題記： zui近，剛剛出現(xiàn)的 Stuxnet 惡意軟件是解釋Tofino工業(yè)網(wǎng)絡(luò)安*方案可以保護(hù)工業(yè)以太網(wǎng)安全的重要例證之一。

　　Stuxnet是*利用Windows零日漏洞、針對(duì)控制系統(tǒng)和公共事業(yè)機(jī)構(gòu)發(fā)動(dòng)攻擊的惡意軟件。Stuxnet 的設(shè)計(jì)者綜合運(yùn)用了漏洞知識(shí)、黑客伎倆以及潛在的物理安全漏洞，來(lái)發(fā)起針對(duì)重要基礎(chǔ)設(shè)施系統(tǒng)的攻擊。

　　Stuxnet 攻擊運(yùn)用的知識(shí)之所以“巧妙”，原因有二。首先，該惡意軟件通過(guò)利用先前未知的 Windows 漏洞實(shí)施攻擊和傳播。其次，該惡意軟件的組件包括兩個(gè)具有rootkit行為、有數(shù)字簽名的驅(qū)動(dòng)程序，對(duì)于惡意軟件而言，這點(diǎn)很不尋常。

　　這兩點(diǎn)已被媒體廣泛報(bào)道。接下來(lái)重點(diǎn)談一談遭受攻擊系統(tǒng)存在的潛在風(fēng)險(xiǎn)、多種不同攻擊媒介協(xié)同“*”的復(fù)雜性，以及這對(duì)能源領(lǐng)域意味著什么。

　　以下是我們目前了解到的Stuxnet攻擊的運(yùn)行機(jī)制：

　　1. 用戶將 USB 驅(qū)動(dòng)器（或任何移動(dòng)存儲(chǔ)介質(zhì)）連接到系統(tǒng);

　　2. 已感染的驅(qū)動(dòng)器利用零日Windows Shell Code漏洞實(shí)施攻擊，運(yùn)行惡意軟件;

　　3. 該惡意軟件在受攻擊系統(tǒng)中進(jìn)行搜索，試圖訪問(wèn)西門子Windows SIMATIC WinCC SCADA 系統(tǒng)數(shù)據(jù)庫(kù)。（萬(wàn)幸的是，該惡意軟件的一個(gè)簽名證書已被吊銷，另一個(gè)也即將被吊銷）

　　4. 該惡意軟件使用 WinCC 西門子系統(tǒng)中的硬編碼密碼來(lái)訪問(wèn)存儲(chǔ)在 WinCC 軟件SQL 數(shù)據(jù)庫(kù)中的控制系統(tǒng)運(yùn)行數(shù)據(jù)。

　　這一事件有何潛在影響？該惡意軟件的攻擊目標(biāo)是西門子SIMATIC WinCC 監(jiān)控與數(shù)據(jù)采集 （SCADA） 系統(tǒng)。該軟件可作為公用事業(yè)機(jī)構(gòu)工業(yè)控制系統(tǒng)的 HMI（人機(jī)交互界面）。HMI 以圖形方式管理并顯示負(fù)責(zé)主要發(fā)電和輸電設(shè)施運(yùn)行的電廠控制系統(tǒng)信息。

　　HMI 不間斷的監(jiān)控發(fā)電廠控制系統(tǒng)的正常運(yùn)行和整體運(yùn)行狀態(tài)。許多情況下，設(shè)置 HMI 的目的是為了對(duì)控制系統(tǒng)間的流程加以控制。HMI提供的圖形化信息猶如一張地圖，類似于計(jì)算機(jī)網(wǎng)絡(luò)的拓?fù)鋱D。惡意軟件可能將部分重要基礎(chǔ)設(shè)施的“地圖”提交給其他惡意實(shí)體。

　　控制系統(tǒng)安全與 IT 安全

　　控制系統(tǒng)與 IT系統(tǒng)之間存在許多不同。IT系統(tǒng)要確保傳輸?shù)臋C(jī)密性和可用性，而控制系統(tǒng)要保證全天候持續(xù)可用性。通常情況下，控制系統(tǒng)和IT 系統(tǒng)在相互獨(dú)立的網(wǎng)絡(luò)中運(yùn)行，并由相互獨(dú)立的團(tuán)隊(duì)進(jìn)行管理。

　　由于控制系統(tǒng)必須做到全天候持續(xù)可用，控制系統(tǒng)環(huán)境中傳統(tǒng)的管理流程變更非常耗時(shí)。因此，補(bǔ)丁程序更新、安全保護(hù)更新和修補(bǔ)程序或其他相關(guān)資源通常不會(huì)作為優(yōu)先考慮的事項(xiàng)。在此示例中，西門子在其應(yīng)用程序中使用硬編碼密碼，以提供對(duì)其 SQL 數(shù)據(jù)庫(kù)的訪問(wèn)。該公司曾警告更改此類密碼有可能危及系統(tǒng)的可用性。許多安全研究人員都曾對(duì)西門子這種明顯違反安全策略的做法提出過(guò)異議。但是，考慮到在該環(huán)境中優(yōu)先保證可用性的需求，上述做法是非常常見的。

　　美國(guó)能源部 （DOE）、美國(guó)國(guó)家標(biāo)準(zhǔn)技術(shù)局和許多私營(yíng)機(jī)構(gòu)都曾呼吁彌合 IT 系統(tǒng)和控制系統(tǒng)在安全原則上的鴻溝。通過(guò)建立類似國(guó)家能源法規(guī)委員會(huì)（NERC）的傳統(tǒng)IT流程和法規(guī)遵從框架，可以實(shí)現(xiàn)上述目標(biāo)。

　　有關(guān)控制系統(tǒng)的安全保護(hù)需求已經(jīng)討論了一段時(shí)間，但在得出結(jié)論之前，新威脅就出現(xiàn)了。讓我們看一看在控制系統(tǒng)領(lǐng)域已經(jīng)發(fā)生了什么：概念證明攻擊、意外實(shí)例、不滿員工的惡作劇、由于掌握的證據(jù)太少而無(wú)法確定其真實(shí)意圖的針對(duì)特定實(shí)例的攻擊。

　　2009年一切開始改變，4月7日NERC發(fā)布了一份公開警告，提示某種來(lái)自境外實(shí)體的惡意軟件攻擊已在電網(wǎng)中露出苗頭。這就是目前聲名大噪的Stuxnet攻擊。讓我們假設(shè)Stuxnet 意欲破壞電網(wǎng)、并將重要信息傳給不法分子，來(lái)了解一下Stuxnet攻擊的復(fù)雜性。

　　毋庸置疑，在 Microsoft Windows 中尋找一個(gè)支持代碼執(zhí)行的零日漏洞需要相當(dāng)?shù)膶I(yè)知識(shí)，不過(guò)這樣的例子也屢見不鮮。了解對(duì)控制系統(tǒng)的攻擊方式就能明晰這一攻擊異乎尋常的復(fù)雜性。

　　攻擊者了解通常SCADA 系統(tǒng)會(huì)限制通過(guò)以太網(wǎng)端口的網(wǎng)絡(luò)訪問(wèn)和通過(guò)USB設(shè)備的物理訪問(wèn)。同時(shí)攻擊者還要擁有西門子控制系統(tǒng)的相應(yīng)知識(shí)，這種知識(shí)對(duì)于在控制系統(tǒng)領(lǐng)域?qū)嵤┕粢约罢业皆L問(wèn)數(shù)據(jù)庫(kù)所需的默認(rèn)硬編碼密碼均大有幫助。此類攻擊的復(fù)雜性可見一斑。

　　如何抵御 Stuxnet

　　如何有效防范這一攻擊？海天煒業(yè)自動(dòng)化為您提供Tofino工業(yè)以太網(wǎng)安*方案，為您提供貼身的防火墻，提供設(shè)備保護(hù)區(qū)的區(qū)級(jí)安全，安全保護(hù)遠(yuǎn)超一般傳統(tǒng)意義的防火墻。我們可以通過(guò)以下幾點(diǎn)來(lái)深入理解Tofino防控Stuxnet的原理。

　　*，惡意軟件。Tofino工業(yè)以太網(wǎng)安*方案是軟件與硬件相結(jié)合的整體性方案，包括Tofino安全設(shè)備、可裝載安全模塊以及*管理平臺(tái)Tofino CMP，提供了針對(duì)病毒、木馬、蠕蟲（包括Stuxnet蠕蟲）、網(wǎng)絡(luò)風(fēng)暴等多種網(wǎng)絡(luò)威脅的檢測(cè)功能。與此同時(shí)，Tofino能夠隱藏控制系統(tǒng)網(wǎng)絡(luò)設(shè)備IP地址，使得黑客攻擊成為無(wú)的之矢。

　　Tofino工業(yè)以太網(wǎng)安*方案保護(hù)工業(yè)控制系統(tǒng)免受黑客的攻擊，有效防止與這一威脅相關(guān)的感染、惡意代碼執(zhí)行和惡意有效負(fù)載，隔離、防御網(wǎng)絡(luò)風(fēng)暴的侵害，實(shí)現(xiàn)對(duì)整個(gè)工業(yè)以太網(wǎng)的安全保障，有效防止網(wǎng)絡(luò)中各站點(diǎn)遭受外來(lái)入侵者的破壞。

　　第二，工業(yè)通信協(xié)議。Tofino支持廣泛的工業(yè)通信協(xié)議，全面涵蓋了目前應(yīng)用的Modbus TCP/IP、OPC、DNP3等。提供手段對(duì)通信協(xié)議進(jìn)行深入的檢查和控制，Tofino是世界上*個(gè)針對(duì)Modbus TCP/IP協(xié)議內(nèi)容進(jìn)行檢測(cè)的防火墻。Tofino還可以定義點(diǎn)對(duì)點(diǎn)通信的通信協(xié)議，并具體到定義允許通過(guò)的指令，切實(shí)保障工業(yè)通信安全。

　　第三，攻擊區(qū)域。USB 驅(qū)動(dòng)器是主要的感染機(jī)制之一，這類設(shè)備在控制系統(tǒng)世界里*，一旦有外來(lái)可移動(dòng)介質(zhì)（例如U盤，可移動(dòng)硬盤，以及第三方人員維護(hù)過(guò)程臨時(shí)介入的筆記本電腦等）繞過(guò)防火墻進(jìn)入工業(yè)網(wǎng)絡(luò)的控制網(wǎng)，普通商用防火墻就再也無(wú)法發(fā)揮作用，對(duì)于此類網(wǎng)絡(luò)安全問(wèn)題束手無(wú)策。Tofino工業(yè)網(wǎng)絡(luò)安*方案正好彌補(bǔ)了普通商用防火墻的缺憾，可以為工業(yè)網(wǎng)絡(luò)提供zui底端的也是zui深層的保護(hù)，即使用戶工業(yè)網(wǎng)絡(luò)已經(jīng)感染病毒、木馬、蠕蟲等，Tofino仍然可以保護(hù)您的關(guān)鍵設(shè)備不受影響、正常運(yùn)行。

　　第四，Tofino的報(bào)警記錄功能。 Tofino能夠在*時(shí)間探測(cè)出工業(yè)網(wǎng)絡(luò)中存在的異常和威脅，并及時(shí)將這些異常和威脅極其詳盡的（威脅來(lái)自哪個(gè)設(shè)備，攻擊去向哪個(gè)設(shè)備、采用的攻擊方式等）報(bào)告工程師，以便工程師在*時(shí)間進(jìn)行處理，從而避免由于網(wǎng)絡(luò)原因?qū)е碌陌踩鹿省?br />
　　在Tofino看來(lái)，Stuxnet攻擊的復(fù)雜性以及協(xié)同的持續(xù)性威脅的殺傷力足以令包括工業(yè)網(wǎng)絡(luò)安全在內(nèi)的所有公用事業(yè)企業(yè)膽戰(zhàn)心驚。Stuxnet 攻擊凸顯出我們?yōu)榇_保工業(yè)網(wǎng)絡(luò)安全所做出的一系列努力的重要性。

　　目前，海天煒業(yè)自動(dòng)化引進(jìn)加拿大Byres SecurityInc.的Tofino工業(yè)網(wǎng)絡(luò)安*方案，正是基于對(duì)以往DCS客戶所在企業(yè)、工廠的DCS工業(yè)網(wǎng)絡(luò)安全事故頻發(fā)的理解和判斷，旨在推動(dòng)Tofino產(chǎn)品的中國(guó)市場(chǎng)發(fā)展，幫助用戶彌合 IT 安全與控制系統(tǒng)安全之間的間隙，為中國(guó)的工業(yè)以太網(wǎng)安全事業(yè)保駕護(hù)航！