網(wǎng)絡(luò)安全等級保護2.0工業(yè)控制系統(tǒng)安全測評實踐

◆李云飛

操作系統(tǒng)、網(wǎng)絡(luò)體系與服務(wù)器技術(shù)

網(wǎng)絡(luò)安全等級保護2.0工業(yè)控制系統(tǒng)安全測評實踐

◆李云飛

（江蘇君立華域安全測評有限公司 江蘇 211100）

本文主要基于《基于安全類的基于類的網(wǎng)絡(luò)安全技術(shù)的基本信息安全要求》的一般要求和行業(yè)要求，開發(fā)了基于2.0級保護標(biāo)準(zhǔn)的工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全保護系統(tǒng)。結(jié)合P2DR和IATF安全模型對控制系統(tǒng)進行擴展的要求已分別開發(fā)了三個主要系統(tǒng)，即安全管理系統(tǒng)，安全技術(shù)系統(tǒng)以及運行和維護安全系統(tǒng)，從而確保了工業(yè)控制系統(tǒng)的穩(wěn)定可靠運行。

網(wǎng)絡(luò)安全；等級保護2.0標(biāo)準(zhǔn)；工業(yè)控制；安全測評

自2019年5月13日起，公安部正式發(fā)布了三項標(biāo)準(zhǔn)，對網(wǎng)絡(luò)安全等級保護的新要求也達到了新的水平。同時，作為關(guān)鍵信息基礎(chǔ)設(shè)施的工業(yè)控制系統(tǒng)也被涵蓋在等級保護的范圍內(nèi)。在內(nèi)部，它分為一般要求和擴展生產(chǎn)管理系統(tǒng)的要求。本文重點關(guān)注“保護網(wǎng)絡(luò)安全的信息安全技術(shù)的基本要求”的標(biāo)準(zhǔn)，結(jié)合工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全的現(xiàn)狀，對基于等級保護2.0的工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全保護系統(tǒng)進行研究。

1 測評工作方法與流程

根據(jù)國家法律法規(guī)、政策文件，評估工作采用一定的標(biāo)準(zhǔn)和方法，例如咨詢和調(diào)查，工具測試和手動驗證等。調(diào)查咨詢：將問卷調(diào)查表發(fā)給被評估單位的員工，采訪被評估單位的負(fù)責(zé)人，部門和技術(shù)人員，閱讀被評估單位的信息安全和保密文件。手工驗證：專業(yè)技術(shù)人員參照信息系統(tǒng)安全配置檢查標(biāo)準(zhǔn)進行安全審核，以及信息系統(tǒng)和現(xiàn)有信息系統(tǒng)安全措施的確認(rèn)。工具發(fā)現(xiàn)：使用專業(yè)工具來檢查和檢測信息系統(tǒng)，例如漏洞掃描工具。

圖1 測評工作流程圖

2 測評工作內(nèi)容

所有評估工作主要在評估地點進行。工作內(nèi)容包括：系統(tǒng)的基本情況，安全管理的情況，數(shù)據(jù)的備份和恢復(fù)，網(wǎng)絡(luò)邊界的安全性，對國外產(chǎn)品的依賴性，技術(shù)保護的情況，工業(yè)控制系統(tǒng)的物理環(huán)境的情況，工業(yè)系統(tǒng)信息技術(shù)的外包服務(wù)企業(yè)管理，檢查和評估信息安全的狀況和手段等。

工業(yè)控制網(wǎng)絡(luò)（如圖2）風(fēng)險評估規(guī)范網(wǎng)絡(luò)安全風(fēng)險評估應(yīng)該是全面審查，全面計劃和持續(xù)運營的過程。根據(jù)系統(tǒng)的結(jié)構(gòu)，評估的要素和系統(tǒng)的生命周期，提出了評估范圍的要求。根據(jù)工控網(wǎng)絡(luò)風(fēng)險評估規(guī)范的要求，明確企業(yè)管理系統(tǒng)的評估范圍。根據(jù)以往的資產(chǎn)研究和識別，了解到企業(yè)的企業(yè)管理系統(tǒng)沒有連接互聯(lián)網(wǎng)（有必要在檢查現(xiàn)場進行檢查），有一個獨立的分布式控制系統(tǒng)（DCS），但沒有相互連接。

圖2 工業(yè)以太網(wǎng)絡(luò)

3 工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全現(xiàn)狀分析

3.1 生產(chǎn)管理系統(tǒng)中存在漏洞。

據(jù)國家通信安全漏洞通信信息平臺的相關(guān)統(tǒng)計，現(xiàn)階段我國工業(yè)控制系統(tǒng)中大約有2000多個漏洞，其主要體現(xiàn)在西門子控制及其領(lǐng)域涉及的工業(yè)協(xié)議內(nèi)容中，除此之外，還體現(xiàn)在主機操作系統(tǒng)、工業(yè)應(yīng)用軟件等控制器等具有典型意義的工業(yè)制造方面內(nèi)容。而在安全設(shè)備的另一方面，中度風(fēng)險和嚴(yán)重風(fēng)險等相關(guān)的漏洞占95％以上。最常見的是緩沖區(qū)溢出，拒絕服務(wù)和其他類型的漏洞，這些漏洞非常容易遭到不法利用，從而觸發(fā)安全事件。

3.2 無法檢測到工業(yè)控制網(wǎng)絡(luò)中的異常流量。

由于缺乏對工業(yè)控制系統(tǒng)中網(wǎng)絡(luò)流量，病毒，特洛伊木馬和其他惡意程序的監(jiān)視和審計，因此無法檢測到非法用戶操作，錯誤操作和網(wǎng)絡(luò)上的DDoS攻擊。在深入分析時無法對異常流量進行定位、追蹤和責(zé)任劃分。

3.3 工業(yè)主機上存在許多安全問題。

工業(yè)場景中使用的工作站，工程師站和工業(yè)數(shù)據(jù)庫節(jié)點主要是Windows操作系統(tǒng)，Microsoft現(xiàn)已不再提供這些操作系統(tǒng)。

此類工業(yè)主機中也往往缺少相應(yīng)的防病毒或是查殺病毒等軟件。即使其針對性的安裝了防病毒或是查殺病毒類的軟件，也會因為各種系統(tǒng)的兼容性問題而出現(xiàn)各種不兼容的現(xiàn)象。同時，由于各種操作系統(tǒng)以及需要定期更新病毒數(shù)據(jù)庫等原因，電腦上的病毒，查毒軟件也往往難以在工業(yè)主機上以標(biāo)準(zhǔn)的模式運行著，因此其仍舊可能會出現(xiàn)安全問題。另一方面，移動數(shù)據(jù)載體的不規(guī)則使用，病毒攻擊、特洛伊木馬和其他惡意程序，使得諸如技術(shù)和公式泄漏的安全性問題繼續(xù)出現(xiàn)。

3.4 用于管理和控制工業(yè)無線網(wǎng)絡(luò)的機制不夠完善。

在現(xiàn)階段中，隨著各種類型的數(shù)字智能化工廠的不斷涌現(xiàn)，無線工業(yè)通信信息技術(shù)已經(jīng)被廣泛化的應(yīng)用于網(wǎng)絡(luò)安全技術(shù)領(lǐng)域中。由于無線網(wǎng)絡(luò)是在生產(chǎn)車間中創(chuàng)建的，僅單一考慮了網(wǎng)絡(luò)機制中的生產(chǎn)服務(wù)效度性，而忽略了安全性。

3.5 運行和維護機制不到位。

由于工業(yè)控制系統(tǒng)中的相關(guān)產(chǎn)品及其所附帶的品牌的來源地大多是國外，例如PLC（西門子、歐姆龍等），DCS（霍尼韋爾，艾默生）等，加之工業(yè)操作及應(yīng)用方面的軟件（IFIX，WINCC）具有易于使用以及制造成本低等方面特點，因此這些產(chǎn)品通常都設(shè)有遠(yuǎn)程操作和維護界面等系統(tǒng)功能，同時，也沒有適當(dāng)?shù)募夹g(shù)手段來記錄、分析和維護過程中的操作，經(jīng)常導(dǎo)致其找不到行為和內(nèi)容。

4 基于等級保護 2.0 工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全防護體系設(shè)計

通過創(chuàng)建系統(tǒng)網(wǎng)絡(luò)的安全管理中心以及安全通信網(wǎng)絡(luò)、區(qū)域邊界和三重安全計算環(huán)境來創(chuàng)建深度具有強大保護技術(shù)功能的系統(tǒng)。最后，在通過緊密結(jié)合各種工業(yè)控制系統(tǒng)網(wǎng)絡(luò)技術(shù)的基礎(chǔ)上，實現(xiàn)相應(yīng)的系統(tǒng)安全管理和安全策略，從而有效地提供多個維度、多個層面的全方位化的網(wǎng)絡(luò)安全保護功能，創(chuàng)建了能夠?qū)崿F(xiàn)有效保護、綜合檢測、監(jiān)控、和快速響應(yīng)的安全保護系統(tǒng)。

總體安全體系結(jié)構(gòu)的設(shè)計如下：

（1）安全管理系統(tǒng)

1.安全管理系統(tǒng)。建立職能部門以管理工業(yè)網(wǎng)絡(luò)的安全性，創(chuàng)建安全觀察員，負(fù)責(zé)安全管理的各個方面，并定義每個負(fù)責(zé)人的職責(zé)，創(chuàng)建一個委員會或指導(dǎo)小組來管理和管理網(wǎng)絡(luò)安全，而高級經(jīng)理應(yīng)由一個部門領(lǐng)導(dǎo)任命或批準(zhǔn)管理人員，制定文件以明確職責(zé)，劃分安全管理組織各個部門和職位的工作和技能要求，任命專職人員來管理安全性，同時加強與供應(yīng)商、安全公司和組織的合作和溝通網(wǎng)絡(luò)安全的最新發(fā)展。

2.安全和人事管理機構(gòu)。

安全管理系統(tǒng)機構(gòu)及其人員管理系統(tǒng)的建設(shè)情況將能夠在很大程度上決定整個安全管理系統(tǒng)構(gòu)建的結(jié)果。在安全和人事管理機構(gòu)中的相關(guān)網(wǎng)絡(luò)安全管理團隊小組可以由各個部門中的高級部門經(jīng)理和各種部門領(lǐng)導(dǎo)人員組成，并通過這個人員組成機構(gòu)負(fù)責(zé)協(xié)調(diào)和管理整個工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全防護體系的各個方面，其中主要包括人事機構(gòu)組成中的人才招聘、工作人員輪換、安全知識培訓(xùn)及教育管理等方面的內(nèi)容。

3.施工管理安全。

保護結(jié)構(gòu)的管理模式應(yīng)全面貫穿整個系統(tǒng)生命周期，其中主要包括：系統(tǒng)的評判及標(biāo)準(zhǔn)、構(gòu)建、系統(tǒng)全面性的安全評估和系統(tǒng)準(zhǔn)入注冊、系統(tǒng)防護安全計劃的科學(xué)制定、系統(tǒng)所用軟件的有效開發(fā)和實施策略、系統(tǒng)的開發(fā)及運行質(zhì)量驗收和測試以及服務(wù)提供商的選擇等。

4.安全運維管理。

基本上，他們管理安全性并管理機房環(huán)境，資產(chǎn)，多媒體，漏洞，網(wǎng)絡(luò)，惡意代碼，配置，密碼等的維護、變更、備份和恢復(fù)，安全事件處理，緊急計劃，運營和服務(wù)外包，安全評估，安全增強管理，安全培訓(xùn)等。

（2）安全技術(shù)體系

1. 安全通信網(wǎng)絡(luò)設(shè)計

（1）網(wǎng)絡(luò)架構(gòu)。較為重要的網(wǎng)絡(luò)設(shè)備和計算機系統(tǒng)中的硬件可以通過采用冗余方式的系統(tǒng)架構(gòu)，合理共享安全域，并在不同區(qū)域之間執(zhí)行安全隔離。

（2）通訊傳輸。在整個通信的整體過程中完整性和機密性主要的進行形式是通過加密的方式來實現(xiàn)。

（3）可靠的驗證。此選項是可以提供選擇的，可以由國產(chǎn)化、本地化的系統(tǒng)核心處理器、操作系統(tǒng)和數(shù)據(jù)庫來進行系統(tǒng)可靠性能的驗證工作。

2.安全區(qū)的邊界

（1）邊境保護。通過使用系統(tǒng)中的防火墻和工業(yè)控制器二者的相關(guān)功能就可實現(xiàn)系統(tǒng)中不同安全域之間的非法訪問和邏輯層次的系統(tǒng)隔離。通過實現(xiàn)網(wǎng)絡(luò)訪問設(shè)備的合理部署，可以控制非法訪問的系統(tǒng)狀態(tài)和非法終端覆蓋。在工業(yè)領(lǐng)域的無線網(wǎng)絡(luò)應(yīng)用模式中，通過有效地控制系統(tǒng)中的無線形式的接入點或是系統(tǒng)中無線連接端口的路由器上的終端配置設(shè)備中的上游端口（例如，訪問防火墻端口），并使用系統(tǒng)中的工業(yè)防火墻這一防護裝置作為系統(tǒng)安全隔絕的邊界，從邏輯上將它們與網(wǎng)絡(luò)覆蓋范圍中的其他不同區(qū)域順利隔離開來。

（2）訪問控制。在工業(yè)防火墻中設(shè)置ACL訪問控制，并根據(jù)源地址、目標(biāo)地址、工業(yè)控制協(xié)議、源端口和目標(biāo)數(shù)據(jù)包端口進行業(yè)務(wù)驗證，以確保數(shù)據(jù)安全傳輸。

（3）防止入侵。在工業(yè)網(wǎng)絡(luò)中繞過交換機，并使用監(jiān)視和控制設(shè)備來分析網(wǎng)絡(luò)上的實時數(shù)據(jù)流量。同時，黑名單和白名單規(guī)則庫用于實時監(jiān)視警報，以防止網(wǎng)絡(luò)攻擊和無效操作，對設(shè)備、蠕蟲、病毒和其他惡意程序的未授權(quán)訪問進行實時警報和記錄。

（4）惡意代碼。使用防病毒墻中嵌入的工業(yè)防病毒數(shù)據(jù)庫來檢測網(wǎng)絡(luò)流量中的木馬或是其他對系統(tǒng)造成威脅的病毒和惡意代碼，進行檢驗并及時阻止它們。

（5）安全審計。在網(wǎng)絡(luò)的核心中部署了用于運行和維護的堡壘機器，維護和服務(wù)人員記錄了運行情況，在設(shè)備的遠(yuǎn)程運行和維護過程中進行了分析和審計，從而為以后的工作提供了追溯依據(jù)。同時，使用設(shè)備白名單中的自學(xué)習(xí)機制進行監(jiān)視和審計，以審計和報告異常通信行為。

5 結(jié)語

通過分析工業(yè)控制系統(tǒng)的安全狀態(tài)，并結(jié)合等級保護標(biāo)準(zhǔn)2.0的一般要求和擴展工業(yè)控制系統(tǒng)的要求，基于等級保護標(biāo)準(zhǔn)2.0（即中心3）開發(fā)了工業(yè)網(wǎng)絡(luò)安全保護系統(tǒng)。正在構(gòu)建深度防御系統(tǒng)，它建立了三個主要的安全系統(tǒng)，即安全管理系統(tǒng)，安全技術(shù)系統(tǒng)和運維安全系統(tǒng)，是工業(yè)控制系統(tǒng)的網(wǎng)絡(luò)安全。

[1]趙峰，馬躍強.基于等保2.0工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全技術(shù)防護方案的設(shè)計[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2020（05）：109-111.

[2]郭樂.網(wǎng)絡(luò)安全等級保護2.0體系下的法院網(wǎng)絡(luò)安全管理及應(yīng)對[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2020（05）：136-137.

[3]郭樂.基于網(wǎng)絡(luò)安全等級保護2.0版本的法院信息安全存在的隱患及要求[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2020（04）：150-151.

[4]王紅崗.工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全分析與管理策略探究[J].化工管理，2020（11）：93-94.