从伊朗核电站遇袭事件

从伊朗核电站遇袭看电力行业主机加固

一、伊朗核电站遇袭事件及分析

从9月22日开始，国内各大新闻媒体包括中央电视台、新华网、人民网、新浪、腾讯、搜狐等都相继报道一种名为“震网”的病毒袭击伊朗核电站主机系统的消息。

“震网”蠕虫病毒，英文名称叫stuxnet，也叫“超级工厂病毒”，是世界上第一个专门针对工业控制系统编写的破坏性病毒，能够利用对windows系统和西门子SIMATIC WinCC系统的7个漏洞进行攻击。

计算机安全专家对病毒进行深入分析后发现，该病毒可能是第一种投入实战的网络武器，只要电脑操作员将感染的病毒的U盘插入USB接口，这种病毒就可以在不需要任何操作的情况下，取得工业用电脑系统的控制权。自动化软件是自动化系统的灵魂，目前，“震网”病毒对伊朗核电站自动化系统的破坏，其切入口就是系统的监控和数据采集系统（SCADA系统）。该病毒可以自动识别攻击对象，可以自动取得自动化系统的控制权限，从而窃取保密信息、破坏系统运行，甚至控制系统的运行等。

二、主机加固的起源、国家政策及相关加固方法

布什尔核电站遇袭事件，给我们敲响了警钟。反观我们国内操作系统的使用情况，百分之八九十的操作系统是Wiindows，其次才是Unix、Linux等等，而在Unix等操作系统中，又有绝大部分使用的是国外进口的系统。众所周知，对我国在操作系统的出口，美国有着严格的等级限制。根据美国军方的标准，按照安全程度的高低，把操作系统由高到低分为四个档次，即A、B、C、D。其中B档又分为B3、B2、B1级，C档分为C2、C1级。则由高到低的排列为A、B3、B2、B1、C2、C1、D。而美国是禁止向我们国家出口安全级别在C级以上的操作系统的。即目前国内所使用的操作系统，包括服务器和个人PC，安全级别都只是在C级。

其次，作为两个具有竞争关系的国家，我们并不能保证美国进口给我们的操作系统的安全性。微软出于市场的考虑，承诺向中国政府开放部分源代码，然而，开放的程度众所周知。

从去年微软对盗版Windows采用黑屏警告的事件可以看出，我们的操作系统安

全在别人的控制之下！然而，在国内，这些并不安全的操作系统被广泛地应用于银行、电力、铁路、工业生产、政府机构等重要领域。这些领域，正是别有用心者攻击的主要目标，比如电力行业！记得我们在和国内某电力集团公司负责网络安全的专家谈电力二次安全防护的时候，他们对旗下电站的自动化监控系统的安全担心不已。取得这些电站的自动化系统的控制权，加大向电网的输电量或是打开水库的全部水闸向下游放水，所造成的损失都将不可估量。如三峡电站，其自动化系统受到控制以后，所产生的危害将比好几颗原子弹产生的危害还要严重。

幸运的是，现在国内很多的专家、学者及相关管理机构，已经意识到问题的严重性。在电力行业，已经对该行业内各种监控系统的安全问题高度重视。电监会更是在2006年颁布的《电力二次系统安全防护总体方案》中明确提出“主机加固”的概念。在《方案》第三章第五节明确提出：“能量管理系统，变电站自动化系统，电厂监控系统，配电自动化系统，电力市场运营系统等关键应用系统的主服务器，以及网络边界处的通信网关，WEB服务器等，应该使用安全加固的操作系统。加固方式包括：安全配置，安全补丁，采用专用软件强化操作系统访问控制能力，以及配置安全的应用程序”。在国家标准《信息系统安全等级保护基本要求》中，也安排了专门的章节对主机安全进行了详细的描述与要求。

从电监会的文件中可以看出，主机加固的方式有如下几种：安全配置、安全补丁、采用专用软件强化操作系统的访问控制能力、配置安全的应用程序。如上文所述可知，美国禁止向我们出口安全级别在C级以上的操作系统。而安全配置及安全补丁的方式，是在现有操作和之上进行配置及补丁，并不能突破美国出口的出口限制，无论多优化的配置方案和多先进的补丁程序，都不能对操作系统的安全等级有质的提升。而配置安全的应用程序，针对的是应用层的防护，和作为基础的操作系统没有多大的关系。只有采用专用软件强化操作系统的访问控制能力，才能从根本上提高操作系统的安全级别，防止利用操作系统漏洞对自动化监控系统进行攻击的行为。

三、解决操作系统问题的两大技术方向

要解决操作系统的安全问题，有两大技术方向可以选择：其一是发展自己的操作系统，这是一个最安全而且是一劳永益的办法。然而面临的压力是，现有的绝大部分应用软件及应用系统，是在进口操作系统的基础上开发出来的，在采用自己的操作系统的情况下，应用软件

及应用系统的移植，会是一个相当复杂而且影响深远的问题。其二，就是修改现有操作系统，即电监会提到的：采用专用软件强化操作系统的访问控制能力。这样，则可能在保证现有应用软件、应用系统的兼容性基础上，获得安全的操作系统。而采用专用软件强化操作系统的访问控制能力，又有两个不同的方向：一是修改操作系统内核；二是不修改内核。两者各有优劣。但是修改内核可能导致操作系统和应用系统的不稳定，所以不修改内核而能提高操作系统安全级别，是比较可行的方案。