本文为软考信息安全工程师个人学习笔记依据官方考试大纲与公开技术规范整理仅用于学习交流不作为商业用途。一、工业控制系统概念及组成1.1 基本定义工业控制系统是由各种控制组件、监测组件、数据处理与展示组件共同构成的对工业生产过程进行控制和监控的业务流程管控系统。工业控制系统通常简称工控系统ICS。英文缩写ICSIndustrial Control System。1.2 系统分类工业控制系统通常分为离散制造类和过程控制类两大类。分类说明典型场景离散制造类多个零部件组装汽车制造汽车组装线过程控制类连续生产过程酿酒发酵→蒸馏→包装的连续过程1.3 核心组件控制系统包括SCADA系统、分布式控制系统DCS、过程控制系统PCS、可编程逻辑控制器PLC、远程终端RTU、数控机床及数控系统等。组件说明SCADA系统即数据采集与监视控制系统作用是以计算机为基础对远程分布运行的设备进行监控功能主要包括数据采集、参数测量和调节。SCADA系统一般由设在控制中心的主终端控制单元MTU、通信线路和设备、远程终端单元RTU等组成系统作用主要是对多层级、分散的子过程进行数据采集和统一调度管理分布式控制系统DCS是基于计算机技术对生产过程进行分布控制、集中管理的系统。DCS系统一般包括现场控制级、系统控制级和管理级三个层次现场控制级主要是对单个子过程进行控制系统控制级主要是对多个密切相关的过程进行数据采集、记录、分析和控制并通过统一的人机交互实现对过程的集中控制和展示系统项目管理器实现组态的配置和分发并有统一的对外数据接口过程控制系统PCS通过实时采集被控设备状态参数进行调节以保证被控设备保持某一特定状态的控制系统状态参数包括温度、压力、流量、浓度等。PCS系统通常采用反馈控制闭环控制方式可编程逻辑控制器PLC主要执行各类运算、顺序控制、定时、计数等指令用于控制工业生产装备的动作是工业控制系统的基础单元主终端设备MTU部署在调度控制中心用于生产过程的信息收集和监测通过网络与RTU保持通信远程终端设备RTU用于生产过程的信息采集、自动测量记录和传导通过网络与MTU保持通信人机界面HMI是为操作者和控制器之间提供操作界面和数据通信的软硬件平台目前工业控制系统主要采用计算机终端进行人机交互工作工控通信网络传统工业通信网络一般采取专用的协议来构建形成封闭网络常见的工控专用协议有OPC、Modbus、DNP3、工业以太网等关键设备说明PCS系统采用闭环控制实时调节温度/压力/流量等参数案例100℃恒温控制HMI人机交互界面软硬件平台如温度设置操作台MTU与RTU主终端设备MTU与远程终端设备RTU构成数据采集传输体系二、工控系统安全威胁根据已发生的典型事件看工控系统的安全威胁主要来自五个方面威胁来源说明自然灾害及环境洪水、雷电、台风等是工控系统常见的自然灾害威胁特别是分布在室外的工业控制设备内部安全威胁人为错误或疏忽大意如命令输入错误、操作不当导致工业控制设备安全失效设备功能安全故障工业系统设备或设备质量不合格导致系统功能无法正常执行从而产生故障例如磁盘故障、服务器硬件故障恶意代码随着工业控制网络的开放性增加恶意代码成为工业控制系统面临的安全挑战最常见的恶意代码有网络蠕虫、特洛伊木马、勒索软件等。根据研究针对PLC攻击的网络蠕虫已经出笼简称PLC Worm网络攻击由于工业控制系统的高价值性常常是网络攻击者重要的目标对象威胁来源自然灾害洪水/雷电对室外设备的物理破坏内部威胁操作失误如错误指令输入设备故障磁盘/服务器硬件失效恶意代码PLC蠕虫震网病毒、勒索软件定向攻击乌克兰电网攻击事件三、工业控制系统安全隐患类型除了传统IT系统的安全隐患外工业控制系统还具有其特定的安全隐患分析如下隐患类型说明工控协议安全工控协议明文传输指令无安全认证、无安全审计、无安全设计。如加密、CANBUS、MODBUS、profibus等数据传输缺乏加密措施地址和命令明文传输可以很容易地捕获和解析工控系统技术产品安全漏洞PLC、SCADA、HMI、DCS等相关技术产品存在安全漏洞工控系统基础软件安全漏洞工控系统通用操作系统、嵌入式操作系统、数据库等存在安全漏洞工控系统算法安全漏洞工业系统控制算法存在安全缺陷工控系统设备固件漏洞工控系统设备固件存在安全缺陷例如BIOS漏洞工控系统设备硬件漏洞工控系统设备硬件存在安全缺陷例如CPU漏洞工控系统开放接入漏洞传统工控系统在无物理安全隔离措施的情况下接入互联网工控设备暴露在公共的网络中带来新的安全问题。如DDoS/Dos拒绝服务攻击、漏洞扫描、敏感信息泄露、恶意代码网上传播等。互联网上有专用的工控设备扫描平台Shodan可以实时发现在线的工控设备及漏洞信息工控系统供应链安全工控系统依赖多个厂商提供设备和后续服务保障供应链安全直接影响工控系统的安全稳定运行一旦某个关键设备或组件无法提供服务支撑工控系统就很可能中断运行特有风险协议缺陷Modbus等协议缺乏认证/加密明文传输控制指令产品漏洞PLC/SCADA/DCS等设备的软硬件漏洞开放接入风险电网等系统联网后暴露攻击面案例手机缴电费接口供应链风险依赖西门子/三菱等国外厂商的关键技术断供风险四、工业控制系统安全需求分析工业控制系统的安全除了传统IT的安全外还涉及控制设备及操作安全。传统IT网络信息安全要求侧重于保密性-完整性-可用性需求顺序而工控系统网络信息安全偏重于可用性-完整性-保密性需求顺序。国家网络安全等级保护2.0标准已将工控系统列为等级保护对象。工控系统的网络信息安全主要有技术安全要求和管理安全要求两方面。技术安全要求安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心管理安全要求安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理工控系统的安全保护需求不同于普通IT系统要根据工业业务的重要性和生产安全划分安全区域确定安全防护等级然后持续提升工控设备、工控网络和工控数据的安全保护能力。核心特性优先级倒置可用性完整性保密性与传统IT系统相反等保2.0要求新增云大物移工保护对象防护体系技术层面物理环境/通信网络/区域边界/计算环境/管理中心五维防护管理层面制度/机构/人员/建设/运维五位一体防护要点按业务重要性划分安全区域持续提升设备/网络/数据防护能力五、工控系统安全保护机制与技术5.1 物理及环境安全防护物理及环境安全是工控系统的安全基础。为保护工业控制系统的物理及环境安全《工业控制系统信息安全防护指南》要求如下对重要工程师站、数据库、服务器等核心工业控制软硬件所在区域采取访问控制、视频监控、专人值守等物理安全防护措施。拆除或封闭工业主机上不必要的USB、光驱、无线等接口。若确需使用通过主机外设安全管理技术手段实现严格访问控制。核心区域防护对工程师站、数据库、服务器等核心区域需实施三重防护措施访问控制如门禁系统、视频监控留存追溯证据、专人值守核设施等关键场所需军队驻守。机房外设备需锁闭在防护箱内。外设管理必须拆除或封闭工业主机非必要接口USB/光驱/无线确需使用时需通过外设安全管理平台实现严格访问控制包括U盘病毒查杀和敏感内容检测。数据交互应通过安全检测平台完成。5.2 安全边界保护安全边界保护为确保有安全风险的区域隔离及安全控制管理工业企业应将工业控制系统划分为若干安全域。工业控制系统的开发、测试和生产应分别提供独立环境避免把开发、测试环境中的安全风险引入生产系统。安全隔离类型分为物理隔离、网络逻辑隔离等高网关。常见的工业控制边界安全防护设备包括工业防火墙、工业网闸、单向隔离设备及企业定制的边界防护网关。企业按照实际情况在不同安全区域边界之间部署边界安全防护设备实现安全访问控制阻断非法网络访问。安全域划分工控系统必须划分为开发域、测试域、生产域三个独立环境防止开发测试环节的安全风险传导至生产系统。隔离技术物理隔离工业网闸、单向光闸等设备逻辑隔离工业防火墙、定制安全网关部署原则根据实际业务需求在不同安全域边界部署防护设备实现访问控制与非法访问阻断符合等保2.0要求。5.3 身份认证与访问控制常见的认证技术口令密码、USB-Key、智能卡、人脸、指纹、虹膜等。防范口令撞库攻击及敏感认证信息泄露影响不同系统和网络环境下禁止使用相同的身份认证证书信息减小身份信息暴露后对系统和网络的影响。对于工业控制设备、SCADA软件、工业通信设备等设定不同强度的登录账户及密码并进行定期更新避免使用默认口令或弱口令。针对内部威胁工业企业的安全权限管理应遵循最小特权原则。具体内容如下1在工业主机登录、应用服务资源访问、工业云平台访问等过程中使用身份认证管理对于关键设备、系统和平台的访问采用多因素认证。2合理分类设置账户权限以最小特权原则分配账户权限。3强化工业控制设备、SCADA软件、工业通信设备等的登录账户及密码避免使用默认口令或弱口令口令定期更新口令。4加强对身份认证证书信息的保护力度禁止在不同系统和网络环境下共享。认证方式支持口令密码、USB-Key、智能卡、生物特征人脸/指纹/虹膜等多种技术关键系统需采用多因素认证如密码UK短信验证码组合。密码管理禁止跨系统使用相同凭证防止撞库攻击导致全面沦陷工控设备/SCADA软件需设置差异化强密码定期更新严禁使用默认口令或弱口令如admin/123456权限原则最小特权分配仅授予必要权限如不给普通操作员管理员权限证书信息保护禁止跨系统共享数字证书5.4 远程访问安全原则上严格禁止工业控制系统面向互联网开通HTTP、FTP、Telnet等高风险通用网络服务。确需远程访问的采用数据单向访问控制等策略进行安全加固对访问时限进行控制并采用加标锁定策略。确需远程维护的采用虚拟专用网络VPN等远程接入方式进行。保留工业控制系统的相关访问日志并对操作过程进行安全审计。基本原则禁止工控系统直接连接互联网严禁开放HTTP/FTP/Telnet等高危服务。例外处理必要远程访问采用单向访问控制如光闸时间限制如仅工作日9:00-17:00开放远程维护强制使用VPN加密通道审计要求完整保留访问日志记录操作人员、时间、行为等关键信息支持事后追溯。5.5 工控系统安全加固与安全审计工控系统安全加固通过安全配置策略、身份认证增强、强制访问控制、程序白名单控制等多种技术措施对工程师站、SCADA服务器、实时数据库等工控组件进行安全增强保护减少系统攻击面。工控安全审计工业企业部署安全审计设备保留访问日志定期进行备份通过审计人员账户、访问时间、操作内容等日志信息追踪定位非授权访问行为。加固措施安全配置关闭非必要服务端口身份强化增加多因素认证访问控制实施白名单机制仅允许可信程序运行攻击面缩减定期漏洞修补审计实施部署专用审计设备日志管理至少保留6个月操作日志并异地备份审计内容重点监测非授权访问行为如越权操作、异常时间登录等5.6 恶意代码防范《工业控制系统信息安全防护指南》对恶意代码防范的相关安全要求如下1在工业主机上采用经过离线环境中充分验证测试的防病毒软件或应用程序白名单软件只允许经过工业企业自身授权和安全评估的软件运行。2工业企业需要建立工业控制系统防病毒和恶意软件入侵管理机制对工业控制系统及临时接入的设备采用必要的安全预防措施。安全预防措施包括定期扫描病毒和恶意软件、定期更新病毒库、查杀临时接入设备如临时接入U盘、移动终端等外设等。3密切关注重大工控安全漏洞及其补丁发布及时采取补丁升级措施。在补丁安装前需对补丁进行严格的安全评估和测试验证。离线验证原则工业主机安装的防病毒软件或白名单软件必须在与生产环境物理隔离的离线环境中完成充分验证测试确保无木马或病毒。例如汽车生产线若感染病毒可能导致整车报废。管理机制建设需建立防病毒和恶意软件入侵管理机制具体措施包括病毒库每周更新字幕中强调定期对外接设备U盘、移动终端等进行强制查杀补丁管理流程对重大工控安全漏洞补丁需执行评估-测试-部署三步流程在测试环境验证兼容性模拟生产环境压力测试确认无异常后方可上线5.7 工控数据安全工业生产数据是工业企业的核心资源常见的工业数据类型有研发数据研发设计数据、开发测试数据等生产数据控制信息、工况状态、工艺参数、系统日志等运维数据物流数据、产品售后服务数据等管理数据系统设备资产信息、客户与产品信息、产品供应链数据、业务统计数据等外部数据与其他主体共享的数据等工业生产数据的安全目标是保障数据全生命周期的可用性、完整性、保密性和时效性防止遭受未授权泄露、修改、移动、销毁特别是防止实时数据延缓滞后防护措施如下1静态存储和动态传输过程中的重要工业数据进行保护根据风险评估结果对数据信息进行分级分类管理。2定期备份关键业务数据关键业务数据如工艺参数、配置文件、设备运行数据、生产数据、控制指令等进行定期备份。3对测试数据进行保护。测试数据包括安全评估数据、现场组态开发数据、系统联调数据、现场变更测试数据、应急演练数据等进行保护如签订保密协议、回收测试数据等。数据分类研发数据设计图纸、测试数据等生产数据工艺参数、控制指令等需重点保护运维数据物流信息、售后记录管理数据客户信息、供应链数据外部数据共享数据防护四要素需保障数据的可用性、完整性、保密性特别强调时效性如实时控制信号延迟超过t毫秒可能导致生产事故核心措施静态存储加密动态传输加密采用国密算法关键数据每日增量备份每周全量备份测试数据管理签订保密协议、物理销毁存储介质政府/军工企业采用硬盘不回收制度5.8 工控安全监测与应急响应《工业控制系统信息安全防护指南》针对网络安全监测与应急响应的相关要求如下1在工业控制网络部署网络安全监测设备及时发现、报告并处理网络攻击或异常行为。2在重要工业控制设备前端部署具备工业协议深度包检测功能的防护设备限制违法操作。3制订工控安全事件应急响应预案当遭受安全威胁导致工业控制系统出现异常或故障时应立即采取紧急防护措施防止事态扩大并逐级报送直至属地省级安全监管和信息化工业主管部门同时注意保护现场以便进行调查取证。4定期对工业控制系统的应急响应预案进行演练必要时对应急响应预案进行修订。5对关键主机设备、网络设备、控制组件等进行冗余配置。监测体系部署工控专用IDS入侵检测系统关键设备前端安装工业协议深度包检测防火墙应急五要素预案制定结合具体生产场景如化工、电力等逐级上报异常→安全部→省工信部门现场保护取证需保留原始日志季度演练验证预案可操作性冗余配置主机/网络设备N1热备5.9 工控安全管理《工业控制系统信息安全防护指南》针对安全管理的相关要求包括1建设工业控制系统资产清单明确资产责任人以及资产使用及处置规则。工业企业应建立工业控制系统资产清单包括信息资产、软件资产、硬件资产等。2对关键主机设备、网络设备、控制组件等进行冗余配置。3安全软件选择与管理。一是在工业主机上采用经过离线环境中充分验证测试的防病毒软件或应用程序白名单软件其中离线环境指的是与生产环境物理隔离的环境。二是建立防病毒和恶意软件入侵管理机制对工业控制系统及临时接入的设备采取病毒查杀等安全预防措施。4配置和补丁管理。一是对工业主机和工业控制网络设备进行安全加固开展漏洞扫描配置进行分析形成分析报告。其中重大配置变更是指重大漏洞补丁更新、安全设备的新增或减少、安全策略的重大变更等同时在变更过程中对出现的风险进行分析并在离线环境中对配置变更进行安全性验证。三是密切关注重大工控安全漏洞及其补丁发布及时采取补丁升级措施。5供应链管理。一是选择工业控制系统规划、设计、建设、运维或评估服务商时优先考虑具备工控安全防护经验的企事业单位以合同等方式明确服务商应承担的信息安全责任和义务。二是以保密协议的方式要求服务商做好保密工作防范敏感信息外泄。6落实责任。通过建立工控安全管理机制、成立信息安全协调小组等方式明确工控安全管理责任人落实责任制部署工控安全防护措施。资产清单涵盖硬件/软件/信息资产如某PLC控制器明确维护人实行资产到人责任制变更管理重大变更需影响分析如安全域重组配置变更前需在测试环境验证72小时供应链安全服务商选择标准具有工控安全防护经验合同需明确信息安全条款核心供应商签订保密协议责任落实建立跨部门安全协调小组实行谁主管谁负责追责制度5.10 工控安全典型产品技术工业控制系统的安全产品技术除了传统的IT安全产品技术外相关安全厂商也根据工业控制系统环境的特殊要求研发了相关工控安全产品技术主要有1.防护类型典型技术产品有工业防火墙、工控加密、工控用户身份认证、工控可信计算、系统安全加固等。其中工控防火墙区别于传统防火墙工控防火墙可对进入工业控制网络中的网络数据包进行深度分析可以解读工控协议数据包内容工控加密有VPN、加密机、数据加密工具等具体实现形式工控用户身份认证有传统的口令认证、双因素认证以及基于人脸、指纹、虹膜等生物认证技术可信计算可采取密码和硬件安全技术确保工控主机可信环境和设备可信连接系统安全加固针对工控主机和终端设备的安全不足采取包括强化认证、强制访问控制、应用白名单等、安全配置、恶意代码防护等。2.物理隔离类型针对工控系统的不同安全区域为实现更强的安全保护通过物理隔离技术防止不同安全域的非安全通信。常见技术产品有网闸、正向反向隔离装置。3.审计与监测类型用于掌握工控系统的安全状态主要产品有工控安全审计和工控入侵检测系统IDS。4.检查类型工控安全检查类型产品技术主要有工控漏洞扫描器、工控漏洞挖掘、工控安全基线检查等。5.运维和风险管控类型主要有工控堡垒机、工控风险管理系统等。其中工控堡垒机可以用于集中管理工控设备的运行维护和运维过程审计减少安全隐患工控风险管理系统则用于管理工控系统的资产、安全威胁、漏洞及潜在影响的综合平台。防护类技术工控防火墙与传统防火墙不同能深度解析工控协议数据包内容工控加密包括VPN、加密机、数据加密工具等具体实现形式身份认证涵盖口令认证、双因素认证及人脸/指纹/虹膜等生物认证技术可信计算通过密码学和硬件安全技术确保工控主机可信环境和设备可信连接系统加固采用身份增强认证、强制访问控制、应用白名单等5项核心措施物理隔离技术典型设备网闸和正反向隔离装置核心功能实现不同安全域间的物理隔离阻断非安全通信审计监测技术主要产品工控安全审计系统和工控入侵检测系统IDS应用价值实时掌握工控系统安全状态检查类技术三大手段工控漏洞扫描、漏洞挖掘和安全基线检查重点设备工控漏洞扫描设备是核心工具运维管控技术堡垒机实现运维集中管理和操作审计需先登录堡垒机才能管理设备风险管理系统管理资产、威胁、漏洞及潜在影响的综合平台六、工控系统安全综合应用案例分析6.1 电力监控系统电力监控系统的安全策略是安全分区、网络专用、横向隔离、纵向认证。核心策略策略说明安全分区分为生产控制大区含控制区/非控制区和管理信息大区网络专用调度控制网络采用专用网络保障实时性和高可靠性横向隔离不同安全区采用分级隔离管理区与生产区需物理隔离纵向认证广域连接处部署加密认证装置支持双向认证和访问控制技术实现隔离装置正向/反向安全隔离装置实现横向物理隔离加密认证纵向加密认证装置保障数据传输安全访问控制安全区之间采用逻辑隔离措施和防火墙重点记忆控制区与非控制区间需逻辑隔离并配置有效访问规则生产控制大区防火墙需通过国家检测认证重要业务系统推荐采用双向认证机制6.2 水厂工控安全集中监控水厂工控安全监管过程如图所示。在工业交换机旁路部署工业集中监控管理平台通过私有安全协议建立安全加密的连接实现对工业防火墙及工业监控设备的集中管理和监控。对异常行为、恶意代码攻击、威胁行为管理等可实现集中管理及预防。在工业以太网交换机及控制网络交换机旁路部署ICS信息安全监控设备实现网络结构风险感知和即时的即可见对网络中的可疑行为或攻击行为产生报警。同时对网络通信行为进行稳定的审计记录定期生成统计报表可用于分析及展示。系统架构前端工业控制网络含PLC、数据采集单元等后端常规以太网含服务器、中控室等连接方式通过工业交换机实现前后端通信安全机制集中监控平台旁路部署于工业交换机采用私有安全协议加密监控设备部署ICS信息安全监控设备实现网络行为可视化和审计防护功能统一管理工业防火墙、异常行为检测和恶意代码防护典型特征采用分布式入侵检测架构前端多监测设备后端统一管理定期生成统计报表用于安全分析和展示相比电网纵向架构水厂系统更偏向局域网部署模式本章小结本章节系统梳理了工业控制系统安全分析与防护工控系统定义由控制/监测/数据处理组件构成的工业生产过程管控系统简称ICS两大分类离散制造类汽车组装多个零部件组装vs过程控制类酿酒发酵→蒸馏→包装连续过程八大核心组件SCADA数据采集监视MTURTU、DCS分布式控制现场控制级/系统控制级/管理级三级、PCS过程控制闭环反馈调节温度/压力/流量、PLC可编程逻辑控制器基础单元震网病毒攻击目标、MTU/RTU主/远程终端数据采集传输、HMI人机交互界面、工控通信网络专用协议OPC/Modbus/DNP3/工业以太网五大安全威胁自然灾害洪水雷电、内部威胁操作失误、设备故障硬件失效、恶意代码PLC蠕虫/勒索软件、定向攻击乌克兰电网事件八大特有隐患协议缺陷Modbus明文无认证、产品漏洞PLC/SCADA、基础软件漏洞、算法漏洞、固件漏洞BIOS、硬件漏洞CPU、开放接入风险联网暴露攻击面Shodan扫描、供应链风险西门子/三菱断供安全需求核心特性优先级倒置——可用性完整性保密性与传统IT相反等保2.0新增云大物移工保护对象技术五维防护物理/通信/边界/计算/管理中心管理五位一体制度/机构/人员/建设/运维十大防护机制物理环境防护三重防护外设封闭、安全边界保护三域独立物理/逻辑隔离、身份认证与访问控制多因素最小特权禁跨系统共享凭证、远程访问安全禁连互联网VPN加密审计、安全加固与审计白名单6个月日志、恶意代码防范离线验证补丁三步流程、数据安全四要素国密加密测试数据物理销毁、监测与应急响应工控IDS应急五要素N1冗余、安全管理资产清单到人变更72小时验证供应链保密协议、典型产品技术工控防火墙深度解析协议/物理隔离网闸/审计监测/漏洞检查/堡垒机电力监控案例16字方针安全分区、网络专用、横向隔离、纵向认证生产控制大区控制区/非控制区管理信息大区正反向隔离装置纵向加密认证水厂集中监控案例前端工控网络后端以太网分布式IDS架构前端监测后端统一管理旁路部署私有安全协议加密上述内容中工控系统优先级倒置可用性完整性保密性、Modbus协议明文传输缺陷、震网病毒攻击PLC案例、等保2.0新增工控保护对象、电力监控16字方针、恶意代码离线验证原则为高频考点工控安全防护机制和电力监控架构可能出现在下午案例分析题中。本文为软考信息安全工程师个人学习笔记依据官方考试大纲与公开技术规范整理仅用于学习交流不作为商业用途。