绿盟工控漏洞扫描系统产品白皮书

Size: px

Start display at page:

Download "绿盟工控漏洞扫描系统产品白皮书"

协平
5 years ago
Views:

2 目录一. 概述... 1 二. 工控安全评估面临的挑战工业控制系统面临更加苛刻的安全性要求如何把成熟的 IT 风险评估技术移植到工业控制系统环境中... 4 三. 绿盟工控漏洞扫描系统产品概述产品特性覆盖多样的工业控制系统基于协议转换的漏洞扫描技术无损扫描技术可视化的工控风险展示基于工控资产的漏洞跟踪完善的漏洞管理流程高可靠的自身安全性持续快速漏洞响应机制典型部署模式四. 结语五. 附录... 12

一. 概述实现以数字化智能化网络化为特点的工业信息化建设已经成为我国两化融合的重要目标, 党的十八大提出要坚持走中国特色新型工业化信息化城镇化农业现代化道路相比西方发达国家因为历史原因形成的先工业化再信息化的发展路径 ( 比如德国政府在 2013 年提出的工业 4.

3 一. 概述实现以数字化智能化网络化为特点的工业信息化建设已经成为我国两化融合的重要目标, 党的十八大提出要坚持走中国特色新型工业化信息化城镇化农业现代化道路相比西方发达国家因为历史原因形成的先工业化再信息化的发展路径 ( 比如德国政府在 2013 年提出的工业 4.0 国家战略 ), 我国成功抓住了新一轮全球科技革命和产业变革机遇, 实现了工业化和信息化同步发展而工业控制系统在工业信息化中有着举足轻重的位置, 其广泛应用于工业电力能源交通运输水利公用事业和生产企业, 被控对象的范围包括生产过程机械装置交通工具实验装置仪器仪表家庭生活设施家用电器等它通过对工作过程进行自动化监测指挥控制和调节, 保证工业设施的正常运转, 是国家关键基础设施和信息系统的重要组成部分同时, 正因为这些关键基础设施在国计民生中的重要性, 也往往成为国际敌对势力敌对组织黑客的攻击目标 ICS-CERT 公布数据中,2013 年全年的工控安全事件达 632 件, 其中多集中能源行业 (59%) 和关键制造业 (20%), 工控安全事件呈快速增长的趋势 ( 如图 1-1 所示 ) 图 1-1 ICS-CERT 历年的公布工控安全事件统计分析密级 : 完全公开

4 其中 : 1 代表性的伊朗布什尔核电站震网病毒事件自从 2010 年震网病毒 Flame Duqu7 事件的爆发, 因其危害的规模发起者的属性 ( 国家级别 ) 操作的复杂性, 震惊了全世界, 也极大促使了各国政府对工控安全的重视 2 专门针对工控系统的新型攻击 Havex 2014 年又出现了继震网病毒以后的超级病毒, 专门针对工控系统的新型攻击 Havex, 其变种多 (F-Secure 声称他们已收集和分析了 Havex RAT 的 88 个变种 ) 危害大(Havex 可感染 SCADA 和工控系统中使用的工业控制软件, 这种木马可能有能力禁用水电大坝使核电站过载, 甚至可以做到按一下键盘就能关闭一个国家的电网 ) 范围广(ICS-CERT 的安全通告称当前至少已发现 3 个著名的工业控制系统提供商的 Web 网站已受到该恶意代码的感染 ) 3 持续威胁的黑客组织蜻蜓组织在 2014 年 1 月, 网络安全公司 CrowdStrike 曾披露了一项被称为 Energetic Bear 的网络间谍活动, 在这项活动中黑客们可能试图渗透欧洲美国和亚洲能源公司的计算机网络根据赛门铁克的研究报告称, 黑客组织 Energetic Bear 也被称为蜻蜓 Dragonfly, 这是一个至少自 2011 年起便开始活跃的东欧黑客团体蜻蜓组织最初的攻击目标是美国和加拿大的国防和航空企业, 但从 2013 年开始, 蜻蜓组织的主要目标转向许多国家的石油管道运营商发电企业和其他能源工控设备提供商, 即以那些使用工控系统来管理电水油气和数据系统的机构为新的攻击目标总的来说, 面对攻击技术与手段日益先进复杂成熟的针对工控系统进行攻击的行为, 工控系统所面临的安全威胁也将日益严峻而通过对这些众多的工控安全事件深入分析可以看到, 其有一个核心的关键环节就是利用了工业控制系统的漏洞, 进而攻陷了整个工业控制系统而工业控制系统公开的漏洞也是呈现出快速增长的趋势 ( 如图 1-2 所示 ) 密级 : 完全公开

图 1-2 公开的 ICS 漏洞的年度变化趋势其中 : 1 公开漏洞中以 SCADA/HMI 系统相关的漏洞为主, 其占比超过 40% 2 2014 年的新增漏洞中高危漏洞 (CVSS 值范围 7.0~10.0) 超过一半 (51%), 且基本上都是严重性程度为中以上 (CVSS 值大于等于 4.

5 图 1-2 公开的 ICS 漏洞的年度变化趋势其中 : 1 公开漏洞中以 SCADA/HMI 系统相关的漏洞为主, 其占比超过 40% 年的新增漏洞中高危漏洞 (CVSS 值范围 7.0~10.0) 超过一半 (51%), 且基本上都是严重性程度为中以上 (CVSS 值大于等于 4.0) 的漏洞 3 公开漏洞所涉及的工业控制系统厂商仍然是以国际著名的工业控制系统厂商为主, 西门子 (Siemens) 施耐德电气(Schneider) 研华科技(Advantech) 通用电气(GE) 与罗克韦尔 (Rockwell) 占据漏洞数排行榜的前五名因此, 如何在黑客成功攻击工业控制系统之前帮助企业发现漏洞, 进而促使其完善系统, 成为保障工业控制系统安全运行增强企业安全健壮性的必要手段二. 工控安全评估面临的挑战 2.1 工业控制系统面临更加苛刻的安全性要求在工业控制系统中, 无论是一次系统还是二次系统, 以及间隔层还是过程层, 业务的连续性健康性是至关重要的, 尤其对石化电力交通核工业水利等行业的核心监控生产系统而工业控制系统由于其长期封闭独立的特性, 造成了在安全方面建设的欠缺, 密级 : 完全公开

6 不具备更多的容错处理, 比如异常指令的处理, 不具备较大压力的处理, 比如快速数据传输访问等工业控制系统安全性相比 IT 环境的一些主要区别包括 : 1 工业控制系统安全问题将直接对物理环境造成影响, 有可能导致死亡受伤环境破坏和大规模关键业务中断等 2 工业控制系统安全相比 IT 安全有更广泛的威胁向量, 包括安全限制和特有网络协议的支持 3 工业控制系统安全涉及的系统厂商多, 测试和开发环境多种多样 4 一些工业控制系统安全环境面临预算限制, 这是与那些需要严格监管的 IT 不同之处 5 在传统的安全性和可用性作为主要安全特性的 IT 行业, 工业控制系统行业还会关注对产品质量的协调影响, 运营资产和下游后果的安全问题 2.2 如何把成熟的 IT 风险评估技术移植到工业控制系统环境中在面对与 IT 系统不一样的安全性要求的工业控制系统时, 如果把成熟的 IT 风险评估技术移植到工业控制系统中成为必须解决的问题, 主要包括两个方面 : 1 如何覆盖多样的工业控制系统在安全风险评估时, 不仅需要对在工业控制系统中使用的传统 IT 设备 / 系统, 比如操作系统交换机路由器弱口令 FTP 服务器 Web 服务器等, 进行安全评估, 还需要覆盖工业控制系统中所特有的设备 / 系统, 比如 SCADA DCS PLC 等, 以及处于上游的数字化设计制造软件等 ; 同时, 不仅要包括对漏洞的评估, 还需要对一些关键系统的配置进行安全性评估 ; 以及需要对主流的工控协议的支持同时, 根据 IHS 最近的研究报告 2013 全球工业以太网和现场总线技术中的调查显示, 从 2011 年到 2016 年, 虽然新增加网络节点的总数量将会增加超过 30%, 但是现场总线和以太网产品的混合产品数量将会基本维持不变, 从 23% 到 26% 仅仅增加 3 个百分点由于技术更新的成本难度, 老式工业总线很难都替换成支持以太网的新式总线因此, 需要有一种有效地手段, 可以对基于老式总线工业控制系统进行漏洞扫描 2 如何保障业务的连续性和健康性密级 : 完全公开

7 工业控制系统因为其使用特性, 相比传统的 IT 系统, 其连续性和健康性要求会更高, 尤其像电网交通市政等这些行业, 工业控制系统的中止或故障将带来非常大的经济社会影响 ; 同时, 有的系统上线后甚至要求几年十几年不能停止因此这对这种更加苛刻的要求, 需要在安全评估工作中保障业务的连续性和健康性三. 绿盟工控漏洞扫描系统面对全新的工控安全威胁, 主管 / 监管机构在检查和评估其安全问题, 以及企业在安全自查时急需一款专门面向工业控制系统的漏洞扫描工具, 为了满足此需求, 绿盟科技推出了专门面向工业控制系统的漏洞扫描产品绿盟工控漏洞扫描系统 (NSFOCUS Industrial Control Systems Vulnerability Scanning System, 简称 NSFOCUS ICSScan), 实现了针对 SCADA 现场总线数字化设计制造软件的漏洞扫描, 实现了针对 Schneider Siemens VxWorks 等 DCS 控制器嵌入式软件 ( 包括 PLC 等 ) 的漏洞扫描, 具备了发现漏洞评估漏洞展示漏洞跟踪漏洞等完备的漏洞管理能力 3.1 产品概述 NSFOCUS ICSScan 主要由系统接入层系统核心层基础平台层三个部分组成, 可以在各种网络环境中进行灵活的部署和管理, 具体组成部分包括 : 1 基础平台层使用专用的硬件平台, 提供可靠稳定的硬件环境, 辅助以系统运行的必须软件, 组成基础平台层, 在支持传统网络协议的基础上, 支持工业网络协议 2 系统核心层主要是漏洞扫描引擎, 包含传统主机完整扫描过程的一系列核心功能, 存活判断, 端口扫描, 服务识别,OS 判断, 口令猜测等 ; 具备 PLC 设备的识别功能以及 DCS PCS SCADA 系统识别功能融入传统 IT 主机的配置核查功能 ; 融入 Web 站点的扫描功能 ; 密级 : 完全公开

最后加入对设备扫描的完整报表输出功能 ; 证书系统辅助控制模块输出, 并加入升级系统保证系统的可维护性 3 系统接入层主要负责系统自身和任务下发的接入管理系统自身提供 Web 和 Consle 两种管理模式, 更为完善的进行配置管理 ; 任务下发可从 Web 端以及开发的二次开发接口远程下发其主要工作原理如图 3-1 所示 : 图 3-1 绿盟工控漏洞扫描系统工作原理示意图 3.

8 最后加入对设备扫描的完整报表输出功能 ; 证书系统辅助控制模块输出, 并加入升级系统保证系统的可维护性 3 系统接入层主要负责系统自身和任务下发的接入管理系统自身提供 Web 和 Consle 两种管理模式, 更为完善的进行配置管理 ; 任务下发可从 Web 端以及开发的二次开发接口远程下发其主要工作原理如图 3-1 所示 : 图 3-1 绿盟工控漏洞扫描系统工作原理示意图 3.2 产品特性覆盖多样的工业控制系统 NSFOCUS ICSScan 不仅能对在工业控制系统中使用的传统 IT 设备 / 系统, 比如操作系统交换机路由器弱口令 FTP 服务器 Web 服务器等, 进行安全评估, 还可以针对工业控制系统中所特有的设备 / 系统, 比如 SCADA DCS PLC 等, 以及处于上游的数字化设计制造软件进行漏洞扫描 ; 同时, 不仅可以对系统的漏洞进行评估, 还可以对一些关键系统的配置进行安全性评估 ; 同时, 还可对主流的工控协议进行支持密级 : 完全公开

9 支持对 Advantech BroadWin Citect 7-Technologies Measuresoft WellinTech 等 SCADA/HMI 应用进行漏洞扫描支持对 Schneider Siemens VxWorks 等 DCS 控制器嵌入式软件 ( 包括 PLC) 进行漏洞扫描支持 RS485 CAN 等主流现场总线支持对数字化设计制造软件平台 ( 如产品数据管理 PDM 专用数控机床通信软件 extremednc 高级设计系统 ADS 等 ) 进行漏洞扫描基于协议转换的漏洞扫描技术根据最近的研究报告, 老式现场总线和以太网总线混合的现状将长期存在主要有两种总线协议需要转换 : 一个是 RS485; 一个是 CAN 以下对 RS485 和 CAN 的转换技术进行详述 : 1 RS485 RS485 在工控行业中的适用范围广泛应用于石化电力交通烟草制造行业等工业自动化控制领域, 工控协议主要采用了 PROFIBUS-DP MODBUS 等主流的工控协议解决方案通过 RS485 转以太网设备, 使得基于以太网的漏洞扫描产品可以与基于 RS485 通讯接口的工控设备进行通讯, 加上漏洞扫描产品对工控协议的支持, 实现了对基于 RS485 串口的老式工业总线设备的漏洞扫描密级 : 完全公开

10 SCADA 老式的现场总线布线 (RS485) 保留原有串行通讯 PLC PLC PLC RS485/ 以太网转换器工控漏洞扫描系统采用以太网进行连接图 3-2 基于 RS485/ 以太网转换的漏洞扫描方案 2 CAN CAN 在工控总线中的适用范围广泛应用于石化电力交通烟草制造行业等工业自动化控制领域, 工控协议主要采用了 Devicenet Ctrlnet Ethernet IP 等主流的工控协议解决方案通过 CAN 转以太网设备, 使得基于以太网的漏洞扫描产品可以与基于 CAN 通讯接口的工控设备进行通讯, 加上漏洞扫描产品对工控协议的支持, 实现了对基于 CAN 工业总线设备的漏洞扫描 SCADA CAN 总线布线保留原有 CAN 通讯 PLC PLC PLC CAN/ 以太网转换器工控漏洞扫描系统采用以太网进行连接图 3-3 基于 CAN/ 以太网转换的漏洞扫描方案密级 : 完全公开

11 3.2.3 无损扫描技术在工业控制系统中, 业务的连续性健康性是至关重要的, 尤其是对一些核心监控生产系统, 因此, 对其进行漏洞扫描时也需要做到无害无损绿盟工控漏洞扫描系统采用把扫描融入到正常的业务中的思路, 也就是说, 扫描行为与正常的业务行为是一致的, 这样就能避免非正常的操作而造成对系统的影响同时, 绿盟科技的这种独创的技术已经在石化电力交通政府企业等传统 IT 系统上获得了上千个实际用户场景的验证, 通过引进这种成熟的技术, 以实现对工业控制系统的无损漏洞扫描可视化的工控风险展示风险可视化是进行风险管控必不可少的特性科学的风险发现风险跟踪技术可以很好的提高整体风险控制的水平, 可为企业带来更高的效率, 有的甚至可以提高效果绿盟科技根据多年的经验积累, 采用了更具实效性的仪表盘技术, 从不同的角度展示设备风险及趋势包含资产整体的风险值资产分析趋势图包含主机风险等级分布资产风险分布趋势能够可视化的显示当前资产的风险值及过去一段时间的变化趋势基于工控资产的漏洞跟踪工控系统一般规模大, 资产数量漏洞数量脆弱性问题也很多, 汇总成大量的风险数据, 会使安全管理人员疲于应付, 又不能保证对重要资产的及时修补因此在漏洞跟踪是需要尽量收集工控系统环境信息, 建立起工控资产关系列表, 系统基于资产信息进行脆弱性扫描和分析报告 ; 需要从风险发生区域类型严重程度进行不同维度的分类分析报告, 用户可以全局掌握安全风险, 关注重点区域重点资产, 对严重问题优先修补对于需要定位工控资产安全脆弱性的安全维护人员, 通过直接点击仪表盘风险数据, 可以逐级定位风险, 直至定位到具体主机具体漏洞 ; 同时需要提供了强大的搜索功能, 可以根据资产范围风险程度等条件搜索定位风险密级 : 完全公开

3.2.6 完善的漏洞管理流程安全管理不只是技术, 更重要的是通过流程制度对安全脆弱性风险进行控制, 很多公司制定了安全流程制度, 但仍然有安全事故发生, 人员对流程制度的执行起到关键作用, 如何融入管理流程, 并促进流程的执行是安全脆弱性管理产品需要解决的问题图 3-4

7 高可靠的自身安全性产品本身采用独立的硬件平台, 数据分区加密,Web 站点访问采用 HTTPS 方式访问 ; 产品本身屏蔽关键扫描服务外的其他服务端口 ; 产品涉及用户更密码的地方都加密处理, 保证密码的安全性 ; 产品相关任务, 日志, 数据等导出都采用独立的加密处理 ;

12 3.2.6 完善的漏洞管理流程安全管理不只是技术, 更重要的是通过流程制度对安全脆弱性风险进行控制, 很多公司制定了安全流程制度, 但仍然有安全事故发生, 人员对流程制度的执行起到关键作用, 如何融入管理流程, 并促进流程的执行是安全脆弱性管理产品需要解决的问题图 3-4 工控漏洞管理流程安全管理流程制度一般包括预警检测分析管理修补审计等几个环节, 结合安全流程中的预警检测分析管理审计环节, 并通过事件告警督促安全管理人员进行风险修补高可靠的自身安全性产品本身采用独立的硬件平台, 数据分区加密,Web 站点访问采用 HTTPS 方式访问 ; 产品本身屏蔽关键扫描服务外的其他服务端口 ; 产品涉及用户更密码的地方都加密处理, 保证密码的安全性 ; 产品相关任务, 日志, 数据等导出都采用独立的加密处理 ; 产品升级及证书系统采用高等的数据加密处理 ; 提供独立的产品诊断 Consle, 保证系统的可维护性持续快速漏洞响应机制绿盟科技组建了专门的工控漏洞研究和分析小组, 通过多种渠道持续跟踪国内外最新发布的工控漏洞, 并通过自建合作等方式搭建工控漏洞实验环境, 对工控漏洞进行分析和解剖, 并把漏洞扫描的能力持续添加到产品中这种严谨科学的漏洞规则添加方式, 可以更加密级 : 完全公开

13 有效地保证检测的准确性, 以及减少从漏洞发现到漏洞检测之间的时间窗口, 达到持续快速的漏洞响应效果 3.3 典型部署模式采用远程访问的方式, 网络可达即可 ; 并连接现有的网络, 不做网络的任何修改 ; 可覆盖传统的 IT 系统, 也可覆盖工控系统, 如下图所示 : 运营管理层 PDM ERP 数据库管理终端设计终端生产终端生产管理层 EMS 系统 SCADA 系统数据库运维终端 ICSScan 监督管理层 OPC Server 历史数据库工程师站操作员站现场控制层远程 VPN 接入设备 PLC PLC PLC PLC PLC PLC PLC PLC PLC 图 3-5 绿盟工控漏洞扫描系统典型部署方式四. 结语由于工业控制系统所覆盖的行业重要性, 比如油化电力核电厂水利交通市政军事高端制造业等, 其安全性问题也越发的重要, 并且牵涉到国计民生对于这些重要的基础工业设施, 如何进行安全性检查, 如何发现潜在的问题, 成为亟待解决的问题 NSFOCUS ICSScan 作为国内首款可以专门针对这些工业控制系统进行安全评估的工具, 可以很好地帮助国家监管机构测试评级行业主管机构等对工业控制系统进行全方位密级 : 完全公开

14 的风险评估 ; 同时, 也很好地帮助把成熟的 IT 风险评估技术成功移植到全新的工业控制系统环境中五. 附录参考文献 : 1 [ 工信部 451] 关于加强工业控制系统信息安全管理的通知, 工信部协 [2011]451 号 2 [ 电监会 2005] 电监会 5 号令电力二次系统安全防护规定 3 [ 电监会 2013] 电监会 2013 年 50 号文, 电力工控信息安全专项监管工作方案 4 [ 国家烟草局 2013] 国家烟草局烟草工业企业生产区与管理区网络互联安全规范 5 [ 国家能源局,2013] 国家能源局国家能源局关于近期重点专项监管工作的通知 ( 国能监管号 ) 6 [ 绿盟科技 ] 绿盟科技 2014 绿盟科技工控系统安全态势报告 7 [Gartner] Gartner Definition: Operational Technology Security CONTROL ENGINEERING China 如何实现以太网的快速迁移密级 : 完全公开

2014绿盟科技工控系统安全态势报告

2014绿盟科技工控系统安全态势报告 NSFOCUS 2014 ICS SECURITY REPORT 2014 绿盟科技工控系统安全态势报告 NSFOCUS ICS SECURITY REPORT 2014 年 8 月本报告分析了工控系统自身的脆弱性以及所面临的安全威胁发展态势, 着重对工控安全产业生态环境进行了调研