导航：安全管理网>> 安全论文>> 综合安全论文>>正文

工业控制系统信息安全测试与防护技术趋势

文档作者：万明文档来源：中科院网络与控制系统重点实验室中国科学院沈阳自动化研究所		点击数：	更新时间： 2021年07月12日
下载地址：点击这里	文件大小： 1.31 MB 共4页	文档格式： PDF	下载点数： 1 点（VIP免费）

全屏查看

内容预览 [文件共4页]

本文件共4页，如需编辑使用，请下载。

注：预览效果可能会出现部分文字乱码（如口口口）、内容显示不全等问题，下载是正常的。

	文件大小：1.31 MB 共4页文件格式：PDF 下载点数：1 点（VIP会员免费）

下一篇：安全软件验证与确认中的单元模块测试技术

上一篇：故障模型驱动的软件安全性测试研究

文本预览

仅提取页面文字内容，供快速阅读使用。

Column
工业控制系统信息安全
中科院网络与控制系统重点实验室中国科学院沈阳自动化研究所万明
工业控制系统信息安全
测试与防护技术趋势
1工业控制系统的脆弱性
工业控制系统的漏洞主要包括5个方面,如下:
由于工业控制系统正向复杂化、IT化和通用化趋势发展,基
(1)通信协议漏洞
于PC+Windows的工业控制网络面临安全挑战,这些年不仅国外
 papit
两化融合和物联网的发展使得 TCPIP协议等通用协议越来越
发生了一些安全事件,同时国内也暴露出了一系列的工业控制系广泛地应用在工业控制网络中,随之而来的通信协议漏洞问题也
统信息安全的问题。比如2010年齐鲁石化、201年大庆石化炼油日益突出
厂,某装置控制系统分别感染 Conficker病毒,都造成控制系统服
(2)操作系统漏洞
务器与控制器通讯不同程度的中断
目前大多数工业控制系统的工程师站/操作站/HMI都是
IC-Ct安全报告指出“近三年针对工业控制系统的安全 Windows平台的,通常现场工程师在系统开启后不会对 windows平
事件呈明显上升趋势,仅2013年度,针对关键基础设施的攻击台安全任何补丁,埋下了安全隐患。
报告已达到257起。”主要集中在能源、关键制造业、交通、通
(3)应用软件漏洞
信、水利、核能等领域,而能源必威体育官方网站
的安全事故则超过了一半
由于应用软件多种多样,很难形成统一的防护规范以应对
如图1所示
全问题,另外当应用软件面向网络应用时,就必须开放其应
 Postal&amp;amp; Shipping.2
口,是重要的攻击途径。
(4)安全策略和管理流程漏洞
 Watar,8
追求可用性而牺牲安全性,是很多工业控制系统存在的普遍
 InfoTech,
现象,缺乏完整有效的安全策略与管理流程也给工业控制系统信
息安全带来一定的威胁。
(5)杀毒软件漏洞
 Energy.111,53%
为了保证工控应用软件的可用性,许多工控系统操作站通
常不会安装杀毒软件,即使安装了杀毒软件,病毒库也不会定
期更新。
图近三年各领域发生工业控制系统的安全事件比例
2工业控制系统的安全需求
我们认为,归根结底就是工业控制系统的漏洞问题,截止到
表给出了工控系统与传统系统的不
2013年12月底,公开的工业控制系统漏洞数总体仍呈增长趋势
表1所示的这些不同,导致了工控安全与传统1T安全的差
2010年6月出 Stuxnet现的病毒,是世界上首个专门针对工业控制异,传统IT安全更注重机密性,其次是完整性,之后是可用性,
系统编写的席卷全球工业界破坏性病毒,它同时利用7个最新漏洞
个
但是工控系统的安全,则是可用性排在第一位,接下来是完整
进行攻击。这7个漏洞中,有5个是针对 windows系统,2个是针对
性,最后才是机密性。所以,传统网络安全技术不适于应用到工
西门子 SIMATIC WinCC系统
业控制系统。
68
表工控系统与传统T系统对比业控制系统的安全测试技术。针对 SCADA、ICS系统自身脆弱性
(漏洞)和通信规约的安全性,研究工业控制系统的安全测试技
对比项
工业控制系统CS
传统系统
术,分析工业控制系统中已知的与未知的安全威胁,指导其对安
体系结构主要由传感器pLC,RT、Ds、通过互联网协议组成的计算全威胁进行有效的防御
3.2工控系统安全测试技术已成为重要的发展方向
广泛使用嵌式系统 Vx Works通用操作系统如windows
操作系统 uCLinux, winCE等,并根据功能及
3.2.1美国SCADA能源部测试平台计划(2008-2013)
 linuxUNX等,功能强大
了建 eScADA测试平
美国能源部自2008年就开始了搭建 SCADA测试平台计划
专用的通信协议或规约(OC
数据交换 Modbus TCP、DNP3等),一般直接TCP/P协议
协议使用或作为的应
(2008-2013),通过联合其下属daho等6个国家实验室的技术力
的应用层
量,提供各种工业控制系统的真实测试环境,实现对石油、电力
系统实时性实时性要求高,不能停机或重启实时性要求不高,允许传输等必威体育官方网站
控制系统的安全测评
延迟,可停机或重启
美国能源部 SCADA测试平台计划中主要包括4个典型测试平
系统升级兼容性差、软硬件升级困难
兼容性好、软件升级频繁
台,如下。
(1)SCADA/控制系统测试平台
美国国土安全部下属的ICS-CERT(工业控制系统应急响应小
(2)信息安全测试平台;
组)及CSSP(控制系统安全项目)通过对工业控制系统软件的缺
(3)电网测试平台
陷性分析发现,工业控制系统软件的安全脆弱性问题主要涉及错
(4)无线技术测试平台
误输入验证、密码管理、越权访问、不适当的认证、系统配置等
图3所示是一个 SCADA/控制系统测试平台实例
方面
典型工控系统的安全问题,如图2所示
系统及软件的性,易被黑客利
用,无及时发现存在的系统
网络模拟
工业控制系统的安全试技术
③人机界
①控制模拟
控制节点无路护能力,容易被
入控制:控制网络明文传输数品
被改
④攻击模拟
工业控制系统的安全护技术
图3 SCADA/控制系统测试平台
核心信络认证授权加
无访问控制能力,容易受宜攻
3.2.2欧洲 SCADA安全测试平台
欧洲也搭建了 SCADA安全测试平台,主要特点如下:
图2典型工控系统的安全问题
(1)采用现场系统的渗透测试,建立风险分析方法,测
试、评估 SCADA系统的安全性;
3工业控制系统的安全测试技术趋势
(2)对于Computer Emergency Response Team(CET)发布的
3.1工业控制系统的特点
 SCADA安全信息能够快速处理,以保护世界各地的运行系统
(1)封闭性: SCADA、ICS系统的设计之初安全机制不
(3)具有高度重构,与其它 SCADA系统安全、远距离通信
完善;
连接,构建先进的分布式测试环境。
(2)多样性:多种数据接口(如R45、RS485、RS232等),3.2.3学术界工控系统安全测试技术研究
协议规约实现多样
国外学者致力于搭建 SCADA系统真实测试环境,模拟攻击行
(3)复杂性:专用的通信协议或规约(如opc、 Modbus为,通过仿真和建模分析CADA系统的安全性
dnp3 Profibus等)
国际知名工业安全测试公司相关产品和解决方案如下
(4)不可改变性:工控系统程序升级困难
(1)加拿大WurldtechAchilles的测试工具采用漏洞扫描和
传统IT安全测试技术不适合工业控制系统,所以急需针对工模糊测试的方法,测试工控系统中设备和软件的安全问题:
69
 Column
工业控制系统信息安全
(2)加拿大的 Sandbox测试平台采用渗透测试的方法,
运用模糊测试的原理,设计变异测试用例并构造变异报
通过模拟真实的网络攻击,测试 SCADA系统中关键基础设施的脆文,检查工控协议实现的缺陷。
弱性;
构建完整、可扩展的动态随机分析测试框架,监控测
(3)芬兰科诺康Codenomicon Defensics工控健壮性安全性试目标,管理测试结果,并支持多目标(如文件、网络协议等
测试平台,采用基于主动性安全漏洞挖掘的健壮性评估与管理方等)、多种协议(Modbus TCPNP3等不同类型的协议)
案,与 ISASecure合作,遵循EC62443标准。
多线程(加速测试进度)
3.3工控系统安全测试的关键技术
(4)工业病毒行为特征提取与攻击模拟技术,如图7所示
(1)构建工控系统漏洞库
数据挖掘智能认知工业病毒攻击行为,实现工业病毒行
由于通信协议的特殊性,传统漏洞库并不适应于工业控制系为判定,提取工业病毒行为特征
统安全测试领域,需要构建工控系统专有漏洞库。如图4所示。
根据网络流量情况、具体协议内容、交互模式以及主机
或设备行为,检测工控环境特种木马等复杂攻击
病毒行为判定
构建病毒行为
特库
智能认知数据挖掘
抽取
病毒行为分析
智能测试用例
特征智能提取引
生成引擎
↓模拟
漏洞描述
输
样本数据
实时数据
图4漏洞数据库
(2)基于工业漏洞库的漏洞扫描技术,如图5所示
图7工业病毒行为特征提取与攻击模拟技术
依靠漏洞扫描引擎、检测规则的自动匹配,通过工控系
统漏洞库,扫描系统中的关键设备,检测系统的脆弱性;
4工业控制系统的安全防护技术趋势
支持 Modbus、DNP3、 Profinet等工业通信协议漏洞
保证工业控制系统安全稳定运行,工业控制系统的安全防护
支持 ICMP Ping扫描、端口扫描等传统扫描技术。
必须达到以下三个目标,如表2所示
表2工业控制系统的安全防护目标
检测规则库
目标
主要内容
漏洞扫描引擎
通信可控能够直观观察,监控管理通信中数据,仅保证工业控制专有协
扫描
可控数据通过即可,其他通信一律禁止
结果
区域隔离为防止局部控制网络问题扩导致全局瘫,在关键数据通道上
控制平台
及时发现网络中感染或其他问题,准确找出故障点,通过对报警
图5基于工业漏洞库的漏洞扫描技术报追踪事件进行记录,为故障分析提供依据
(3)面向工业控制协议的Fuzzing测试,如图6所示。
4.1工业控制系统防火墙技术
防火墙是基于访问控制技术,它可以保障不同安全区域之
间进行安全通信,通过设置访问控制规则,管理和控制出入不
样本文件
同安全区域的信息流,保障资源在合法范围内得以有效使用和
目标程序
分析数据管理。
目前传统的IT防火墙都是根据“白名单”或者“黑名单”
图6面向工业控 Fuzzing制协议的测试的方式进行规则设置,而工业防火墙大都是根据“白名单”设
 70 AU/ PANORAMA 20149
连接、收集、创建以及显示KP数据和安灯消息远程监测和控制
 red Ion
实时性能监测内置网络服务器和数据日志支持250多种协议转换
 ProducTVity
几分钟之内,将任何电视改造成作业现场显示屏。红狮
安灯管理服务器
 ProducTVity Station T(安灯管理服务器PTV)是一款可
即刻部署的现场可视化管理系统,能通过大的电视机屏实
时显示关键绩效指标(KPI)数据以及安灯消息,以此提
即刻部署的可视化
高生产率。安灯管理服务器PTV允许您通过任何家用型
LCD/LED或等离子电视快速创建复杂的生产率看板,实
现实时可见性,从而大幅提升生产绩效。
管理解决方案
连接、监测、展示
下载
 ProducTVity安灯管理服务器手册,
 dlion.net/PTVzh
4527
回
安灯管理服务器
创建KP数据和安灯信息概览界面
作为自动化领域的知名品牌,红狮现提供各种以太网和蜂窝
+86(21)-61133688 asiae
联网解决方案,几乎可以随时随地地连接、监测和控制一切
置规则。对于“白名单”,可以设置允许规则,也就是说只有
(2)审计控制系统的配置和弱点
符合该规则的数据流才能通过,其它的任何数据流都可以被
(3)识别已知进攻模式;
看做攻击而过滤掉,这样就保障了资源的合法使用:而对于
(4)异常活动的统计分析
“黑名单”,可以设置禁止规则,禁止不合法的客户端对资源
目前工业控制系统入侵检测技术主要包括两个方面,第一个
的访问。
就是基于特征的入侵检测,第二个是基于异常的侵检测,目前
工业控制系统防火墙技术可以实现区域管控,划分控制系这种方式大多数处于理论研究阶段,如图8所示
统安全区域,对安全区域实现隔离保护,保护合法用户访问网
已知的常行
络资源;
同时,可以对控制协议进行深度解析,可以解析 Modbus
DNP3等应用层异常数据流量,并对OPC端口进行动态追踪,对关
工控系统
入侵检测
键寄存器和操作进行保护
方法理论
工业控制系统防火墙技术目前存在一个问题,就是规则粒度
问题( Modbus规则设置为例)。防火墙的规则设置应该能够支
机器学习的
持到具体数据字段的匹配,但是规则深度越深带来防火墙的效率
问题。
图8两个主要的工业控制系统入侵检测技术
42工业控制系统入侵检测技术
目前工业控制系统入侵检测技术的主要问题是,工业控制
工业控制系统入侵检测技术是面向控制系统通信协议,系统以可用性为先,入侵检测技术的漏报和误报将难以商业化
根据控制异常行为模式库,对控制系统网络或主机进行异常应用
监测:
(本文整理自万明在“第三届工业控制系统信息安全峰会”
(1)监视、分析控制终端行为活动
上的大会报告)
71

网友评论 more

综合安全论文最新内容

05-04