導航：安全管理網>> 安全論文>> 綜合安全論文>>正文

工業(yè)控制系統信息安全測試與防護技術趨勢

文檔作者：萬明文檔來源：中科院網絡與控制系統重點實驗室中國科學院沈陽自動化研究所		點擊數：	更新時間： 2021年07月12日
下載地址：點擊這里	文件大小： 1.31 MB 共4頁	文檔格式： PDF	下載點數： 1 點（VIP免費）

全屏查看

內容預覽 [文件共4頁]

本文件共4頁，如需編輯使用，請下載。

注：預覽效果可能會出現部分文字亂碼（如口口口）、內容顯示不全等問題，下載是正常的。

	文件大小：1.31 MB 共4頁文件格式：PDF 下載點數：1 點（VIP會員免費）

下一篇：安全軟件驗證與確認中的單元模塊測試技術

上一篇：故障模型驅動的軟件安全性測試研究

文本預覽

僅提取頁面文字內容，供快速閱讀使用。

Column
工業(yè)控制系統信息安全
中科院網絡與控制系統重點實驗室中國科學院沈陽自動化研究所萬明
工業(yè)控制系統信息安全
測試與防護技術趨勢
1工業(yè)控制系統的脆弱性
工業(yè)控制系統的漏洞主要包括5個方面,如下:
由于工業(yè)控制系統正向復雜化、IT化和通用化趨勢發(fā)展,基
(1)通信協議漏洞
于PC+Windows的工業(yè)控制網絡面臨安全挑戰(zhàn),這些年不僅國外
 papit
兩化融合和物聯網的發(fā)展使得 TCPIP協議等通用協議越來越
發(fā)生了一些安全事件,同時國內也暴露出了一系列的工業(yè)控制系廣泛地應用在工業(yè)控制網絡中,隨之而來的通信協議漏洞問題也
統信息安全的問題。比如2010年齊魯石化、201年大慶石化煉油日益突出
廠,某裝置控制系統分別感染 Conficker病毒,都造成控制系統服
(2)操作系統漏洞
務器與控制器通訊不同程度的中斷
目前大多數工業(yè)控制系統的工程師站/操作站/HMI都是
IC-Ct安全報告指出“近三年針對工業(yè)控制系統的安全 Windows平臺的,通常現場工程師在系統開啟后不會對 windows平
事件呈明顯上升趨勢,僅2013年度,針對關鍵基礎設施的攻擊臺安全任何補丁,埋下了安全隱患。
報告已達到257起。”主要集中在能源、關鍵制造業(yè)、交通、通
(3)應用軟件漏洞
信、水利、核能等領域,而能源行業(yè)的安全事故則超過了一半
由于應用軟件多種多樣,很難形成統一的防護規(guī)范以應對
如圖1所示
全問題,另外當應用軟件面向網絡應用時,就必須開放其應
 Postal&amp;amp; Shipping.2
口,是重要的攻擊途徑。
(4)安全策略和管理流程漏洞
 Watar,8
追求可用性而犧牲安全性,是很多工業(yè)控制系統存在的普遍
 InfoTech,
現象,缺乏完整有效的安全策略與管理流程也給工業(yè)控制系統信
息安全帶來一定的威脅。
(5)殺毒軟件漏洞
 Energy.111,53%
為了保證工控應用軟件的可用性,許多工控系統操作站通
常不會安裝殺毒軟件,即使安裝了殺毒軟件,病毒庫也不會定
期更新。
圖近三年各領域發(fā)生工業(yè)控制系統的安全事件比例
2工業(yè)控制系統的安全需求
我們認為,歸根結底就是工業(yè)控制系統的漏洞問題,截止到
表給出了工控系統與傳統系統的不
2013年12月底,公開的工業(yè)控制系統漏洞數總體仍呈增長趨勢
表1所示的這些不同,導致了工控安全與傳統1T安全的差
2010年6月出 Stuxnet現的病毒,是世界上首個專門針對工業(yè)控制異,傳統IT安全更注重機密性,其次是完整性,之后是可用性,
系統編寫的席卷全球工業(yè)界破壞性病毒,它同時利用7個最新漏洞
個
但是工控系統的安全,則是可用性排在第一位,接下來是完整
進行攻擊。這7個漏洞中,有5個是針對 windows系統,2個是針對
性,最后才是機密性。所以,傳統網絡安全技術不適于應用到工
西門子 SIMATIC WinCC系統
業(yè)控制系統。
68
表工控系統與傳統T系統對比業(yè)控制系統的安全測試技術。針對 SCADA、ICS系統自身脆弱性
(漏洞)和通信規(guī)約的安全性,研究工業(yè)控制系統的安全測試技
對比項
工業(yè)控制系統CS
傳統系統
術,分析工業(yè)控制系統中已知的與未知的安全威脅,指導其對安
體系結構主要由傳感器pLC,RT、Ds、通過互聯網協議組成的計算全威脅進行有效的防御
3.2工控系統安全測試技術已成為重要的發(fā)展方向
廣泛使用嵌式系統 Vx Works通用操作系統如windows
操作系統 uCLinux, winCE等,并根據功能及
3.2.1美國SCADA能源部測試平臺計劃(2008-2013)
 linuxUNX等,功能強大
了建 eScADA測試平
美國能源部自2008年就開始了搭建 SCADA測試平臺計劃
專用的通信協議或規(guī)約(OC
數據交換 Modbus TCP、DNP3等),一般直接TCP/P協議
協議使用或作為的應
(2008-2013),通過聯合其下屬daho等6個國家實驗室的技術力
的應用層
量,提供各種工業(yè)控制系統的真實測試環(huán)境,實現對石油、電力
系統實時性實時性要求高,不能停機或重啟實時性要求不高,允許傳輸等行業(yè)控制系統的安全測評
延遲,可停機或重啟
美國能源部 SCADA測試平臺計劃中主要包括4個典型測試平
系統升級兼容性差、軟硬件升級困難
兼容性好、軟件升級頻繁
臺,如下。
(1)SCADA/控制系統測試平臺
美國國土安全部下屬的ICS-CERT(工業(yè)控制系統應急響應小
(2)信息安全測試平臺;
組)及CSSP(控制系統安全項目)通過對工業(yè)控制系統軟件的缺
(3)電網測試平臺
陷性分析發(fā)現,工業(yè)控制系統軟件的安全脆弱性問題主要涉及錯
(4)無線技術測試平臺
誤輸入驗證、密碼管理、越權訪問、不適當的認證、系統配置等
圖3所示是一個 SCADA/控制系統測試平臺實例
方面
典型工控系統的安全問題,如圖2所示
系統及軟件的性,易被黑客利
用,無及時發(fā)現存在的系統
網絡模擬
工業(yè)控制系統的安全試技術
③人機界
①控制模擬
控制節(jié)點無路護能力,容易被
入控制:控制網絡明文傳輸數品
被改
④攻擊模擬
工業(yè)控制系統的安全護技術
圖3 SCADA/控制系統測試平臺
核心信絡認證授權加
無訪問控制能力,容易受宜攻
3.2.2歐洲 SCADA安全測試平臺
歐洲也搭建了 SCADA安全測試平臺,主要特點如下:
圖2典型工控系統的安全問題
(1)采用現場系統的滲透測試,建立風險分析方法,測
試、評估 SCADA系統的安全性;
3工業(yè)控制系統的安全測試技術趨勢
(2)對于Computer Emergency Response Team(CET)發(fā)布的
3.1工業(yè)控制系統的特點
 SCADA安全信息能夠快速處理,以保護世界各地的運行系統
(1)封閉性: SCADA、ICS系統的設計之初安全機制不
(3)具有高度重構,與其它 SCADA系統安全、遠距離通信
完善;
連接,構建先進的分布式測試環(huán)境。
(2)多樣性:多種數據接口(如R45、RS485、RS232等),3.2.3學術界工控系統安全測試技術研究
協議規(guī)約實現多樣
國外學者致力于搭建 SCADA系統真實測試環(huán)境,模擬攻擊行
(3)復雜性:專用的通信協議或規(guī)約(如opc、 Modbus為,通過仿真和建模分析CADA系統的安全性
dnp3 Profibus等)
國際知名工業(yè)安全測試公司相關產品和解決方案如下
(4)不可改變性:工控系統程序升級困難
(1)加拿大WurldtechAchilles的測試工具采用漏洞掃描和
傳統IT安全測試技術不適合工業(yè)控制系統,所以急需針對工模糊測試的方法,測試工控系統中設備和軟件的安全問題:
69
 Column
工業(yè)控制系統信息安全
(2)加拿大的 Sandbox測試平臺采用滲透測試的方法,
運用模糊測試的原理,設計變異測試用例并構造變異報
通過模擬真實的網絡攻擊,測試 SCADA系統中關鍵基礎設施的脆文,檢查工控協議實現的缺陷。
弱性;
構建完整、可擴展的動態(tài)隨機分析測試框架,監(jiān)控測
(3)芬蘭科諾康Codenomicon Defensics工控健壯性安全性試目標,管理測試結果,并支持多目標(如文件、網絡協議等
測試平臺,采用基于主動性安全漏洞挖掘的健壯性評估與管理方等)、多種協議(Modbus TCPNP3等不同類型的協議)
案,與 ISASecure合作,遵循EC62443標準。
多線程(加速測試進度)
3.3工控系統安全測試的關鍵技術
(4)工業(yè)病毒行為特征提取與攻擊模擬技術,如圖7所示
(1)構建工控系統漏洞庫
數據挖掘智能認知工業(yè)病毒攻擊行為,實現工業(yè)病毒行
由于通信協議的特殊性,傳統漏洞庫并不適應于工業(yè)控制系為判定,提取工業(yè)病毒行為特征
統安全測試領域,需要構建工控系統專有漏洞庫。如圖4所示。
根據網絡流量情況、具體協議內容、交互模式以及主機
或設備行為,檢測工控環(huán)境特種木馬等復雜攻擊
病毒行為判定
構建病毒行為
特庫
智能認知數據挖掘
抽取
病毒行為分析
智能測試用例
特征智能提取引
生成引擎
↓模擬
漏洞描述
輸
樣本數據
實時數據
圖4漏洞數據庫
(2)基于工業(yè)漏洞庫的漏洞掃描技術,如圖5所示
圖7工業(yè)病毒行為特征提取與攻擊模擬技術
依靠漏洞掃描引擎、檢測規(guī)則的自動匹配,通過工控系
統漏洞庫,掃描系統中的關鍵設備,檢測系統的脆弱性;
4工業(yè)控制系統的安全防護技術趨勢
支持 Modbus、DNP3、 Profinet等工業(yè)通信協議漏洞
保證工業(yè)控制系統安全穩(wěn)定運行,工業(yè)控制系統的安全防護
支持 ICMP Ping掃描、端口掃描等傳統掃描技術。
必須達到以下三個目標,如表2所示
表2工業(yè)控制系統的安全防護目標
檢測規(guī)則庫
目標
主要內容
漏洞掃描引擎
通信可控能夠直觀觀察,監(jiān)控管理通信中數據,僅保證工業(yè)控制專有協
掃描
可控數據通過即可,其他通信一律禁止
結果
區(qū)域隔離為防止局部控制網絡問題擴導致全局癱,在關鍵數據通道上
控制平臺
及時發(fā)現網絡中感染或其他問題,準確找出故障點,通過對報警
圖5基于工業(yè)漏洞庫的漏洞掃描技術報追蹤事件進行記錄,為故障分析提供依據
(3)面向工業(yè)控制協議的Fuzzing測試,如圖6所示。
4.1工業(yè)控制系統防火墻技術
防火墻是基于訪問控制技術,它可以保障不同安全區(qū)域之
間進行安全通信,通過設置訪問控制規(guī)則,管理和控制出入不
樣本文件
同安全區(qū)域的信息流,保障資源在合法范圍內得以有效使用和
目標程序
分析數據管理。
目前傳統的IT防火墻都是根據“白名單”或者“黑名單”
圖6面向工業(yè)控 Fuzzing制協議的測試的方式進行規(guī)則設置,而工業(yè)防火墻大都是根據“白名單”設
 70 AU/ PANORAMA 20149
連接、收集、創(chuàng)建以及顯示KP數據和安燈消息遠程監(jiān)測和控制
 red Ion
實時性能監(jiān)測內置網絡服務器和數據日志支持250多種協議轉換
 ProducTVity
幾分鐘之內,將任何電視改造成作業(yè)現場顯示屏。紅獅
安燈管理服務器
 ProducTVity Station T(安燈管理服務器PTV)是一款可
即刻部署的現場可視化管理系統,能通過大的電視機屏實
時顯示關鍵績效指標(KPI)數據以及安燈消息,以此提
即刻部署的可視化
高生產率。安燈管理服務器PTV允許您通過任何家用型
LCD/LED或等離子電視快速創(chuàng)建復雜的生產率看板,實
現實時可見性,從而大幅提升生產績效。
管理解決方案
連接、監(jiān)測、展示
下載
 ProducTVity安燈管理服務器手冊,
 dlion.net/PTVzh
4527
回
安燈管理服務器
創(chuàng)建KP數據和安燈信息概覽界面
作為自動化領域的知名品牌,紅獅現提供各種以太網和蜂窩
+86(21)-61133688 asiae
聯網解決方案,幾乎可以隨時隨地地連接、監(jiān)測和控制一切
置規(guī)則。對于“白名單”,可以設置允許規(guī)則,也就是說只有
(2)審計控制系統的配置和弱點
符合該規(guī)則的數據流才能通過,其它的任何數據流都可以被
(3)識別已知進攻模式;
看做攻擊而過濾掉,這樣就保障了資源的合法使用:而對于
(4)異常活動的統計分析
“黑名單”,可以設置禁止規(guī)則,禁止不合法的客戶端對資源
目前工業(yè)控制系統入侵檢測技術主要包括兩個方面,第一個
的訪問。
就是基于特征的入侵檢測,第二個是基于異常的侵檢測,目前
工業(yè)控制系統防火墻技術可以實現區(qū)域管控,劃分控制系這種方式大多數處于理論研究階段,如圖8所示
統安全區(qū)域,對安全區(qū)域實現隔離保護,保護合法用戶訪問網
已知的常行
絡資源;
同時,可以對控制協議進行深度解析,可以解析 Modbus
DNP3等應用層異常數據流量,并對OPC端口進行動態(tài)追蹤,對關
工控系統
入侵檢測
鍵寄存器和操作進行保護
方法理論
工業(yè)控制系統防火墻技術目前存在一個問題,就是規(guī)則粒度
問題( Modbus規(guī)則設置為例)。防火墻的規(guī)則設置應該能夠支
機器學習的
持到具體數據字段的匹配,但是規(guī)則深度越深帶來防火墻的效率
問題。
圖8兩個主要的工業(yè)控制系統入侵檢測技術
42工業(yè)控制系統入侵檢測技術
目前工業(yè)控制系統入侵檢測技術的主要問題是,工業(yè)控制
工業(yè)控制系統入侵檢測技術是面向控制系統通信協議,系統以可用性為先,入侵檢測技術的漏報和誤報將難以商業(yè)化
根據控制異常行為模式庫,對控制系統網絡或主機進行異常應用
監(jiān)測:
(本文整理自萬明在“第三屆工業(yè)控制系統信息安全峰會”
(1)監(jiān)視、分析控制終端行為活動
上的大會報告)
71

網友評論 more

綜合安全論文最新內容

04-10