工業(yè)控制系統(tǒng)信息安全-公司會議演講稿課件

1、劉怡欣2014-04-11 工業(yè)控制系統(tǒng)信息安全綱要III III工控系統(tǒng)介紹工控系統(tǒng)安全分析工控系統(tǒng)安全理念I(lǐng)V工控安全解決方案 V工控安全動態(tài)基本概念一信息安全(security)基本概念二工業(yè)控制系統(tǒng)(ICS)是綜合集成了計算機、網(wǎng)絡(luò)、現(xiàn)代通信，微電子以及自動化技術(shù)，是對多種控制系統(tǒng)的總稱，包括：可編程邏輯控制器(PLC)；監(jiān)控和數(shù)據(jù)采集(SCADA)系統(tǒng)；分布式控制系統(tǒng)（DCS)；ICS普遍應(yīng)用于電力、水處理、石油、天然氣、化工、交通運輸、制造業(yè)（煙草、汽車、食品等）?；靖拍疃删幊踢壿嬁刂破?PLC)；PLC單純的實現(xiàn)邏輯功能和控制，不提供人機界面，實現(xiàn)操作需借助與按鈕指示燈、HM

2、I以及SCADA系統(tǒng)，PLC實現(xiàn)單機及簡單控制。基本概念二監(jiān)控和數(shù)據(jù)采集(SCADA)系統(tǒng)SCADA是對分布距離遠，生產(chǎn)單位分散的生產(chǎn)系統(tǒng)的一種數(shù)據(jù)采集、監(jiān)視和控制系統(tǒng)，SCADA作為生產(chǎn)管理級上位監(jiān)控；基本概念二分布式控制系統(tǒng)（DCS)DCS兼具PLC和SCADA二者功能，但是基本上用在比較大的系統(tǒng)中和一些控制要求高的系統(tǒng)中，實現(xiàn)復(fù)雜控制；（Honeywell、和利時DCS）工業(yè)控制系統(tǒng)特點傳統(tǒng)工控安全的管理屬于生產(chǎn)單位和部門；操作人員缺乏應(yīng)對信息安全的警惕性和經(jīng)驗；工控系統(tǒng)中承載著一些需要保密的工藝數(shù)據(jù)；加強工控系統(tǒng)的物理安全，會達到事半功倍的效果；現(xiàn)場設(shè)備越來越多具備無線接入功能；工控系

3、統(tǒng)是國家重要的基礎(chǔ)設(shè)施，工控系統(tǒng)安全會影響到生命安全、重大財產(chǎn)損失以及產(chǎn)生環(huán)境問題。工業(yè)控制系統(tǒng)功能層次GB/T 20720企業(yè)控制系統(tǒng)集成IEC62264工業(yè)控制系統(tǒng)協(xié)議工業(yè)控制系統(tǒng)傳統(tǒng)IT部分工控部分硬件平臺終端、服務(wù)器IPC、工業(yè)交換機、工業(yè)環(huán)網(wǎng)、PLC、RS485、RS232、CANBus現(xiàn)場總線系統(tǒng)平臺通用系統(tǒng)（基本上都是基于windows XP、win7、win8、windows2003、windows2008）通用系統(tǒng)（基本上是基于windows XP、win7、windows2000、windows2003）通訊協(xié)議HTTP等通用協(xié)議工業(yè)協(xié)議如： OPC、RockwellAB

4、ControlNet、RSLogix OPCDDEGE Fanuc GE SRTP Quick Panel數(shù)據(jù)庫關(guān)系數(shù)據(jù)庫Oracle、SQL Server實時數(shù)據(jù)庫，Rockwell-RSSQLGE FANUC-iHistorian、PHD開發(fā)環(huán)境常見開發(fā)語言和工具C、java等組態(tài)軟件RSlogix、RSlinx、WINCC、STEP7、iFIX等應(yīng)用軟件IT應(yīng)用系統(tǒng)工業(yè)制造應(yīng)用系統(tǒng)綱要III III工控系統(tǒng)介紹工控系統(tǒng)安全分析工控系統(tǒng)安全理念I(lǐng)V工控安全解決方案 V工控安全動態(tài)Stuxnet震網(wǎng)病毒2010年7月震驚全球工業(yè)界世界上首個專門針對ICS編寫的病毒；伊朗核電站Stuxnet病

5、毒事件病毒特點：目標(biāo)明確，針對特定場景結(jié)構(gòu)復(fù)雜，隱藏、掩飾手段高明多種偽裝，盜用數(shù)字簽名，逃避查殺，同時利用多個0day漏洞，不惜代價；7個已知和未知漏洞，其中至少4個0day漏洞（其中五個windows系統(tǒng)漏洞和2個西門子SIMATIC WinCC漏洞）；修改PLC的程序邏輯，造成物理過程的故障；傳播途徑：U盤、共享網(wǎng)絡(luò)、打印機伊朗核電站Stuxnet病毒事件美國紐約時報稱，美國和以色列情報機構(gòu)合作制造出“震網(wǎng)”病毒?！罢鹁W(wǎng)”病毒結(jié)構(gòu)非常復(fù)雜，計算機安全專家在對軟件進行反編譯后發(fā)現(xiàn)，它不可能是黑客所為，應(yīng)該是一個“受國家資助的高級團隊研發(fā)的結(jié)晶”。安全傳統(tǒng)概念絕對的物理隔離就不會出現(xiàn)安全問題

6、受影響的只是二次系統(tǒng)，一次設(shè)備不會受到損壞2007年，在美國國土安全局”Aurora”演習(xí)中，針對電力控制系統(tǒng)進行滲透測試，一臺發(fā)電機在其控制系統(tǒng)收到攻擊后被物理損壞2000年，一個工程師在應(yīng)聘澳大利亞的一家污水處理廠被多次拒絕后，遠程侵入該廠的污水處理控制系統(tǒng)，惡意造成污水處理站的故障，導(dǎo)致超過1000立方米的污水被直接排入河流，導(dǎo)致嚴(yán)重的環(huán)境災(zāi)難2006年，黑客從互聯(lián)網(wǎng)上攻破了美國哈里斯堡的一家污水處理廠的安全措施，在其系統(tǒng)內(nèi)植入了能夠影響污水處理的惡意程序，導(dǎo)致了嚴(yán)重的事故2007年，攻擊者侵入加拿大的一個水利SCADA控制系統(tǒng)，通過安裝惡意軟件破壞了用于從Sacrmento河調(diào)水的控制

7、計算機2010.1.31 12歲男孩侵入亞利桑那州的羅斯福大壩，150萬英畝的水域，可把整個鳳凰城淹掉2011年，黑客通過Internet操縱了美國伊利諾伊州城市供水系統(tǒng)SCADA，使得其控制的供水泵遭到破壞工業(yè)控制系統(tǒng)安全事件-水處理1997年，一個十幾歲的少年侵入紐約NYNES系統(tǒng)，干擾了航空與地面通信，導(dǎo)致馬薩諸塞州的Worcester機場關(guān)機6小時2003年，SCX運輸公司的計算機系統(tǒng)被病毒感染，導(dǎo)致華盛頓特區(qū)的客貨運輸中斷2003年，19歲的Aaron Caffery 侵入Houston渡口的計算機系統(tǒng)，導(dǎo)致該系統(tǒng)停機2008年，一少年攻擊了波蘭Lodz的城鐵系統(tǒng)，用一個電視遙控器改

8、變軌道扳道器，導(dǎo)致4節(jié)車廂出軌2011年，上海地鐵因信號系統(tǒng)故障發(fā)生追尾事件，原因查明是系統(tǒng)升級過程中發(fā)生信息阻塞導(dǎo)致信號燈故障工業(yè)控制系統(tǒng)安全事件-交通1992年，一前雇員關(guān)閉了雪佛蘭位于22個州的應(yīng)急報警系統(tǒng)，直到一次緊急事件發(fā)生以后發(fā)被發(fā)現(xiàn)2005年，在Zotob蠕蟲安全事件中，盡管在Internet與企業(yè)網(wǎng)、控制網(wǎng)之間都部署了防火墻，但還有13個美國汽車廠由于被蠕蟲病毒感染而被迫關(guān)閉，50,000 生產(chǎn)線工人被迫停止工作，預(yù)計經(jīng)濟損失超過1,400,000美元2011年，美國某大型藥廠被黑客侵入并悄悄更改了生產(chǎn)物料配比，導(dǎo)致幾個批次的藥品出現(xiàn)不良反應(yīng)，給藥廠造成巨大損失工業(yè)控制系統(tǒng)安全

9、事件-制造工業(yè)控制系統(tǒng)安全事件入侵者通過現(xiàn)場無線網(wǎng)絡(luò)，入侵工控生產(chǎn)過程控制系統(tǒng)，控制產(chǎn)品生產(chǎn)溫度，改變產(chǎn)品生產(chǎn)質(zhì)量。工控系統(tǒng)安全事件入侵者在郵件中植入木馬，控制辦公終端，進一步滲透到SCADA系統(tǒng)，從工程師服務(wù)獲取生產(chǎn)工藝數(shù)據(jù)。某石化行業(yè)工控安全事件2009.6. 儲控中心電腦感染蠕蟲死機；2009.10.芳烴裝置控制系統(tǒng)感染病毒運行異常；2010.5. 上層網(wǎng)絡(luò)感染病毒故障；2009-2010.操作站頻繁死機；雖未發(fā)生嚴(yán)重事故，但還是耗費了大量的人力、物力和精力去處理安全事件，給安全生產(chǎn)帶來很大隱患!工控系統(tǒng)的脆弱性工業(yè)控制應(yīng)用系統(tǒng)幾乎是傳統(tǒng)IT信息系統(tǒng)的拷貝，但安全防護遠遠落后于傳統(tǒng)IT系

10、統(tǒng)的安全防護。工控系統(tǒng)大量采用IT通用軟硬件，如PC服務(wù)器和終端產(chǎn)品、操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)；由于工控系統(tǒng)兼容性的問題，系統(tǒng)補丁和殺毒軟件的安全措施不到位，使系統(tǒng)的脆弱性得以放大！工控系統(tǒng)的脆弱性工控軟件與通信協(xié)議不健壯相對于傳統(tǒng)IT軟件，工業(yè)控制系統(tǒng)組態(tài)軟件、PLC嵌入式系統(tǒng)等在設(shè)計過程中主要考慮可用性，實時性、對安全性考慮不足；工控系統(tǒng)通信協(xié)議缺乏授權(quán)和加密、缺乏對用戶身份的鑒別和認(rèn)證等安全機制。工控系統(tǒng)的脆弱性工業(yè)控制系統(tǒng)安全不僅使用一個技術(shù)問題，更是一個管理問題，需要完善的工業(yè)控制系統(tǒng)安全政策、標(biāo)準(zhǔn)、制度和安全意識來支撐。相對信息系統(tǒng)用戶來說，工控系統(tǒng)用戶安全意識更加薄弱！大多數(shù)的漏洞在

11、工控系統(tǒng)上存在的時間超過3年一年左右，這些漏洞就已經(jīng)存在于開源的黑客入侵工具Metasploit SCADA module工控系統(tǒng)的脆弱性網(wǎng)絡(luò)安全風(fēng)險急速增加2012年美國ICS 蜜罐實驗?zāi)M了一個連接在Internet 上的 ICS 18 小時內(nèi)發(fā)生第一次深度攻擊28 天內(nèi)發(fā)生39次深度攻擊美國DHS的統(tǒng)計，41% 記錄在案的針對關(guān)鍵基礎(chǔ)設(shè)施的攻擊是針對能源相關(guān)行業(yè)石油及天然氣行業(yè)電力基礎(chǔ)設(shè)施攻擊已經(jīng)蔓延到關(guān)鍵基礎(chǔ)設(shè)施的各個部門Sources DHS, NSS Labs, Trend Micro針對關(guān)鍵基礎(chǔ)設(shè)施的網(wǎng)絡(luò)攻擊常常成為新聞頭條Sources Wall Street journal,

12、 Wired Magazine 工控系統(tǒng)面臨的威脅臺灣ICST在幾個月時間，通過檢測31廠家的67個產(chǎn)品，挖掘出50個可以被利用的漏洞。從2007年起，每年的黑客大會都有關(guān)于工控系統(tǒng)安全的報告。美國ICS-CERT報告，2012年工控安全事件197起，2013上半年工控安全事件206起。排在前三位的行業(yè)分別是：能源、關(guān)鍵制造業(yè)、交通。工控系統(tǒng)面臨的威脅分析來自于經(jīng)營管理網(wǎng)與互聯(lián)網(wǎng)的威脅“兩化”融合，信息化帶動了工業(yè)化，工業(yè)化促進了信息化。產(chǎn)生了新型工業(yè)化，同時是也把傳統(tǒng)IT風(fēng)險延伸到了工控系統(tǒng)使工控系統(tǒng)面臨來自經(jīng)營管理網(wǎng)和互聯(lián)網(wǎng)的威脅；工控系統(tǒng)面臨的威脅分析來自于工控系統(tǒng)內(nèi)網(wǎng)的威脅：操作系統(tǒng)漏

13、洞已知與無法修復(fù)的尷尬！病毒木馬橫行與無法殺毒的尷尬！非工控應(yīng)用軟件的存在，帶來的未知風(fēng)險！移動介質(zhì)的隨意使用帶來的風(fēng)險！移動筆記本隨意接入帶來的風(fēng)險！工業(yè)無線網(wǎng)絡(luò)邊界的不可見與非法接入的不可控風(fēng)險！安全標(biāo)準(zhǔn)與動態(tài)2014.1.12美國白宮發(fā)布網(wǎng)絡(luò)安全框架2013.5美國商務(wù)部NIST更新工業(yè)控制系統(tǒng)安全指南版本r1，2014年第一季度將推出第二版本國際電工委員會制定IEC 62443(ISA99)工控安全標(biāo)準(zhǔn)。安全標(biāo)準(zhǔn)與動態(tài)2011-2013連續(xù)三年被發(fā)改委納入國家信息安全專項2013.12.26國家標(biāo)準(zhǔn)批準(zhǔn)公布工業(yè)以太網(wǎng)交換機技術(shù)規(guī)范2012年6月，國務(wù)院關(guān)于大力推進信息化發(fā)展和切實保障信

14、息安全的若干意見（國發(fā)201223 號）中明確：保障工業(yè)控制系統(tǒng)安全。2011年9月，工業(yè)和信息化部發(fā)布 關(guān)于加強工業(yè)控制系統(tǒng)信息安全管理的通知（451號文）工控安全動態(tài)工信部安全協(xié)調(diào)司趙澤良司長在RSA中國2011大會上強調(diào)“工業(yè)控制系統(tǒng)安全工作也到了非加強不可的時候了！”2014年02月27日 中央網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組成立；2014年3月6日上海市正式發(fā)布了上海市網(wǎng)絡(luò)與信息安全事件專項應(yīng)急預(yù)案。綱要III III工控系統(tǒng)介紹工控系統(tǒng)安全分析工控系統(tǒng)安全理念I(lǐng)V工控安全解決方案 V工控安全動態(tài)工控系統(tǒng)安全-白名單工控PC、服務(wù)器的進程、服務(wù)操作員站、工程師站、HMI、WEB服務(wù)器、數(shù)據(jù)庫

15、服務(wù)器；工控系統(tǒng)訪問控制列表IT防火墻、工業(yè)交換機、工業(yè)防火墻等；工控系統(tǒng)資產(chǎn)能夠?qū)崟r識別非法設(shè)備進入工控系統(tǒng)。工控系統(tǒng)安全-層次化“層次化”根據(jù)工控系統(tǒng)功能的不同，對工控系統(tǒng)進行縱向分層、橫向分域，域分等級，目的是進行安全隔離防護。針對工控系統(tǒng)的特點，我們提出了“三層架構(gòu)，二層發(fā)防護”的方案。工控系統(tǒng)安全-邊緣化“邊緣化”從工控系統(tǒng)演變過程可以看到，工控系統(tǒng)最初是獨立的自動控制系統(tǒng)，但隨著信息化的發(fā)展，以及智能控制的要求，不斷的引入IT技術(shù)、互聯(lián)網(wǎng)技術(shù)，從而使工控系統(tǒng)不再獨立。工控系統(tǒng)安全，需要加強工控系統(tǒng)周邊信息化系統(tǒng)的安全。例如：SCADA、MES、ERP安全。工控系統(tǒng)安全-透明化“透明

16、化”工控系統(tǒng)安全采取的技術(shù)措施、管理措施，不能夠降低系統(tǒng)使用者的易用性，安全措施對使用者來說是透明的；工控系統(tǒng)安全解決方案，不能夠降低系統(tǒng)的可用性、盡可能避免系統(tǒng)的延時（如果有延時，必須在可接受的范圍之內(nèi)）。綱要III III工控系統(tǒng)介紹工控系統(tǒng)安全分析工控系統(tǒng)安全理念I(lǐng)V工控安全解決方案 V工控安全動態(tài)工控系統(tǒng)安全解決方案思路基于工控系統(tǒng)安全防護理念，從四個維度，解決工控系統(tǒng)安全問題。工控系統(tǒng)安全防護縱向分層：三層架構(gòu)，二層防護。經(jīng)營管理層、生產(chǎn)控制層、過程控制層。橫向分域：不同的車間、不同的生產(chǎn)線進行邏輯隔離。分層分域的目的就是進行安全隔離防護。GB/T20720-1企業(yè)控制系統(tǒng)集成工控系

17、統(tǒng)安全防護經(jīng)營管理層與生產(chǎn)控制層之間的防護工控系統(tǒng)安全防護生產(chǎn)控制層與生產(chǎn)過程層之間的防護工控系統(tǒng)安全加固經(jīng)營管理層-系統(tǒng)安全加固對ERP、MIS等與生產(chǎn)控制層交互的終端、服務(wù)器以及交換設(shè)備進行安全加固。生產(chǎn)控制層-系統(tǒng)安全加固對SCADA、MES系統(tǒng)中工控計算機（IPC）、服務(wù)器進行白名單式安全加固，同時對工業(yè)交換機進行加固。生產(chǎn)過程層-系統(tǒng)安全加固對PLC、RTU等進行安全加固。工控系統(tǒng)安全監(jiān)控工控系統(tǒng)的可用性監(jiān)控工控系統(tǒng)安全監(jiān)控工控系統(tǒng)網(wǎng)絡(luò)行為監(jiān)控準(zhǔn)確呈現(xiàn)安全事件工控系統(tǒng)安全監(jiān)控工控系統(tǒng)指令監(jiān)控工控系統(tǒng)安全解決方案整體框架解決方案解決的主要問題工控機（IPC）操作系統(tǒng)的加固（進程、服務(wù)白

18、名單）工控機（IPC）外設(shè)管理，如USB接口，光驅(qū)，網(wǎng)卡，串口。工控機（IPC）強口令認(rèn)證。工控系統(tǒng)與管理系統(tǒng)的安全隔離控制。工控系統(tǒng)的無線安全接入。工控系統(tǒng)遠程安全接入。工控系統(tǒng)的設(shè)備準(zhǔn)入控制。工控系統(tǒng)的可用性、異常事件以及流量監(jiān)控。工控系統(tǒng)病毒的查殺。解決方案煙草企業(yè)工控信息安全解決方案石化企業(yè)工控信息安全解決方案軍工企業(yè)工控信息安全解決方案鋼鐵制造工控信息安全解決方案電力系統(tǒng)工控信息安全解決方案煤礦企業(yè)工控信息安全解決方案綱要III III工控系統(tǒng)介紹工控系統(tǒng)安全分析工控系統(tǒng)安全理念I(lǐng)V工控安全解決方案 V工控安全動態(tài)西門子安全解決方案專業(yè)安全咨詢安全策略流程安全PC、PLC、NET西門

19、子安全解決方案物理安全安全策略與流程網(wǎng)絡(luò)分區(qū)與邊界防護安全的單元間通信系統(tǒng)加固與補丁管理惡意軟件的監(jiān)測與防護訪問控制與賬號管理日志與審計施耐德工控安全解決方案設(shè)備系統(tǒng)管理邁克菲嵌入式控制解決方案（McAfee Embedded Control），完整性控制解決方案（McAfee Integrity Control）以及應(yīng)用性控制解決方案（McAfee Application Control）加強關(guān)鍵基礎(chǔ)設(shè)施環(huán)境的安全性、可用性和可靠性。其他廠家（2012年10月，國際工控巨頭霍尼韋爾聯(lián)合全球終端安全廠家Bit9開展工控終端安全產(chǎn)品的研發(fā)）其他廠家青島海天煒業(yè)Guard IFW2400（Tofi

20、no多芬諾）和利時、力控華康、珠海鴻瑞、中科網(wǎng)威綠盟2013工業(yè)控制系統(tǒng)及其安全性研究報告啟明星辰工控系統(tǒng)安全動態(tài)ADLab針對工控系統(tǒng)的信息安全，重點開展三個方面的研究工作。與國家有關(guān)部門開展了多個工控安全課題的研究。已有工控主機惡意代碼檢測工具、基于Fuzzing技術(shù)檢測工具，今年推出工控漏掃產(chǎn)品啟明星辰工控安全動態(tài)啟明星辰工控安全動態(tài)參與工控系統(tǒng)安全標(biāo)準(zhǔn)的編制工作啟明星辰工控安全動態(tài)在“首屆工業(yè)控制系統(tǒng)安全峰會”上，啟明星辰提出工控系統(tǒng)安全的整體解決方案，受到了工控界的關(guān)注。啟明星辰發(fā)表的“工業(yè)控制系統(tǒng)安全體系架構(gòu)與管理平臺”論文成為2012年工控安全最熱門的文章。啟明星辰工控安全動態(tài)啟

21、明星辰在2011年提出工控終端安全是工控系統(tǒng)安全防護的重點，并開始相關(guān)產(chǎn)品的研發(fā)。啟明星辰工控安全動態(tài)公司第一個工控系統(tǒng)安全項目已經(jīng)中標(biāo)，以項目帶產(chǎn)品，因此也產(chǎn)生了以下工控產(chǎn)品：工業(yè)控制終端安全管理系統(tǒng)；工控系統(tǒng)無線安全產(chǎn)品；工控系統(tǒng)OPC網(wǎng)閘；ProFiNet邏輯隔離型安全裝置；Modbus/TCP物理隔離型安全裝置；工業(yè)控制安全審計系統(tǒng)；工業(yè)控制入侵檢測系統(tǒng)；工業(yè)控制統(tǒng)一安全管理平臺。拓展模式參與行業(yè)工控系統(tǒng)安全課題研究項目參與國家工控系統(tǒng)安全產(chǎn)品課題研究項目參與國家工控系統(tǒng)安全標(biāo)準(zhǔn)制定工作參與行業(yè)控制系統(tǒng)安全試點項目參與行業(yè)工控系統(tǒng)安全課題研究項目拓展對象各省級經(jīng)信委，電力、石油、石化、

22、煙草、汽車制造、交通（尤其是地鐵）等具有創(chuàng)新意識的單位。拓展內(nèi)容針對經(jīng)信委，開展具有通用性工控系統(tǒng)安全技術(shù)課題研究，比如：工控系統(tǒng)安全管理平臺、工控系統(tǒng)IPC終端管理、工控系統(tǒng)安全網(wǎng)關(guān)、工控系統(tǒng)無線安全設(shè)備、工控系統(tǒng)入侵檢測系統(tǒng)等課題的開展。針對行業(yè)，開展具有行業(yè)特點的課題，如XXX行業(yè)工控系統(tǒng)安全可行性研究、XXX安全技術(shù)在XXX企業(yè)工控領(lǐng)域可用性探討等。參與行業(yè)工控系統(tǒng)安全課題研究項目拓展方法各省、直轄市經(jīng)信委具有開展工控系統(tǒng)系統(tǒng)安全研究的職責(zé)，具體負(fù)責(zé)人應(yīng)該具有主動性。各行業(yè)由于目前還沒有相關(guān)工控標(biāo)準(zhǔn)，有的行業(yè)很可能有相關(guān)工控系統(tǒng)安全的紅頭文件，在一些具有創(chuàng)新意識的相關(guān)行業(yè)和單位可以進行業(yè)務(wù)拓展。工控IPC終端安全問題，是每一個行業(yè)都需要解決的問題，可以以IPC終端安全作為切入點。參與國家