021年网络威胁具有三大特征。 预测一 :针对性攻击集中到 2021年,全球的政府机构 以及大型企业将面临更多的网络 威胁。不仅针对政府机构和大型 企业的针对性攻击数量会显著上 升,很可能更广围的组织都会 遭受此类攻击的危害。卡巴斯基 的专家警告说 :目前,此类平安 事件主要涉及那些从事武器生产、 金融交易或高科技研发的公司和 政府机构。但是到 2021年,这一 影响围将扩大到从事资源采集、 能源、运输、食品和制药行业的 企业以及互联网效劳和信息平安 公司。 针对性攻击发动的围将 遍布全球,包括西欧和美国,并 将涉及东欧、中东和东南亚。 卡 巴 斯 基 实 验 室 专 家 预 测, 网络攻击者会变换攻击手段,从 而应对众多 IT 平安公司对他们所 发动的针对性攻击的调查以及所提供的防御手段。此外,公众日益意识到平安的重要性,也使得网络罪犯不得不寻找最新的攻击工具。传统的利用包含漏洞利用程序的电子进展攻击的手段