久久久91-久久久91精品国产一区二区-久久久91精品国产一区二区三区-久久久999国产精品-久久久999久久久精品

張學(xué)聰 北京神州綠盟信息安全科技股份有限公司

1　監(jiān)測(cè)審計(jì)在工控安全保障策略中的重要性分析

工控網(wǎng)絡(luò)安全保障一般包括以下七個(gè)步驟：實(shí)現(xiàn)應(yīng)用白名單；確保合適的配置和補(bǔ)丁管理；減少攻擊面；建立一個(gè)可防御的環(huán)境；管理認(rèn)證；實(shí)現(xiàn)安全的遠(yuǎn)程訪問(wèn)；監(jiān)測(cè)和響應(yīng)。這七個(gè)步驟分別完成不同的安全策略的實(shí)施部署。

雖然這些策略可以防止90%以上的攻擊，但是還有剩下的一些攻擊手段，需要持續(xù)性的監(jiān)測(cè)。此外，對(duì)于一些嚴(yán)重程度較低的異常，有些安全管理員很可能會(huì)忽略這些警告，而這很可能是有敵手對(duì)工控系統(tǒng)進(jìn)行APT攻擊，如果將這些異常信息進(jìn)行關(guān)聯(lián)分析，從中發(fā)現(xiàn)潛在的安全隱患，不僅能夠減少管理員的壓力，同時(shí)還能更好地保護(hù)工控安全。

在第七個(gè)策略安全監(jiān)測(cè)和響應(yīng)中，尤其需要對(duì)位于現(xiàn)場(chǎng)控制層的控制設(shè)備以及位于過(guò)程監(jiān)控層的工作站的通訊過(guò)程進(jìn)行安全監(jiān)控。在眾多工控安全系統(tǒng)中，工控安全監(jiān)測(cè)審計(jì)系統(tǒng)是搭建整個(gè)預(yù)警體系的關(guān)鍵所在。作為預(yù)警體系的探針，工控安全監(jiān)測(cè)審計(jì)系統(tǒng)承載著數(shù)據(jù)收集和分析的要?jiǎng)?wù)。

適用于工控網(wǎng)絡(luò)的安全監(jiān)測(cè)審計(jì)系統(tǒng)，需要對(duì)工控系統(tǒng)網(wǎng)絡(luò)內(nèi)的異常行為進(jìn)行實(shí)時(shí)的監(jiān)測(cè)分析，快速執(zhí)行已經(jīng)準(zhǔn)備好的響應(yīng)方案。

可考慮在五個(gè)位置部署監(jiān)控程序：

（1） ICS邊界對(duì)IP流量進(jìn)行監(jiān)測(cè)，正常和非正常的通信。

（2）在控制網(wǎng)絡(luò)中的IP流量，惡意的連接或者內(nèi)容。

（3）基于主機(jī)的產(chǎn)品，監(jiān)測(cè)惡意軟件和攻擊企圖。

（4）登錄分析（時(shí)間或者地點(diǎn)），監(jiān)測(cè)被盜用的賬號(hào)的使用或者不正確的訪問(wèn)，驗(yàn)證所有的異常現(xiàn)象，通過(guò)快速電話聯(lián)系。

（5）監(jiān)測(cè)用戶的管理行動(dòng)，檢測(cè)訪問(wèn)控制操作。

2　工控網(wǎng)絡(luò)安全監(jiān)測(cè)審計(jì)系統(tǒng)技術(shù)特性

2.1　基于機(jī)器自學(xué)習(xí)的業(yè)務(wù)行為基線

工業(yè)網(wǎng)絡(luò)中設(shè)備眾多、網(wǎng)絡(luò)通信復(fù)雜，用戶很難全面掌握網(wǎng)絡(luò)中所必須的業(yè)務(wù)通信需求，這會(huì)給安全設(shè)備的規(guī)則配置帶來(lái)很大困難。為了方便用戶進(jìn)行異常行為檢測(cè)規(guī)則的配置，提高規(guī)則配置的準(zhǔn)確性，減少規(guī)則配置的工作量，NSFOCUS SAS-ICS開(kāi)發(fā)了基于機(jī)器自學(xué)習(xí)的業(yè)務(wù)行為基線功能。該功能采用被動(dòng)檢測(cè)的方式從網(wǎng)絡(luò)中采集數(shù)據(jù)包，并進(jìn)行數(shù)據(jù)包的解析，智能地與系統(tǒng)內(nèi)置的協(xié)議特征、設(shè)備對(duì)象等進(jìn)行匹配，生成可供參考的網(wǎng)絡(luò)交互信息列表，通過(guò)對(duì)協(xié)議分布和流量信息的匹配，形成“工控場(chǎng)景行為基線”，幫助用戶以最直觀的方式了解和掌握網(wǎng)絡(luò)中的業(yè)務(wù)通信狀態(tài)，發(fā)現(xiàn)工控網(wǎng)絡(luò)潛在的安全風(fēng)險(xiǎn)。

圖1 工控網(wǎng)絡(luò)基線資產(chǎn)關(guān)系圖

通過(guò)基線自學(xué)習(xí)功能梳理工控現(xiàn)場(chǎng)資產(chǎn)拓?fù)洌⒐た鼐W(wǎng)絡(luò)行為模型，對(duì)基線外異行為如組態(tài)變更、操控指令變更、負(fù)載變更、異常訪問(wèn)等告警，實(shí)現(xiàn)對(duì)工控現(xiàn)場(chǎng)安全事件的告警與響應(yīng)，保障工業(yè)控制系統(tǒng)的安全穩(wěn)定運(yùn)行。

2.2　深度融合業(yè)務(wù)場(chǎng)景的異常行為檢測(cè)

電力、石油、石化、軌道交通、煙草、煤炭、鋼鐵及先進(jìn)制造等各個(gè)行業(yè)的工業(yè)控制系統(tǒng)千差萬(wàn)別，不同的工藝流程往往有著不盡相同的業(yè)務(wù)處理方式，針對(duì)不同行業(yè)工控網(wǎng)絡(luò)的異常監(jiān)測(cè)有著較強(qiáng)的特異性差異。

NSFOCUS SAS-ICS深入不同行業(yè)的OT網(wǎng)絡(luò)場(chǎng)景，融入針對(duì)不同行業(yè)的業(yè)務(wù)安全告警。如針對(duì)變電站場(chǎng)景，可對(duì)IEC61850協(xié)議簇進(jìn)行深度解析，對(duì)應(yīng)到特定場(chǎng)景下的關(guān)鍵操作行為（遙控操作、改定值操作）；針對(duì)其他行業(yè)場(chǎng)景，可設(shè)置通用行業(yè)場(chǎng)景，解析Modbus TCP、S7 Comm等常見(jiàn)協(xié)議規(guī)約。

同時(shí)，NSFOCUS SAS-ICS可對(duì)工控系統(tǒng)的配置文件進(jìn)行解析，如變電站SCD文件等廠商相關(guān)配置文件的解析，將功能代碼與具體業(yè)務(wù)操作進(jìn)行關(guān)聯(lián)，實(shí)現(xiàn)業(yè)務(wù)安全審計(jì)的功能。如可對(duì)工控協(xié)議報(bào)文進(jìn)行檢測(cè)和告警。可對(duì)運(yùn)維人員下發(fā)的工控協(xié)議報(bào)文產(chǎn)生的非法操作進(jìn)行檢測(cè)和告警。可對(duì)資產(chǎn)新增、路徑異常、未知協(xié)議、越權(quán)操作、關(guān)鍵控制等行為進(jìn)行檢測(cè)和告警。

2.3　工業(yè)網(wǎng)絡(luò)協(xié)議深度解析

綠盟科技基于對(duì)工控環(huán)境的理解，針對(duì)工控環(huán)境使用的規(guī)約進(jìn)行了相關(guān)分析和研究，對(duì)于協(xié)議的內(nèi)容進(jìn)行了完全的解碼，可以深入到指令級(jí)別的分析，對(duì)于從上位機(jī)指令下發(fā)控制端到下位機(jī)指令接受操控端的通訊過(guò)程進(jìn)行全面細(xì)致的解析。如對(duì)Modbus Tcp協(xié)議，可以深入到功能碼寄存器層面進(jìn)行細(xì)致的監(jiān)測(cè)審計(jì)（寫多個(gè)寄存器、讀保持寄存器等），如圖2所示。

圖2 深入到功能碼寄存器層面的工控協(xié)議深度解析

NSFOCUS SAS-ICS通過(guò)鏡像方式對(duì)流量進(jìn)行深入解碼，分析其中的操作是否符合定義的操作要求，如發(fā)現(xiàn)其中有任何的違規(guī)操作，及時(shí)進(jìn)行報(bào)警，由管理員來(lái)進(jìn)行相關(guān)的處理。

3　工控網(wǎng)絡(luò)安全監(jiān)測(cè)審計(jì)系統(tǒng)行業(yè)應(yīng)用

3.1　智能變電站監(jiān)控系統(tǒng)安全監(jiān)測(cè)審計(jì)

工控網(wǎng)絡(luò)安全監(jiān)測(cè)審計(jì)系統(tǒng)可旁路部署在智能變電站的站控層、間隔層、過(guò)程層的交換機(jī)上，對(duì)三層兩網(wǎng)進(jìn)行工控網(wǎng)絡(luò)的流量監(jiān)控和安全審計(jì)。

3.2　調(diào)度數(shù)據(jù)網(wǎng)邊界安全監(jiān)測(cè)審計(jì)

可將工控網(wǎng)絡(luò)安全監(jiān)測(cè)審計(jì)系統(tǒng)部署在調(diào)度數(shù)據(jù)網(wǎng)邊界的實(shí)時(shí)交換機(jī)和非實(shí)時(shí)交換機(jī)上，對(duì)加密前和解密后的數(shù)據(jù)報(bào)文進(jìn)行深度解析，識(shí)別104協(xié)議和其他流經(jīng)調(diào)度數(shù)據(jù)網(wǎng)和生產(chǎn)控制大區(qū)邊界的網(wǎng)絡(luò)協(xié)議，并進(jìn)行數(shù)據(jù)報(bào)文的分析，進(jìn)行實(shí)時(shí)的流量監(jiān)控和安全審計(jì)。

4　工控網(wǎng)絡(luò)安全監(jiān)測(cè)審計(jì)系統(tǒng)價(jià)值體現(xiàn)

（1）針對(duì)不同行業(yè)的工控網(wǎng)絡(luò)場(chǎng)景建立融合業(yè)務(wù)的安全行為基線，形成工控網(wǎng)絡(luò)數(shù)據(jù)流量的健康性監(jiān)控；

（2）快速定位異常位置，協(xié)助相關(guān)人員快速解決故障及事件；

（3）指導(dǎo)安全工作和決策；

（4）滿足工信部指南、能源局36號(hào)文、發(fā)改委14號(hào)令、工控等保等合規(guī)性要求。

作者簡(jiǎn)介

張學(xué)聰（1992-），男，黑龍江牡丹江人，碩士研究生，現(xiàn)就職于北京神州綠盟信息安全科技股份有限公司，主要研究方向?yàn)楣I(yè)控制系統(tǒng)信息安全相關(guān)領(lǐng)域（控制器漏洞挖掘、基于業(yè)務(wù)的異常行為監(jiān)測(cè)等）。

參考文獻(xiàn)：

[1] ICS-CERT. Seven Steps to Effectively Defend Industrial Control Systems[Z]. 2015, 12.

摘自《工業(yè)控制系統(tǒng)信息安全》專刊第四輯