工业控制系统安全控制选择过程应用学习笔记

声明

本文是学习GB-T 32919-2016 信息安全技术工业控制系统安全控制应用指南. 下载地址 http://github5.com/view/585而整理的学习笔记,分享出来希望更多人受益,如果存在侵权请及时联系我们

工业控制系统安全控制选择过程应用

安全控制选择过程可从两个不同的角度，应用于组织的工业控制系统。一个角度是新系统的开发，另一个角度是在运行系统。对于新开发系统，由于系统并不存在，并且组织没有进行初始的安全定级，因此要从需求定义的视角来应用安全控制选择过程。包含在工业控制系统安全计划中的安全控制，作为组织的安全规格说明，应用在设计、开发、实现、运行等系统生命周期各阶段。

对于在运行系统，当系统发生重大变更时，要用空隙分析法来应用安全控制选择过程。由于系统已经存在，组织已完成了安全定级和安全控制选择过程，其结果已在系统安全计划中，并在系统中予以实现。因此，可以用以下方式应用空隙分析：

首先，基于当前系统处理、存储和传输的不同业务类型，重新评估、确认系统安全级别，必要时调整系统安全级别。

其次，重新评审现有安全计划，以确保系统风险保持在可接受的水平，分析当前使用的、相关联的安全控制与安全需求间的切合程度，记录需增加的安全控制，整理并调整到安全计划中。必要时重新实施风险评估，重新制定安全计划。

最后，实现经调整的或重新制定的安全计划中的安全控制，在措施和里程碑计划中记录任何没有实现的安全控制，并与新开发系统相同的方式继续其余步骤。

工业控制系统面临的安全风险

工业控制系统与传统信息系统对比

大多数的工业控制系统均在网络、个人计算机和互联网普及以前开发并使用，设计之初主要用于解决高效、稳定、可靠、安全等需求。通常情况下，它们与外部网络物理隔离，并且运行在专有的、具有基本错误检测和处理能力的软、硬件平台和通信协议上，缺乏面对当前互联网时代所需要的安全通信能力。虽然这些系统设计时关注了可靠性、可用性和可维护性，但没有预料到在解决性能和故障统计等需求时需要面对的信息安全问题。在当时，工业控制系统安全仅意味着物理上专有网络访问和系统控制台功能。

工业控制系统在上世纪80和90年代与微处理器、个人计算机和网络技术同步发展，在90年代后期，互联网技术开始融入到工业控制系统的设计中。这些新技术带来的变化使工业控制系统面临的新威胁，并增加了工业控制系统受到损害的可能性。

最初，工业控制系统使用专门的硬件和软件系统，类似于独立运行的专用控制协议。随着低成本的互联网协议设备正在取代专有设备的解决方案产生，网络安全漏洞和安全事件发生的可能性不断增加。随着工业控制系统开始采用IT解决方案来促进企业连接和远程访问等功能，设计并使用标准计算机、操作系统和网络协议，工业控制系统越来越像IT系统。这些支持新的IT功能技术的集成，工业控制系统与之前相比减少了封闭性，也产生了新的安全需求。虽然传统IT系统已具备解决这些安全问题的解决方案，但在工业控制系统中引入这些解决方案必须考虑工业控制系统的特殊性。在某些情况下需要针对工业控制系统的特殊性裁剪这些安全解决方案。

工业控制系统与传统IT系统相比存在许多特殊性，包括不同的风险和优先级，不同的性能和可靠性要求等。下面列出了解决工业控制系统安全需要考虑的特殊性：

性能需求

工业控制系统通常是严格按照时序要求的，可接受的延时和抖动标准与具体系统相关，系统需要确定的响应，高处理能力通常不是必须的。而传统IT系统需要高处理能力，而能够接受一定的延时和抖动。

可用性需求

很多工业控制系统具有工作连续性，意外的中断往往是不可接受的。中断是按计划进行的，并提前数日或数周完成规划安排。详尽的部署测试是必不可少的，以确保高工业控制系统的高可用性。在某些情况下，工业控制系统所生产的产品或所使用的设备比系统处理或传递的信息更重要。因此，工业控制系统对高可用性、可靠性和可维护性要求，使用典型的IT策略，如重新启动组件，通常是不可接受的解决方案。部分工业控制系统采用冗余组件，并保持并联运行，以保证在主组件异常或不可用时保证系统运行的连续性。

风险管理需求

在典型的IT系统中，数据机密性和完整性通常是首要关注问题。而工业控制系统首要关注问题是防止危害生命、公众健康或信心，监管合规，防止设备、产品或知识产权的损失等。

安全焦点

在典型的IT系统中，安全焦点是保障IT资产的正常运行，并保护这些资产中处理、存储或传输的信息。在某些体系架构中，存储和处理的信息更为关键，并得到更多的保护。对于工业控制系统，边缘设备（如PLC、操作员站、DCS等）直接负责控制过程而需要仔细保护。由于可能对每个边缘设备产生不利影响，对工业控制系统中央服务器的保护也非常重要。

物理交互

典型的IT系统往往与环境没有物理上的相互作用。而工业控制系统可能与物理环境间有非常复杂的相互作用。因此，集成到工业控制系统中任何安全功能必须进行严格测试，以确保安全功能不会影响工业控制系统的正常功能。

时间确定性响应

在典型的IT系统中，实现访问控制时不必过多关心数据流的情况。而在工业控制系统中，系统自动响应时间或者系统对人类交互的响应是非常关键的，如：在HMI中的身份验证和授权不得妨碍或干扰工业控制系统的紧急措施，信息流不能中断。因此，工业控制系统安全控制的运用应受到严格的的限制。

系统运行

工业控制系统的操作系统和应用程序可能无法容忍典型IT系统的安全实践。控制网络往往比较复杂，需要不同的专业知识（例如，控制网络通常由控制工程师管理，而非IT人员）。在运行的控制网络中，软件和硬件的升级更困难。许多系统可能不具有必要的功能，包括加密功能、错误日志记录和密码保护等IT系统中最基本的功能。

资源约束

工业控制系统和它们的实时操作系统往往是资源受限的系统，通常不包括典型IT系统的安全能力。在工业控制系统组件上可能没有可用的计算资源来改造现有的安全功能。此外，在某些情况下，因为工业控制系统供应商许可证和服务协议，第三方安全解决方案是不允许的。

通信

用于工业控制系统现场控制和处理器间通讯的通信协议是专有的，与典型的IT系统通信协议完全不同。

变更管理

无论是IT系统还是工业控制系统，变更管理都是保证完整性的重要措施。未安装补丁的软件是一个巨大的安全漏洞。通常采用适当的安全策略和程序及时进行IT系统软件的更新，包括安全补丁更新。此外，这些更新通常使用基于服务器的工具来自动实现。因为更新需要进行全面的测试和计划，工业控制系统的更新往往不及时。另外，由于工业控制系统通常使用旧版的操作系统，供应商已停止技术支持，因此，更新程序往往不适用于工业控制系统。因此，工业控制系统的变更（包括硬件、固件和软件的变更）过程需要经过工业控制系统专家、信息安全专家和信息系统专家的仔细评估。

服务支持

典型的IT系统允许多样化的支持方式。而对于工业控制系统，服务支持通常来自于单一供应商，可能不存在多样化的支持方式。

组件生命周期

由于技术的快速演变，典型的IT组件只有3-5年的生命周期。而工业控制系统组件的生命周期往往有15-20年，甚至更长。

组件访问

典型的IT系统组件通常是本地的和易于访问的，而工业控制系统组件可能是分离的、远程的，对它们的访问需要大量的外部尝试。

信息系统安全威胁与防护措施对工业控制系统的影响

工业控制系统运行引发出许多与大多数IT系统不同的安全挑战。例如大多数安全措施是为对付因特网上黑客制定的。因特网环境与工业控制系统运行环境是极其不同的。所以在安全行业中对安全需求以及安全措施可能影响工业控制系统运行的特殊要求，通常是缺乏认识的。

（1）拒绝服务的影响：已经制定的安全服务和技术主要是为了并不具有许多严格性能和可靠性要求的行业，而这些恰恰是工业控制系统运行所需要的。例如：与授权客户不能访问其银行帐户相比，使授权调度员无法访问工业控制系统远端站场控制有可能造成更为严重的后果。所以拒绝服务的威胁远比许多典型因特网交易更为巨大。

（2）加密传输：使用工业控制系统的行业中使用的许多通信信道是窄带的而且端设备经常受到内存和计算机能力的限制，从而由于某些安全措施所需的开销而不允许采用，如加密和密钥交换。

（3）密钥管理：大多数系统和设备是位于地域广大而分散、无人的远方场所，且根本没接入到因特网。这使得密钥管理、证书撤消和其它一些安全措施难于实现。

（4）公网联接：许多系统都由公共线路通信通道连接（条件所限无专网），由于协议不兼容，所以工业通用的网络安全措施（协议）不能工作。

（5）无线通信的影响：虽然无线通信正广泛为许多应用所使用，但工业控制系统使用这些无线技术的场所和所实现的功能，有较多限制；部分是因为远端站场恶劣的电磁环境对可用性的潜在影响（如变电站的高电噪声环境）；部分是因为一些应用要求非常快速且极其可靠的响应（吞吐量），即使许多无线技术具有相应的安全措施，也可能因为增加系统开销而未实现。

工业控制系统面临的威胁

随着工业控制系统网络化、系统化、自动化、集成化的不断提高，其面临的安全威胁日益增长。从发生的典型事件看，针对工业控制系统的安全威胁主要来自五个方面：

自然环境因素；
人为错误或疏忽大意；
设备故障；
病du等恶意软件；
敌对威胁，如黑客、僵尸网络的操控者、犯罪组织、国外情报机构、恶意软件的作者、恐怖分子、工业间谍、内部攻ji者等。

下表详细列出了工业控制系统可能面临的威胁。

工业控制系统可能面临的威胁

威胁源	描述
内部攻ji者	具有攻ji性的内部员工是计算机犯罪的主要来源之一。内部攻ji者了解目标系统，往往被允许不受限制的访问系统，所以并不需要掌握太多关于计算机入侵的知识，就可以破坏系统或窃取系统数据。内部人员威胁也包括外购产品的供应商。
黑客	黑客入侵往往是为了获得刺激和成就感。大多数这类攻ji者本来不具备专业攻ji技术，现在却可以从互联网上下载攻ji脚本和程序，向目标发起攻ji；而且攻ji工具越来越高级和更容易使用。并且黑客的数量庞大，分布在全球，即使是独立或短暂的攻ji破坏，也会导致严重的后果，总体上形成了相对较高的安全威胁。
僵尸网络的操控者	僵尸网络的操控者通过操纵大量系统进行协同攻ji、散布钓鱼网、垃圾邮件和恶意软件。有时候他们利用这些受控制的系统和网络，在黑市上将拒绝服务攻ji、垃圾邮件攻ji或者网络钓鱼攻ji等进行买卖交易。
恶意软件的作者	居心不良的个人或组织通过制造并传播恶意软件对用户实施攻ji。一些破坏性的恶意软件会损害系统文件或硬件驱动器、控制关键过程、开启执行程序以及控制系统所控制的设备等。
恐怖分子	恐怖分子试图破坏、致瘫或利用关键基础设施来威胁国家安全，引起大规模人员伤亡，削弱国家经济，降低民众的士气与信心。恐怖分子可能利用钓鱼网站和恶意软件来获取资金或搜集敏感信息，也可能会佯攻一个目标以转移对其他目标的关注程度和保护力度。
工业间谍	工业间谍通过暗中活动的方式企图获取有情报价值的资产和技术秘密。
犯罪组织	犯罪组织一般为了获取钱财攻ji系统，他们往往利用垃圾邮件、网络钓鱼、恶意软件来实施身份盗窃和网上欺诈行为。国际间谍组织和犯罪组织也会进行工业间谍活动，大规模的盗窃金钱，雇用或培养黑客人才，从而对国家安全造成威胁。
境外国家力量	国外情报机构等国家力量利用计算机作为信息收集和间谍活动的一部分，个别国家致力于发展信息战，通过破坏供给、通信和经济基础设施，对目标国人民的日常生活造成非常重大的影响。

工业控制系统脆弱性分析

本节列出的脆弱性是典型工业控制系统可能存在的，这些脆弱性的列出顺序不反映脆弱性发生的优先性以及脆弱性发生后造成影响的严重性。本节主要从策略和规程、网络和系统平台三方面陈述工业控制系统中可能存在的脆弱性。实际应用的工业控制系统都会遇到下面所述脆弱性中的一部分，但也可能包含下文没有提到的系统独有的脆弱性。

策略和规程脆弱性

工业控制系统策略和规程脆弱性

脆弱性	描述
不精确的工业控制系统安全策略	不精确的策略经常会把脆弱性引入到工业控制系统中。
没有依据工业控制系统的安全策略，编制明确、具体、书面的安全规程文档	建立有效安全程序的一个根本措施是：编制明确、具体的安全规程文档，并据此对有关人员进行培训。
没有对工业控制系统进行正式的安全培训	设计一种文档化的正式安全培训和学习程序，可以使有关人员掌握当时组织上的安全策略和规程，掌握工业上信息安全标准和建议的实践。如果没有针对特定工业控制系统策略和规程进行培训，就不能期望有关人员来维护一个安全的工业控制系统环境。
不合理的安全体系架构设计	控制工程人员缺乏安全方面的基本培训，设备和系统供应商的产品中没有必要的安全特性。
没有工业控制系统设备安装使用指导文件或工业控制系统设备安装使用指导文件有缺陷	设备安装使用指导文件应及时更新、随时备用。这些指导文件是解决工业控制系统故障的恢复程序中所必不可少的。
缺少安全实施的管理机制	安全方面的实施负责人员应对文档化安全策略和规程承担相应责任。
没有工业控制系统特定的持续运行或灾难恢复计划（DRP）	编制、测试DRP，确保在主要硬件、软件失效中或在服务设施毁坏中是可用的。如果工业控制系统缺少DRP，就可能导致宕机次数增加，导致生产力的丧失。
未对工业控制系统进行审计	独立的安全审计应评审和检查系统的记录和活动，确定系统控制的准确性，并确保符合已建立的工业控制系统安全策略和规程．审计人员还应当经常检查工业控制系统安全服务是否缺失，并提出改进建议，这样能够使安全控制措施更有效。
没有明确具体的配置变更管理程序	应当制定并严格执行工业控制系统硬件、固件、软件的变更控制程序和相关程序文件，以保证工业控制系统得到实时保护，配置变更管理程序的缺失将导致安全监管疏忽、信息暴露和安全风险。

网络脆弱性

表A.3、A.4、A.5、A.6、A.7分别描述了工业控制系统网络硬件、网络结构、网络边界、通信和无线连接及网络设备配置五个方面的脆弱性。

工业控制系统网络硬件脆弱性

脆弱性	描述
网络设备物理保护不足	应该对网络设备的物理访问进行控制，以防止破坏网络设备。
缺少环境控制	缺少环境控制会导致处理器失常。例如，一些处理器在过热情况下会自动关闭实现自我保护，一些处理器则会烧毁。
不安全的物理端口	不安全的通用接口如USB、PS/2等外部接口可能会导致未授权的设备接入。
无关人员可以物理访问网络设备	不合适的对网络设备的物理访问会导致：数据和硬件窃取、数据和硬件的物理损伤破坏、对安全环境的篡改、未授权的阻止或控制网络行为以及关闭物理数据链路等。

工业控制系统网络结构脆弱性

脆弱性	描述
薄弱的网络安全架构	因业务和操作需要对工业控制系统网络架构的开发和修改，可能在不经意间将安全漏洞引入网络架构的某一部分中。
在控制网中传输非控制数据	控制数据与非控制数据有着不同的要求，比如可靠性程度不同。因此，在同一个网络中传输两种流量会存在难以对网络进行配置的问题。例如，非控制流量可能会大量损耗控制流量传输所需要的资源，导致工业控制系统功能中断。
IT网络服务应用在控制网络中	IT网络中实施的服务，如DNS、DHCP等，在控制网络中被使用时，可能引入额外的严重安全漏洞。
重要网络链路或设备没有冗余配置	在重要的网络中没有链路或设备冗余备份可能遭遇单点故障。

工业控制系统网络边界脆弱性

脆弱性	描述
安全边界定义不清晰	控制网络边界定义不清晰，将难以保证必要的安全措施被合适的实施或配置，会导致对系统和数据的未授权的访问和其它问题。
网络边界访问控制措施不当	缺少或未配置合适的边界访问控制措施会导致无用数据在网络间传递。这会引起多种问题，如攻ji和病du在网络中扩散，可以在其他网络中对控制网中敏感数据进行监控和窃听及对系统进行非法访问等。

通信和无线连接脆弱性

脆弱性	描述
使用标准的、有文档记载的明文通信协议	攻ji者可以使用协议分析器或者其他设备解码ProfiBus、DNP、Modbus等协议传输的数据，实现对工业控制系统的网络监控。使用这些协议也可以使攻ji者更容易攻ji工业控制系统或控制工业控制系统网络行为。
缺少用户、数据或设备的认证	许多工业控制系统协议不具备认证机制。没有认证，就会存在重放或篡改数据的可能性。
缺少通信完整性保护	大部分的工业协议不具备完整性检查机制。攻ji者可以操纵这种没有完整性检查的通信。
无线连接客户端与接入点间认证不足	无线客户端与接入点之间需要完整的相互认证，保证客户端访问的不是攻ji者伪造的接入点，同时也保证非法入侵者无法访问工业控制系统无线网络。
无线连接客户端与接入点间数据保护不力	无线客户端与接入点间传递的敏感数据未采用加密保护，攻ji者监听明文信息造成信息泄露。

工业控制系统网络设备配置脆弱性

脆弱性	描述
没有使用数据流控制	未采用数据流控制机制，如利用访问控制列表（ACL），限制系统或人对网络设备的直接访问。
IT安全设备配置不当	使用缺省配置往往导致主机上运行了不必要的开放端口和可能被威胁所利用的网络服务。不当的防火墙配置规则和路由器访问控制列表将允许不必要的流量通过。
没有备份网络设备配置	没有制定和实施网络设备配置备份和恢复规程，对网络设备的配置偶然或者恶意的修改可能造成系统通信中断并无法及时恢复。
传输中没有对口令进行加密	以明文传输的口令很容易被攻ji者窃听，攻ji者会利用这些口令对网络设备进行非法访问。通过这种访问，攻ji者可以破坏工业控制系统操作或者监视工业控制系统网络行为。
网络设备口令未及时更新	密码应定期更换，这样，即使未授权用户获得密码，也只有很短的时间段内可以访问网络设备。未定期更换密码可能使黑客破坏工业控制系统的操作或监视器工业控制系统的网络活动。
采用的访问控制不足	通过非法访问网络设备，攻ji者可以破坏工业控制系统操作或者监视工业控制系统网络行为。

平台脆弱性

表A.8、A.9、A.10、A.11分别描述了工业控制系统平台硬件、平台软件、平台配置及平台病du防护四个方面的脆弱性。

工业控制系统平台硬件脆弱性

脆弱性	描述
重要系统安全保护不足	许多远程设备没有配备专门的运行维护工作人员，也没有物理监视技术手段。
缺少环境控制	缺少适当的环境控制措施会导致处理器不能正常工作。例如温度过高时，一些处理器会自动关闭，一些会烧熔。
未授权人员对设备的物理访问	考虑到有紧急关闭或重启之类的安全要求，应保证只有必要的人员可以物理访问工业控制系统设备。对工业控制系统设备访问不当会导致：数据和硬件窃取、数据和硬件的物理损伤和破坏、对功能环境（例如：数据连接，可移动介质的未授权使用，增加/移除设备）的非法篡改、物理数据链路关闭、检测不到的数据拦截或窃听（键盘输入或其他录入方式）。
无线频率和电磁脉冲	无线电磁波会损害控制系统中的硬件。造成的影响轻则扰乱命令和控制，重则对电路板造成永久损坏。
缺少备份电源	重要资产缺少备份电源，一旦停电工业控制系统就会关闭，导致不安全事件发生。
重要组件没有冗余配置	重要的组件没有备份会导致单点故障。

工业控制系统平台软件脆弱性

脆弱性	描述
缓冲溢出	工业控制系统软件可能存在缓存溢出的问题。攻ji者可以利用这一点实施攻ji。
缺省配置为关闭的安全功能	如果关闭或者不使用产品自带的安全功能，那么这样的安全功能将不能起到作用。
拒绝服务攻ji	工业控制系统软件可能遭受DoS攻ji，导致系统不能被合法用户访问，或者系统操作和功能延迟。
对未定义、定义不明或“非法”情况的错误处理	一些工业控制系统实施可能遭受格式错误或者包含非法域值的包的攻ji。
依赖RPC和DCOM的OPC	不升级系统补丁，RPC/DCOM的脆弱性可能被利用来攻jiOPC。
使用不安全的工业控制系统协议	DNP3.0、Modbus、IEC 60870-5-101、IEC 60870-5-104和其他一些协议在工业中被普遍使用，而且协议的相关信息随处可得。这些协议只有很少或根本不包含安全功能。
使用明文	许多工业控制系统协议以明文方式传递信息，导致消息很容易被攻ji者窃听。
配置和程序软件的认证和访问控制不足	攻ji者可以通过非法访问配置和程序软件破坏设备或系统。
没有安装入侵检测和防御软件	入侵行为会导致系统不可用，数据被截获、修改和删除，控制命令的错误执行。
工业控制系统安全后门	不法供应商为了各种目的，给系统设置的后门，这些后门的危害特别大。
通信协议脆弱性	工业控制系统采用的部分通信协议，由于设计原因存在安全脆弱性，这些协议脆弱性可能被攻ji者利用，造成系统的不可用，数据被截获、修改和删除，控制系统执行错误的动作等等。

工业控制系统平台配置脆弱性

脆弱性	描述
没有及时安装操作系统和应用安全补丁	未及时补丁的操作系统和应用可能包含新发现的脆弱性，这些脆弱性可能会被攻ji所利用。
没有经过彻底的测试就安装了操作系统和应用安全补丁	操作系统和应用的安全补丁不经测试就安装可能会对工业控制系统的正常操作产生影响。
使用缺省配置	缺省配置中往往会开放不安全或者不必要的端口、服务和应用。
重要的配置没有被存储或备份	没有制定和实施工业控制系统软硬件配置备份和恢复规程，对系统参数意外或者恶意的修改可能造成系统故障或数据丢失。
便携设备上数据未受保护	假如敏感数据（密码，拨号号码）以明文方式存储在了移动设备上，比如笔记本、PDA，那么一旦这些设备丢失了或者被偷了，系统安全就会遭受极大威胁。
缺少恰当的口令策略	没有口令策略，系统就没有了合适的口令控制，使得对系统的非法访问更容易。口令策略是整个工业控制系统安全策略的一部分，口令策略的制定应考虑到工业控制系统处理复杂口令的能力。
未使用口令	应该在工业控制系统组件上使用口令以阻止非法访问。口令相关的脆弱性包括：系统登陆无口令（如果系统有用户帐户）；系统启动无口令（如果系统没有用户帐户）；系统待机无口令（如果工业控制系统组件一段时间内没被使用）。
口令使用不当	应该保证口令的安全，防止非法访问。包括：以明文方式将口令记录在本地系统；和同事的个人帐户使用同一的口令；在收受贿赂后，将口令交给潜在攻ji者；在未受保护的通信中以明文方式传输口令。
访问控制不当	访问控制方法不当，可能使工业控制系统用户具有过多或过少的权限。如采用缺省的访问控制设置使得操作员具备了管理员特权。
没有安装入侵检测和防御软件	入侵行为会导致系统不可用，数据被截获、修改和删除，控制命令的错误执行。
不安全的工业控制系统组件远程访问	系统工程师或厂商在无安全控制措施的情况下，实施对工业控制系统的远程访问，可能致工业控制系统访问权限被非法用户获取。

工业控制系统平台病du防护脆弱性

脆弱性	描述
没有安装病du防护软件	恶意软件会导致系统性能低下、系统不可用和数据被截获、修改和删除。因此需要安装病du防护软件，比如杀毒软件，防止系统感染病du。
病du防护软件病du库过期	病du防护软件病du库过期导致系统容易被新的病du攻ji。
没经过仔细的测试就安装病du防护软件及其病du库升级包	未经测试就安装病du防护软件及其病du库升级包可能会影响工业控制系统的正常运行。

工业控制系统安全控制选择过程应用学习笔记_IT

延伸阅读

联系我们

DB15-T 1986—2020 蒙古族传统奶制品楚拉生产工艺规范内蒙古自治区.pdf

标签：安全控制,系统,脆弱性,笔记,控制系统,安全,ji,工业
From： https://blog.51cto.com/baidu666/5984032

工业控制系统安全控制选择过程应用学习笔记

声明