搜索

[13029] 2018-08-06_浅析为什么和互联网隔离的工控系统一定要做网络安全建设

文档创建者：s7ckTeam
浏览次数：40
最后更新：2025-01-18
2018-08-06_浅析为什么和互联网隔离的工控系统一定要做网络安全建设 浅 析 为 什 么 和 互 联 网 隔 离 的 工 控 系 统 一 定 要 做 网 络 安 全 建 设 l i u j i a n s h u a i   F r e e B u f   2 0 1 8 - 0 8 - 0 6 笔 者 在 和 工 业 领 域 各 行 业 客 户 做 咨 询 交 流 的 时 候 ， 他 们 通 常 会 问 到 一 个 问 题 就 是 ： 笔 者 在 和 工 业 领 域 各 行 业 客 户 做 咨 询 交 流 的 时 候 ， 他 们 通 常 会 问 到 一 个 问 题 就 是 ： “ 我 们 的 工 控 系 统 已 经 和 互 联 我 们 的 工 控 系 统 已 经 和 互 联 网 隔 离 了 ， 本 身 就 是 一 个 孤 岛 ， 任 何 数 据 和 信 息 都 进 不 来 ， 为 什 么 还 要 进 行 网 络 安 全 建 设 呢 ？ 网 隔 离 了 ， 本 身 就 是 一 个 孤 岛 ， 任 何 数 据 和 信 息 都 进 不 来 ， 为 什 么 还 要 进 行 网 络 安 全 建 设 呢 ？ ” 那 么 ， 笔 者 对 客 那 么 ， 笔 者 对 客 户 的 这 个 疑 问 通 过 以 下 几 点 做 出 解 释 ， 告 知 各 位 与 互 联 网 隔 离 的 工 控 系 统 并 不 安 全 。 户 的 这 个 疑 问 通 过 以 下 几 点 做 出 解 释 ， 告 知 各 位 与 互 联 网 隔 离 的 工 控 系 统 并 不 安 全 。 一 、 一 、 W I F I 无 线 连 接 打 通 工 业 系 统 和 互 联 网 通 道 无 线 连 接 打 通 工 业 系 统 和 互 联 网 通 道 现 在 我 们 的 手 机 都 可 以 上 网 ， 基 本 每 个 人 的 手 机 网 络 都 是 2 4 小 时 开 着 ， 没 电 的 时 候 会 通 过 电 脑 U 口 或 者 电 源 对 手 机 进 行 充 电 ， 而 在 工 业 现 场 存 在 这 么 一 种 情 况 ， 就 是 调 度 人 员 或 者 运 维 人 员 会 将 手 机 插 到 现 场 工 控 机 U 口 上 进 行 充 电 ， 同 时 边 充 电 还 边 通 过 手 机 上 网 ， 这 就 直 接 导 致 本 来 是 隔 离 状 态 的 工 控 系 统 通 过 手 机 和 互 联 网 打 通 了 ， 互 联 网 的 一 些 病 毒 也 会 通 过 手 机 传 入 工 业 现 场 的 工 控 主 机 ， 进 而 在 整 个 工 控 网 络 中 进 行 传 播 。 如 下 图 所 示 ： 病 毒 潜 入 流 程 图 美 国 塔 尔 萨 大 学 专 门 进 行 过 针 对 风 电 场 的 渗 透 测 试 ， 渗 透 测 试 的 第 一 步 就 是 通 过 物 理 安 全 上 的 漏 洞 ， 将 小 型 W I F I 设 备 接 入 控 制 系 统 中 实 现 攻 击 风 电 场 的 目 的 。 相 关 的 攻 击 细 节 笔 者 不 在 这 里 阐 述 ， 读 者 可 搜 索 安 全 牛 发 布 的 文 章 《 黑 客 入 侵 风 力 发 电 厂 全 过 程 》 去 了 解 攻 击 的 整 个 过 程 。 目 前 针 对 该 问 题 有 以 下 解 决 方 案 ： 对 U 口 通 过 物 理 方 式 或 者 软 件 进 行 管 控 ， 禁 止 外 设 接 入 U 口 ； 部 署 无 线 防 护 设 备 对 无 线 信 号 进 行 防 护 ； 对 主 机 采 用 白 名 单 的 方 式 进 行 防 护 。 二 、 通 过 远 程 维 护 打 通 工 业 系 统 和 互 联 网 通 道 二 、 通 过 远 程 维 护 打 通 工 业 系 统 和 互 联 网 通 道 一 般 工 业 现 场 出 现 问 题 ， 现 场 人 员 又 处 理 不 了 的 情 况 下 ， 客 户 一 般 会 采 取 采 取 两 种 措 施 ： （ 1 ） 、 请 工 程 师 来 现 场 处 理 ； （ 2 ） 、 如 果 工 程 师 来 不 了 现 场 ， 那 么 就 只 能 通 过 远 程 让 工 程 师 处 理 。 第 1 种 情 况 我 们 不 在 这 里 讨 论 ， 重 点 是 第 2 种 情 况 ， 远 程 处 理 现 场 问 题 在 工 业 现 场 经 常 存 在 。 在 与 互 联 网 隔 离 的 工 业 系 统 中 一 般 通 过 什 么 方 式 远 程 运 维 呢 ？ 一 般 会 通 过 以 下 方 式 解 决 ： 通 过 W I F I 热 点 连 接 有 问 题 的 电 脑 ， 在 开 启 远 程 控 制 软 件 进 行 远 程 操 作 处 理 ； 通 过 能 上 网 的 交 换 机 连 接 有 问 题 的 电 脑 ， 开 启 远 程 控 制 软 件 进 行 远 程 操 作 处 理 。
现 场 通 过 私 接 交 换 机 来 实 现 上 网 以 上 方 式 对 于 工 业 控 制 系 统 都 是 很 危 险 的 ， 首 先 要 出 现 问 题 的 电 脑 上 网 就 已 经 打 通 了 工 业 控 制 系 统 和 互 联 网 的 连 接 ； 其 次 单 纯 通 过 远 程 控 制 软 件 对 现 场 电 脑 进 行 操 作 ， 没 办 法 对 远 程 维 护 人 员 进 行 身 份 认 证 ， 无 法 记 录 操 作 动 作 ， 一 旦 出 现 事 故 无 法 追 责 。 所 以 我 们 在 现 场 遇 到 问 题 的 时 候 ， 优 先 考 虑 请 工 程 师 来 现 场 处 理 问 题 ， 如 果 一 旦 工 程 师 无 法 及 时 赶 到 现 场 ， 那 么 我 们 只 能 通 过 远 程 运 维 的 方 式 解 决 ， 这 时 候 我 们 需 要 在 工 控 系 统 中 部 署 一 台 工 控 运 维 系 统 就 可 以 解 决 远 程 运 维 时 的 网 络 安 全 问 题 ， 部 署 示 意 图 如 下 ： 工 控 运 维 系 统 部 署 示 意 图 该 系 统 主 要 可 以 实 现 以 下 功 能 ： 支 持 对 工 业 协 议 （ 如 O P C 、 M o d b u s 等 ） 的 解 析 ， 从 而 可 实 现 工 控 指 令 的 审 计 ； 部 署 灵 活 ， 即 插 即 用 ， 方 便 针 对 性 的 进 行 设 备 远 程 运 维 ； 能 够 安 全 隔 离 运 维 设 备 与 被 运 维 设 备 ， 防 止 运 维 设 备 异 常 行 为 与 恶 意 代 码 不 会 扩 散 到 工 业 控 制 系 统 ， 保 证 工 业 控 制 系 统 的 安 全 ； 对 工 控 组 态 监 控 软 件 进 行 监 控 记 录 ， 支 持 包 括 国 内 外 主 流 工 控 系 统 厂 商 ； 运 维 人 员 的 身 份 采 集 和 身 份 认 证 ， 全 程 记 录 运 维 数 据 。 三 、 三 、 企 业 信 息 化 的 发 展 ， 企 业 信 息 化 的 发 展 ， E R P 系 统 需 要 从 生 产 网 取 数 据 系 统 需 要 从 生 产 网 取 数 据 随 着 工 业 化 和 信 息 化 的 发 展 ， 各 大 工 业 企 业 、 能 源 企 业 都 在 进 行 相 应 的 信 息 化 建 设 ， 各 个 行 业 也 陆 陆 续 续 完 成 了 工 业 系 统 的 升 级 和 改 造 ， 逐 步 形 成 了 ： 数 字 化 矿 山 、 智 慧 电 力 、 智 慧 油 田 、 智 能 制 造 等 先 进 的 生 产 技 术 。 而 这 些 先 进 生 产 技 术 的 完 成 ， 进 而 带 来 的 就 是 网 络 安 全 问 题 ， 企 业 信 息 化 架 构 如 下 图 所 示 ：
系 统 架 构 图 信 息 化 的 建 设 将 生 产 网 和 管 理 网 之 间 的 链 路 打 通 ， 这 样 管 理 网 就 可 以 从 生 产 网 中 读 取 数 据 ， 进 行 分 析 以 便 高 层 决 策 ， 管 理 网 将 决 策 好 的 信 息 通 过 网 络 传 递 给 生 产 网 便 于 执 行 ， 提 高 了 整 体 生 产 效 率 。 但 是 如 果 管 理 网 感 染 病 毒 和 恶 意 代 码 ， 那 么 在 数 据 传 递 过 程 中 很 有 可 能 就 被 带 入 生 产 层 。 例 如 ： 2 0 1 7 年 某 大 型 能 源 企 业 因 服 务 器 是 双 网 卡 配 置 ， 分 别 连 接 生 产 网 和 管 理 网 ， 并 没 有 任 何 防 护 设 施 ， 结 果 导 致 感 染 勒 索 病 毒 ， 并 波 及 到 生 产 网 ， 对 整 个 企 业 造 成 了 一 定 的 经 济 损 失 。 如 下 图 ： 现 场 感 染 勒 索 病 毒 的 服 务 器 解 决 该 问 题 的 办 法 就 是 在 管 理 网 和 生 产 网 之 间 部 署 工 业 防 火 墙 来 实 现 生 产 和 管 理 的 隔 离 。 部 署 如 下 图 所 示 ：
工 业 防 火 墙 部 署 示 意 图 四 、 四 、 生 产 网 内 部 使 用 生 产 网 内 部 使 用 U 盘 进 行 数 据 拷 贝 传 输 盘 进 行 数 据 拷 贝 传 输 我 们 知 道 U 盘 是 传 播 病 毒 的 重 要 介 质 ， 而 工 业 现 场 使 用 U 盘 的 频 率 也 非 常 高 ， 经 常 通 过 U 盘 来 进 行 数 据 拷 贝 ， 虽 然 有 些 现 场 通 过 封 条 封 堵 方 式 将 U 口 进 行 封 堵 ， 但 是 形 同 虚 设 ， 工 作 人 员 在 需 要 U 口 的 时 候 ， 会 撕 下 封 条 ， 在 用 完 后 重 新 封 上 封 条 。 现 场 主 机 大 量 U 盘 插 拔 记 录 解 决 的 最 好 方 法 就 是 通 过 主 机 防 护 软 件 对 电 脑 接 口 进 行 管 控 ， 同 时 在 数 据 传 递 的 时 候 使 用 专 用 的 安 全 U 盘 进 行 数 据 拷 贝 和 传 递 。 五 、 五 、 生 产 内 部 管 理 不 善 ， 导 致 重 要 数 据 信 息 泄 露 或 丢 失 生 产 内 部 管 理 不 善 ， 导 致 重 要 数 据 信 息 泄 露 或 丢 失 目 前 工 控 领 域 信 息 安 全 管 理 制 度 不 完 善 ， 缺 少 重 要 的 信 息 安 全 岗 位 、 缺 少 人 员 的 信 息 安 全 意 识 培 训 ， 粘 贴 密 码 和 弱 密 码 现 象 普 遍 ， 如 下 图 所 示 ： 现 场 发 现 粘 贴 系 统 密 码 缺 少 定 期 的 漏 洞 扫 描 ， 不 掌 握 自 身 系 统 的 风 险 ， 无 法 描 述 系 统 的 安 全 状 态 。 以 上 安 全 管 理 方 面 的 缺 失 都 会 导 致 员 工 安 全 意 识 不 足 ， 现 场 重 要 数 据 丢 失 或 者 被 盗 走 ， 重 要 的 控 制 程 序 落 入 竞 争 对 手 或 者 黑 客 手 中 加 以 利 用 等 。 解 决 上 述 问 题 ， 不 光 通 过 制 定 安 全 管 理 制 度 就 能 够 实 现 的 ， 还 需 要 定 期 进 行 风 险 评 估 ， 员 工 安 全 意 识 宣 贯 ， 通 过 国 内 外 爆 发 的 安 全 事 件 总 结 经 验 教 训 ， 不 断 更 新 迭 代 安 全 制 度 和 应 急 预 案 。 总 体 来 说 ， 安 全 管 理 的 形 成 是 一 个 长 期 培 养 的 过 程 。 六 、 六 、 结 论 结 论 综 上 所 述 ， 与 互 联 网 隔 离 的 工 控 系 统 同 样 需 要 加 强 网 络 安 全 建 设 ， 而 网 络 安 全 建 设 并 非 只 是 部 署 几 台 安 全 设 备 ， 设 置 一 些 安 全 策 略 所 能 解 决 的 。 需 要 参 照 国 家 颁 布 的 标 准 和 法 律 法 规 ， 通 过 安 全 技 术 和 安 全 管 理 两 种 手 段 ， 加 强 人 员 安 全
意 识 培 训 等 多 种 方 式 ， 体 系 化 的 全 面 规 划 才 能 更 好 的 保 障 工 业 系 统 的 网 络 安 全 ， 保 护 好 我 国 的 关 键 基 础 设 施 。 * 本 文 作 者 ： 本 文 作 者 ： l i u j i a n s h u a i ， 本 文 属 ， 本 文 属 F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理