導(dǎo)航：安全管理網(wǎng)>> 安全論文>> 綜合安全論文>>正文

工業(yè)控制系統(tǒng)信息安全測(cè)試與防護(hù)技術(shù)趨勢(shì)

文檔作者：萬明文檔來源：中科院網(wǎng)絡(luò)與控制系統(tǒng)重點(diǎn)實(shí)驗(yàn)室中國科學(xué)院沈陽自動(dòng)化研究所		點(diǎn) 擊數(shù)：	更新時(shí)間： 2021年07月12日
下載地址：點(diǎn)擊這里	文件大小： 1.31 MB 共4頁	文檔格式： PDF	下載點(diǎn)數(shù)： 1 點(diǎn)（VIP免費(fèi)）

全屏查看

內(nèi)容預(yù)覽 [文件共4頁]

本文件共4頁，如需編輯使用，請(qǐng)下載。

注：預(yù)覽效果可能會(huì)出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大小：1.31 MB 共4頁文件格式：PDF 下載點(diǎn)數(shù)：1 點(diǎn)（VIP會(huì)員免費(fèi)）

下一篇：安全軟件驗(yàn)證與確認(rèn)中的單元模塊測(cè)試技術(shù)

上一篇：故障模型驅(qū)動(dòng)的軟件安全性測(cè)試研究

文本預(yù)覽

僅提取頁面文字內(nèi)容，供快速閱讀使用。

Column
工業(yè)控制系統(tǒng)信息安全
中科院網(wǎng)絡(luò)與控制系統(tǒng)重點(diǎn)實(shí)驗(yàn)室中國科學(xué)院沈陽自動(dòng)化研究所萬明
工業(yè)控制系統(tǒng)信息安全
測(cè)試與防護(hù)技術(shù)趨勢(shì)
1工業(yè)控制系統(tǒng)的脆弱性
工業(yè)控制系統(tǒng)的漏洞主要包括5個(gè)方面,如下:
由于工業(yè)控制系統(tǒng)正向復(fù)雜化、IT化和通用化趨勢(shì)發(fā)展,基
(1)通信協(xié)議漏洞
于PC+Windows的工業(yè)控制網(wǎng)絡(luò)面臨安全挑戰(zhàn),這些年不僅國外
 papit
兩化融合和物聯(lián)網(wǎng)的發(fā)展使得 TCPIP協(xié)議等通用協(xié)議越來越
發(fā)生了一些安全事件,同時(shí)國內(nèi)也暴露出了一系列的工業(yè)控制系廣泛地應(yīng)用在工業(yè)控制網(wǎng)絡(luò)中,隨之而來的通信協(xié)議漏洞問題也
統(tǒng)信息安全的問題。比如2010年齊魯石化、201年大慶石化煉油日益突出
廠,某裝置控制系統(tǒng)分別感染 Conficker病毒,都造成控制系統(tǒng)服
(2)操作系統(tǒng)漏洞
務(wù)器與控制器通訊不同程度的中斷
目前大多數(shù)工業(yè)控制系統(tǒng)的工程師站/操作站/HMI都是
IC-Ct安全報(bào)告指出“近三年針對(duì)工業(yè)控制系統(tǒng)的安全 Windows平臺(tái)的,通?，F(xiàn)場工程師在系統(tǒng)開啟后不會(huì)對(duì) windows平
事件呈明顯上升趨勢(shì),僅2013年度,針對(duì)關(guān)鍵基礎(chǔ)設(shè)施的攻擊臺(tái)安全任何補(bǔ)丁,埋下了安全隱患。
報(bào)告已達(dá)到257起?！敝饕性谀茉础㈥P(guān)鍵制造業(yè)、交通、通
(3)應(yīng)用軟件漏洞
信、水利、核能等領(lǐng)域,而能源行業(yè)的安全事故則超過了一半
由于應(yīng)用軟件多種多樣,很難形成統(tǒng)一的防護(hù)規(guī)范以應(yīng)對(duì)
如圖1所示
全問題,另外當(dāng)應(yīng)用軟件面向網(wǎng)絡(luò)應(yīng)用時(shí),就必須開放其應(yīng)
 Postal&amp;amp; Shipping.2
口,是重要的攻擊途徑。
(4)安全策略和管理流程漏洞
 Watar,8
追求可用性而犧牲安全性,是很多工業(yè)控制系統(tǒng)存在的普遍
 InfoTech,
現(xiàn)象,缺乏完整有效的安全策略與管理流程也給工業(yè)控制系統(tǒng)信
息安全帶來一定的威脅。
(5)殺毒軟件漏洞
 Energy.111,53%
為了保證工控應(yīng)用軟件的可用性,許多工控系統(tǒng)操作站通
常不會(huì)安裝殺毒軟件,即使安裝了殺毒軟件,病毒庫也不會(huì)定
期更新。
圖近三年各領(lǐng)域發(fā)生工業(yè)控制系統(tǒng)的安全事件比例
2工業(yè)控制系統(tǒng)的安全需求
我們認(rèn)為,歸根結(jié)底就是工業(yè)控制系統(tǒng)的漏洞問題,截止到
表給出了工控系統(tǒng)與傳統(tǒng)系統(tǒng)的不
2013年12月底,公開的工業(yè)控制系統(tǒng)漏洞數(shù)總體仍呈增長趨勢(shì)
表1所示的這些不同,導(dǎo)致了工控安全與傳統(tǒng)1T安全的差
2010年6月出 Stuxnet現(xiàn)的病毒,是世界上首個(gè)專門針對(duì)工業(yè)控制異,傳統(tǒng)IT安全更注重機(jī)密性,其次是完整性,之后是可用性,
系統(tǒng)編寫的席卷全球工業(yè)界破壞性病毒,它同時(shí)利用7個(gè)最新漏洞
個(gè)
但是工控系統(tǒng)的安全,則是可用性排在第一位,接下來是完整
進(jìn)行攻擊。這7個(gè)漏洞中,有5個(gè)是針對(duì) windows系統(tǒng),2個(gè)是針對(duì)
性,最后才是機(jī)密性。所以,傳統(tǒng)網(wǎng)絡(luò)安全技術(shù)不適于應(yīng)用到工
西門子 SIMATIC WinCC系統(tǒng)
業(yè)控制系統(tǒng)。
68
表工控系統(tǒng)與傳統(tǒng)T系統(tǒng)對(duì)比業(yè)控制系統(tǒng)的安全測(cè)試技術(shù)。針對(duì) SCADA、ICS系統(tǒng)自身脆弱性
(漏洞)和通信規(guī)約的安全性,研究工業(yè)控制系統(tǒng)的安全測(cè)試技
對(duì)比項(xiàng)
工業(yè)控制系統(tǒng)CS
傳統(tǒng)系統(tǒng)
術(shù),分析工業(yè)控制系統(tǒng)中已知的與未知的安全威脅,指導(dǎo)其對(duì)安
體系結(jié)構(gòu)主要由傳感器pLC,RT、Ds、通過互聯(lián)網(wǎng)協(xié)議組成的計(jì)算全威脅進(jìn)行有效的防御
3.2工控系統(tǒng)安全測(cè)試技術(shù)已成為重要的發(fā)展方向
廣泛使用嵌式系統(tǒng) Vx Works通用操作系統(tǒng)如windows
操作系統(tǒng) uCLinux, winCE等,并根據(jù)功能及
3.2.1美國SCADA能源部測(cè)試平臺(tái)計(jì)劃(2008-2013)
 linuxUNX等,功能強(qiáng)大
了建 eScADA測(cè)試平
美國能源部自2008年就開始了搭建 SCADA測(cè)試平臺(tái)計(jì)劃
專用的通信協(xié)議或規(guī)約(OC
數(shù)據(jù)交換 Modbus TCP、DNP3等),一般直接TCP/P協(xié)議
協(xié)議使用或作為的應(yīng)
(2008-2013),通過聯(lián)合其下屬daho等6個(gè)國家實(shí)驗(yàn)室的技術(shù)力
的應(yīng)用層
量,提供各種工業(yè)控制系統(tǒng)的真實(shí)測(cè)試環(huán)境,實(shí)現(xiàn)對(duì)石油、電力
系統(tǒng)實(shí)時(shí)性實(shí)時(shí)性要求高,不能停機(jī)或重啟實(shí)時(shí)性要求不高,允許傳輸?shù)刃袠I(yè)控制系統(tǒng)的安全測(cè)評(píng)
延遲,可停機(jī)或重啟
美國能源部 SCADA測(cè)試平臺(tái)計(jì)劃中主要包括4個(gè)典型測(cè)試平
系統(tǒng)升級(jí)兼容性差、軟硬件升級(jí)困難
兼容性好、軟件升級(jí)頻繁
臺(tái),如下。
(1)SCADA/控制系統(tǒng)測(cè)試平臺(tái)
美國國土安全部下屬的ICS-CERT(工業(yè)控制系統(tǒng)應(yīng)急響應(yīng)小
(2)信息安全測(cè)試平臺(tái);
組)及CSSP(控制系統(tǒng)安全項(xiàng)目)通過對(duì)工業(yè)控制系統(tǒng)軟件的缺
(3)電網(wǎng)測(cè)試平臺(tái)
陷性分析發(fā)現(xiàn),工業(yè)控制系統(tǒng)軟件的安全脆弱性問題主要涉及錯(cuò)
(4)無線技術(shù)測(cè)試平臺(tái)
誤輸入驗(yàn)證、密碼管理、越權(quán)訪問、不適當(dāng)?shù)恼J(rèn)證、系統(tǒng)配置等
圖3所示是一個(gè) SCADA/控制系統(tǒng)測(cè)試平臺(tái)實(shí)例
方面
典型工控系統(tǒng)的安全問題,如圖2所示
系統(tǒng)及軟件的性,易被黑客利
用,無及時(shí)發(fā)現(xiàn)存在的系統(tǒng)
網(wǎng)絡(luò)模擬
工業(yè)控制系統(tǒng)的安全試技術(shù)
③人機(jī)界
①控制模擬
控制節(jié)點(diǎn)無路護(hù)能力,容易被
入控制:控制網(wǎng)絡(luò)明文傳輸數(shù)品
被改
④攻擊模擬
工業(yè)控制系統(tǒng)的安全護(hù)技術(shù)
圖3 SCADA/控制系統(tǒng)測(cè)試平臺(tái)
核心信絡(luò)認(rèn)證授權(quán)加
無訪問控制能力,容易受宜攻
3.2.2歐洲 SCADA安全測(cè)試平臺(tái)
歐洲也搭建了 SCADA安全測(cè)試平臺(tái),主要特點(diǎn)如下:
圖2典型工控系統(tǒng)的安全問題
(1)采用現(xiàn)場系統(tǒng)的滲透測(cè)試,建立風(fēng)險(xiǎn)分析方法,測(cè)
試、評(píng)估 SCADA系統(tǒng)的安全性;
3工業(yè)控制系統(tǒng)的安全測(cè)試技術(shù)趨勢(shì)
(2)對(duì)于Computer Emergency Response Team(CET)發(fā)布的
3.1工業(yè)控制系統(tǒng)的特點(diǎn)
 SCADA安全信息能夠快速處理,以保護(hù)世界各地的運(yùn)行系統(tǒng)
(1)封閉性: SCADA、ICS系統(tǒng)的設(shè)計(jì)之初安全機(jī)制不
(3)具有高度重構(gòu),與其它 SCADA系統(tǒng)安全、遠(yuǎn)距離通信
完善;
連接,構(gòu)建先進(jìn)的分布式測(cè)試環(huán)境。
(2)多樣性:多種數(shù)據(jù)接口(如R45、RS485、RS232等),3.2.3學(xué)術(shù)界工控系統(tǒng)安全測(cè)試技術(shù)研究
協(xié)議規(guī)約實(shí)現(xiàn)多樣
國外學(xué)者致力于搭建 SCADA系統(tǒng)真實(shí)測(cè)試環(huán)境,模擬攻擊行
(3)復(fù)雜性:專用的通信協(xié)議或規(guī)約(如opc、 Modbus為,通過仿真和建模分析CADA系統(tǒng)的安全性
dnp3 Profibus等)
國際知名工業(yè)安全測(cè)試公司相關(guān)產(chǎn)品和解決方案如下
(4)不可改變性:工控系統(tǒng)程序升級(jí)困難
(1)加拿大WurldtechAchilles的測(cè)試工具采用漏洞掃描和
傳統(tǒng)IT安全測(cè)試技術(shù)不適合工業(yè)控制系統(tǒng),所以急需針對(duì)工模糊測(cè)試的方法,測(cè)試工控系統(tǒng)中設(shè)備和軟件的安全問題:
69
 Column
工業(yè)控制系統(tǒng)信息安全
(2)加拿大的 Sandbox測(cè)試平臺(tái)采用滲透測(cè)試的方法,
運(yùn)用模糊測(cè)試的原理,設(shè)計(jì)變異測(cè)試用例并構(gòu)造變異報(bào)
通過模擬真實(shí)的網(wǎng)絡(luò)攻擊,測(cè)試 SCADA系統(tǒng)中關(guān)鍵基礎(chǔ)設(shè)施的脆文,檢查工控協(xié)議實(shí)現(xiàn)的缺陷。
弱性;
構(gòu)建完整、可擴(kuò)展的動(dòng)態(tài)隨機(jī)分析測(cè)試框架,監(jiān)控測(cè)
(3)芬蘭科諾康Codenomicon Defensics工控健壯性安全性試目標(biāo),管理測(cè)試結(jié)果,并支持多目標(biāo)(如文件、網(wǎng)絡(luò)協(xié)議等
測(cè)試平臺(tái),采用基于主動(dòng)性安全漏洞挖掘的健壯性評(píng)估與管理方等)、多種協(xié)議(Modbus TCPNP3等不同類型的協(xié)議)
案,與 ISASecure合作,遵循EC62443標(biāo)準(zhǔn)。
多線程(加速測(cè)試進(jìn)度)
3.3工控系統(tǒng)安全測(cè)試的關(guān)鍵技術(shù)
(4)工業(yè)病毒行為特征提取與攻擊模擬技術(shù),如圖7所示
(1)構(gòu)建工控系統(tǒng)漏洞庫
數(shù)據(jù)挖掘智能認(rèn)知工業(yè)病毒攻擊行為,實(shí)現(xiàn)工業(yè)病毒行
由于通信協(xié)議的特殊性,傳統(tǒng)漏洞庫并不適應(yīng)于工業(yè)控制系為判定,提取工業(yè)病毒行為特征
統(tǒng)安全測(cè)試領(lǐng)域,需要構(gòu)建工控系統(tǒng)專有漏洞庫。如圖4所示。
根據(jù)網(wǎng)絡(luò)流量情況、具體協(xié)議內(nèi)容、交互模式以及主機(jī)
或設(shè)備行為,檢測(cè)工控環(huán)境特種木馬等復(fù)雜攻擊
病毒行為判定
構(gòu)建病毒行為
特庫
智能認(rèn)知數(shù)據(jù)挖掘
抽取
病毒行為分析
智能測(cè)試用例
特征智能提取引
生成引擎
↓模擬
漏洞描述
輸
樣本數(shù)據(jù)
實(shí)時(shí)數(shù)據(jù)
圖4漏洞數(shù)據(jù)庫
(2)基于工業(yè)漏洞庫的漏洞掃描技術(shù),如圖5所示
圖7工業(yè)病毒行為特征提取與攻擊模擬技術(shù)
依靠漏洞掃描引擎、檢測(cè)規(guī)則的自動(dòng)匹配,通過工控系
統(tǒng)漏洞庫,掃描系統(tǒng)中的關(guān)鍵設(shè)備,檢測(cè)系統(tǒng)的脆弱性;
4工業(yè)控制系統(tǒng)的安全防護(hù)技術(shù)趨勢(shì)
支持 Modbus、DNP3、 Profinet等工業(yè)通信協(xié)議漏洞
保證工業(yè)控制系統(tǒng)安全穩(wěn)定運(yùn)行,工業(yè)控制系統(tǒng)的安全防護(hù)
支持 ICMP Ping掃描、端口掃描等傳統(tǒng)掃描技術(shù)。
必須達(dá)到以下三個(gè)目標(biāo),如表2所示
表2工業(yè)控制系統(tǒng)的安全防護(hù)目標(biāo)
檢測(cè)規(guī)則庫
目標(biāo)
主要內(nèi)容
漏洞掃描引擎
通信可控能夠直觀觀察,監(jiān)控管理通信中數(shù)據(jù),僅保證工業(yè)控制專有協(xié)
掃描
可控?cái)?shù)據(jù)通過即可,其他通信一律禁止
結(jié)果
區(qū)域隔離為防止局部控制網(wǎng)絡(luò)問題擴(kuò)導(dǎo)致全局癱,在關(guān)鍵數(shù)據(jù)通道上
控制平臺(tái)
及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)中感染或其他問題,準(zhǔn)確找出故障點(diǎn),通過對(duì)報(bào)警
圖5基于工業(yè)漏洞庫的漏洞掃描技術(shù)報(bào)追蹤事件進(jìn)行記錄,為故障分析提供依據(jù)
(3)面向工業(yè)控制協(xié)議的Fuzzing測(cè)試,如圖6所示。
4.1工業(yè)控制系統(tǒng)防火墻技術(shù)
防火墻是基于訪問控制技術(shù),它可以保障不同安全區(qū)域之
間進(jìn)行安全通信,通過設(shè)置訪問控制規(guī)則,管理和控制出入不
樣本文件
同安全區(qū)域的信息流,保障資源在合法范圍內(nèi)得以有效使用和
目標(biāo)程序
分析數(shù)據(jù)管理。
目前傳統(tǒng)的IT防火墻都是根據(jù)“白名單”或者“黑名單”
圖6面向工業(yè)控 Fuzzing制協(xié)議的測(cè)試的方式進(jìn)行規(guī)則設(shè)置,而工業(yè)防火墻大都是根據(jù)“白名單”設(shè)
 70 AU/ PANORAMA 20149
連接、收集、創(chuàng)建以及顯示KP數(shù)據(jù)和安燈消息遠(yuǎn)程監(jiān)測(cè)和控制
 red Ion
實(shí)時(shí)性能監(jiān)測(cè)內(nèi)置網(wǎng)絡(luò)服務(wù)器和數(shù)據(jù)日志支持250多種協(xié)議轉(zhuǎn)換
 ProducTVity
幾分鐘之內(nèi),將任何電視改造成作業(yè)現(xiàn)場顯示屏。紅獅
安燈管理服務(wù)器
 ProducTVity Station T(安燈管理服務(wù)器PTV)是一款可
即刻部署的現(xiàn)場可視化管理系統(tǒng),能通過大的電視機(jī)屏實(shí)
時(shí)顯示關(guān)鍵績效指標(biāo)(KPI)數(shù)據(jù)以及安燈消息,以此提
即刻部署的可視化
高生產(chǎn)率。安燈管理服務(wù)器PTV允許您通過任何家用型
LCD/LED或等離子電視快速創(chuàng)建復(fù)雜的生產(chǎn)率看板,實(shí)
現(xiàn)實(shí)時(shí)可見性,從而大幅提升生產(chǎn)績效。
管理解決方案
連接、監(jiān)測(cè)、展示
下載
 ProducTVity安燈管理服務(wù)器手冊(cè),
 dlion.net/PTVzh
4527
回
安燈管理服務(wù)器
創(chuàng)建KP數(shù)據(jù)和安燈信息概覽界面
作為自動(dòng)化領(lǐng)域的知名品牌,紅獅現(xiàn)提供各種以太網(wǎng)和蜂窩
+86(21)-61133688 asiae
聯(lián)網(wǎng)解決方案,幾乎可以隨時(shí)隨地地連接、監(jiān)測(cè)和控制一切
置規(guī)則。對(duì)于“白名單”,可以設(shè)置允許規(guī)則,也就是說只有
(2)審計(jì)控制系統(tǒng)的配置和弱點(diǎn)
符合該規(guī)則的數(shù)據(jù)流才能通過,其它的任何數(shù)據(jù)流都可以被
(3)識(shí)別已知進(jìn)攻模式;
看做攻擊而過濾掉,這樣就保障了資源的合法使用:而對(duì)于
(4)異常活動(dòng)的統(tǒng)計(jì)分析
“黑名單”,可以設(shè)置禁止規(guī)則,禁止不合法的客戶端對(duì)資源
目前工業(yè)控制系統(tǒng)入侵檢測(cè)技術(shù)主要包括兩個(gè)方面,第一個(gè)
的訪問。
就是基于特征的入侵檢測(cè),第二個(gè)是基于異常的侵檢測(cè),目前
工業(yè)控制系統(tǒng)防火墻技術(shù)可以實(shí)現(xiàn)區(qū)域管控,劃分控制系這種方式大多數(shù)處于理論研究階段,如圖8所示
統(tǒng)安全區(qū)域,對(duì)安全區(qū)域?qū)崿F(xiàn)隔離保護(hù),保護(hù)合法用戶訪問網(wǎng)
已知的常行
絡(luò)資源;
同時(shí),可以對(duì)控制協(xié)議進(jìn)行深度解析,可以解析 Modbus
DNP3等應(yīng)用層異常數(shù)據(jù)流量,并對(duì)OPC端口進(jìn)行動(dòng)態(tài)追蹤,對(duì)關(guān)
工控系統(tǒng)
入侵檢測(cè)
鍵寄存器和操作進(jìn)行保護(hù)
方法理論
工業(yè)控制系統(tǒng)防火墻技術(shù)目前存在一個(gè)問題,就是規(guī)則粒度
問題( Modbus規(guī)則設(shè)置為例)。防火墻的規(guī)則設(shè)置應(yīng)該能夠支
機(jī)器學(xué)習(xí)的
持到具體數(shù)據(jù)字段的匹配,但是規(guī)則深度越深帶來防火墻的效率
問題。
圖8兩個(gè)主要的工業(yè)控制系統(tǒng)入侵檢測(cè)技術(shù)
42工業(yè)控制系統(tǒng)入侵檢測(cè)技術(shù)
目前工業(yè)控制系統(tǒng)入侵檢測(cè)技術(shù)的主要問題是,工業(yè)控制
工業(yè)控制系統(tǒng)入侵檢測(cè)技術(shù)是面向控制系統(tǒng)通信協(xié)議,系統(tǒng)以可用性為先,入侵檢測(cè)技術(shù)的漏報(bào)和誤報(bào)將難以商業(yè)化
根據(jù)控制異常行為模式庫,對(duì)控制系統(tǒng)網(wǎng)絡(luò)或主機(jī)進(jìn)行異常應(yīng)用
監(jiān)測(cè):
(本文整理自萬明在“第三屆工業(yè)控制系統(tǒng)信息安全峰會(huì)”
(1)監(jiān)視、分析控制終端行為活動(dòng)
上的大會(huì)報(bào)告)
71

網(wǎng)友評(píng)論 more

綜合安全論文最新內(nèi)容

04-10