工业控制系统网络安全的攻击类型及预防措施

随着智能制造全面推进，工业数字化、网络化、智能化加快发展，工控安全面临安全漏洞不断增多、安全威胁加速渗透、攻击手段复杂多样等新挑战。近年来，工业信息安全事件频发，冶金、能源、电力、天然气、通信、交通、制药等众多工业领域不断遭受安全攻击。

传统工业基础设施在维护自身安全上存在先天性的不足。与互联网和移动互联网相比，建立在同样协议基础上的工业体系的运行环境通常极为确定。最初的设计完成后，这套体系在接下来几年中运行的程序、承担的职责就都已经确定。这套系统的计算资源、存储资源和网络带宽资源都非常有限，留给未知元素的系统预留冗余非常少。由于与互联网络分开，而且每个操作都可能具有全局影响，这些系统也很少升级软件，很多对IT设备已经构不成威胁的攻击反而会威胁到工业体系的安全。

而新兴的数字工业，工业互联网的安全问题同样突出。因为大量采用标准化，通用IT技术，实现互联互通，工业系统天然的免疫力降低了，也使得病毒等攻击变得畅通无阻。而且多数数字化升级通常是分步骤进行的，不可避免地会出现新旧系统共生的情况，这更提高了工业安全防护的复杂程度。

01 了解攻击源

随着工业领域其它技术的发展，包括智能传感器、无线网关、远程管理系统、虚拟化、云计算、智能手机和各种商业智能需求，这些工业系统不受外界干扰的可能性会越来越小。人作为最重要的因素也不可忽视，如在工控系统上使用不安全的U盘；工业操作系统基本上不更新，病毒进入工业设施的内部网络之后简直如入无人之境；工业系统在运营一段时间之后需要设备调试，调试工程师习惯把个人电脑接入工业系统，但没人可以保证这些便携设备的安全。

为了应对网络安全威胁，第一步是了解攻击者可能来自何处。来自外部网络、因特网和远程连接，通过企业资源计划（ERP）软件、网关、数据和文档存储库以及在线历史数据库所进行的入站攻击。攻击者的常见切入点包括：

●防火墙和网关配置不正确； 　　●用户通过被盗或伪造的凭证，访问业务工作站和控制计算机； 　　●针对生产系统的物理攻击，在大多数情况下，这些攻击是针对人机界面（HMI）、工程师和操作员工作站以及实际过程安全控制器； 　　●针对控制网络并使用工业通信协议的横向网络攻击，以发现网络上的其它设备并传播恶意代码； 　　●社会工程攻击，其重点是使用个人身份信息来诱骗内部人员给予访问权限、无意中打开网关和运行脚本。

02 网络安全预防措施

未来工业安全战场的制胜关键取决于态势感知能力的建设。在于是否能够快速获取外部的攻击威胁情报，更重要的是能否实时动态地掌握自身的情况，并结合两者及时做出最恰当的决策与响应。

建立工业信息安全运营中心是制胜的关键，它将实现工业控制网络安全态势感知，做到对工控系统的全面监测。面向运营技术领域，对各种工控数据进行全面、深入的安全智能分析，以多视图、多角度、多尺度的方式展现工控网络的安全态势。通过实现虚拟安全态势和现实安全的连接，实现现场数字设备安全和云端大数据安全分析及应用互联。

每种类型的攻击都有其自己的预防措施，通常可以分为以下8种类型。

1.隔离和细分： 　　利用工具和合格的人员对控制网络进行彻底的缺口评估，通常可以发现许多不受监控的访问点： 　　●对工程/操作员工作站的访问不受限制； 　　●过时的恶意软件检测； 　　●尚未得到保护或审计的第三方应用程序和连接器； 　　●从控制网络导出数据时缺乏非军事区（DMZ）或数据隔离； 　　●连接到公共区域的关键资产。 2.管理用户访问控制： 　　采取措施限制未经授权的访问以及跟踪和停止与未经授权的访问有关的任何活动。 　　●加强对未经授权人员访问的难度； 　　●制定管理政策并严格按照计划进行更新； 　　●在整个企业中启用多因素身份验证； 　　●白名单、添加预先批准的地址、位置和基于端口的警报，以识别人员访问系统； 　　●更改所有密码和密码的默认值，并定期更新用户密码。 　3.打补丁频率： 　　必须定期将所有控制和安全设备更新到最新的固件版本。虽然例行的非侵入式修补程序是所有关键控制器都应采用的方法，但至少应在每个年度维护周期内进行修补。 4.运行验证检查： 　　通过程序、逻辑和可执行验证检查，确保对逻辑、代码和脚本的更改都是授权人员有意进行的更改。使用工具来自动检测逻辑级别的任何更改，并且可以在受控环境中执行任何此类更改，并保留备份副本，以备在控制器或系统受到威胁时可以恢复。 　5.增加物理安全性： 　　现在一些控制系统供应商在其控制器上配置了物理锁，可以防止在未先通过物理安全层的情况下在控制器上执行任何其它代码。 6.网络安全培训： 　　包括培训人员如何识别攻击、如何保护其个人身份信息以及如何保护自己免受攻击。应当为各级管理人员、执行人员、运营技术（OT）系统管理员和用户提供此培训。 7.创建事件响应计划： 　　网络安全实施工作需要包括一个可行的计划，供人员在安全受到破坏或发现威胁时使用。这些计划一旦制定，就需要通过定期的培训来实践，并提供给所有负责人员，以确保在安全事件发生时迅速采取行动。 8.持续更新的资产登记： 　　为降低风险，请保留所有列出的运营技术资产清单的最新记录，包括交换机、路由器、防火墙、各种网页服务、监控和数据采集（SCADA）软件、历史库服务器、控制器或任何因特网协议（IP）可寻址设备，所有这些都可能使攻击者找到利用不受管理系统的空间。可以通过网络监视以获取最新版本的资产清单，同时可以通过各种工具监视修补程序和任何漏洞。