工业控制网络安全—认知与趋势

北京匡恩网络科技有限责任公司工业控制网络安全—认知与趋势匡恩网络2015/3/1匡恩网络版权所有1目录引言.................................................................................................3第一章工控网络安全问题背景.....................................................71.工控网络安全不同于传统的信息系统安全.........................72.工业控制系统的广泛应用..................................................103.两化融合与工业4.0趋势...................................................134.工控系统的脆弱性问题......................................................14第二章工控网络安全威胁...........................................................181.工控网络的主要病毒..........................................................182.工控网络的主要安全事件..................................................233.工控网络安全趋势..............................................................30第三章工控网络安全问题的制造者...........................................341.个人黑客.............................................................................342.民间组织.............................................................................363.国家政府.............................................................................374.员工误操作..........................................................................38第四章工控网络安全态势...........................................................411.工控网络安全现状..............................................................412.工控安全研究......................................................................423.工控安全漏洞......................................................................454.2014年工控安全态势分析................................................49第五章工控网络安全防护理念...................................................5321.工控网络安全的认识误区..................................................532.工控网络安全防护理念的发展沿革...................................553.全生命周期的工控网络安全防护.......................................58第六章工控网络安全防护典型案例...........................................611.行业应用.............................................................................612.病毒防护应用......................................................................70第七章工控网络安全总结...........................................................75附录一参考文献...........................................................................783引言2015年春节期间，国际信息安全界爆出的最重大新闻，莫过于“方程式”组织的曝光。该组织是由俄罗斯的反病毒厂商卡巴斯基实验室发现的。卡巴斯基的报告指出，这不是一个普通的黑客集团，该组织的攻击能力和危害程度，超过了此前我们所知道的所有犯罪团伙。“方程式”是一个非常活跃的犯罪集团。它组织庞大，攻击水平极高，多年来，他们向全世界释放了多种病毒。这些病毒各具特色，分别采用不同的传播手法，设定了不同的攻击目标，给全世界的网络安全造成了极大破坏。二十年来，倒在他们枪口下的牺牲品不计其数，遍布全球四十多个国家。例如，有多条证据表明，曾经破坏伊朗核工厂的“震网病毒”，就是“方程式”组织的一大“杰作”。中国也是“方程式”的重点目标，是感染率最高的国家之一，被卡巴斯基实验室列为重灾区。“方程式”的攻击对象也很独特。他们的作案对象，主要是工业、军事、能源、通信、金融、政府等基础设施和重要机构。4“方程式”受害者的地域与行业分布从“方程式”受害者的地域分布可以看出，该组织具有特定的攻击目标。欧洲、北美、日本、澳洲等地区是世界上经济最发达地区，拥有最多的计算机和最高的互联网普及率，从概率上而言，这些国家感染病毒的几率应该也是最高的。但实际上，他们的感染率却是最低的。感染“方程式”最多的国家，除了俄罗斯和中国以外，伊朗、巴基斯坦、阿富汗、叙利亚等国，都是比较落后的国家，计算机和互联网的使用率都很低。进一步总结则可以发现，凡是美国和它的盟国，感染率都很低，凡是美国的敌国或美国蓄意打压的国家，病毒感染率都名列前茅。因此，“方程式”的背景绝不单纯。它的危害，远远超出了我们所熟悉的熊猫烧香、盗号木马等等，它所瞄准的往往是一个国家的关键设施、经济命脉。它所追求的，也不是普通病毒的窃取信息、经济5诈骗，而是破坏工业生产，制造社会混乱，乃至直接打击军事设施。在卡巴斯基实验室的报告中，也提供了充分证据，暗示“方程式”跟美国国家安全局、以色列情报机构、以及英国军方具有密切的联系。“方程式”很可能是美国及其盟国的一支秘密部队，可以暗中发动信息战，对别国实施毁灭性的战略打击。“方程式”组织的浮现，说明世界已经进入网络战争的时代。我国作为一个坚持走自己道路的发展中国家，多年以来，也一直是敌对势力发动网络攻击的主要对象。从震网病毒、Duqu、火焰、到去年新发现的Havex，以及“方程式”旗下的众多病毒，在我国均有感染。应当清醒地认识到，我国正在面临着十分严峻的网络安全形势。敌对势力正在着手渗透国家的关键工业设施。如果不及时进行充分的准备，中国就会像伊朗一样，在网络安全对抗中处于完全劣势的地位，处处被动挨打，毫无还手之力。在中央网络安全与信息化领导小组办公室以及各有关部委的领导下，越来越多的国内机构、企业、组织认识到了网络战争的严峻性，开始部署针对性的防御，对最新的病毒入侵作出实时的快速反应。例如北京匡恩网络科技有限公司，在春节期间组织技术专家，研究“方程式”系列病毒。经过刻苦技术钻研，最终分析出了该病毒的特征码，并成功拦截了“方程式”的攻击。“方程式”的出现并不是一个孤立的例子。目前已经存在、未来还会有更多针对工业控制网络的入侵、控制、破坏的案例。未来，在严峻的网络战争形势下，我国的政府机构、科研院校、企业组织等单6位，必须给予工控网络安全足够重视，投入足够的技术与力量，才能对“方程式”这样的病毒做出快速反应，及时抵御敌对势力通过工控网络所发动的进攻。7第一章工控网络安全问题背景1.工控网络安全不同于传统的信息系统安全随着“震网”、“Duqu”、火焰等针对工控系统的网络病毒渐渐为人们所知，工控网络安全越来越受到各方的关注。对工业用户而言，其根深蒂固的“物理隔离即绝对安全”的理念正在被慢慢颠覆；政府机构、行业监管部门也在谨慎地制定着相关标准与政策。同时，工控安全技术提供商正如雨后春笋般出现在我国各地。当工控网络安全作为一个交叉领域学科被研究伊始，技术人员就发现，工控网络安全绝非是简单的信息安全技术的一个小分支，工控网络安全反而更像是一个集成了信息安全技术与工业自动化控制技术的更复杂的跨领域新兴学科。工业控制系统（ICS）与传统信息系统（IT）存在着巨大的区别，最鲜明的一个特点即ICS与IT对信息安全“CIA”三性的关注度不同。IT系统更看重信息的机密性，而ICS为了保证工业过程的可靠、稳定，对可用性的要求达到了极高的程度。在ICS中，系统的可用性直接影响到的是企业的生产，生产线的停机、简单的误操作都有可能导致不可估量的经济利益损失，在特定的环境下，甚至可能危害人员生命、造成环境污染。美国NIST发布的《工业控制系统信息安全指南》对ICS与IT的差异进行了全面的总结，如下表[1]：8分类信息技术系统工业控制系统性能需求非实时响应必须是一致的要求高吞吐量高延迟和抖动是可以接受的实时响应是时间紧迫的适度的吞吐量是可以接受的高延迟和/或抖动是不能接受的可用性需求重新启动之类的响应是可以接受的可用性的缺陷往往可以容忍的，当然要取决于系统的操作要求重新启动之类的响应可能是不能接受的，因为过程的可用性要求可能需要冗余系统中断必须有计划和提前预定时间（天/周）高可用性需要详尽的部署前测试管理需求数据保密性和完整性是最重要的容错是不太重要的，临时停机不是一个主要的风险主要的风险影响是业务操作的延迟人身安全是最重要的，其次是过程保护容错是必不可少的，即使是瞬间的停机也可能无法接受主要的风险影响是不合规，环境影响，生命、设备或生产损失体系架构安全焦点首要焦点是保护IT资产，以及在这些资产上存储和相互之间传输的信息中央服务器可能需要更多的保护首要目标是保护边缘客户端（例如，现场设备，如过程控制器）中央服务器的保护也很重要未预期的后果安全解决方案围绕典型的IT系统进行设计安全工具必须先测试（例如，在参考ICS上的离线），以确保它们不会影响ICS的正常运作时间紧迫的交互紧急交互不太重要可以根据必要的安全程度实施严格限制的访问控制对人和其他紧急交互的响应是关键应严格控制对ICS的访问，但不应妨碍或干扰人机交互9系统操作系统被设计为使用典型的操作系统采用自动部署工具使得升级非常简单与众不同且可能是专有的操作系统，往往没有内置的安全功能软件变更必须小心进行，通常是由软件供应商操作，因其专用的控制算法，以及可能要修改相关的硬件和软件资源限制系统被指定足够的资源来支持附加的第三方应用程序如安全解决方案系统被设计为支持预期的工业过程，可能没有足够的内存和计算资源以支持附加的安全功能通信标准通信协议主要是有线网络，稍带一些本地化的无线功能的典型的IT网络实践许多专有的和标准的通讯协议使用多种类型的传播媒介，包括专用的有线和无线（无线电和卫星）网络是复杂的，有时需要控制工程师的专业知识变更管理在具有良好的安全策略和程序时，软件变更是及时应用的。往往是自动化的程序。软件变更必须进行彻底的测试，以递增方式部署到整