工业控制系统的信息安全问题及解决方案分析

扑固定、用户人群固定、通信类型固定、使用的通信协议少等特点。

1.3工业控制系统的威胁

工业控制系统面临的威胁可以分为两种：系统相关的威胁和过程相关的威胁。典型的系统相关威胁和过程相关威胁如表1所示。

系统相关的威胁是指由于软件漏洞所造成的威胁。控制系统从广义上是一种信息系统，会受到系统相关的威胁，如协议实现漏洞、操作系统漏洞等。在控制系统安全项目CCSP2009报告中，通过CSSP安全评估，将一般控制系统的系统相关威胁分为九种类型。表2列举了这九种安全问题。

过程相关的威胁是指工业控制系统在生产过程遭受的攻击。这种攻击利用过程控制的特点，攻击者非法获取用户访问权限后，发布合法的工业控制系统命令，导致工业过程的故障。基于工业控制系统用户与工业过程的交互点，可以将过程相关的威胁分为两类：①影响现场设备的访问控制的威胁;②影响中央控制台的威胁。前者通常发送错误的现场数据到控制系统状态监测中心，从而导致系统状态分析出现错误。后者通常在中央控制台执行合法的命令，但该命令对生产过程而言不合理，将对生产或设备产生负面影响。

控制系统的漏洞一旦被攻击者利用，会遭受不同类型的攻击，具体的攻击形式可以分为：

1)欺骗攻击：在通信过程中伪装成某个合法设备。例如，使用一个伪造的网络源地址。

2)拒绝式服务攻击：系统中任意资源的不可用。例如，设备因忙于应答大量的恶意流量而无法响应其他消息等。

3)中间人攻击：攻击者从通信的一端拦截所有消息，修改消息后再转发到终端接收设备。

4)重播攻击：重复发送某个过时的消息，如用户认证或命令等。

2、工业控制系统的信息安全解决思路

为了防止工业控制系统在通信过程中遭受上述各种威胁与攻击，需要使用多层安全措施完成对系统的保护。本文将以现有的研究成果为基础，从网络边界防护、安全协议和安全控制器方面，介绍控制系统信息安全解决思路。

2.1网络边界防护

上文所述工业控制系统的系统威胁，一方面是由于系统采用传统IT技术，如操作系统、Web服务器、邮箱的漏洞等造成，另一方面控制系统与企业网实现互连，暴露于公共网络之中，面临更多的攻击。因此，为了保证工业控制系统的安全性，首先需要增强网络边界的防护，以降低由企业网引入的威胁风险。标准SP800-82《工业控制系统(ICS)安全指南》指出，在处理工业控制系统网络与其他应用网络的连接问题时，需要按照最小访问原则设计，具体分为两点建议：

1)工业控制系统部署网络时，建议隔离工业控制系统与其他企业网络。通常这两类网络的流量不同，且企业网对网络设备变更没有指定严格的控制规程;如果工业控制系统网络流量存在于企业网上，可能会遭受拒绝服务式攻击。网络隔离可以通过采用防火墙等技术实现。

2)如果工业控制系统网络与企业网之间必须建立连接，尽可能地只允许建立一个连接，且连接通过防火墙或非军事区实现。在具体的技术措施上，SP800-82从身份认证、访问控制、审计与核查、系统与通信保护等方面详细介绍了可用的技术措施。

(1)身份认证

通过PIN码或密码验证申请访问的设备或人员。在网络上传输密码时需要对密码进行加密，通过选取合适的加密哈希函数，可以阻止重播攻击。密码认证还可以辅以其他认证措施，如询问/应答或使用生物令牌或物理令牌。紧急情况下，工业控制系统使用密码和生物认证都存在一定危险。因此在不适合使用密码的情况下，可以采用严密的物理安全控制作为替代。

(2)访问控制

基于角色的访问控制(RBAC)可以用于限制用户的权限，使其能以最小的权限完成任务。系统管理员的通讯需要加以认证，并对其保密性和完整性加以保护，如使用SSHv2和HTTPS协议。这两个协议都使用公钥/私钥对进行用户认证。通信双方产生并使用对称密钥加密数据交互过程。

RADJUS远程认证拨号用户服务式目前使用最多的认证和授权服务。它使用IEEE802.1×和EAP协议，可以在网络的各个层实现用户认证。例如，防火墙和接入路由可以作为认证代理。

当无线设备或中断用户设备需要与其连接时，认证代理向设备发出询问，设备通过认证服务器返回认证信息，从而获得授权和接入许可。

调制解调器经常用于提供备份连接。回叫系统通过存储于数据库中的回叫号码，确认拨号者是否为合法用户。远程控制软件需要使用唯一的用户名和密码，加密和审计日志。链路层的邻居认证需要使用CHAP协议等实现。

无线用户接入和网络设备间的链接可以使用多种方式实现，如IEEE 802.11b/g的网络接入点方式。所有的无线通信需要使用强加密，如IEEE802.11i中的AEP加密。无线接入需