工控系統的安全性值得被重視

　　對諸如圖像、語(yǔ)音信號等大數據量、高速率傳輸的要求，又催生了當前在商業(yè)領(lǐng)域風(fēng)靡的以太網(wǎng)與控制網(wǎng)絡(luò )的結合。這股工業(yè)控制系統網(wǎng)絡(luò )化浪潮又將諸如嵌入式技術(shù)、多標準工業(yè)控制網(wǎng)絡(luò )互聯(lián)、無(wú)線(xiàn)技術(shù)等多種當今流行技術(shù)融合進(jìn)來(lái)，從而拓展了工業(yè)控制領(lǐng)域的發(fā)展空間，帶來(lái)新的發(fā)展機遇。

　　據權威工業(yè)安全事件信息庫RISI統計，截止到2011年10月，全球已發(fā)生200余起針對工業(yè)控制系統的攻擊事件。2001年后，通用開(kāi)發(fā)標準與互聯(lián)網(wǎng)技術(shù)的廣泛使用，使針對工業(yè)控制系統(ICS)的病毒、木馬等攻擊行為大幅度增長(cháng)，結果導致整體控制系統的故障，甚至惡性安全事故，對人員、設備和環(huán)境造成嚴重的后果。比如伊朗核電站的震網(wǎng)病毒事件，給全球工業(yè)界控制系統的信息安全問(wèn)題敲響了警鐘。工控系統信息安全的需求變得更加迫切。

　　我國工控領(lǐng)域的安全可靠性問(wèn)題突出，工控系統的復雜化、IT化和通用化加劇了系統的安全隱患，潛在的更大威脅是我國工控產(chǎn)業(yè)綜合競爭力不強，嵌入式軟件、總線(xiàn)協(xié)議、工控軟件等核心技術(shù)受制于國外，缺乏自主的通信安全、信息安全、安全可靠性測試等標準。工信部發(fā)布《關(guān)于加強工業(yè)控制系統信息安全管理的通知》，要求加強與國計民生緊密相關(guān)的多個(gè)重點(diǎn)領(lǐng)域內工業(yè)控制系統信息安全管理。事實(shí)告訴我們，只有做到居安思危、未雨綢繆，才能保證工業(yè)控制系統健康穩定地運行。

　　 2007年，攻擊者入侵加拿大一個(gè)水利SCADA控制系統，破壞了取水調度的控制計算機

　　 2008年，攻擊者入侵波蘭某城市地鐵系統，通過(guò)電視遙控器改變軌道扳道器，致四節車(chē)廂脫軌

　　 2010年，西門(mén)子首次監測到專(zhuān)門(mén)攻擊該公司工業(yè)控制系統的Stuxnet病毒，也稱(chēng)為震網(wǎng)病毒

　　 2010年，伊朗政府宣布布什爾核電站員工電腦感染Stuxnet病毒，嚴重威脅核反應堆安全運營(yíng)

　　 2011年，黑客入侵數據采集與監控系統，使美國伊利諾伊州城市供水系統的供水泵遭到破壞

　　 2011年，微軟警告稱(chēng)最新發(fā)現的“Duqu”病毒可從工業(yè)控制系統制造商收集情報數據

　　 2012年，兩座美國電廠(chǎng)遭USB病毒攻擊，感染了每個(gè)工廠(chǎng)的工控系統，可被竊取數據

　　 2012年，發(fā)現攻擊多個(gè)中東國家的惡意程序Flame火焰病毒，它能收集各行業(yè)的敏感信息。

　　我國同樣遭受著(zhù)工業(yè)控制系統信息安全漏洞的困擾，比如2010年齊魯石化、2011年大慶石化煉油廠(chǎng)，某裝置控制系統分別感染Conficker病毒，都造成控制系統服務(wù)器與控制器通訊不同程度地中斷。

　　2011年9月29日，工信部特編制下發(fā)《關(guān)于加強工業(yè)控制系統信息安全管理的通知(工信部協(xié)[2011]451號)》文件。明確指出工業(yè)控制系統信息安全面臨著(zhù)嚴峻的形勢，要求切實(shí)加強工業(yè)控制系統信息安全管理。

信息安全成為企業(yè)的焦點(diǎn)

　　如果以前不確定，那么參加了信息安全會(huì )議之后，現在你應該足以相信，社會(huì )上確實(shí)有這樣一些人，他們不但沒(méi)有為所做的壞事對公司或個(gè)人造成傷害而愧疚，甚至幸災樂(lè )禍。在信息安全的話(huà)題上，我們不得不要預防對工業(yè)控制和自動(dòng)化系統的威脅。

　　關(guān)鍵的工業(yè)流程和基礎設施，諸如石油、化工、電力、交通、通信等，這些關(guān)系到國計民生的重要地方，隨時(shí)都面臨著(zhù)安全威脅?；裟犴f爾(Honeywell)收購美特利康(Matrikon)就明確顯示了過(guò)程控制供應商和他們的用戶(hù)正在面臨這樣的威脅。請不要忘記發(fā)生在工業(yè)控制系統中最知名的攻擊：“震網(wǎng)”蠕蟲(chóng)通過(guò)外圍設備U盤(pán)，侵入控制網(wǎng)絡(luò )，更改PLC中的程序和數據，對伊朗的核設施造成了嚴重的破壞。

　　蓄意的攻擊和意外的事故，輕者會(huì )造成設備的停機，重者會(huì )造成人員傷亡和環(huán)境破壞的后果。例如：聯(lián)合化工子公司山東新泰聯(lián)合化工有限公司在2011年11月19日所發(fā)生的安全事故，導致該子公司全面進(jìn)入停產(chǎn)狀態(tài)。已有14人死亡，5人受傷。2011年日本福島核能電廠(chǎng)發(fā)生的核輻射事故，漏出的放射量是遭到原子彈轟炸時(shí)廣島的一百六十八倍。我們還可以列舉很多這樣的例子，但對于普通公眾，不一定意識到問(wèn)題的嚴重性。

　　網(wǎng)絡(luò )攻擊可能來(lái)自多種原因;黑客，職業(yè)罪犯，遭公司解雇或對公司不滿(mǎn)而離開(kāi)的員工，企圖傷害公司信譽(yù)或盜竊公司機密的競爭對手。攻擊有時(shí)候是明顯的，你能發(fā)現某些地方出了問(wèn)題，有時(shí)候是隱秘的，如某人潛入一臺控制器、PC或通信設備中，偷聽(tīng)會(huì )話(huà)，竊取數據，甚至進(jìn)行破壞操作。這種威脅比千年蟲(chóng)的威脅要大的多，因為Y2K的背后沒(méi)有犯罪和政治動(dòng)機。

　　IEC從2009年起發(fā)布IEC62443標準，標準的標題是：工業(yè)通信網(wǎng)絡(luò )-網(wǎng)絡(luò )和系統的信息安全(Industrialcommunicationnetworks–Networkandsystemsecurity)。該標準為系列標準，有些部分已經(jīng)完成發(fā)布，有些部分編寫(xiě)工作正在進(jìn)行，今后會(huì )不斷推出。流程工業(yè)將是第一批采用這些標準的行業(yè)。據保守的估計，對大型分布式控制系統(DCS)實(shí)施信息安全比可編程控制器(PLC)系統要容易得多，因為它們多數部署在大型廠(chǎng)內，且DCS系統的設計安裝要依據最佳工程實(shí)踐，有一致性的標準和驗收流程。而多數安裝在工廠(chǎng)的PLC系統，則沒(méi)有統一的設計、規劃、實(shí)施和驗收，因為購買(mǎi)金額相對較小，安裝和調試的管理相對簡(jiǎn)單粗狂，因此留下諸多隱患。

　　為了防止網(wǎng)絡(luò )攻擊，信息安全項目需要一種有效和切實(shí)可行的機制，包括人員、規程和技術(shù)。我們不能指望多數制造商很快就對他們的自動(dòng)化系統實(shí)施網(wǎng)絡(luò )信息安全項目。對信息安全的理解和從成功的案例中學(xué)習也需要時(shí)間。重要的是我們不能有僥幸的想法，總認為網(wǎng)絡(luò )信息安全的問(wèn)題不可能在我這里出現。我們需要積極地面對當前的形勢，認真研究和討論IEC62443標準，檢查工廠(chǎng)的自動(dòng)化系統，對工廠(chǎng)整體的運行情況進(jìn)行評估，發(fā)現可能存在的隱含漏洞，和你的團隊一起討論信息安全策略和解決方案，這不僅能提高工廠(chǎng)運行的效率，而且隨時(shí)防止有一天可能出現的網(wǎng)絡(luò )攻擊，保護工廠(chǎng)的資產(chǎn)、人員和環(huán)境。

黑客如何攻擊工控系統網(wǎng)絡(luò )

　　網(wǎng)絡(luò )攻擊的基本步驟和方法同樣適用于工業(yè)控制系統網(wǎng)絡(luò );不過(guò)，由于工業(yè)控制系統網(wǎng)絡(luò )使用專(zhuān)門(mén)的系統和協(xié)議，其攻擊步驟和方法也有一定的差異性。

　　1、信息搜集

　　工業(yè)控制系統的網(wǎng)絡(luò )、協(xié)議和系統都比較特殊，攻擊者要搜集到相關(guān)信息并不容易，他們通常會(huì )從企業(yè)的公開(kāi)信息、輪班時(shí)間表、合作服務(wù)和貿易往來(lái)，尤其是企業(yè)供應商所提供產(chǎn)品的協(xié)議規范等入手。

　　遺憾的是，搜集這些信息變得越來(lái)越容易。如搜索引擎SHODAN，可以根據端口、協(xié)議、國家和其他條件搜索與互聯(lián)網(wǎng)關(guān)聯(lián)的所有設備。任何使用HTTP、FTP、SSH或Telnet協(xié)議的服務(wù)器、網(wǎng)絡(luò )交換機、路由器或其他網(wǎng)絡(luò )設備都可以被它檢索到，進(jìn)而輕易找到應用SCADA協(xié)議的設備。雖然很難置辦整個(gè)控制系統來(lái)實(shí)施逆向工程，但攻擊者可以通過(guò)各種公開(kāi)或地下渠道了解控制系統相關(guān)設備的漏洞和后門(mén)。

　　2、網(wǎng)絡(luò )掃描

　　利用網(wǎng)絡(luò )掃描可以通過(guò)端口、協(xié)議等信息快速定位SCADA和DCS系統。例如，如果掃描出某設備的502端口使用的是Modbus協(xié)議，那么可以推斷，與該設備連接的很可能是HMI系統或某些監管工作站。

　　值得注意的是，很多工業(yè)控制系統的網(wǎng)絡(luò )協(xié)議對時(shí)延非常敏感，如果硬掃描，很可能導致整個(gè)網(wǎng)絡(luò )癱瘓。所以，如果攻擊者只是想中斷系統服務(wù)，那么，只要進(jìn)行簡(jiǎn)單的網(wǎng)絡(luò )掃描就可以達到目的;或者，若掃描發(fā)現，實(shí)時(shí)協(xié)議只受到防火墻的保護，那么只憑基本的黑客技術(shù)，實(shí)施DOS攻擊就可以奏效。如果攻擊者另有圖謀，那就只能采取軟掃描方式，以避免系統崩潰。

　　目標系統定位之后，再根據工業(yè)控制系統網(wǎng)絡(luò )協(xié)議的特點(diǎn)進(jìn)行后續掃描，就可以獲取相關(guān)設備信息。如：可以根據以太網(wǎng)/IP流量識別出關(guān)鍵基礎設施保護(CIP)設備及屬性;可以根據DNP3響應結果發(fā)現DNP3的從屬地址;可以通過(guò)截取EtherCAT幀信息或SERCOSⅢ主站數據電報得到所有隸屬設備及其時(shí)間同步信息。

　　3、賬戶(hù)破解

　　很多工業(yè)控制系統是基于Windows的，那些專(zhuān)門(mén)破解Windows賬戶(hù)信息的方法和工具也可以應用到工業(yè)控制系統上。尤其是運行在WindowsOLE和DCOM上的OPC系統，只要通過(guò)主機認證就可以全面控制OPC環(huán)境。如果無(wú)法獲得底層協(xié)議認證，也可以通過(guò)枚舉方式破解控制系統內其他用戶(hù)和角色。如HMI用戶(hù)、ICCP服務(wù)器憑據(雙向表)、主節點(diǎn)地址(任何主/從工業(yè)協(xié)議)、以往數據庫認證信息等。

　　進(jìn)入HMI，就可以直接控制HMI管理的進(jìn)程，并竊取信息;進(jìn)入ICCP服務(wù)器，就可以竊取或操縱控制中心之間的傳輸數據。所以說(shuō)，從功能上將物理設備和邏輯設備全部隔離到安全區域是非常重要的。NIST800-82(工業(yè)控制系統安全防護指南)還建議采用賬戶(hù)復合認證方式。有了物理和數字的雙重保護，賬戶(hù)就很難破解;也就是說(shuō)，即使知道了某個(gè)用戶(hù)名或某個(gè)密碼，也很難通過(guò)賬戶(hù)認證。

　　4、實(shí)施攻擊

　　正如前面所述，一次簡(jiǎn)單的網(wǎng)絡(luò )掃描就可以破壞工業(yè)控制系統網(wǎng)絡(luò )。因為工業(yè)控制系統網(wǎng)絡(luò )協(xié)議非常敏感，信息流稍有變化，協(xié)議就會(huì )失效。所以，攻擊者利用硬掃描來(lái)破壞系統，利用軟掃描來(lái)偵測信息。另外，也可以通過(guò)防火墻實(shí)施網(wǎng)絡(luò )掃描，因為通過(guò)防火墻的開(kāi)放端口進(jìn)行分組交換更加容易。一旦掃描通過(guò)，黑客就可偽裝合法通訊，對控制網(wǎng)絡(luò )實(shí)施DOS攻擊。

　　如果攻擊目的是侵入網(wǎng)絡(luò )或者潛伏網(wǎng)絡(luò )，我們以“震網(wǎng)”(Stuxnet)為例，了解黑客可能會(huì )應用的滲透技術(shù)?！罢鹁W(wǎng)”是一種專(zhuān)門(mén)針對工業(yè)控制系統的、基于Windows平臺的蠕蟲(chóng)病毒，它具有多種掃描和滲透機制，能自我復制，傳播能力強，極具隱身性。入侵網(wǎng)絡(luò )后，“震網(wǎng)”會(huì )根據不同環(huán)境做出不同反應，如在“企業(yè)環(huán)境”，它會(huì )尋找目標HMI，然后入侵HMI;在“工業(yè)環(huán)境”，它會(huì )感染HMI，尋找目標PLCs，然后將惡意代碼植入其中;在“運行環(huán)境”，它會(huì )利用PLC尋找某個(gè)帶特定參數運行的IEDs，然后植入代碼，進(jìn)行破壞活動(dòng)。

　　簡(jiǎn)單來(lái)說(shuō)，“震網(wǎng)”的攻擊手段可以總結為：以常見(jiàn)的黑客技術(shù)發(fā)動(dòng)初次攻擊;入侵SCADA和DCS后，利用其資源再侵入其他工業(yè)控制系統;對“非路由”系統(如有PLCs和IEDs中組成的總線(xiàn))，它也可以進(jìn)行感染，并滲透進(jìn)更深層的工業(yè)生產(chǎn)過(guò)程中。

工業(yè)控制系統網(wǎng)絡(luò )安全防護的九大誤區

　　近年來(lái)，由于能源需求持續增長(cháng)、管理模式不斷變化以及對信息通訊技術(shù)(ICT)的廣泛應用，工業(yè)控制系統正在經(jīng)受一場(chǎng)快速而深刻的變革。原本相對簡(jiǎn)單、相對獨立的工控系統正在向自動(dòng)化、信息化和網(wǎng)絡(luò )化發(fā)展。雖然工業(yè)控制系統的網(wǎng)絡(luò )安全問(wèn)題已經(jīng)引起很多國家和權威機構的高度重視，但是對相關(guān)企業(yè)和從業(yè)者來(lái)說(shuō)，仍是一個(gè)很新的領(lǐng)域，工作上還存在著(zhù)很多誤區。

　　誤區一：工業(yè)控制系統(ICS)是與外界隔離的

　　實(shí)際上，基礎設施領(lǐng)域不僅包括生產(chǎn)和控制系統，還包括市場(chǎng)分析、財務(wù)計劃等信息管理系統。生產(chǎn)系統與管理系統的互聯(lián)已經(jīng)成為ICS的基本架構，與外界完全隔離幾乎不可能。另外，維護用的移動(dòng)設備或移動(dòng)電腦也會(huì )打破系統與外界的隔離，打開(kāi)網(wǎng)絡(luò )安全風(fēng)險之門(mén)。

　　事實(shí)證明，不管多嚴格的隔離措施也會(huì )有隱患發(fā)生。2003年Davis-Besse核電站被Slammer蠕蟲(chóng)病毒侵入;2006年13家Daimler-Chrysler汽車(chē)企業(yè)因感染Zotob蠕蟲(chóng)病毒被迫停工;2008年有超過(guò)千萬(wàn)臺的設備，包括所謂隔離了的設備，受到Conficker蠕蟲(chóng)病毒的攻擊。即使在太空也不能做到完全隔離：2008年美國宇航局證實(shí)其國際太空站筆記本電腦遭到病毒入侵。2010年震驚世界的伊朗震網(wǎng)病毒。

　　誤區二：沒(méi)有人會(huì )襲擊我們

　　上個(gè)世紀，雖然有些零星事件發(fā)生，公眾對ICS網(wǎng)絡(luò )安全問(wèn)題并沒(méi)有足夠認識。直到2000年澳大利亞MaroochyShire排水系統受攻擊事件報道之后，人們才意識到ICS系統一旦受襲擊有可能造成嚴重后果。該次事件中，由于數據采集和監控系統(SCADA)受到攻擊，導致800，000升污水直接排放到環(huán)境中。

　　另外，ICS系統并不是堅不可摧。2006年以來(lái)，美國計算機應急響應小組對外公布的ICS系統安全漏洞越來(lái)越多。2009底其數據庫顯示的24條SCADA相關(guān)漏洞都是已經(jīng)預警的，而且，主流黑客工具如MetasploitFramework中已經(jīng)集成有其中一些漏洞的攻擊方法。

　　越來(lái)越多的跡象表明，ICS系統已經(jīng)受到黑客、政治對手、不滿(mǎn)的員工或犯罪組織等各類(lèi)攻擊者的目標關(guān)注。

　　誤區三：黑客不懂我們的協(xié)議/系統，系統非常安全

　　實(shí)際上，工業(yè)環(huán)境中已廣泛使用商業(yè)標準件(COTS)和IT技術(shù);除開(kāi)某些特殊環(huán)境，大部分通訊采用的是以太網(wǎng)和TCP/IP協(xié)議;ICS、監控站以及嵌入式設備的操作系統也多以Microsoft和Linux為主。其中，Microsoft已通過(guò)智能能源參考架構(SERA)打進(jìn)電力行業(yè)，意圖將微軟技術(shù)安插到未來(lái)智能電網(wǎng)架構的核心中。

　　那些特殊環(huán)境采用的內部協(xié)議其實(shí)也有公開(kāi)的文檔可查。典型的電力系統通訊協(xié)議定義在IEC和IEEE標準中都可以找到。象Modbus這些工業(yè)協(xié)議，不僅可以輕易找到詳細說(shuō)明，其內容也早已被黑客圈子熟知。

　　另外，由于ICS設備功能簡(jiǎn)單、設計規范，只需少許計算機知識和耐心就可以完成其逆向工程，何況大部分的工業(yè)協(xié)議都不具備安全防護特征。甚至某些應急工具都可以自動(dòng)完成逆向工程。

　　即使經(jīng)過(guò)加密處理的協(xié)議也可以實(shí)施逆向工程。例如，GSM手機全球系統、繳費終端及汽車(chē)點(diǎn)火裝置的射頻信號、DVD反復制保護機制，他們都采用專(zhuān)門(mén)的加密技術(shù)，但最終都被破解。

　　誤區四：ICS系統不需要防病毒軟件或有防病毒軟件就可以了;我們的防火墻會(huì )自動(dòng)提供保護等

　　認為ICS系統不需要防病毒和誤區一(系統是隔離的)和誤區三(黑客不了解系統)有關(guān)。實(shí)際上，除了Window平臺易受攻擊，Unix/Linux都有過(guò)病毒或跨平臺病毒攻擊的經(jīng)歷。Proof-of-concept病毒則是專(zhuān)門(mén)針對SCADA和AMI系統的。所以對ICS系統，防病毒軟件不可或缺，并且需要定時(shí)更新。

　　那么，有了防病毒軟件是否就高枕無(wú)憂(yōu)了?雖然有效管理的防病毒措施可以抵御大部分已知的惡意軟件，但對更隱蔽或鮮為人知的病毒的防御還遠遠不夠。而且，防病毒軟件本身也有弱點(diǎn)存在。從最近一次安全會(huì )議得知，在對目前使用最多的7個(gè)防病毒軟件進(jìn)行防病毒能力挑戰時(shí)，有6個(gè)可以在2分鐘內被攻破。

　　另外，雖然防火墻也是應用最廣泛的安全策略之一，但其發(fā)揮效用的前提是必須正確設置了防火墻的安全規則。即使智能型防火墻，也需要自定義安全規則。研究表明，由于設置規則比較復雜，目前80%的防火墻都沒(méi)有正確配置，都沒(méi)有真正起到安全防護的作用。

　　誤區五：網(wǎng)絡(luò )安全事件不會(huì )影響系統運行

　　事實(shí)證明，ICS系統遭受攻擊后不僅可能影響運行，還可能導致嚴重后果。前面提到的澳大利亞MaroochyShire排水系統受攻擊事件就是一例;2003年Davis-Besse核電站因Slammer蠕蟲(chóng)病毒入侵導致系統計算機停機6小時(shí)以上;2007年美國愛(ài)達荷國家實(shí)驗室一臺為13.8KV網(wǎng)格測試臺供電的柴油發(fā)電機因網(wǎng)絡(luò )攻擊而被毀;2008年Hatch核電廠(chǎng)一工程師在數據采集服務(wù)器上測試軟件更新時(shí)，在其不知情的情況下，測試值被供應商軟件同步設置到生產(chǎn)系統上，結果導致反應堆自動(dòng)停機事故。另外，攻擊者也會(huì )想法設法接近ICS設備，如將攜有惡意軟件的U盤(pán)以禮相送;或是向收集到的目標企業(yè)工作人員郵寄地址發(fā)送電子郵件，一旦郵件內鏈接被打開(kāi)，惡意軟件就會(huì )下載到工作站。攻擊者聲稱(chēng)，通過(guò)這些惡意軟件，他們可以全面控制工作站和SCADA系統。

　　誤區六：ICS組件不需要特別的安全防護，供應商會(huì )保證產(chǎn)品的安全性

　　人們能夠理解ICS系統核心組件(如數據庫、應用軟件、服務(wù)器等)安全性的重要，但常常會(huì )忽視ICS系統外圍組件(如傳感器、傳動(dòng)器、智能電子設備、可編程邏輯控制器、智能儀表、遠程終端設備等)的安全防護。其實(shí)這些外圍設備很多都內置有與局域網(wǎng)相聯(lián)的網(wǎng)絡(luò )接口，采用的也是TCP/IP協(xié)議。這些設備運行時(shí)可能還有一些調試命令，如telnet和FTP等，未及時(shí)屏蔽。這種情況在網(wǎng)絡(luò )服務(wù)器上也很常見(jiàn)。網(wǎng)絡(luò )服務(wù)器一般隱含有一項特殊功能，即允許用戶(hù)通過(guò)定位某個(gè)網(wǎng)址重新啟動(dòng)遠程終端設備(RTU)。

　　用戶(hù)通常以為供應商會(huì )對他們產(chǎn)品的缺陷和安全性了如指掌，實(shí)際上供應商對他們產(chǎn)品的認識僅限于產(chǎn)品所能提供的功能方面，而且對出現的安全問(wèn)題也做不到快速響應。2008年研究人員發(fā)現ICS特有的數據通訊協(xié)議(WonderwareSuitlink)存在漏洞后，立即聯(lián)系了供應商Wonderware，但是Wonderware1個(gè)月后才開(kāi)始回應;等到Wonderware認識到產(chǎn)品缺陷，并知會(huì )Suitlink用戶(hù)相關(guān)補救措施時(shí)，已是三個(gè)月以后的事了。這件事讓很多供應商開(kāi)始關(guān)注自己產(chǎn)品的安全性，但對大部分供應商來(lái)說(shuō)，還是任重道遠。

　　誤區七：ICS系統的接入點(diǎn)容易控制

　　ICS系統存在很多未知或已知但不安全的接入點(diǎn)，如維護用的手提電腦可以直接和ICS網(wǎng)絡(luò )聯(lián)接、可不經(jīng)過(guò)防火墻的接入點(diǎn)、遠程支持和維護接入點(diǎn)、ICS設備和非ICS設備的連接點(diǎn)、ICS網(wǎng)絡(luò )設備中的可接入端口等。實(shí)際上，ICS系統的所有者并不知曉有多少個(gè)接入點(diǎn)存在以及有多少個(gè)接入點(diǎn)正在使用，也不知道個(gè)人可以通過(guò)這種方式訪(fǎng)問(wèn)ICS系統。

　　誤區八：系統安全可以一次性解決或是可以等到項目結束再解決

　　以前，ICS系統功能簡(jiǎn)單，外部環(huán)境穩定，現場(chǎng)維護設備也非智能型，所以，針對某一問(wèn)題的解決方案可以維持很長(cháng)一段時(shí)間不變。然而，現在的ICS系統功能復雜，外部環(huán)境經(jīng)常變化，現場(chǎng)維護設備也需要定期更新和維護。不僅ICS系統和現場(chǎng)維護設備需要安全防護，其管理和維護工作也需要安全防護，而且是動(dòng)態(tài)管理的安全防護，即一旦有新的威脅或漏洞產(chǎn)生，就要及時(shí)采取安全措施。

　　近些年，雖然ICS項目建設開(kāi)始關(guān)注系統安全，但是由于工期較長(cháng)，通常在最后階段才開(kāi)始考慮安全防護問(wèn)題，但此時(shí)不僅實(shí)施不易，而且成本頗高。因為需求變更越晚或漏洞發(fā)現越遲，更改或彌補的費用越高。

　　誤區九：?jiǎn)蜗蛲ㄐ?00%安全

　　某些情況下，極重要的ICS系統允許以單向通訊方式與其他安全區域聯(lián)接。但是，這種聯(lián)接方式是很不嚴密的，其安全程度高低取決于單向通信的實(shí)現方式。方式一為限制發(fā)起方方式，即通信只能由某一方發(fā)起，然后雙方可以互相通信;方式二為限制負載流方式，即在方式一基礎上，對方只能發(fā)送控制信號，不能發(fā)送數據或應用信息;方式三最嚴格，僅允許一方發(fā)送信息，不允許另一方發(fā)送任何信息。方式一采用基本防火墻就能實(shí)現，方式二需要進(jìn)行信息包檢測，方式三需要采用特殊設備實(shí)現。通常認為，將前兩種方式結合起來(lái)將是最安全的防護措施。但是，即使它們可以提供很強的安全保護，網(wǎng)絡(luò )攻擊還是有可能發(fā)生。因為控制和信號信息允許進(jìn)入受保護區域，經(jīng)過(guò)設備編譯后，惡意代碼就有可能得到運行。所以，單向通信并不能提供100%的安全保護。