工業(yè)控制網(wǎng)絡(luò)安全的研究與應(yīng)用

◆房亮 蔡東東

工業(yè)控制網(wǎng)絡(luò)安全的研究與應(yīng)用

◆房亮1蔡東東2

（1.青海黃河上游水電開發(fā)有限責(zé)任公司 青海 810008；2.北京寶之谷農(nóng)業(yè)科技開發(fā)有限公司 北京 102213）

隨著我國信息化的快速發(fā)展以及與工業(yè)化的深度融合使得工業(yè)控制系統(tǒng)越來越多地采用信息技術(shù)和網(wǎng)絡(luò)通信技術(shù)來支撐業(yè)務(wù)系統(tǒng)的發(fā)展，由于業(yè)務(wù)對工業(yè)控制系統(tǒng)的高度依賴和較高的實(shí)時性要求，使得工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全正面臨著巨大的挑戰(zhàn)。本文以城市軌道交通信號系統(tǒng)（以下簡稱CBTC系統(tǒng)）的安全建設(shè)為例，結(jié)合CBTC相關(guān)業(yè)務(wù)從邊界防護(hù)、網(wǎng)絡(luò)流量審計以及建設(shè)統(tǒng)一綜合的安全監(jiān)測與管理平臺等方面，通過逐步遞進(jìn)來構(gòu)建工業(yè)控制系統(tǒng)的網(wǎng)絡(luò)安全解決方案。

工控；網(wǎng)絡(luò)安全；安全建設(shè)

1 前言

隨著工業(yè)化與信息化的快速發(fā)展以及云、大、物、智、移等新技術(shù)的逐步發(fā)展和深化實(shí)踐，制造業(yè)工業(yè)控制系統(tǒng)的應(yīng)用越來越多，隨之而來的網(wǎng)絡(luò)安全威脅的問題日益突出。特別是國家重點(diǎn)行業(yè)例如能源、水利、交通等的工業(yè)控制系統(tǒng)關(guān)系到一個國家經(jīng)濟(jì)命脈，工業(yè)控制系統(tǒng)網(wǎng)絡(luò)一旦出現(xiàn)特殊情況可能會引發(fā)直接的人員傷亡和財產(chǎn)損失。本文主要以軌道交通行業(yè)CBTC系統(tǒng)業(yè)務(wù)的安全建設(shè)為例介紹工業(yè)信息安全防護(hù)思路，系統(tǒng)闡述了工業(yè)信息安全的發(fā)展背景及重要性，以網(wǎng)絡(luò)安全法和工業(yè)基礎(chǔ)設(shè)施的相關(guān)法規(guī)和要求等為依據(jù)，并結(jié)合傳統(tǒng)工業(yè)控制系統(tǒng)的現(xiàn)狀，從技術(shù)設(shè)計和管理系統(tǒng)建設(shè)兩個方面來構(gòu)建工控系統(tǒng)網(wǎng)絡(luò)安全。

2 工業(yè)信息安全概述

2.1 工控網(wǎng)絡(luò)的特點(diǎn)

工業(yè)控制系統(tǒng)是指各種自動化組件、過程監(jiān)控組件共同構(gòu)成的以完成實(shí)時數(shù)據(jù)采集、工業(yè)生產(chǎn)流程監(jiān)測控制的管控系統(tǒng)，也可以說工業(yè)控制系統(tǒng)是控制技術(shù)（Control）、計算機(jī)技術(shù)（Computer）、通信技術(shù)（Communication）、圖形顯示技術(shù)（CRT）和網(wǎng)絡(luò)技術(shù)（Network）相結(jié)合的產(chǎn)物[1]。

工控系統(tǒng)網(wǎng)絡(luò)安全是指工業(yè)自動控制系統(tǒng)網(wǎng)絡(luò)安全，涉及眾多行業(yè)例如電力、水利、石油石化、航天、汽車制造等眾多工業(yè)領(lǐng)域，其中超過60%的涉及國計民生的關(guān)鍵基礎(chǔ)設(shè)施（如公路、軌道交通等）都依靠工控系統(tǒng)來實(shí)現(xiàn)自動化作業(yè)。

2.2 國內(nèi)外工業(yè)安全典型事件

眾所周知，工業(yè)控制系統(tǒng)是國家工業(yè)基礎(chǔ)設(shè)施的重要組成部分，近年來由于網(wǎng)絡(luò)技術(shù)的快速發(fā)展，使得工控系統(tǒng)正逐漸成為網(wǎng)絡(luò)戰(zhàn)的重點(diǎn)攻擊目標(biāo)，不斷涌現(xiàn)的安全事件也暴露出工控系統(tǒng)網(wǎng)絡(luò)安全正面臨著嚴(yán)峻的挑戰(zhàn)。

（1）美國列車信號燈宕機(jī)事件

2003年發(fā)生在美國佛羅里達(dá)州鐵路服務(wù)公司的計算機(jī)遭遇震網(wǎng)病毒感染，導(dǎo)致美國東部海岸的列車信號燈系統(tǒng)瞬間宕機(jī)，部分地區(qū)的高速環(huán)線停運(yùn)。這次事件主要是由于感染震網(wǎng)病毒引起的，而這種病毒常被用來定向攻擊基礎(chǔ)（能源）設(shè)施，比如國家電網(wǎng)、水壩、核電站等。

（2）烏克蘭電網(wǎng)攻擊事件

2015年，烏克蘭的首都和西部地區(qū)電網(wǎng)突發(fā)停電，調(diào)查發(fā)現(xiàn)這次事故是由于黑客攻擊造成的。黑客攻擊了多座變電站，在電力公司的主控電腦系統(tǒng)里植入了病毒致使系統(tǒng)癱瘓造成停電事故。

（3）舊金山輕軌系統(tǒng)遭勒索病毒攻擊事件

2016年，黑客攻擊美國舊金山輕軌系統(tǒng)，造成上千臺服務(wù)器和工作站感染勒索病毒，數(shù)據(jù)全部被加密，售票系統(tǒng)全面癱瘓。其實(shí)國內(nèi)也發(fā)生過很多工業(yè)控制系統(tǒng)里面的安全事件，主要也是因?yàn)楦腥纠账鞑《疽鸬?。勒索病毒感染了重要業(yè)務(wù)系統(tǒng)里面的一些工作站，例如在軌道交通行業(yè)里的典型系統(tǒng)：綜合監(jiān)控系統(tǒng)、通信系統(tǒng)和信號系統(tǒng)等，其中大部分是由于移動接入設(shè)備的不合規(guī)使用而帶來的風(fēng)險。

從以上事件可以看出，攻擊者要發(fā)動網(wǎng)絡(luò)攻擊只需發(fā)送一個普通的病毒就可以達(dá)到目的，隨著網(wǎng)絡(luò)攻擊事件的頻發(fā)和各種復(fù)雜病毒的出現(xiàn)，讓我們的工業(yè)系統(tǒng)安全以及公共利益、人民財產(chǎn)安全正遭受著嚴(yán)重的威脅。

2.3 工控安全參考標(biāo)準(zhǔn)、規(guī)范

作為國家基礎(chǔ)設(shè)施的工業(yè)控制系統(tǒng)，正面臨著來自網(wǎng)絡(luò)攻擊等的威脅，為此針對工控網(wǎng)絡(luò)安全，我國制定和發(fā)布了相關(guān)法律法規(guī)來指導(dǎo)網(wǎng)絡(luò)安全建設(shè)防護(hù)工作。其中有國家標(biāo)準(zhǔn)委在2016年10月發(fā)布的《工業(yè)通信網(wǎng)絡(luò)網(wǎng)絡(luò)和系統(tǒng)安全建立工業(yè)自動化和控制系統(tǒng)安全程序》《工業(yè)自動化和控制系統(tǒng)網(wǎng)絡(luò)安全可編程序控制器（PLC）第1部分：系統(tǒng)要求》等多項國家標(biāo)準(zhǔn)[2]。同年，工信部印發(fā)《工業(yè)控制系統(tǒng)信息安全防護(hù)指南》，該標(biāo)準(zhǔn)以當(dāng)前我國工業(yè)控制系統(tǒng)面臨的安全問題為出發(fā)點(diǎn)，分別從技術(shù)防護(hù)和管理設(shè)計兩方面來對工業(yè)控制系統(tǒng)的安全防護(hù)提出建設(shè)防護(hù)要求。2017年6月，《網(wǎng)絡(luò)安全法》開始實(shí)施，網(wǎng)安法從不同的網(wǎng)絡(luò)層次規(guī)定了網(wǎng)絡(luò)安全的檢測、評估以及防護(hù)和管理等要求，促進(jìn)了我國工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全的發(fā)展。

3 工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全分析

軌道交通信號系統(tǒng)（CBTC）是基于通信技術(shù)的列車控制系統(tǒng)，該系統(tǒng)依靠通信技術(shù)實(shí)現(xiàn)“車地通信”并且實(shí)時地傳遞“列車定位”信息[3]。目前CBTC安全建設(shè)存在以下問題：

（1）網(wǎng)絡(luò)邊界無隔離

隨著CBTC的集成度越來越高，各個子系統(tǒng)之間的聯(lián)系和數(shù)據(jù)通信也越來越密切，根據(jù)地域一般劃分為控制中心、車站、車輛段和停車場，根據(jù)業(yè)務(wù)又劃分為ATO、ATS、CI、DCS等多個子系統(tǒng)，各區(qū)域之間沒有做好訪問控制措施，缺失入侵防范和監(jiān)測的舉措。各個子系統(tǒng)之間一般都是互聯(lián)互通的，不同的子系統(tǒng)由于承載的業(yè)務(wù)的重要等級不同也是需要對其邊界進(jìn)行防護(hù)的，還有一些安全系統(tǒng)和非安全系統(tǒng)之間也都沒有做隔離。

（2）網(wǎng)絡(luò)異常查不到

針對CBTC系統(tǒng)的網(wǎng)絡(luò)入侵行為一般隱蔽性很強(qiáng)，沒有專門的設(shè)備去檢測的話很難發(fā)現(xiàn)入侵行為。出現(xiàn)安全事件后沒有審計記錄和追溯的手段，等下次攻擊發(fā)生依然沒有抵抗的能力。沒有對流量進(jìn)行實(shí)時監(jiān)測和記錄，不能及時發(fā)現(xiàn)高級持續(xù)威脅、不能有效應(yīng)對攻擊、不能及時發(fā)現(xiàn)各種異常操作。

（3）工作站、服務(wù)器無防護(hù)

CBTC系統(tǒng)工作站、服務(wù)器的大部分采用Windows系列的操作系統(tǒng)，還有一部分Linux系列的操作系統(tǒng)，系統(tǒng)建設(shè)之初基本不會對工作站和服務(wù)器的操作系統(tǒng)進(jìn)行升級，操作系統(tǒng)在使用過程中不斷暴露漏洞，而系統(tǒng)漏洞又無法得到及時的修復(fù)，這都會導(dǎo)致工作站和服務(wù)器面臨風(fēng)險。沒有在系統(tǒng)上線前關(guān)閉冗余系統(tǒng)服務(wù)，沒有加強(qiáng)系統(tǒng)的密碼策略。除此之外，運(yùn)維人員可以在調(diào)試過程中在操作站和服務(wù)器上安裝與業(yè)務(wù)無關(guān)的軟件，也可能會開啟操作系統(tǒng)的遠(yuǎn)程功能，上線后也不會關(guān)閉此功能，這些操作都會使得系統(tǒng)配置簡單，更容易受到攻擊。

目前在CBTC系統(tǒng)各個區(qū)域部分尚未部署桌管軟件和殺毒軟件，無法對USB等外接設(shè)備的接入行為進(jìn)行管控，隨意使用移動存儲介質(zhì)的現(xiàn)象非常普遍，這種行為極易將病毒、木馬等威脅帶入到生產(chǎn)系統(tǒng)中。

（4）運(yùn)維管理不完善

單位內(nèi)安全組織機(jī)構(gòu)人員職責(zé)不完善，缺乏專業(yè)的人員。沒有針對信號系統(tǒng)成立專門的安全管理部門，未明確相關(guān)業(yè)務(wù)部門的安全職責(zé)和職員的技能要求，也缺乏專業(yè)安全人才。未形成完整的網(wǎng)絡(luò)安全管理制度政策來規(guī)劃安全建設(shè)和設(shè)計工控系統(tǒng)安全需求。另外將工業(yè)控制系統(tǒng)的運(yùn)維工作外包給第三方人員后并無相關(guān)的審計和監(jiān)控措施，當(dāng)?shù)谌竭\(yùn)維人員進(jìn)行設(shè)備維護(hù)時，業(yè)務(wù)系統(tǒng)的運(yùn)營人員不能及時了解第三方運(yùn)維人員是否存在誤操作行為，一旦發(fā)生事故無法及時準(zhǔn)確定位問題原因、影響范圍和責(zé)任追究。

目前CBTC系統(tǒng)的網(wǎng)絡(luò)采用物理隔離，基本可以保證正常生產(chǎn)經(jīng)營。但是管理網(wǎng)接入工控系統(tǒng)網(wǎng)絡(luò)后，工控系統(tǒng)網(wǎng)絡(luò)內(nèi)部的安全防護(hù)措施無法有效抵御來自外部的攻擊和威脅，而且由于與管理網(wǎng)的數(shù)據(jù)安全交互必須在工控網(wǎng)絡(luò)邊界實(shí)現(xiàn)，因此做好邊界保護(hù)尤為重要。

4 工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全防護(hù)體系

工控系統(tǒng)信息化建設(shè)必須符合國家有關(guān)規(guī)定，從安全層面來看要符合國家級防護(hù)的相關(guān)要求，全面規(guī)劃設(shè)計網(wǎng)絡(luò)安全保障體系，使得工控體系符合相關(guān)安全標(biāo)準(zhǔn)，確保工控安全保障體系的廣度和深度。根據(jù)安全需求建立安全防護(hù)體系，通過管理和技術(shù)實(shí)現(xiàn)主被動安全相結(jié)合，有效提升了工控業(yè)務(wù)系統(tǒng)的安全防護(hù)能力。根據(jù)業(yè)務(wù)流量和業(yè)務(wù)功能特點(diǎn)以及工控系統(tǒng)網(wǎng)絡(luò)安全的基本要求來設(shè)計不同的項目技術(shù)方案，從技術(shù)角度來識別系統(tǒng)的安全風(fēng)險，依據(jù)系統(tǒng)架構(gòu)來設(shè)計安全加固措施，同時還要按照安全管理的相關(guān)要求建立完善的網(wǎng)絡(luò)安全管理制度體系，來確保整體業(yè)務(wù)系統(tǒng)的安全有效運(yùn)行。

4.1 邊界訪問控制

考慮到資產(chǎn)的價值、重要性、部署位置、系統(tǒng)功能、控制對象等要素，我們將軌道交通信號系統(tǒng)業(yè)務(wù)網(wǎng)絡(luò)劃分為多個子安全域，根據(jù)CBTC業(yè)務(wù)的重要性、實(shí)時性、關(guān)聯(lián)性、功能范圍、資產(chǎn)屬性以及對現(xiàn)場受控設(shè)備的影響程度等，將工控網(wǎng)絡(luò)劃分成不同的安全防護(hù)區(qū)域，所有業(yè)務(wù)子系統(tǒng)都必須置于相應(yīng)的安全區(qū)域內(nèi)。通過采取基于角色的身份鑒別、權(quán)限分配、訪問控制等安全措施來實(shí)現(xiàn)工業(yè)現(xiàn)場中的設(shè)備登錄控制、應(yīng)用服務(wù)資源訪問的身份認(rèn)證管理，使得只有獲得授權(quán)的用戶才能對現(xiàn)場設(shè)備進(jìn)行數(shù)據(jù)更新、參數(shù)設(shè)定，在控制設(shè)備及監(jiān)控設(shè)備上運(yùn)行程序、標(biāo)識相應(yīng)的數(shù)據(jù)集合等操作，防止未經(jīng)授權(quán)的修改或刪除等操作。

4.2 流量監(jiān)測與審計

網(wǎng)絡(luò)入侵檢測主要用于檢測網(wǎng)絡(luò)中的惡意探測和惡意攻擊行為，常見有網(wǎng)絡(luò)蠕蟲、間諜和木馬軟件、高級持續(xù)性威脅攻擊、口令暴力破解、緩沖區(qū)溢出等各種深度攻擊行為[4]?？梢岳寐┒磼呙柙O(shè)備掃描探測操作系統(tǒng)、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、應(yīng)用系統(tǒng)、中間件、數(shù)據(jù)庫等網(wǎng)絡(luò)資產(chǎn)和應(yīng)用，及時發(fā)現(xiàn)網(wǎng)絡(luò)中各種設(shè)備和應(yīng)用的安全漏洞，提出修復(fù)和整改建議來保障系統(tǒng)和設(shè)備自身的安全性。惡意代碼防護(hù)可以檢測、查殺和抵御各種病毒，如蠕蟲病毒、文件病毒等木馬或惡意軟件、灰色軟件等。通過安全配置核查設(shè)備來及時發(fā)現(xiàn)識別系統(tǒng)設(shè)備是否存在不合理的策略配置、系統(tǒng)配置、環(huán)境參數(shù)配置的問題。另外要加強(qiáng)安全審計管理，通常包括日常運(yùn)維操作安全審計、數(shù)據(jù)庫訪問審計以及所有設(shè)備和系統(tǒng)的日志審計，主要體現(xiàn)在對各類用戶的操作行為進(jìn)行審計和對重要安全事件進(jìn)行記錄和審計，審計日志的內(nèi)容需要包括事件發(fā)生的確切時間、用戶名稱、事件的類型、事件執(zhí)行情況說明等。

4.3 建立統(tǒng)一監(jiān)測管理平臺

根據(jù)等級保護(hù)制度要求規(guī)定，重要等級在第二級以上的信息系統(tǒng)需要在網(wǎng)絡(luò)中建立統(tǒng)一集中管理中心，通過統(tǒng)一安全管理平臺能夠?qū)W(wǎng)絡(luò)設(shè)備、安全設(shè)備、各類操作系統(tǒng)等的運(yùn)行狀況、安全日志、配置策略進(jìn)行集中監(jiān)測、采集、日志范化和歸并處理，平臺可以呈現(xiàn)CBTC系統(tǒng)中各類設(shè)備間的訪問關(guān)系，形成基于網(wǎng)絡(luò)訪問關(guān)系、業(yè)務(wù)操作指令的工業(yè)控制環(huán)境的行為白名單，從而可以及時識別和發(fā)現(xiàn)未定義的行為以及重要的業(yè)務(wù)操作指令的異常行為?？梢栽O(shè)置監(jiān)控指標(biāo)告警閾值，觸發(fā)告警并記錄，對各類報警和日志信息進(jìn)行關(guān)聯(lián)分析和預(yù)警通報。

4.4 編制網(wǎng)絡(luò)安全管理制度

設(shè)立安全專屬職能的管理部門和領(lǐng)導(dǎo)者及管理成員的崗位，制定總體安全方針，指明組織機(jī)構(gòu)的總體目標(biāo)和工作原則。對于安全管理成員的角色設(shè)計需按三權(quán)分立的原則來規(guī)劃并落實(shí)，必須配備專職的安全成員來指導(dǎo)和管理安全的各方面工作。

指派專人來制定安全管理制度，而且制度要經(jīng)過上層組織機(jī)構(gòu)評審和正式發(fā)布，保持對下發(fā)制度的定期評審和落實(shí)情況的核查。由專人來負(fù)責(zé)單位內(nèi)人員的招聘錄用工作，對人員的專業(yè)能力、背景及任職資格進(jìn)行審核和考察，人員錄用時需要跟被錄用人簽訂保密協(xié)議和崗位責(zé)任書。

編制完善的制度規(guī)范，編制范圍應(yīng)涵蓋信息系統(tǒng)在規(guī)劃和建設(shè)、安全定級與備案、方案設(shè)計、開發(fā)與實(shí)施、驗(yàn)收與測試以及完成系統(tǒng)交付的整個生命周期。針對不同系統(tǒng)建設(shè)階段分別編制軟件開發(fā)管理規(guī)范、代碼編寫規(guī)范、工程監(jiān)理制度、測試驗(yàn)收制度，在測試和交付階段記錄和收集各類表單、清單。

加強(qiáng)安全運(yùn)維建設(shè)，制定包含物理環(huán)境管理、資產(chǎn)管理、系統(tǒng)設(shè)備介質(zhì)管理以及漏洞風(fēng)險管理等方面的規(guī)范要求，對于機(jī)房等辦公區(qū)域的人員進(jìn)出、設(shè)備進(jìn)出進(jìn)行記錄和控制，建立資產(chǎn)管理制度規(guī)范系統(tǒng)資質(zhì)的管理與使用行為，保存相關(guān)的資產(chǎn)清單，對各種軟硬件資產(chǎn)做好定期維護(hù)，對資產(chǎn)采購、領(lǐng)用和發(fā)放制定嚴(yán)格的審批流程。針對漏洞做好風(fēng)險管理，針對發(fā)現(xiàn)的安全問題采取相關(guān)的應(yīng)對措施，形成書面記錄和總結(jié)報告。在第三方外包人員管理方面應(yīng)該與外包運(yùn)維服務(wù)商簽訂第三方運(yùn)維服務(wù)協(xié)議，協(xié)議中應(yīng)明確外包工作范圍和具體職責(zé)。

5 結(jié)束語

由于工控系統(tǒng)安全性能不高和頻繁爆發(fā)的網(wǎng)絡(luò)安全攻擊的趨勢，近年來我國將網(wǎng)絡(luò)安全建設(shè)提升到了國家安全戰(zhàn)略的高度，并且制定了相關(guān)的標(biāo)準(zhǔn)、政策、技術(shù)、程序等來積極應(yīng)對安全風(fēng)險，業(yè)務(wù)主管部門還應(yīng)進(jìn)一步強(qiáng)化網(wǎng)絡(luò)安全意識，開展網(wǎng)絡(luò)安全評估，制定網(wǎng)絡(luò)安全策略，提高工控網(wǎng)絡(luò)安全水平，確保業(yè)務(wù)的安全穩(wěn)定運(yùn)行。

[1]石勇，劉巍偉，劉博.工業(yè)控制系統(tǒng)（ICS）的安全研究[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2008（4）.

[2]李?。I(yè)控制系統(tǒng)信息安全管理措施研究[J].自動化與儀器儀表，2014（9）.

[3]魏勇軍．淺談工業(yè)控制系統(tǒng)信息安全防護(hù)的應(yīng)用[J]. 網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2014（8）.