智 能 制 造 与 工 业 4.0 时 代 的 信 息 安 全 菲 尼 克 斯 电 气 mguard 为 控 制 系 统 保 驾 护 航 随 着 智 能 制 造 与 工 业 4.0 战 略 的 提 出, 工 业 生 产 的 数 字 化 成 为 一 种 不 可 阻 挡 的 未 来 趋 势, 高 度 融 合 IT 技 术 的 工 业 自 动 化 将 会 得 到 迅 速 而 广 泛 的 应 用, 对 于 工 业 控 制 系 统 的 信 息 安 全 的 关 注 将 达 到 前 所 未 有 的 高 度 和 广 度 威 胁 信 息 安 全 的 主 要 包 括 黑 客 攻 击 病 毒 数 据 操 纵 蠕 虫 和 特 洛 伊 木 马 等 技 术 数 据 显 示, 黑 客 的 攻 击 目 标 已 经 从 原 来 的 商 业 互 联 网 络 逐 步 扩 展 到 工 业 控 制 系 统, 主 要 目 标 集 中 在 能 源 水 利 化 工 政 府 机 构 以 及 核 设 施 等 领 域 信 息 安 全 事 件 呈 逐 年 上 升 的 趋 势, 其 背 后 不 乏 犯 罪 商 业 间 谍 恐 怖 主 义 甚 至 某 些 国 家 赞 助 的 间 谍 活 动 菲 尼 克 斯 电 气 是 mguard 工 业 防 火 墙 技 术 的 发 明 者, 也 是 工 业 信 息 安 全 的 技 术 和 市 场 领 导 者 mguard 工 业 防 火 墙 技 术 始 于 2001 年, 在 全 球 已 经 得 到 了 十 多 万 客 户 的 应 用 和 验 证, 应 用 领 域 包 括 汽 车 机 械 制 造 仪 表 自 动 化 能 源 和 轨 道 交 通 等 行 业 菲 尼 克 斯 电 气 可 以 为 客 户 提 供 全 面 的 工 业 信 息 安 全 产 品 和 技 术 服 务, 包 括 mguard 硬 件 防 火 墙, 内 嵌 式 的 Linux OS 内 核 程 序,mGuard 相 关 软 件 解 决 方 案 以 及 mguard 的 各 种 定 制 化 信 息 安 全 服 务 等 那 么, 工 业 控 制 系 统 信 息 安 全 所 面 临 的 主 要 威 胁 有 哪 些? 办 公 网 络 和 工 业 网 络 信 息 安 全 的 主 要 差 异 是 什 么? 典 型 的 工 业 级 网 络 防 火 墙 的 特 点 和 优 势 体 现 在 哪 里? 本 文 将 一 一 为 您 阐 述 1 工 业 控 制 系 统 信 息 安 全 威 胁 分 析 : 工 业 控 制 系 统 信 息 安 全 的 潜 在 威 胁 主 要 来 自 黑 客 攻 击 病 毒 数 据 操 纵 蠕 虫 和 特 洛 伊 木 马 等 a) 来 自 黑 客 的 攻 击 : 目 前, 由 于 安 全 制 度 的 缺 失, 大 量 的 工 业 控 制 系 统 在 完 全 没 有 保 护 的 情 况 下 被 连 接 到 互 联 网 中, 而 这 些 设 备 大 都 使 用 默 认 的 用 户 名 和 密 码, 可 以 轻 易 的 被 登 陆 和 访 问, 这 些 控 制 系 统 往 往 非 常 脆 弱, 易 于 被 攻 击, 而 最 危 险 的 是 这 些 控 制 系 统 的 使 用 者 对 这 些 危 险 毫 无 察 觉
( 数 据 来 源 :2011 年 剑 桥 大 学 ) 上 面 这 两 张 图 片 来 自 剑 桥 大 学 2011 年 提 供 的 一 个 分 析 报 告, 通 过 这 个 报 告 我 们 可 以 看 出, 只 要 通 过 网 络 搜 索 引 擎 (Shodan 搜 索 引 擎 ) 进 行 简 单 的 搜 索, 就 可 以 找 到 连 接 在 互 联 网 的 工 业 网 络 设 备 网 站 的 研 究 者 也 曾 使 用 Shodan 定 位 到 了 核 电 站 的 指 挥 和 控 制 系 统 及 一 个 粒 子 回 旋 加 速 器, 真 正 的 可 怕 之 处 就 是 这 些 设 备 几 乎 都 没 有 安 装 安 全 防 御 措 施, 可 以 随 意 进 入 黑 客 还 可 以 利 用 黑 客 工 具 和 技 术, 例 如 侦 察 密 码 猜 测 攻 击 缓 冲 区 溢 出 攻 击 安 装 后 门 嗅 探 伪 造 和 欺 骗 拒 绝 服 务 攻 击 等 手 段 对 信 息 系 统 进 行 攻 击 和 入 侵 某 些 黑 客 甚 至 将 攻 击 SCADA 系 统 的 代 码 公 布 到 网 络 上
由 此 可 见, 黑 客 的 攻 击 目 标 已 经 从 原 来 的 商 业 互 联 网 络 逐 步 扩 展 到 工 业 控 制 系 统 和 SCADA 系 统 中, 而 其 背 后 的 目 的 包 括 犯 罪 商 业 间 谍 恐 怖 主 义 甚 至 某 些 国 家 赞 助 的 间 谍 活 动 b) 来 自 病 毒 的 破 坏 由 于 操 作 维 护 人 员 第 三 方 的 系 统 维 护 服 务 商 或 访 客 的 不 当 操 作, 将 有 可 能 将 隐 藏 在 U 盘 移 动 设 备 笔 记 本 电 脑 中 的 病 毒 传 播 到 工 业 控 制 系 统 中 如 果 没 有 防 护 措 施, 这 些 病 毒 会 利 用 系 统 的 安 全 漏 洞, 在 网 络 中 进 行 自 我 复 制 和 传 播, 感 染 工 业 控 制 计 算 机 或 攻 击 可 编 程 控 制 器 i. 直 接 攻 击 PLC 控 制 器 的 病 毒 (Stuxnet) Stuxnet 蠕 虫 病 毒 ( 超 级 工 厂 病 毒 ) 是 世 界 上 首 个 专 门 针 对 工 业 控 制 系 统 编 写 的 破 坏 性 病 毒, 能 够 利 用 对 windows 系 统 和 工 业 控 制 软 件 的 漏 洞 进 行 攻 击 Stuxnet 蠕 虫 病 毒 会 攻 击 可 编 程 逻 辑 控 制 器 (PLC), 向 PLC 中 写 入 数 据, 并 根 据 情 况 和 需 求 改 变 PLC 的 流 程 该 病 毒 可 以 通 过 U 盘 和 局 域 网 进 行 传 播, 国 内 已 有 超 过 500 万 网 民 及 多 个 行 业 的 领 军 企 业 遭 Stuxnet 蠕 虫 病 毒 攻 击, 而 且 由 于 安 全 制 度 上 的 缺 失, 该 病 毒 还 存 在 很 高 的 大 规 模 传 播 风 险
ii. ( 数 据 来 源 :http://zh.wikipedia.org/wiki/%e9%9c%87%e7%bd%91#cite_note-27) 间 接 攻 击 的 病 毒 (Dragonfly / Havex) Dragonfly 病 毒 是 继 Stuxnet 之 后 又 一 强 大 的 病 毒, 它 的 目 标 就 是 侵 入 特 定 的 工 业 控 制 系 统 (ICS), 窃 取 其 系 统 信 息 和 数 据 并 做 进 一 步 的 传 播 和 扩 散 Dragonfly 病 毒 是 在 2014 年 开 始 传 播 并 被 发 现 的, 黑 客 渗 透 了 三 个 工 业 系 统 服 务 商 的 软 件 升 级 服 务 器, 致 使 其 客 户 通 过 升 级 服 务 下 载 了 数 百 个 包 含 恶 意 软 件 的 升 级 安 装 文 件
iii. 可 自 我 复 制 的 恶 意 软 件 (Conficker / Kido) Conficker 蠕 虫 是 以 微 软 的 windows 操 作 系 统 为 攻 击 目 标 的 计 算 机 蠕 虫 病 毒, 目 前 全 球 已 有 超 过 1500 万 台 电 脑 受 到 感 染 conficker 蠕 虫 使 用 特 定 的 RPC 请 求 在 目 标 电 脑 上 执 行 代 码, 一 旦 发 现 网 络 中 存 在 有 漏 洞 的 计 算 机 系 统, 就 会 激 活 该 漏 洞 进 行 远 程 感 染 Conficker 这 一 类 的 蠕 虫 病 毒 会 增 加 网 络 负 载, 造 成 网 络 的 不 稳 定, 也 会 使 被 感 染 的 系 统 CPU 负 载 增 高, 使 得 整 个 系 统 不 可 靠 ( 数 据 来 源 :Conficker working group) c) 工 业 控 制 系 统 信 息 安 全 事 件 发 生 的 数 量 和 所 受 攻 击 类 型 的 分 析 : 据 目 前 已 知 的 数 据 显 示, 工 业 控 制 系 统 的 信 息 安 全 事 件 主 要 集 中 于 能 源 水 利
化 工 政 府 机 构 以 及 核 设 施 等 领 域 而 且 在 中 国, 这 类 事 件 的 发 生 也 呈 逐 年 上 升 的 趋 势 250 200 工 业 控 制 系 统 信 息 安 全 事 件 198 150 100 50 0 9 41 2009 年 2010 年 2011 年 2009 年 2010 年 2011 年 工 业 控 制 信 息 系 统 所 受 攻 击 的 来 源 分 析 通 过 WIFI 5% 通 过 HMI 接 口 8% 通 过 移 动 设 备 4% 通 过 USB 端 口 3% 通 过 互 联 网 连 接 9% 通 过 远 程 访 问 26% 通 过 第 三 方 服 务 商 10% 通 过 公 司 内 部 网 络 35% ( 数 据 来 源 : 权 威 工 业 安 全 事 件 信 息 库 RISI(Repository of Security Incidents) 2014) 从 以 上 分 析 可 以 看 出, 工 业 控 制 系 统 信 息 安 全 事 件 呈 快 速 上 升 趋 势, 且 所 受 攻 击 可 能 来 自 方 方 面 面, 幸 运 的 是 菲 尼 克 斯 电 气 所 提 供 的 mguard 工 业 信 息 安 全 技 术 可 以 很 好 地 解 决 以 上 问 题 2 办 公 网 络 信 息 安 全 和 工 业 自 动 化 网 络 信 息 安 全 的 主 要 差 别 办 公 电 脑 和 网 络 与 工 业 电 脑 和 信 息 网 络 有 很 大 区 别, 针 对 信 息 安 全 所 做 的 防 护 措 施 也 不 尽 相 同 表 1 在 办 公 室 和 工 业 环 境 中 信 息 系 统 的 不 同 特 点
网 络 项 目 办 公 环 境 工 业 环 境 信 息 安 全 重 要 性 优 先 级 机 密 性 > 完 整 性 > 可 用 性 可 用 性 > 完 整 性 > 机 密 性 网 络 结 构 经 常 变 化 固 定 不 变 电 脑 硬 件 和 操 作 系 统 经 常 更 新 和 升 级 不 更 新 和 升 级 使 用 寿 命 三 到 五 年 十 年 甚 至 更 长 防 护 手 段 可 以 使 用 防 火 墙 升 级 安 全 补 丁 和 杀 毒 软 件 不 能 使 用 防 火 墙 升 级 安 全 补 丁 和 杀 毒 软 件 风 险 影 响 数 据 丢 失 危 及 生 产 设 备 和 人 身 安 全 恢 复 能 接 受 较 长 的 恢 复 时 间 故 障 后 要 求 快 速 恢 复 / 代 换 信 息 系 统 安 全 性 要 求 大 多 数 情 况 现 场 不 够 安 全 同 一 个 现 场 Intranet 之 间 很 少 分 隔 关 注 中 央 服 务 器 的 安 全 性 严 密 的 物 理 安 全 性 MIS 网 络 与 工 厂 网 络 隔 离 关 注 边 界 控 制 设 备 稳 定 性 由 上 表 可 以 看 出, 工 业 控 制 计 算 机 和 工 业 网 络 在 对 安 全 性 的 要 求 使 用 寿 命 信 息 安 全 防 护 手 段 等 方 面 有 着 特 殊 要 求 由 于 系 统 兼 容 性 和 稳 定 性 的 需 要, 工 业 控 制 计 算 机 往 往 都 不 会 安 装 杀 毒 软 件 和 经 常 升 级 系 统 补 丁, 特 别 是 一 些 服 役 多 年 的 工 控 设 备, 往 往 得 不 到 更 新 支 持, 这 些 毫 无 防 护 的 控 制 系 统 非 常 脆 弱 病 毒 和 毫 无 经 验 的 黑 客 都 可 以 对 其 发 起 致 命 性 的 攻 击 菲 尼 克 斯 电 气 的 mguard 工 业 防 火 墙 技 术 不 但 可 以 防 止 黑 客 从 网 络 入 侵, 同 时 可 以 对 病 毒 实 现 监 控 和 防 御 3 菲 尼 克 斯 电 气 mguard 工 业 控 制 系 统 信 息 安 全 解 决 方 案 的 特 点 菲 尼 克 斯 电 气 的 mguard 工 业 防 火 墙 技 术 始 于 2001 年, 为 工 业 企 业 客 户 提 供 信 息 安 全 产 品 和 相 关 技 术 服 务, 目 前 在 全 球 已 经 安 装 了 超 过 10 万 个 工 业 级 防 火 墙 主 要 的 客 户 包 括 汽 车 机 械 制 造 仪 表 自 动 化 能 源 轨 道 交 通 所 提 供 的 产 品 和 服 务 包 括 mguard 硬 件 防 火 墙, 内 嵌 式 的 Linux OS 内 核 程 序, mguard 相 关 软 件 解 决 方 案 以 及 mguard 的 各 种 定 制 化 信 息 安 全 服 务 mguard 主 要 安 全 性 能 介 绍 : a) OPC 深 度 数 据 包 监 测 技 术
许 多 工 业 级 蠕 虫 病 毒 都 是 通 过 远 程 过 程 调 用 (RPC) 协 议 进 行 传 播, 在 现 代 工 业 控 制 系 统 中,RPC 协 议 被 广 泛 使 用, 工 业 集 成 技 术 OPC Classic 就 需 要 允 许 RPC 通 讯 因 此 它 经 常 被 黑 客 和 病 毒 利 用, 用 以 攻 击 SCADA 和 工 业 控 制 系 统 如 果 禁 用 RPC 协 议, 会 导 致 工 业 控 制 系 统 通 讯 故 障,OPC 深 度 数 据 包 监 测 技 术 (DPI) 可 以 识 别 正 常 的 OPC 通 讯 请 求, 并 阻 止 恶 意 信 息 和 不 恰 当 的 SCADA/ICS 通 讯, 同 时 避 免 对 控 制 系 统 造 成 不 必 要 的 影 响, 这 在 工 业 控 制 系 统 信 息 安 全 防 护 中 是 十 分 必 要 的 DPI 细 粒 度 防 火 墙 控 制 将 精 确 地 保 证 服 务 器 与 客 户 端 之 间 的 OPC 通 讯, 提 供 最 高 级 别 的 安 全, 确 保 针 对 蠕 虫 病 毒 的 防 护 甚 至,mGuard 的 智 能 深 度 数 据 包 检 测 技 术 还 可 以 使 OPC 通 讯 在 NAT 路 由 模 式 下 正 常 工 作 ( 如 IP 掩 蔽 或 1:1NAT 模 式 ),
世 界 上 只 有 mguard 工 业 防 火 墙 具 有 这 样 的 技 术 b) 恶 意 软 件 及 病 毒 检 测 技 术 传 统 的 防 火 墙 仅 能 禁 止 黑 客 的 入 侵 和 蠕 虫 病 毒 的 传 播, 不 能 对 工 控 机 中 潜 在 的 病 毒 进 行 防 控, 也 无 法 根 除 这 些 危 险 源 菲 尼 克 斯 电 气 的 mguard 工 业 防 火 墙 具 有 通 用 互 联 网 文 件 系 统 完 整 性 监 测 技 术 (CIFS Integrity Monitoring, 简 称 CIM) 利 用 这 个 技 术,mGuard 可 以 定 期 监 测 指 定 工 控 机 内 文 件 系 统, 判 断 该 计 算 机 系 统 中 的.EXE 文 件 和.DLL 文 件 是 否 被 非 授 权 的 改 写 mguard 还 可 以 利 用 CIFS 病 毒 扫 描 技 术, 调 用 病 毒 扫 描 服 务 器, 对 指 定 工 控 机 内 的 文 件 系 统 进 行 病 毒 扫 描, 这 样 就 可 以 主 动 消 灭 恶 意 软 件 和 病 毒, 该 功 能 对 于 工 控 机 的 硬 件 性 能 和 系 统 兼 容 性 没 有 任 何 特 殊 要 求 总 体 来 说 CIM 技 术 可 以 为 工 业 控 制 系 统 提 供 信 息 安 全 防 护, 而 不 需 要 为 工 控 机 升 级 安 全 补 丁, 并 与 原 有 硬 件 和 系 统 软 件 兼 容, 可 永 久 在 线 监 测 和 扫 描, 对 病 毒 有 防 御 功 能, 不 占 用 CPU 和 网 络 负 载, 支 持 Win95/98, CE5+, NT, 2000, XP, Vista, 7 及 各 种 LINUX 操 作 系 统, 当 发 现 病 毒 或 非 正 常 的 文 件 写 入 时 将 触 发 报 警 并 自 动 响 应 ( 如 启 动 第 三 方 病 毒 工 具, 升 级 安 全 级 别 ) 使 用 CIM 技 术, 将 节 省 大 量 系 统 信 息 安 全 升 级 改 造 的 成 本 c) 三 种 不 同 的 防 护 模 式 为 了 提 高 工 业 控 制 系 统 信 息 安 全, 需 要 对 工 业 控 制 系 统 网 络 划 分 成 不 同 安 全 级 别 的 区 域, 从 而 实 现 纵 深 防 御 来 隔 离 系 统 中 的 重 要 部 分 菲 尼 克 斯 电 气 的 mguard 具 有 三 种 不 同 的 防 护 模 式, 可 以 灵 活 的 适 用 于 不 同 的 安 全 区 域 i. 单 一 隐 秘 模 式 ( 专 利 技 术 ):
隐 秘 模 式 用 于 完 美 保 护 某 个 单 一 设 备, 在 这 样 的 模 式 中 mguard 不 具 备 IP 地 址, 因 此 对 于 黑 客 来 说 完 全 是 隐 形 的, 这 样 的 模 式 也 不 会 改 变 原 有 的 网 络 结 构, mguard 将 会 过 滤 所 有 通 向 被 保 护 设 备 的 数 据 ii. 多 重 隐 秘 ( 桥 接 ) 模 式 : 多 重 隐 秘 ( 桥 接 ) 模 式 用 于 保 护 一 组 设 备,mGuard 将 会 过 滤 所 有 通 向 被 保 护 设 备 的 数 据, 在 这 样 的 结 构 中,mGuard 需 要 一 个 内 部 的 网 络 IP 地 址 多 重 隐 秘 ( 桥 接 ) 模 式 一 般 用 来 保 护 多 台 设 备, 而 这 些 被 保 护 设 备 与 非 安 全 设 备 有 可 能 在 同 一 网 段 内 iii. 路 由 模 式 : 路 由 模 式 用 来 在 两 个 网 络 之 间 建 立 安 全 防 护,mGuard 将 会 完 美 保 护 位 于 内 部 网 络 的 控 制 设 备,mGuard 在 外 部 网 络 ( 子 网 A) 和 内 部 网 络 ( 子 网 B) 各 需 要 一 个 IP 地 址 路 由 模 式 一 般 用 来 连 接 工 业 控 制 网 络 和 办 公 网 络 d) mguard Secure Cloud 技 术
通 过 mguard Secure Cloud 技 术, 菲 尼 克 斯 电 气 的 安 全 专 家 可 以 通 过 远 程 VPN 功 能 为 mguard 客 户 提 供 各 种 不 同 级 别 的 安 全 服 务, 比 如 说, 定 期 为 客 户 的 工 业 控 制 系 统 和 数 据 做 安 全 检 查, 并 出 具 相 应 的 专 业 报 告, 为 客 户 的 工 业 控 制 系 统 信 息 安 全 提 供 专 家 级 的 建 议 e) mguard 硬 件 装 置 菲 尼 克 斯 电 气 可 以 提 供 适 用 于 不 同 场 合 的 mguard 工 业 防 火 墙, 这 些 不 同 的 硬 件 具 有 相 同 的 固 件 并 且 可 以 获 得 免 费 升 级 服 务, 都 可 以 通 过 WEB 界 面 进 行 配 置, 也 可 以 通 过 mguard Device Manager 管 理 软 件 进 行 集 中 的 管 理 和 配 置, 可 以 互 相 兼 容, 全 部 支 持 mguard Secure Cloud 服 务 如 今, 全 世 界 的 工 业 大 国 都 纷 纷 将 工 控 及 其 安 全 问 题 提 到 战 略 级 别, 比 如 德 国 工 业 4.0 就 将 工 控 安 全 作 为 重 要 环 节 单 独 考 虑 2011 年 9 月, 工 信 部 还 特 别 下 发 关
于 加 强 工 业 控 制 系 统 信 息 安 全 管 理 的 通 知 2015 年 2 月 1 日, 推 荐 性 国 家 标 准 GB/T30976.1~.2-2014 工 业 控 制 系 统 信 息 安 全 正 式 开 始 实 施 由 此 可 见, 加 强 工 业 控 制 系 统 信 息 安 全 工 作 已 是 当 务 之 急 而 菲 尼 克 斯 电 气 的 mguard 工 业 防 火 墙 所 具 有 的 多 重 防 护 模 式 深 度 数 据 包 检 测 技 术 恶 意 软 件 及 病 毒 检 测 技 术 和 mguard Secure Cloud 技 术 是 专 门 针 对 工 业 领 域 开 发 的 信 息 安 全 防 护 技 术, 将 对 工 业 控 制 系 统 信 息 安 全 保 障 工 作 提 供 有 力 支 持