[[178218]]

對(duì)于那些還未受到網(wǎng)絡(luò)攻擊的關(guān)鍵基礎(chǔ)設(shè)施，如電網(wǎng)，或許有人會(huì)給出自欺欺人的解釋：這是因?yàn)?，攻擊將同樣使得黑客受到影響。這完全是一種掩耳盜鈴的說法!

SCADA系統(tǒng)面臨的安全威脅

美國DHS 《2025關(guān)鍵基礎(chǔ)設(shè)施戰(zhàn)略性風(fēng)險(xiǎn)評(píng)估報(bào)告》指出：未來十年，信息技術(shù)將與關(guān)鍵基礎(chǔ)設(shè)施領(lǐng)域廣泛結(jié)合，因此，在面臨普遍安全問題的同時(shí)，網(wǎng)絡(luò)物理系統(tǒng)的多樣性，還將帶來未知的安全漏洞和攻擊面。

毫無疑問，SCADA系統(tǒng)也不例外。Inductive Automation 軟件工程師Carl Gould說：其實(shí)，SCADA系統(tǒng)的實(shí)質(zhì)是基于軟件來進(jìn)行工業(yè)過程的控制、監(jiān)測(cè)和分析。各種現(xiàn)場控制器負(fù)責(zé)SCADA通信，同時(shí)采集實(shí)時(shí)數(shù)據(jù)，并顯示在用戶終端圖形界面。

而在此過程中，操作電腦和控制器的網(wǎng)絡(luò)連接可能會(huì)受到黑客攻擊。DHS的戰(zhàn)略性風(fēng)險(xiǎn)評(píng)估報(bào)告指出，僅2014年發(fā)生的網(wǎng)絡(luò)攻擊事故就達(dá)245起，大部分受攻擊的目標(biāo)為能源行業(yè)，而據(jù)ICS-CERT數(shù)據(jù)表明，這些事故中涉及了范圍廣泛的已知和未知的威脅手段，其中包括大量SCADA和ICS系統(tǒng)的未授權(quán)訪問和網(wǎng)絡(luò)攻擊。由此，你可以想像SCADA面臨的網(wǎng)絡(luò)威脅有多惡劣。

防火墻的安全局限性

防火墻指是一種由軟件和硬件設(shè)備組合而成，在內(nèi)部網(wǎng)和外部網(wǎng)之間、專用網(wǎng)與公共網(wǎng)之間構(gòu)造的保護(hù)屏障。目前，包括SCADA在內(nèi)的大多數(shù)網(wǎng)絡(luò)系統(tǒng)都部署有防火墻設(shè)備。而Waterfall Security工控安全研究室副總裁Andrew Ginter卻指出，由防火墻控制的inbound和outbound網(wǎng)絡(luò)流量，以及其自身的安全防范局限性，將會(huì)導(dǎo)致更多脆弱性問題。Ginter還補(bǔ)充到，所有軟件都存在漏洞，防火墻自身的軟件系統(tǒng)一樣可以被黑。

Ginter曾發(fā)表過文章–《13種繞過防火墻的攻擊方法》，其中列舉了13種繞過防火墻，實(shí)現(xiàn)網(wǎng)絡(luò)攻擊的具體方法：

1 網(wǎng)絡(luò)釣魚攻擊(Phishing)

2 社會(huì)工程學(xué)攻擊(Socialengineering)

3 域名控制器攻擊(Compromisea domain controller)

4 暴露服務(wù)器攻擊(Attackexposed servers)

5 暴露客戶端攻擊(Attackexposed clients)

6 會(huì)話劫持(Session hijacking)

7 惡意VPN連接攻擊(Piggybackon VPN connections)

8 防火墻漏洞(Firewall vulnerabilities)

9 配置錯(cuò)誤或遺漏(Errorsand omissions)

10 IP地址偽造(Forge an IP address)

11 繞過網(wǎng)絡(luò)安全邊界(Bypass anetwork security perimeter)

12 物理控制訪問(Physicalaccess)

13 攜帶電子載體的“人力網(wǎng)絡(luò)”攻擊(Sneakernet)

防火墻 VS USGs

在SCADA或ICS系統(tǒng)中，Ginter提倡使用單向安全網(wǎng)關(guān)(Unidirectional Security Gateways,USGs)，因?yàn)檫@種設(shè)備產(chǎn)生的單向網(wǎng)絡(luò)流量，會(huì)讓黑客的遠(yuǎn)程攻擊控制無機(jī)可尋。

USGs包括一個(gè)如下圖所示的數(shù)據(jù)傳輸模塊和接收模塊：

傳輸模塊和接收模塊之間由一條短的光纖電纜連接，傳輸模塊中內(nèi)置一個(gè)光纖發(fā)射器，利用光電池將數(shù)據(jù)流量發(fā)送到接收模塊。重點(diǎn)是，這種光纖數(shù)據(jù)流量只能從傳輸端向接收端單向流通。

單向安全網(wǎng)關(guān)也稱為“數(shù)據(jù)二極管”，是近年來國外安全公司研發(fā)，并在工業(yè)網(wǎng)絡(luò)環(huán)境中推廣的一種安全設(shè)備。單向網(wǎng)關(guān)解決方案是成對(duì)的，TX裝置包含一個(gè)激光器，RX裝置包含一個(gè)光學(xué)接收器。成對(duì)的網(wǎng)關(guān)可以從業(yè)務(wù)網(wǎng)絡(luò)中傳輸信息，但不會(huì)將任何病毒、DoS攻擊、人為錯(cuò)誤或者其他信息回傳到受保護(hù)的網(wǎng)絡(luò)。目前，SANS、Waterfall Security、citis.ru等國外安全公司都有類似產(chǎn)品。

實(shí)時(shí)數(shù)據(jù)傳輸

USGs負(fù)責(zé)工控網(wǎng)絡(luò)到企業(yè)管理網(wǎng)絡(luò)之間的實(shí)時(shí)單向數(shù)據(jù)傳輸，其連接工控網(wǎng)絡(luò)系統(tǒng)的數(shù)據(jù)庫軟件，自動(dòng)請(qǐng)求查詢信息，并將信息從傳輸模塊發(fā)送到企業(yè)管理網(wǎng)絡(luò)端的接收模塊，而這些信息將被儲(chǔ)存在企業(yè)管理網(wǎng)絡(luò)內(nèi)的備份數(shù)據(jù)服務(wù)器內(nèi)。

操控管理者通過對(duì)備份數(shù)據(jù)服務(wù)器的信息查詢和分析，可以全面了解SCADA系統(tǒng)的運(yùn)行情況，而無需直接連接到SCADA系統(tǒng)。Ginter說道，從物理層面來講，由于不能向SCADA系統(tǒng)發(fā)送信息，當(dāng)然也就不能實(shí)現(xiàn)對(duì)其蓄意破壞和攻擊的目的。

USGs的選型

為了系統(tǒng)運(yùn)行的有效性，選用的USGs和備份服務(wù)器必須適應(yīng)不同的網(wǎng)絡(luò)和SCADA技術(shù)，Ginter同時(shí)強(qiáng)調(diào)，備份服務(wù)器的數(shù)據(jù)備份過程必須對(duì)外部管理控制用戶透明，而且不會(huì)對(duì)主服務(wù)器和保護(hù)網(wǎng)絡(luò)造成影響。另一個(gè)需要考慮的因素是，系統(tǒng)管理機(jī)構(gòu)須確定所需的，USGs系統(tǒng)可以備份的哪些工控應(yīng)用數(shù)據(jù)，如操作記錄、操作數(shù)據(jù)、控制系統(tǒng)服務(wù)器或過程控制服務(wù)器數(shù)據(jù)等。具體可參考Waterfall Security的工業(yè)網(wǎng)絡(luò)解決方案：Securing-Critical-Cyber-Assets-with-Data-Diodes

Ginter總結(jié)到，SCADA系統(tǒng)的安全防護(hù)應(yīng)該比IT系統(tǒng)更加深入徹底，只有這樣的高標(biāo)準(zhǔn)嚴(yán)要求，才能避免像烏克蘭斷電事故這樣的重大網(wǎng)絡(luò)攻擊發(fā)生。我們希望Ginter的觀點(diǎn)是正確的，畢竟停電事故誰都不敢想像。