(北京華電天仁電力控制技術(shù)有限公司,北京 100039)
隨著工業(yè)信息化的推廣及智慧電廠的發(fā)展,已經(jīng)使電力成為一個以信息系統(tǒng)為支撐的大型IT網(wǎng)絡(luò)系統(tǒng),工業(yè)控制系統(tǒng)在工業(yè)信息化中有著舉足輕重的位置,在電力發(fā)、輸、配、變、送、用等生產(chǎn)系統(tǒng)廣泛應(yīng)用。它通過對工作過程進(jìn)行自動化監(jiān)測、指揮、控制和調(diào)節(jié),保證電理設(shè)施的正常運(yùn)轉(zhuǎn),是電網(wǎng)關(guān)鍵基礎(chǔ)設(shè)施和信息系統(tǒng)的重要組成部分。
綜上,工控系統(tǒng)相關(guān)的上線前檢測和驗收環(huán)節(jié)中沒有針對信息安全的檢測環(huán)節(jié),極其容易把存在安全隱患的工控系統(tǒng)帶入到現(xiàn)場的生產(chǎn)環(huán)境中,對系統(tǒng)的運(yùn)行產(chǎn)生影響。所以,有必要基于漏洞挖掘技術(shù)和漏洞檢測技術(shù)的自動化平臺形成一套可應(yīng)用于工控系統(tǒng)安全檢測的規(guī)范和基線。
由于工控系統(tǒng)在規(guī)約和通信過程等方面與傳統(tǒng)IT系統(tǒng)存在較大差異,所以在研究適合于工控系統(tǒng)的漏洞檢測技術(shù),需要充分考慮工控系統(tǒng)的特殊性,形成一種可利用在工控系統(tǒng)中進(jìn)行安全漏洞檢測的技術(shù)。技術(shù)可行性分析如下:
(1)基于工業(yè)漏洞庫的已知漏洞檢測
基于業(yè)界最專業(yè)完整的工控網(wǎng)絡(luò)安全漏洞庫,依靠高效漏洞掃描引擎、檢測規(guī)則的自動匹配,掃描工控網(wǎng)絡(luò)中的關(guān)鍵設(shè)備和軟件,檢測是否存在已知漏洞。掃描引擎的一系列核心功能包括工控通信協(xié)議支持,存活判斷,端口掃描,服務(wù)識別,操作系統(tǒng)判斷等,同時具備PLC、DCS、SCADA等系統(tǒng)和軟件識別功能。
(2)基于工業(yè)控制協(xié)議的模糊測試挖掘未知漏洞
對工控網(wǎng)絡(luò)未知安全漏洞進(jìn)行挖掘需要基于工控協(xié)議的模糊測試技術(shù),通過對工控網(wǎng)絡(luò)中的設(shè)備和系統(tǒng)進(jìn)行智能模糊測試來發(fā)現(xiàn)。
①運(yùn)用模糊測試的原理,設(shè)計測試用例并構(gòu)造變異報文,檢測工控協(xié)議實現(xiàn)的缺陷。
②構(gòu)建完整、可擴(kuò)展的動態(tài)隨機(jī)分析測試框架,監(jiān)控測試目標(biāo),管理測試結(jié)果,并支持多目標(biāo)(例如設(shè)備,軟件,系統(tǒng)等),多種協(xié)議(例如Modbus、IEC104、Profinet等不同類型的協(xié)議),多線程(加速測試進(jìn)度)平臺提供了操作、監(jiān)視、管理整個漏洞挖掘測試過程的功能。測試過程中,基于高效的智能模糊測試和攻擊測試等自動化測試方法,自動生成測試用例列表,并在測試列表運(yùn)行時可以實時監(jiān)控和進(jìn)行管理,能夠高效的完成復(fù)雜測試。豐富的測試監(jiān)視器,包含底層通信(ICMP、ARP、鏈路狀態(tài)),高層通訊(TCP和UDP端口),控制信號(離散、模擬),能夠隨時監(jiān)視測試用例執(zhí)行情況和結(jié)果。測試完成即可生成“正常”、“疑似漏洞”“、“其他”等測試結(jié)果,并可對“疑似漏洞”的測試結(jié)果進(jìn)行漏洞標(biāo)識,關(guān)聯(lián)所有相關(guān)信息,并對漏洞名稱、危險等級和描述等信息進(jìn)行編輯,保存至本機(jī)漏洞庫作為漏洞析的依據(jù)。
同時,通過對“疑似漏洞”的所有相關(guān)信息的細(xì)節(jié)進(jìn)行深入分析,重復(fù)進(jìn)行針對性的測試,明確“疑似漏洞”的真實性,最后在出錯數(shù)據(jù)包中精確定位,并可以將發(fā)現(xiàn)的“疑似漏洞”保存至漏洞庫中進(jìn)行管理。通過漏洞庫中發(fā)現(xiàn)的漏洞進(jìn)行漏洞測試驗證漏洞的真實性和可復(fù)現(xiàn)性。
根據(jù)漏洞分析的結(jié)果,利用漏洞挖掘檢測平臺提供的開發(fā)工具可以進(jìn)行一系列的衍生開發(fā)。包括新的測試用例,測試腳本,測試/攻擊套件,并且可以對衍生開發(fā)的結(jié)果進(jìn)行漏洞測試用例、腳本測試檢驗。
我們研究內(nèi)容為風(fēng)場工業(yè)控制系統(tǒng)漏洞自動化挖掘與檢測平臺,在電力行業(yè)是一大創(chuàng)新,將對風(fēng)電工控安全形成有效的促進(jìn)作用。具體包括:
針對電力傳輸基礎(chǔ)設(shè)備,對通信協(xié)議進(jìn)行研究。對于協(xié)議應(yīng)用的場景,依賴的網(wǎng)絡(luò)組件,如何組成報文,識別報文進(jìn)行研究,對協(xié)議的每個細(xì)節(jié)進(jìn)行全面的掌握。研究電力傳輸設(shè)備通信協(xié)議的漏洞進(jìn)行研究,確定相關(guān)加固或改進(jìn)方法。
電力工業(yè)控制系統(tǒng)內(nèi)的設(shè)備、上位機(jī)、服務(wù)器等普遍使用的操作系統(tǒng)如Windows、Linux、VxWorks等,都有很多的系統(tǒng)漏洞,基本上所有的惡意攻擊都利用了系統(tǒng)漏洞。需要研究針對電力系統(tǒng)內(nèi)各種操作系統(tǒng)的安全漏洞,確定相關(guān)加固或改進(jìn)方法。
電力系統(tǒng)中存在著很多的應(yīng)用及組件,如FTP、SNMP、SSH、WEB應(yīng)用等,這些應(yīng)用很多都沒有考慮安全方面的問題,可能存在著很多漏洞及安全問題,從這兩年公開的漏洞來看,這種情況還在增加。在應(yīng)用安全層面將研究電力控制系統(tǒng)的典型安全配置基線,對相關(guān)應(yīng)用進(jìn)行合規(guī)配置和安全加固。
通過對電力通信協(xié)議安全漏洞、電力工控操作系統(tǒng)安全漏洞、電力應(yīng)用安全漏洞的研究,總結(jié)經(jīng)驗,開發(fā)自動化漏洞挖掘及檢測工具,形成可實用可復(fù)制的科研成果,能夠為實際中的電力系統(tǒng)安全運(yùn)維提供幫助。
典型的工業(yè)控制系統(tǒng)的資產(chǎn)范圍包括如下類型:
(1)工業(yè)生產(chǎn)控制設(shè)備(PLC、DCS等);
(2)工業(yè)網(wǎng)絡(luò)通信設(shè)備(工業(yè)交換機(jī)、工業(yè)路由器等);
(3)工業(yè)主機(jī)設(shè)備(工控上位機(jī)、組態(tài)軟件、SCADA軟件等);
(4)工業(yè)生產(chǎn)信息系統(tǒng)(MES系統(tǒng)、ERP系統(tǒng)等);
(5)工業(yè)網(wǎng)絡(luò)安全設(shè)備(工業(yè)防火墻、工業(yè)網(wǎng)閘)。
工控安全評估系統(tǒng)支持以自動化方式獲取不同類型的資產(chǎn)信息,幫助客戶通過技術(shù)手段梳理工控網(wǎng)絡(luò)資產(chǎn)現(xiàn)狀,對于網(wǎng)絡(luò)拓?fù)渲形茨荏w現(xiàn)的設(shè)備資產(chǎn)進(jìn)行更新。
工控安全評估系統(tǒng)在進(jìn)行工控資產(chǎn)自動識別發(fā)現(xiàn)的過程中,以不影響設(shè)備正常業(yè)務(wù)為宗旨,支持豐富的資產(chǎn)信息采集功能:
①采集的資產(chǎn)信息包括設(shè)備類型、廠商、型號。對于工業(yè)主機(jī)設(shè)備,資產(chǎn)發(fā)現(xiàn)模塊還支持獲取操作系統(tǒng)信息和已安裝的防護(hù)軟件信息;
②支持檢查人員指定范圍,例如通過設(shè)定IP地址掩碼、指定IP地址段、設(shè)定單一IP地址、設(shè)定多個IP地址等;
③支持跨網(wǎng)段獲取資產(chǎn)信息;
④支持隨時停止自動獲取資產(chǎn)信息,允許檢查人員選擇返回當(dāng)前獲取頁面、停止當(dāng)前自動獲取并放棄保存結(jié)果或者停止當(dāng)前掃描并保存掃描結(jié)果;
⑤支持實時顯示當(dāng)前的網(wǎng)絡(luò)區(qū)域名稱、網(wǎng)段信息、運(yùn)行時間、已經(jīng)識別出的設(shè)備數(shù)量等,同時支持自動采集的進(jìn)度提示。
我們將在充分調(diào)研工控系統(tǒng)行業(yè)現(xiàn)狀,根據(jù)國家和行業(yè)相關(guān)工控安全標(biāo)準(zhǔn)規(guī)范對安全配置的具體要求,繼承和吸收國家等級保護(hù)和大量風(fēng)險評估的經(jīng)驗成果等基礎(chǔ)上,構(gòu)建出基于業(yè)務(wù)系統(tǒng)的工控安全配置基線模型。
工控安全評估系統(tǒng)包括安全配置核查模塊,在建立變電站工業(yè)控制系統(tǒng)配置清單和配置檢查規(guī)范的基礎(chǔ)之上,基于工控安全配置核查列表(checklist),生成工控安全配置核查模板,通過自動化安全檢查的方式,核查客戶工控資產(chǎn)的配置安全狀況,輸出工控資產(chǎn)配置安全檢查報告。
工控安全配置核查模塊,針對各類變電站產(chǎn)的具體檢查類別包括但不限于以下范圍:
(1)賬戶管理:避免不同用戶間共享帳號;避免用戶帳號和設(shè)備間通信使用的帳號共享;賬號最小授權(quán)。
(2)密碼管理:檢查用戶口令策略是否符合安全要求;限制密碼文件的訪問權(quán)限;Console密碼管理策略。
(3)服務(wù)管理:檢查是否關(guān)閉了不必要的服務(wù);檢查SNMP是否修改默認(rèn)通訊字符串;NTP服務(wù)或本地時間管理。
(4)安全配置:檢查SSH安全配置;文件與目錄權(quán)限;系統(tǒng)banner安全配置;遠(yuǎn)程管理地址安全要求;檢查FTP安全;可信IP地址訪問控制;禁止arp-proxy。
(5)日志審計:系統(tǒng)配置日志級別;系統(tǒng)設(shè)置日志的時間戳;設(shè)備安全事件審計;日志文件安全;操作日志記錄。
基于工控安全配置核查結(jié)果進(jìn)行分析,檢查人員可以比對配置規(guī)范和檢查要求,分析規(guī)范要求與安全現(xiàn)狀的差距,評估工控系統(tǒng)安全風(fēng)險,提出安全配置加固建議方案,進(jìn)一步落實工控系統(tǒng)安全配置工作要求,提升工控網(wǎng)絡(luò)安全防護(hù)水平。
電力行業(yè)工控系統(tǒng)作為兩化融合的典型代表,有效的保障電力工控系統(tǒng)運(yùn)行的安全和可靠性,是電力企業(yè)安全生產(chǎn)的一個重要支撐點(diǎn)。我們研究的風(fēng)場工業(yè)控制系統(tǒng)漏洞自動化挖掘與檢測平臺:
(1)填補(bǔ)目前風(fēng)險在工控安全檢測手段上的不足,為工控漏洞的挖掘提供技術(shù)支持。
(2)形成風(fēng)電工控系統(tǒng)上線前檢測機(jī)制,有效在上線階段就有效降低系統(tǒng)存在的安全脆弱性,盡可能發(fā)現(xiàn)工控系統(tǒng)中潛在的安全隱患。
(3)形成工控漏洞的管理平臺,實現(xiàn)工控漏洞的可管理,實現(xiàn)漏洞挖掘能力向工控檢測能力的無縫遷移。
我們的研究成果響應(yīng)國家政策指導(dǎo)以及應(yīng)對工業(yè)網(wǎng)絡(luò)安全新形勢,達(dá)到保護(hù)電力系統(tǒng)安全的目的。也可在各新能源發(fā)電系統(tǒng)中推廣應(yīng)用。