工控安全防護(hù)的誤區(qū)

盡管工業(yè)控制系統(tǒng)的網(wǎng)絡(luò)安全問(wèn)題已經(jīng)引起很多國(guó)家和權(quán)威機(jī)構(gòu)的高度重視，但是對(duì)于相關(guān)企業(yè)和從業(yè)者來(lái)說(shuō)，仍然是一個(gè)很新的領(lǐng)域，工作上還存在很多誤區(qū)，主要包括如下幾個(gè)方面：

1.工控系統(tǒng)是與外界隔離的。實(shí)際上，基礎(chǔ)設(shè)施領(lǐng)域不僅包括生產(chǎn)和控制系統(tǒng)，還包括市場(chǎng)分析、財(cái)務(wù)計(jì)劃等信息管理系統(tǒng)，生產(chǎn)系統(tǒng)與管理系統(tǒng)的互聯(lián)早已經(jīng)成為工控系統(tǒng)的基本架構(gòu)，與外界完全隔離幾乎不可能；另外，維護(hù)用的移動(dòng)設(shè)備或筆記本電腦也會(huì)打破系統(tǒng)與外界的隔離，打開(kāi)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)之門(mén)。

事實(shí)證明，不管多嚴(yán)格的隔離措施也會(huì)有隱患發(fā)生。2003年Davis-Besse核電站被Slammer蠕蟲(chóng)病毒侵入；2016年13家Daimler-Chrysler汽車(chē)企業(yè)因感染Zotob蠕蟲(chóng)病毒被迫停工；2008年有超過(guò)千萬(wàn)臺(tái)的設(shè)備受到Conficker蠕蟲(chóng)病毒的攻擊，包括所謂隔離了的設(shè)備。

2.沒(méi)有人會(huì)襲擊我們。上個(gè)世紀(jì)，雖然有些零星攻擊事件發(fā)生，但是公眾對(duì)工控系統(tǒng)網(wǎng)絡(luò)安全問(wèn)題并沒(méi)有足夠重視。直到2000年澳大利亞MaroochyShire排水系統(tǒng)受攻擊事件報(bào)道之后，人們才意識(shí)到工控系統(tǒng)一旦受攻擊有可能造成嚴(yán)重后果，在該次事件中，由于數(shù)據(jù)采集和監(jiān)控系統(tǒng)（SCADA）受到攻擊，導(dǎo)致大量污水直接排放到環(huán)境中。

而且，主流黑客工具已經(jīng)集成有其中一些漏洞的攻擊方法。越來(lái)越多跡象表明，工控系統(tǒng)已經(jīng)受到黑客、政治對(duì)手、不滿(mǎn)的員工或犯罪組織等各類(lèi)攻擊者的目標(biāo)關(guān)注。

3.黑客不懂我們的協(xié)議/系統(tǒng)，系統(tǒng)非常安全。實(shí)際上，工業(yè)環(huán)境中已廣泛使用商業(yè)標(biāo)準(zhǔn)件（COTS）和IT技術(shù)；除了某些特殊環(huán)境，大部分通訊采用的是以太網(wǎng)和TCP/IP 協(xié)議 ；ICS、監(jiān)控站點(diǎn)以及嵌入式設(shè)備的操作系統(tǒng)也多以微軟和Linux為主，其中微軟已通過(guò)智能能源參考架構(gòu)（SERA）打進(jìn)電力行業(yè)，意圖將微軟技術(shù)安插到未來(lái)智能電網(wǎng)架構(gòu)的核心中。那些特殊環(huán)境采用的內(nèi)部協(xié)議其實(shí)也有公開(kāi)的文檔可查。

典型的電力系統(tǒng)通訊協(xié)議定義在IEC和IEEE標(biāo)準(zhǔn)中都可以找到，像Modbus這些工業(yè)協(xié)議，不僅可以輕易找到詳細(xì)說(shuō)明，其內(nèi)容也早已被黑客圈子熟知。

另外，由于工控設(shè)備功能簡(jiǎn)單、設(shè)計(jì)規(guī)范，只需少許計(jì)算機(jī)知識(shí)和耐心就可以完成其逆向工程，而且大部分的工業(yè)協(xié)議都不具備安全防護(hù)特征，有些應(yīng)急工具甚至可以自動(dòng)完成逆向工程。

4.工控系統(tǒng)不需要防病毒軟件或有防病毒軟件就可以了，防火墻會(huì)自動(dòng)提供安全防護(hù)。實(shí)際上，除了Windows平臺(tái)易遭受攻擊，Unix/Linux都有過(guò)病毒或跨平臺(tái)病毒攻擊的經(jīng)歷。比如Proof-of-concept病毒是專(zhuān)門(mén)針對(duì)SCADA和AMI系統(tǒng)的，所以對(duì)于工控系統(tǒng)，防病毒軟件不可或缺，并且需要定期更新。但是有了防病毒軟件并非能夠高枕無(wú)憂(yōu)，雖然當(dāng)前措施可以抵御大部分已知的惡意軟件，但對(duì)更隱蔽或鮮為人知的病毒的防御還遠(yuǎn)遠(yuǎn)不夠，而且防病毒軟件自身也存在弱點(diǎn)，經(jīng)過(guò)測(cè)試，部分防病毒軟件甚至能夠在幾分鐘之內(nèi)被攻破。

另外，雖然防火墻也是應(yīng)用最廣泛的安全策略之一，但其發(fā)揮效用的前提是必須正確設(shè)置了防火墻的安全規(guī)則，即使使用智能型防火墻，也需要自定義安全規(guī)則。

研究表明，由于設(shè)置規(guī)則比較復(fù)雜，目前80%的防火墻都沒(méi)有正確配置，未真正起到安全防護(hù)的作用。

5.網(wǎng)絡(luò)安全事件不會(huì)影響系統(tǒng)運(yùn)行。事實(shí)證明，工控系統(tǒng)在遭受攻擊后不僅可能影響運(yùn)行，還可能導(dǎo)致嚴(yán)重后果。前面提到的澳大利亞MaroochyShire排水系統(tǒng)受攻擊事件就是一例。另外，攻擊者也會(huì)想方設(shè)法接近工控設(shè)備，如向收集到的目標(biāo)企業(yè)工作人員郵箱地址發(fā)送電子郵件，一旦郵件內(nèi)鏈接被打開(kāi)，惡意軟件就會(huì)下載到工作站，通過(guò)這些惡意軟件，攻擊者就可以全面控制工作站和SCADA系統(tǒng)。

6.工控組件不需要特別的安全防護(hù)，供應(yīng)商會(huì)保證產(chǎn)品的安全性。人們能夠理解工控系統(tǒng)核心組件（如數(shù)據(jù)庫(kù)、應(yīng)用軟件、服務(wù)器等）安全的重要性，但經(jīng)常忽視工控系統(tǒng)外圍組件（如傳感器、傳動(dòng)器、智能電子設(shè)備、可編程邏輯控制器、智能儀表、遠(yuǎn)程終端設(shè)備等）的安全防護(hù)。其實(shí)這些外圍設(shè)備很多都內(nèi)置有與局域網(wǎng)相連的網(wǎng)絡(luò)接口，采用的也是TCP/IP協(xié)議，這些設(shè)備運(yùn)行時(shí)可能還有一些調(diào)試命令，如Telnet和FTP等，未得到及時(shí)屏蔽。

實(shí)際上供應(yīng)商對(duì)他們產(chǎn)品的認(rèn)識(shí)僅限于產(chǎn)品所能提供的功能方面，對(duì)出現(xiàn)的安全問(wèn)題做不到快速響應(yīng)。

2008年研究人員發(fā)現(xiàn)工控系統(tǒng)特有的數(shù)據(jù)通訊協(xié)議（WonderwareSuitlink） 存 在漏洞后，立即聯(lián)系了供應(yīng)商Wonderware，但Wonderware一個(gè)月后才回應(yīng)，等到Wonderware認(rèn)識(shí)到產(chǎn)品缺陷，并通知用戶(hù)補(bǔ)救時(shí)，已是三個(gè)月以后的事了。

7.工控系統(tǒng)的接入點(diǎn)容易控制。工控系統(tǒng)存在很多未知或已知但不安全的接入點(diǎn)，如維護(hù)用的手提電腦可以直接和工控系統(tǒng)網(wǎng)絡(luò)連接等。實(shí)際上很多工控系統(tǒng)的所有者并不知曉有多少接入點(diǎn)存在以及有多少接入點(diǎn)正在使用，也不知道個(gè)人可以通過(guò)這種方式訪問(wèn)工控系統(tǒng)。

8.系統(tǒng)安全可以一次性解決或是可以等到項(xiàng)目結(jié)束再解決。以前，工控系統(tǒng)功能簡(jiǎn)單，外部環(huán)境穩(wěn)定，現(xiàn)場(chǎng)維護(hù)設(shè)備也非智能型，所以，針對(duì)某一問(wèn)題的解決方案可以維持很長(zhǎng)一段時(shí)間不變。然而，現(xiàn)在的工控系統(tǒng)功能復(fù)雜，外部環(huán)境經(jīng)常變化，現(xiàn)場(chǎng)維護(hù)設(shè)備也需要定期更新和維護(hù)。不僅工控系統(tǒng)和現(xiàn)場(chǎng)維護(hù)設(shè)備需要安全防護(hù)，其管理和維護(hù)工作也需要安全防護(hù)，而且是動(dòng)態(tài)管理的安全防護(hù)，即一旦有新的威脅或漏洞產(chǎn)生，就要及時(shí)采取安全措施。

近年來(lái)，雖然工控系統(tǒng)項(xiàng)目建設(shè)開(kāi)始關(guān)注安全，但由于工期較長(zhǎng)，通常在最后階段才開(kāi)始考慮安全防護(hù)問(wèn)題，但此時(shí)不僅實(shí)施不易，而且成本頗高，因?yàn)樾枨笞兏酵砘蚵┒窗l(fā)現(xiàn)越遲，更改或彌補(bǔ)的費(fèi)用越高。

9.單向通信百分百安全。某些情況下，極重要的工控系統(tǒng)運(yùn)行以單向通訊方式與其他安全區(qū)域連接，但是這種連接方式很不嚴(yán)密，其安全程度高低取決于單向通信的實(shí)現(xiàn)方式。

方式一為限制發(fā)起方方式，即通信只能由某一方發(fā)起，然后雙方可以互相通信；方式二為限制負(fù)載流方式，即在方式一基礎(chǔ)上，對(duì)方只能發(fā)送控制信號(hào)，不能發(fā)送數(shù)據(jù)或應(yīng)用信息；方式三最嚴(yán)格，僅允許一方發(fā)送信息，不允許另一方發(fā)送任何信息。

方式一采用基本防火墻就能實(shí)現(xiàn)，方式二需要進(jìn)行消息包檢測(cè)，方式三需要采用特殊設(shè)備實(shí)現(xiàn)。通常認(rèn)為將前兩種方式結(jié)合起來(lái)將是最安全的防護(hù)措施。但即使可以提供很強(qiáng)的安全保護(hù)，網(wǎng)絡(luò)攻擊還是有可能發(fā)生的。因?yàn)榭刂坪托盘?hào)信息允許進(jìn)入受保護(hù)區(qū)域，經(jīng)過(guò)設(shè)備編譯后，惡意代碼就有可能得到運(yùn)行，所以單向通信并不能提供100%的安全保護(hù)。