SCADA系统软件网络安全如何防护?

日期:2018-05-29 / 人气: / 来源:未知

说到工业控制 SCADA系统 软件(Supervisory Control and Data Acquisition,数据采集与监控系统),也许大家并不陌生,因为它应用于工业网络的各个领域,如电力、石油、冶金、天然气、铁路、供水、化工等关系国家命脉的基础产业都使用SCADA系统软件,说它是一个国家的命门也不为过。这些重要基础设施互相关联,构成复杂、庞大的体系,为国防安全、经济运行提供不可替代的物质和服务。如今随着两化融合、智能制造2025、工业4.0这一波“工业革命”的浪潮,黑客已经从原来的攻击普通网络转向攻击关键信息基础设施,而对于其中的SCADA系统软件来说,一旦出现攻击,造成的损失可能是无法估量的,与此同时刚刚落地执行的《中华人民共和国网络安全法》更是在第三章明确指出了国家关键基础设施的网络安全建设、防护要求。因此,对于SCADA系统软件安全来说,亡羊补牢固然重要,事前的预防则更为重要,需要将SCADA系统软件提前保护。

SCADA系统软件

知己知彼 百战不殆

中国有句老话“知己知彼 百战不殆”,只有先清楚的知道自己,才能更好的保护自己,那就让我们重新认识一下工业控制SCADA系统软件。
工业控制SCADA系统软件是以计算机为基础的DCS与电力自动化监控系统,发展到今天,SCADA系统软件已经发展到第四代,其特点是大量采用通用操作系统、接口和系统模块,而且与外网Internet深度融合。根据最终用途不同,市场上有很多不同特点的SCADA系统软件,但整体的架构是相似的,通常状态下,工业SCADA系统软件结构逻辑模型如下图:
 
一般来说一个SCADA系统软件由下面几个关键部分组成:

人机界面(HMI):负责对操作员的数据表现,通常包括一个监控生产流程的终端;
远程终端单元(RTU):是由微处理器控制的电子设备,用来在传感器与SCADA系统软件之间传输数据;
监管系统:包括SCADA相关服务器、操作员站、工程师站等,用来采集数据并且控制生产流程;
可编程控制器(PLC):作为现场设备的最终控制器链接监管系统和远程终端单元的通讯系统各种流程和分析仪表。

对于攻击者来说,攻击这样的系统有几个攻击点:

(1)比如恶意软件、恶意代码可能通过企业办公网来感染监视管理系统,监管系统通常是采用商业操作系统的计算机,威努特已在多个行业的SCADA系统软件上有诸多成功案例,对监管系统比较了解,目前在很多工业企业里采用的还是Windows XP。这些商业操作系统微软已经不进行维护了,容易被黑客利用0-day漏洞或者其他知名的漏洞进行攻击,如“震网”病毒就是利用微软系统的几个漏洞而造成的。
(2)比如在很多情况下,黑客可以很容易地利用Internet上的漏洞攻击工具进行攻击,同时两化融合也增加了该类风险的比例。
(3)此外, SCADA系统软件还可以有其他多种感染方式:比如病毒可以通过U盘或者网络进入系统,毕竟很多工控系统的维护是由第三方公司来完成的,而第三方公司的工程师很多是用自带U盘来携带维护和检测工具的。因此,这些接口应该被正确的保护起来,应该确保非授权用户不能使用这些接口。
(4)比如远程的维护通道,在实际业务场景下,很多情况需要厂家对系统、对设备进行远程维护,多为通过Internet 远程连接到生产系统内部,直接导致生产网络暴露在互联网上,风险性极大。这些远程维护通道应严格限制使用。
(5)比如内部心怀不轨的员工,员工具备直接操作与生产作业区内关键工作站、服务器,而往往在SCADA系统软件内部的工作站、服务器上没有对关键程序、数据文件进行保护的措施,导致一旦出现恶意删除、修改、执行恶意执行的行为,会给SCADA系统软件带来更为直接的危害。
(6)比如底层控制设备大多采用国外的控制器设备,如西门子、施耐德、AB等。对于国外的设备本身存在安全漏洞,就其根本这并不是最可怕的,最可怕的是我们无法掌握这些安全漏洞哪些是有意创造出来,这相当于一颗定时炸弹在身边。
通过上述描述我们可以清晰的看到,对于黑客而言,入侵工业控制SCADA系统软件的途径多种多样,手段多种多样,所以建立一套以不变应万变,适用于工业控制SCADA系统软件的安全防护机制、体系就显得格外重要。

对增加SCADA系统软件安全性的一点建议:

(1)确认SCADA网络的连接完好
要对SCADA网络的每一条连接的安全性和必要性的危险评估分析。对SCADA网络的连接有一个比较综合的理解,并知道他们的连接的保护状况。

(2)断开SCADA网络没有必要的连接
为了保证SACDA网络安全度最高,要在最大程度上避免SCADA网络与其它网络的连接。

(3)对SCADA网络所剩下的连接安全性进行评估,并进一步加强
对SCADA网络所剩下的连接进行深入的测试和脆弱性分析,来评估这些路径所处的安全状态。使用这些信息和SCADA和风险管理程序来为SCADA网络的所有链路生成一个强健的保护策略。由于SCADA网络的安全取决于它的最薄弱的连接点,所以在每个进入点使用工业级边界隔离系统、工业级入侵检测系统和一些其它的安全策略十分重要。

(4)通过取消或是减少一些没有必要的服务来巩固SCADA网络
建立在商业或是开放源码的基础上的操作系统可以通过很多默认的网络服务遭到攻击。要在最大程度上减少、忽略、取消不用的网络服务或是后台,以减少直接的网络攻击。除非经过风险评估显示,这项服务的好处远远大于其潜在的风险所带来的危害,否则绝对不能允许SCADA网络使用某项服务或是性能。

(5)不要依靠专有的协议来保护系统
一些SCADA系统软件为了支持在现场设备和服务器之间的通讯而使用独立、专有的协议。通常这些SCADA系统软件的安全性只是基于对这些协议的保密性上。然而不幸的是,保密的协议所提供的真正的安全少的可怜。所以不要因为是私有协议,就认为它是安全的。另外,要要求供应商关闭SCADA系统软件上所有的后门或是供应商接口,并要求他们提供可以得到保护的系统。

(6)严格控制作为SCADA网络后门的所有途径
如果SCADA网络上真的存在后门或是供应商连接时,要严格执行验证以保证安全通讯。调制解调器、通讯和维护用的无线及有线的网络是SCADA网络和远程站点的最脆弱部分。

(7)执行内部监测审计,外部入侵检测,保证每天24小时监控
为了对网络袭击具有有效的响应,要使用一种监测策略,包括由来自互联网或是外部的资源的恶意行为时,对网络管理员提出警示。检测系统是24小时连续工作的,这项功能可以很容易的被设置。另外,事故响应程序必须要恰当,在攻击发生时可以有效的做出动作。为了执行网络的监控功能,要在所有系统上增强日志功能,并且每天审核日志,即时的监测到可疑行为。

(8)进行物理上的安全调查并对连接到SCADA网络上的远程站点进行评估,对他们的安全性作出评价
任何连接到SCADA网络上的部分都是被检查和评估的目标,尤其是无人场站。在每个设备上,都要进行物理上的安全检查。确认并评估所有的信息资源,包括可能被窃听的电话和计算机网络、光缆;可能被利用的无线电和微波线路;可能被访问的计算机终端;无线网络的访问点。消除单纯的点失败。这些点的安全性可以足够阻止未授权访问,不允许只为了方便,在远程或是没有任何保护的站点设置活动访问点。

对提高SCADA系统软件安全性的解决方案:
白名单是在工业网络环境中最有效保障安全的方法,白名单不仅适用于主机安全防护,同时适用于边界安全防护,通信安全防护。白名单技术是指创建预先批准,受信任的列表、模型,仅允许这些“已知良好”的正常运行,并默认阻止其他一切。这与黑名单相反,黑名单是创建不被允许运行的应用或进程列表。然而,白名单能够比黑名单更好地帮助工业网络环境下的用户解决安全问题,白名单和黑名单分别体现“主动防御”和“被动防御”两种防护方式。
通过“白名单”的安全机制,衍生出“白环境”的工业控制系统的安全解决理念。

只有可信任的设备,才能接入控制网络;
只有可信任的消息,才能在网络上传输;
只有可信任的软件,才允许被执行;

通过建立以工控系统的可信任网络白环境和工控软件白名单的理念为客户构筑工控系统“安全白环境”整体防护体系,保护国家基础设施安全。

典型工业SCADA系统软件安全解决方案

做为国内专业的工控安全厂商、安全服务提供商,威努特公司结合SCADA系统软件的结构、现状、特点,推出了适用于工业控制SCADA系统软件的“白环境”解决方案,整个方案涵盖控制中心、各级场站等SCADA系统软件的重要组成部分,方案架构图如下所示:

(1)边界防护&访问控制&恶意代码防范
在调度中心与办公网之间、在调度中心内部不同区域之间、在各场站之间部署边界防护设备,实现基于白名单机制的纵深安全边界防护,阻止来自外部系统攻击行为、阻止不同系统之间的越权访问行为、阻止病毒、蠕虫恶意软件扩散和入侵攻击,保护控制系统安全运行、阻止非授权设备的接入;
(2)安全审计&恶意代码防范
在调度中心、场站各级交换机上,采用旁路的方式部署监测审计系统实时检测工控网络中的恶意攻击、误操作、违规行为、非法设备接入以及蠕虫、病毒等恶意软件的传播,帮助客户及时发现,采取应对措施,避免发生安全事故;详实记录一切网络通信流量,包括网络连接、网络协议、网络会话、工控协议指令等,为安全事故调查取证提供技术支撑;
(3)入侵检测
在调度中心核心交换机上采用旁路的方式部署入侵检测系统,实时检测来自管理网、互联网的恶意行为,以及蠕虫、病毒等恶意软件的入侵,帮助客户及时采取应对措施,避免发生安全事故;通过网络入侵检测系统,形成图形化的日志报表,帮助安全管理员实时展现工控网络中潜在的安全威胁和安全级别。
(4)主机加固&主机安全防护
部署在调度中心和各场站的终端和服务器上阻止非授权软件或进程的安装和运行,防止恶意代码攻击;避免定期升级病毒库及漏洞库,变被动为主动;防止操作员使用移动介质带入病毒在业务网中扩散;杜绝信息非法窃取、数据和系统遭受非法破坏的行为发生;对关键服务器进行加固,保证服务器安全。
(5)网络设备防护&审计&身份鉴别
在调度中心的核心交换机上,部署运维管理系统,阻止非授权用户访问网络、安全设备;阻止非授权的用户远程维护服务器、工作站、网络设备、安全设备等;对远程维护行为操作进行监测、审计,阻止误操作、恶意操作;全程记录维护行为,对恶意操作行为进行取证。
(6)统一安全管理中心
单独建立安全管理区域,通过工业防火墙实现对安全管理区的安全防护,实现对安全设备统一管理,策略统一下发等;对安全日志进行关联分析,并通过图形、报表方式对当前安全状态进行可视化展示;便于中央级维护人员进行维护管理,实现安全事件报警管理。

方案特点
(1)完全遵循《信息安全技术 网络安全等级保护基本要求  第5部分:工业控制系统安全扩展要求》与《工业控制系统信息安全防护指南》要求;
(2)技术与管理并重,注重整体的安全集成;
(3)纵深防御,提供整体安全保障能力;
(4)多种安全手段有机结合,注重整理安全防范能力,各类安全手段集中管理,简化运维。

典型SCADA系统软件安全部署案例

(1)某城市燃气公司安全解决案例
1.1)在调度中心和各场站之间部署工业防火墙,进行网络层级间的安全隔离和防护;
1.2)在各场站PLC/RTU等工控设备的网络出口位置部署工业防火墙,对外来访问进行严格控制;
1.3)在调度中心、各场站、门站的工程师站、操作员站及服务器上部署工控主机卫士,对各个区域的主机进行安全防护;
1.4)在调度中心部署统一安全管理平台,对工控网络中的安全产品进行管理、配置和维护,便于综合分析、及时定位问题。

(2)新疆某油田安全解决案例
2.1)部署工业防火墙对采油厂工控网络分区分域,配置不同的访问控制策略,有效的保障了区域间的边界防护;
2.2)在采油厂各工程师站、操作员站上部署工控主机卫士,实现对关键终端的主机安全防护;
2.3)部署监测审计平台,对操作人员的行为进行审计和记录,有效的防止了内部员工的恶意操作行为;
2.4)部署统一安全管理平台,对网络中的安全设备进行统一配置和管理,将运维工作简单化。

结束语
随着我国基础产业“两化融合”进程的不断加快发展,SCADA系统软件的应用日益广泛,从对其应用的电力、冶金、建材、化工、市政、交通等各个行业的影响来说,也是关系国计民生的大事,其安全防护已纳入国家战略,建立工业控制 SCADA系统软件 的信息安全防护体系,确保SCADA系统软件的安全、稳定和优质运行,能更好地为国民经济高速发展和满足人民生活需要提供服务。




作者:hzjuxadmin


现在致电 4008233516 OR 查看更多联系方式 →

Go To Top 回顶部