智能制造帶來的工業信息安全思考
發表時間:2019-10-08 05:24:39 作者:雕刻機

隨著工業化與信息化融合的浪潮,工業控制系統(industrial control system, ics)與it系統已經密不可分。現代工控系統自身正逐步采用通用的tcp/ip標準協議、通用的操作系統,同業務系統等其它信息系統的連接也越來越多。原來相對封閉的工控網絡環境日趨開放,工控系統逐漸暴露在網絡威脅之下。

截至2018年3月,risi(the repository of industrial security incidents)數據庫已經收集了242起全球著名的工控安全事件。其中以震網病毒和火焰病毒危害最為巨大,令人思之猶有余悸。工控系統與it系統的一大區別是,前者直接與實際受控物理設備互動。一旦工控系統遭受破壞,可能導致物理世界中不可逆轉的重大災難。因此工控信息安全比單純企業信息系統的安全問題更加重要。智能制造將云計算、大數據、物聯網等技術引入工業制造,在提升生產效率的同時,也將工控系統至于更加開放不確定的環境中,安全問題可能更加嚴峻。

智能制造帶來的工業信息安全思考

著名工控安全事件分析

2010年,震網病毒stuxnet入侵伊朗的ics系統,致使布什爾核電站長時間停運。

北京pk10开奖记录"震網"(stuxnet)是一種windows平臺上的計算機蠕蟲病毒。其傳播途徑是首先感染外部主機;然后感染u盤,利用快捷方式文件解析漏洞,傳播到內部網絡;在內部網絡中,通過快捷方式解析漏洞、rpc遠程執行漏洞、打印機后臺程序服務漏洞等,實現聯網主機之間的傳播;通過偽裝realtek 和jmicron兩大公司的數字簽名,順利繞過安全產品的檢測;最后抵達安裝有simatic wincc軟件的主機,展開攻擊。"震網"病毒能控制關鍵進程并開啟一連串執行程序,最終導致整個系統自我毀滅。

北京pk10开奖记录核設施工控網絡是內部網絡,相對安全,但仍被通過“擺渡”的方式入侵,造成了重大災難。入侵利用了多個系統的零日漏洞,而且能偽造大公司的數字簽名,實在值得高度警惕。

2011年,黑客入侵數據采集與監控控制系統(supervisory control and data acquisition,scada)系統,破壞了美國伊利諾伊州城市供水系統的一臺供水泵。此次事件雖未造成重大損失,但足以引起國際上高度關注。因為scada系統廣泛應用于電力、能源行業,這些關鍵行業的scada系統一旦被控制,造成的損失不可估量。

2012年,flame火焰病毒襲擊了伊朗的相關設施,還影響了整個中東地區。該病毒具有超強的數據攫取能力,收集的信息不僅包括鍵盤輸入、語音輸入,還包括屏幕輸出及各種外設通信,幾乎包括了計算機系統的所有輸入輸出。

北京pk10开奖记录火焰病毒被官方機構和殺毒廠商認定為迄今最復雜、最危險的病毒威脅。病毒文件達到20mb,代碼量巨大,組織復雜,要分析透徹,可能要花費幾年時間,想要徹底防御非常困難。該病毒只入侵特定的目標,潛伏性很強。完成搜集數據的任務后,該病毒還會自我毀滅,更增加其隱蔽性。目前火焰病毒主要處于潛伏狀態,但可能已經收集了大量關鍵數據,一旦發起攻擊將是致命的。

2015年12月,blackenergy病毒攻擊scada系統,烏克蘭至少有三個區域的電力系統被攻擊導致大規模停電。blackenerngy利用微軟office的cve-2014-4114漏洞,把惡意腳本封裝在一個office文檔中。當電力系統員工打開這個包含ole對象的office文檔時,ole中的惡意腳本執行,下載病毒程序并加入開機啟動項。blackenerngy包含了killdisk程序,會刪除包含執行文件在內的各種文件,從而破壞scada系統和人機接口(human machine interface,hmi)終端。由此可知,blackenergy對于scada系統的攻擊源頭依然是來源于商業操作系統的漏洞。

智能制造帶來的新安全挑戰

北京pk10开奖记录傳統的工業控制網絡如下圖所示。企業信息網與內部的生產控制網絡組成一個較封閉的環境。要入侵這樣的系統,需要通過介質的擺渡攻擊或者惡意郵件、買通內部員工等社會工程手段來入侵。

智能制造帶來的工業信息安全思考

圖1 傳統工控網絡示意圖

智能制造的變革打破了傳統ics的封閉環境,它融合云計算技術、大數據技術、物聯網技術,將生產制造環節與互聯網信息系統連接起來,實現資源整合共享、生產智能化自動化,從而達到降低運營成本、縮短研制周期、提高生產效率的目標。智能制造環境下網絡環境如下圖所示。

智能制造帶來的工業信息安全思考

北京pk10开奖记录圖2 智能制造網絡環境

早在2010年提出的云工廠概念勾勒了智能制造的原型。云工廠受到互聯網云概念的啟發,認為一切都可以抽象成服務,包括設計服務、生產服務、測試服務、仿真服務、管理服務等。通過服務抽象,達到資源共享的目標。