导航：安全管理网>> 安全管理>> 行业安全>> 电力安全>>正文

工业控制系统信息安全建设思路

文档作者：李光朋文档来源：北京力控华康科技有限公司		点击数：	更新时间： 2021年06月06日
下载地址：点击这里	文件大小： 1.66 MB 共3页	文档格式： PDF	下载点数： 0 点（VIP免费）

全屏查看

内容预览 [文件共3页]

本文件共3页，如需编辑使用，请下载。

注：预览效果可能会出现部分文字乱码（如口口口）、内容显示不全等问题，下载是正常的。

	文件大小：1.66 MB 共3页文件格式：PDF 下载点数： 0 点（VIP会员免费）

下一篇：工业控制系统信息安全解决方案

上一篇：换小转轮提高枯水期机组的安全与效率

文本预览

仅提取页面文字内容，供快速阅读使用。

Column
工业控制系统信息安全
北京力控华康科技有限公司李光朋
工业控制系统信息安全建设思路
摘要:随着我国两化融合和“互联网+”战略的推进,信息技术在工业企
类型控制系统的总称,包括监控和数据采集(SCADA)系统、
业的生产经营中的应用越来越广泛在大幅提升了生产效率的同时,一定分布式控制系统(DCS)和其它控制系统如可编程逻辑控制器
程度上也增加了企业安全生产管理的难度。由于原本相对独立的工业控制(PLC),远程终端(RTU),智能电子设备(ED)等,以及确
系统越来越多地与企业管理网互联互通,而企业的管理网络本身又是一个
保各组件通信的接口技术。工业控制系统普遍应用在电力、石油
开的络,这为信息的生产提供了
开放的网络,这为信息系统的安全威胁向生产系统扩散提供了便利条件。
天然气、自来水和污水处理、化工、交通运输、造纸等行业,是
同传统的企业信息系统不同,工业控制系统的信息安全直接影响到生产安工业基础设施能够正常运作的关键
全。本文对工业控制领域内所面临的安全威胁进行了分析,对工控系统
最初的工业控制系统采用专门的硬件和软件来运行专有的控
信息安全建设的思路进行了探讨
制协议,而且由于是孤立的系统,不太容易受到外部的攻击。随
关键词:工业控制系统:DCS SCADA;信息安全;纵深防御
着信息技术的发展,通用的计算机、操作系统(如 Windows)和
网络协议(TCP/IP)在工业控制系统中得到了广泛应用,大大增
加了网络安全漏洞和事故出现的可能。另外工业控制系统也开
1背景
始与企业管理网络、生产监控网络互联互通,而这些网络本身又
2015年7月14日,延续长达12年之久的伊朗核问题取得突破
具备相当的开放性,甚至存在与互联网的接口,这为信息系统的
性进展,伊朗与世界六个主要国家达成协议,同意长期限制其核安全威向生产系统扩散提供了便利条件可以说传统的T系
活动,以换取国际社会逐步解除对该国的多项制裁。这很容易让
统所面临的信息安全风险,在工业控制系统中都是存在的,并且
大家联想到2010年7月著名的“震网病毒”事件:据称是美国和以
工业控制系统直接同生产设备交互,决定了其安全性还存在自己
色列联合研发的 Stuxnet病毒攻击了伊朗核设施,导致其浓缩工
的特点。总体来说,工业控制系统的信息安全风险主要来自于以
厂五分之一的离心机报废,从而使得“伊朗核计划至少推迟了两
下几个方面
年多”。虽然我们不能将伊朗在核问题上的妥协直接归功于“震
(1)通用IT资产的漏洞和脆弱性。在工业控制系统中,通
网病毒”,但毫无疑问,针对核心工业系统的网络攻击已经成为用T技术得到了广泛的应用,比如标准的商用操作系统、中间件
有效打击敌对国家的手段,其效果甚至优于一场战争
和各种通用软件、以太网以及 TCPIP协议等等。因此,通用信息
“震网病毒”事件为之前相对沉闷的工业信息安全敲响了
系统的风险在工业控制系统中是普遍存在的。另外,由于工业控
警钟,开始让人们关注工业控制系统的安全问题。根据权威的工制系统只能接受很短的计划停机时间,往往发现了漏洞,也没有
业安全事件信息库RISI的统计,截至到2011年10月,全球已发生机会去对系统进行升级或安装补丁,这就导致了其漏洞和脆性
200余起针对工业控制系统的攻击事件,最近几年,诸如 Flame
的严重程度远大于一般的IT系统
 Havex Dragonfly等专门针对工业控制系统的渗透和攻击层出不
(2)来自网络互联的攻击和渗透。现在的工业控制系统已
穷。可以说,潘多拉的盒子已经被打开,原来相对封闭的工业控经不是个安全孤岛,而是同P、MES系统有着广泛的交互
制系统再也无法在互联网时代独善其身。
这使得从工业控制系统之外,甚至是互联网上发动攻击成为可
能。互联网上广泛存在的DDoS攻击、病毒和木马、网络嗅探和渗
2工业控制系统的信息安全风险分析
透等威胁,对日益开放的工业控制系统来说是一个巨大的威胁。
工业控制系统(Industrial Control Systems,Cs)是几种
(3)工业控制协议本身的安全缺陷。工业控制系统中存在比
62
较多的工业控制协议如 Modbus、OPC、 PROFIBUS/PROFINET
3风险评估先行
dN3iC60870-5-101/104等。绝大多数工控协议在设计之初,
孙子兵法云:“知己知彼,百战不殆”。在了解对手有哪
仅关注效率实时性和可靠性以满足工业生产的需求,而忽视了些手段之前,更重要的是要对自己的情况,尤其是弱点了然于
安全性的需求,缺少诸如认证、授权和加密等安全机制,这使得胸。在信息安全建设的过程中,了解自己弱点的过程,就是针
工业控制协议更容易遭受第三者的窃听及欺骗性攻击。
时信息资产的脆弱性及风险进行评估。所谓的风险评估(Risk
(4)来自第三方运维人员的风险,即使是在传统的T领 Assessment),就是量化测评某一事件或事物带来的影响或损失
域,第三方运维也产生了大量的安全风险,在工业控制系统内,的可能程度。从信息安全的角度来讲,风险评估是对信息资产所
这个问题就更严重了工业控制系统内的第三方运维体系本身更面临的威胁、存在的弱点、造成的影响,以及三者综合作用所带
复杂,包括IT设备运维、自动化设备运维、生产设备运维等;另
来风险的可能性的评估。信息安全风险评估是组织确定信息安全
外,工业企业针对运维行为,通常也缺乏足够的安全管理措施,需求的重要途径
比如身份认证、移动介质管控、运维行为审计等,这造成了目前
风险评估各要素的关系如图1所示。方框部分的内容为风险
工业控制系统中运维安全难以管控,出现问题难以追溯的局面。评估的基本要素,椭圆形部分的内容是与这些要素相关的属性
著名的“震网病毒”就是利用了自动化厂商的服务人员引入的。也是风险评估要素的一部分企业的业务战略是依赖于企业的资
除了上述风险,由于工业控制网络很难接受长时间的停机,产去完成的,资产的价值越高,所面临的风险就越大;而风险是
又导致了传统的IT安全技术措施和管理措施很难落地可以说工由于威胁而产生的,威胁则是利用了脆弱性,脆弱性越大,企业
业控制系统所面临的信息安全风险比传统T系统更复杂更多面临的威胁就越大,从而风险也就越大。风险评估实施的过程,
样、更严峻,防护能力又更加薄弱甚至缺失,这使得工业控制系就是对企业资产、脆弱性和威胁进行识别,通过安全措施来对抗
统的安全防护已经成为工业企业“两化融合”建设中的短板。
威胁,降低风险,从而确保资产的安全和企业业务战略的达成。
工业控制系统的信息安全不仅可能造成信息的丢失,还可能
业务战略
造成生产故障、人员损害及设备损坏,其直接财产的损失是巨大
依
的,甚至有可能引起环境问题和社会问题。也因此,工业控制系
统的安全也引起了国家的高度重视,并在政策、标准、技术、方
脆弱性资产有资产价值
案等方面展开了积极应对。2011年,工业和信息化部发布了《关
未满地
成
本
于加强工业控制系统信息安全管理的通知》,要求在关系国计民
威胁增加风险安全需求
生的重点领域内,加强对工业控制系统信息安全的管理。2012年6
抗击
4
被
月28号国务院《关于大力推进信息化发展和切实保障信息安全的
若干意见(国发[2012]23号)》中明确要求:保障工业控制系统
安全事件可能诱发残余风险未控制安全措施
安全;重点保障可能危及生命和公共财产安全的工业控制系统。
图1风险评估要素关系模型
在工业控制系统中实施信息安全风险评估,跟在T系统中的
3工业控制系统信息安全建设思路
做法有区别,而且往往更加复杂,这主要体现在:
根据上述分析,笔者认为在工业企业推进安全规划和安全
(1)工业控制系统的信息安全需求跟传统IT系统有区别。
建设时,既要借鉴通用IT系统信息安全保障的做法,又要充分考信息安全建设要实现三个目标,即信息的保密性、完整性和可用
虑到工业控制系统的特点。在安全规划阶段,首先应建立信息安性。在传统T系统中,通常将保密性放在首位,完整性次之,而
全风险评估机制,对工业控制系统的安全风险进行系统、全面分可用性则放在最后。而在工业控制系统中,这三个目标的优先级
析在安全方案设计阶段,可以借鉴传统IT系统安全分区和纵深顺序则正好相反。工业控制系统首先要考虑的是生产实时性和业
防御的成熟做法,选择适合工业控制系统的安全技术和产品;但务连续性,因此对控制系统本身的可用性最为关注,其次才是信
不论在哪个阶段,都要充分考虑工业控制系统的特殊性,坚持功息的完整性,保密性的实现通常是放在最后。在对工业控制系统
能安全和信息安全相结合的原则,保障生产任务的不间断运行。进行风险评估时,相关威胁、风险的权重需要进行适当的调整。
总结来说,就是“风险评估先行,安全分区奠基;功能安全结
(2)工业控制系统面临的威胁和脆弱性更复杂。正如之前
合,纵深防御完善”,下面进行详细阐述。
的分析,传统的T系统所面临的信息安全风险,在工业控制系统
63
工
 Column
工业控制系统信息安全
中都是存在的;而工业控制系统还存在它独特的风险利用工业系统风险根据不同安全域的安全等级要求,明确各区域的防护
应用程序、工业控制协议和工业控制设备存在的漏洞,结合传统重点,可以将有限的安全设备投人到最需要保护的资产,提高安
的操作系统漏、TCP/IP协议漏洞,攻击者可以构建更加隐蔽的全设备利用率。
攻击通道,这对风险评估方案的设计提出了极高的要求。
如图2所示,IEC62443系列标准是由Ic/tc65/wg与isa
(3)工业控制系统中的风险评估实施环境复杂工业控制系99共同制定的适用于工业自动化和控制领域的权威安全标准,其
统内的信息安全风险评估需要考虑工业现场的实际情况,不能影中EC62443-3在防护策略中引入了区域和管道的方法,这实际上
响正常的工业生产举例来说,传统的IT安全评估中常用的漏洞就是安全域的划分:通过横向分区,纵向分域,对控制系统的各
扫描,就可能会对工业控制系统的正常运行产生影响,因此只能个子系统进行分段管理区域之间的通信靠专用管道执行,通过
在非常特定的时间进行操作由于很多评估操作无法在实际环境
对管道的管理来阻挡区域之间的非法通信,保护网络区域和其中
中进行,甚至可能需要借助仿真环境、实验床环境来模拟进行
的设备
干指
目前用于指导信息安全风险评估的方法较多,大多数评估
 Enterprise
方法都是“自下而上”的,即从计算基础设施开始,过于强调技 Network
术点,而很少考虑组织的任务和业务目标的风险。根据工业
控制系统的特点,可采用 OCTAVE(Operationally Critical Threat
 Assert, Vulnerability Evaluation可操作的关键威胁、资产和薄弱点
评估方法)方法来指导工业企业的安全风险评估。 OCTAVE是美
国卡耐基梅隆大学软件工程研究所下属的CERT协调中心的研发
成果,用以定义一种系统的、组织范围内的评估信息安全风险的
方法。 OCTAVE方法着眼于组织本身并识别出组织所需要保护的
对象,明确它为什么存在风险,然后开发出技术和实践相结合的
解决方案。
 OCTAVE方法强调组织的参与,分析小组由本组织内部的人
员组成,并且领导整个评估活动。分析小组必须由来自不同学科
的人员组成,包括来自业务部门和信息技术部门的不同人员。右
工业控制系统领域,采用 OCTAVE方法的优势在于:
(1)熟悉工业生产工艺流程、自动化技术和信息技术的人
员协同工作,有利于风险评估工作的开展,并制定出符合工业控
图2IEC62443中的安全分区和管道通信
制系统实际情况的安全策略
在国内的工业控制领域,基于安全域理念的防护体系也已经
(2)调动现场工作人员参与风险评估,更有利于提升大家很成熟,这其中典型代表就是电力二次系统的安全防护体系。原
的信息安全意识和安全生产意识,巩固评估成果。
电监会颁布的《电力二次系统安全防护规定》中提出,电力二次
3.2安全分区奠基
系统安全防护工作应该坚持安全分区、专网专用、横向隔离、纵
安全风险评估完成之后,就可以根据评估结果制定工业控向认证的原则,保障电力监控系统和电力调度数据网络的安全,
制系统的安全解决方案。对业务网络进行安全分区或者安全域划如图3所示
分是常用的信息安全手段,也是企业建立纵深防御安全体系的基
在安全划分中,常用的安全技术包括防火墙、UTM、网
础。安全域指同一系统内有相同的安全保护需求相互信任,并闸等,但这些通用的安全技术无法针对工业控制协议进行深度
子网成
具有相同的安全访问控制和边界控制策略的子网或网络,且相同检测,比如对 Modbus,OPC、DNP3等协议字段级别的识别和防
的网络安全域共享一样的安全策略。通俗来说,安全域是指具有护在工业控制系统中,还需采用支持工业控制协议的专用安全
相同业务要求和安全要求的IT系统要素的集合。通过网络安全域产品来弥补通用安全技术的不足,实现对网络边界的完全保护
的划分,可以把复杂的大型网络系统安全问题转化为较小区域的
作为国内最早推出专业工控安全产品和安全服务的厂商,力
更为单纯的安全保护问题,从而更好地控制网络安全风险,降低
控华康的工业防火墙和工业网络安全防护网关是目前比较成熟的
64
生事故的最后一道防线。“震网病毒”就是典型的在破坏了信息
安全区
安全
安全之后又破坏功能安全的案例。“震网病毒”在侵入伊朗的铀
管理区
浓缩工厂后,最主要的动作是控制离心机的转速,通过提高其转
速而达到破坏离心机的效果。但是在离心机的转速不正常的情况
就起作
下,控制系统的“安全执行系统”就会起作用,强制停止离心机
生产
的运转,这样伊朗的技术人员就能够迅速的发现异常。只有“安
”
全执行系统”也被破坏或屏蔽,“震网病毒”才能够随意控制离
心机的转速,达到大面积破坏的目的。“震网病毒”成功控制了
伊朗工厂的“安全执行系统”,通过发送伪造的传感器数据来掩
安区1
安全区
安全
实时控制
(生产管理区)
(管信区)
盖其攻击行为,使得破坏可以不被发现地持续进行。
国际电工协会制定的IEC61508标准:《电气、电子、可编程
电子安全系统的功能安全》规范了满足安全相关系统功能安全的
图3电力二次系统的安全分区防护基本要求和规则,在EC61508基础之上,IEC又制订了一系列的
工业控制网络边界防护产品,在钢铁冶金、石油化工电力、市标准,其中IEC61511《过程工业安全仪表系统的功能安全》是关
政等领域有着广泛的应用。
于过程工业系统功能安全的主要国际标准,可用于实际工作中功
力控华康HC-ISG工业防火墙是国内首款专门应用于工业控能安全相关操作的指引
制安全领域的自主知识产权的防火墙产品,能有效针对 SCADA
“安全执行系统”是确保工业控制系统安全的重要一环。
DCS,PLC、RtU提供安全保护HC-IS支持对常见工业控制协同工业控制系统一样,现在的“安全执行系统也离不开信息技
议的识别,过滤和深度防御,可以对工业协议内部的指令、寄存术,例如出于安全监控等目的,安全仪表系统经常通过 TCPIP协
器等信息进行检查,防止应用层协议被改或破坏,保证工业协议同其他系统连接,增加了被攻击的风险。信息安全和功能安全
议通讯的可控性和准确性。
相结合,一方面指综合采用信息安全措施和功能安全措施来确保
力控华康PSL工业网络安全防护网关是一款安全隔离产品工业控制系统的安全,另一方面,也要采用信息安全措施来保护
用于解决工业控制系统接入信息网络时的安全问题PSL安全功能安全的“安全执行系统”。在工业控制系统内实施信息安全
防护网关采用“2+1”的安全隔离技术架构,阻断网络间直接的风险评估,不仅要评估控制系统的安全风险,还要评估“安全执
p/ip接,通过专有协议实现对OPC、 Modbus等业控制协议行系统”的安全风险,识别信息安全风险可能对功能安全带来的
的封装和安全的数据传输。
影响;在工业控制系统内实施信息安全策略,不仅要保护控制系
33功能安全结合
统本身,还要保护控制系统的“安全执行系统”,否则“行百里
工业控制领域的安全可分为三类,即功能安全(Function者半九”,容易出现安全短板
 Safety)、物理安全(Physical Safety)和信息安全(Information
3.4纵深防御完善
 Security)所谓的功能安全,是指工业控制系统中的控制器、执
在T系统的信息安全保障体系中,纵深防御是比较常见的一
行器出现失效或故障时,系统仍能保持安全条件或进入到一种安种安全保护模型。纵深防御是指综合利用安全分区、边界保护、
全状态,紧急停车防止事故发生。功能安全系统包括安全仪表系威胁检测、安全审计等多种安全手段,层层制定安全防护策略
统(s)、工业控制软件的功能安全部分等(对于确保功能安全确保核心业务系统的信息安全
的系统,我们在下文统称为“安全执行系统”),物理安全是减
工业控制系统很早就借鉴了T系统信息安全建设的思路。早
少由于点击、着火、辐射、机械危险、化学危险等因素造成的危在2009年,美国国土安全部发布了《利用纵深防御策略提升工业
害。这三方面的安全不是孤立而是相辅相成的物理安全出现问控制系统的网络安全性》指导文件,用于指导美国国内重要基础
题会影响到信息安全,信息安全出现问题也会影响到功能安全。设施和流程工业企业的工业控制系统安全实践图4是采用纵深防
由于工业控制系统的特殊性,黑客攻击的最终目标往往并不御体系的工业控制系统的网络结构。在这份指导性文件中,将工
是窃取信息,而是对生产过程进行破坏,甚至制造恶性事故。这业企业的网络划分为不同的保护区域,并将控制系统中对外提供
种情况下,“安全执行系统”是否能够正常运行就成为确保不发服务的设施进一步划分出不同的Mz区,对DMZ区的所有访问,
165
工
 Column
工业控制系统信息安全
施是远远不够的,经典安全理论中的防护技术(Protection)、检
测技术(Detection)和响应手段(Response)缺一不可。防护技
术(比如防火墙)提供一定时间的安全缓冲,而通过检测手段和
响应措施,可以弥补防护技术的不足。典型的检测手段包括:漏
洞扫描和修补、人侵检测、日志分析、网络行为审计、安全事件
管理等。
(3)需要建立安全管理策略和规范。安全是“三分技术、
七分管理”,一个完整的纵深防御体系,不能缺少安全管理和规
范的内容。相关统计数据显示,只有20%的数据破是公司外部
威胁导致,而80%的安全威胁是来自公司内部的,其中包括操作
 Safety
失误、故意破坏和知识缺乏等,针对这样的问题,企业内部信息
安全通报和响应机制的建立、针对员工安全意识的培训、制定工
控系统安全操作规范等,都是行之有效的措施。
图4采用了纵深防御体系的工业控制系统(美国国土安全部)
4总结
利用IT防火墙和PLC/现场级工业防火墙来提供足够强度的安全防
随着以太网和互联网技术在工业系统中的应用越来越广泛,
护,不允许绕过防火墙进行操作;并进一步通过部署入侵检测系
工业控制系统所面临的信息安全风险也越来越突出。信息安全保
统(D)、安全事件管理(SEM)来提供对网络威胁的识别和
障体系的设计是一项庞大的系统工程,尤其是考虑到在工业控制
告警,以弥补单纯防护手段的不足。
系统中应用时需要面对方方面面的问题。本文在分析工业控制系
2010年“震网病毒”事件之后,工业控制系统的安全性问题统安全风险及现有解决方案的基础上,提出了“风险评估先行
开始为大众所关注,各大控制系统厂商、工控安全厂商也纷纷推
安全分区奠基;功能安全结合,纵深防御完善”的工控信息安全
出了自己的安全解决方案。比如西门子提出的基于纵深防御理念建设思路。目前该思路已经在一些项目中得到应用,并取得了良
的工业控制系统保护模型,通过部署多层次的、具有不同针对性
好的效果。
的安全措施,来确保关键的工业自动化控制过程与应用的安全
同时,其针对整个工业信息安全的防护体系也分为工厂安全、工
参考文献:
 [I] IEC 62443 Industrial co
厂I安全和访问控制多个层级,层层保护,纵深加强。
 security(DRAFT[S].
在纵深防御的理念已经成为业界主流的情况下,对“纵深e61 08 Functional safety of electrical
的不同理解成为防护是否有效的关键在笔者看来,在工业控制
 safety related systems[$.
 [3] IEC 61511 Functional safety safety instrumented systems for the process
系统内真正有效的纵深防御体系应该具备以下特点:
 industry sector[S].
(1)对“症”下药而非生搬硬套。工业控制系统的使用场【4彭瑜过程工业控制系统及其软件的功能安全自动化博览2010
景有别于传统IT系统,不能将传统IT安全的一套照搬过来。比如
27(12)
 [5] Recommended Practice: Improving Industrial Control Systems Cybersecurity
在边界防护中,需要考虑工业控制系统对实时性的要求,选择有 with Defense-I-in- Depth Strategies Department of Homeland Security
足够性能支撑的防火墙。而在使用DS来进行威胁侦测时,如果.s2009
使用人员不具备对安全事件的分析和识别能力,那么DS繁的6卢折安全无止境解析工控系统中的功能安全与信息安全中国仪器
仪表,2013(2):29-32
事件上报将会是一种灾难。必须针对工业控制系统的使用环境,
调整并优化安全策略,使各种安全技术能够真正有效地发挥作
用
作者简介
(2)防护、检测技术和响应手段相结合,针对工业控制系
李光朋(1979-),男,汉族,山东潍坊人,硕士。现就职于北
统中的攻击一般都是高级可持续性威胁(APT),潜伏周期长,
京力控华康科技有限公司,任市场部经理,主要从事工业控制
攻击手段复杂。针对这种类型的威胁和攻击,采用单纯的防御措
系统信息安全的研究和推广工作。
66

网友评论 more

电力安全最新内容

04-18