從震網病毒看工業(yè)控制系統(tǒng)安全
比特網 發(fā)表于:12年06月28日 09:08 [轉載] 比特網
工控網絡的脆弱性
TCP/IP等通用協(xié)議與開發(fā)標準引入工業(yè)控制系統(tǒng),特別是物聯(lián)網、云計算、移動互聯(lián)網等新興技術,使得理論上絕對的物理隔離網絡正因為需求和業(yè)務模式的改變而不再切實可行。傳統(tǒng)的威脅同樣會在工業(yè)網絡中重現。
邊界安全策略缺失;
系統(tǒng)安全防御機制缺失;
管理制度缺失或不完善;
網絡配置規(guī)范缺失;
監(jiān)控與應急響應機制缺失;
網絡通信(無線接入+撥號網絡)保障機制缺失;
基礎設施可用性保障機制缺失。
安全管理、標準和人才的脆弱性
缺乏完整有效安全管理、標準和資金投入是當前我國工業(yè)控制系統(tǒng)的難題之一。其次,過多的強調網絡邊界的防護、內部環(huán)境的封閉,讓內部安全管理變得混 亂。另外,既了解工控系統(tǒng)原理和業(yè)務操作又懂信息安全的人才少之又少,為混亂的工控安全管理埋下了伏筆。最后,內網審計、監(jiān)控、準入、認證、終端管理等缺 失也是造成工控系統(tǒng)安全威脅的重要原因。如:使用U盤、光盤導致的病毒傳播、筆記本電腦的隨意接入與撥號、ICS缺少監(jiān)控和審計等問題。
為了加強工控網防護,工信部緊急下發(fā)了工信部協(xié)【2011】451號文《關于加強工業(yè)控制系統(tǒng)信息安全管理的通知》,指出我國目前工控系統(tǒng)現狀:對 工業(yè)控制系統(tǒng)信息安全問題重視不夠;管理制度不健全;相關標準規(guī)范缺失;技術防護措施不到位;安全防護能力和應急處置能力不高等。工信部要求工業(yè)、能源、 交通、水利以及市政等加強工業(yè)控制系統(tǒng)安全管理。
工控網安全基本安全防護原則
ICS網絡中有代表性的EPA(Ethernet for Plant Automation)網絡由企業(yè)信息管理層、過程監(jiān)控層和現場設備層三個層次組成,采用分層化的網絡安全管理措施。
EPA現場設備采用特定的網絡安全管理功能,對其接收到的任何報文進行訪問權限、訪問密碼等的檢測,使只有合法的報文才能得到處理,其他非法報文將直接予以丟棄,避免了非法報文的干擾。
在過程監(jiān)控層,采用EPA網絡對不同微網段進行邏輯隔離,以防止非法報文流量干擾EPA網絡的正常通信,占用網絡帶寬資源。
對于來自于互聯(lián)網上的遠程訪問,則采用EPA代理服務器以及各種可用的信息網絡安全管理措施,以防止遠程非法訪問。
美國《工業(yè)控制系統(tǒng)安全指南》也提出了ICS系統(tǒng)如下縱深防護體系架構(如下圖),可供我們參考。
電力二次系統(tǒng)防護方案是工業(yè)控制系統(tǒng)安全防護的典型案例
電力二次系統(tǒng)方案遵循“安全分區(qū)、網絡專用、橫向隔離、縱向認證”的原則,涵蓋電力監(jiān)控系統(tǒng)、電力調度管理信息系統(tǒng)、電力通信及調度數據網絡等,該 方案為電力信息安全搭建了最為基礎的安全框架,但由于電力二次系統(tǒng)基本原則出臺較早,基本搭建在網絡安全防護的基礎上,對系統(tǒng)、業(yè)務應用、數據安全以及安 全管理方面考慮較少,目前面臨著新的安全威脅,需要更全面的解決方案應對。
總而言之,工控系統(tǒng)安全要做到“進不來、拿不走、看不到、改不了、走不脫”。只有管理體系、技術體系、運維體系三管齊下,有機融合,方能保一方平安。