21ic網(wǎng)友雜談：大部分工控系統(tǒng)核心控制模塊從國外引進(jìn)，而國外工業(yè)控制芯片、工業(yè)控制系統(tǒng)產(chǎn)品設(shè)計和配置等都可能存在漏洞，這是我國工控系統(tǒng)受到一定威脅。

據(jù)CNNVD監(jiān)測，2012年1～5月，我國新增安全漏洞2619個，其中危急和高危漏洞1071個，占到漏洞總量的41%

工業(yè)控制系統(tǒng)(以下簡稱“工控系統(tǒng)”)的安全關(guān)系到國民經(jīng)濟(jì)重大行業(yè)和關(guān)鍵領(lǐng)域的安全，也關(guān)系到國家安全。2010年伊朗爆發(fā)的“震網(wǎng)”病毒事件和2011年“震網(wǎng)”病毒再次發(fā)作向普通大眾展現(xiàn)了工控系統(tǒng)的安全性問題的嚴(yán)重性。那么，我國工控系統(tǒng)的安全防御現(xiàn)狀如何?這些病毒對我國工控系統(tǒng)危害多大?采取何種措施應(yīng)對?和利時系統(tǒng)工程有限公司技術(shù)總監(jiān)朱毅明告訴記者，大部分在役和在售的工控系統(tǒng)多是從相對封閉的專用計算機(jī)和網(wǎng)絡(luò)體系發(fā)展而來，在體系架構(gòu)上偏重效率，抵御病毒攻擊的能力較差。因此，對于在役和在售的工控系統(tǒng)，適宜增加外置的加解密設(shè)備解決安全隱患，對于正在開發(fā)的系統(tǒng)，應(yīng)在設(shè)備本體內(nèi)解決。

“震網(wǎng)”及類似病毒肆虐全球

“震網(wǎng)”等病毒帶來的威脅已經(jīng)遠(yuǎn)遠(yuǎn)超出了以往任意一款計算機(jī)病毒給行業(yè)、社會、乃至國家?guī)淼耐{。

近年來，針對工業(yè)控制系統(tǒng)的病毒“震網(wǎng)”、“Duqu”、“火焰”等不斷涌現(xiàn)，為各國的基礎(chǔ)設(shè)施安全運(yùn)行帶來了巨大隱患，引起了各國的高度重視。

據(jù)賽迪智庫信息安全所馮偉博士介紹，“震網(wǎng)”是第一款針對工控系統(tǒng)的病毒，具有極強(qiáng)的隱蔽性和破壞力，其主要為攻擊伊朗核設(shè)施而專門研制的。2011年底又發(fā)現(xiàn)了“震網(wǎng)”病毒的新變種Duqu病毒，其攻擊目標(biāo)通常是工業(yè)控制領(lǐng)域的元器件制造商?，F(xiàn)在，又出現(xiàn)了迄今為止威力最強(qiáng)大的電腦病毒“火焰”(Flame)，在中東地區(qū)大范圍傳播。

朱毅明表示，“震網(wǎng)”病毒初始設(shè)計針對的某國際著名廠家的工控系統(tǒng)，已在我國能源、電力、通信、交通等多個重要行業(yè)和領(lǐng)域都有應(yīng)用。這些病毒的可怕之處是通過工控系統(tǒng)作為橋梁，將數(shù)字虛擬世界的威脅引入到真實(shí)物理世界，造成工業(yè)基礎(chǔ)設(shè)施損壞、嚴(yán)重社會恐慌，而大部分在役和在售的工控系統(tǒng)在設(shè)計之初并未考慮信息安全問題，抵御病毒攻擊的能力較差，總體風(fēng)險非常高。

“震網(wǎng)”等病毒帶來的威脅已經(jīng)遠(yuǎn)遠(yuǎn)超出了以往任意一款計算機(jī)病毒給行業(yè)、社會乃至國家?guī)淼耐{。例如電廠，四方繼保自動化股份有限公司技術(shù)研究中心主任焦邵華博士介紹，針對工業(yè)控制網(wǎng)絡(luò)的攻擊可能破壞反應(yīng)器的正常溫度和壓力測控，導(dǎo)致反應(yīng)器超溫或超壓，最終就會導(dǎo)致沖料、起火甚至爆炸等災(zāi)難性事故，還可能造成次生災(zāi)害和人道主義災(zāi)難。

工控系統(tǒng)病毒的可怕之處還在于其呈現(xiàn)出的高級可持續(xù)的特點(diǎn)。馮偉表示，這些病毒可能會持續(xù)幾周、幾個月，甚至更長時間。據(jù)專家判斷，2011年11月發(fā)生的伊朗導(dǎo)彈爆炸造成重要人員傷亡事件，是因?yàn)閷?dǎo)彈電腦控制系統(tǒng)遭病毒感染，自動下令彈頭爆炸引起的。事件發(fā)生距2010年震網(wǎng)病毒爆發(fā)一年以上，足見此攻擊的持續(xù)性。而且，對“震網(wǎng)”、“Duqu”、“火焰”病毒源代碼的分析結(jié)果表明，這三種病毒一脈相承，其不以獲取用戶數(shù)據(jù)或經(jīng)濟(jì)利益為目的，而是特定國家的關(guān)鍵基礎(chǔ)設(shè)施或者特定行業(yè)的工控系統(tǒng)，攻擊旨在獲取系統(tǒng)中的敏感信息，或者摧毀關(guān)鍵基礎(chǔ)設(shè)施運(yùn)行。

多數(shù)工控系統(tǒng)存有漏洞

國外產(chǎn)品已占領(lǐng)大部分市場，如PLC國內(nèi)產(chǎn)品市場占有率不到1%，衛(wèi)星導(dǎo)航系統(tǒng)芯片95%依賴進(jìn)口。

我國的工控市場過度開放，使得國外系統(tǒng)大面積使用在我國的基礎(chǔ)項(xiàng)目中。四方繼保是我國電廠自動化系統(tǒng)的主要供應(yīng)商，所研發(fā)產(chǎn)品已在市場投入20年，具有完整的設(shè)備、系統(tǒng)軟件研發(fā)能力，完整的產(chǎn)品線，并具有深厚的系統(tǒng)集成經(jīng)驗(yàn)，然而，焦邵華認(rèn)為，在現(xiàn)有的電廠自動化系統(tǒng)中，國外產(chǎn)品、尤其是核心的自動化控制系統(tǒng)仍然占很大比例。

據(jù)了解，在西氣東輸項(xiàng)目的400公里中，其中僅有180公里克倫管線采用了某國內(nèi)工控企業(yè)的監(jiān)控系統(tǒng)，其他無一例外全是進(jìn)口的控制系統(tǒng)和設(shè)備。該企業(yè)老總表示，作為這一項(xiàng)目僅有的一家國內(nèi)企業(yè)，可以說他們創(chuàng)造了奇跡。但是如果換位思考，假如這是美國的西氣東輸項(xiàng)目，他們絕對不會用我國輸出的工控系統(tǒng)，就像華為的服務(wù)器賣不進(jìn)美國一樣。

國外產(chǎn)品已經(jīng)占領(lǐng)了大部分市場，如PLC國內(nèi)產(chǎn)品的市場占有率不到1%，衛(wèi)星導(dǎo)航系統(tǒng)的芯片95%依賴進(jìn)口，其中80%來自美國。以某數(shù)控設(shè)備有限公司為例，在硬件方面，目前他們所生產(chǎn)的產(chǎn)品90%以上的元器件都使用國外品牌，其中最多的是X86芯片，這些系統(tǒng)有一部分已經(jīng)被銷售到重要領(lǐng)域，廠商對此深表憂慮。沒有自主硬件和系統(tǒng)軟件的平臺，很難實(shí)現(xiàn)工控行業(yè)的自立，工業(yè)信息系統(tǒng)的安全可控更無從實(shí)現(xiàn)。

正如馮偉所說，大部分工控系統(tǒng)核心控制模塊從國外引進(jìn)，而國外工業(yè)控制芯片、工業(yè)控制系統(tǒng)產(chǎn)品設(shè)計和配置等都可能存在漏洞。這些漏洞給予不法分子利用病毒進(jìn)行網(wǎng)絡(luò)攻擊的機(jī)會，極有可能造成嚴(yán)重后果。

加密和身份識別可防攻擊

隨著信息技術(shù)和自動化控制的融合，運(yùn)行數(shù)據(jù)采集與監(jiān)視控制系統(tǒng)(SCADA)已成為黑客重點(diǎn)攻擊的目標(biāo)。

隨著網(wǎng)絡(luò)化的發(fā)展，越來越多的工控系統(tǒng)連入企業(yè)內(nèi)網(wǎng)和外網(wǎng)，也帶來了更多安全隱患。

早先，用于控制生產(chǎn)環(huán)節(jié)的自動化控制系統(tǒng)都是孤立的系統(tǒng)，只有在所在企業(yè)的控制室里才可以對閥門、壓力等進(jìn)行控制。隨著信息技術(shù)和自動化控制的融合，以及企業(yè)管理的需求，越來越多的控制系統(tǒng)開始聯(lián)入企業(yè)的內(nèi)部網(wǎng)，而企業(yè)的內(nèi)網(wǎng)又由于商務(wù)的需求和互聯(lián)網(wǎng)連在了一起，于是提供了黑客通過互聯(lián)網(wǎng)入侵企業(yè)內(nèi)網(wǎng)去盜取企業(yè)商業(yè)秘密的可能，進(jìn)一步，還提供了黑客入侵控制系統(tǒng)去遠(yuǎn)程控制生產(chǎn)的可能。因?yàn)樵诠た叵到y(tǒng)智能化、網(wǎng)絡(luò)化的情況下，系統(tǒng)廠商既可以對客戶所用大型設(shè)備進(jìn)行遠(yuǎn)程監(jiān)測與維護(hù)，也可以進(jìn)行遠(yuǎn)程干預(yù)，這種運(yùn)行數(shù)據(jù)采集與監(jiān)視控制系統(tǒng)(SCADA)已經(jīng)成為黑客重點(diǎn)攻擊的目標(biāo)。

朱毅明告訴記者，近20年來，工控系統(tǒng)強(qiáng)調(diào)開放性，在系統(tǒng)中大量引入民用的COTS產(chǎn)品，如Windows操作系統(tǒng)、關(guān)系數(shù)據(jù)庫等，并廣泛使用以太網(wǎng)和TCP/IP協(xié)議。對于大部分工控系統(tǒng)而言，簡單的DoS攻擊就可以使系統(tǒng)網(wǎng)絡(luò)完全癱瘓，造成工業(yè)過程失控或裝置停機(jī)。大部分的工業(yè)網(wǎng)絡(luò)和現(xiàn)場總線協(xié)議，廣泛使用MODBUS/TCP、CAN等明碼傳輸，沒有嚴(yán)格的身份識別，報文很容易被偽造。這種由相對封閉的專用計算機(jī)和網(wǎng)絡(luò)體系發(fā)展而來的工控系統(tǒng)，安全最薄弱的環(huán)節(jié)就落在了工業(yè)網(wǎng)絡(luò)數(shù)據(jù)傳輸上，特別對于大型SCADA系統(tǒng)，設(shè)備分散安裝，部分采用公網(wǎng)和無線網(wǎng)絡(luò)，更容易受到攻擊。[!--empirenews.page--]

朱毅明向記者分析道，加密和身份識別是解決工業(yè)網(wǎng)絡(luò)數(shù)據(jù)傳輸?shù)拇胧┲?，但由?strong>工控系統(tǒng)大多采用嵌入式設(shè)計，CPU能力弱加密和身份識別需要耗費(fèi)一定的資源。他建議，對于在售系統(tǒng)和在役系統(tǒng)改造適宜增加外置的加解密設(shè)備解決，而對于正在開發(fā)的系統(tǒng)，應(yīng)在設(shè)備本體內(nèi)解決。