工控系統(tǒng)面臨的安全問題及解決方案

《工控系統(tǒng)面臨的安全問題及解決方案》由會員上傳分享，免費在線閱讀，更多相關(guān)內(nèi)容在教育資源-天天文庫。

1、工控系統(tǒng)面臨的安全問題及解決方案隨著工業(yè)化與信息化進程的不斷交叉融合，越來越多的信息技術(shù)應(yīng)用到了工業(yè)領(lǐng)域。目前，超過80%的涉及國計民生的關(guān)鍵基礎(chǔ)設(shè)施依靠工業(yè)控制系統(tǒng)來實現(xiàn)自動化作業(yè)。工業(yè)控制系統(tǒng)已經(jīng)成為國家關(guān)鍵基礎(chǔ)設(shè)施的重要組成部分，工業(yè)控制系統(tǒng)的安全關(guān)系到國家的戰(zhàn)略安全?！　」I(yè)控制系統(tǒng)安全特點　　工業(yè)控制系統(tǒng)領(lǐng)域與傳統(tǒng)的信息安全領(lǐng)域有很大的不同。工業(yè)控制系統(tǒng)強調(diào)的是工業(yè)自動化過程及相關(guān)設(shè)備的智能控制、監(jiān)測與管理，而且更為關(guān)注系統(tǒng)的實時性與業(yè)務(wù)連續(xù)性。也就是說，工業(yè)控制系統(tǒng)對系統(tǒng)設(shè)備的可用性、實時性、可控性等特性要求很高

2、?！　∮捎诠I(yè)控制系統(tǒng)設(shè)備及通信規(guī)約的專有性以及系統(tǒng)的相對封閉性，使得一般的互聯(lián)網(wǎng)黑客或黑客組織很難獲得相應(yīng)的工業(yè)控制系統(tǒng)攻防研究環(huán)境以及相關(guān)系統(tǒng)資料支持，從而通常黑客的攻防研究工作多集中在互聯(lián)網(wǎng)或普通IT信息系統(tǒng)上，而很少關(guān)注工業(yè)控制系統(tǒng)，自然相關(guān)的系統(tǒng)及通信規(guī)約的安全缺陷或漏洞也很少被發(fā)現(xiàn)?！　〉请S著2010年“震網(wǎng)”及后續(xù)一系列工控安全事件的發(fā)生，表明出于某些國際組織、國家的政治、經(jīng)濟、軍事等原因，工業(yè)控制系統(tǒng)已經(jīng)面臨這些組織所發(fā)起的新型高級可持續(xù)的攻擊威脅?！　　　」I(yè)控制系統(tǒng)面臨的安全問題　　目前工業(yè)控制系統(tǒng)普遍

3、存在一些嚴重的安全問題，主要表現(xiàn)為：　　1.嚴重漏洞難以及時處理，系統(tǒng)安全風險巨大　　當前主流的工業(yè)控制系統(tǒng)普遍存在安全漏洞，且多為能夠造成遠程攻擊、越權(quán)執(zhí)行的嚴重威脅類漏洞；而且近兩年漏洞的數(shù)量呈快速增長的趨勢。工業(yè)控制系統(tǒng)通信協(xié)議種類繁多、系統(tǒng)軟件難以及時升級、設(shè)備使用周期長以及系統(tǒng)補丁兼容性差、發(fā)布周期長等現(xiàn)實問題，又造成工業(yè)控制系統(tǒng)的補丁管理困難，難以及時處理威脅嚴重的漏洞?！　?.工業(yè)控制系統(tǒng)協(xié)議缺乏足夠的安全性考慮，易被攻擊者利用　　專有的工業(yè)控制通信協(xié)議或規(guī)約在設(shè)計時通常只強調(diào)通信的實時性及可用性，對安全性普遍

4、考慮不足：比如缺少足夠強度的認證、加密、授權(quán)等。尤其是工業(yè)控制系統(tǒng)中的無線通信協(xié)議，更容易遭受第三者的竊聽及欺騙性攻擊?！　?.缺乏違規(guī)操作、越權(quán)訪問行為審計能力　　操作管理人員的技術(shù)水平和安全意識差別較大，容易發(fā)生越權(quán)訪問、違規(guī)操作，給生產(chǎn)系統(tǒng)埋下極大的安全隱患。實事上，國內(nèi)ICS相對封閉的環(huán)境，也使得來自系統(tǒng)內(nèi)部人員在應(yīng)用系統(tǒng)層面的誤操作、違規(guī)操作或故意的破壞性操作成為工業(yè)控制系統(tǒng)所面臨的主要安全風險。因此，對生產(chǎn)網(wǎng)絡(luò)的訪問行為、特定控制協(xié)議內(nèi)容和數(shù)據(jù)庫數(shù)據(jù)的真實性、完整性進行監(jiān)控、管理與審計是非常必要的?！　〉F(xiàn)實環(huán)境

5、中通常缺乏針對ICS的安全日志審計及配置變更管理。這是因為部分ICS系統(tǒng)可能不具備審計功能或者雖有日志審計功能但系統(tǒng)的性能要求決定了它不能開啟審計功能所造成的結(jié)果。同時目前的安全審計產(chǎn)品因缺乏對工業(yè)控制系統(tǒng)通信協(xié)議的解析能力而不能直接用于ICS系統(tǒng)中，需要專門的定制。由于工業(yè)控制系統(tǒng)通信協(xié)議缺乏統(tǒng)一的標準，使得這種定制工作代價巨大且不能通用也是造成ICS中違規(guī)操作行為審計缺乏的原因之一?！　　　?.沒有足夠的安全政策、管理制度，人員安全意識缺乏　　由于工業(yè)控制系統(tǒng)不像互聯(lián)網(wǎng)或與傳統(tǒng)企業(yè)IT網(wǎng)絡(luò)那樣備受黑客的關(guān)注，在2010年

6、“震網(wǎng)”事件發(fā)生之前很少有黑客攻擊工業(yè)控制網(wǎng)絡(luò)的事件發(fā)生；工業(yè)控制系統(tǒng)在設(shè)計時也多考慮系統(tǒng)的可用性，普遍對安全性問題的考慮不足，更不用提制訂完善的工業(yè)控制系統(tǒng)安全政策、管理制度以及對人員的安全意識培養(yǎng)了?！推饺站谩斐扇藛T的安全意識淡薄。而隨著ICS系統(tǒng)在國計民生中的重要性日益重要以及IT通用協(xié)議和系統(tǒng)在工控系統(tǒng)的逐漸應(yīng)用，人員安全意識薄弱將是造成工業(yè)控制系統(tǒng)安全風險的一個重要因素，特別是社會工程學相關(guān)的定向釣魚攻擊可能使重要崗位人員淪為外部威脅入侵的跳板。　　5.面對新型的APT攻擊，缺乏有效的應(yīng)對措施　　APT（高級可

7、持續(xù)性威脅）的攻擊目標更為明確，攻擊時會利用最新的0-day漏洞，強調(diào)攻擊技術(shù)的精心組合與攻擊者之間的協(xié)同；而且是為不達目的不罷休的持久性攻擊。近年來以震網(wǎng)為代表的針對工業(yè)控制系統(tǒng)的攻擊事件都呈現(xiàn)了這些攻擊技術(shù)特征。　　但是針對這種APT攻擊，現(xiàn)有的安全防護手段均顯得有些無力。這也許需要整合各種安全技術(shù)，通過形成完善的安全防御體系（防御手段的組織化、體系化）才可能有效，然而工業(yè)控制系統(tǒng)對安全關(guān)注嚴重不足的現(xiàn)實，使其在面臨APT攻擊時將會遭到不可估量的安全損失?！　」I(yè)控制系統(tǒng)的安全建議　　工業(yè)控制系統(tǒng)安全的重要性及其普遍安全

8、防護措施不足的現(xiàn)實，使得加強工業(yè)控制系統(tǒng)的安全性來說無疑是一項相對艱巨的任務(wù)。因為當面臨攻擊者的持續(xù)關(guān)注時，任何疏漏都可能導致災(zāi)難。在參考信息安全業(yè)內(nèi)的最佳實踐的基礎(chǔ)上，結(jié)合工業(yè)控制系統(tǒng)自身的安全問題，本文提出了一些安全建議，期望能夠有效地降低工業(yè)控制系統(tǒng)所面臨的攻擊威脅：　　加強對工業(yè)控