关 于 绿 盟 科 技 北 京 神 州 绿 盟 信 息 安 全 科 技 股 份 有 限 公 司 ( 简 称 绿 盟 科 技 ) 成 立 于 2000 年 4 月, 总 部 位 于 北 京 在 国 内 外 设 有 30 多 个 分 支 机 构, 为 政 府 运 营 商 金 融 能 源 互 联 网 以

Transcription

1 2015 NSFOCUS ICS Security Framework Whitepaper 2015 绿 盟 科 技 工 控 安 保 框 架 白 皮 书 2016 绿 盟 科 技

2 关 于 绿 盟 科 技 北 京 神 州 绿 盟 信 息 安 全 科 技 股 份 有 限 公 司 ( 简 称 绿 盟 科 技 ) 成 立 于 2000 年 4 月, 总 部 位 于 北 京 在 国 内 外 设 有 30 多 个 分 支 机 构, 为 政 府 运 营 商 金 融 能 源 互 联 网 以 及 教 育 医 疗 等 行 业 用 户, 提 供 具 有 核 心 竞 争 力 的 安 全 产 品 及 解 决 方 案, 帮 助 客 户 实 现 业 务 的 安 全 顺 畅 运 行 基 于 多 年 的 安 全 攻 防 研 究, 绿 盟 科 技 在 网 络 及 终 端 安 全 互 联 网 基 础 安 全 合 规 及 安 全 管 理 等 领 域, 为 客 户 提 供 入 侵 检 测 / 防 护 抗 拒 绝 服 务 攻 击 远 程 安 全 评 估 以 及 Web 安 全 防 护 等 产 品 以 及 专 业 安 全 服 务 北 京 神 州 绿 盟 信 息 安 全 科 技 股 份 有 限 公 司 于 2014 年 1 月 29 日 起 在 深 圳 证 券 交 易 所 创 业 板 上 市 交 易 股 票 简 称 : 绿 盟 科 技 股 票 代 码 : 关 于 作 者 王 晓 鹏 wangxiaopeng@nsfocus.com 绿 盟 科 技 工 控 安 全 项 目 总 监, 长 期 从 事 工 控 安 全 研 究, 具 有 多 年 的 工 控 安 全 项 目 经 验, 参 与 多 项 国 家 工 控 安 全 标 准 的 制 定 ; 工 控 安 全 产 业 联 盟 理 事 国 家 工 控 安 全 工 程 实 验 室 技 术 专 家 委 员 侯 云 晓 绿 盟 科 技 高 级 咨 询 顾 问, 长 期 从 事 工 控 安 全 研 究, 参 与 并 主 持 工 业 控 制 系 统 相 关 的 安 全 服 务 解 决 方 案 开 发, 参 与 多 项 针 对 大 型 工 控 设 施 的 安 全 评 估 和 咨 询 服 务 冯 冲 fengchong@nsfocus.com 绿 盟 科 技 烟 草 行 业 资 深 安 全 顾 问, 主 持 和 参 与 多 项 烟 草 行 业 的 信 息 安 全 规 划 和 建 设 项 目 王 涛 wangtao2@intra.nsfocus.com 绿 盟 科 技 能 源 行 业 安 全 顾 问, 主 持 和 参 与 多 项 能 源 行 业 的 信 息 安 全 规 划 和 建 设 项 目

3 目 录 01 工 业 控 制 系 统 安 全 新 态 势 工 业 信 息 化 的 新 态 势 工 业 能 源 互 联 网 互 联 网 + 时 代 的 工 控 安 全 工 业 控 制 系 统 安 全 的 新 态 势 国 际 安 全 形 式 的 变 化 国 家 政 策 的 指 引 工 业 控 制 系 统 安 全 需 求 的 变 化 6 02 工 业 控 制 系 统 安 全 技 术 演 进 路 线 图 攻 击 技 术 路 线 工 控 安 全 技 术 的 发 展 总 体 安 全 保 障 框 架 电 力 行 业 工 控 安 全 解 决 思 路 / 保 障 框 架 火 电 控 制 系 统 逻 辑 架 构 主 要 控 制 系 统 之 间 的 逻 辑 关 系 发 电 控 制 系 统 面 临 的 主 要 安 全 威 胁 安 全 防 护 的 原 则 安 全 防 护 的 思 路 石 油 石 化 行 业 安 全 解 决 思 路 / 保 障 框 架 石 油 石 化 行 业 综 述 油 气 田 工 业 控 制 系 统 现 状 安 全 风 险 分 析 安 全 防 护 思 路 烟 草 行 业 安 全 解 决 思 路 卷 烟 生 产 应 用 系 统 架 构 烟 草 工 业 企 业 生 产 网 架 构 烟 草 行 业 工 业 控 制 安 全 风 险 描 述 烟 草 工 业 控 制 网 络 安 全 防 护 思 路 总 结 工 控 安 全 发 展 综 述 附 录 41 缩 略 语 中 英 文 对 照 41

4 内 容 提 要 根 据 2014 年 ICS-CERT 发 布 的 数 据, 工 业 控 制 系 统 硬 件 制 造 行 业 发 生 的 网 络 渗 透 事 件 高 达 65 例, 占 总 比 的 27% 其 2014 的 年 度 报 告 显 示, 在 所 有 的 攻 击 事 件 中,55% 的 被 调 查 事 件 显 示, 高 级 持 续 性 威 胁 被 用 于 攻 击 工 业 控 制 系 统 的 安 全 漏 洞 另 有 部 分 安 全 风 险 来 自 黑 客 活 动 网 络 罪 犯 以 及 机 构 的 内 部 威 胁 从 2010 年 震 网 病 毒 事 件 到 2015 年 乌 克 兰 电 力 攻 击 事 件, 绿 盟 科 技 持 续 跟 踪 分 析 这 些 工 控 系 统 安 全 事 件 中, 并 陆 续 发 布 多 份 工 控 安 全 研 究 报 告, 同 时 持 续 与 合 作 伙 伴 一 起 进 行 深 入 实 践 在 多 年 沉 淀 和 经 验 积 累 后, 绿 盟 科 技 总 结 出 工 业 控 制 系 统 的 攻 击 路 线 图, 并 在 此 基 础 上 给 出 工 控 系 统 总 体 安 全 保 障 框 架, 该 框 架 基 于 绿 盟 科 技 对 工 控 系 统 安 全 需 求 的 理 解, 结 合 国 内 工 控 安 全 的 规 范 要 求 及 国 外 相 关 标 准 内 容, 提 出 从 技 术 管 理 和 运 行 三 个 维 度 来 保 障 工 控 系 统 安 全, 这 些 维 度 包 含 网 络 边 界 防 护 安 全 纵 深 防 护 安 全 运 行 管 理 和 安 全 管 理 制 度 要 求 等 几 个 方 面, 涉 及 从 上 线 前 的 安 全 检 测 安 全 能 力 部 署 安 全 运 行 三 个 阶 段, 覆 盖 工 业 控 制 系 统 运 行 周 期 的 安 全 保 障 本 次 白 皮 书 还 着 重 分 析 了 电 力 行 业 石 油 石 化 行 业 烟 草 行 业 工 控 安 全 面 临 的 主 要 威 胁, 并 给 出 了 解 决 思 路 及 保 障 框 架, 为 保 障 业 务 顺 利 进 行 提 供 了 建 设 性 意 见, 强 烈 推 荐 该 行 业 从 业 人 员 了 解 并 探 讨 绿 盟 科 技 历 次 工 控 安 全 报 告 序 列 报 告 主 题 研 究 内 容 第 1 报 告 工 控 安 全 问 题 漏 洞 及 威 胁 第 2 报 告 工 控 安 全 性 分 析 协 议 漏 洞 及 攻 击 场 景 第 3 报 告 工 控 安 全 威 胁 APT 及 变 电 站 自 来 水 厂 业 务 环 境 第 4 报 告 工 控 安 全 发 展 态 势 政 策 行 业 厂 商 及 生 态 环 境 本 次 报 告 工 控 安 保 框 架 技 术 演 进 电 力 石 油 石 化 及 烟 草 生 产 系 统 如 果 您 需 要 了 解 更 多 信 息, 请 联 系 : 扫 描 二 维 码, 在 线 看 报 告

5 01 01 工 业 控 制 系 统 安 全 新 态 势

6 2015 绿 盟 科 技 工 控 安 保 框 架 白 皮 书 NSFOCUS ICS Security Framework Whitepaper 1.1 工 业 信 息 化 的 新 态 势 工 业 4.0 在 2011 年 德 国 举 办 的 工 业 设 备 展 览 会 汉 诺 威 工 业 博 览 会 2011 上 工 业 4.0 的 概 念 被 首 次 提 出, 在 两 年 后 的 汉 诺 威 工 业 博 览 会 2013 上 发 布 了 最 终 报 告, 开 始 实 施 工 业 4.0 的 国 家 战 略 德 国 作 为 制 造 业 大 国, 希 望 在 未 来 制 造 业 的 各 个 环 节 中 通 过 应 用 互 联 网 技 术, 将 数 字 信 息 与 现 实 社 会 之 间 的 联 系 可 视 化, 将 生 产 工 艺 与 管 理 流 程 全 面 融 合 由 此 实 现 智 能 工 厂, 并 生 产 出 智 能 产 品 与 此 同 时 美 国 也 提 出 了 工 业 互 联 网 的 概 念, 其 将 关 注 点 放 在 设 备 互 联 数 据 分 析 以 及 数 据 基 础 上 对 业 务 的 洞 察, 希 望 利 用 互 联 网 使 传 统 的 工 业 互 联 互 通, 并 着 力 关 注 云 计 算 和 大 数 据 技 术 在 此 过 程 中 的 运 用 可 以 看 到, 虽 然 德 国 的 工 业 4.0 与 美 国 的 工 业 物 联 网 的 实 施 路 径 逻 辑 思 路 发 展 重 点 都 有 所 区 别, 但 究 其 根 本 他 们 的 目 标 是 一 致 的, 就 是 实 现 智 能 制 造, 实 现 互 联 网 技 术 和 工 业 的 融 合 我 国 政 府 在 制 定 中 国 制 造 2025 的 过 程 中, 也 紧 盯 新 一 轮 产 业 发 展 的 潮 流, 并 结 合 我 国 国 情 选 择 了 更 易 实 现 的 工 业 4.0 路 径, 与 德 国 开 展 多 领 域 的 广 泛 丰 富 的 合 作, 大 力 发 展 工 业 现 代 化, 力 求 将 我 国 的 工 业 一 起 并 联 的 到 工 业 4.0 随 着 国 际 国 内 工 业 互 联 网 工 业 4.0 中 国 制 造 2025 战 略 的 提 出, 工 业 生 产 的 数 字 化 已 然 成 为 一 种 不 可 阻 挡 的 未 来 趋 势, 高 度 融 合 IT 技 术 的 工 业 自 动 化 应 用 将 会 得 到 迅 速 而 广 泛 的 使 用, 对 于 工 业 控 制 系 统 的 信 息 安 全 的 关 注 也 将 达 到 前 所 未 有 的 高 度 和 广 度 能 源 互 联 网 能 源 是 现 代 社 会 赖 以 生 存 和 发 展 的 基 础, 随 着 社 会 的 快 速 发 展, 建 立 在 传 统 石 化 能 源 基 础 上 的 能 源 发 展 方 式 已 经 难 以 为 继, 从 当 前 和 长 远 看, 要 实 现 能 源 的 可 持 续 发 展, 研 究 和 解 决 世 界 能 源 发 展 问 题, 各 国 都 在 积 极 研 究 新 型 能 源 技 术, 以 及 对 于 可 再 生 能 源 的 有 效 利 用 方 式, 能 源 互 联 网 概 念 由 此 应 运 而 生 目 前 对 能 源 互 联 网 的 普 遍 认 识 是 综 合 运 用 先 进 的 电 力 电 子 技 术 信 息 技 术 和 智 能 管 理 技 术, 将 大 量 由 分 布 式 能 量 采 集 装 置 分 布 式 能 量 储 存 装 置 和 各 种 类 型 负 载 构 成 的 新 型 电 力 网 络 石 油 网 络 天 然 气 网 络 等 能 源 节 点 互 联 起 来, 以 实 现 能 量 双 向 流 动 的 能 量 对 等 交 换 与 共 享 网 络 在 能 源 互 联 网 中 将 运 用 先 进 的 传 感 器 控 制 和 软 件 应 用 程 序, 将 能 源 生 产 端 能 源 传 输 端 能 源 消 费 端 的 数 以 亿 计 的 设 备 机 器 系 统 连 接 起 来, 形 成 能 源 互 联 网 的 物 联 基 础 大 数 据 分 析 机 器 学 习 和 预 测 等 技 术 将 成 为 能 源 互 联 网 实 现 生 命 体 特 征 的 重 要 技 术 支 撑, 能 源 互 联 网 通 过 整 合 运 行 数 据 天 气 数 据 气 象 数 据 电 网 数 据 电 力 市 场 数 据 等 多 种 类 型 的 海 量 数 据, 进 行 大 数 据 分 析 负 荷 预 测 发 电 预 测 机 器 学 习, 打 通 并 优 化 能 源 生 产 和 能 源 消 费 端 的 运 作 效 率, 需 求 和 供 应 将 可 以 进 行 随 时 的 动 态 调 整 能 源 互 联 网 目 前 还 在 规 划 和 尝 试 建 设 阶 段, 未 来 能 源 互 联 网 必 将 成 为 社 会 生 活 的 重 要 组 成 部 分, 为 社 会 的 发 展 提 供 有 力 的 推 动 由 于 其 对 移 动 互 联 网 等 IT 技 术 的 应 用, 以 及 其 数 据 的 巨 大 价 值, 其 必 将 成 为 安 全 攻 击 的 重 要 目 标, 因 此 需 要 在 规 划 和 建 设 的 初 期 就 对 其 可 能 面 临 的 安 全 风 险 进 行 分 析, 并 同 步 规 划 应 对 的 安 全 防 范 措 施 2

7 白 皮 书 2015 绿 盟 科 技 工 控 安 保 框 架 互 联 网 + 时 代 的 工 控 安 全 我 国 政 府 在 今 年 年 初 提 出 了 互 联 网 + 行 动 计 划, 推 动 生 产 制 造 模 式 的 变 革, 产 业 的 组 织 创 新 以 及 产 业 结 构 升 级 随 着 该 计 划 的 推 进 网 络 和 信 息 技 术 将 渗 透 到 各 个 传 统 的 行 业, 使 得 传 统 行 业 的 基 础 设 施 能 够 进 行 远 程 的 智 能 化 控 制 和 操 作 通 过 传 统 行 业 与 互 联 网 技 术 的 结 合 就 形 成 了 物 联 网 工 业 互 联 网 信 息 物 理 系 统 智 慧 城 市 等 新 兴 领 域, 究 其 核 心 就 是 网 络 互 连 在 网 络 互 连 的 大 背 景 下, 工 业 控 制 系 统 的 互 连 已 经 成 为 不 可 避 免 的 趋 势 通 过 网 络 互 连 一 方 面 可 以 提 高 生 产 力 和 创 新 能 力, 减 少 工 业 能 源 及 资 源 消 耗, 助 力 产 业 模 式 转 型 升 级 ; 但 另 一 方 面 也 会 因 为 网 络 互 联 而 诱 发 一 系 列 网 络 安 全 问 题 工 业 控 制 系 统 设 计 之 初 是 为 了 完 成 各 种 实 时 控 制 功 能, 并 没 有 考 虑 到 安 全 防 护 方 面 的 问 题, 通 过 网 络 互 联 将 他 们 暴 露 在 互 联 网 上, 无 疑 将 给 他 们 所 控 制 的 关 键 基 础 设 施 重 要 系 统 等 都 带 来 巨 大 的 安 全 风 险 和 隐 患 从 近 几 年 网 络 攻 击 的 发 展 趋 势 来 看, 目 前 工 业 控 制 系 统 遭 受 的 网 络 攻 击 已 经 成 为 各 国 政 府 所 面 临 的 最 严 重 的 国 家 安 全 挑 战 之 一 1.2 工 业 控 制 系 统 安 全 的 新 态 势 工 业 控 制 系 统 广 泛 用 于 冶 金 电 力 石 油 石 化 核 能 等 工 业 生 产 领 域, 以 及 航 空 铁 路 公 路 地 铁 等 公 共 服 务 领 域, 是 国 家 关 键 生 产 设 施 和 基 础 设 施 运 行 的 中 枢 从 工 业 控 制 系 统 自 身 来 看, 随 着 计 算 机 和 网 络 技 术 的 发 展, 尤 其 是 信 息 化 与 工 业 化 深 度 融 合, 工 业 控 制 系 统 越 来 越 多 地 采 用 通 用 协 议 通 用 硬 件 和 通 用 软 件, 通 过 互 联 网 等 公 共 网 络 连 接 的 业 务 系 统 也 越 来 越 普 遍, 这 使 得 针 对 工 业 控 制 系 统 的 攻 击 行 为 大 幅 度 增 长, 也 使 得 工 业 控 制 系 统 的 脆 弱 性 正 在 逐 渐 显 现, 面 临 的 信 息 安 全 问 题 日 益 突 出 2010 年 的 震 网 病 毒 2012 年 的 超 级 病 毒 火 焰 2014 年 的 Havex 病 毒 等 等 专 门 针 对 工 业 控 制 系 统 的 病 毒 爆 发 给 用 户 带 来 了 巨 大 损 失, 同 时 直 接 或 间 接 地 威 胁 到 国 家 安 全 2015 年 发 生 的 乌 克 兰 电 力 遭 受 攻 击 事 件 看 到, 在 不 需 要 利 用 复 杂 攻 击 手 段 不 需 要 完 整 还 原 业 务 系 统 运 行 过 程 的 情 况 下, 就 可 以 达 到 对 工 控 系 统 的 运 行 影 响 从 实 际 的 攻 击 过 程 看, 攻 击 的 成 本 在 降 低, 而 攻 击 所 带 来 的 影 响 在 进 一 步 加 重 美 国 修 订 ICS 安 全 指 南 2015 年 6 月 8 日, 美 国 国 家 标 准 与 技 术 研 究 院 发 布 第 二 版 工 业 控 制 系 统 (ICS) 安 全 指 南, 该 指 南 包 括 如 何 调 整 传 统 IT 安 全 控 制 系 统 以 适 应 工 业 控 制 系 统 独 特 的 性 能 可 靠 性 和 安 全 性 要 求 ; 同 时 对 威 胁 与 漏 洞 风 险 管 理 实 施 方 案 安 全 体 系 架 构 等 部 分 进 行 了 更 新 ICS 安 全 指 南 自 2006 年 首 次 发 布 以 来 下 载 量 已 达 到 300 万 次,ICS 安 全 指 南 提 供 了 如 何 减 少 计 算 机 漏 洞 控 制 工 业 系 统 遭 受 恶 意 攻 击, 设 备 故 障, 错 误, 不 充 分 的 恶 意 软 件 防 护 和 其 他 威 胁 等 方 面 的 建 议 大 多 数 ICS 最 初 都 是 专 用 的, 采 用 独 立 的 软 硬 件 集 合 与 其 他 部 分 隔 开, 并 与 外 部 威 胁 隔 离 如 今, 大 量 的 通 用 软 件 应 用, 互 联 网 设 备 和 其 他 非 专 用 IT 产 品 已 经 被 广 泛 地 集 成 到 大 多 数 ICS 系 统 中 这 种 集 成 带 来 了 许 多 好 处, 但 是 同 时 也 增 加 了 这 些 ICS 系 统 的 脆 弱 性 由 于 独 特 的 性 能, 可 靠 性 和 安 全 性 的 要 求, 保 护 ICS 往 往 需 要 适 应 和 扩 展 到 NIST 开 发 的 安 全 标 准 和 指 导 方 针 中 以 保 护 传 统 IT 系 统 本 次 修 订 的 一 个 显 著 内 容 是 一 个 新 的 ICS 覆 盖 提 供 定 制 的 指 导, 如 何 适 应 与 应 用 安 全 控 制 及 加 强 控 制, 特 别 出 版 物 SP 包 含 了 一 个 安 全 控 制 目 录, 可 定 制 以 满 足 特 殊 需 求, 某 组 织 的 使 命, 操 作 环 境, 或 特 定 技 术 的 使 用 3

8 2015 绿 盟 科 技 工 控 安 保 框 架 白 皮 书 NSFOCUS ICS Security Framework Whitepaper 国 际 安 全 形 式 的 变 化 世 界 各 国 高 度 重 视 工 业 控 制 系 统 的 信 息 安 全, 美 国 欧 盟 日 本 等 发 达 国 家 纷 纷 加 大 力 度 研 发 涉 及 工 业 生 产 运 行 的 相 关 设 备 和 网 络 的 安 全 防 护 技 术 : 2013 年 2 月 美 国 总 统 发 布 了 总 统 行 政 命 令 号, 制 定 了 NIPP 2013 美 国 国 家 基 础 设 施 保 护 预 案, 旨 在 建 立 国 家 基 础 设 施 的 安 全, 维 护 网 络 环 境, 管 理 网 络 安 全 风 险 2013 年 欧 盟 发 布 了 COM (2013) 48 关 于 NIS (Network and Information Security 网 络 与 信 息 安 全 ) 指 令 的 提 案, 该 提 案 在 2009/140/EC 指 令 的 基 础 上 为 网 络 运 营 商 建 立 了 安 全 要 求 欧 盟 2009/140/EC 指 令 是 公 共 网 络 运 营 商 和 服 务 商 对 安 全 风 险 和 安 全 措 施 的 管 理, 以 保 障 网 络 和 服 务 的 安 全 性 2015 年 IEC 将 建 立 网 络 安 全 评 估, 也 就 是 检 测 与 认 证 计 划 这 是 针 对 产 品 生 产 商 供 应 商 / 系 统 集 成 商 运 营 商 / 资 产 拥 有 者 的 一 套 基 于 IEC 标 准 的 网 络 安 全 评 估 体 系 ; 是 对 产 品 流 程 和 人 员 的 网 络 安 全 认 证 对 工 控 系 统 网 络 安 全 的 检 测 与 认 证, 能 为 资 产 拥 有 人 提 供 保 障, 证 明 他 们 的 产 品 符 合 IEC 国 际 标 准, 符 合 基 本 的 安 全 要 求 ; 同 时 也 意 味 着 产 品 的 认 证 报 告 将 被 全 球 60 多 个 国 家 认 可 2014 年 3 月 卡 塔 尔 国 发 布 了 国 家 ICS 安 全 标 准 国 际 标 准 IEC62443 系 列 : 这 是 国 际 电 工 标 准 委 员 会 IEC 制 定 的 一 套 关 于 工 业 通 信 网 络 和 控 制 系 统 供 应 链 的 网 络 安 全 风 险 的 标 准 日 本 工 控 系 统 攻 防 实 景 模 拟 基 地 根 据 日 本 情 报 处 理 推 进 机 构 (IPA) 的 数 据 显 示, 在 2014 财 年, 针 对 日 本 发 电 厂 和 其 他 核 心 基 础 设 施 的 网 络 攻 击 多 达 1257 起, 较 上 年 猛 增 200% 陡 然 增 长 的 数 字 表 明, 日 本 正 在 成 为 最 容 易 遭 受 攻 击 的 目 标 日 本 经 济 产 业 省 下 属 的 日 本 控 制 系 统 安 全 中 心 (CSSC) 于 2013 年 5 月 在 日 本 宫 城 县 多 贺 城 市 建 立 了 东 北 多 贺 城 总 部, 以 日 本 控 制 系 统 安 全 中 心 (CSSC) 为 核 心, 由 日 立 东 芝 在 内 的 18 个 团 体 共 同 发 起, 总 共 投 入 20 多 亿 日 元, 具 备 7 种 类 型 的 控 制 装 置 和 系 统 该 总 部 内, 模 拟 建 设 了 各 类 火 力 发 电 站 化 工 厂 汽 车 制 造 等 工 厂 基 础 设 施 中 所 使 用 的 工 业 机 器 人 楼 宇 空 调 和 照 明 系 统 同 时, 单 独 开 设 红 队 房 间, 让 技 术 人 员 模 拟 进 行 网 络 攻 击, 使 生 产 设 备 错 误 操 作 或 者 中 止 用 以 培 训 技 术 人 员 维 护 工 场 发 电 站 等 工 业 控 制 系 统 安 全 的 技 能 这 个 场 所 是 日 本 首 个 实 景 网 络 攻 击 的 模 拟 攻 防 场 所, 培 训 人 员 通 过 体 验 网 络 攻 击, 了 解 系 统 的 弱 点, 从 而 掌 握 防 御 技 能 攻 击 软 件 采 用 了 美 国 国 防 部 使 用 的 网 络 攻 防 演 习 系 统, 能 够 进 行 300 多 种 各 类 攻 击 的 实 战 演 练 日 本 还 计 划 在 未 来 研 究 中 每 年 为 此 投 入 5 亿 日 元 4

9 白 皮 书 2015 绿 盟 科 技 工 控 安 保 框 架 国 家 政 策 的 指 引 自 从 工 信 部 451 号 文 发 布 之 后, 国 内 各 行 各 业 都 对 工 控 系 统 安 全 的 认 识 达 到 了 一 个 新 的 高 度, 电 力 石 化 制 造 烟 草 等 多 个 行 业, 陆 续 制 定 了 相 应 的 指 导 性 文 件, 来 指 导 相 应 行 业 的 工 控 安 全 检 查 与 整 改 活 动 国 家 标 准 相 关 的 组 织 TC260 TC124 等 标 准 组 也 已 经 启 动 了 相 应 标 准 的 研 究 制 定 工 作 具 体 情 况 如 下 : 政 策 法 规 标 准 草 案 工 信 部 关 于 工 控 安 全 的 451 号 文 电 监 会 的 电 力 二 次 系 统 安 全 防 护 规 定 电 监 会 2013 年 50 号 文 电 力 工 控 信 息 安 全 专 项 监 管 工 作 方 案 国 家 烟 草 局 烟 草 工 业 企 业 生 产 区 与 管 理 区 网 络 互 联 安 全 规 范 等 国 家 标 准 2014 年 12 月 2 日, 全 国 工 业 过 程 测 量 控 制 和 自 动 化 标 准 化 技 术 委 员 会 (sac/tc124) 发 布 了 工 业 控 制 系 统 推 荐 性 国 家 标 准 GB/t ~ 工 业 控 制 系 统 信 息 安 全 (2 个 部 分 ), 主 要 包 括 : 在 安 标 委 的 指 导 下, 正 在 草 拟 的 工 控 安 全 相 关 标 准 主 要 包 括 : 信 息 安 全 技 术 工 业 控 制 系 统 安 全 管 理 基 本 要 求 安 全 可 控 信 息 系 统 ( 电 力 系 统 ) 安 全 指 标 体 系 信 息 安 全 技 术 工 业 控 制 系 统 信 息 安 全 检 查 指 南 信 息 安 全 技 术 工 业 控 制 系 统 安 全 防 护 技 术 要 求 和 测 试 评 价 方 法 信 息 安 全 技 术 工 业 控 制 系 统 信 息 安 全 分 级 规 范 信 息 安 全 技 术 工 业 控 制 系 统 测 控 终 端 安 全 要 求 在 公 安 部 的 指 导 下, 正 在 草 拟 的 工 控 安 全 相 关 标 准 主 要 包 括 : 工 业 控 制 系 统 信 息 安 全 等 级 保 护 设 计 技 术 指 南 工 业 控 制 系 统 信 息 安 全 等 级 保 护 基 本 要 求 工 业 控 制 系 统 信 息 安 全 等 级 保 护 测 评 指 南 GB/t 工 业 控 制 系 统 信 息 安 全 第 1 部 分 : 评 估 规 范 ; 指 导 针 对 工 控 系 统 进 行 安 全 评 估 GB/t 工 业 控 制 系 统 信 息 安 全 第 2 部 分 : 验 收 指 南 ; 指 导 对 工 控 系 统 进 行 上 线 前 的 安 全 检 测 与 此 同 时,2014 年 12 月 1 日 工 业 控 制 系 统 信 息 安 全 技 术 国 家 工 程 实 验 室 在 京 正 式 揭 牌 成 立 该 实 验 室 是 在 中 央 将 网 络 安 全 和 信 息 化 上 升 到 国 家 战 略 的 背 景 下 建 立 的, 由 中 国 电 子 信 息 产 业 集 团 第 六 研 究 所 承 担 建 设 任 务, 针 对 我 国 工 业 控 制 系 统 面 临 的 日 益 严 重 的 信 息 安 全 攻 击 威 胁 等 问 题, 围 绕 涉 及 国 计 民 生 的 重 点 工 业 和 军 事 领 域, 建 设 我 国 自 主 的 工 业 控 制 系 统 信 息 安 全 技 术 研 发 与 工 程 化 平 台, 开 展 关 键 技 术 和 产 品 的 研 发 和 产 业 化 通 过 实 验 室 开 展 工 控 信 息 安 全 关 键 技 术 研 发 标 准 规 范 制 定 和 课 题 研 究, 建 立 工 控 信 息 安 全 领 域 发 展 趋 势 和 重 大 问 题 研 究 机 制, 加 强 产 学 研 用 在 优 势 资 源 上 的 协 同 与 集 成, 促 进 技 术 创 新 与 产 业 孵 化, 致 力 改 变 我 国 高 端 工 控 系 统 及 核 心 部 件 由 国 外 进 口 的 现 状, 实 现 工 业 控 制 系 统 可 发 现 可 防 范 可 替 代, 建 立 我 国 自 主 的 工 控 安 全 防 护 体 系, 提 升 工 控 安 全 核 心 竞 争 力 5

10 2015 绿 盟 科 技 工 控 安 保 框 架 白 皮 书 NSFOCUS ICS Security Framework Whitepaper 工 业 控 制 系 统 安 全 需 求 的 变 化 图 1 对 2015 年 发 生 的 工 控 安 全 事 件 中, 入 侵 工 业 控 制 系 统 所 使 用 的 关 键 技 术 进 行 了 统 计, 网 络 钓 鱼 仍 然 是 被 经 常 使 用 的 攻 击 方 法, 因 为 它 是 相 对 易 于 执 行 和 有 效 的 通 过 弱 身 份 验 证 技 术 所 发 生 的 入 侵 仍 处 于 一 个 比 较 高 的 比 例, 网 络 扫 描 和 SQL 注 入 的 尝 试 也 保 持 较 高 的 比 例 作 为 资 产 所 有 者 应 确 保 他 们 的 网 络 防 御 措 施 能 够 解 决 这 些 流 行 的 入 侵 技 术 而 根 据 2014 年 ICS-CERT 发 布 的 数 据, 工 业 控 制 系 统 硬 件 制 造 行 业 发 生 的 网 络 渗 透 事 件 高 达 65 例, 占 总 比 的 27% 2014 的 年 度 报 告 显 示, 在 所 有 的 攻 击 事 件 中,55% 的 被 调 查 事 件 显 示, 高 级 持 续 性 威 胁 被 用 于 攻 击 工 业 控 制 系 统 的 安 全 漏 洞 另 有 部 分 安 全 风 险 来 自 黑 客 活 动 网 络 罪 犯 以 及 机 构 的 内 部 威 胁 报 告 称, 由 于 缺 乏 归 因 数 据, 大 部 分 攻 击 难 以 追 踪,245 例 攻 击 中 的 94 例 尚 无 法 确 定 攻 击 方 式 % 7.7 % 4.4 % % % % % 图 1 FY-2015 Mid-Year: Attempted Infection Vector. 1 1 引 用 自 :ICS-CERT 的 2015 财 年 半 年 报 6

11 02 工 业 控 制 系 统 安 全 技 术 演 进 路 线 图 02

12 2015 绿 盟 科 技 工 控 安 保 框 架 白 皮 书 NSFOCUS ICS Security Framework Whitepaper 工 业 自 动 化 控 制 系 统 正 逐 渐 从 封 闭 孤 立 的 系 统 转 化 为 开 放 互 联 的 系 统, 工 业 自 动 化 生 产 开 始 在 所 有 网 络 层 次 上 横 向 与 垂 直 集 成 ; 将 工 业 自 动 化 控 制 网 络 与 IT 网 络 相 连, 以 及 为 实 现 远 程 维 护 与 Internet 连 接 ; 越 来 越 多 地 采 用 开 放 标 准 以 及 基 于 PC 的 系 统 工 业 自 动 化 生 产 领 域 在 享 受 开 放 互 联 技 术 带 来 的 技 术 进 步 生 产 率 提 高 与 竞 争 实 力 大 大 增 强 的 利 益 的 同 时, 也 面 临 着 越 来 越 严 重 的 安 全 威 胁 2.1 攻 击 技 术 路 线 结 合 ICS-CERT 往 年 安 全 事 件 的 统 计 数 据 分 析 的 结 果 可 知, 近 年 来, 工 业 控 制 系 统 相 关 的 安 全 事 件 正 在 呈 快 速 增 长 的 趋 势, 且 这 些 事 件 多 分 布 在 能 源 关 键 制 造 业 市 政 交 通 等 涉 及 国 计 民 生 的 关 键 基 础 行 业 这 与 关 键 基 础 行 业 对 于 现 实 社 会 的 重 要 性 及 其 工 控 系 统 的 自 动 化 信 息 化 程 度 较 高 有 着 紧 密 的 关 系 由 于 大 部 分 工 业 控 制 系 统 安 全 事 件 的 相 关 报 道 和 曝 光 程 度 相 对 较 低, 根 据 公 开 的 信 息 整 理 了 部 分 近 年 来 的 工 业 控 制 系 统 安 全 事 件 列 表 如 下, 由 此 可 以 看 出 ICS 攻 击 技 术 路 线 大 致 演 变 过 程 : 时 间 事 件 简 介 2000 年 澳 大 利 亚 昆 士 兰 新 建 的 马 卢 奇 污 水 处 理 厂 出 现 故 障, 无 线 连 接 信 号 丢 失, 污 水 泵 工 作 异 常, 报 警 器 也 没 有 报 警 本 以 为 是 新 系 统 的 磨 合 问 题, 后 来 发 现 是 该 厂 前 工 程 师 Vitek Boden 因 不 满 工 作 续 约 被 拒 而 蓄 意 报 复 所 为 2003 年 美 国 俄 亥 俄 州 Davis-Besse 核 电 站 和 其 它 电 力 设 备 受 到 SQL Slammer 蠕 虫 病 毒 攻 击, 网 络 数 据 传 输 量 剧 增, 导 致 该 核 电 站 计 算 机 处 理 速 度 变 缓 安 全 参 数 显 示 系 统 和 过 程 控 制 计 算 机 连 续 数 小 时 无 法 工 作 2006 年 美 国 阿 拉 巴 马 州 的 Browns Ferry 核 电 站 3 号 机 组 受 到 网 络 攻 击, 反 应 堆 再 循 环 泵 和 冷 凝 除 矿 控 制 器 工 作 失 灵, 导 致 3 号 机 组 被 迫 关 闭 2007 年 攻 击 者 入 侵 加 拿 大 一 个 水 利 SCADA 控 制 系 统, 破 坏 了 取 水 调 度 的 控 制 计 算 机 2008 年 攻 击 者 入 侵 波 兰 某 城 市 地 铁 系 统, 通 过 电 视 遥 控 器 改 变 轨 道 扳 道 器, 致 四 节 车 厢 脱 轨 2010 年 西 门 子 首 次 监 测 到 专 门 攻 击 该 公 司 工 业 控 制 系 统 的 Stuxnet 病 毒, 也 称 为 震 网 病 毒 2010 年 伊 朗 政 府 宣 布 布 什 尔 核 电 站 员 工 电 脑 感 染 Stuxnet 病 毒, 严 重 威 胁 核 反 应 堆 安 全 运 营 2011 年 黑 客 入 侵 数 据 采 集 与 监 控 系 统, 使 美 国 伊 利 诺 伊 州 城 市 供 水 系 统 的 供 水 泵 遭 到 破 坏 2011 年 微 软 警 告 称 最 新 发 现 的 Duqu 病 毒 可 从 工 业 控 制 系 统 制 造 商 收 集 情 报 数 据 2012 年 两 座 美 国 电 厂 遭 USB 病 毒 攻 击, 感 染 了 每 个 工 厂 的 工 控 系 统, 可 被 窃 取 数 据 2012 年 发 现 攻 击 多 个 中 东 国 家 的 恶 意 程 序 Flame 火 焰 病 毒, 它 能 收 集 各 行 业 的 敏 感 信 息 美 国 著 名 黑 客 巴 纳 比 杰 克 在 旧 金 山 突 然 神 秘 死 亡, 巴 纳 比 杰 克 生 前 的 明 星 事 件 回 顾 : 1. 利 用 他 独 创 黑 客 技 术 令 自 动 提 款 机 狂 吐 钞 票 2013 年 2. 扫 描 方 圆 100 米 之 内 的 所 有 胰 岛 素 泵, 识 别 它 们 的 注 册 码, 将 这 些 注 册 码 程 序 化, 并 将 它 们 分 配 给 全 部 300 个 单 位 的 胰 岛 素, 对 于 一 型 糖 尿 病 患 者 来 说, 这 是 很 容 易 致 命 的 3. 9 米 之 外 入 侵 植 入 式 心 脏 起 搏 器 等 无 线 医 疗 装 置, 然 后 向 其 发 出 一 系 列 830V 高 压 电 击, 从 而 令 遥 控 杀 人 成 为 现 实 2014 年 蜻 蜓 组 织 利 用 恶 意 程 序 Havex( 与 震 网 类 似 ), 对 欧 美 地 区 的 一 千 多 家 能 源 企 业 进 行 了 攻 击 2015 年 表 1 近 年 来 发 生 的 工 控 安 全 事 件 通 过 对 大 量 工 业 控 制 系 统 信 息 安 全 事 件 的 分 析, 我 们 发 现 大 多 数 的 工 业 控 制 系 统 信 息 安 全 事 件 影 响 范 围 和 危 害 程 度 较 大, 且 在 此 类 事 件 中 显 露 出 来 的 攻 击 思 路 和 攻 击 视 野 在 一 段 时 间 内 会 带 来 示 范 效 应 结 合 传 统 IT 系 统 的 攻 击 演 变 过 程, 总 结 出 工 业 控 制 系 统 的 攻 击 路 线 图 8

13 白 皮 书 2015 绿 盟 科 技 工 控 安 保 框 架 入 侵 者 水 平 国 家 力 量 黑 客 组 织 工 业 间 谍 竞 争 对 手 未 知 新 型 漏 洞 回 放 攻 击 社 会 工 程 个 人 物 理 破 坏 恶 意 操 作 误 操 作 攻 击 者 变 化 图 2 工 业 控 制 系 统 攻 击 路 线 图 攻 击 目 标 演 变 : 攻 击 目 标 明 确, 通 常 针 对 关 键 基 础 设 施 和 重 要 机 构 攻 击 者 水 平 : 攻 击 代 码 愈 加 专 业 化, 个 人 很 难 开 展, 黑 客 组 织 ( 竞 争 对 手 工 业 间 谍 尤 其 是 有 某 些 国 家 幕 后 支 持 的 黑 客 组 织 ) 已 成 为 当 前 工 控 系 统 所 面 临 的 主 要 攻 击 发 起 者 攻 击 时 间 演 变 : 攻 击 事 件 持 续 时 间 很 长, 甚 至 长 达 数 年 ; 攻 击 态 度 演 变 : 攻 击 者 逐 步 变 为 极 具 耐 心, 不 断 尝 试, 一 步 一 步 获 取 目 标 系 统 的 权 限, 然 后 长 期 蛰 伏 收 集 信 息, 如 此 反 复 攻 击 手 段 演 变 : 由 破 坏 通 信 过 程, 引 起 上 位 机 与 下 位 机 通 信 中 断, 到 通 过 控 制 上 位 机 恶 意 下 装 引 起 控 制 器 运 行 逻 辑 问 题, 到 通 过 综 合 应 用 IT 和 OT 结 合 的 攻 击 手 段 引 起 上 位 机 和 下 午 整 体 逻 辑 异 常, 到 通 过 攻 击 供 应 链 提 前 预 制 恶 意 软 件 达 到 对 控 制 系 统 进 行 攻 击 的 目 的 攻 击 范 围 扩 大 : 攻 击 者 关 注 的 范 围, 由 市 政 电 力 等 基 础 设 施 扩 大 到 油 化 冶 金 制 造 业 智 能 部 件 物 联 网 等 范 围 2.2 工 控 安 全 技 术 的 发 展 目 前 在 役 的 工 业 控 制 系 统 大 多 是 上 个 世 纪 末 期 开 始 研 制 的, 由 于 当 时 的 工 业 控 制 系 统 大 多 采 用 专 用 实 时 操 作 系 统 Arcnet FDDI 等 网 络 设 备 和 令 牌 环 令 牌 总 线 等 特 殊 的 网 络 协 议, 整 个 系 统 相 对 封 闭, 受 到 入 侵 的 可 能 性 不 大 同 时 由 于 设 计 人 员 普 遍 缺 乏 信 息 安 全 的 意 识, 在 系 统 架 构 方 面 基 本 上 没 有 考 虑 信 息 安 全 设 计 工 业 控 制 系 统 虽 然 长 期 带 病 运 行, 直 到 2010 年 左 右 Stuxnet 蠕 虫 为 代 表 的 ICS 信 息 安 全 事 件 使 人 们 开 始 重 视 工 业 控 制 系 统 安 全, 也 正 是 从 这 一 时 期 开 始, 工 业 控 制 系 统 安 全 逐 步 被 重 视, 大 多 数 安 全 组 织 特 别 是 国 家 力 量 开 始 对 工 业 控 制 系 统 的 安 全 性 进 行 研 究, 同 时 不 少 工 业 控 制 系 统 厂 家 都 对 原 系 统 进 行 升 级, 但 这 些 升 级 大 多 属 于 局 部 修 改, 未 能 全 面 考 虑 信 息 安 全 问 题, 导 致 了 信 息 安 全 风 险 的 逐 步 扩 大 工 控 系 统 安 全 技 术 的 发 展 看, 目 前 工 控 系 统 的 安 全 防 护 主 要 以 边 界 防 护 为 主 早 期 通 过 IT 防 火 墙 或 者 网 闸 等 产 品, 通 过 基 于 IP 的 策 略 来 为 工 控 系 统 提 供 安 全 防 护, 同 时 部 分 工 控 系 统 辅 以 入 侵 检 测 设 备 来 对 进 入 工 控 系 统 的 流 量 进 行 审 9

14 2015 绿 盟 科 技 工 控 安 保 框 架 白 皮 书 NSFOCUS ICS Security Framework Whitepaper 计 从 实 际 的 应 用 的 效 果 看, 通 过 基 于 访 问 控 制 规 则 的 防 火 墙 技 术 可 以 在 边 界 处 有 效 的 过 滤 对 工 控 系 统 的 访 问 流 量, 但 是, 通 过 IT 防 火 墙 缺 乏 对 控 制 系 统 包 的 深 度 过 滤, 针 对 工 控 系 统 的 攻 击 流 量 在 加 入 到 正 常 通 信 流 量 中 时, 往 往 缺 乏 有 效 的 识 别, 一 旦 攻 击 流 量 进 行 工 控 系 统 基 本 是 可 以 在 系 统 中 肆 意 而 为 了 ; 现 阶 段 工 控 网 络 的 边 界 处 部 署 的 防 护 措 施 网 闸 是 也 一 种 常 用 的 技 术 手 段, 网 闸 来 实 现 生 产 控 制 系 统 与 信 息 系 统 之 间 的 隔 离 通 过 网 闸 可 以 单 向 限 制 信 息 系 统 向 工 控 系 统 的 数 据 传 输, 可 以 实 现 通 过 通 信 的 双 向 认 证 实 现 对 工 控 系 统 的 防 护, 经 历 了 几 代 技 术 的 发 展, 网 闸 实 现 了 基 于 单 比 特 数 据 响 应 和 验 证, 由 于 数 据 格 式 内 容 的 固 定 及 数 据 传 输 输 出 字 节 数 量 的 限 制, 可 以 保 障 传 输 数 据 的 可 靠 性 伴 随 着 工 业 控 制 系 统 安 全 技 术 的 发 展, 针 对 工 业 控 制 系 统 本 身 需 求 的 工 业 防 火 墙 出 现 了, 比 较 早 的 引 入 国 内 的 多 芬 诺 工 业 防 火 墙 是 国 内 较 早 采 用 工 业 防 火 墙, 国 内 厂 商 陆 续 推 出 了 工 业 防 火 墙, 传 统 防 火 墙 以 黑 名 单 策 略 配 置 为 主, 生 产 控 制 系 统 操 作 中 相 关 的 指 令 操 作 生 产 系 统 中 黑 名 单 潜 在 导 致 生 产 操 作 中 断 的 风 险, 工 业 防 火 墙 大 多 采 用 白 名 单 机 制, 通 过 对 已 知 的 操 作 过 程 进 行 定 义 过 滤 掉 非 法 的 操 作 和 指 令 等 从 现 有 的 工 业 防 火 墙 产 品 看 不 但 支 持 商 用 防 火 墙 的 基 础 访 问 控 制 功 能, 更 重 要 的 是 它 提 供 针 对 工 业 协 议 的 数 据 级 深 度 过 滤, 实 现 了 对 Modbus OPC S7 等 主 流 工 业 协 议 和 规 约 的 细 粒 度 检 查 过 滤, 以 针 对 工 控 协 议 的 设 备 地 址 寄 存 器 类 型 寄 存 器 范 围 和 读 写 属 性 等 进 行 检 查, 可 防 范 各 种 非 法 的 操 作 和 数 据 进 入 现 场 控 制 网 络 针 对 传 统 隔 离 装 置 无 法 深 度 解 析 工 业 控 制 系 统 的 规 约 和 协 议 的 协 议, 无 法 基 于 寄 存 器 地 址 和 控 制 过 程 进 行 精 细 处 理 的 情 况, 工 业 网 闸 技 术 除 了 具 备 隔 离 隔 离 装 置 的 技 术 特 性 外, 还 可 以 实 现 对 工 业 控 制 现 场 的 每 个 测 点 赋 予 只 读 或 读 / 写 两 种 不 同 的 权 限 当 设 为 只 读 权 限 时, 所 有 数 据 回 置 操 作 被 禁 止 从 而 实 现 单 向 数 据 传 输, 达 到 保 护 现 场 设 备 安 全 的 目 的 从 行 业 上 看, 电 力 工 控 系 统 ( 电 力 监 控 系 统 ) 同 一 生 产 环 境 中 的 不 同 区 域 之 间 采 用 单 项 隔 离 装 置 来 实 现 不 同 区 域 之 间 的 隔 离, 在 于 其 他 生 产 环 境 之 间 联 系 的 数 据 通 道 上 仍 然 是 采 用 了 传 统 的 IT 防 火 墙 进 行 隔 离, 通 过 策 略 限 制 IP 通 信 和 限 制 传 输 传 输 端 口, 同 时 依 赖 于 数 据 通 道 的 加 密 措 施 和 相 关 前 置 机 本 身 具 有 的 数 据 处 理 和 查 询 机 制 的 安 全 保 障 来 提 升 系 统 的 安 全 性 石 油 和 石 化 领 域 中 部 分 生 产 企 业 已 经 使 用 了 工 控 防 火 墙 做 生 产 系 统 与 信 息 系 统 之 间 的 隔 离, 部 分 企 业 采 用 了 工 业 防 火 墙 做 同 一 生 产 区 域 的 不 同 安 全 区 域 之 间 的 安 全 隔 离 ; 部 分 钢 铁 和 关 键 制 造 业 中 也 采 用 了 工 控 防 火 墙 做 相 关 区 域 的 隔 离, 但 是 还 没 有 形 成 一 定 的 规 模 效 应 烟 草 行 业 中 存 在 多 用 应 用 形 式, 有 IT 防 火 墙 工 业 防 火 墙 和 网 闸, 但 是 都 还 没 有 形 成 大 规 模 的 应 用 从 工 业 控 制 系 统 安 全 事 件 看, 单 纯 的 边 界 安 全 防 护 技 术 已 经 不 能 够 解 决 工 业 控 制 系 统 所 面 临 的 安 全 问 题, 相 关 的 防 护 技 术 已 经 向 纵 深 防 护 的 方 向 发 展, 从 工 业 控 制 系 统 的 安 全 生 命 周 期 的 角 度 来 考 虑 工 业 控 制 系 统 的 安 全 从 漏 洞 的 挖 掘 漏 洞 检 测 工 控 审 计 工 业 蜜 罐 ( 蜜 罐 场 ) 未 知 威 胁 检 测 态 势 感 知 综 合 预 警 的 方 向 发 展, 以 及 综 合 应 用 相 关 技 术 来 提 升 工 业 控 制 系 统 所 面 临 的 安 全 威 胁 从 研 究 力 量 上 看, 原 有 的 信 息 安 全 企 业 研 究 机 构 和 大 学 已 经 开 展 了 针 对 研 究, 工 控 系 统 的 企 业 研 究 机 构 和 大 学 也 在 逐 步 开 展 针 对 工 业 控 制 系 统 的 安 全 研 究, 但 是, 从 整 个 产 业 的 发 展 看, 整 体 工 业 控 制 系 统 安 全 的 与 工 业 控 制 技 术 在 融 合 方 面 还 有 一 段 距 离 工 业 控 制 系 统 为 了 保 障 业 务 的 稳 定 运 行, 也 开 发 了 大 量 的 功 能 安 全 功 能, 功 能 安 全 的 技 术, 通 过 多 点 失 效 保 障 与 表 决 机 制 等, 来 保 障 执 行 一 个 关 键 操 作, 其 中 更 多 是 防 止 误 操 作 对 工 业 控 制 系 统 的 影 响, 而 功 能 安 全 所 具 备 的 失 效 保 障 的 措 施, 在 应 潜 在 的 对 外 部 攻 击 所 导 致 的 功 能 失 效 方 式 也 起 到 一 定 的 作 用 但 是, 随 着 工 业 控 制 系 统 信 息 化 的 程 度 的 加 深, 必 然 导 致 了 工 业 控 制 系 统 受 攻 击 面 在 增 多, 融 合 实 际 的 操 作 规 程 要 求 融 合 实 际 的 功 能 安 全 属 性 基 于 业 务 的 流 程 与 工 艺 的 行 为 建 模 和 分 析, 形 成 信 息 安 全 技 术 手 段 与 业 务 有 机 的 融 合 的 技 术, 才 能 在 工 业 控 制 系 统 信 息 安 全 领 域 实 现 真 正 的 突 破 另 一 方 面 随 着 智 能 电 网 中 国 智 造 能 源 互 联 网 中 国 制 造 2025 等 新 型 业 务 形 态 的 出 现, 一 些 新 的 业 务 运 行 的 形 势 的 出 现, 如 智 能 发 电 虚 拟 电 站 智 能 风 电 智 能 工 厂 云 工 厂 等 出 现, 使 业 务 系 统 之 间 的 交 叉 和 连 接 关 系 变 得 更 加 复 杂 传 统 控 制 系 统 的 边 界 已 经 开 始 变 得 不 那 清 晰, 原 有 的 以 边 界 防 护 为 主 手 段 的 防 护 体 系 必 将 面 临 的 重 大 挑 战 融 合 工 控 安 全 技 术 虚 拟 化 安 全 技 术 云 安 全 技 术 大 数 据 等 技 术 的 防 护 体 系 会 成 为 未 来 工 控 安 全 发 展 的 一 个 重 要 方 向 10

15 白 皮 书 2015 绿 盟 科 技 工 控 安 保 框 架 2.3 总 体 安 全 保 障 框 架 工 控 系 统 安 全 使 命 : 满 足 合 规 性 需 求 保 障 生 产 安 全 图 3 总 体 安 全 保 障 框 架 基 于 绿 盟 科 技 对 工 控 系 统 安 全 需 求 的 理 解, 结 合 国 内 工 控 安 全 的 规 范 要 求 及 国 外 相 关 标 准 内 容, 绿 盟 科 技 提 出 从 技 术 管 理 和 运 行 三 个 维 度 来 保 障 来 保 障 工 业 控 制 系 统 安 全 三 个 保 障 维 度 中 主 要 包 含 : 网 络 边 界 防 护 安 全 纵 深 防 护 安 全 运 行 管 理 和 安 全 管 理 制 度 要 求 等 几 个 方 面, 融 合 了 技 术 管 理 和 运 行 的 要 求 来 保 障 工 业 控 制 系 统 的 安 全 同 时, 我 们 结 合 工 业 控 制 系 统 运 行 阶 段 的 特 点, 提 出 了 针 对 工 业 控 制 系 统 的 三 个 能 力 建 设, 包 含 从 上 线 前 的 安 全 检 测 安 全 能 力 部 署 安 全 运 行 三 个 阶 段, 覆 盖 工 业 控 制 系 统 运 行 周 期 的 安 全 保 障 11

16 2015 绿 盟 科 技 工 控 安 保 框 架 白 皮 书 NSFOCUS ICS Security Framework Whitepaper 2.4 电 力 行 业 工 控 安 全 解 决 思 路 / 保 障 框 架 从 电 力 行 业 对 工 控 安 全 需 求 看, 电 力 企 业 在 主 要 是 以 合 规 性 建 设 为 主, 在 2004 年 原 电 监 会 5 号 令 颁 布 开 始, 大 部 分 的 电 厂 控 制 系 统 安 全 建 设 已 经 按 照 5 号 令 的 要 求 进 行 了 整 改, 形 成 安 全 分 区 网 络 专 用 横 向 隔 离 纵 向 加 密 的 防 护 体 系 从 整 体 电 力 行 业 工 控 系 统 防 护 情 况 看, 电 网 整 体 的 防 护 水 平 要 优 于 发 电 侧, 而 且 从 发 电 企 业 情 况 看, 发 电 企 业 相 对 比 较 分 散, 造 成 在 发 电 控 制 系 统 安 全 建 设 水 平 方 面 存 在 较 大 差 异 性 本 文 中 描 述 的 内 容, 主 要 以 在 我 国 供 电 形 式 中 占 比 最 高 的 火 电 控 制 系 统 的 安 全 需 求 为 例, 来 说 明 发 电 企 业 在 工 控 安 全 建 设 方 面 的 思 路 火 电 控 制 系 统 逻 辑 架 构 发 电 控 制 系 统 从 业 务 功 能 范 围 来 说, 主 要 分 为 主 控 系 统 辅 控 系 统 和 网 控 系 统 主 控 系 统 系 统 完 成 对 锅 炉 汽 机 的 控 制, 辅 控 系 统 主 要 完 成 化 水 处 理 除 尘 输 煤 的 处 理 主 控 系 统 主 要 采 用 DCS( 分 散 式 控 制 系 统 ), 辅 控 系 统 主 要 采 用 PLC 进 行 控 制, 网 控 系 统 主 要 负 责 电 厂 电 气 运 行 情 况 的 监 控, 通 过 远 动 装 置 接 受 电 网 的 指 令, 通 过 AGC 和 AVC 下 发 到 发 电 机, 来 实 现 功 率 增 减 和 励 磁 的 调 整, 同 时 为 升 压 站 的 运 行 提 供 控 制 从 逻 辑 上 来 说, 系 统 中 主 要 承 载 几 种 类 型 的 信 息 : 控 制 信 息 ( 操 作 员 站 下 达 要 求 智 能 设 备 执 行 相 关 动 作 的 指 令 ), 数 据 信 息 ( 遥 测 遥 信 ), 配 置 信 息 ( 获 取 相 关 I/O 卡 键 状 体 的 信 息 ), 组 态 信 息 ( 系 统 中 相 关 业 务 逻 辑 变 更 的 信 息 ) 主 控 主 要 通 过 DPU 完 成 对 相 关 被 控 设 备 的 控 制, 辅 控 主 要 通 过 与 PLC 的 通 信 实 现 整 个 控 制 流 程 的 过 程 具 体 如 图 4 所 示 : 图 4 火 电 厂 主 控 与 辅 控 系 统 逻 辑 架 构 图 网 控 系 统 (NCS) 主 要 实 现 对 升 压 站 的 监 控 和 实 现 与 DCS 采 集 信 息 的 传 输 ( 主 要 实 现 AGC 和 AVC) 网 控 系 统 主 要 分 为 站 控 层 间 隔 层 和 过 程 层 12

17 白 皮 书 2015 绿 盟 科 技 工 控 安 保 框 架 站 控 层 设 备 : 主 机 兼 操 作 员 工 作 站 一 体 化 平 台 主 机 远 动 通 信 设 备 智 能 接 口 设 备 故 障 录 波 及 网 络 分 析 网 络 交 换 机 ( 其 中 还 有 打 印 机 音 响 音 响 告 警 输 出 装 置 ) 间 隔 层 设 备 : 间 隔 层 都 是 I/0 测 控 装 置 I/O 测 控 装 置 具 有 状 态 量 采 集 交 流 采 样 及 测 量 防 误 闭 锁 同 期 检 测 就 地 断 路 器 紧 急 操 作 和 单 接 线 状 态 及 数 字 显 示 等 功 能, 对 全 站 运 行 设 备 的 信 息 进 行 采 集 转 换 处 理 和 传 送 I/O 测 控 装 置 还 应 配 置 有 就 地 / 远 方 切 换 开 关 过 程 层 设 备 : 过 程 层 设 备 包 含 智 能 终 端 合 并 单 元 及 智 能 一 次 设 备 接 口 等 可 完 成 对 断 路 器 隔 离 开 关 的 信 号 采 集 处 理 和 控 制, 以 及 互 感 器 采 样 值 信 息 的 采 集 和 处 理 主 要 通 过 控 制 信 息 实 现 对 一 次 设 备 的 控 制 信 息 采 集 和 继 电 保 护 如 下 图 所 示 : 间 隔 层 网 络 过 程 层 网 络 主 要 控 制 系 统 之 间 的 逻 辑 关 系 图 5 火 电 厂 NCS 逻 辑 架 构 图 DCS 和 辅 控 系 统 之 间 可 以 通 过 网 络 或 者 硬 接 线 连 接, 辅 控 向 主 控 提 供 相 关 数 参 数 NCS 与 主 控 之 间 实 现 双 向 的 通 信,NCS 可 以 通 过 向 主 控 的 AGV 和 AVC 来 控 制 发 电 机 组 的 出 力 NCS 向 DCS 提 供 相 关 的 数 据,DCS 向 N CS 提 供 相 关 的 数 据 相 关 控 制 系 统 的 数 据 通 过 OPC, 通 过 隔 离 装 置 摆 渡 到 镜 像 服 务 器,SIS 系 统 通 过 读 取 镜 像 服 务 器 信 息 来 进 行 相 关 生 产 流 程 优 化 处 理 和 生 产 系 统 的 环 境 的 运 行 情 况 展 示 13

18 2015 绿 盟 科 技 工 控 安 保 框 架 白 皮 书 NSFOCUS ICS Security Framework Whitepaper 图 6 火 电 厂 NCS 逻 辑 架 构 图 发 电 控 制 系 统 面 临 的 主 要 安 全 威 胁 工 业 控 制 系 统 协 议 缺 乏 足 够 的 安 全 性 考 虑, 易 被 攻 击 者 利 用 与 通 用 IT 信 息 系 统 安 全 需 求 不 同, 工 业 控 制 系 统 设 计 需 要 兼 顾 应 用 场 景 与 控 制 管 理 等 多 方 面 因 素, 以 优 先 确 保 系 统 的 高 可 用 性 和 业 务 连 续 性 在 这 种 设 计 理 念 的 影 响 下, 缺 乏 有 效 的 工 业 安 全 防 御 和 数 据 通 信 保 密 措 施 是 很 多 工 业 控 制 系 统 所 面 临 的 通 病 专 有 的 工 业 控 制 通 信 协 议 或 规 约 在 设 计 时 通 常 只 强 调 通 信 的 实 时 性 及 可 用 性, 对 安 全 性 普 遍 考 虑 不 足, 如 缺 少 足 够 强 度 的 认 证 加 密 授 权 等 尤 其 是 工 业 控 制 系 统 中 的 无 线 通 信 协 议, 更 容 易 遭 受 第 三 者 的 窃 听 及 欺 骗 性 攻 击 缺 乏 有 效 的 安 全 策 略 部 署 工 业 控 制 系 统 与 信 息 系 统 之 间 缺 乏 有 效 的 隔 离 措 施, 即 使 采 用 了 隔 离 装 置 等 隔 离 措 施, 也 存 在 安 全 策 略 设 置 不 当 的 问 题, 造 成 信 息 系 统 的 威 胁 可 以 畅 通 无 阻 的 进 入 到 工 控 系 统 中 同 时 在 边 界 处 缺 乏 有 效 的 威 胁 检 测 手 段, 外 部 的 威 胁 可 以 悄 无 声 息 的 进 入 到 系 统 中 现 有 的 安 全 设 备 缺 乏 相 关 的 工 控 识 别 能 力, 对 于 工 控 报 文 缺 乏 有 效 的 解 析, 在 部 署 的 环 境 中 极 容 易 引 起 生 产 系 统 的 生 产 中 断 严 重 漏 洞 难 以 及 时 处 理, 系 统 安 全 风 险 巨 大 当 前 主 流 的 工 业 控 制 系 统 普 遍 存 在 安 全 漏 洞, 且 多 为 能 够 造 成 远 程 攻 击 越 权 执 行 的 严 重 威 胁 类 漏 洞 ; 而 且 近 两 年 漏 洞 的 数 量 呈 快 速 增 长 的 趋 势 工 业 控 制 系 统 通 信 协 议 种 类 繁 多 系 统 软 件 难 以 及 时 升 级 设 备 使 用 周 期 长 以 及 系 统 补 丁 兼 容 性 差 发 布 周 期 长 等 现 实 问 题, 又 造 成 工 业 控 制 系 统 的 补 丁 管 理 困 难, 难 以 及 时 处 理 威 胁 严 重 的 漏 洞 14

19 白 皮 书 2015 绿 盟 科 技 工 控 安 保 框 架 缺 乏 违 规 操 作 越 权 访 问 行 为 审 计 能 力 操 作 管 理 人 员 的 技 术 水 平 和 安 全 意 识 差 别 较 大, 容 易 发 生 越 权 访 问 违 规 操 作, 给 生 产 系 统 埋 下 极 大 的 安 全 隐 患 工 业 控 制 系 统 相 对 封 闭 的 环 境, 也 使 得 来 自 系 统 内 部 人 员 在 应 用 系 统 层 面 的 误 操 作 违 规 操 作 或 故 意 的 破 坏 性 操 作 成 为 工 业 控 制 系 统 所 面 临 的 主 要 安 全 风 险 因 此, 对 生 产 网 络 的 访 问 行 为 特 定 控 制 协 议 内 容 和 数 据 库 数 据 的 真 实 性 完 整 性 进 行 监 控 管 理 与 审 计 是 非 常 必 要 的 但 电 厂 现 实 环 境 中 缺 乏 针 对 工 业 控 制 系 统 的 安 全 日 志 审 计 及 配 置 变 更 管 理 这 是 因 为 部 分 工 业 控 制 系 统 可 能 不 具 备 审 计 功 能 或 者 虽 有 日 志 审 计 功 能, 但 系 统 的 性 能 要 求 决 定 了 它 不 能 开 启 审 计 功 能 所 造 成 的 外 部 运 维 带 来 的 安 全 风 险 由 于 工 控 系 统 采 用 的 控 制 器 和 设 备 的 种 类 繁 多, 外 部 人 员 运 维 成 为 一 个 潜 在 的 安 全 风 险 点 某 些 电 厂 已 经 通 过 工 作 票 的 机 制 来 从 管 理 上 保 障 运 维 过 程 的 可 管 理, 但 是 在 没 有 有 效 技 术 手 段 支 撑 的 情 况, 本 地 管 理 人 员 很 难 监 测 到 外 部 人 员 的 越 权 操 作 或 者 故 意 改 变 运 行 逻 辑 的 行 为, 在 出 现 问 题 时, 也 很 难 去 追 踪 移 动 介 质 缺 乏 有 效 管 控 工 业 生 产 环 境 中 存 在 备 份 导 出 生 产 数 据 的 需 求, 移 动 介 质 是 一 种 比 较 好 的 满 足 生 产 环 境 数 据 备 份 的 介 质 但 是 在 介 质 的 使 用 在 管 理 方 面 普 遍 存 在 安 全 隐 患, 文 件 拷 贝 的 介 质 无 法 做 到 专 盘 专 用, 可 以 采 取 的 安 全 措 施 只 限 于 使 用 杀 毒 软 件 对 全 盘 进 行 扫 描 而 杀 毒 软 件 是 针 对 已 知 病 毒 的 查 杀, 并 且 主 要 针 对 传 统 的 信 息 系 统, 而 对 于 未 知 病 毒 的 检 测 和 工 控 特 定 病 毒 的 检 测 基 本 上 无 能 为 力 从 已 经 发 生 的 安 全 事 件 看, 移 动 介 质 是 一 个 重 要 的 传 播 恶 意 代 码 到 工 控 环 境 的 手 段 面 对 新 型 的 APT 攻 击, 缺 乏 有 效 的 应 对 措 施 APT( 高 级 可 持 续 性 威 胁 ) 的 攻 击 目 标 更 为 明 确, 攻 击 时 会 利 用 最 新 的 0-day 漏 洞, 会 与 业 务 的 过 程 进 行 贴 合, 攻 击 过 程 强 调 技 术 的 精 心 组 合 与 攻 击 者 之 间 的 协 同 一 旦 进 入 到 目 标 系 统 后, 为 了 达 到 有 效 的 攻 击, 会 持 续 寻 找 攻 击 的 宿 主 目 标, 而 且 攻 击 过 程 缓 慢, 对 潜 在 系 统 的 影 响 具 有 渐 进 持 续 不 易 被 发 现 的 特 性 现 场 普 遍 缺 乏 防 护 手 段 和 现 有 工 业 控 制 系 统 安 全 防 护 产 品 不 够 成 熟 的 情 况 下, 需 要 把 业 务 的 运 行 过 程 与 相 应 的 防 护 手 段 结 合, 运 用 综 合 的 防 护 手 段 ( 包 含 技 术 管 理 和 人 员 ), 降 低 由 于 APT 攻 击 给 工 业 控 制 系 统 带 来 的 安 全 隐 患 工 控 安 全 管 理 职 责 定 义 不 清 电 厂 工 控 系 统 的 管 理 归 口 到 相 关 的 生 产 业 务 部 门, 信 息 安 全 管 理 归 口 到 信 息 化 部 门 当 工 业 控 制 系 统 涉 及 信 息 安 全 问 题 时, 由 于 生 产 技 术 部 的 人 员 缺 乏 信 息 安 全 知 识, 而 信 息 化 部 门 的 人 员 对 工 控 系 统 业 务 了 解 不 足, 组 织 内 部 缺 乏 两 个 部 门 之 间 的 协 同 合 作 机 制, 可 以 把 信 息 安 全 和 工 控 安 全 进 行 结 合 在 遇 到 安 全 事 件 时, 无 法 对 事 件 做 详 细 的 定 位, 只 能 基 于 业 务 的 运 行 逻 辑 定 位 为 相 关 的 功 能 安 全 事 件 或 者 误 操 作 事 件, 无 法 对 其 中 可 能 潜 在 信 息 安 全 要 素 进 行 分 析 和 排 除, 造 成 潜 在 的 安 全 隐 患 就 残 留 在 系 统 中, 为 日 后 的 安 全 带 来 了 极 大 的 隐 患 系 统 建 成 验 收 过 程 中 缺 乏 信 息 安 全 的 环 节 由 于 工 业 控 制 系 统 设 备 到 货 周 期 长, 设 备 一 般 直 接 投 入 使 用, 很 少 进 行 详 细 的 验 收 测 试, 只 是 做 基 本 功 能 验 收, 但 不 会 涉 及 信 息 安 全 的 验 收 环 节 由 于 工 控 设 备 以 强 调 工 控 实 现 为 主 要 目 标, 基 本 不 会 考 虑 信 息 安 全 需 求, 可 能 会 把 安 全 隐 患 留 在 工 控 系 统 中, 如 果 外 部 的 安 全 威 胁 获 取 到 相 关 的 信 息 后, 就 有 可 能 对 系 统 带 来 极 大 的, 甚 至 可 能 是 致 命 的 影 响 没 有 足 够 的 安 全 政 策 管 理 制 度, 人 员 安 全 意 识 缺 乏 电 厂 针 对 生 产 业 务 制 定 了 相 应 的 管 理 制 度 管 理 流 程, 但 未 制 订 完 善 的 工 业 控 制 系 统 安 全 政 策 管 理 制 度 和 操 作 规 程, 未 形 成 全 面 的 信 息 安 全 管 理 制 度 体 系 给 工 业 控 制 系 统 信 息 安 全 管 理 工 作 带 来 极 大 的 隐 患 随 着 工 业 控 制 系 统 在 国 计 民 生 中 的 重 要 性 日 益 凸 显 以 及 IT 通 用 协 议 和 系 统 在 工 控 系 统 的 逐 渐 应 用, 人 员 安 全 意 识 薄 弱 成 为 导 致 工 业 控 制 系 统 安 全 风 险 的 一 个 重 要 因 素, 特 别 是 社 会 工 程 学 相 关 的 定 向 钓 鱼 攻 击 可 能 使 重 要 岗 位 人 员 沦 为 外 部 威 胁 入 侵 的 跳 板 ( 比 如 RSA 丢 失 SecurID 认 证 令 牌 的 事 件 中 利 用 一 封 鱼 叉 式 网 络 钓 鱼 的 电 子 邮 件 侵 入 RSA 公 司 内 部 网 络 的 案 例 ) 现 有 的 技 术 手 段 很 难 有 效 的 发 现 APT 攻 击 在 工 业 15

20 2015 绿 盟 科 技 工 控 安 保 框 架 白 皮 书 NSFOCUS ICS Security Framework Whitepaper 安 全 防 护 的 原 则 在 方 案 构 建 时, 充 分 参 考 遵 循 发 改 委 14 号 令 对 发 电 厂 安 全 防 护 建 设 的 要 求, 从 管 理 技 术 等 方 面 的 具 有 要 求 中 体 现 出 防 护 的 思 路 在 方 案 构 建 时, 以 安 全 审 计 作 为 主 要 的 安 全 防 护 方 向, 以 管 理 制 度 和 人 员 职 能 的 明 晰 化 定 义, 为 主 要 的 安 全 管 理 建 设 方 向 ; 对 于 新 建 电 厂 需 要 充 分 考 虑 在 安 全 防 护 方 面 要 符 合 14 号 令 对 电 厂 安 全 建 设 的 要 求, 在 方 案 中 落 实 14 号 令 在 安 全 建 设 方 面 的 具 体 防 护 措 施 和 管 理 要 求, 同 时 考 虑 在 系 统 验 收 环 节 系 统 运 行 系 统 维 护 和 系 统 检 修 环 节 中 的 安 全 防 护 对 于 工 控 系 统 的 安 全 防 护, 在 符 合 了 相 关 政 策 (14 号 令 要 求, 电 力 等 保 ) 要 求 的 基 础 上, 需 要 进 一 步 考 虑 符 合 电 厂 控 制 系 统 生 命 周 期 的 安 全 防 护 要 求 逐 步 完 善 发 电 厂 工 控 的 安 全 防 护 措 施, 使 发 电 厂 工 控 系 统 安 全 防 护 由 安 全 策 略 的 部 署 向 安 全 能 力 的 部 署 能 力 迁 移, 逐 步 实 现 安 全 技 术 能 力 安 全 管 理 能 力 的 全 面 提 升, 实 现 管 控 防 一 体 化 安 全 能 力 逐 步 覆 盖 从 系 统 上 线 系 统 运 行 系 统 运 维 系 统 检 修 等 各 个 环 节, 实 现 工 控 系 统 安 全 的 闭 环 管 控 如 下 图 所 示 : 图 7 工 控 系 统 安 全 闭 环 管 控 16

21 白 皮 书 2015 绿 盟 科 技 工 控 安 保 框 架 安 全 防 护 的 思 路 合 规 性 安 全 建 设 依 据 国 家 发 改 委 号 令 要 求, 电 厂 的 安 全 防 护 我 们 建 议 从 物 理 安 全 网 络 安 全 主 机 安 全 应 用 和 数 据 安 全 等 多 个 维 度 进 行 考 虑 安 全 防 护 框 架 如 图 8 所 示 图 8 安 全 防 护 框 架 物 理 安 全 策 略 的 目 的 是 电 力 监 控 系 统 等 硬 件 实 体 和 通 信 链 路 免 受 自 然 灾 害 人 为 破 坏 和 搭 线 攻 击 ; 验 证 用 户 的 身 份 和 使 用 权 限 防 止 用 户 越 权 操 作 ; 确 保 电 力 监 控 系 统 有 一 个 良 好 的 电 磁 兼 容 工 作 环 境 ; 建 立 完 备 的 安 全 管 理 制 度, 防 止 非 法 进 入 电 力 监 控 系 统 相 关 区 域 和 各 种 偷 窃 破 坏 活 动 的 发 生 网 络 安 全 是 指 利 用 网 络 管 理 控 制 和 技 术 措 施, 保 证 在 一 个 网 络 环 境 里, 数 据 的 保 密 性 完 整 性 及 可 使 用 性 受 到 保 护 电 力 监 控 系 统 的 网 络 安 全 主 要 是 指 网 络 信 息 信 息 的 完 整 性 保 密 性 和 可 用 性 主 机 安 全 其 核 心 内 容 包 括 安 全 应 用 交 付 系 统 应 用 监 管 系 统 操 作 系 统 安 全 增 强 系 统 和 运 维 安 全 管 控 系 统 它 的 具 体 功 能 是 保 证 主 机 在 数 据 存 储 和 处 理 的 保 密 性 完 整 性, 可 用 性, 它 包 括 硬 件 固 件 系 统 软 件 的 自 身 安 全, 以 及 一 系 列 附 加 的 安 全 技 术 和 安 全 管 理 措 施, 从 而 建 立 一 个 完 整 的 电 力 监 控 系 统 主 机 安 全 保 护 环 境 电 力 监 控 系 统 主 机 包 括 各 种 服 务 器 操 作 员 站 等 各 种 以 计 算 机 为 主 体 的 设 备 应 用 安 全, 顾 名 思 义 就 是 保 障 应 用 程 序 使 用 过 程 和 结 果 的 安 全, 就 是 针 对 应 用 程 序 或 工 具 在 使 用 过 程 中 可 能 出 现 计 算 传 输 数 据 的 泄 露 和 失 窃 隐 患, 通 过 其 他 安 全 工 具 或 策 略 来 消 除 17

22 2015 绿 盟 科 技 工 控 安 保 框 架 白 皮 书 NSFOCUS ICS Security Framework Whitepaper 数 据 安 全 有 多 方 面 的 含 义 : 数 据 本 身 的 安 全, 主 要 是 指 采 用 现 代 密 码 算 法 对 数 据 进 行 主 动 保 护, 如 数 据 保 密 数 据 完 整 性 双 向 强 身 份 认 证 等 数 据 防 护 的 安 全, 主 要 是 采 用 现 代 信 息 存 储 手 段 对 数 据 进 行 主 动 防 护, 如 通 过 磁 盘 阵 列 数 据 备 份 异 地 容 灾 等 手 段 保 证 数 据 的 安 全 数 据 处 理 的 安 全, 主 要 是 指 如 何 有 效 的 防 止 数 据 在 录 入 处 理 统 计 或 打 印 中 由 于 硬 件 故 障 断 电 死 机 人 为 的 误 操 作 程 序 缺 陷 病 毒 或 黑 客 等 造 成 的 数 据 库 损 坏 或 数 据 丢 失 现 象, 某 些 敏 感 或 保 密 的 数 据 可 能 不 具 备 资 格 的 人 员 或 操 作 员 阅 读, 而 造 成 数 据 泄 密 等 后 果 数 据 存 储 的 安 全, 主 要 是 指 数 据 库 在 系 统 运 行 之 外 的 可 读 性, 一 旦 数 据 库 被 盗, 即 使 没 有 原 来 的 系 统 程 序, 照 样 可 以 另 外 编 写 程 序 对 盗 取 的 数 据 库 进 行 查 看 或 修 改 安 全 能 力 提 升 上 线 前 的 安 全 检 测 工 业 控 制 系 统 的 入 网 与 上 线 是 整 个 系 统 安 全 生 命 周 期 的 重 要 阶 段, 也 是 系 统 所 有 者 和 操 作 者 掌 握 其 安 全 风 险 水 平 的 最 佳 时 机, 立 足 于 系 统 上 线 过 程, 基 于 验 收 规 范 的 整 体 规 程 要 求, 通 过 对 工 控 系 统 的 安 全 性 进 行 分 析, 发 现 系 统 中 潜 在 的 安 全 漏 洞, 基 于 发 现 的 安 全 漏 洞 与 相 应 的 工 控 设 备 和 系 统 提 供 商 进 行 联 系, 获 取 相 关 的 漏 洞 解 决 方 案 漏 洞 的 检 测 主 要 从 已 知 漏 洞 的 漏 洞 扫 描 如 采 用 漏 洞 扫 描 技 术 和 工 控 设 备 系 统 主 动 漏 洞 挖 掘 技 术 等, 来 发 现 系 统 中 潜 在 的 安 全 隐 患 1. 漏 洞 扫 描 技 术 主 机 层 安 全 该 层 的 安 全 问 题 来 自 网 络 运 行 的 操 作 系 统 :UNIX 系 列 Linux 系 列 Windows 系 列 以 及 专 用 操 作 系 统 等 安 全 性 问 题 表 现 在 两 方 面 : 一 是 操 作 系 统 本 身 的 不 安 全 因 素, 主 要 包 括 身 份 认 证 访 问 控 制 系 统 漏 洞 等 ; 二 是 操 作 系 统 的 安 全 配 置 存 在 问 题 主 要 检 查 内 容 包 括 : 操 作 系 统 ( 包 括 Windows Linux UX Solaris 等 ) 的 系 统 补 丁 漏 洞 病 毒 等 各 类 异 常 缺 陷 ; 空 / 弱 口 令 系 统 帐 户 检 测, 例 如 : 身 份 认 证 : 通 过 telnet 进 行 口 令 猜 测 ; 访 问 控 制 : 注 册 表 HKEY_LOCAL_MACHINE 普 通 用 户 可 写, 远 程 主 机 允 许 匿 名 FTP 登 录,ftp 服 务 器 存 在 匿 名 可 写 目 录 ; 系 统 漏 洞 :System V 系 统 Login 远 程 缓 冲 区 溢 出 漏 洞, Microsoft Windows Locator 服 务 远 程 缓 冲 区 溢 出 漏 洞 ; 安 全 配 置 问 题 : 部 分 SMB 用 户 存 在 薄 弱 口 令, 试 图 使 用 rsh 登 录 进 入 远 程 系 统 专 用 设 备 的 安 全 隐 患 : 如 PLC 采 用 VXWORDS 系 统, 存 在 远 程 调 用 WDB 漏 洞 网 络 层 安 全 该 层 的 安 全 问 题 主 要 指 网 络 信 息 的 安 全 性, 包 括 网 络 层 身 份 认 证, 网 络 资 源 的 访 问 控 制, 数 据 传 输 的 保 密 与 完 整 性 远 程 接 入 域 名 系 统 路 由 系 统 的 安 全, 入 侵 检 测 的 手 段 等 主 要 检 查 内 容 包 括 : 版 本 漏 洞, 包 括 但 不 限 于 设 备 操 作 系 统 存 在 的 漏 洞, 涉 及 设 备 包 括 实 验 室 所 有 在 线 网 络 设 备 及 安 全 设 备, 并 实 施 加 固 ; 开 放 服 务, 包 括 但 不 限 于 路 由 器 开 放 的 Web 管 理 界 面 其 他 管 理 方 式 等, 并 实 施 加 固 ; 空 弱 口 令, 例 如 空 / 弱 telnet 口 令 snmp 口 令 等, 并 实 施 加 固 ; 网 络 资 源 的 访 问 控 制 : 检 测 到 无 线 访 问 点 ; 路 由 器 :Web 配 置 接 口 安 全 认 证 可 被 绕 过, 交 换 机 / 路 由 器 缺 省 口 令 漏 洞, 网 络 设 备 没 有 设 置 口 令 应 用 层 安 全 该 层 的 安 全 考 虑 网 络 对 用 户 提 供 服 务 所 采 用 的 应 用 软 件 和 数 据 的 安 全 性, 包 括 : 数 据 库 软 件 Web 服 务 电 子 邮 件 系 统 域 名 系 统 交 换 与 路 由 系 统 防 火 墙 及 应 用 网 管 系 统 业 务 应 用 软 件 以 及 其 它 网 络 服 务 系 统 等 主 要 检 查 内 容 包 括 : 应 用 程 序 ( 包 括 但 不 限 于 数 据 库 Oracle DB2 MS SQL,Web 服 务, 如 Apache WebSphere Tomcat IIS 等, 其 他 SSH FTP 等 ) 缺 失 补 丁 或 版 本 漏 洞 检 测 ; 组 态 软 件 存 在 安 全 漏 洞 空 弱 口 令 应 用 帐 户 检 测 ; 数 据 库 软 件 :Oracle tnslsnr 没 有 设 置 口 令,Microsoft SQL Server 2000 Resolution 服 务 多 个 安 全 漏 洞 ; Web 服 务 器 :Apache Mod_SSL/Apache-SSL 远 程 缓 18

23 白 皮 书 2015 绿 盟 科 技 工 控 安 保 框 架 冲 区 溢 出 漏 洞,Microsoft IIS 5.0.printer ISAPI 远 程 缓 冲 区 溢 出,Sun ONE/iPlanet Web 服 务 程 序 分 块 编 码 传 输 漏 洞 ; 防 火 墙 及 应 用 网 管 系 统 :Axent Raptor 防 火 墙 拒 绝 服 务 漏 洞 ; 其 它 网 络 服 务 系 统 :Wingate POP3 USER 命 令 远 程 溢 出 漏 洞,Linux 系 统 LPRng 远 程 格 式 化 串 漏 洞 2. 主 动 漏 洞 挖 掘 主 要 采 用 FUZZ 技 术 来 对 工 控 设 备 进 行 健 壮 性 测 试, 同 时 结 合 人 工 分 析 的 手 段, 来 发 现 现 场 工 控 设 备 在 协 议 标 准 遵 循 度 上 的 差 异, 来 发 现 在 协 议 安 全 性 方 面 存 在 的 漏 洞 异 常 行 为 检 测 发 电 企 业 工 业 控 制 统 是 一 个 通 过 以 太 网 或 者 总 线 形 式 连 接 的 小 型 的 局 域 网, 网 络 相 对 来 说 较 为 封 闭, 厂 站 端 与 调 度 主 站 之 间 通 信 DCS 不 同 DPU 信 息 之 间 多 采 用 专 用 的 通 信 协 议, 但 是, 上 位 机 软 件 与 DCS 通 信 多 采 用 通 用 的 OPC 或 者 MODBUS 进 行 通 过, 为 了 确 保 上 位 机 与 下 午 机 的 DPU 之 间 通 信 的 可 靠 性, 在 系 统 校 验 存 在 异 常 时 或 者 网 络 问 题 导 致 的 通 信 不 畅 时, 多 采 用 多 次 重 传 的 机 制, 另 一 方 面 相 关 上 位 机 与 DPU 之 间 通 信 之 间 交 互 存 在 潜 在 的 未 声 明 的 通 信 端 口 而 对 于 工 业 环 境 中 的 网 络 设 备 一 般 不 会 基 于 业 务 的 通 信 过 程 的 安 全 性 来 考 虑, 网 络 的 有 效 隔 离, 整 个 控 制 网 络 处 于 一 个 大 的 冲 突 域, 在 极 端 的 通 信 环 境 中, 有 可 能 引 起 整 个 网 络 的 广 播 风 暴, 一 起 网 络 通 信 的 阻 塞, 最 终 一 起 DPU 之 间 通 信 无 法 进 行 有 效 的 通 信, 导 致 发 电 机 组 的 故 障, 影 响 电 网 的 稳 定 从 最 近 几 年 发 生 的 发 电 侧 的 安 全 事 件 中 已 经 出 现 了, 网 络 广 播 风 暴 所 导 致 的 通 信 终 端, 最 终 引 起 发 电 机 组 故 障, 影 响 到 区 域 性 电 网 的 运 行 对 于 主 控 系 统 内 流 量 的 监 测 辅 控 系 统 内 流 量 的 监 测 主 控 系 统 与 辅 控 系 统 之 间 流 量 的 监 测 和 现 场 总 线 的 流 量 进 行 监 控, 形 成 通 信 过 程 中 的 流 量 基 线, 对 于 流 量 过 载 情 况 及 时 进 行 预 警 同 时, 可 以 对 于 系 统 内 出 现 的 非 正 常 通 信 规 约 的 流 量 进 行 有 效 的 监 控 预 警, 避 免 由 于 上 位 机 无 意 开 启 的 端 口 的 通 信 行 为, 对 网 络 流 量 带 宽 的 消 耗 另 一 方 面, 也 可 以 通 过 网 络 异 常 流 量 的 感 知 发 现 其 中 存 在 潜 在 的 恶 意 行 为 提 供 分 析 参 考 依 据 主 机 进 程 的 白 名 单 对 于 工 控 系 统 来 说, 上 位 机 服 务 器 对 安 装 软 件 一 般 有 比 较 的 严 格 的 限 制, 但 是, 移 动 介 质 和 网 络 的 通 信 的 不 可 控 因 素 的 存 在 另 一 方 面, 基 于 windows 开 发 的 易 用 性, 多 数 上 位 机 软 件 是 基 于 windows 开 发 的, 并 且 普 遍 采 用 较 早 的 windows 系 统, 移 动 介 质 使 用 的 不 可 控 及 运 维 过 程 的 不 可 控 都 会 为 移 动 代 码 的 执 行 制 造 了 潜 在 的 温 床 对 于 上 位 机 服 务 器 安 装 相 关 的 安 全 管 控 软 件, 建 立 可 信 的 进 程 白 名 单, 限 制 移 动 代 码 在 控 制 系 统 的 执 行 安 装 在 上 位 机 的 安 全 管 控 软 件, 一 定 要 在 实 验 环 境 中 进 行 了 充 分 测 试, 在 确 信 不 会 对 实 际 生 产 业 务 的 运 行 产 生 影 响 的 情 况 才 能 部 署 到 实 际 的 生 产 环 境 中 上 位 机 的 安 全 管 控 软 件 只 允 许 白 名 单 中 的 软 件 被 执 行 ( 授 权 的 组 态 软 件 等 ), 只 允 许 那 些 被 认 为 安 全 和 在 运 行 认 可 名 单 中 的 程 序 和 执 行 文 件 通 过, 反 之 将 被 阻 止, 从 而 实 现 系 统 保 护 基 于 行 为 的 安 全 管 控 工 控 系 统 中 各 个 组 件 之 间 的 通 信 需 要 按 照 相 关 的 操 作 规 程 要 求 来 建 立 相 关 通 信 的 通 道 并 且 不 同 的 组 件 之 间 的 通 信 行 为 和 操 作 行 为 相 对 固 定, 如 一 个 继 电 保 护 的 开 分 闸 操 作 只 能 在 相 关 的 操 作 规 程 要 求 下 执 行 相 关 的 动 作, 并 且 相 关 的 动 作 可 执 行 的 范 围 是 规 程 要 求 的 范 围 如 在 规 程 要 求 的 范 围 外 的 操 作, 如 执 行 定 值 修 改 的 动 作, 如 修 改 PMU 的 定 值, 完 全 可 能 引 起 电 网 中 继 电 保 护 的 连 续 跳 闸 甚 至 于 引 起 越 级 跳 闸 的 情 况 出 现, 甚 至 于 引 起 电 网 的 震 荡 与 规 程 结 合 的 操 作 度 量 和 构 建 一 套 基 于 行 为 的 基 线 模 型, 在 出 现 与 规 程 操 作 不 一 致 的 操 作 时, 系 统 应 该 可 以 对 相 关 的 高 危 操 作 进 行 告 警, 同 时 管 控 中 心 下 发 相 关 的 管 控 指 令 到 行 为 管 控 执 行 装 置 来 阻 断 相 关 的 高 危 操 作, 避 免 由 于 恶 意 操 作 所 带 来 的 生 产 安 全 事 故 工 控 安 全 综 合 管 控 系 统 集 中 监 控 措 施 目 的 主 要 是 采 集 并 监 测 工 业 设 备 的 调 试 信 息 与 日 志 信 息, 采 集 相 关 网 络 设 备 和 安 全 设 备 的 日 志 信 息, 通 过 对 设 备 重 要 性 安 全 威 胁 安 全 脆 弱 性 的 综 合 计 算, 提 供 设 备 性 能 与 日 志 的 综 合 管 理, 关 注 于 设 备 的 运 行 状 况 与 安 全 事 件, 在 监 管 设 备 服 务 能 力 的 同 时 分 析 是 否 存 在 异 常 的 事 件 发 生, 协 助 运 维 人 员 快 速 解 决 故 障 及 安 全 事 件 ; 对 工 控 网 络 流 数 据 进 行 采 集 与 协 议 解 析 清 晰 呈 现 出 网 络 行 为 的 性 质, 及 时 发 现 网 络 中 的 异 常 通 信 行 为, 并 支 持 流 行 为 的 历 史 追 溯, 增 强 对 异 常 行 为 的 检 测 与 定 位 能 力 ; 综 合 的 风 险 管 理 呈 现 当 前 网 络 中 的 主 要 威 胁 与 脆 弱 性 和 当 前 安 全 状 况 19

24 2015 绿 盟 科 技 工 控 安 保 框 架 白 皮 书 NSFOCUS ICS Security Framework Whitepaper 2.5 石 油 石 化 行 业 安 全 解 决 思 路 / 保 障 框 架 石 油 石 化 行 业 综 述 石 油 石 化 行 业 分 为 上 游 中 游 和 下 游 其 中, 上 游 从 事 的 业 务 包 括 原 油 天 然 气 的 勘 探 开 发, 中 游 主 要 是 油 气 的 存 储 与 运 输, 下 游 则 涵 盖 炼 油 化 工 天 然 气 加 工 等 流 程 型 业 务 及 加 油 站 零 售 等 产 品 配 送 销 售 型 业 务 通 常 情 况 下, 将 以 石 油 和 天 然 气 为 原 料 生 产 石 油 产 品 和 石 油 化 工 产 品 的 加 工 工 业 称 为 石 油 化 学 工 业 ( 简 称 石 化 工 业 ), 而 其 余 统 称 为 石 油 工 业 图 9 石 油 石 化 行 业 分 层 由 于 石 油 化 工 行 业 的 业 务 工 艺 流 程 不 通, 上 游 的 油 气 田 开 发 和 中 下 游 的 存 储 传 输 化 工 炼 化 等 在 工 业 控 制 系 统 的 组 成 和 构 建 是 不 尽 相 同 的, 本 章 节 主 要 是 上 游 业 务 的 油 气 田 开 发 的 工 业 控 制 系 统 的 组 成 和 环 境 重 点 针 对 SCADA 系 统 的 网 络 结 构, 介 绍 对 于 石 油 石 化 行 业 的 工 控 安 全 解 决 思 路 20

25 白 皮 书 2015 绿 盟 科 技 工 控 安 保 框 架 油 气 田 工 业 控 制 系 统 现 状 油 气 田 的 工 业 控 制 系 统 建 设 以 生 产 现 场 的 生 产 数 据 采 集 和 传 输, 以 及 安 全 监 控 为 主, 主 要 包 括 : 生 产 单 元 的 自 动 化 数 据 采 集 及 传 输 系 统 建 设 ; 覆 盖 生 产 场 所 的 传 输 网 络 建 设 ; 各 类 站 场 的 视 频 监 视 系 统 建 设 等 油 气 田 行 业 专 业 名 词 涉 及 如 下 : 阀 室 井 站 ( 油 井 站 气 井 站 ) 站 场 监 控 中 心 和 调 度 中 心 其 涵 盖 范 围 如 下 : 阀 室 包 括 监 控 阀 室 和 监 视 阀 室 ; 油 井 站 包 括 自 喷 井 抽 油 机 井 ; 气 井 站 包 括 非 高 含 硫 无 工 艺 单 井 非 高 含 硫 单 井 非 高 含 硫 丛 式 井 高 含 硫 无 工 艺 单 井 高 含 硫 单 井, 高 含 硫 丛 式 井 ; 站 场 包 括 集 气 站 输 气 站 配 气 站 增 压 站 回 注 站 和 脱 水 站 ; 监 控 中 心 包 括 区 域 控 制 中 心 (RCC) 中 心 站 (SCS) 及 其 它 有 人 值 守 站 场 的 监 控 室 ; 调 度 中 心 包 括 地 区 调 度 管 理 中 心 (DCC) 和 总 调 指 挥 中 心 (GMC) 油 气 田 企 业 的 工 业 控 制 系 统 一 般 分 三 个 层 级, 上 级 站 提 供 全 局 范 围 内 各 要 素 的 遥 测 服 务 采 油 生 产 分 析 ; 中 继 站 负 责 数 据 的 采 集 和 指 令 的 下 发 ; 底 层 RTU 实 现 现 场 数 据 采 集 和 控 制 过 程, 并 提 供 应 急 响 应 服 务 实 现 油 井 图 像 实 时 采 集 油 井 状 况 分 析, 并 可 远 程 对 抽 油 机 进 行 启 停 控 制, 注 水 井 远 程 配 注 监 控 一 般 由 井 场 数 据 采 集 与 控 制 系 统 站 点 数 据 采 集 与 控 制 系 统 视 频 监 控 与 闯 入 报 警 系 统 以 太 网 络 传 输 系 统 及 控 制 中 心 等 系 统 组 成 主 要 对 油 压 套 压 产 油 量 注 水 量 含 水 率 等 生 产 工 艺 参 数 进 行 监 控 和 采 集, 并 通 过 生 产 管 理 系 统 采 用 实 时 数 据 库 历 史 数 据 库 为 分 析 和 管 理 平 台, 实 现 对 监 控 子 系 统 的 数 据 采 集 存 储 处 理 异 常 分 析 远 程 管 理 异 常 报 警 油 气 田 工 业 控 制 系 统 在 结 构 上 大 致 可 分 为 总 调 指 挥 中 心 (GMC) 地 区 调 度 管 理 中 心 (DCC) 区 域 控 制 中 心 (RCC) 中 心 站 监 控 室 及 部 分 井 / 站 场 监 控 系 统 等 部 分 根 结 规 划 的 功 能 结 构, 具 体 业 务 需 求 及 实 现 的 不 同, 按 四 级 架 构 进 行 分 层 : 即 应 用 层 调 度 层 监 控 层 和 现 场 层 而 SCADA 系 统 做 为 油 气 田 生 产 信 息 化 建 设 的 一 个 重 要 组 成 部 分, 只 涉 及 调 度 层 监 控 层 和 现 场 层 三 层, 不 涉 及 应 用 层,SCADA 系 统 的 数 据 在 DCC 和 非 SCADA 系 统 的 数 据 汇 聚 后, 统 一 提 供 给 应 用 层, 以 便 开 发 各 种 应 用 整 条 体 系 通 过 对 数 据 采 集 传 输 视 频 图 像 监 视 数 据 存 储 转 出 数 据 发 布 及 网 络 浏 览 生 产 调 度 及 管 理 等 的 优 化 完 善, 实 现 工 艺 流 程 和 管 理 流 程 进 一 步 优 化, 提 升 生 产 效 率 应 用 层 : 主 要 指 生 产 数 据 经 过 处 理 之 后 的 应 用 部 分, 包 括 数 据 平 台 的 应 用 展 示 各 种 基 于 数 据 分 析 和 数 据 解 释 的 应 用 企 业 办 公 网 从 数 据 平 台 读 取 的 数 据 主 要 用 于 OA 生 产 运 行 管 理 指 挥 系 统 等 的 应 用 调 度 层 : 指 油 气 生 产 物 联 网 建 设 中 主 要 行 使 调 度 功 能 的 集 中 管 理 单 元, 是 实 现 生 产 调 度 管 理 的 重 要 平 台 调 度 层 通 常 指 设 置 在 分 公 司 的 总 调 指 挥 中 心 和 设 置 在 各 二 级 单 位 的 区 域 调 度 管 理 中 心 监 控 层 : 指 油 气 生 产 物 联 网 建 设 中 主 要 行 使 监 控 功 能 的 集 中 管 理 单 元, 是 实 现 生 产 监 控 执 行 生 产 指 令 的 重 要 平 台 监 控 层 通 常 指 设 置 在 作 业 区 的 区 域 控 制 中 心 中 心 站 监 控 室 和 站 场 监 控 室 ; 现 场 层 : 主 要 指 实 现 现 场 生 产 数 据 采 集 物 联 设 备 状 态 采 集 声 光 报 警 入 侵 探 测 工 业 视 频 监 控 双 向 语 音 对 讲 及 喊 话 远 程 控 制 状 态 检 测 及 实 时 故 障 报 警 电 量 检 测 及 智 能 管 理 等 功 能 的 单 元, 包 括 现 场 仪 表 RTU 控 制 器 控 制 柜 工 业 视 频 监 控 设 备 双 向 语 音 对 讲 及 喊 话 设 备 声 光 报 警 设 备 入 侵 探 测 设 备 太 阳 能 供 电 系 统 电 动 阀 ESD 系 统 等 21

26 2015 绿 盟 科 技 工 控 安 保 框 架 白 皮 书 NSFOCUS ICS Security Framework Whitepaper 图 10 油 气 田 工 业 控 制 系 统 结 构 生 产 信 息 化 自 动 采 集 的 生 产 数 据 与 SCADA 系 统 数 据 在 作 业 区 区 域 控 制 中 心 RCC 进 行 融 合, 进 入 SCADA 系 统, 通 过 SCADA 系 统 上 传 至 二 级 单 位 DCC 的 SCADA 系 统 数 据 库, 再 经 DCC 的 SCADA 系 统 数 据 库 上 传 至 成 都 总 调 度 指 挥 中 心 (GMC) 和 备 用 调 度 指 挥 中 心 (BGMC) 此 外, 在 二 级 单 位 DCC 系 统 数 据 库 中 所 有 的 站 场 数 据 传 输 至 设 置 在 二 级 单 位 的 生 产 数 据 平 台 数 据 库, 再 上 传 到 位 于 总 调 度 中 心 的 生 产 数 据 平 台 数 据 库 所 有 生 产 数 据 和 图 片 数 据 由 生 产 信 息 网 单 向 传 输 入 办 公 网, 由 生 产 数 据 平 台 向 各 上 层 应 用 系 统 统 一 提 供 数 据 服 务 在 SCADA 系 统 控 制 流 传 递 模 式 上 主 要 使 用 两 种 传 递 方 式, 分 布 式 和 集 中 式, 两 种 模 式 可 以 并 存, 根 据 实 际 的 油 气 田 工 业 控 制 系 统 环 境 来 选 择 不 同 的 控 制 流 模 式 SCADA 系 统 分 布 式 控 制 流 如 下,SCS 实 现 就 地 控 制,RCC 实 行 两 级 控 制,SCADA 系 统 的 控 制 流 有 两 种 模 式, 与 数 据 流 模 式 相 关 联, 在 两 种 模 式 中, GMC 均 不 实 现 控 制, 即 控 制 流 不 到 GMC SCADA 系 统 集 中 式 控 制 流 如 下,SCS 实 现 就 地 控 制,DCC 实 现 远 程 控 制,RCC 不 实 现 控 制 功 能, 只 实 现 数 据 监 控 功 能 22

27 白 皮 书 2015 绿 盟 科 技 工 控 安 保 框 架 图 11 SCADA 系 统 控 制 流 安 全 风 险 分 析 传 统 的 工 业 控 制 系 统, 是 孤 岛 式 封 闭 式 的 结 构, 只 是 在 本 企 业 或 者 本 行 业 内 部 建 立 相 对 应 的 生 产 流 程 同 时, 工 业 控 制 系 统 的 要 求, 第 一 位 是 可 用 性, 即 生 产 设 备 能 购 完 成 生 产 所 需 ; 第 二 位 是 可 靠 性, 就 是 要 连 续 不 间 断 的 工 作, 而 不 会 出 现 任 何 问 题 ; 第 三 位 才 是 安 全 性 但 是, 随 着 信 息 技 术 的 不 断 发 展, 两 网 融 合 的 契 机, 特 别 是 不 断 地 在 工 业 控 制 领 域 的 推 广, 原 本 封 闭 孤 岛 式 的 工 业 控 制 系 统 变 成 了 开 放 的 形 式 很 多 企 业 将 生 产 环 境 转 变 为 网 络 自 动 化 形 式, 所 有 的 设 备 都 通 过 网 络 连 接 搭 建 管 理 和 控 制, 很 多 工 业 生 产 现 场 都 实 现 了 完 全 的 无 人 化, 个 别 甚 至 将 企 业 对 外 宣 传 和 内 部 管 理 的 网 站 同 生 产 网 络 进 行 了 互 联, 其 间 没 有 任 何 保 护 设 备 和 防 护 措 施 只 是 单 纯 的 增 加 防 火 墙 网 闸 就 可 以 有 效 的 保 护 工 业 网 络 安 全 的 想 法, 是 不 切 实 际 的 2000 年 以 后, 在 全 球 范 围 内, 工 控 网 络 安 全 事 件 呈 爆 炸 式 增 长 尤 其 在 中 国 网 络 遭 受 黑 客 攻 击 增 长 15 倍 以 上, 其 中 30% 是 对 国 家 基 础 设 施, 涉 及 天 然 气 运 输 制 造 医 药 核 设 施 以 及 汽 车 等 众 多 行 业, 给 国 家 和 企 业 造 成 了 大 量 的 损 失 通 过 利 用 生 产 网 络 的 漏 洞, 黑 客 轻 而 易 举 的 入 侵 工 控 系 统, 轻 而 易 举 的 进 行 漏 洞 挖 掘 和 破 坏, 导 致 了 很 多 安 全 事 件 的 发 生, 而 这 些 危 险 的 发 生 主 要 由 操 作 系 统 应 用 系 统 工 控 设 备 网 络 通 信 协 议 工 业 协 议 漏 洞 和 移 动 介 质 等 风 险 源 造 成 操 作 系 统 漏 洞 企 业 整 个 SCADA 系 统 数 据 服 务 器 多 数 采 用 Unix 操 作 系 统, 工 作 站 均 采 用 Windows 操 作 系 统, 由 于 工 业 控 制 网 络 与 互 联 网 及 企 业 网 络 的 隔 离, 同 时 为 保 证 过 程 控 制 系 统 的 相 对 独 立 性, 以 及 考 虑 到 系 统 的 稳 定 运 行, 现 场 工 程 师 未 对 Windows 平 台 安 装 任 何 补 丁, 但 是 存 在 的 问 题 是, 不 安 装 补 丁 系 统 就 存 在 被 攻 击 的 可 能, 从 而 埋 下 安 全 隐 患 如 Unix 操 作 系 统 发 布 开 发 都 是 以 打 补 丁 (Patch) 的 方 式 进 行, 操 作 系 统 的 程 序 可 以 动 态 链 接 包 括 I/O 驱 动 程 序 与 系 统 服 务, 这 些 都 为 不 法 人 员 提 供 了 可 乘 之 机 常 见 的 0day 漏 洞 UPNP 服 务 漏 洞 RDP 漏 洞 等, 不 法 人 员 轻 易 通 过 这 些 漏 洞 通 过 入 侵 控 制 主 机, 进 行 破 坏 和 窃 取 机 密 信 息 23

28 2015 绿 盟 科 技 工 控 安 保 框 架 白 皮 书 NSFOCUS ICS Security Framework Whitepaper 应 用 系 统 漏 洞 SCADA 系 统 包 括 SCADA 系 统 监 控 软 件 数 据 服 务 器 操 作 员 工 作 站 工 程 师 工 作 站 磁 盘 阵 列 授 时 系 统 仿 真 软 件 OPC 软 件 网 络 管 理 软 件 等 应 用 系 统, 由 于 应 用 软 件 多 种 多 样, 很 难 形 成 统 一 的 防 护 规 范 以 应 对 安 全 问 题 国 内 外 主 流 SDCAD 软 件 都 有 可 能 存 在 较 大 的 权 限 泄 露 风 险, 如 下 : 漏 洞 名 称 发 布 时 间 危 害 等 级 漏 洞 类 型 漏 洞 简 介 ICONICS GENESIS32 缓 冲 区 溢 出 漏 洞 GENESIS32 缓 冲 区 溢 出 漏 洞 Siemens SIMATIC WinCC 拒 绝 服 务 漏 洞 WellinTech KingView KVWebSvr.dll ActiveX 控 件 栈 缓 冲 区 溢 出 漏 洞 Siemens SIMATIC WinCC 安 全 漏 洞 危 急 缓 冲 区 溢 出 高 危 高 危 危 急 缓 冲 区 溢 出 危 急 授 权 问 题 ICONICS GENESIS32 是 由 美 国 ICONICS 公 司 研 制 开 发 的 新 一 代 工 控 软 件 ICONICS GENESIS 版 本 9.0 版 本 9.1 版 本 9.2 版 本 与 BizViz 8.05 版 本 9.0 版 本 9.1 版 本 和 9.2 版 本 中 的 Security Login ActiveX 控 件 中 存 在 缓 冲 区 溢 出 漏 洞 远 程 攻 击 者 可 利 用 该 漏 洞 借 助 长 密 码 导 致 拒 绝 服 务 ( 应 用 程 序 崩 溃 ) 或 者 执 行 任 意 代 码 Siemens SIMATIC WinCC 多 个 版 本 中 的 运 行 加 载 器 中 的 HmiLoad 中 存 在 拒 绝 服 务 漏 洞, 远 程 攻 击 者 可 利 用 该 漏 洞 通 过 越 过 TCP 发 送 特 制 数 据, 导 致 拒 绝 服 务 ( 应 用 程 序 崩 溃 ) 这 些 版 本 包 括 : Siemens WinCC flexible 2004 版 本 2005 版 本 2007 版 本 2008 版 本,WinCC V11 ( 也 称 TIA portal),tp OP MP Comfort Panels 和 Mobile Panels SIMATIC HMI 面 板,WinCC V11 Runtime Advanced 以 及 WinCC flexible Runtime WellinTech KingView 6.52 和 6.53 版 本 的 KVWebSvr.dll 的 ActiveX 控 件 中 存 在 基 于 栈 的 缓 冲 区 溢 出 漏 洞 远 程 攻 击 者 可 借 助 ValidateUser 方 法 中 超 长 的 第 二 参 数 执 行 任 意 代 码 Siemens SIMATIC WinCC 多 个 版 本 中 存 在 漏 洞, 该 漏 洞 源 于 TELNET daemon 未 能 执 行 验 证 远 程 攻 击 者 利 用 该 漏 洞 借 助 TCP 会 话 更 易 进 行 访 问 这 些 版 本 包 括 :Siemens WinCC flexible 2004 版 本 2005 版 本 2007 版 本 2008 版 本,WinCC V11 ( 也 称 TIA portal),tp OP MP Comfort Panels 和 Mobile Panels SIMATIC HMI 面 板 WinCC V11 Runtime Advanced 以 及 WinCC flexible Runtime Invensys Wonderware Information Server 权 限 许 可 和 访 问 控 制 漏 洞 高 危 权 限 许 可 和 访 问 控 制 Invensys Wonderware Information Server 4.0 SP1 和 4.5 版 本 中 存 在 漏 洞, 该 漏 洞 源 于 未 正 确 实 现 客 户 端 控 件 远 程 攻 击 者 利 用 该 漏 洞 借 助 未 明 向 量 绕 过 预 期 访 问 限 制 GE Proficy ifix HMI/SCADA 任 意 代 码 执 行 漏 洞 危 急 缓 冲 区 溢 出 GE Proficy ifix HMI/SCADA 的 installations 中 存 在 漏 洞, 远 程 攻 击 者 可 利 用 该 漏 洞 执 行 任 意 代 码 对 于 利 用 这 个 漏 洞 来 说 并 不 需 要 认 证 通 过 默 认 TCP 端 口 号 监 听 的 ihdataarchiver.exe 进 程 中 存 在 特 殊 的 漏 洞 在 这 个 模 块 中 的 代 码 信 任 一 个 通 过 网 络 提 供 的 值, 并 且 使 它 作 为 把 用 户 提 供 的 数 据 复 制 到 堆 缓 冲 区 的 数 组 长 度, 通 过 提 供 一 个 足 够 大 的 值, 缓 冲 区 可 能 会 溢 出 导 致 在 运 行 服 务 的 用 户 上 下 文 中 执 行 任 意 代 码 Sunwayland ForceControl httpsvr.exe 堆 缓 冲 区 溢 出 漏 洞 危 急 缓 冲 区 溢 出 Sunway ForceControl 6.1 SP1,SP2 和 SP3 版 本 的 httpsvr.exe 版 本 中 存 在 基 于 堆 的 缓 冲 区 溢 出 漏 洞 远 程 攻 击 者 可 借 助 特 制 的 URL 导 致 拒 绝 服 务 ( 崩 溃 ) 并 可 能 执 行 任 意 代 码 表 2 主 流 SCADA 软 件 脆 弱 性 并 且, 从 分 公 司 到 场 站 现 场 都 采 用 NTP 授 时 服 务, 本 地 向 远 程 NTP 服 务 器 发 送 NTP 数 据 包, 用 的 不 可 靠 的 UDP 协 议, 一 方 面 会 造 成 信 息 泄 露, 另 一 方 面 会 被 不 法 人 员 利 用 NTP Reply 洪 水 攻 击, 对 整 个 系 统 或 网 络 造 成 影 响 24

29 白 皮 书 2015 绿 盟 科 技 工 控 安 保 框 架 控 制 设 备 / 系 统 安 全 风 险 现 场 PLC 终 端 RTU 等 控 制 设 备 大 部 分 使 用 国 外 的 控 制 组 件, 未 实 现 自 主 可 控, 一 方 面 存 在 逻 辑 炸 弹 和 后 门 ( 如 Siemens 固 件 后 门 圣 诞 节 彩 蛋 等 ), 另 一 方 面 现 场 控 制 设 备 基 本 没 有 安 全 防 护 能 力, 利 用 常 规 的 手 段 对 某 知 名 PLC 测 试 就 可 以 获 取 如 下 信 息 : 图 12 某 知 名 PLC 测 试 截 图 我 们 可 以 下 载 和 上 传 设 备 IOS 配 置 文 件, 并 通 过 查 看 配 置 文 件, 瞬 间 就 可 以 破 解 TYPE- 7 的 加 密 得 到 超 级 管 理 的 明 文 密 码, 从 而 完 全 控 制 网 络 设 备, 即 使 拿 到 加 密 后 的 密 码 串 无 法 破 解, 也 可 以 把 下 载 来 的 IOS 文 件 内 的 密 码 清 空, 再 上 传 后, 依 然 可 以 不 用 密 码 登 陆 设 备 不 法 人 员 可 以 对 现 场 设 备 进 行 篡 改 和 恶 意 控 制 网 络 通 信 漏 洞 在 油 气 田 的 现 场, 由 于 作 业 区 域 广 阔, 经 常 通 过 光 传 输 网 DDN 卫 星 GPRS/CDMA 等 传 输 手 段 将 数 据 传 到 控 制 中 心 的 路 由 器, 各 传 输 信 道 间 的 通 道 切 换 使 用 HSRP 协 议 一 方 面 CISCO HSRP 协 议, 不 法 人 员 截 获 HSRP 组 的 信 息, 并 通 过 此 信 息 结 合 相 关 的 攻 击 手 段 可 以 造 成 SR 路 由 器 上 的 HSRP 组 频 繁 切 换, 进 而 给 整 个 网 络 造 成 中 断 甚 至 瘫 痪 另 一 方 面 一 些 不 具 备 光 纤 通 讯 条 件 的 场 站, 通 过 卫 星 GPRS/CDMA 等 无 线 方 式 通 过 PAN 虚 拟 专 用 网 络 采 集 数 据 下 发 指 令, 缺 少 安 全 论 证 手 段 和 加 密 措 施, 存 在 较 大 的 安 全 风 险 TCP/IP 以 太 网 通 讯 技 术 智 能 组 件 的 广 泛 使 用 给 数 据 传 输 带 来 便 捷 的 同 时, 也 给 控 制 网 络 带 来 了 传 统 的 病 毒 木 马 入 侵 等 新 的 问 题 工 业 协 议 漏 洞 工 业 通 讯 协 议 是 整 个 系 统 安 全 的 重 要 环 节, 修 改 工 厂 的 运 行 过 程 并 不 需 要 破 坏 组 件, 只 需 要 构 造 一 个 满 足 工 业 协 议 的 IP 数 据 包 然 后 将 其 发 送 给 控 制 器 即 可 在 标 准 的 PLC 中, 没 有 任 何 安 全 安 全 校 验 和 认 证, 它 会 接 收 任 何 满 足 IP 数 据 包 格 式 的 数 据 包 并 根 据 数 据 包 中 的 请 求 信 息 来 执 行 实 际 控 制 过 程 多 数 工 业 协 议 仅 仅 是 对 串 行 帧 的 简 单 封 装 如 Modbus DNP3 协 议, 整 个 过 程 缺 乏 加 密 认 证 的 机 制, 故 很 容 易 被 窃 取 欺 骗 和 篡 改 本 系 统 中 大 量 使 用 OPC 协 议 通 讯, 而 OPC Classic 协 议 (OPC DA, OPC HAD 和 OPC A&E) 基 于 微 软 的 DCOM 协 议,DCOM 协 议 是 在 网 络 安 全 问 题 被 广 泛 认 识 之 前 设 计 的, 极 易 受 到 攻 击, 并 且 OPC 通 讯 采 用 不 固 定 的 端 口 号, 导 致 目 前 几 乎 无 法 使 用 传 统 的 IT 防 火 墙 来 确 保 其 安 全 性 25

30 2015 绿 盟 科 技 工 控 安 保 框 架 白 皮 书 NSFOCUS ICS Security Framework Whitepaper 移 动 介 质 安 全 移 动 存 储 介 质 严 重 影 响 控 制 系 统 安 全, 控 制 系 统 和 生 产 网 络 安 全, 对 生 产 网 和 办 公 网 进 行 了 逻 辑 物 理 隔 离, 但 有 一 些 用 户 非 法 使 用 移 动 存 储 介 质, 如 U 盘 等 移 动 存 储 介 质 有 意 无 意 的 违 规 使 用 非 法 拷 贝 介 质 丢 失 无 意 连 接 到 互 联 网 而 导 致 信 息 泄 密, 同 时 也 很 容 易 导 致 U 盘 病 毒 的 传 播 一 旦 移 动 存 储 介 质 受 到 病 毒 攻 击 并 作 为 病 毒 传 输 媒 介, 将 病 毒 带 入 内 网, 在 很 大 程 度 上 破 坏 了 严 格 意 义 上 的 物 理 隔 离 统 计 数 据 表 明, 大 部 分 内 网 的 计 算 机 遭 受 病 毒 攻 击 的 事 件, 就 是 因 为 不 规 范 使 用 移 动 存 储 介 质 造 成 的 安 全 防 护 思 路 通 过 以 上 对 工 业 控 制 系 统 现 状 和 安 全 风 险 分 析, 可 以 看 到 工 业 控 制 系 统 自 身 存 在 的 脆 弱 性 风 险, 而 两 化 融 合 全 球 能 源 互 联 网 智 慧 油 田 等 全 新 的 概 念 结 合 工 控 系 统 自 身 的 脆 弱 性, 进 一 步 加 剧 了 的 工 业 控 制 系 统 的 安 全 风 险 工 业 控 制 系 统 安 全 是 传 统 IT 系 统 安 全 的 延 伸, 在 工 控 系 统 的 安 全 方 法 论 上 可 参 考 信 息 安 全 的 方 法 论, 但 同 时 工 业 控 制 系 统 又 具 有 自 身 的 特 点, 在 属 性 上 优 先 考 虑 可 用 性 然 后 再 考 虑 完 整 性 和 保 密 性 根 据 以 上 的 特 点, 石 油 石 化 行 业 工 业 控 制 系 统 安 全 防 护 思 路, 主 要 从 四 个 方 面 考 虑 工 业 控 制 系 统 安 全 问 题 首 先 各 个 工 业 控 制 系 统 的 环 境 是 不 尽 相 同 的, 即 使 是 同 为 油 气 田 行 业 的 不 同 分 公 司, 所 使 用 的 架 构 和 具 体 的 工 业 控 制 系 统 也 是 有 很 大 区 别 的, 在 进 行 安 全 建 设 的 前 提 下 参 照 国 际 国 内 相 关 的 工 业 信 息 安 全 风 险 评 估 技 术 标 准 要 求 及 能 源 行 业 内 对 工 控 评 估 的 行 业 规 范 需 要 对 具 体 的 工 业 控 制 系 统 安 全 现 状 进 行 评 估, 根 据 评 估 结 论 提 出 有 针 对 性 的 抵 御 安 全 威 胁 的 防 护 对 策 和 整 改 措 施, 以 防 范 和 缓 解 信 息 安 全 风 险, 将 风 险 控 制 在 可 接 受 的 水 平, 最 大 限 度 地 为 保 障 工 业 控 制 系 统 安 全 提 供 科 学 依 据 其 次 需 要 构 建 工 控 系 统 安 全 体 系 架 构, 对 工 业 控 制 系 统 进 行 纵 向 分 区 横 向 分 层, 根 据 不 同 作 业 区 域 的 功 能 与 作 用 不 同, 进 行 不 同 等 级 的 有 针 对 性 的 防 护, 达 成 安 全 防 护 重 点 突 出, 使 安 全 防 护 资 源 得 到 合 理 分 配, 从 而 构 建 工 控 系 统 安 全 防 护 架 构, 从 根 本 上 建 立 工 业 控 制 系 统 的 安 全 基 础 再 次 需 要 根 据 前 两 部 的 结 论 有 针 对 性 的 做 具 体 的 安 全 防 护 工 作, 比 如 : 系 统 主 机 安 全 工 业 控 制 系 统 网 络 安 全 工 业 控 制 系 统 应 用 层 安 全 移 动 介 质 安 全 运 维 安 全 容 灾 备 份 体 系 等 最 后 是 对 工 业 控 制 系 统 进 行 全 面 监 控 和 审 计, 构 建 安 全 管 理 平 台 来 对 生 产 网 中 的 链 路 网 络 设 备 服 务 器 存 储 负 载 均 衡 设 备 防 火 墙 数 据 库 中 间 件 业 务 应 用 服 务 等 的 运 行 状 态 和 指 标 参 数 进 行 实 现 实 时 数 据 采 集 和 运 行 状 态 监 控, 利 用 科 学 高 效 的 技 术 手 段 和 已 有 的 成 功 经 验 实 现 对 工 业 控 制 系 统 的 精 细 化 及 时 化 准 确 化 的 运 维 保 障 和 管 理 2.6 烟 草 行 业 安 全 解 决 思 路 2011 年, 国 家 烟 草 专 卖 局 印 发 了 国 家 烟 草 专 卖 局 办 公 室 关 于 卷 烟 工 业 企 业 信 息 化 建 设 的 指 导 意 见 ( 国 烟 办 综 [2011] 212 号 ), 明 确 了 构 建 智 能 化 工 厂 建 设 信 息 化 企 业 的 主 要 任 务 各 烟 草 工 业 企 业 在 进 一 步 构 建 一 体 化 数 字 烟 草, 推 进 烟 草 行 业 的 两 化 融 合 过 程 中, 以 太 网 技 术 与 工 业 控 制 网 络 技 术 的 融 合 程 度 逐 渐 加 深, 工 业 控 制 网 络 和 企 业 管 理 网 业 务 信 息 数 据 交 换 的 关 联 性 也 越 来 越 紧 密, 工 业 控 制 信 息 系 统 的 机 密 性 完 整 性, 特 别 是 可 用 性 保 障 问 题 也 成 为 目 前 需 要 解 决 的 问 题 由 于 工 业 控 制 系 统 安 全 与 传 统 的 信 息 系 统 安 全 不 同, 它 通 常 关 注 更 多 的 是 物 理 安 全 及 生 产 设 备 功 能 的 高 可 用 性, 随 着 信 息 化 与 工 业 化 技 术 的 深 度 融 合 以 及 潜 在 网 络 威 胁 的 影 响, 工 业 控 制 系 统 也 将 从 传 统 的 仅 关 注 物 理 安 全 功 能 高 可 用 性 转 向 更 为 关 注 生 产 网 中 信 息 系 统 的 安 全, 特 别 是 工 业 控 制 系 统 安 全 这 种 转 变 将 在 推 动 传 统 的 烟 草 工 业 企 业 信 息 化 进 程 中 产 生 较 大 的 影 响 26