案例背景
某燃?xì)馄髽I(yè)是中國(guó)最大的城市燃?xì)膺\(yùn)營(yíng)商之一,城市燃?xì)釹CADA系統(tǒng)通常采用標(biāo)準(zhǔn)數(shù)據(jù)通訊協(xié)議及通用操作系統(tǒng)、數(shù)據(jù)庫(kù),這種設(shè)計(jì)在為工業(yè)控制系統(tǒng)帶來(lái)便利的同時(shí)也增加了風(fēng)險(xiǎn)因素,惡意攻擊、管理性操作失誤等都極易引發(fā)系統(tǒng)安全事故。本次項(xiàng)目在深入分析城市燃?xì)釹CADA系統(tǒng)的系統(tǒng)架構(gòu)、應(yīng)用特點(diǎn)、安全現(xiàn)狀、安全威脅和安全需求的基礎(chǔ)上,按照等保2.0及關(guān)鍵基礎(chǔ)設(shè)施保護(hù)條例相關(guān)要求,構(gòu)建自主可控、安全可靠的安全防護(hù)體系,提高城市燃?xì)馄髽I(yè)工業(yè)信息安全保障水平。
案例需求
(1)網(wǎng)絡(luò)區(qū)域邊界安全風(fēng)險(xiǎn)
互聯(lián)網(wǎng)與控制網(wǎng)邊界安全風(fēng)險(xiǎn):對(duì)于互聯(lián)網(wǎng)與控制網(wǎng)的邊界,可能存在的安全風(fēng)險(xiǎn)包括:非法訪問(wèn)、非法入侵、惡意攻擊、病毒和蠕蟲(chóng)。
調(diào)度中心與子站的邊界安全風(fēng)險(xiǎn):對(duì)于調(diào)度中心與子站的邊界,可能存在的安全風(fēng)險(xiǎn)包括:非法操作、非法入侵、非正常或錯(cuò)誤操作、病毒和蠕蟲(chóng)。
(2)通信網(wǎng)絡(luò)安全風(fēng)險(xiǎn)
天然氣門(mén)站、儲(chǔ)輸配站、調(diào)壓計(jì)量站等站場(chǎng)數(shù)據(jù)通訊中,主要采用Modbus TCP/IP、OPC標(biāo)準(zhǔn)通訊協(xié)議,因是公開(kāi)協(xié)議,所以數(shù)據(jù)容易被竊聽(tīng)、篡改及偽造,造成安全事故。
(3)計(jì)算環(huán)境安全風(fēng)險(xiǎn)
各種移動(dòng)存儲(chǔ)介質(zhì)成為了病毒、木馬和惡意程序傳播的傳播途徑,外部的病毒及惡意程序往往可以通過(guò)移動(dòng)存儲(chǔ)介質(zhì)傳播進(jìn)入企業(yè)工控網(wǎng)絡(luò)系統(tǒng)中。
解決方案
本項(xiàng)目利用工控協(xié)議深度解析、工控系統(tǒng)脆弱性檢測(cè)、主機(jī)“白名單”等工控安全專用技術(shù),從燃?xì)釹CADA系統(tǒng)的區(qū)域邊界、通信網(wǎng)絡(luò)、計(jì)算環(huán)境等角度設(shè)計(jì)安全防護(hù)體系,有效解決燃?xì)釹CADA系統(tǒng)中實(shí)際存在的安全威脅,提高工業(yè)控制系統(tǒng)等級(jí)保護(hù)符合性要求,將工業(yè)控制系統(tǒng)的安全狀況提升到一個(gè)較高的水平,并盡可能地消除或降低工業(yè)控制系統(tǒng)的安全風(fēng)險(xiǎn)。
“安全風(fēng)險(xiǎn)全面評(píng)估”
針對(duì)前述的城市燃?xì)釹CADA系統(tǒng)面臨的網(wǎng)絡(luò)安全風(fēng)險(xiǎn),如互聯(lián)網(wǎng)攻擊者可能會(huì)利用SCADA系統(tǒng)網(wǎng)絡(luò)安全漏洞獲取天然氣站場(chǎng)數(shù)據(jù)和電動(dòng)閥門(mén)的控制權(quán),一旦這些控制權(quán)被不良意圖黑客所掌握,那么對(duì)安全生產(chǎn)將產(chǎn)生不可估計(jì)的嚴(yán)重后果。本方案利用工控漏洞掃描系統(tǒng)對(duì)燃?xì)庀到y(tǒng)進(jìn)行全面的風(fēng)險(xiǎn)評(píng)估,系統(tǒng)通過(guò)豐富的系統(tǒng)漏洞庫(kù),不僅對(duì)城市燃?xì)釹CADA系統(tǒng)中使用的傳統(tǒng) IT設(shè)備/系統(tǒng),比如操作系統(tǒng)、交換機(jī)、路由器、弱口令、FTP服務(wù)器、Web服務(wù)器等進(jìn)行漏洞風(fēng)險(xiǎn)評(píng)估,同時(shí)還支持對(duì)城市燃?xì)釹CADA系統(tǒng)中所特有的設(shè)備/系統(tǒng),比如PLC、RTU等進(jìn)行已知漏洞的識(shí)別和檢測(cè),及時(shí)發(fā)現(xiàn)安全漏洞,客觀評(píng)估工控網(wǎng)絡(luò)風(fēng)險(xiǎn)等級(jí)。

2.“分區(qū)分域安全可管”
城市燃?xì)釹CADA系統(tǒng)網(wǎng)絡(luò)邊界包括調(diào)度中心服務(wù)器網(wǎng)絡(luò)出入口、各個(gè)燃?xì)鈭?chǎng)站PLC/RTU控制器網(wǎng)絡(luò)出入口。調(diào)度中心的防護(hù)對(duì)象主要為SCADA冗余服務(wù)器、工程師站及操作員站。為了保護(hù)該服務(wù)器免受異常操作、非法指令惡意控制、病毒攻擊等行為干擾和破壞,在調(diào)度中心服務(wù)器的網(wǎng)絡(luò)前段部署工控防火墻,將所有流向服務(wù)器的數(shù)據(jù)進(jìn)行深度解析。針對(duì)各個(gè)燃?xì)庹緢?chǎng)PLC控制系統(tǒng),其通訊協(xié)議為RSlinks OPC,為了保護(hù)該P(yáng)LC免受異常操作、非法指令惡意控制、病毒攻擊等行為干擾和破壞。在PLC的網(wǎng)絡(luò)前段部署工控防火墻,將所有下發(fā)給PLC的數(shù)據(jù)進(jìn)行深度解析,工控防火墻支持對(duì)工業(yè)資產(chǎn)功能碼的識(shí)別,可以做到指令級(jí)甚至值域級(jí)的更精細(xì)粒度的管控。

3.“通信網(wǎng)絡(luò)安全可靠”
城市燃?xì)釹CADA系統(tǒng)數(shù)據(jù)通訊采用的Modbus TCP/IP或OPC通訊協(xié)議自身存在漏洞,通過(guò)部署工控安全審計(jì)系統(tǒng),實(shí)現(xiàn)對(duì)Modbus TCP/IP或OPC數(shù)據(jù)包進(jìn)行深度解析。通過(guò)深度檢測(cè)利用數(shù)據(jù)包的分析功能,有效分類功能碼以及讀寫(xiě)地址,實(shí)時(shí)檢測(cè)針對(duì)PLC、DCS、上位機(jī)等重要的工控設(shè)備的網(wǎng)絡(luò)攻擊、用戶誤操作、用戶違規(guī)操作、非法設(shè)備接入以及蠕蟲(chóng)、病毒等惡意軟件的傳播行為,并實(shí)時(shí)報(bào)警,同時(shí)詳實(shí)記錄一切網(wǎng)絡(luò)通信行為,包括指令級(jí)的工業(yè)控制協(xié)議通信記錄,為城市燃?xì)釹CADA系統(tǒng)網(wǎng)絡(luò)安全事故調(diào)查提供堅(jiān)實(shí)的基礎(chǔ)。
通過(guò)部署工控入侵檢測(cè)系統(tǒng)實(shí)現(xiàn)對(duì)城市燃?xì)釹CADA系統(tǒng)運(yùn)行狀況的監(jiān)視,發(fā)現(xiàn)并阻斷各種入侵攻擊、異常流量、非法操作或異常行為。通過(guò)深入分析網(wǎng)絡(luò)上捕獲的數(shù)據(jù)包,結(jié)合特征庫(kù)進(jìn)行相應(yīng)的行為匹配,實(shí)現(xiàn)入侵行為檢測(cè)。

4.“計(jì)算環(huán)境安全可信”
城市燃?xì)釹CADA系統(tǒng)使用大量的計(jì)算機(jī)及服務(wù)器,計(jì)算機(jī)操作系統(tǒng)一般采用Windows,上線后基本不會(huì)對(duì)操作系統(tǒng)進(jìn)行升級(jí),而操作系統(tǒng)在使用期間不斷曝出漏洞,導(dǎo)致操作站和服務(wù)器暴露在風(fēng)險(xiǎn)中。在系統(tǒng)上線前沒(méi)有關(guān)閉掉多余的系統(tǒng)服務(wù),以及系統(tǒng)的密碼策略等進(jìn)行安全加固等問(wèn)題。另外,運(yùn)維人員調(diào)試過(guò)程中可以對(duì)操作站和服務(wù)器安裝軟件。為了方便調(diào)試,會(huì)開(kāi)啟操作系統(tǒng)遠(yuǎn)程服務(wù)功能,上線后通常不會(huì)屏蔽這個(gè)功能,安全配置薄弱,容易遭受攻擊。
通過(guò)在各類服務(wù)器、操作員站上部署工控主機(jī)衛(wèi)士,工控主機(jī)衛(wèi)士能夠監(jiān)控工控主機(jī)的進(jìn)程狀態(tài)、本地訪問(wèn)控制狀態(tài)、USB端口狀態(tài),以白名單的技術(shù)方式,全方位地保護(hù)主機(jī)的資源使用,以及監(jiān)控本地設(shè)備安全基線配置。根據(jù)白名單的配置,工控主機(jī)衛(wèi)士會(huì)禁止非法進(jìn)程的運(yùn)行,禁止非法網(wǎng)絡(luò)的訪問(wèn)連接,禁止非法USB設(shè)備的接入,從而切斷病毒和木馬的傳播與破壞路徑。

5.“管理中心集中管控”
通過(guò)在SCADA系統(tǒng)調(diào)度中心安全運(yùn)營(yíng)中心部署工業(yè)安全管理平臺(tái),對(duì)網(wǎng)絡(luò)中部署的所有安全設(shè)備進(jìn)行統(tǒng)一監(jiān)控、日志采集、安全分析、策略下發(fā),為工控網(wǎng)絡(luò)安全運(yùn)營(yíng)提供決策支持,加強(qiáng)安全事件響應(yīng)速度與安全運(yùn)維能力,提升工控網(wǎng)絡(luò)整體信息安全水平。
針對(duì)SCADA系統(tǒng)在出現(xiàn)故障進(jìn)行運(yùn)維時(shí)無(wú)法準(zhǔn)確獲取第三方運(yùn)維數(shù)據(jù),不能及時(shí)了解第三方運(yùn)維人員是否存在誤操作和惡意操作。一旦發(fā)生事故,需要大量時(shí)間確定問(wèn)題,不能夠及時(shí)有效的解決問(wèn)題,也沒(méi)有手段追溯等問(wèn)題,在安全運(yùn)維區(qū)部署工控安全運(yùn)維管理系統(tǒng),通過(guò)協(xié)議代理的方式,建立運(yùn)維人員、運(yùn)維資產(chǎn)、資產(chǎn)賬號(hào)的唯一身份認(rèn)證管理,配置集中訪問(wèn)控制和細(xì)粒度的命令級(jí)授權(quán)策略,實(shí)現(xiàn)集中有序的安全運(yùn)維管理,對(duì)運(yùn)維用戶的全程行為進(jìn)行審計(jì)與阻斷。

效益評(píng)估
1、滿足合規(guī)政策要求
在符合信息安全三級(jí)等級(jí)保護(hù)要求的前提下,有效解決燃?xì)饧瘓F(tuán)SCADA工業(yè)控制系統(tǒng)中實(shí)際存在的安全威脅,提高了工業(yè)控制系統(tǒng)等級(jí)保護(hù)符合性要求,將工業(yè)控制系統(tǒng)的安全狀況提升到一個(gè)較高的水平,并盡可能地消除或降低工業(yè)控制系統(tǒng)的安全風(fēng)險(xiǎn)。
2、避免安全事故造成的損失
通過(guò)采取有效的安全管理、邊界防護(hù)、網(wǎng)絡(luò)監(jiān)測(cè)、主機(jī)防護(hù)等手段,建立了涵蓋城市燃?xì)釹CADA系統(tǒng)區(qū)域邊界、計(jì)算環(huán)境、通信網(wǎng)絡(luò)的安全防護(hù)框架,形成體系化城市燃?xì)釹CADA系統(tǒng)網(wǎng)絡(luò)安全解決方案,保障系統(tǒng)安全運(yùn)營(yíng),避免網(wǎng)絡(luò)安全事故發(fā)生,有效降低網(wǎng)絡(luò)安全事件造成的損失。
博智工業(yè)網(wǎng)絡(luò)蜜罐系統(tǒng)
博智工業(yè)資產(chǎn)測(cè)繪與脆弱性評(píng)估系統(tǒng)
博智工控信息安全風(fēng)險(xiǎn)評(píng)估系統(tǒng)