工业控制系统网络安全综述_冷昊.pdf

1网络通信与安全Network Communication&Security电子技术与软件工程Electronic Technology&Software Engineering随着云计算、大数据、物联网、移动互联等新技术新应用的发展进步，网络安全也迎来了新的机遇和挑战。当今国际形势纷繁复杂，国际地缘政治的纷争不断，各国对于关键基础设施的安全防护愈加重视，工业控制网络作为关键基础设施中能源和制造业的典型，其安全性愈发受到各方的关注，安全形势愈发严峻。1 工控网络安全形势1.1 工控网络安全事件及影响2020 年 4 月 24 日至 4 月 25 日，黑客组织对以色列的关键基础设施发起了攻击，该国的水利行业的工控系统特别是 SCADA 系统多次遭受了网络攻击，造成了巨额的经济损失，并严重影响了日常供水；2021 年 5 月 7 日，黑客攻击了美国最大的成品油管道运营商 Colonial Pipeline，迫使其一度关闭整个能源供应网络，这对美国东海岸的能源供应造成了破坏性打击，一度使得美国进入国家紧急状态，迫使供应商支付了近 500 万的赎金，本次攻击是美国能源行业有史以来受到的最严重网络袭击；2022 年 8 月 20 日希腊最大的天然气分销商的工控系统遭受网络攻击，导致多项服务被迫关闭，部分数据遭到泄露，对欧洲越演越烈的能源危机雪上加霜。9 月 6 日，GhostSec 组织控制了以色列国内组织和平台上 55 个 Berghof 可编程控制器（PLCs）。随着俄罗斯与乌克兰战争的进一步升级，针对对方工业控制系统等关键基础设施的攻击越发频繁，2022 年 9 月 22 日，俄罗斯对乌克兰展开大面积的网络攻击，多地的电力系统收到破坏，40个变电站停电。美国 CISA 发布了三份针对工控系统的公告，涉及 ETIC 电信、诺基亚和 Delta 工业自动化软件中存在多个漏洞，可能导致开启后门权限、破坏设备，造成巨额经济损失。从上述事件可以看出，对于工控网络的攻击已经从单打独斗发展为越来越体现国家意志。而最常见的针对工控网络的攻击方式就是利用已知的系统漏洞，工控系统中的典型组件和系统如 SCADA(数据采集与监视控制系统)、DCS(分布式控制系统)、PLC(可编程逻辑控制器)等以及相关使用的配套工业软件均被发现过存在信息安全漏洞。全球十大工控设备和系统供应厂商如研华科技、Siemens 西门子、研祥EVOC、凌华、控创、康泰克、B&R 等工控系统厂商产品均被发现包含各种信息安全漏洞1。根据 CNVD（国家信息安全漏洞共享平台）的数据，2010-2021 年工控漏洞走势如图1 所示。从图1中可以看出，自2010年开始，工控漏洞不断攀升，在 2015 开始持续走高，这与 2015 年开始工控网络快速发展，全球化进程加快，工业互联网开始发展存在一定的相关性。更多的设备和系统暴露于网络上，而其所涉及的利益也导致了各大组织对工控漏洞的持续关注。但也可以看出 2021 年工业控制系统网络安全综述冷昊李炜玥孙智权潘科羽刘烨*（工业和信息化部电子第五研究所 广东省广州市 510370）摘要：本文首先阐述了当前工业控制系统的网络安全形势，对近年来工控网络安全发生的典型问题及隐患做了总结，分析了新形势下工控系统面临的新风险，特别是广东省工控网络的安全形势。其次，针对工控网络的特点对工控系统面临的痛点和难点进行解析，分析了等级保护和关键基础设施保护等手段对于工控安全的促进与提升。最后对未来工控网络安全的发展趋势和应对策略做简要陈述。关键词：工业控制网络；等级保护测评；工业控制系统；网络安全基金项目：国家重点研发计划 2019YFC0118800；广东省重点研发计划:2020B0101130006。图 1：工控漏洞走势图（数据来源 CNVD）2网络通信与安全Network Communication&Security电子技术与软件工程Electronic Technology&Software Engineering工控漏洞的数目明显下降，是因为受疫情影响，针对全球大量工厂停工或远程运维，因此攻击产生的漏洞有所下降。然而虽然漏洞数目下降了近 2/3，但漏洞的威胁性并未降低，超高危漏洞的数量大幅跃升，据统计，2021 年国外四大漏洞平台共收录工控系统超高危漏洞 16 个，远超 2020年的 6 个，且成上升趋势12。1.2 近年来工控网络安全发现的典型问题及隐患总结中国赛宝实验室近五年来对于各个类型的工控系统的风险评估、等保测评、入网安全测评的安全服务，发现对于各行业的工控系统存在的典型问题如下。1.2.1 电力工控网络管理形式化：执行力不足：资产管理混乱，台账不清晰不明了，设备密码缺失，设备所属部门不清；电厂人员一般只关注业务系统如何使用，对安全防护不了解不熟知。安全计算环境自身防护能力不足：存在弱密码、默认密码的现象，口令易猜测易暴破，存在系统被非授权访问的风险；设备老旧，升级困难，部分设备采用 Windows CE、Windows 98 等较为老旧的系统，部分系统未开启安全审计，会造成安全问题发生的时候溯源和定位问题的困难。网络安全防护能力和安全预警能力不足：电厂增配了安全产品，例如堡垒机、日志审计，但仅接入网络，未做配置，实际没有使用生效，未定期对工控系统做漏洞扫描，及时发现并修补漏洞；防火墙、IDS 未及时更新病毒库或特征库。1.2.2 石化工控网络控制设备漏洞：大部分石化场景搭建时间较早，使用的PLC 版本老旧，固件版本少有更新。传输协议落后漏洞：广泛采用 OPC Classic 协议，控制设备中的协议也存在大量漏洞。操作系统漏洞：石化场景管理体系缺少一体化的安全管理策略。管理操作漏洞：以 Windows 操作系统居多，同时很少在工程师站、操作员站等位置部署杀毒软件与补丁系统。1.2.3 冶金行业工控网络技术方面：工业生产网络与互联网未有效隔离；主机和Web 应用存在网络安全漏洞；普遍存在默认、简单账号和弱口令；网络健壮性保障能力不足；软件、固件因版本未升级而存在大量安全漏洞；未执行最小安装、最小配置授权原则；网络安全自主防护能力不足2。管理方面：在企业网络安全建设方面，未开展风险评估、渗透测试、安全加固、等级保护测评等常态化的网络安全建设工作；在网络安全意识教育及技能培训方面，覆盖内容不全面、受教人员较少、开展频率较低；在网络安全管理制度体系建设及落实方面，覆盖面及描述粒度有待提升（尤其是系统安全建设及系统运维建设方面）、制度体系推行落实不力、网络安全预算较少；在网络安全管理机构建立及人员配备方面，缺少职责明确的网络安全管理机构及网络安全专员；在系统应急响应措施方面，未制定并实施业务连续性计划、已有的应急预案未涉及工业控制系统、应急演练未有效开展、技术支撑及物资保障有待加强。1.2.4 高端制造工控网络数控机床：数控机床使用的软硬件多为老旧系统，并且基本不进行漏洞补丁升级，且存在补丁兼容性问题，信息安全漏洞风险巨大；随着智能制造、工业互联网战略规划的推进落实，数控机床数字化、网络化、智能化特征日益明显，数控机床所处网络环境原有的封闭性被打破，开放式架构提供大量开放接口、被渗透风险提升，信息安全风险陡增3；对国外依存度高，不可知、不可控，我国数控机床的市场进口设备占比高，且在技术方面占据领先和主导地位，且核心技术不向我国公开，自 2013 年开始针对航空、航天、兵器、船舶、电子等领域的高档进口数控机床及相关网络系统的安全检查中多次发现国外的工控系统存在设计漏洞，并预置了后门，这蕴含着巨大的安全隐患；数控设备审计功能缺陷，后台数据不掌握在使用者手里，导致了网络安全事件难以追踪溯源，使得数控系统安全问题日益凸显；加工数据详细、丰富、数量多，存在专利信息泄露风险，定位模块无法卸载，GPS 地理位置信息泄露，机床日志审查发送給后台，泄露工件加工信息。汽车制造：工业网络缺乏对临时接入设备的管控措施，缺乏对临时接入设备进行病毒查杀的有效手段，安全软件选择与管理方面存在缺失；大件厂办公设备、视频监控设备以及工业控制设备均位于同一网段，工业控制设备与其他设备未进行区域划分，PCU终端存在大量高风险漏洞，存在提权、系统崩溃、感染勒索病毒等风险，配置和补丁管理存在漏洞；工业网络和企业网在车间层面未进行隔离，车间内办公设备与工业生产设备可互访，厂内部部署有无线 AP，设备可通过无线接入大件厂网络，无线开启有 DHCP，边界安全防护不足；内网缺乏网络安全监测设备，无法发现、报告并处理网络攻击或异常行为，安全监测和监测严重缺失。1.2.5 装备制造业工控网络安全软件部署不充分：版本陈旧未更新，部分无正版授权，安全策略未完全开启；网络内大量终端设备所安装的360杀毒软件均长期未更新；部分PCU终端未安装杀毒软件。数据传输未加密、数据测试未脱敏：测试机直接使用生产环境的副本进行测试，生产环境中的数据未进行加密、脱敏等控制保护措施。员工工控安全意识淡薄：安全管理职责都没有到具体责任人，制度只是一个形式；未对每年员工进行安全培训以提高网络安全意识。1.3 新形势下工控网络安全面临的新风险以上问题的存在是由于工控系统本身的特点以及管理不到位共同导致的，而随着新基建、两化融合、制造强国和网络强国策略的不断推进，工业一体化进程的不断推进，融合的不断加深，越来越多的网络安全问题和黑客组织的攻击都3网络通信与安全Network Communication&Security电子技术与软件工程Electronic Technology&Software Engineering聚焦了工控系统。其主要表现在：两化融合使工控系统面临的网络安全风险：两化融合是指工业化与信息化过程的相互融合，将信息技术应用到工控领域，两化融合的推进使得工控系统与信息网络联系愈加紧密，相较于传统的处于封闭内部网络的工控部署，这在无形中增加扩展了工控网络攻击的范围，降低了攻击者攻击的成本，也增加了工控设备网络攻击的风险1。制造强国和网络强国使工控系统面临的网络安全风险：中国大陆的产业结构不断优化升级，装备制造业得到快速发展。汽车制造、计算机通信和其他电子设备制造产值占比大幅上升。然而随着工业的快速发展以及产业结构的转变，工业网络的安全隐患也越来越多，暴露在网络中的工控设备数量较多，工控系统面临较大安全风险4。而网络强国的不断推进，工控协议暴露在网络中不断增多，这使得被攻击的风险陡然扩大，根据“谛听”组织 2022 年发布的数据，国内工控协议暴露的数量和占比如图 2。工业互联网的推进增加了新的安全风险：工业互联网打破了原有的相对清晰明确的责任边界，使得网络结构更加复杂，边界更加模糊，威胁也更加的多样化5。而工控系统往往涉及国计民生的重要领域，攻击可获得的利益增加了，这促使得一大批的黑客在利益的驱动下集中火力攻击工控系统，这也导致了工业互联网平台安全、数据安全、联网智能设备安全等问题越发突出。1.4 广东工控网络安全形势广东省作为改革开放的先行者，制造业一直在全国独占图 2：国内工控协议的暴露数量图 3：广东省工业互联网投资规模预测4网络通信与安全Network Communication&Security电子技术与软件工程Electronic Technology&Software Engineering鳌头，而对于数字经济发展也一直处于模范领跑的地位，电子信息制造就业、软件和信息服务业规模、工业营收和工业利润多年位居全国第一，产业数字化、工业数据存储量全国领先水平等几大优势特征。广东在工业互联网+深度布局、统筹规划，相继出台实施了一系列涉及工业信息化产业融合、工控网络与大数据和人工智能产业融合的发展规划。广东更是在 广东省制造业“十四五”规划 中明确指出“到2025年，制造业增加值占 GDP 比重保持在 30%以上，高技术制造业增加值占规模以上工业增加值的比重达到 33%；”6。作为全国首个出台的工业互联网地方政策的省份，广东明确了在全国工业互联网实现率先发展、领先发展、争当全国示范的目标。广东省在行动规划和