工业控制系统(ICS)的安全研究

0引言

现代包括过程控制、数据采集系统(sCaDa)，分布式控制系统(DCB}，程序逻辑控制(PLC以及其他控制系统等，口前已应用于电力、水力、石化、医药、食品以及汽车、航天等工业领域，成为国家关键基础设施的重要组成部分，关系到国家的战略安全。为此，《国家信息化安全标准化“十一五”规划》特别将制定工CS的安全标准作为“十一五”期间信息安全标准化工作的重点。

与传统的基于TCP/工C协议的网络与信息系统的安全相比，我国工CS的安全保护水平明显偏低，长期以来没有得到关注。大多数工CS在开发时，由于传统工CS技术的计算资源有限，在设计时只考虑到效率和实时等特性，并未将安全作为一个卞要的指标考虑。随着信息化的推动和工业化进程的加速，越来越多的计算机和网络技术应用于，在为工业生产带来极大推动作用的同时，也带来了工CS的安全问题，如木马、病毒、网络攻击造成信息泄露和控制指令篡改等。

图1是美国自1982年起发生的工CS安全事故统计。与互联网上的攻击事件相比，这些数字小得多。但是，由于工CS的特殊性，每一次事件，都代表着广大人群的生活、生产受到巨大影响，经济遭受重大损失甚至倒退。
600)makesmallpic(this,600,1800);" border=0>

员、外部非法入侵者等对系统虎视耽耽。国家关键基础所依赖的很多重要信息系统从技术特征上讲是工CS，而不是传统上我们熟悉的TCP/工P网络，其安全是国家经济稳定运行的关键，是信息战中敌方的重点攻击日标，攻击后果极其严重。

另一方而，系统复杂性、人为事故、操作失误、设备故障和自然灾害等也会对工CS造成破坏。在现代计算机和网络技术融合进工CS后，传统工CP/工P网络上常见的安全问题已经纷纷出现在工CS之上。例如用户可以随意安装、运行各类应用软件、访问各类网站信息，这类行为不仅影响上作效率、浪费系统资源，而且还是病毒、木马等恶意代码进入系统的卞要原因和途径。

1. 2工CS的脆弱性分析

(1)策略和实施存在缺陷

上业控制系统的脆弱性通常是由于缺少完整而合理的策略文档或有效的实施过程而引起的，安全策略文档和管理支持是系统安全的基础，有效的安全策略在系统中的强制实施是减少系统而临的安全风险的前提。

(2)平台弱点

由于工Cs终端的安全防护技术措施十分薄弱，所以病毒、木马、黑客等攻击行为都利用这些安全弱点，在终端上发生、发起，并通过网络感染或破坏其他系统。事实是所有的入侵攻击都是从终端上发起的，黑客利用被攻击系统的漏洞窃取超级用户权限，肆意进行破坏。注入病毒也是从终端发起的，病毒程序利用操作系统对执行代码不检查一致性弱点，将病毒代码嵌入到执行代码程序，实现病毒传播。更为严重的是对合法的用户没有进行严格的访问控制，可以进行越权访问，造成不安全事故。

(3)网络弱点

工CS的网络弱点一般来源于软件的漏洞、错误配置或者工CS网管理的失误。另外，工CS与其他网络勺_连时缺乏安全边界控制，也是常见的安全隐患。通过基于“”思路的网络设计、网络通信加密、网络流量控制、物理访问控制等措施，工CS的网络弱点可以有效避免。

1. 3可能的安全事件

可能导致工Cs安全事件的因素有:

(1)控制系统发生拒绝服务;
(2)对PLC, DCS或SCADA中可编程指令进行非授权修改，使报警门限值改变，或使设备本身发生破坏;
(3)向控制系统的操作员发生虚假信息，使操作员采取错误动作;
(4)修改控制系统的软件或配置设置;
(5)系统中被引入了恶意软件(例如病毒、蠕虫、特洛伊木马等)。

2一种针对工CS的主动式安全方案

在土机及其计算环境中，安全保护对象包括用户应用环境中的服务器、客户机以及其上安装的操作系统和应用系统。系统由安全管理平台和安全终端两大模块组成，如图2所示。

600)makesmallpic(this,600,1800);" border=0>

安全管理平台:负责其所在网络中各终端的安全策略的制定、维护和分发;严格管理模式:只允许终端安装和使用与业务相关的应用软件，禁比一切娱乐软件、聊天软件、理财软件等的安装和使用。

安全终端:安全控制系统最突出的特点是终端应用相对固定，要防范传统方式的病毒或木马等恶意软件，最直接的方式就是在应用加载之前对其进行真实性和完整性检查，但是随着攻击方式的不断改进，这种安全控制措施强度已经变得不够，因为类似rootkit这类攻击会对操作系统底层代码和系统服务产生破坏，因此对操作系统静态和动态内容也必须要进行有效的可信检查。深层次的终端防御体系如图3所示。

现阶段木马的卞要运行方式为向宿卞进程插入非法动态库，达到隐藏木马进程本身的日的，基于这一原理，利用HOOK AP工技术“钩住”系统中所有创建进程以及动态库调用过程，达到监控系统中所有可执行文件加载情况。通过完整性校验，判定某一可执行模块的加载是否合法，实现对木马、病毒等恶意代码的卞动防御，判断的依据是由管理平台制定并下发的可信应用自名单。

600)makesmallpic(this,600,1800);" border=0>

3结论

目前，土业控制系统的网络安全体系在很大程度上是由通用信息安全技术在土业控制系统具体环境的实施下演化而来，土业控制系统面临着通用信息系统所具有的大多安全问题，同时也存在独特的安全需求。

本文中我们针对土业控制系统的安全特点，结合完整性度量技术，提出了在土业控制系统中的一种土动式安全模型，有效避免了土业控制系统安全策略实施的困难性和平台的安全脆弱性，不仅能够防范已知病毒和木马，而且对未知的恶意代码具有免疫能力，能够保证土业控制系统业务的连续性。