石化工業(yè)控制網(wǎng)絡(luò )安全分析與防護

引言：

近幾年，因網(wǎng)絡(luò )病毒引起的工業(yè)事件層出不窮，工業(yè)網(wǎng)絡(luò )安全問(wèn)題已經(jīng)日益嚴峻，針對目前我國工業(yè)控制系統信息安全面臨的嚴峻形勢，2011年10月27日，工信部下發(fā)《關(guān)于加強工業(yè)控制系統信息安全管理的通知》，強調了加強工業(yè)控制系統信息安全管理的重要性和緊迫性，并明確了重點(diǎn)領(lǐng)域如：石油石化、電力、鋼鐵、化工等行業(yè)工業(yè)控制系統信息安全管理要求。石化工業(yè)是國家的基礎性能源支柱產(chǎn)業(yè)，信息安全在任何時(shí)期、任何國家地區都備受關(guān)注。能源系統的信息安全問(wèn)題直接威脅到其它行業(yè)系統的安全、穩定、經(jīng)濟、優(yōu)質(zhì)的運行，影響著(zhù)系統信息化的實(shí)現進(jìn)程。維護網(wǎng)絡(luò )安全，確保生產(chǎn)系統的穩定可靠、防止來(lái)自?xún)炔炕蛲獠抗?，采取高安全性的防護措施都是石化信息系統安全不可忽視的組成部分。

隨著(zhù)我國工業(yè)信息化建設的不斷深入，信息化已經(jīng)成為企業(yè)發(fā)展的重要推動(dòng)力量，國外石化企業(yè)信息化建設和應用已經(jīng)走在我們前面。經(jīng)濟全球化的發(fā)展以及WTO的加入，更對石化企業(yè)提出了新的挑戰，就石化企業(yè)而言，信息化是生存和發(fā)展的必由之路。

信息化是一項系統工程，信息化安全也是信息化建設的關(guān)鍵環(huán)節。特別是隨著(zhù)互聯(lián)網(wǎng)日新月異的發(fā)展和企業(yè)集團信息化整合的加強，企業(yè)網(wǎng)絡(luò )應用的范圍在不斷擴大，如通過(guò)互聯(lián)網(wǎng)獲取信息、展現企業(yè)形象、開(kāi)展電子商務(wù)等，通過(guò)廣域網(wǎng)實(shí)現集團內部資源共享、統一集團管理等，企業(yè)信息化網(wǎng)絡(luò )不再是單純意義上的Intranet，而更多的則是基于Internet的網(wǎng)絡(luò )和應用。但網(wǎng)絡(luò )開(kāi)放的同時(shí)，帶來(lái)的安全問(wèn)題就更加嚴峻了，各種安全問(wèn)題如病毒、攻擊和入侵等已經(jīng)引起了人們的高度重視。

石化企業(yè)信息化與其它行業(yè)相比有一個(gè)突出特點(diǎn)，就是以管控一體化為重點(diǎn)。這是由石化行業(yè)自身的特點(diǎn)決定的，并具有一定的時(shí)代特點(diǎn)。

石化企業(yè)是典型的資金和技術(shù)密集型企業(yè)，生產(chǎn)的連續性很強，裝置和重要設備的意外停產(chǎn)都會(huì )導致巨大的經(jīng)濟損失，因此生產(chǎn)過(guò)程控制大多采用DCS等先進(jìn)的控制系統，生產(chǎn)管理上也更注重安全和平穩運行。通過(guò)加強生產(chǎn)管理，可以實(shí)現管理與生產(chǎn)過(guò)程控制的融合，通過(guò)優(yōu)化調度、先進(jìn)控制和優(yōu)化控制等手段，在保證生產(chǎn)平穩的基礎上獲取更大的經(jīng)濟效益，因此，石化企業(yè)信息化的重點(diǎn)是管控一體化。當今的石化企業(yè)普遍采用基于ERP/SCM、MES和PCS三層架構的的管控一體化信息模型，MES處于企業(yè)信息系統ERP/SCM和過(guò)程控制系統的中間位置。MES系統在整個(gè)信息系統中主要擔當了兩個(gè)方面的重要作用：一是數據雙向通道的作用。即通過(guò)MES系統的實(shí)施，可以有效彌補企業(yè)PCS層及ERP/SCM層之間的數據間隙，由下至上，通過(guò)對底層PCS層數據的搜集、存儲及校正，建立過(guò)程控制數據層次上的數字化工廠(chǎng)，結合生產(chǎn)調度層次上的調度事件信息數據等，為上層ERP/SCM計劃管理層提供準確統一的生產(chǎn)數據；由上至下，通過(guò)對實(shí)時(shí)生產(chǎn)數據的總結，上層ERP/SCM層可以根據未來(lái)訂單及現階段生產(chǎn)狀況調整生產(chǎn)計劃，下發(fā)MES層進(jìn)行計劃的分解及產(chǎn)生調度指令，有效指導企業(yè)生產(chǎn)活動(dòng)。因此，MES系統在數據層面上，起到了溝通PCS層和ERP/SCM層的橋梁作用，并保證了生產(chǎn)數據、調度事件等信息的一致性及準確性。另一方面，生產(chǎn)活動(dòng)的復雜性產(chǎn)生了很多實(shí)際的用戶(hù)需求，為了滿(mǎn)足這些用戶(hù)需求，MES系統也可以視為一個(gè)功能模塊的集合。

由DCS、PLC和SCADA等控制系統構成的控制網(wǎng)絡(luò )，在過(guò)去幾十年的發(fā)展中呈現出整體開(kāi)放的趨勢。以石化主流控制系統DCS為例，在信息技術(shù)發(fā)展的影響下，DCS已經(jīng)進(jìn)入了第四代，新一代DCS呈現的一個(gè)突出特點(diǎn)就是開(kāi)放性的提高。過(guò)去的DCS廠(chǎng)商基本上是以自主開(kāi)發(fā)為主，提供的系統也是自己的系統。當今的DCS廠(chǎng)商更強調開(kāi)放系統集成性。各DCS廠(chǎng)商不再把開(kāi)發(fā)組態(tài)軟件或制造各種硬件單元視為核心技術(shù)，而是紛紛把DCS的各個(gè)組成部分采用第三方集成方式或OEM方式。例如，多數DCS廠(chǎng)商自己不再開(kāi)發(fā)組態(tài)軟件平臺，而轉入采用其它專(zhuān)業(yè)公司的通用組態(tài)軟件平臺，或其它公司提供的軟件平臺。這一思路的轉變使得現代DCS的操作站完全呈現PC化與Windows化的趨勢。在新一代DCS的操作站中，幾乎清一色采用PC+Windows的技術(shù)架構，使用戶(hù)的投資及維護成本大幅降低。

同時(shí)，DCS網(wǎng)絡(luò )技術(shù)也呈現出開(kāi)放的特征。過(guò)去，由于通信技術(shù)相對落后，網(wǎng)絡(luò )技術(shù)開(kāi)放性是困擾用戶(hù)的一個(gè)重要問(wèn)題。而當代網(wǎng)絡(luò )技術(shù)、軟件技術(shù)的發(fā)展為開(kāi)放系統提供了可能。網(wǎng)絡(luò )技術(shù)開(kāi)放性體現在DCS可以從多個(gè)層面與第三方系統互聯(lián)，同時(shí)支持多種網(wǎng)絡(luò )協(xié)議。目前在與企業(yè)管理層信息平臺互聯(lián)時(shí)，大多采用基于TCP(UDP)/IP協(xié)議的以太網(wǎng)通信技術(shù)，使用OPC等開(kāi)放接口標準。

開(kāi)放性為用戶(hù)帶來(lái)的好處毋庸置疑，但由此引發(fā)的各種安全漏洞與傳統的封閉系統相比卻大大增加。對于一個(gè)控制網(wǎng)絡(luò )系統，產(chǎn)生安全漏洞的因素是多方面的。

1、網(wǎng)絡(luò )通信協(xié)議安全漏洞

隨著(zhù)TCP(UDP)/IP協(xié)議被控制網(wǎng)絡(luò )普遍采用，網(wǎng)絡(luò )通信協(xié)議漏洞問(wèn)題變得越來(lái)越突出。

TCP/IP協(xié)議簇最初設計的應用環(huán)境是美國國防系統的內部網(wǎng)絡(luò )，這一網(wǎng)絡(luò )是互相信任的，因此它原本只考慮互通互聯(lián)和資源共享的問(wèn)題，并未考慮也無(wú)法兼容解決來(lái)自網(wǎng)絡(luò )中和網(wǎng)際間的大量安全問(wèn)題。當其推廣到社會(huì )的應用環(huán)境后，安全問(wèn)題發(fā)生了。所以說(shuō)，TCP/IP在先天上就存在著(zhù)致命的安全漏洞。

1) 缺乏對用戶(hù)身份的鑒別

2) 缺乏對路由協(xié)議的鑒別認證

3) TCP/UDP自身缺陷

2、操作系統安全漏洞

PC+Windows的技術(shù)架構現已成為控制系統上位機/操作站的主流。而在控制網(wǎng)絡(luò )中，上位機/操作站是實(shí)現與MES通信的主要網(wǎng)絡(luò )結點(diǎn)，因此其操作系統的漏洞就成為了整個(gè)控制網(wǎng)絡(luò )信息安全中的一個(gè)短板。

Windows操作系統從推出至今，以其友好的用戶(hù)界面、簡(jiǎn)單的操作方式得到了用戶(hù)的認可，其版本也從最初的Windows 3.1發(fā)展到如今的XP、Windows Server2003、 Windows 7等。但是，微軟在設計Windows操作系統時(shí)是本著(zhù)簡(jiǎn)單易用為原則的，因而忽略了安全方面的考慮，留下了很多隱患。這些隱患在單機時(shí)代并沒(méi)有顯現出來(lái)，后來(lái)隨著(zhù)網(wǎng)絡(luò )的出現和普及，越來(lái)越多地使用Windows操作系統的PC接入網(wǎng)絡(luò )，微軟埋下的隱患逐漸浮出水面。一時(shí)間Windows操作系統漏洞頻繁出現，安全事故時(shí)有發(fā)生。雖然微軟在Windows2000以后的版本中采用了Windows NT的核心，在一定程度上提高了Windows操作系統的安全性，但仍然不能避免安全漏洞的不斷出現。另一方面，Windows作為主流的操作系統，也更容易成為眾矢之的，每次Windows的系統漏洞被發(fā)現后，針對該漏洞的惡意代碼很快就會(huì )出現在網(wǎng)上，從漏洞被發(fā)現到惡意代碼的出現，中間的時(shí)差開(kāi)始變得越來(lái)越短。以Windows2000版本為例，就曾被發(fā)現了大量漏洞，典型的如：輸入法漏洞、IPC$漏洞、RPC漏洞、Unicode漏洞、IDA&IDQ緩沖區溢出漏洞、Printer溢出漏洞、Cookie漏洞等等。這些漏洞大部分危害巨大，惡意代碼通過(guò)這些漏洞，可以獲得Windows2000操作站的完全控制權，甚至為所欲為。

3、應用軟件安全漏洞

處于應用層的應用軟件產(chǎn)生的漏洞是最直接、最致命的。一方面這是因為應用軟件形式多樣，很難形成統一的防護規范以應對安全問(wèn)題；另一方面最嚴重的是，當應用軟件面向網(wǎng)絡(luò )應用時(shí)，就必須開(kāi)放其應用端口。例如，要想實(shí)現與操作站OPC服務(wù)器軟件的網(wǎng)絡(luò )通信，控制網(wǎng)絡(luò )就必須完全開(kāi)放135端口，這時(shí)防火墻等安全設備已經(jīng)無(wú)能為力了。而實(shí)際上，不同應用軟件的安全漏洞還不止于此。

控制網(wǎng)絡(luò )安全隱患分析

控制網(wǎng)絡(luò )的安全漏洞暴露了整個(gè)控制系統安全的脆弱性。由于網(wǎng)絡(luò )通信協(xié)議、操作系統、應用軟件、安全策略甚至硬件上存在的安全缺陷，從而使得攻擊者能夠在未授權的情況下訪(fǎng)問(wèn)和操控控制網(wǎng)絡(luò )系統，形成了巨大的安全隱患?？刂凭W(wǎng)絡(luò )系統的安全性同樣符合“木桶原則”，其整體安全性不在于其最強處，而取決于系統最薄弱之處，即安全漏洞所決定。只要這個(gè)漏洞被發(fā)現，系統就有可能成為網(wǎng)絡(luò )攻擊的犧牲品。

安全漏洞對控制網(wǎng)絡(luò )的隱患體現在惡意攻擊行為對系統的威脅。隨著(zhù)越來(lái)越多的控制網(wǎng)絡(luò )系統通過(guò)信息網(wǎng)絡(luò )連接到互聯(lián)上，這種威脅就越來(lái)越大。目前互聯(lián)網(wǎng)上已有幾萬(wàn)個(gè)黑客站點(diǎn)，黑客技術(shù)不斷創(chuàng )新，基本的攻擊手法已達上千種。這些攻擊技術(shù)一旦被不法之徒掌握，將產(chǎn)生不良的后果。