搜索

[10796] 2016-12-05_专家观点：不建议在SCADA系统中部署防火墙

文档创建者：s7ckTeam
浏览次数：17
最后更新：2025-01-18
2016-12-05_专家观点：不建议在SCADA系统中部署防火墙 专 家 观 点 ： 不 建 议 在 S C A D A 系 统 中 部 署 防 火 墙 c l o u d s   F r e e B u f   2 0 1 6 - 1 2 - 0 5 对 于 那 些 还 未 受 到 网 络 攻 击 的 关 键 基 础 设 施 ， 如 电 网 ， 或 许 有 人 会 给 出 自 欺 欺 人 的 解 释 ： 这 是 因 为 ， 攻 击 将 同 样 使 得 黑 客 对 于 那 些 还 未 受 到 网 络 攻 击 的 关 键 基 础 设 施 ， 如 电 网 ， 或 许 有 人 会 给 出 自 欺 欺 人 的 解 释 ： 这 是 因 为 ， 攻 击 将 同 样 使 得 黑 客 受 到 影 响 。 这 完 全 是 一 种 掩 耳 盗 铃 的 说 法 ！ 受 到 影 响 。 这 完 全 是 一 种 掩 耳 盗 铃 的 说 法 ！ S C A D A 系 统 面 临 的 安 全 威 胁 系 统 面 临 的 安 全 威 胁 美 国 D H S   《 2 0 2 5 关 键 基 础 设 施 战 略 性 风 险 评 估 报 告 》 指 出 ： 未 来 十 年 ， 信 息 技 术 将 与 关 键 基 础 设 施 领 域 广 泛 结 合 ， 因 此 ， 在 面 临 普 遍 安 全 问 题 的 同 时 ， 网 络 物 理 系 统 的 多 样 性 ， 还 将 带 来 未 知 的 安 全 漏 洞 和 攻 击 面 。 毫 无 疑 问 ， S C A D A 系 统 也 不 例 外 。 I n d u c t i v e   A u t o m a t i o n   软 件 工 程 师 C a r l   G o u l d 说 ： 其 实 ， S C A D A 系 统 的 实 质 是 基 于 软 件 来 进 行 工 业 过 程 的 控 制 、 监 测 和 分 析 。 各 种 现 场 控 制 器 负 责 S C A D A 通 信 ， 同 时 采 集 实 时 数 据 ， 并 显 示 在 用 户 终 端 图 形 界 面 。 而 在 此 过 程 中 ， 操 作 电 脑 和 控 制 器 的 网 络 连 接 可 能 会 受 到 黑 客 攻 击 。 D H S 的 战 略 性 风 险 评 估 报 告 指 出 ， 仅 2 0 1 4 年 发 生 的 网 络 攻 击 事 故 就 达 2 4 5 起 ， 大 部 分 受 攻 击 的 目 标 为 能 源 行 业 。 而 据 I C S - C E R T 数 据 表 明 ， 这 些 事 故 中 涉 及 了 范 围 广 泛 的 已 知 和 未 知 的 威 胁 手 段 ， 其 中 包 括 大 量 S C A D A 和 I C S 系 统 的 未 授 权 访 问 和 网 络 攻 击 。 由 此 ， 你 可 以 想 像 S C A D A 面 临 的 网 络 威 胁 有 多 恶 劣 。 防 火 墙 的 安 全 局 限 性 防 火 墙 的 安 全 局 限 性 防 火 墙 指 是 一 种 由 软 件 和 硬 件 设 备 组 合 而 成 ， 在 内 部 网 和 外 部 网 之 间 、 专 用 网 与 公 共 网 之 间 构 造 的 保 护 屏 障 。 目 前 ， 包 括 S C A D A 在 内 的 大 多 数 网 络 系 统 都 部 署 有 防 火 墙 设 备 。 而 W a t e r f a l l   S e c u r i t y 工 控 安 全 研 究 室 副 总 裁 A n d r e w   G i n t e r 却 指 出 ， 由 防 火 墙 控 制 的 i n b o u n d 和 o u t b o u n d 网 络 流 量 ， 以 及 其 自 身 的 安 全 防 范 局 限 性 ， 将 会 导 致 更 多 脆 弱 性 问 题 。 G i n t e r 还 补 充 到 ， 所 有 软 件 都 存 在 漏 洞 ， 防 火 墙 自 身 的 软 件 系 统 一 样 可 以 被 黑 。
G i n t e r 曾 发 表 过 文 章 – 《 1 3 种 绕 过 防 火 墙 的 攻 击 方 法 》 ， 其 中 列 举 了 1 3 种 绕 过 防 火 墙 ， 实 现 网 络 攻 击 的 具 体 方 法 ： 1   网 络 钓 鱼 攻 击 （ P h i s h i n g ）   2   社 会 工 程 学 攻 击 （ S o c i a l e n g i n e e r i n g ）   3   域 名 控 制 器 攻 击 （ C o m p r o m i s e a   d o m a i n   c o n t r o l l e r ） 4   暴 露 服 务 器 攻 击 （ A t t a c k e x p o s e d   s e r v e r s ） 5   暴 露 客 户 端 攻 击 （ A t t a c k e x p o s e d   c l i e n t s ） 6   会 话 劫 持 （ S e s s i o n   h i j a c k i n g ） 7   恶 意 V P N 连 接 攻 击 （ P i g g y b a c k o n   V P N   c o n n e c t i o n s ） 8   防 火 墙 漏 洞 （ F i r e w a l l   v u l n e r a b i l i t i e s ） 9   配 置 错 误 或 遗 漏 （ E r r o r s a n d   o m i s s i o n s ） 1 0   I P 地 址 伪 造 （ F o r g e   a n   I P   a d d r e s s ） 1 1   绕 过 网 络 安 全 边 界 （ B y p a s s   a n e t w o r k   s e c u r i t y   p e r i m e t e r ） 1 2   物 理 控 制 访 问 （ P h y s i c a l a c c e s s ） 1 3   携 带 电 子 载 体 的 “ 人 力 网 络 ” 攻 击 （ S n e a k e r n e t ） 防 火 墙 防 火 墙   V S   U S G s 在 S C A D A 或 I C S 系 统 中 ， G i n t e r 提 倡 使 用 单 向 安 全 网 关 单 向 安 全 网 关 （ U n i d i r e c t i o n a l   S e c u r i t y   G a t e w a y s , U S G s ） ， 因 为 这 种 设 备 产 生 的 单 向 网 络 流 量 ， 会 让 黑 客 的 远 程 攻 击 控 制 无 机 可 寻 。 U S G s 包 括 一 个 如 下 图 所 示 的 数 据 传 输 模 块 和 接 收 模 块 ：
传 输 模 块 和 接 收 模 块 之 间 由 一 条 短 的 光 纤 电 缆 连 接 ， 传 输 模 块 中 内 置 一 个 光 纤 发 射 器 ， 利 用 光 电 池 将 数 据 流 量 发 送 到 接 收 模 块 。 重 点 是 ， 这 种 光 纤 数 据 流 量 只 能 从 传 输 端 向 接 收 端 单 向 流 通 。 单 向 安 全 网 关 也 称 为 “ 数 据 二 极 管 ” ， 是 近 年 来 国 外 安 全 公 司 研 发 ， 并 在 工 业 网 络 环 境 中 推 广 的 一 种 安 全 设 备 。 单 向 网 关 解 决 方 案 是 成 对 的 ， T X 装 置 包 含 一 个 激 光 器 ， R X 装 置 包 含 一 个 光 学 接 收 器 。 成 对 的 网 关 可 以 从 业 务 网 络 中 传 输 信 息 ， 但 不 会 将 任 何 病 毒 、 D o S 攻 击 、 人 为 错 误 或 者 其 他 信 息 回 传 到 受 保 护 的 网 络 。 目 前 ， S A N S 、 W a t e r f a l l   S e c u r i t y 、 c i t i s . r u 等 国 外 安 全 公 司 都 有 类 似 产 品 。 实 时 数 据 传 输 实 时 数 据 传 输 U S G s 负 责 工 控 网 络 到 企 业 管 理 网 络 之 间 的 实 时 单 向 数 据 传 输 ， 其 连 接 工 控 网 络 系 统 的 数 据 库 软 件 ， 自 动 请 求 查 询 信 息 ， 并 将 信 息 从 传 输 模 块 发 送 到 企 业 管 理 网 络 端 的 接 收 模 块 ， 而 这 些 信 息 将 被 储 存 在 企 业 管 理 网 络 内 的 备 份 数 据 服 务 器 内 。 操 控 管 理 者 通 过 对 备 份 数 据 服 务 器 的 信 息 查 询 和 分 析 ， 可 以 全 面 了 解 S C A D A 系 统 的 运 行 情 况 ， 而 无 需 直 接 连 接 到 S C A D A 系 统 。 G i n t e r 说 道 ， 从 物 理 层 面 来 讲 ， 由 于 不 能 向 S C A D A 系 统 发 送 信 息 ， 当 然 也 就 不 能 实 现 对 其 蓄 意 破 坏 和 攻 击 的 目 的 。 U S G s 的 选 型 的 选 型 为 了 系 统 运 行 的 有 效 性 ， 选 用 的 U S G s 和 备 份 服 务 器 必 须 适 应 不 同 的 网 络 和 S C A D A 技 术 ， G i n t e r 同 时 强 调 ， 备 份 服 务 器 的 数 据 备 份 过 程 必 须 对 外 部 管 理 控 制 用 户 透 明 ， 而 且 不 会 对 主 服 务 器 和 保 护 网 络 造 成 影 响 。 另 一 个 需 要 考 虑 的 因 素 是 ， 系 统 管 理 机 构 须 确 定 所 需 的 ， U S G s 系 统 可 以 备 份 的 哪 些 工 控 应 用 数 据 ， 如 操 作 记 录 、 操 作 数 据 、 控 制 系 统 服 务 器 或 过 程 控 制 服 务 器 数 据 等 。 具 体 可 参 考 W a t e r f a l l   S e c u r i t y 的 工 业 网 络 解 决 方 案 ： S e c u r i n g - C r i t i c a l - C y b e r - A s s e t s - w i t h - D a t a - D i o d e s G i n t e r 总 结 到 ， S C A D A 系 统 的 安 全 防 护 应 该 比 I T 系 统 更 加 深 入 彻 底 ， 只 有 这 样 的 高 标 准 严 要 求 ， 才 能 避 免 像 乌 克 兰 断 电 事 故 这 样 的 重 大 网 络 攻 击 发 生 。 我 们 希 望 G i n t e r 的 观 点 是 正 确 的 ， 毕 竟 停 电 事 故 谁 都 不 敢 想 像 。 * * 参 考 来 源 ： t e c h r e p u b l i c ， F B 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理