鹏越:关于工控系统信息安全的思考与建议

工控系统的设计是以工业系统的高可靠性、高抗干扰性、高实时性和高控制性为目标的,其底层通讯协议以高速、短帧、抗干扰为特点的异步数据通讯方式,
目前以各种现场总线的应用方式为主,与之相关的各种通讯协议在设计之初基本上没有过多信息安全方面的风险考虑,如攻击者熟知设备的通讯协议和通讯地址,系 统极易受到危害性攻击。在早期控制系统封闭式时不会有问题,但当其上级系统采用
TCP/IP 协议,并与外部网络连接时,底层控制网络的防护就变得极为敏感和重要。
p1.jpg

1 、工控系统发展现状

微型计算机系统的发展大大提高了工业控制系统(ICS)的性能、促进了其快速发展,并且在不同的应用领域形成了各种既相互关联又相互独立的 ICS 系统与装置,如 SACDA 系统、DCS 系统、FCS 系统、PLC 系统等多系列自动化装置。

早期的工控系统是运行于工业控制现场的自成体系且封闭独立的系统,不存在受外部介入与攻击的可能性。随着计算机网络的发展,特别是互联网及社会公共
网络平台的快速发展,在企业综合自动化需求的引领下,管控一体化、计算机集成制造、柔性生产系统等新理念新需求使得工业计算机控制系统不再是信息的孤岛。 大型企业基本形成了以企业管理层、生产调度层和现场控制层为特征的三层网络综合自动化体系。当工业控制系统通过企业内部计算机网络与外部连接时,如工控系
统没有部署专用工控信息安全防护设施,可能受到来自外部网络的攻击。
p2.jpg

计算机系统与计算机网络的发展对工控系统自身发展的影响也是深刻的。在通用工业控制计算机(PLC)的发展中,计算机技术与计算机网络通讯技术对其 技术进步与发展起到了至关重要的作用,同时工控网络的发展以及系统间网络互连的发展,要求 PLC 具有强大的上行、下行网络通讯能力,具有各种类型的现场总线通讯接口和各种类型的工业以太网通讯接口(支持多种工控协议)。随着功能的提升,PLC 的计算机系统内核也在发生变化,甚至发展到目前许多 PLC 就是一台嵌入式 PC

SCADA 系统是电力、自来水、石油、水资源、环境监测和城市供热、煤气系统的生产调度与控制的核心系统。在其基本理念中引入工程应用之初,远程数据通讯就是制约其
发展的瓶颈。近年来,计算机技术特别是网络通讯技术的发展以及手机通讯公共数据平台的建立为
SCADA 系统的发展提供了可靠、快速的数据通讯路由与方式(未来 4G 技术将使得无线计算机广域网与手机通讯平台没有明显的界限),使得 SCADA 系统可通过互联网和手机数据网络平台与外部网络实现无障碍互连。

SCADA 系统的数据采集与控制需要借助公共网络通信平台,其服务器系统与企业网站通过企业内部的计算机网络连接,企业的远端用户通过互联网接入企业 SCADA 系统。因此,SCADA 系统如没有可靠的信息安全措施,很难保证系统不受攻击破坏。

2 、工控系统安全隐患的本质与根源

造成工控系统信息安全隐患的本质原因是工控系统采用了目前个人计算机领域微机系统的硬件平台、操作系统和基于TCP/IP 协议的网络通讯体制,换句话说通用软件、硬件平台与网络互连是造成工控系统信息安全危机的根源。但就目前而言,工控系统采用 PC 平台、微软操作系统、TCP/IP 网络通讯协议的现实已无法逆转。

计算机网络在带给我们方便的同时也给我们带来了烦恼。通用的操作系统和通用的网络通讯协议使得工控系统上层计算机系统容易受到病毒的侵害而崩溃、瘫
痪;同时,各种网络接入方式使得攻击者一旦进入网络,可在不设防状态直达底层控制系统,容易发生被攻击或操作权限被控现象,进而产生危害性结果。

 

3 、借鉴国外经验提高防范能力 

目前,国内大型自动化成套设备(DCS、大型PLC)基本上被国外的公司所垄断,我们国家核心工业系统的主控装置多依赖进口。

2010 10 月发生在伊朗“布什尔核电站”的“震网”事件和 2011 11 月安装于伊朗导弹发射实验架上的导弹因收到了莫名指令而发生爆炸的事件为我们敲响了警钟,使得我们必须认真审视我国当前工业计算机控制系统的现状,并采取
措施改变工控系统信息安全领域现有的无序、无约束、无准入机制的状态。

工信部在2011 10 月下发了《关于加强工业控制系统信息安全管理的通知》,要求各级政府和国有大型企业切实加强工业控制系统安全管理。同时,国内信息安全及控制软件的开发企
业也正对工控网络信息安全展开了对策性产品开发与攻关,并有相关工控防火墙及网关类产品面世,但仅仅靠某一装置、软件是无法全面解决问题的。

实际上在ICS 系统信息安全方面国际上已有相关的行业标准与规范主要有 ANSI/ISA-99IEC62443NERC-CIP,这些规范明确提出了目前工业控制领域普遍认可的安全防御措施要求,我们可以借鉴其优点,并 结合我国具体情况制定相关技术规范、管理机制和产品准入制度。

ANSI/ISA-99 技术规范实际上将工业控制系统按照控制和管理的等级划分成相对封闭的区域;这种划分包括控制级别划分,如现场控制级、生产调度级、企业管理级等;信息安全
级别划分,如最高级、高级、普通。区域之间的数据通讯执行“管道通信”,通过在区域间通讯管道安装信息安全管理设备(工控网络防火墙、工控通讯网关)来实 现分级保护,进而实现控制网络的纵深防御。外部对
ICS 工控系统的攻击一般包括以下类型:恐怖主义组织蓄意攻击;经济犯罪蓄意入侵;

根据国内ICS 及企业管理的现状,建议 ICS 的信息安全机制的建立从以下三个方面考虑:1)借鉴国际规范制定适合我国国情的 ICS 分区分级安全管理及隔离防护机制,制定相关技术标准,鼓励国内相关企业开发符合相关技术标准的专业防火墙、隔离网关等专业产品。2)按 ICS 系统的应用类型建立工控网络信息安全网络架构规范和组网原则,制定 ICS系统网络设备选取及运行管理规范,禁止接入外来不可信存储设备。3)建立市场准入机制、并制定相关文件。

p3.jpg

4、 加强工控系统的管理 

目前,国内大型成套设备的 ICS 系统基本上以国外工控系统为主,甚至有些设备直接是国外全套进口的。国外厂商在 ICS系统集成、调试和后续维护上有许多办法和手段以降低工程项目的后期运行维护成本。其中最典型的手段就是:设备的远程维护,包括监控、诊断、控制和远
程代码升级。这些功能的实施通常是借助外部公共网络平台远程操控。这些功能方便了系

统开发建造商,但给我们的大型(包括重点)工业项目的日后运行带来重大隐患。外部攻击者可以通过这些路由控制或改变、介入并控制 ICS 系统。从信息安全的角度应严格控制国外具有远程外部操作后门的 ICS 系统与装置进入国内核心工控系统。

另外,随着高性能的通用 PC 平台与工控系统对接,越来越多的工控核心装置采用 PC 硬件平台和微软操作系统作为系统的核心,这样做的好处是:借助 PC 平台和微软软件系统下的大量高性能软件资源降低开发成本。但这样做的危害是:

将工控系统置于PC 平台中的各种病毒和网络攻击的威胁下。虽然相关企业不断推出各种补丁与升级,但工控系统 24 小时常年不断的的运行模式使得这种间歇式的软件修补与升级显得非常无助。所以选用基于 PC 硬件平台和微软操作系统的底层 ICS 装置进入核心工控系统应该予以认真考虑。

5、 结束语 

综上分析,由于国家缺少支柱型的 ICS 装置与系统生产企业,使得我国的 ICS 信息安全受制于国外产品。实际上,国内相关行业与企业在进行 ICS 系统集成与开发时,通常也考虑到了相关问题。另外,大型 ICS 系统国内的产品开发配套能力

在过程自动化领域偏弱,应该借加强 ICS 信息安全的契机支持国内相关企业的发展壮大。

 

via:鹏越信息

原创文章,作者:Jekyll361,如若转载,请注明出处:https://www.ek7.cn/uncategorized/94.html

(1)
上一篇 2016年8月4日 上午9:25
下一篇 2016年11月12日 上午10:51

相关推荐

发表回复

您的电子邮箱地址不会被公开。 必填项已用*标注

评论列表(4条)

分享本页
返回顶部