工控安全从入门到实战 - 概述

工控安全从入门到实战 - 概述 一、工控系统概述 工业控制系统(Industrial Control Systems, ICS)是由各种自动化控制组件以及对实时数据进行采集、监测的过程控制组件共同构成的确保工业基础设施自动化运行、过程控制与监控的业务流程管控系统。 核心组件 SCADA (Supervisory Control and Data Acquisition): 数据采集与监控系统 DCS (Distributed Control Systems): 分布式控制系统 PLC (Programmable Logic Controller): 可编程控制器 RTU (Remote Terminal Unit): 远程终端 HMI (Human Machine Interface): 人机交互界面设备 二、工控网络与传统IT网络的区别 | 对比维度 | 工业控制网络 | 传统IT网络 | |---------|------------|-----------| | 网络边缘 | 含传感和控制功能的远动装置 | 通用计算机 | | 体系结构 | 纵向高度集成，主从关系 | 扁平的对等关系 | | 传输内容 | "四遥信息"(遥测、遥信、遥控、遥调) | 通用数据 | | 性能要求 | 实时性要求高 | 实时性要求较低 | | 生命周期 | 设备生命周期长(10-15年) | 设备更新快(3-5年) | | 可用性 | 高可用性要求(99.999%) | 一般可用性要求 | 三、工控系统网络安全特点 固有漏洞 : 厂商产品存在漏洞 协议设计缺乏安全性考虑(明文传输、缺乏认证、功能码滥用) 缺乏完善的信息安全管理规定 建设周期长 : 大型工业项目建设周期5-10年 系统调试到稳定需要很长时间 难以频繁升级 其他原因 : 两化融合带来的传统IT网络威胁 设备更新困难导致漏洞修补不及时 四、工控系统面临的脆弱性 4.1 产品漏洞 Emerson RS3漏洞 SIEMENS PLC漏洞 软硬件更新困难导致漏洞长期存在 4.2 协议缺陷 Modbus、IEC104、PROFINET等协议为追求实用性和时效性牺牲安全性 常见问题: 明文传输、缺乏认证、功能码滥用 4.3 OPC协议脆弱性 基于Windows平台，继承Windows漏洞 所有Client端使用相同用户名密码 数据无条件公开，易泄露 部分部署中MES和现场数据共用OPC数据库 五、行业工控安全问题分析 5.1 石化行业 使用通用Windows系统且不更新补丁 通信缺乏身份认证、加密等安全措施 OPC服务器缺乏动态端口识别 工程师站权限过大 网络端口未封闭，缺乏安全边界控制 外部运维无审计监管 5.2 先进制造业 系统默认口令问题 操作站易感染病毒 串口网口转换协议简单缺乏校验 NC代码等文件传输安全隐患 DNC服务器与办公网混用 第三方运维缺乏审计 5.3 电力行业 电网安全建设现状: 探索智能变电站信息安全防护 建立可信计算密码平台 智能电网面临用户设备暴露风险 IEC104规约应用混乱问题 发电系统风险: 控制系统无安全防护措施 全厂一体化建设增加风险 操作站使用未打补丁的通用系统 OPC问题突出 远程运维缺乏审计 六、共性安全问题 安全域划分不足 : 子系统间缺乏隔离 边界访问控制策略缺失 威胁无法控制在特定区域 主机安全防护不足 : 使用老旧Windows系统(NT4.0/2000/XP等) 不安装或运行杀毒软件 系统补丁更新不及时 移动存储介质管理缺失 通信协议安全问题 : 设计时只考虑实时性和可用性 缺乏认证、加密或授权措施 无线协议易受中间人攻击 Modbus/TCP、OPC Classic等采用明文传输 管理问题 : 安全保障制度和流程不完善 各阶段信息安全需求考虑不足 缺乏安全宣传和培训 人员安全意识不足 七、风险进入途径 两网连接风险 : 生产网与办公网相连 主控与辅助系统全连接 操作站风险 : 软件安装 U盘使用 人为误操作 远程运维风险 : 缺乏审计监管 数据泄露或病毒侵入 工业无线风险 : 轨道交通等行业尤为明显 八、总结与建议 工业控制系统网络是工业化与信息化融合的产物，我国工控领域的安全性问题突出，工控系统的复杂化、IT化和通用化加剧了系统安全隐患。建议： 推动适合我国国情的工控安全防护技术研究 提升企业工控系统综合保障能力 加强国家重要基础设施安全运行保障 参考资料 《工业控制网络安全技术与实践》姚羽,祝烈煌,武传坤 著 机械工业出版社 工控系统信息安全-自动化博览2016/5 刘德莉. 构建工业信息安全屏障 助力航天企业快速发展[ N ]. 中国航天报,2019-02-28(003)