2017年6月中下旬，美國(guó)賓夕法尼亞Bala Cynwyd的亞當(dāng)弗拉納根（42歲）因破壞美國(guó)東海岸多個(gè)供水設(shè)施提供商的網(wǎng)絡(luò)被判1年零1天的監(jiān)禁。

這事還要從2013年11月，該公司以非公開(kāi)理由解雇了弗拉納根說(shuō)起。

弗拉納根從2007年11月開(kāi)始就職于某智能水電氣設(shè)備制造商，他的工作職責(zé)之一是為客戶（主要為供水設(shè)施網(wǎng)絡(luò)）建立塔式網(wǎng)關(guān)基站（TGB）。

被解雇后，弗拉納根懷恨在心決定報(bào)復(fù)公司，從而關(guān)閉了TGB，使該公司客戶的供水設(shè)施網(wǎng)絡(luò)陷入癱瘓，之后他用攻擊性的語(yǔ)言修改了某些TGB上的密碼。

而這起安全事件導(dǎo)致了美國(guó)東海岸5個(gè)城市的塔式網(wǎng)關(guān)基站受到影響，供水設(shè)施提供商不得不派遣員工到客戶家中手工抄寫每月的用水量。

以上僅為一例工業(yè)控制系統(tǒng)入侵事件，事實(shí)上相關(guān)安全事件已層出不窮。

去年8月3日，印度多地發(fā)生網(wǎng)絡(luò)攻擊事件，影響了Bharat Sanchar Nigam Limited（BSNL）和Mahanagar Telephone Nigam Limited（MTNL）這兩家印度國(guó)有電信服務(wù)提供商的機(jī)房?jī)?nèi)的調(diào)制調(diào)解器以及用戶的路由器，事件導(dǎo)致印度東北部、北部和南部地區(qū)調(diào)制調(diào)解器丟失網(wǎng)絡(luò)連接，預(yù)計(jì)6萬(wàn)臺(tái)調(diào)制調(diào)解器掉線，影響了45%的寬帶連接。

10月11日，黑客針對(duì)瑞典運(yùn)輸管理局（ Trafikverket ）展開(kāi) DDoS 攻擊，導(dǎo)致該機(jī)構(gòu)負(fù)責(zé)管理列車訂單的 IT 系統(tǒng)癱瘓，以及電子郵件系統(tǒng)與網(wǎng)站宕機(jī)，從而影響了旅客預(yù)定或修改訂單的情況。

12月，黑客利用惡意軟件Triton攻擊了施耐德電氣公司Triconex安全儀表系統(tǒng)（Triconex Safety Instrumented System，SIS），該系統(tǒng)廣泛應(yīng)用于能源行業(yè)，包括石油天然氣和核設(shè)施的功能安全保護(hù)。

顯然攻擊者已不滿足于攻擊常規(guī)工控系統(tǒng)（DCS、PLC等），造成停車或停產(chǎn)，而是開(kāi)始攻擊工業(yè)領(lǐng)域最核心的安全保護(hù)系統(tǒng)，嘗試造成爆炸、有害物質(zhì)泄漏等更嚴(yán)重的危害。

隨著IT（信息技術(shù)）/OT（操作技術(shù)）一體化的迅速發(fā)展，工業(yè)控制系統(tǒng)越來(lái)越多的采用通用硬件和通用軟件，工控系統(tǒng)的開(kāi)放性與日俱增，系統(tǒng)安全漏洞和缺陷也更易被病毒所利用。

來(lái)自外部的安全挑戰(zhàn)

1） 暴露在外的攻擊面越來(lái)越大

IT/OT一體化后端點(diǎn)增加，給工業(yè)控制系統(tǒng)（ICS）、數(shù)據(jù)采集與監(jiān)視控制系統(tǒng)（SCADA）等工業(yè)設(shè)施帶來(lái)了更大的攻擊面。與傳統(tǒng)IT系統(tǒng)相比較，II/OT一體化的安全問(wèn)題往往把安全威脅從虛擬世界帶到現(xiàn)實(shí)世界，可能會(huì)對(duì)人的生命安全和社會(huì)的安全穩(wěn)定造成重大影響。

2） 操作系統(tǒng)安全漏洞難以修補(bǔ)

工業(yè)控制系統(tǒng)操作站普遍采用PC+Windows的技術(shù)架構(gòu)，任何一個(gè)版本的Windows自發(fā)布以來(lái)都在不停的發(fā)布漏洞補(bǔ)丁，為保證過(guò)程控制系統(tǒng)的可靠性，現(xiàn)場(chǎng)工程師通常在系統(tǒng)開(kāi)發(fā)后不會(huì)對(duì)Windows平臺(tái)打任何補(bǔ)丁，更為重要的是即使打過(guò)補(bǔ)丁的操作系統(tǒng)也很少再經(jīng)過(guò)工控系統(tǒng)原廠或自動(dòng)化集成商商測(cè)試，存在可靠性風(fēng)險(xiǎn)。但是與之相矛盾的是，系統(tǒng)不打補(bǔ)丁就會(huì)存在被攻擊的漏洞，即使是普通常見(jiàn)病毒也會(huì)遭受感染，可能造成Windows平臺(tái)乃至控制網(wǎng)絡(luò)的癱瘓。

3） 軟件漏洞容易被黑客利用

黑客入侵和工控應(yīng)用軟件的自身漏洞通常發(fā)生在遠(yuǎn)程工控系統(tǒng)的應(yīng)用上，另外，對(duì)于分布式的大型的工控網(wǎng)，人們?yōu)榱丝刂票O(jiān)視方便，常常會(huì)開(kāi)放VPN tunnel等方式接入甚至直接開(kāi)放部分端口，這種情況下也不可避免的給黑客入侵帶來(lái)了方便之門。

4） 惡意代碼不敢殺、不能殺

基于Windows平臺(tái)的PC廣泛應(yīng)用，病毒也隨之而泛濫。全球范圍內(nèi)，每年都會(huì)發(fā)生數(shù)次大規(guī)模的病毒爆發(fā)。目前全球已發(fā)現(xiàn)數(shù)萬(wàn)種病毒，并且還在以每天數(shù)十余種的速度增長(zhǎng)。這些惡意代碼具有更強(qiáng)的傳播能力和破壞性。

例如蠕蟲(chóng)病毒死灰復(fù)燃。與一般的木馬病毒不同，這種病毒隨著第三方打補(bǔ)丁工具和安全軟件的普及，近些年來(lái)本已幾乎絕跡。但隨著永恒之藍(lán)、永恒之石等網(wǎng)軍武器的泄露，蠕蟲(chóng)病毒又重新獲得了生存空間，死灰復(fù)燃。其最為顯性的代表就是WannaCry病毒?；诠た剀浖c殺毒軟件的兼容性，在操作站（HMI）上通常不安裝殺毒軟件，即使是有防病毒產(chǎn)品，其基于病毒庫(kù)查殺的機(jī)制在工控領(lǐng)域使用也有局限性，主要是網(wǎng)絡(luò)的隔離性和保證系統(tǒng)的穩(wěn)定性要求導(dǎo)致病毒庫(kù)對(duì)新病毒的處理總是滯后的，這樣，工控系統(tǒng)每年都會(huì)大規(guī)模地爆發(fā)病毒，特別是新病毒。在操作站上，即插即用的U盤等存儲(chǔ)設(shè)備濫用，更給這類病毒帶來(lái)了泛濫傳播的機(jī)會(huì)。

5） DDOS攻擊隨時(shí)可能中斷生產(chǎn)

拒絕服務(wù)攻擊是一種危害極大的安全隱患，它可以人為操縱也可以由病毒自動(dòng)執(zhí)行，常見(jiàn)的流量型攻擊如Ping Flooding、UDP Flooding等，以及常見(jiàn)的連接型攻擊如SYN Flooding、ACK Flooding等，通過(guò)消耗系統(tǒng)的資源，如網(wǎng)絡(luò)帶寬、連接數(shù)、CPU 處理能力、緩沖內(nèi)存等使得正常的服務(wù)功能無(wú)法進(jìn)行。拒絕服務(wù)攻擊非常難以防范，原因是它的攻擊對(duì)象非常普遍，從服務(wù)器到各種網(wǎng)絡(luò)設(shè)備如路由器、防火墻、IT防火墻等都可以被拒絕服務(wù)攻擊?？刂凭W(wǎng)絡(luò)一旦遭受嚴(yán)重的拒絕服務(wù)攻擊就會(huì)導(dǎo)致嚴(yán)重后果，輕則控制系統(tǒng)的通信完全中斷，重則可導(dǎo)致控制器死機(jī)等。目前這種現(xiàn)象已經(jīng)在多家工控系統(tǒng)中已經(jīng)出現(xiàn)

網(wǎng)絡(luò)風(fēng)暴經(jīng)常是由于ARP欺騙引起的flood攻擊，或者因工控信息網(wǎng)絡(luò)因環(huán)路故障造成的網(wǎng)絡(luò)風(fēng)暴，這種攻擊往往發(fā)生在同一網(wǎng)段的控制區(qū)域中，占用大量的帶寬資源，工控系統(tǒng)疲于處理各種報(bào)文，將系統(tǒng)資源消耗殆盡，使工業(yè)系統(tǒng)報(bào)文無(wú)法正常傳輸。目前的工業(yè)總線設(shè)備終端對(duì)此類拒絕服務(wù)攻擊和網(wǎng)絡(luò)風(fēng)暴基本沒(méi)有防范能力，另外，傳統(tǒng)的安全技術(shù)對(duì)這樣的攻擊也幾乎不可避免，缺乏有效的手段來(lái)解決，往往造成嚴(yán)重后果。

6） 高級(jí)持續(xù)性威脅時(shí)刻環(huán)伺

高級(jí)持續(xù)性威脅的特點(diǎn)是：目的性非常強(qiáng)，攻擊目標(biāo)明確，持續(xù)時(shí)間長(zhǎng)，不達(dá)目的不罷休，攻擊方法經(jīng)過(guò)巧妙地構(gòu)造，攻擊者往往會(huì)利用社會(huì)工程學(xué)的方法或利用技術(shù)手段對(duì)被動(dòng)式防御進(jìn)行躲避。而傳統(tǒng)的安全技術(shù)手段大多是利用已知攻擊的特征對(duì)行為數(shù)據(jù)進(jìn)行簡(jiǎn)單的模式匹配，只關(guān)注單次行為的識(shí)別和判斷，并沒(méi)有對(duì)長(zhǎng)期的攻擊行為鏈進(jìn)行有效分析。因此對(duì)于高級(jí)持續(xù)性威脅，無(wú)論是在安全威脅的檢測(cè)、發(fā)現(xiàn)還是響應(yīng)、溯源等方面都存在嚴(yán)重不足。

工業(yè)系統(tǒng)自身安全建設(shè)不足

1） 工業(yè)設(shè)備資產(chǎn)的可視性嚴(yán)重不足

工業(yè)設(shè)備可視性不足嚴(yán)重阻礙了安全策略的實(shí)施。要在工業(yè)互聯(lián)網(wǎng)安全的戰(zhàn)斗中取勝，“知己”是重要前提。許多工業(yè)協(xié)議、設(shè)備、系統(tǒng)在設(shè)計(jì)之初并沒(méi)有考慮到在復(fù)雜網(wǎng)絡(luò)環(huán)境中的安全性，而且這些系統(tǒng)的生命周期長(zhǎng)、升級(jí)維護(hù)少也是巨大的安全隱患。

2） 很多工控設(shè)備缺乏安全設(shè)計(jì)

主要來(lái)自各類機(jī)床數(shù)控系統(tǒng)、PLC、運(yùn)動(dòng)控制器等所使用的控制協(xié)議、控制平臺(tái)、控制軟件等方面，其在設(shè)計(jì)之初可能未考慮完整性、身份校驗(yàn)等安全需求，存在輸入驗(yàn)證，許可、授權(quán)與訪問(wèn)控制不嚴(yán)格，不當(dāng)身份驗(yàn)證，配置維護(hù)不足，憑證管理不嚴(yán)，加密算法過(guò)時(shí)等安全挑戰(zhàn)。例如：國(guó)產(chǎn)數(shù)控系統(tǒng)所采用的操作系統(tǒng)可能是基于某一版本Linux進(jìn)行裁剪的，所使用的內(nèi)核、文件系統(tǒng)、對(duì)外提供服務(wù)、一旦穩(wěn)定均不再修改，可能持續(xù)使用多年，有的甚至超過(guò)十年，而這些內(nèi)核、文件系統(tǒng)、服務(wù)多年所爆出的漏洞并未得到更新，安全隱患長(zhǎng)期保留。

3） 設(shè)備聯(lián)網(wǎng)機(jī)制缺乏安全保障

工業(yè)控制系統(tǒng)中越來(lái)也讀的設(shè)備與網(wǎng)絡(luò)相連。如各類數(shù)控系統(tǒng)、PLC、應(yīng)用服務(wù)器通過(guò)有線網(wǎng)絡(luò)或無(wú)線網(wǎng)絡(luò)連接，形成工業(yè)網(wǎng)絡(luò)；工業(yè)網(wǎng)絡(luò)與辦公網(wǎng)絡(luò)連接形成企業(yè)內(nèi)部網(wǎng)絡(luò)；企業(yè)內(nèi)部網(wǎng)絡(luò)與外面的云平臺(tái)連接、第三方供應(yīng)鏈連接、客戶的網(wǎng)絡(luò)連接。由此產(chǎn)生的主要安全挑戰(zhàn)包括：網(wǎng)絡(luò)數(shù)據(jù)傳遞過(guò)程的常見(jiàn)網(wǎng)絡(luò)威脅（如：拒絕服務(wù)、中間人攻擊等），網(wǎng)絡(luò)傳輸鏈路上的硬件和軟件安全（如：軟件漏洞、配置不合理等），無(wú)線網(wǎng)絡(luò)技術(shù)使用帶來(lái)的網(wǎng)絡(luò)防護(hù)邊界模糊等。

4） IT和OT系統(tǒng)安全管理相互獨(dú)立互操作困難

隨著智能制造的網(wǎng)絡(luò)化和數(shù)字化發(fā)展，工業(yè)與IT的高度融合，企業(yè)內(nèi)部人員，如：工程師、管理人員、現(xiàn)場(chǎng)操作員、企業(yè)高層管理人員等，其“有意識(shí)”或“無(wú)意識(shí)”的行為，可能破壞工業(yè)系統(tǒng)、傳播惡意軟件、忽略工作異常等，因?yàn)榫W(wǎng)絡(luò)的廣泛使用，這些挑戰(zhàn)的影響將會(huì)急劇放大；而針對(duì)人的社會(huì)工程學(xué)、釣魚(yú)攻擊、郵件掃描攻擊等大量攻擊都利用了員工無(wú)意泄露的敏感信息。因此，在智能制造+互聯(lián)網(wǎng)中，人員管理也面臨巨大的安全挑戰(zhàn)。

5） 生產(chǎn)數(shù)據(jù)面臨丟失、泄露、篡改等安全威脅

智能制造工廠內(nèi)部生產(chǎn)管理數(shù)據(jù)、生產(chǎn)操作數(shù)據(jù)以及工廠外部數(shù)據(jù)等各類數(shù)據(jù)的安全問(wèn)題，不管數(shù)據(jù)是通過(guò)大數(shù)據(jù)平臺(tái)存儲(chǔ)、還是分布在用戶、生產(chǎn)終端、設(shè)計(jì)服務(wù)器等多種設(shè)備上，海量數(shù)據(jù)都將面臨數(shù)據(jù)丟失、泄露、篡改等安全威脅。

本文由工業(yè)控制系統(tǒng)安全國(guó)家地方聯(lián)合工程實(shí)驗(yàn)室&360威脅情報(bào)中心投稿，關(guān)注雷鋒網(wǎng)宅客頻道（微信公眾號(hào)：letshome）回復(fù)：工業(yè)信息安全態(tài)勢(shì)報(bào)告，獲取報(bào)告原文。

雷鋒網(wǎng)宅客頻道關(guān)注先鋒科技，歡迎關(guān)注雷鋒網(wǎng)宅客頻道。

雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見(jiàn)轉(zhuǎn)載須知。