国利网安：2022工业控制系统安全威胁白皮书_21页_9mb

工业控制系统安全威胁白皮书总结

核心内容概述

本白皮书由浙江国利网安科技有限公司、中国电子信息产业集团有限公司第六研究所和工业控制系统信息安全技术国家工程研究中心联合编制，旨在分析工业控制系统（ICS）面临的安全威胁，并提出系统性的安全防护解决方案。随着工业系统向数字化、网络化发展，其安全性问题日益突出，尤其是在网络攻击手段不断升级的背景下，工控系统正面临前所未有的安全挑战。

主要观点

1. 工业控制系统信息安全定义
   工业控制系统信息安全是指通过防御措施，防止未经授权的访问、修改和破坏，保障系统资源的合法使用，同时不影响授权人员的正常操作。

2. 安全威胁的多样性
   工控系统面临多种安全威胁，包括但不限于现场设备毁伤、控制系统毁伤、协议缺陷、软件漏洞、恶意软件、社会工程学攻击、洪泛攻击、中间人攻击、无线端攻击等。

3. 工控系统与IT系统杀伤链模型的区别
   工控系统更关注对物理设备的毁伤，而非单纯的数据泄露。其攻击路径更侧重于对控制逻辑和设备运行的干扰，从而对生产过程造成实质性影响。

4. 安全威胁的严重性
   工控系统的漏洞数量和严重性在2016年后显著上升，尤其是拒绝服务（DoS）、缓冲区溢出和访问控制漏洞占据主导地位。

5. 安全防护分阶段实施
   针对工业控制系统杀伤链模型，提出了攻击前段、攻击中段和攻击后段的分段防护策略，以构建全面的工业控制系统安全体系。

关键信息

一、工业控制系统主要安全威胁

1. 现场设备毁伤

   • 攻击者通过修改设备配置或控制逻辑，导致设备故障或物理破坏。
   • 例如：TRITON攻击导致伊朗核设施的离心机异常加速并报废；“震网”病毒通过修改程序指令，使伊朗核设施设备失效，且无法及时发现。

2. 控制系统毁伤

   • 攻击者通过破坏上位机或控制器，影响整个生产流程。
   • 例如：ColonialPipeline被勒索软件攻击，导致监控层计算机无法运行；乌克兰电网遭受BlackEnergy攻击，导致核心计算机硬盘清空，影响电力供应。

3. 工控协议缺陷

   • 工控协议如PROFIBUS和Modbus TCP存在身份认证绕过、功能码滥用等问题，易被攻击者利用。
   • 例如：OpENer EtherNet/IP协议栈存在多个漏洞，可引发DoS攻击、远程代码执行等。

4. 含有已知漏洞的软件

   • 工控系统中大量软件存在漏洞，且补丁更新滞后，增加了攻击风险。
   • 例如：西门子PLC漏洞可被用于远程控制设备；罗克韦尔PLC漏洞可被用于远程连接和代码上传。

5. 恶意软件

   • 恶意软件如勒索病毒、僵尸网络等对工控系统造成严重威胁。
   • 例如：WannaCry勒索病毒导致大量工业主机蓝屏、数据加密；APT33组织通过钓鱼邮件和水坑攻击渗透工控系统。

6. 社会工程学攻击

   • 通过诱导用户操作或泄露敏感信息，实现对工控系统的渗透。
   • 例如：乌克兰电网攻击中使用鱼叉式钓鱼邮件植入恶意软件；APT33组织通过恶意Office文档运载PowerShell脚本。

7. 洪泛攻击

   • 通过发送大量数据包，使工控系统无法正常处理信息，造成拒绝服务。
   • 例如：sPower电力供应商遭受DoS攻击，导致多个发电站通信中断；Browns Ferry核电站因通信洪流导致设备瘫痪。

8. 中间人攻击

   • 攻击者在通信链中拦截、篡改数据，破坏系统完整性。
   • 例如：S7通信协议因缺乏会话保护，容易受到中间人攻击。

9. 无线端攻击

   • 利用无线网络漏洞或非法接入点，对工控系统进行渗透。
   • 例如：澳大利亚马卢奇污水处理厂因无线攻击导致污水泄漏，造成环境危害。

二、安全解决方案

1. 攻击前段防护方案

   • 资产测绘：识别系统资产和风险，包括资产普查和风险感知。
   • 入侵检测：采用工控专用入侵检测技术，避免传统IT方案的资源浪费。
   • 漏洞识别：利用漏洞基因知识图谱进行快速漏洞识别。
   • 态势感知：通过多维数据采集和机器学习技术，主动探测恶意行为。

2. 攻击中段防护方案

   • 边界防护/访问控制：设置访问控制策略，对工控协议进行深度解析，防止非法通信。
   • 控制行为安全技术：建立控制行为预测模型，实现异常行为检测。
   • 工业主机实时防护：采用白名单机制，进行系统加固和USB介质控制。
   • 轻量级密码技术：适用于资源受限的工控设备，提升数据加密与完整性保护能力。
   • 一体化安全管理技术：构建统一安全管理平台，实现快速威胁检测与溯源。

3. 攻击后段防护方案

   • 控制器防护措施：包括基于工艺指令语义识别、组态工程重建与监测、组态快照回滚等。
   • 工业主机备份技术：通过定期备份，实现快速恢复，降低攻击影响。

总结

工业控制系统安全威胁日益严峻，攻击方式多样化，涵盖从信息收集到物理毁伤的全过程。针对这些威胁，提出了分阶段的安全防护策略，包括攻击前段、中段和后段的综合防护措施，如资产测绘、入侵检测、漏洞识别、边界防护、控制行为预测、主机防护、轻量级密码和一体化安全管理系统等。这些方案有助于构建全面的工业控制系统安全防护体系，保障工业生产过程的稳定性和安全性。