工业控制网络安全攻防演练平台设计与研发

工业控制网络安全攻防演练平台设计与研发
周黎辉1　周　滨2　张远志1　李洁琼1
（1.贵阳宏图科技有限公司，贵州 贵阳　550002；2.贵州大学 管理学院，贵州 贵阳　550025）
摘　要：由于工控安全防护研发不易开展、用户不敢尝试和措施难以执行等原因，导致工控系统信息安全很难防护。

在这种情况下，就要坚持“管理+技术”的信息安全传统理念，在管理上形成工控信息安全管理体系，在技术上形成“纵深防御”的安全防护体系。

工控系统的价值必然会吸引越来越多的外在攻击与渗透，工控网络的特点决定了工控信息安全技术必须重构。

建立工控安全文化、形成工控安全生态，是一场持久战。

在此背景下开展工业控制网络安全攻防演练平台的设计与研发意义重大。

关键词：工业控制；网络安全；木马病毒；攻防演练
中图分类号：TP393.08 文献标识码：A 文章编号：1003-9767（2017）10-068-04
The Design and Development of Industrial Control Network Security Attack
and Defense Training Platform
Zhou Lihui1, Zhou Bin2, Zhang Yuanzhi1, Li Jieqiong 1
(1.Guiyang Hongtu Technology Co., Ltd., Guiyang Guizhou 550002, China; 2.College of Management, Guizhou University, Guiyang
Guizhou 550025, China)
Abstract: Because industrial safety protection, research and development is difficult to carry out, users do not dare to try and measures are difficult to implement and other reasons, resulting that industrial information security is difficult to protect. In this case, it is necessary to adhere to the "management + technology" of the traditional concept of information security, management in the formation of industrial information security management system, in technology to form a "depth defense" security protection system. The value of industrial control system is bound to attract more and more external attacks and penetration. The characteristics of industrial control network determine that the industrial information security technology must be reconstructed. The establishment of industrial safety culture and the formation of industrial safety ecology is a protracted war. In this context, it is of great significance to develop the design and research of the security attack and defense training platform for industrial control networks.
Key words: industrial control; network security; Trojan virus; attack and defense training
1　工业网络安全现状
随着物联网技术的迅猛发展，工业控制网络已由原来相对封闭、稳定的环境变得更加开放、多变。

乌克兰电网事件后，世界各国已深刻认识到黑客攻击、网络病毒给工业控制系统、国家关键基础设施带来的危害。

且随着互联网在工业领域的不断渗透，以及智能设备在各领域的广泛使用，工业控制系统的脆弱性在物联网世界中暴露无遗，传统工业控制系统正面临严峻的挑战。

工业控制系统被广泛应用于我国电力、水利、污水处理、石油化工、冶金、汽车、航空航天等诸多现代工业，其网络安全现状不容乐观。

如图1所示。

2　国家政策及行业监管要求
从国务院到网信办、工信部，再到国家能源局都重视工业控制网络的信息安全工作，并出台各类文件提出工业控制网络的信息安全管理要求。

如图2所示。

基金项目：贵州省科技成果应用及产业化计划——重要信息系统与工业控制系统安全测评大数据系统技术集成及应用；成果来源：基于网络安全等级保护无接触式工业控制安全测评分析与整改决策支持平台；
作者简介：周黎辉（1974-），男，贵州贵阳人，硕士研究生，高级工程师。

研究方向：数据共享开放、信息网络安全。

3　工业控制网络安全攻防平台建设
3.1　建设目标
以电力行业工控安全为例设计工业控制网络安全攻防演练平台，通过对电力行业典型控制系统的攻防演练，验证控制系统的安全性并挖掘系统及关键控制设备的安全漏洞，研究针对控制系统的攻击方法并展现攻击效果。

试验结果能够
为电力控制系统真实环境的安全评估、安全加固以及安全改造提供指导性建议。

3.2　建设方案
电力行业工控安全攻防在设计上遵循满足系统需求、覆盖关键工艺、选择典型系统的原则，在设计和建设过程中合
理规划布局、贴近真实业务、资源有效共享，有计划、分阶
图
１　工业网络安全现状
图
２　国家政策及行业监管要求
图３　电力行业工控安全攻防靶场总体架构
段进行建设。

整体架构如图3所示：
电力行业工控安全攻防由五部分组成，具体如下。

（1）目标工控系统：模拟电力行业典型控制系统，是攻防演练（攻击及安全防护）的目标。

（2）漏洞挖掘系统：用于对目标工控系统及系统内的关键控制设备进行未知漏洞挖掘。

（3）攻击渗透系统：用于对目标工控系统进行攻击的软、硬件及攻击方法等。

（4）安全防护系统：用于监测/防护攻击目标工控系统的软、硬件。

（5）效果展示系统：用于展示攻击效果的系统，包括攻击的路径、防护的手段、攻击给控制系统带来的危害和损失等。

4　平台功能设计
整个平台包括了4个子系统，即目标工控网络模拟系统、攻击渗透系统、安全防护系统与效果展示系统。

4.1　目标工控网络模拟系统
在本研究中，目标工控系统选择了电力行业比较有代表性并且应用广泛的西门子系统，与真实系统最大区别在于系统的复杂度不同，本系统模拟了真实环境中的一个最小化单元。

目标工控系统由工程师站、操作员站、应用站、控制器、I/O 子系统等组成，如图4
所示：
图４　目标工控系统组成
（1）工程师站负责全局数据库的组态及组态数据库的维护，可构建适合生产工艺要求的应用系统，可创建、编辑和下载控制所需的各种软硬件组态信息。

（2）操作员站安装实时监控软件，可以获取工艺过程信息和事件报警，并对现场设备进行实时控制。

（3）应用站用于存放历史数据库，同时可用作OPC 服务器作为系统对外的接口。

此外，应用站也可以配置各种优化或管理软件来实现其他特定的功能。

（4）控制站是系统中直接从现场采样I/O 数据、进行控制运算的核心单元，完成整个工业过程的实时控制功能，也包括通讯网络的维护功能，同时报警和事件的时间标签由控制站执行，以确保精确的事件顺序记录。

（5）I/O 子系统负责现场信号的采集与处理。

I/O 子系统
是模块化的子系统，可即插即用、自动识别，I/O 卡件安装灵活。

4.2　攻击渗透系统
攻击渗透系统包含了在该实验平台上针对模拟仿真业务环境实施攻击所需的攻击方案和攻击套件集。

攻击方案包括了攻击的方式、攻击的路径。

（1）利用西门子核心控制器和通信协议漏洞进行攻击。

攻击方式：利用已知漏洞发起攻击。

攻击路径：无防护情况下，黑客通过有线网络进入西门子系统网络中，然后运行针对已知漏洞的攻击脚本。

攻击后果：异常通讯协议数据致使西门子核心控制器复位，导致汽轮机停止工作或者工作异常。

（2）上位机木马病毒攻击。

攻击方式：植入木马病毒控制上位机，非法篡改设备层的运行数据。

攻击路径：无防护情况下，黑客控制已感染木马病毒的上位机，对底层设备写入非正常范围的值。

攻击后果：由于锅炉部分控制仪表被写入非法值，导致运行异常，甚至发生爆炸，酿成重大安全生产事故。

（3）病毒U 盘攻击。

攻击方式：带病毒的U 盘破坏工作站。

攻击路径：无防护情况下，带有病毒的U 盘在工作站上被使用，属于单点攻击。

攻击后果：被攻击的工作站瘫痪，无法正常操作。

4.3　安全防护系统
安全防护系统由南京博智工业防火墙、工控安全审计、工控可信卫士、集中管理平台等设备和辅助技术手段组成。

4.3.1　工业防火墙
工业协议深度解析：对工控协议（例如OPC Classic 、Modbus TCP 、Siemens S7等）的通信报文进行深度解析，支持动态端口、报文格式检查、完整性检查；
工业协议控制：区分对工控协议（如OPC Classic 、Modbus TCP 、Siemens S7等）的只读、读写控制；
防火墙功能：状态检测包过滤防火墙功能；白名单功能：基于白名单的访问控制策略；
规则测试模式：提供测试模式验证安全规则的正确性和业务适用性；
攻击防范：提供多种方式抵御各类外来攻击，如SYN Flood 攻击、Ping Flood 攻击、UDP Flood 攻击、Ping of Death 、LAND 攻击等；
高性能匹配算法：采用专用多核处理器，提供高效、低
延时、高吞吐的数据包深度解析能力；
智能学习规则：可通过智能协议检测来辅助生成规则；
路由协议支持：提供静态路由和OSPF动态路由协议数据转发；
远程管理：可通过统一安全管理中心进行远程维护和升级；
日志上报：将设备运行日志上传至统一安全管理中心；
工控行业漏洞库：对工控行业漏洞进行检测与报警。

4.3.2　工控可信卫士
软件灵活控制：只允许白名单中的软件被执行（授权的组态软件、办公软件等），软件/病毒/未授权安装的游戏等，都被阻止运行；
移动存储介质灵活把控：可配置禁止所有移动存储设备、允许所有移动存储设备、允许特定移动存储设备，可配置USB读写权限控制；
多种方式添加白名单软件：提供追加程序安装、信任路径等多种方式添加白名单软件；
行为记录：应用软件和存储介质等均提供完整的行为记录；
注册表保护：保护重要注册表信息不被编辑更改；
关键配置保护：保护操作系统重要配置信息。

4.3.3　集中管理平台
灵活配置ACL：提供时间段ACL和动态插入ACL规则，提供自定义服务编辑；
自发现网关设备：自发现在线网关设备，自动生产在设备列表中，显示在线、离线和告警状态；
拓扑管理：可添加和编辑系统中的设备，可信网关自发现，并自列入设备列表中；
短信告警：当产生相应级别的告警时，可以按照号码分组、警告级别发送给相应的接收人；
多分类日志管理：提供黑名单、白名单、违反访问控制规则等多种日志查看方式；
工控行业漏洞库：对工控行业漏洞进行展示和检测报警；
告警一键加入基线：支持对告警事件，一键加入基线，后续将不再产生同类的告警；
远程管理：提供远程登录配置管理运维方式；
实时报警：显示TOP 10程序报警统计、终端报警统计和报警数量趋势等；
外设报警：终端非法使用U盘等移动存储介质时报警；
客户端卸载：提供统一卸载客户端可信卫士软件；
分权分级管理：三权标准，包括超级管理员、配置管理员、审计管理员。

4.4　效果展示系统
根据系统特点，设计了两种效果展示形式：
（1）在大屏幕上动态展示攻击路径，攻击发生后被破坏或者被控制的对象用特殊图标标示出来。

（2）控制器控制仿真沙盘的工作从而展示攻击效果，当攻击成功后，沙盘中的汽轮机停止工作或者锅炉压力表指示异常，锅炉指示灯光相应出现变化、报警器发出报警声音等。

5　工业控制网络安全攻防演练平台发展方向建立一套在现有漏洞库的基础上，并且不定期及时更新漏洞库，针对目前市场上主流的工控设备进行扫描，能够支持对西门子、施耐德、GE、亚控等主流工控厂商的SCADA/HMI软件的漏洞扫描；支持对西门子、施耐德、GE等主流工控厂商的DCS系统、PLC控制器的漏洞扫描；支持对Modbus、Profibus等主流现场总线的漏洞扫描；支持对Autodesk、Dassault等主流数字化设计制造软件平台的漏洞扫描；支持工业控制系统漏洞生命周期管理、评估漏洞安全风险、漏洞验证、提供漏洞修复建议等，并给出针对性的预警和漏洞解决办法，最终建立多层次立体工业控制网络安全防护体系。

6　结　语
随着物联网技术的迅猛发展，工业控制网络原来相对封闭、稳定的环境变得更加开放、多变，工业控制系统面临的信息安全威胁也在不断增长、被发现的脆弱处或弱点越来越多，本文针对工业控制网络系统的网络安全问题，以电力行业工控安全为例提出了工业控制网络安全攻防演练平台设计，通过验证控制系统的安全性并挖掘系统及关键控制设备的安全漏洞，研究针对控制系统的攻击方法并展现攻击效果，结合实践进行了探讨与分析，为电力控制系统真实环境的安全评估、安全加固以及安全改造提供指导性建议。

参考文献
[1]李玉敏.工业控制网络信息安全的防护措施与应用[J].中国仪器仪表,2012(11):59-64.
[2]彭勇,江常青,谢丰,等.工业控制系统信息安全研究进展[J].清华大学学报:自然科学版,2012(10):1396-1408.
[3]魏钦志.工业控制系统安全现状及安全策略分析[J].信息安全与技术,2013,4(2):23-26.
[4]朱世顺,黄益彬,朱应飞.工业控制系统信息安全防护关键技术研究[J].电力信息与通信技术,2013,11(11):106-109.
[5]魏勇军.浅谈工业控制系统信息安全防护的应用[J].网络安全技术与应用,2014(8):194-195.。