堵住工業控製係統安全漏洞
IT運維
作者：可為 詹峰 苗寧 滕征岑
隨著工業化與信息化的融合推進，以及以太網技術在工業控製係統中的大量應用，病毒和木馬對SCADA（數據采集與控製）係統的攻擊事件頻發，直接影響到公共基礎設施的安全，造成的損失不可估量。因此，目前國內外生產企業都十分重視工業控製係統的安全防護建設。但由於工控網絡存在著特殊性，商用的信息安全技術無法完全適用，解決工業控製係統安全問題需要有針對性的實施特殊措施。
工業控製係統安全嗎
近年來的典型工業控製係統入侵事件包括：2011年，黑客通過入侵數據采集與監控係統，使得美國伊利諾伊州城市供水係統的供水泵遭到破壞；2010年，“網絡超級武器”Stuxnet病毒通過針對性的入侵ICS係統，嚴重威脅到伊朗布什爾核電站核反應堆的安全運營； 2008年，攻擊者入侵波蘭某城市的地鐵係統，通過電視遙控器改變軌道扳道器，導致4節車廂脫軌等。造成這些事件的主要原因在於，工業控製係統在考慮效率和實時性的同時，安全性卻沒有成為考量的主要指標，安全漏洞導致整個控製係統的安全性相當脆弱。隨著越來越多的控製網絡係統通過信息網絡連接到互聯網上，工控係統所麵臨的安全威脅必然日趨加大，解決安全防護問題刻不容緩。
工業控製係統ICS （Industrial Control Systems）由各種自動化控製組件和實時數據采集、監測的過程控製組件共同構成，包括智能電子設備（IED）、分布式控製係統（DCS）、可編程邏輯控製器（PLC）、遠程終端（RTU）、SCADA以及確保各組件通信的接口技術。工業控製係統廣泛運用於石油石化、冶金、勘探、電力、燃氣以及市政等領域，用於控製關鍵生產設備的運行。
典型的工業係統控製過程通常由HMI、控製回路、遠程診斷與維護工具三部分組件共同完成。HMI 執行信息交互，控製回路用以控製邏輯運算，遠程診斷與維護工具確保工業控製係統能夠穩定持續運行。同時，現場總線技術作為傳統的數據通訊方式廣泛地應用在工業控製中 ，經過多年的爭論後，現場總線國際標準IEC-61158放棄了其製定單一現場總線標準的初衷，最終發布了包括十種類型總線的國際標準。因此各大總線各具特點、不可互相替代的局麵得到世界工控界的認可。但多種現場總線協議和標準的共存，意味著在各總線之間實現相互操作、相互兼容的代價是高昂的、困難的。
與傳統的信息係統安全需求不同，工業控製係統設計需要兼顧應用場景與控製管理等多方麵因素，以優先確保係統的高可用性和業務連續性。在這種設計理念的影響下，缺乏有效的工業安全防禦和數據通信保密措施是很多工業控製係統所麵臨的通病。另外，目前控製器甚至遠程I/O支持以太網的功能越來越強，在有些控製器和遠程I/O模塊中已經集成了Web服務器，從而允許信息層的用戶也可以和控製層的用戶一樣直接獲取控製器和遠程I/O模塊中的當前狀態值，采用以太網架構和開放的軟件係統的製造企業因而被稱為“透明工廠”。而由於通過Internet可以實現對工業生產過程的實時遠程監控，將實時生產數據與ERP係統以及實時的用戶需求結合起來，使生產不隻是麵向訂單的生產，而是直接麵向機會和市場，從而使企業能夠適應經濟全球化的要求，企業紛紛聯網，這就令工控係統更加開放，也減弱了控製係統與外界的隔離。
工業控製網絡的安全漏洞
對工控係統而言，可能帶來直接隱患的安全漏洞主要包括以下幾種：
1、病毒與惡意代碼
病毒泛濫是眾所周知的安全隱患。在全球範圍內，每年都會發生數次大規模的病毒爆發，全球現已發現數萬種病毒，每天還會新生數十種。除了傳統意義上的具有自我複製能力、但必須寄生在其它實用程序中的病毒種類外，各種新型的惡意代碼更是層出不窮，如邏輯炸彈、特洛伊木馬、蠕蟲等，它們往往具有更強的傳播能力和破壞性。如蠕蟲病毒和傳統病毒相比，其最大的不同在於可以進行自我複製。傳統病毒的複製過程需要依賴人工幹預，而蠕蟲卻可以自己獨立完成，破壞性和生命力自然強大得多。