专栏第 9 卷第 9 期 2013 年 9 月统作为国家关键基础设施的重要油生产以及管线等进行自动化或控制系统及其安全性研究 [17] 中组成部分已成为国家空间安全和远程控制的系统对工业控制系统中的常用协议的通常情况下工业控制系统安全性工业控制系统涉及到的至被提升到国家安全

Size: px

Start display at page:

Download "专栏第 9 卷第 9 期 2013 年 9 月统作为国家关键基础设施的重要油生产以及管线等进行自动化或控制系统及其安全性研究 [17] 中组成部分已成为国家空间安全和远程控制的系统对工业控制系统中的常用协议的通常情况下工业控制系统安全性工业控制系统涉及到的至被提升到国家安全"

饬喻步
7 years ago
Views:

1 第 9 卷第 9 期 2013 年 9 月工业控制系统的安全性研究李鸿培于旸忽朝俭曹嘉北京神州绿盟信息安全科技股份有限公司关键词工业控制系统安全威胁漏洞分析为代表的一系列针对工业控制系引言统的信息安全事件 [4] 表明及有组织的持久的协同攻击模式 [5] 例如高级持续性威胁的工业控制系统面临的安全威胁新型攻击手段已经对安全厂商及日益严重相关安全事件急剧增相关研究机构的安全防护提出了 control systems, ICS) 逐渐打破以往加如图 1 所示严重的挑战的封闭采用标准通用的通信协议及软硬件系统甚至有些还国家重要行业的工业控制系统进能以某种方式连接到互联网等公行攻击已成为敌对国家恐共网络中这使得工业控制系统怖组织以及犯罪分子为达到其政 Response Team, ICS-CERT) 美也将面对病毒黑客入侵拒绝治军事经济或信仰等目的而国国土安全部旗下的电脑警备为了实现系统间的协同和信息分享工业控制系统 (industrial 服务等一些传统的信息安全威胁近年来以伊朗布什尔核电站遭到震网病毒攻击 [1~3] 对电力石油化工核工业等采取的新型威胁手段 [5] Control Systems Cyber Emergency 小组 1 下属的专门负责工业控制攻击者具有明确的攻击目标系统的应急响应小组的统计攻击时多采用新的技术手段以 2011 年共上报工业控制系统相关的安全事件 198 起与年相比有较大上升虽然与互联网上的攻击事件相比针对工业控制系统的安全事件数量少 150 得多但由于工业控制系统对于国计民生有极其重要的作用因此每次事件都会带来巨大的影响 9 和危害年 2010年 2011年工业控制系统安全事件图1 ICS-CERT统计的工业控制系统安全事件 1 网络应急反应小组 (The Industrial 根据美国工业控制系统工业控制系统脆弱的安全状况以及日益严重的攻击威胁已引起了世界各国的高度重视尤其在震网病毒爆发后工业控制系 The U.S. Government's Computer Emergency Readiness Team, US-CERT 37

ICS-CERT) 美也将面对病毒黑客入侵拒绝治军事经济或信仰等目的而国国土安全部旗下的电脑警备为了实现系统间的协同和信息分享工业控制系统 (industrial 服务等一些传统的信息安全威胁近年来以伊朗布什尔核电站遭到震网病毒攻击 [1~3] 对电力石油化工核工业等采取的新型威胁手段 [5] Control Systems Cyber Emergency

2 专栏第 9 卷第 9 期 2013 年 9 月统作为国家关键基础设施的重要油生产以及管线等进行自动化或控制系统及其安全性研究 [17] 中组成部分已成为国家空间安全和远程控制的系统对工业控制系统中的常用协议的通常情况下工业控制系统安全性工业控制系统涉及到的至被提升到国家安全战略的高度包括但不限于以下子系统或功能相关漏洞情况进行了深入的分析信息安全的关注热点其安全性甚并在政策标准技术方案等方面采取了积极的应对措施 [6~10] 组件如图 2 所示研究并通过几个虚拟的攻击场由于国内工业控制系统及其工作环境的相对封闭性国内安 SCADA 客户端历史库客户端 ERP 客户端全研究团队以前的研究内容多集 MES 制造执行系统企业企业网络中在互联网和传统的信息系统方面很少关注工业控制系统而其他设施微波工业控制系统提供商所关注的主要是工业控制系统的可用性和实广域网护措施也涉及不多虽然在有利 SCADA服务器组态监控图例政策用户需求及工业控制系统子系统监控站防火墙过程控制/监控网络卫星时性对系统的安全性问题及防工程师站工程组态控制系统网络控制器 RTU/PLC/IED 安全事件的驱动下国内安全界控制系统以太网工业以太网在工业控制安全方面已有部分研究成果问世 [1,10-15] 但目前仍缺历史数据库实时数据库服务器服务器远程终端单元可编程控制器智能监测单元 RTU PLC IED 无线移动设备图2 工业控制系统的系统架构乏对工业控制系统安全性的系统化分析与讨论数据采集与监控系统 (supervi- sory control and data acquisition, 工业控制系统概述工业控制系统一般是指由计算机设备与工业过程控制部件组成的自动控制系统目前广泛应动化协会 (ISA) 与 IEC/TC65/WG 整合后发布了 IEC 工业过程测量控制和自动化网络与系统信息安全对工业控制文重点讨论工业控制系统与传统可编程逻辑控制器 (programmable 漏洞的统计分析相关的内容测控单元 (remote terminal unit, 工业控制系统与传统信息系统的安全性差异 (distributed control system, DCS) 信息系统的安全性差异及其相关 logical controller, PLC) 远程制 / 诊断系统等施建筑环境控制系统地理位置上具有分散操作性质的公共事业设施如电力天然气石 38 在传统的信息安全领域通相关信息系统如图形化界常将保密性完整性和可用性面过程历史库制造执行系统称为安全的三种基本属性简 (manufacturing execution system, 称 CIA 通常认为保密性的优先 MES) 以及厂站信息系统级最高完整性次之可用性最低但工业控制系统强调的是工系统给出了定义即工业控制系统包括制造和加工厂站和设临的安全风险因篇幅所限本 SCADA) 分布式过程控制系统用于电力水处理石油化工 RTU) 网络电子传感 / 监视 / 控交通运输制造等行业国际自景来分析展示工业控制系统所面工业控制系统的安全性分析我们在技术研究报告工业业自动化过程及相关设备的智能控制监测与它们在系统架构设备操作系统数据交换协议等方面与普通的信息系统存

工业控制系统提供商所关注的主要是工业控制系统的可用性和实广域网护措施也涉及不多虽然在有利 SCADA服务器组态监控图例政策用户需求及工业控制系统子系统监控站防火墙过程控制/监控网络卫星时性对系统的安全性问题及防工程师站工程组态控制系统网络控制器 RTU/PLC/IED 安全事件的驱动下国内安全界控制系统以太网工业以太网在工业控制安全方面已有部分研

3 第 9 卷第 9 期 2013 年 9 月在较大差异其更为关注系统的实时性可控性及业务连续性 [17] 通常是控制命令和采集的原始数据需要放在特定的背景下分析心生产运营系统工作环境处于封闭状态外人很难进入同时因此在考虑工业控制系统安全才有意义而且多是实时数据系统也多与企业的办公网络信息时要优先保证系统的可用性因对保密性的要求最低这也是工系统之间相隔离与互联网也多为各组件之间存在固有的关联业控制系统安全与传统的信息系处于物理隔离的状态而且工业所以完整性次之对于数据保密控制系统主要由基于嵌入式操性来说工控系统中传输的数据统安全的原则性区别之一工业控制系统作为企业的核作系统如 VxWorks, uclinux, 表1 工业控制系统与传统信息系统的安全性对比分析对比项安全威胁威胁来源攻击方法工业控制系统安全防护以组织为主数据安全身份攻击目的性强的高级持续性威胁 APT StuxNet, Duqu 等采用有组织的多攻击协同模式关注工业控制系统及其设备专用操作系统的漏洞配置缺陷等问题当前系统防护能力不足系统补丁困难安全机制升级困难重点关注专有通信协议或通信规约的安全性及其实时安全的传输能力工业控制系统缺乏统一的数据通信协议标准通信协议规范的种类繁多专有通信协议及规约通常只强调通信的实时性及可用性对安全性考虑不足如缺少足够强度的认证加密与授权等通常需要与互联网进行物理隔离网络安全个体群体组织系统安全传统信息系统重点关注工业控制系统设备的状态控制命令等信息在传输处理及存储中的安全性系统用户身份认证及授权相对简单甚至没有部分控制设备是通过硬件实现的难以对密码进行周期性修改工业控制系统补丁困难漏洞难以及时处理工业控制系统补丁兼容性差发布周期长系统可用性与业务连续性的硬性要求使得系统员绝不会轻易安装非工业控制系统设备制造商指定的升级补丁使用周期长相对陈旧的系统也可能因无法继续得到厂商的支持而造成系统漏洞无法及时打补丁常用攻击方式拒绝服务病毒恶意代码非授权访问欺骗等也有一些组织采用高级持续性威胁的攻击模式攻击重要信息系统关注通用操作系统的漏洞配置缺陷及资源非授权访问等问题系统级防护能力较强防病毒补丁配置核查外设管控等系统级安全手段丰富主要是关注TCP/IP协议簇的数据传输安全拒绝服务应用层安全等一般对数据传输的实时性要求不高安全技术产品方案相对成熟安全防护能力强一般不要求与互联网物理隔离服务器中存储数据的安全存储及授权使用认证授权机制比较成熟完善用户身份功能用软件实现可方便对密码进行周期性修改安全管理补丁工业控制系统需严格防止系统误操作与蓄意破坏通常缺乏日志审计及配置变更存在部分工业控制系统不具备审计功能或者虽有日志审计功能但系统的性能要求决定了它不能开启审计功能传统IT信息系统的漏洞与补丁系统或工具比较成熟漏洞一般可以及时地得到处理一般有比较完善的信息系统操作及网络行为的审计机制应急响应计划可选行为应急响应需要保障工业控制系统业务连续性的应急响应计划强调快速响应 39

安全防护以组织为主数据安全身份攻击目的性强的高级持续性威胁 APT StuxNet, Duqu 等采用有组织的多攻击协同模式关注工业控制系统及其设备专用操作系统的漏洞配置缺陷等问题当前系统防护能力不足系统补丁困难安全机制升级困难重点关注专有通信协议或通信规约的安全性及其实时安全的传输能力工业控制系统缺乏统一的数据通信协议标准通信协议规范的种类繁多

4 专栏第 9 卷第 9 期 2013 年 9 月 WinCE 等及专用通信协议或通科技安全漏洞库中共收录到 216 信规约如 OPC, ModBus, DNP3 时候采用了新的威胁分类标准个与工业控制系统相关的漏洞按照漏洞可能造成的危害分为等的工业控制设备或系统组成本文主要从发布时间威胁类型越权执行越权写入越权读取因此工业控制系统的相对封闭厂商分布等角度对这些漏洞进行拒绝服务四大类性以及系统设备和通信规约的专统计分析结果如下图 3 给出了从 2007 年到有性使得工业控制系统安全性越权执行指缓冲区溢出命令执行 SQL 注入等可以直接对及应对策略与传统信息系统存在 2012 年 11 月期间所发布的按年系统造成较大程度控制的漏洞较大的差异我们从系统面临的度进行统计分析的工业控制系统安全威胁及相应的系统安全防护漏洞情况从图中可以看出在系统上写入文件修改用户密码与安全运维的角度等对这 2011 年之前公开披露的漏洞和系统配置等但无法直接执行些差异进行了讨论见表格 1 的数量相当少但在 2011 年却越权写入指能以某种方式在代码的漏洞出现了井喷并持续到 2012 年工业控制系统安全是信息安全研究领域的一个新课题对工这显然与 2010 年的震网病业控制系统的自身脆弱性以及系毒引起大家对工业控制系统安全统间通信规约安全性问题的分析问题的广泛关注有关我们预计将是对工业控制系统安全性展开至少在未来一段时间内工业控深入研究的基础制系统仍将是漏洞研究者们感兴其他 1.4% 越权写入 8.3% 拒绝服务 13.9% 趣的话题工业控制系统相关漏洞的统计分析越权读取 14.8% 由于工业控制系统更强调对越权执行 61.6% 系统的控制能力因而它所关注工业控制系统相关漏洞的分的安全问题多是防止违规越权操图4 公开漏洞按威胁类型分布的统计分析越权读取指能读取指定或任意文件内存信息等的漏洞 80 拒绝服务指可导致进程崩溃 60 死锁等使软件无法正常工作的 40 漏洞我们按威胁类型对工业控制 20 0 漏洞数相关漏洞进行了分析结果表明图3 工业控制系统公开漏洞数量的年度统计分析图越权执行写入读取类漏洞占据了绝大多数而其中危害最严重的越权执行类的漏洞数量也是最多的约占全部漏洞的析数据主要依据文献 [16] 所收录作以及避免业务中断保障控制的漏洞信息整理而成系统的实时正常运行因此截至 2012 年 11 月底绿盟 40 我们在分析工业控制系统漏洞的 61.6% 见图 4 通过对越权执行类漏洞的详细分析发现这类漏洞以缓

安全威胁及相应的系统安全防护漏洞情况从图中可以看出在系统上写入文件修改用户密码与安全运维的角度等对这 2011 年之前公开披露的漏洞和系统配置等但无法直接执行些差异进行了讨论见表格 1 的数量相当少但在 2011 年却越权写入指能以某种方式在代码的漏洞出现了井喷并持续到 2012 年工业控制系统安全是信息安全研究领域的一个新课题对工

5 第 9 卷第 9 期 2013 年 9 月冲区溢出类漏洞最多约占该软件进行检查时积累多年的类漏洞的一半以上从整体上漏洞就暴露出来看近年来缓冲区溢出类漏洞图 5 讨论了这些公开漏洞无论是绝对数量还是相对比例所涉及的主要工业控制系统厂商都呈下降趋势而在工业控制所占的比例需要说明的是各其产品就越不安全工业控制系统的安全问题及应对措施虽然工业控制系统工作环境相对封闭多采用专用通信协议公开漏洞所涉及的主要厂商 TOP 10 而且外人很难获得工业控制系统的研究分析样本因此很少遭到 InduSoft 2.8% 其他 21.3% 入侵攻击但这并不表明工业控西门子 25.5% 制系统的用户就可以高枕无忧前面的研究结果表明目前工业德国3S智能软件 3.2% 控制系统普遍存在一些严重的安全问题 [17] 北京三维力控科技 3.7% 施耐德电气 14.4% 研华股份 10.6% 设计工业控制系统协议缺乏足够的安全性考虑易被攻击者利用 DATAC 缺乏违规操作越权访问行为审计能力图5 公开漏洞所涉及的主要工业控制系统厂商需求严重漏洞难以及时处理系统安全风险巨大北京亚控科技 Sielco Sistemi Measuresoft 度人员安全意识缺乏实施测试发布和响应面对新型的 APT 攻击缺乏有效的应对措施等等囿于篇幅只摘取其中的一安全需求分析受攻击面分析开发安全规范 Fuzzing 测试集成测试关键目标识别威胁建模静态分析渗透测试最终安全评审安全响应和预警安全设计方案没有足够的安全政策制图6 绿盟科技应用安全开发生命周期(NSFocus ADSL) 个安全问题进行分析并结合我们在信息安全领域的最佳实践提供相应的应对措施及安全建议 [17] 严重漏洞难以及时处理系统安全风险巨大面对有组织有目的的攻击系统领域却出现较多缓冲区溢厂商产品的漏洞数量不仅与产品者应对的措施是加强对工业出类漏洞的现象我们认为其自身的安全性有关也与厂商的控制系统脆弱性系统漏洞及配主要原因可能是因为以前研究产品种类产品的复杂度以及受置缺陷的合作研究提供针对者对此类漏洞关注较少所以研究者关注的程度等多种因素有性地解决方案和安全保护措施很多软件中累积了大量此类漏关所以我们并不能简单地认源头控制 (1) 运营组织和洞而当研究者们开始对这些为公开漏洞数量越多的厂商关键提供商建立工业控制系统开 41

6 专栏第 9 卷第 9 期 2013 年 9 月发的全生命周期安全管理 (2) 李鸿培在系统的需求分析架构设计 CCF高级会员绿盟科技战略师主要研究方向为可信网络体系架构安全智能及工业控制系统安全 lihongpei@ nsfocus.com 开发实现内部测试第三方测试和人员知识传递等研发生命周期的典型阶段融入安全设计安全编码以及安全测试等相关安全技术尽可能系统地识别和消除各个阶段可能出现的来自人员于旸知识和技能开发环境和业务逻绿盟科技高级研究员主要研究方向为安全漏洞挖掘分析利用和检测以及 APT防御技术等 yuyang@nsfocus.com 辑引入系统缺陷的安全风险如图 6 所示分析检测与防护 (1) 工业控制系统提供商应积极开展与安全研究组织或机构的合作 (2) 加强对重要工业控制系统所使用忽朝俭软硬件的静态和动态代码脆弱性清华大学&绿盟科技在站博士后主要研究方向为程序分析软件漏洞检测等 huchaojian@ nsfocus.com 分析系统漏洞分析研究 (3) 开发工业控制系统行业专用的漏洞扫描补丁及系统配置核查工具漏洞库国家主管机构主导建立权威的工业控制系统曹嘉专业漏洞库以及完善的漏洞安全绿盟科技西安分公司技术总监主要研究方向为云计算工业控制系统安全 caojia@nsfocus.com 补丁发布机制结语工业控制系统安全的重要性及其普遍安全防护措施的不足使工业控制系统在面临攻击时如何确保其安全性成为了一项非常艰巨的任务此外工业控制系统所面临或关注的安全问题也与当前业内熟悉的互联网安全存在很大差异这些都对安全厂商及相关研究机构在工业控制系统方面的安全服务能力提出了重大挑战 42 参考文献 [1] 曹嘉.ICS工业控制系统安全事件分析, [2] Gregg Keizer. Is Stuxnet the 'best' malware ever? Infoworld Retrieved 16 September [3] Halliday, Josh. Stuxnet worm is the 'work of a national government agency'. London: The Guardian. Retrieved 27 September [4] Robert McMillan. Iran was prime target of SCADA worm. Computerworld Retrieved 17 September [5] 李鸿培, 下一代安全技术方向的思考, 技术报告, 绿盟科技内部报告, 2012; 4. [6] 关于加强工业控制系统信息安全的通知, 工信部协 [2011]451号. [7] Guide to industrial control systems (ICS) security NIST, SP80082.,June, [8] Guide for Assessing the Security Controls in Federal Information Systems and Organizations NIST, SP800-53A. [9] NSTB Assessments Summary Report Common industrial control system cyber security weaknesses. 2010(5). [10]唐文.工业基础设施信息安全, 技术报告, 西门子中国研究院, [11]谢斌. 烟草工业控制系统安全分析与防护思路, 绿盟科技技术内刊, 2012; 16. [12]李文法, 忽朝俭, 曹嘉, 工业控制系统安全概述, 绿盟科技技术内刊, 2012; 18. [13]周发桂.信息安全基线在电力行业的应用, 绿盟科技技术内刊, 2011; 15. [14]张帅.ICS工业控制系统安全风险分析, 技术报告, 金山网络企业安全事业部. [15]赵世平.工业控制系统中的现场总线安全性. 安天实验室, [16]绿盟科技安全漏洞. nsfocus.net/vulndb. [17]李鸿培, 于旸, 忽朝俭等. 工业控制系统及其安全性研究报告.绿盟科技技术报告, 2012; html.

com 辑引入系统缺陷的安全风险如图 6 所示分析检测与防护 (1) 工业控制系统提供商应积极开展与安全研究组织或机构的合作 (2) 加强对重要工业控制系统所使用忽朝俭软硬件的静态和动态代码脆弱性清华大学&绿盟科技在站博士后主要研究方向为程序分析软件漏洞检测等 huchaojian@ nsfocus.

2014绿盟科技工控系统安全态势报告

2014绿盟科技工控系统安全态势报告 NSFOCUS 2014 ICS SECURITY REPORT 2014 绿盟科技工控系统安全态势报告 NSFOCUS ICS SECURITY REPORT 2014 年 8 月本报告分析了工控系统自身的脆弱性以及所面临的安全威胁发展态势, 着重对工控安全产业生态环境进行了调研