導(dǎo)航：安全管理網(wǎng)>> 安全論文>> 綜合安全論文>>正文

工業(yè)控制系統(tǒng)信息安全測試與防護技術(shù)趨勢

文檔作者：萬明文檔來源：中科院網(wǎng)絡(luò)與控制系統(tǒng)重點實驗室中國科學(xué)院沈陽自動化研究所		點擊數(shù)：	更新時間： 2021年07月12日
下載地址：點擊這里	文件大?。?1.31 MB 共4頁	文檔格式： PDF	下載點數(shù)： 1 點（VIP免費）

全屏查看

內(nèi)容預(yù)覽 [文件共4頁]

本文件共4頁，如需編輯使用，請下載。

注：預(yù)覽效果可能會出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大小：1.31 MB 共4頁文件格式：PDF 下載點數(shù)：1 點（VIP會員免費）

下一篇：安全軟件驗證與確認中的單元模塊測試技術(shù)

上一篇：故障模型驅(qū)動的軟件安全性測試研究

文本預(yù)覽

僅提取頁面文字內(nèi)容，供快速閱讀使用。

Column
工業(yè)控制系統(tǒng)信息安全
中科院網(wǎng)絡(luò)與控制系統(tǒng)重點實驗室中國科學(xué)院沈陽自動化研究所萬明
工業(yè)控制系統(tǒng)信息安全
測試與防護技術(shù)趨勢
1工業(yè)控制系統(tǒng)的脆弱性
工業(yè)控制系統(tǒng)的漏洞主要包括5個方面,如下:
由于工業(yè)控制系統(tǒng)正向復(fù)雜化、IT化和通用化趨勢發(fā)展,基
(1)通信協(xié)議漏洞
于PC+Windows的工業(yè)控制網(wǎng)絡(luò)面臨安全挑戰(zhàn),這些年不僅國外
 papit
兩化融合和物聯(lián)網(wǎng)的發(fā)展使得 TCPIP協(xié)議等通用協(xié)議越來越
發(fā)生了一些安全事件,同時國內(nèi)也暴露出了一系列的工業(yè)控制系廣泛地應(yīng)用在工業(yè)控制網(wǎng)絡(luò)中,隨之而來的通信協(xié)議漏洞問題也
統(tǒng)信息安全的問題。比如2010年齊魯石化、201年大慶石化煉油日益突出
廠,某裝置控制系統(tǒng)分別感染 Conficker病毒,都造成控制系統(tǒng)服
(2)操作系統(tǒng)漏洞
務(wù)器與控制器通訊不同程度的中斷
目前大多數(shù)工業(yè)控制系統(tǒng)的工程師站/操作站/HMI都是
IC-Ct安全報告指出“近三年針對工業(yè)控制系統(tǒng)的安全 Windows平臺的,通常現(xiàn)場工程師在系統(tǒng)開啟后不會對 windows平
事件呈明顯上升趨勢,僅2013年度,針對關(guān)鍵基礎(chǔ)設(shè)施的攻擊臺安全任何補丁,埋下了安全隱患。
報告已達到257起?！敝饕性谀茉础㈥P(guān)鍵制造業(yè)、交通、通
(3)應(yīng)用軟件漏洞
信、水利、核能等領(lǐng)域,而能源行業(yè)的安全事故則超過了一半
由于應(yīng)用軟件多種多樣,很難形成統(tǒng)一的防護規(guī)范以應(yīng)對
如圖1所示
全問題,另外當(dāng)應(yīng)用軟件面向網(wǎng)絡(luò)應(yīng)用時,就必須開放其應(yīng)
 Postal&amp;amp; Shipping.2
口,是重要的攻擊途徑。
(4)安全策略和管理流程漏洞
 Watar,8
追求可用性而犧牲安全性,是很多工業(yè)控制系統(tǒng)存在的普遍
 InfoTech,
現(xiàn)象,缺乏完整有效的安全策略與管理流程也給工業(yè)控制系統(tǒng)信
息安全帶來一定的威脅。
(5)殺毒軟件漏洞
 Energy.111,53%
為了保證工控應(yīng)用軟件的可用性,許多工控系統(tǒng)操作站通
常不會安裝殺毒軟件,即使安裝了殺毒軟件,病毒庫也不會定
期更新。
圖近三年各領(lǐng)域發(fā)生工業(yè)控制系統(tǒng)的安全事件比例
2工業(yè)控制系統(tǒng)的安全需求
我們認為,歸根結(jié)底就是工業(yè)控制系統(tǒng)的漏洞問題,截止到
表給出了工控系統(tǒng)與傳統(tǒng)系統(tǒng)的不
2013年12月底,公開的工業(yè)控制系統(tǒng)漏洞數(shù)總體仍呈增長趨勢
表1所示的這些不同,導(dǎo)致了工控安全與傳統(tǒng)1T安全的差
2010年6月出 Stuxnet現(xiàn)的病毒,是世界上首個專門針對工業(yè)控制異,傳統(tǒng)IT安全更注重機密性,其次是完整性,之后是可用性,
系統(tǒng)編寫的席卷全球工業(yè)界破壞性病毒,它同時利用7個最新漏洞
個
但是工控系統(tǒng)的安全,則是可用性排在第一位,接下來是完整
進行攻擊。這7個漏洞中,有5個是針對 windows系統(tǒng),2個是針對
性,最后才是機密性。所以,傳統(tǒng)網(wǎng)絡(luò)安全技術(shù)不適于應(yīng)用到工
西門子 SIMATIC WinCC系統(tǒng)
業(yè)控制系統(tǒng)。
68
表工控系統(tǒng)與傳統(tǒng)T系統(tǒng)對比業(yè)控制系統(tǒng)的安全測試技術(shù)。針對 SCADA、ICS系統(tǒng)自身脆弱性
(漏洞)和通信規(guī)約的安全性,研究工業(yè)控制系統(tǒng)的安全測試技
對比項
工業(yè)控制系統(tǒng)CS
傳統(tǒng)系統(tǒng)
術(shù),分析工業(yè)控制系統(tǒng)中已知的與未知的安全威脅,指導(dǎo)其對安
體系結(jié)構(gòu)主要由傳感器pLC,RT、Ds、通過互聯(lián)網(wǎng)協(xié)議組成的計算全威脅進行有效的防御
3.2工控系統(tǒng)安全測試技術(shù)已成為重要的發(fā)展方向
廣泛使用嵌式系統(tǒng) Vx Works通用操作系統(tǒng)如windows
操作系統(tǒng) uCLinux, winCE等,并根據(jù)功能及
3.2.1美國SCADA能源部測試平臺計劃(2008-2013)
 linuxUNX等,功能強大
了建 eScADA測試平
美國能源部自2008年就開始了搭建 SCADA測試平臺計劃
專用的通信協(xié)議或規(guī)約(OC
數(shù)據(jù)交換 Modbus TCP、DNP3等),一般直接TCP/P協(xié)議
協(xié)議使用或作為的應(yīng)
(2008-2013),通過聯(lián)合其下屬daho等6個國家實驗室的技術(shù)力
的應(yīng)用層
量,提供各種工業(yè)控制系統(tǒng)的真實測試環(huán)境,實現(xiàn)對石油、電力
系統(tǒng)實時性實時性要求高,不能停機或重啟實時性要求不高,允許傳輸?shù)刃袠I(yè)控制系統(tǒng)的安全測評
延遲,可停機或重啟
美國能源部 SCADA測試平臺計劃中主要包括4個典型測試平
系統(tǒng)升級兼容性差、軟硬件升級困難
兼容性好、軟件升級頻繁
臺,如下。
(1)SCADA/控制系統(tǒng)測試平臺
美國國土安全部下屬的ICS-CERT(工業(yè)控制系統(tǒng)應(yīng)急響應(yīng)小
(2)信息安全測試平臺;
組)及CSSP(控制系統(tǒng)安全項目)通過對工業(yè)控制系統(tǒng)軟件的缺
(3)電網(wǎng)測試平臺
陷性分析發(fā)現(xiàn),工業(yè)控制系統(tǒng)軟件的安全脆弱性問題主要涉及錯
(4)無線技術(shù)測試平臺
誤輸入驗證、密碼管理、越權(quán)訪問、不適當(dāng)?shù)恼J證、系統(tǒng)配置等
圖3所示是一個 SCADA/控制系統(tǒng)測試平臺實例
方面
典型工控系統(tǒng)的安全問題,如圖2所示
系統(tǒng)及軟件的性,易被黑客利
用,無及時發(fā)現(xiàn)存在的系統(tǒng)
網(wǎng)絡(luò)模擬
工業(yè)控制系統(tǒng)的安全試技術(shù)
③人機界
①控制模擬
控制節(jié)點無路護能力,容易被
入控制:控制網(wǎng)絡(luò)明文傳輸數(shù)品
被改
④攻擊模擬
工業(yè)控制系統(tǒng)的安全護技術(shù)
圖3 SCADA/控制系統(tǒng)測試平臺
核心信絡(luò)認證授權(quán)加
無訪問控制能力,容易受宜攻
3.2.2歐洲 SCADA安全測試平臺
歐洲也搭建了 SCADA安全測試平臺,主要特點如下:
圖2典型工控系統(tǒng)的安全問題
(1)采用現(xiàn)場系統(tǒng)的滲透測試,建立風(fēng)險分析方法,測
試、評估 SCADA系統(tǒng)的安全性;
3工業(yè)控制系統(tǒng)的安全測試技術(shù)趨勢
(2)對于Computer Emergency Response Team(CET)發(fā)布的
3.1工業(yè)控制系統(tǒng)的特點
 SCADA安全信息能夠快速處理,以保護世界各地的運行系統(tǒng)
(1)封閉性: SCADA、ICS系統(tǒng)的設(shè)計之初安全機制不
(3)具有高度重構(gòu),與其它 SCADA系統(tǒng)安全、遠距離通信
完善;
連接,構(gòu)建先進的分布式測試環(huán)境。
(2)多樣性:多種數(shù)據(jù)接口(如R45、RS485、RS232等),3.2.3學(xué)術(shù)界工控系統(tǒng)安全測試技術(shù)研究
協(xié)議規(guī)約實現(xiàn)多樣
國外學(xué)者致力于搭建 SCADA系統(tǒng)真實測試環(huán)境,模擬攻擊行
(3)復(fù)雜性:專用的通信協(xié)議或規(guī)約(如opc、 Modbus為,通過仿真和建模分析CADA系統(tǒng)的安全性
dnp3 Profibus等)
國際知名工業(yè)安全測試公司相關(guān)產(chǎn)品和解決方案如下
(4)不可改變性:工控系統(tǒng)程序升級困難
(1)加拿大WurldtechAchilles的測試工具采用漏洞掃描和
傳統(tǒng)IT安全測試技術(shù)不適合工業(yè)控制系統(tǒng),所以急需針對工模糊測試的方法,測試工控系統(tǒng)中設(shè)備和軟件的安全問題:
69
 Column
工業(yè)控制系統(tǒng)信息安全
(2)加拿大的 Sandbox測試平臺采用滲透測試的方法,
運用模糊測試的原理,設(shè)計變異測試用例并構(gòu)造變異報
通過模擬真實的網(wǎng)絡(luò)攻擊,測試 SCADA系統(tǒng)中關(guān)鍵基礎(chǔ)設(shè)施的脆文,檢查工控協(xié)議實現(xiàn)的缺陷。
弱性;
構(gòu)建完整、可擴展的動態(tài)隨機分析測試框架,監(jiān)控測
(3)芬蘭科諾康Codenomicon Defensics工控健壯性安全性試目標(biāo),管理測試結(jié)果,并支持多目標(biāo)(如文件、網(wǎng)絡(luò)協(xié)議等
測試平臺,采用基于主動性安全漏洞挖掘的健壯性評估與管理方等)、多種協(xié)議(Modbus TCPNP3等不同類型的協(xié)議)
案,與 ISASecure合作,遵循EC62443標(biāo)準。
多線程(加速測試進度)
3.3工控系統(tǒng)安全測試的關(guān)鍵技術(shù)
(4)工業(yè)病毒行為特征提取與攻擊模擬技術(shù),如圖7所示
(1)構(gòu)建工控系統(tǒng)漏洞庫
數(shù)據(jù)挖掘智能認知工業(yè)病毒攻擊行為,實現(xiàn)工業(yè)病毒行
由于通信協(xié)議的特殊性,傳統(tǒng)漏洞庫并不適應(yīng)于工業(yè)控制系為判定,提取工業(yè)病毒行為特征
統(tǒng)安全測試領(lǐng)域,需要構(gòu)建工控系統(tǒng)專有漏洞庫。如圖4所示。
根據(jù)網(wǎng)絡(luò)流量情況、具體協(xié)議內(nèi)容、交互模式以及主機
或設(shè)備行為,檢測工控環(huán)境特種木馬等復(fù)雜攻擊
病毒行為判定
構(gòu)建病毒行為
特庫
智能認知數(shù)據(jù)挖掘
抽取
病毒行為分析
智能測試用例
特征智能提取引
生成引擎
↓模擬
漏洞描述
輸
樣本數(shù)據(jù)
實時數(shù)據(jù)
圖4漏洞數(shù)據(jù)庫
(2)基于工業(yè)漏洞庫的漏洞掃描技術(shù),如圖5所示
圖7工業(yè)病毒行為特征提取與攻擊模擬技術(shù)
依靠漏洞掃描引擎、檢測規(guī)則的自動匹配,通過工控系
統(tǒng)漏洞庫,掃描系統(tǒng)中的關(guān)鍵設(shè)備,檢測系統(tǒng)的脆弱性;
4工業(yè)控制系統(tǒng)的安全防護技術(shù)趨勢
支持 Modbus、DNP3、 Profinet等工業(yè)通信協(xié)議漏洞
保證工業(yè)控制系統(tǒng)安全穩(wěn)定運行,工業(yè)控制系統(tǒng)的安全防護
支持 ICMP Ping掃描、端口掃描等傳統(tǒng)掃描技術(shù)。
必須達到以下三個目標(biāo),如表2所示
表2工業(yè)控制系統(tǒng)的安全防護目標(biāo)
檢測規(guī)則庫
目標(biāo)
主要內(nèi)容
漏洞掃描引擎
通信可控能夠直觀觀察,監(jiān)控管理通信中數(shù)據(jù),僅保證工業(yè)控制專有協(xié)
掃描
可控數(shù)據(jù)通過即可,其他通信一律禁止
結(jié)果
區(qū)域隔離為防止局部控制網(wǎng)絡(luò)問題擴導(dǎo)致全局癱,在關(guān)鍵數(shù)據(jù)通道上
控制平臺
及時發(fā)現(xiàn)網(wǎng)絡(luò)中感染或其他問題,準確找出故障點,通過對報警
圖5基于工業(yè)漏洞庫的漏洞掃描技術(shù)報追蹤事件進行記錄,為故障分析提供依據(jù)
(3)面向工業(yè)控制協(xié)議的Fuzzing測試,如圖6所示。
4.1工業(yè)控制系統(tǒng)防火墻技術(shù)
防火墻是基于訪問控制技術(shù),它可以保障不同安全區(qū)域之
間進行安全通信,通過設(shè)置訪問控制規(guī)則,管理和控制出入不
樣本文件
同安全區(qū)域的信息流,保障資源在合法范圍內(nèi)得以有效使用和
目標(biāo)程序
分析數(shù)據(jù)管理。
目前傳統(tǒng)的IT防火墻都是根據(jù)“白名單”或者“黑名單”
圖6面向工業(yè)控 Fuzzing制協(xié)議的測試的方式進行規(guī)則設(shè)置,而工業(yè)防火墻大都是根據(jù)“白名單”設(shè)
 70 AU/ PANORAMA 20149
連接、收集、創(chuàng)建以及顯示KP數(shù)據(jù)和安燈消息遠程監(jiān)測和控制
 red Ion
實時性能監(jiān)測內(nèi)置網(wǎng)絡(luò)服務(wù)器和數(shù)據(jù)日志支持250多種協(xié)議轉(zhuǎn)換
 ProducTVity
幾分鐘之內(nèi),將任何電視改造成作業(yè)現(xiàn)場顯示屏。紅獅
安燈管理服務(wù)器
 ProducTVity Station T(安燈管理服務(wù)器PTV)是一款可
即刻部署的現(xiàn)場可視化管理系統(tǒng),能通過大的電視機屏實
時顯示關(guān)鍵績效指標(biāo)(KPI)數(shù)據(jù)以及安燈消息,以此提
即刻部署的可視化
高生產(chǎn)率。安燈管理服務(wù)器PTV允許您通過任何家用型
LCD/LED或等離子電視快速創(chuàng)建復(fù)雜的生產(chǎn)率看板,實
現(xiàn)實時可見性,從而大幅提升生產(chǎn)績效。
管理解決方案
連接、監(jiān)測、展示
下載
 ProducTVity安燈管理服務(wù)器手冊,
 dlion.net/PTVzh
4527
回
安燈管理服務(wù)器
創(chuàng)建KP數(shù)據(jù)和安燈信息概覽界面
作為自動化領(lǐng)域的知名品牌,紅獅現(xiàn)提供各種以太網(wǎng)和蜂窩
+86(21)-61133688 asiae
聯(lián)網(wǎng)解決方案,幾乎可以隨時隨地地連接、監(jiān)測和控制一切
置規(guī)則。對于“白名單”,可以設(shè)置允許規(guī)則,也就是說只有
(2)審計控制系統(tǒng)的配置和弱點
符合該規(guī)則的數(shù)據(jù)流才能通過,其它的任何數(shù)據(jù)流都可以被
(3)識別已知進攻模式;
看做攻擊而過濾掉,這樣就保障了資源的合法使用:而對于
(4)異?；顒拥慕y(tǒng)計分析
“黑名單”,可以設(shè)置禁止規(guī)則,禁止不合法的客戶端對資源
目前工業(yè)控制系統(tǒng)入侵檢測技術(shù)主要包括兩個方面,第一個
的訪問。
就是基于特征的入侵檢測,第二個是基于異常的侵檢測,目前
工業(yè)控制系統(tǒng)防火墻技術(shù)可以實現(xiàn)區(qū)域管控,劃分控制系這種方式大多數(shù)處于理論研究階段,如圖8所示
統(tǒng)安全區(qū)域,對安全區(qū)域?qū)崿F(xiàn)隔離保護,保護合法用戶訪問網(wǎng)
已知的常行
絡(luò)資源;
同時,可以對控制協(xié)議進行深度解析,可以解析 Modbus
DNP3等應(yīng)用層異常數(shù)據(jù)流量,并對OPC端口進行動態(tài)追蹤,對關(guān)
工控系統(tǒng)
入侵檢測
鍵寄存器和操作進行保護
方法理論
工業(yè)控制系統(tǒng)防火墻技術(shù)目前存在一個問題,就是規(guī)則粒度
問題( Modbus規(guī)則設(shè)置為例)。防火墻的規(guī)則設(shè)置應(yīng)該能夠支
機器學(xué)習(xí)的
持到具體數(shù)據(jù)字段的匹配,但是規(guī)則深度越深帶來防火墻的效率
問題。
圖8兩個主要的工業(yè)控制系統(tǒng)入侵檢測技術(shù)
42工業(yè)控制系統(tǒng)入侵檢測技術(shù)
目前工業(yè)控制系統(tǒng)入侵檢測技術(shù)的主要問題是,工業(yè)控制
工業(yè)控制系統(tǒng)入侵檢測技術(shù)是面向控制系統(tǒng)通信協(xié)議,系統(tǒng)以可用性為先,入侵檢測技術(shù)的漏報和誤報將難以商業(yè)化
根據(jù)控制異常行為模式庫,對控制系統(tǒng)網(wǎng)絡(luò)或主機進行異常應(yīng)用
監(jiān)測:
(本文整理自萬明在“第三屆工業(yè)控制系統(tǒng)信息安全峰會”
(1)監(jiān)視、分析控制終端行為活動
上的大會報告)
71

網(wǎng)友評論 more

綜合安全論文最新內(nèi)容

05-04