彩巴巴彩票官网|91彩客彩票官网
歡迎來到學術參考發表網

關于工業控制SCADA系統的信息安全防護研究

發布時間:2015-12-05 14:57

  從當前網絡黑客所掌握的攻擊技術來看,存有個人惡意企圖的攻擊者可能會利用一些大型SCADA系統的安全漏洞獲取諸如電力、石油、天然氣管道以及其他大型設備的控制權,一旦這些控制權被黑客所掌握,進行致癱攻擊,將使這些國家基礎行業的生產蒙受重大損失。1999年,在內部人員的配合下,黑客繞過了俄羅斯最大的一家天然氣公司的網絡防護系統,侵入該公司控制天然氣輸氣管道的SCADA系統,一度控制了總控制室。2000年,美國一名男童通過網絡侵入亞利桑納州羅斯福水壩的SCADA系統,并能夠控制水壩閘門提升,該水壩儲水一旦被放出來,足以淹沒下游的菲尼克斯城。2000年,在澳大利亞昆士蘭,一名被解雇的工程師通過無線網絡侵入水廠控制系統[3],造成水處理廠發生46次控制設備功能異常事件,導致數百萬公升污水進入地區供水系統。2003年,震蕩波蠕蟲病毒在全球肆虐期間,美國俄亥俄州核電站企業網感染蠕蟲并擴散到核電站的運行網,引發了網絡堵塞,造成了監視核電廠關鍵安全指示的計算機控制板崩潰,最后導致核電廠處理計算機癱瘓。2010年,“震網”病毒攻擊伊朗核電站,病毒對西門子公司的數據采集與監控系統SIMATICWinCC進行攻擊;2011年,全球獨立安全檢測機構NSSLabs發布報告稱[4],西門子的一個工業控制系統存在新的漏洞,該漏洞易受黑客攻擊。

  安全技術體系

  SCADA系統安全解決方案在技術上系統性地考慮了控制中心和各站控系統之間的網絡縱向互聯、橫向互聯和數據通信等安全性問題,通過劃分安全區、專用網絡、專用隔離和加密認證等項技術從多個層次構筑縱深防線,抵御網絡黑客和惡意代碼攻擊。

  1)物理環境安全防護。物理環境分為室內物理環境和室外物理環境,包括控制中心以及站控系統機房物理環境、PLC等終端設備部署環境等。根據設備部署安裝位置的不同,選擇相應的防護措施。室內機房物理環境安全需滿足對應信息系統等級的等級保護物理安全要求,室外設備物理安全需滿足國家對于防盜、電氣、環境、噪音、電磁、機械結構、銘牌、防腐蝕、防火、防雷、電源等要求。

  2)邊界安全防護。SCADA系統邊界包括橫向邊界、縱向邊界,其中橫向邊界包括SCADA系統不同功能模塊之間,與其他系統之間的邊界,縱向邊界包括控制中心與站控系統之間的邊界。對于橫向邊界通過采用不同強度的安全設備實施橫向隔離保護,如專用隔離裝置、硬件防火墻或具有ACL訪問控制功能的交換機或路由器等設備;控制中心與站控系統之間的縱向邊界采用認證、加密、訪問控制等技術措施實現安全防護,如部署縱向加密認證網關,提供認證與加密服務,實現數據傳輸的機密性、完整性保護。

  3)網絡安全防護。SCADA系統的專用通道應采用獨立網絡設備組網,在物理層面上實現與對外服務區網絡以及互聯網的安全隔離;采用虛擬專網VPN技術將專用數據網分割為邏輯上相對獨立的實時子網和非實時子網,采用QoS技術保證實時子網中關鍵業務的帶寬和服務質量;同時核心路由和交換設備應采用基于高強度口令密碼的分級登陸驗證功能、避免使用默認路由、關閉網絡邊界關閉OSPF路由功能、關閉路由器的源路由功能、采用增強的SNMPv2及以上版本的網管協議、開啟訪問控制列表、記錄設備日志、封閉空閑的網絡端口等安全配置。

  4)主機系統安全防護。SCADA系統應對主機操作系統、數據庫管理系統、通用應用服務等進行安全配置,以解決由于系統漏洞或不安全配置所引入的安全隱患。如按照國家信息安全等級保護的要求進行主機系統的安全防護,并采用及時更新經過測試的系統最新安全補丁、及時刪除無用和長久不用的賬號、采用12位以上數字字符混合口令、關閉非必須的服務、設置關鍵配置文件的訪問權限、開啟系統的日志審計功能、定期檢查審核日志記錄等措施。

  5)應用和數據安全防護。(1)應用系統安全防護,在SCADA系統開發階段,要加強代碼安全管控,系統開發要遵循相關安全要求,明確信息安全控制點,嚴格落實信息安全防護設計方案,根據國家信息安全等級保護要求,確定的相應的安全等級,部署身份鑒別及訪問控制、數據加密等應用層安全防護措施。(2)用戶接口安全防護,用戶遠程連接應用系統需進行身份認證,需根據SCADA系統等級制定相應的數據加密、訪問控制、身份鑒別、數據完整性等安全措施,并采用密碼技術保證通信過程中數據的完整性。(3)系統數據接口安全防護,SCADA系統間的數據共享交換采用兩種模式,系統間直接數據接口交換或通過應用集成平臺進行數據交換,處于這兩種數據交換模式的系統均應制定數據接口的安全防護措施,對數據接口的安全防護分為域內數據接口安全防護和域間數據接口安全防護;域內數據接口是指數據交換發生在同一個安全域的內部,由于同一個安全域的不同應用系統之間需要通過網絡共享數據,而設置的數據接口;域間數據接口是指發生在不同的安全域間,由于跨安全域的不同應用系統間需要交換數據而設置的數據接口;對于域內系統間數據接口和安全域間的系統數據接口,根據確定的等級,部署身份鑒別、數據加密、通信完整性等安全措施;在接口數據連接建立之前進行接口認證,對于跨安全域進行傳輸的業務數據應當采用加密措施;對于三級系統應具有在請求的情況下為數據原發者或接收者提供數據原發或接收證據的功能,可采用事件記錄結合數字證書或其他技術實現。

  6)遠程撥號安全防護。撥號訪問能繞過安全防護措施而直接訪問SCADA系統,存在很大的安全隱患,應進行專門防護。對于遠程通過撥號訪問SCADA系統這種方式,應采用安全撥號裝置,實施網絡層保護,并結合數字證書技術對遠程撥號用戶進行客戶端檢查、登陸認證、訪問控制和操作審計。同時加強安全管理,采取如下防護措施:撥號設施平時應該關閉電源,只有在需要時才能打開電源;遠程用戶維護完畢后應及時通知系統值班員,值班員應及時關閉撥號設施電源;對撥號登陸用戶和密碼至少1個月更換一次,對撥號對象、事由、時間等必需詳細記錄,保證遠程接入用戶的可審計性和責任性,出現問題及時追查等;對遠程撥號用戶必需進行合理的權限限制,在經過認證的連接上應該僅能夠行使受限的網絡功能與應用。

  安全管理體系

  規范化管理是SCADA系統安全的保障。以“三分技術,七分管理”為原則,建立信息安全組織保證體系,落實責任制,明確各有關部門的工作職責,實行安全責任追究制度;建立健全各種安全管理制度,保證SCADA系統的安全運行;建立安全培訓機制,對所有人員進行信息安全基本知識、相關法律法規、實際使用安全產品的工作原理、安裝、使用、維護和故障處理等的培訓,以強化安全意識,提高技術水平和管理水平。

  安全服務體系

  建立完善的安全服務體系,進行SCADA系統上線前的安全測評、上線后的安全風險評估、安全整改加固以及監控應急響應,用于保護、分析對系統資源的非法訪問和網絡攻擊,并配備必要的應急設施和資源,統一調度,形成對重大安全事件(遭到黑客、病毒攻擊和其他人為破壞等)快速響應的能力。

  安全基礎設施

  SCADA系統安全防護的基礎安全設施主要包括建立基于公鑰技術的數字證書體系以及遠程容災備份體系。數字證書體系為SCADA控制中心和站控系統的關鍵用戶和設備提供數字證書服務,實現高強度的身份認證、安全的數據傳輸以及可靠的行為審計。遠程容災備份體系應盡量采用應用級的容災備份,且要做好網絡鏈路的冗余和應用的異地接管,如果

  結束語

  隨著我國基礎產業“兩化融合”進程的不斷加快,SCADA系統的應用日益廣泛,其安全防護已納入國家戰略,建立工控SCADA的信息安全防護體系,確保SCADA系統的安全、穩定和優質運行,能更好地為國民經濟高速發展和滿足人民生活需要服務。

SCADA系統出現故障時就能夠及時、準確地恢復。同時,應制定合理的遠程容災備份策略和進行定期恢復驗證,一方面可以驗證容災備份數據的可用性,沒有經過驗證的備份風險非常大,這樣就可以發現備份沒有完成、或者備份錯誤等情況;另一方面也可以鍛煉系統管理員的災難處理能力,避免在出現故障時無從下手。

  參考文獻

  [1] 方蘭 , 王春雷 , 趙剛 . SCADA 系統結構特點及其脆弱性分析 [C].全國抗惡劣環境計算機第十七屆學術年會論文集,2007.

  [2] 蘭昆,饒志宏,唐林等 . 工業 SCADA 系統網絡的安全服務框架研究 [J]. 信息安全與通信保密,2010,(03):47-49.

  [3] Joe St Sauver. SCADA Security and Critical Infrastructure[C]. Oregon Infraguard Meeting 2004.

  [4] 高國輝 . 西門子被曝工業系統漏洞 或影響多數工業化國家 [N]. 南方日報,2011-6-8.

  [5] P.A.S. Ralston et al. Cyber security risk assessment for SCADA and DCS networks[C]. ISA Transactions 46 (2007): 583-594.

  [6] 余勇,林為民,鄧松,車建華 . 智能電網中的云計算應用及安全研究 [J]. 信息網絡安全,2011,(06):41-43.

  余勇,林為民

  (中國電力科學研究院)

學術參考網:http://www.qfkih.com.cn/jsj/wl/142253.html

上一篇:高校信息安全專業與應用型人才培養模式探討

下一篇:關于混沌通信及其相關網絡信息安全研究的發展

相關標簽:
彩巴巴彩票官网