ICS工業(yè)控制系統(tǒng)安全風(fēng)險(xiǎn)分析

　　為確保安管平臺(tái)的可用性和時(shí)效性，可基于云計(jì)算與虛擬化技術(shù)對(duì)管理平臺(tái)進(jìn)行建設(shè)，目前較成熟的私有云安全技術(shù)、虛擬終端管理技術(shù)、數(shù)據(jù)災(zāi)備技術(shù)，都可為ICS 系統(tǒng)統(tǒng)一管理提供良性的技術(shù)支撐。在客戶(hù)端系統(tǒng)資源優(yōu)化方面，先進(jìn)的私有云平臺(tái)可將信息終端繁重的功能負(fù)載遷移到云端執(zhí)行，為系統(tǒng)的關(guān)鍵應(yīng)用提供寶貴的計(jì)算資源，實(shí)現(xiàn)工業(yè)系統(tǒng)調(diào)度與計(jì)算資源的最大利用。

　　另一方面，工業(yè)系統(tǒng)安全管理體系還應(yīng)該具備應(yīng)用行為分析與學(xué)習(xí)能力，例如對(duì)系統(tǒng)性能的異常檢測(cè)模型、工業(yè)系統(tǒng)協(xié)議的內(nèi)容識(shí)別模型、OPC 組件的調(diào)用規(guī)則模型、以及外設(shè)和WIFI 的審計(jì)報(bào)警模型等。知識(shí)庫(kù)和各種分析模型的建立離不開(kāi)對(duì)用戶(hù)工業(yè)控制系統(tǒng)的理解和產(chǎn)業(yè)攻擊事件與趨勢(shì)的跟蹤分析研究。

　　只有將涉及到工業(yè)控制系統(tǒng)各個(gè)環(huán)境的關(guān)鍵運(yùn)維保障風(fēng)險(xiǎn)點(diǎn)和最基本的運(yùn)維需求規(guī)范化、流程化，才能為ICS 系統(tǒng)實(shí)施可行的風(fēng)險(xiǎn)控制基線，實(shí)現(xiàn)以用戶(hù)為核心的主動(dòng)威脅防御與運(yùn)維保障體系。

　　參照NIST 最新發(fā)布的《工業(yè)系統(tǒng)安全指南》有關(guān)ICS 系統(tǒng)縱深防御體系架構(gòu)的建議，通過(guò)引入基于私有云技術(shù)的終端安全管理體系，實(shí)現(xiàn)客戶(hù)端、服務(wù)端、探針對(duì)工業(yè)網(wǎng)絡(luò)中關(guān)鍵信息終端和關(guān)鍵應(yīng)用的實(shí)時(shí)分析與審計(jì)。

圖6：工業(yè)控制系統(tǒng)安全架構(gòu)

　　一種基于私有云技術(shù)的ICS威脅識(shí)別模型

　　目前，工業(yè)控制系統(tǒng)風(fēng)險(xiǎn)識(shí)別模型的實(shí)現(xiàn)主要有兩種方式：基于ICS 網(wǎng)絡(luò)的協(xié)議識(shí)別風(fēng)險(xiǎn)模型；基于ICS 系統(tǒng)特征的仿真控制模型。其核心設(shè)計(jì)思想通常是通過(guò)識(shí)別ICS 網(wǎng)絡(luò)通用及專(zhuān)屬協(xié)議內(nèi)容，并根據(jù)其中包含的主從關(guān)系、訪問(wèn)控制、行為特征、傳遞途徑、Exploit方式、命令請(qǐng)求等信息提取非法特征，最后通過(guò)加權(quán)的方式判斷威脅是否存在。

圖7：傳統(tǒng)的風(fēng)險(xiǎn)識(shí)別

　　然而，更具針對(duì)性、隱蔽性的APT 攻擊行為的出現(xiàn)，傳統(tǒng)ICS 風(fēng)險(xiǎn)識(shí)別模型增加了許多不確定的因素。通過(guò)對(duì)APT 攻擊事件、工業(yè)控制系統(tǒng)管理需求的分析，我們可以清晰的看到，在確保ICS 可用性的前提下，CS 組件的未公開(kāi)漏洞，受信的合法控制路徑，OPC的調(diào)度組件，PLC 的過(guò)程控制，網(wǎng)絡(luò)架構(gòu)以及管理制度設(shè)計(jì)缺陷都加重了不確定的因素。

　　因此構(gòu)建滿足工業(yè)控制系統(tǒng)的風(fēng)險(xiǎn)識(shí)別模型，除了需要細(xì)化工業(yè)控制系統(tǒng)的風(fēng)險(xiǎn)因素，還需要基于工業(yè)控制系統(tǒng)的安全管理域的差異，實(shí)施分等級(jí)的基線建設(shè)，兼顧終端與鏈路、威脅與異常、安全與可用性等綜合因素的考慮同樣必不可少。

　　模型建立：

　　·全網(wǎng)流量收集識(shí)別能力；
　　·基于白名單的終端應(yīng)用控制能力；
　　·實(shí)時(shí)ICS 協(xié)議與內(nèi)容識(shí)別能力；
　　·異常行為的仿真能力；
　　·動(dòng)態(tài)基線自適應(yīng)能力；
　　·可視化運(yùn)維能力；
　　·安全事件跟蹤研究能力。

圖8：基于私有云的工業(yè)系統(tǒng)威脅識(shí)別模型

　　五、總結(jié)

　　作為國(guó)家的重要基礎(chǔ)設(shè)施，工業(yè)控制系統(tǒng)的的安全性對(duì)國(guó)家安全、社會(huì)利益具有重要的影響，為此工信部10 月印發(fā)通知，要求各級(jí)政府和國(guó)有大型企業(yè)切實(shí)加強(qiáng)ICS 系統(tǒng)的信息安全管理。而與此同時(shí)，國(guó)內(nèi)重要行業(yè)ICS 系統(tǒng)還普遍被《信息安全等級(jí)保護(hù)》定為第3或第4 級(jí)，工業(yè)信息系統(tǒng)的安全管理體系建設(shè)還需兼顧等級(jí)保護(hù)技術(shù)要求。

　　國(guó)際方面，各國(guó)網(wǎng)絡(luò)空間戰(zhàn)略的進(jìn)一步發(fā)展，國(guó)與國(guó)的防御戰(zhàn)略已經(jīng)從現(xiàn)實(shí)延伸到虛擬世界，網(wǎng)絡(luò)空間更是各國(guó)未來(lái)發(fā)展戰(zhàn)略中得必爭(zhēng)之地。自從網(wǎng)絡(luò)“超級(jí)武器”Stuxnet 蠕蟲(chóng)的出現(xiàn)，誰(shuí)也無(wú)法保證本國(guó)的關(guān)鍵基礎(chǔ)設(shè)施不會(huì)成為下一個(gè)攻擊目標(biāo)。

　　因此，傳統(tǒng)的信息安全管理體系需要重新思考工業(yè)安全的重要性和防御策略，針對(duì)工業(yè)控制系統(tǒng)終端的特殊性以及IT 信息安全的管理需求，構(gòu)建基于終端的安全管理體系是現(xiàn)階段滿足不同環(huán)境信息安全管理需求的重要手段。

圖9：基于終端的信息安全管理體系

　　當(dāng)然，無(wú)論是國(guó)家未來(lái)發(fā)展戰(zhàn)略的要求，還是確保國(guó)家重要基礎(chǔ)設(shè)施可用性的需要，從管理、流程、架構(gòu)、設(shè)備、技術(shù)等多個(gè)角度，構(gòu)建滿足工業(yè)控制系統(tǒng)安全管理體系，不斷改進(jìn)并完善，是確保新時(shí)期工業(yè)控制系統(tǒng)和國(guó)家重要基礎(chǔ)設(shè)施安全的最有效手段。