工业控制管理系统信息安全防护

  简介：本文从工业控制管理系统信息安全概念、防护目标、技术体系、发展的新趋势等方面做了系统介绍。

  通常情况下，工业控制管理系统安全可以分成三个方面，即功能安全、物理安全和信息安全。

  功能安全是为了达到设备和工厂安全功能，受保护的、和控制设备的安全相关部分必须正确执行其功能，而且当失效或故障发生时，设备或系统必须仍能保持安全性能条件或进入到安全状态。

  物理安全是减少由于电击、火灾、辐射、机械危险、化学危险等因素造成的危害。

  在IEC62443中针对工业控制管理系统信息安全的定义是：“保护系统所采取的措施；由建立和维护保护系统的措施所得到的系统状态；能够免于对系统资源的非授权访问和非授权或意外的变更、破坏或者损失；基于计算机系统的能力，能确保非授权人员和系统既无法修改软件及其数据也无法访问系统功能，却保证授权人员和系统不被阻止；防止对工业控制管理系统的非法或有害入侵，或者干扰其正确和计划的操作。” 工业控制管理系统的信息安全不仅会造成信息的丢失，还会造成工业过程生产故障的发生，从而造成人员损害及设备损坏，其直接财产的损失是巨大的，甚至有可能引起环境问题和社会问题。

  功能安全，使用安全完整性等级的概念已有近20年。功能安全规范要求通常将一个部件或系统的安全表示为单个数字，而这一个数字是为保障人员健康、生产安全和环境安全而提出的基于该部件或系统失效率的保护因子。

  物理安全，保护要素主要由一系列安全生产操作规范定义。政府、企业及行业组织等一般是通过完备的安全生产操作的过程约束工业系统现场操作的标准性，确保事故的可追溯性，并能明确有关人员的责任，管理和制度因素是保护物理安全的主要方式。

  工业控制管理系统信息安全的评估方法与功能安全的评估不一样。虽然都是保障人员健康、生产安全或环境安全，但是功能安全使用安全完整性等级是基于随机硬件失效的一个部件或系统失效的可能性计算得出的，而信息安全系统有着更为广阔的应用，以及更多可能的诱因和后果。影响信息安全的因数很复杂，很难用一个简单的数字描述出来。然而，功能安全的全生命周期安全理念同样适用于信息安全，信息安全的管理和维护也必须是周而复始不断进行的。

  通过结合前期一些项目研究工作经历及相关研究结论，现总结出一些先前所认识到的工业控制管理系统信息安全与传统的IP信息网络安全的区别，并提出工业控制管理系统信息安全一定要解决的新问题。

  上文论述的这些区别都是重要的，控制管理系统相对于其他IT系统的主要区别是控制管理系统与物理世界的相互作用。

  总体来说，传统IP信息网络安全已发展到较为成熟的技术和设计准则（认证，访问控制，信息完整性，特权分离等），这些可以帮助我们阻止和响应针对工业控制管理系统的攻击。然而，传统意义上讲，计算机信息安全研究关注于信息的保护；研究人员不会考虑攻击是怎么样影响评估和控制算法，最终，攻击是怎么样影响物理世界的。

  当前已有的各种信息安全工具，能够对控制管理系统安全给予必要机制，这些单独的机制对于深度防护控制是不够的。

  通过深入理解控制管理系统与真实物理世界的交互过程，研究人员在未来需要开展的工作可能是：

  1）更好地理解攻击的后果：到目前为止，没有深入研究攻击者获得非授权访问一些控制网络设备后将造成的危害。

  2）设计全新的攻击检测算法：通过理解物理过程应有的控制行为，并基于过程控制命令和传感器测量，能够识别攻击者是否试图干扰控制或传感器的数据。

  3）设计新的抗攻击弹性算法和架构：如果检测到一个工业控制管理系统攻击行为，能够适时改变控制命令，用于增加控制管理系统的弹性，减少损失。

  4）设计适合工业SCADA系统现场设备的身份认证与密码技术：目前一些成熟的、复杂的、健壮的密码技术通常不能在工业控制管理系统的现场设备中完成访问控制功能，根本原因在于过于复杂的密码机制可能隐藏在紧急状况下妨碍应急处理程序快速响应的风险。工业自动控制领域的专家一般认为相对较弱的密码机制（如缺省密码、固定密码甚至空口令等），非常容易在紧急状况下进行猜测、传送等，进而不会对应急处理程序本身产生额外影响。

  5）开发硬件兼容能力更强的工业SCADA系统安全防护技术：传统IT数据网络中安全防护能力较强的技术如身份认证、鉴别、加密、入侵检测和访问控制技术等普遍强调占用更多的网络带宽、CPU性能和内存资源，而这些资源在工业控制管理系统设备中十分有限，工业控制设备最初的设计目标是完成特定现场作业任务，它们一般是低成本、低处理器效能的设备。而且，在石油、供水等能源工业系统控制装置中仍然在使用一些很陈旧的处理器（如1978年出厂的Intel8088处理器）。因此，在这类装置中部署主流的信息安全防护技术而又不显著降低工业现场控制装置的性能具有一定难度。

  6）研制兼容多种操作系统或软件平台的安全防护技术：传统IT数据网络中的信息安全技术机制，主要解决以Windows、Linux、Unix等通用型操作系统平台上的信息安全问题。而在工业SCADA系统领域，现场工业SCADA系统装置通常用设备供应商（ABB、西门子、霍尼韦尔等）独立研发的、非公开的操作系统（有时称为固件）、专用软件平台（如GE的iFix等）完成特定的工业过程控制功能。因此，如何在非通用操作系统及软件平台上开发、部署甚至升级信息安全防护技术，是工业SCADA系统信息安全未来需要重点解决的问题。

  工业控制管理系统信息安全内涵、需求和目标特性，决定了需要一些特殊的信息安全技术、措施，在工业生产过程中的IED、PLC、RTU、控制器、通信处理机、SCADA系统和各种实际的、很多类型的可编程数字化设备中使用或配置，达到保障工业控制管理系统生产、控制与管理的安全功能目标。所有自动控制管理系统信息安全的基础技术是访问控制和用户身份认证，在此基础上发展了一些通过探针、信道加密、数据包核查和认证等手段保护通信数据报文安全的技术。为实现功能安全前提下的工业控制管理系统信息安全，需要构筑工业控制系统信息安全事前、事中和事后的全面管理、整体安全的防护技术体系。

  事前防御技术是工业控制信息安全防护技术体系中较为重要的部分，目前有很多成熟的基础技术能利用：

  入侵检测（IDS）技术对于识别内部的错误操作和外部攻击者尝试获得内部访问权限的攻击行为是很有效的。它能够检测和识别出内部或外部用户破坏网络的意图。IDS有两种常见的形式：数字签名检测系统和不规则检测系统。入侵者常常通过攻击数字签名，从而获得进入系统的权限或破坏网络的完整性。数字签名检测系统通过将现在的攻击特性与已知攻击特性数据库进行比对，根据选择的灵敏程度，最终确定比对结果。然后，根据比对结果，确定攻击行为的发生，从而阻断攻击行为并且通报系统管理员当前系统正在遭受到攻击。不规则检测技术通过对比正在运行的系统行为和正常系统行为之间的差异，确定入侵行为的发生且向系统管理员报警。例如，IDS能够检测在午夜时分系统不正常的活跃性或者外部网络大量访问某I/O端口等。当不正常的活动发生时，IDS能够阻断攻击并且提醒系统管理员。

  以上两种IDS系统都有其优点和缺点，但是，它们都有一个相同的问题—如何设置检测灵敏度。高灵敏度会造成错误的入侵报警， IDS会对每个入侵警报作相应的系统动作，因此，过多的错误入侵警报，不仅会破坏正常系统的某些必须的功能，而且还会对系统造成大量额外的负担。而低灵敏度会使IDS不能检测到某些入侵行为的发生，因此IDS会对一些入侵行为视而不见，从而使入侵者成功进入系统，造成不可预期的损失。

  审计日志机制是对合法的和非合法的用户的认证信息和其他特征信息进行记录的文件，是工业控制管理系统信息安全主要的事后取证技术之一。因此，针对每个对系统的访问及其相关操作均需要被记录在案。当诊断和审核网络电子入侵是否发生时，审计日记是必不可少的判断标准之一。此外，系统行为记录也是工业SCADA系统信息安全的常用技术。

  上述讨论的是在工业控制管理系统信息安全中一些常用的、常规性技术，而在工业控制管理系统信息安全实施过程中，主要有以下一些特别的关键技术。

  在“两化”深层次地融合的发展背景下，工业控制管理系统信息安全问题也随之而来。全球范围内继“震网”病毒事件后又接连发生的几起重大的工业网络安全事件，将工业网络安全推向了一个新的高度。如何防微杜渐，防止工业控制管理系统安全事件的再次发生，在重点能源企业构筑安全的工业控制管理系统，慢慢的变成了政府和企业关注的热点。

  “震网”病毒事件为全球关键基础设施核心要害系统安全问题敲响了警钟。分析工业控制管理系统所遭受的漏洞和攻击，能够准确的看出工业控制管理系统漏洞攻击正向着简单控制器受攻击增大、利用网络协议进行攻击、专业攻击人员进行攻击、利用病毒进行攻击、工业控制管理系统漏洞挖掘与发布同时增长的趋势发展。当前，美国和欧盟都从国家战略的层面在开展各方面的工作，积极研究工业控制管理系统信息安全的应对策略。我国也在政策层面和研究层面积极开展工作，但中国工业控制管理系统信息安全工作起步晚，总体上技术探讨研究尚属起步阶段，管理制度不健全，有关标准规范不完善，技术保护措施不到位，安全防护能力和应急解决能力不高，这样一些问题都威胁着工业生产安全和社会正常运作。因此，整合各方面优势资源，促进工业控制管理系统信息安全产业的形成，是未来工业控制管理系统网络信息安全发展的基本趋势。

  另一方面，工业控制管理系统信息安全技术的发展，将随工业自动化系统的发展而不断演化。目前自动化系统发展的趋势就是数字化、智能化、网络化和人机交互人性化。同时将更多的IT技术应用到传统的逻辑控制和数字控制中。工业控制管理系统信息安全技术未来也将进一步借助传统IT技术，使其更加智能化、网络化，成为控制管理系统的必不可少的一部分。与传统IP互联网的信息安全产品研制路线类似，工业控制管理系统信息安全产品将在信息安全与工业生产控制之间找到契合点，形成工业控制管理系统特色鲜明的安全输入、安全控制、安全输出类产品体系。值得指出的是，随工业控制管理系统信息安全认识和有关技术的不断深化，必将产生一系列与工业控制管理系统功能安全、现场应用环境紧密联系，特色鲜明的工业控制管理系统安全防护工具、设备及系统。(饶志宏 )