網絡化SCADA系統安全防御策略

        摘 要：SCADA系統在電力、給水、石油、化工等領域的數據采集與監視控制以及過程控制等諸多領域應用廣泛。一直以來，很多工程師和管理者認為SCADA系統是一個相對孤立的物理隔離的系統，有著強有力的訪問控制，是相對安全的。然而，隨著網絡技術和通信技術和計算機技術的發展，SCADA系統逐漸發展成開放式透明運作的標準系統，由此造成系統的安全性降低。針對當前的開放式SCADA系統，本文介紹了系統構成和系統的網絡化結構特點，分析了系統可能存在的安全隱患并提出一種層次結構的“防御圈”安全策略。該策略從企業網絡和SCADA網絡兩方面實施具體的安全防護措施。通過對“防御圈”中各個層的合理配置，可以有效地保障SCADA系統安全。

        1 引言

        SCADA系統的應用領域很廣，它可以應用于電力系統、給水系統、石油、化工等領域的數據采集與監視控制以及過程控制等諸多領域。在SCADA系統發展和應用初期，系統是一個相對孤立的物理隔離的系統，有著強有力的訪問控制，是相對安全的。然而，隨著網絡技術、通信技術和計算機技術的發展，SCADA系統逐漸發展成開放式透明運作的標準系統，由此造成該系統的安全性降低。隨著企業信息化步伐的加快，SCADA系統安全問題也El益凸現出其重要戰略意義。

        2 SCADA系統

        SCADA(Supervisory Control And Data Acquisition)系統，即數據采集與監視控制系統，是以計算機為基礎的生產過程控制與調度自動化系統 1 J。它可以對現場的運行設備進行監視和控制，以實現數據采集、設備控制、測量、參數調節以及各類信號報警等各項功能。 SCADA系統在電力系統中的應用最為廣泛，技術發展也最為成熟。它作為能量管理系統(EMS系統)的一個最主要的子系統，有著信息完整、提高效率、正確掌握系統運行狀態、加快決策、能幫助快速診斷出系統故障狀態等優勢，現已經成為電力調度不可缺少的工具 4。

        SCADA在鐵道電氣化遠動系統上的應用較早，在保證電氣化鐵路的安全可靠供電，提高鐵路運輸的調度管理水平起到了很大的作用。SCADA在石油管道工程中占有重要的地位，系統管理石油管道的順序控制輸送、設備監控、數據同步傳輸記錄、監控管道沿線及各站控系統運行狀況 。除此基本功能之外，現在的SCADA管道系

        統還具備泄露檢測、系統模擬和水擊提前保護等新功能。

        2.1 SCADA系統構成

        SCADA系統一般由三大部分組成，包括安裝在各基層生產單位的遠程終端設備RTU(Remote Ter-minal Unit)，實現現場設備和主站系統問的數據傳輸的通信網絡和提供人機交互接口的主站系統。 遠程終端設備是安裝在遠程現場的電子設備,用來監視和測量安裝在遠程現場的傳感器和控制器。RTU一般包括通訊處理單元、開關量采集單元、脈沖量采集單元、模擬量采集單元、開關量輸出單元、脈沖量輸出單元和模擬量輸出單元等構成。RTU將測得的狀態或信號轉換成可在通信媒體上發送的數據格式。它還將從中央計算機發送來得數據轉換成命令，實現對設備的功能控制。 數據通訊系統用于實現RTu設備和主站之間數據傳輸。SCADA通訊方式比較多，大致可分為有線方式和無線方式。有線方式傳輸介質有光纖和電纜等;無線傳輸方式有微波、電臺和衛星等。

        主站系統通常是一臺計算機或者多臺計算機構 成的網絡，采用UNIX或者Windows操作系統，為SCADA系統提供人機交互接口。龐大的主站系統一般包括通訊前置系統、實時數據庫系統、工程師工作站、生產調度工作站、各種監控工作站、WEB服務器和歷史數據庫服務器等。作為SCADA主站系統，大的系統可能有幾十個上百個工作站，多個服務器。但簡單的SCADA主站系統可能就只有一臺計算機，運行一套軟件。

        2.2網絡化SCADA系統結構

        SCADA系統自誕生之日起就與計算機技術的發展緊密相關。SCADA系統發展到今天已經經歷了從集中式系統向分布式系統，進而向開放式網絡化系統發展的演變過程。網絡化的SCADA系統尚分布式結構密切相 關，其主要區別在于網絡化的SCADA系統結構是一個開放的系統框架，而不再是由開發商控制的私有系統。開放式和標準化協議的采用，不僅可以在不同系統間共享主站數據和功能成，實現多系統的 集成應用，而且可以在更廣的范圍內實現系統的分布式功能 。開放式標準協議的采用消除了以前SCADA系統中的很多限制。在開放式系統中，用戶連接和使用外圍設備(比如監視器、打印機和磁盤 驅動器等)變得更加容易。SCADA系統正逐漸發展成開放式透明運作的標準系統。圖1給出了網絡化的SCADA系統結構。

        網絡化的SCADA系統主要的進步在于它采用了廣域網協議，比如在主站和控制設備之間使用TCP/IP協議進行通訊。這使得主要負責與數據采集設備之間通訊的部分主站可以與SCADA系統主站通過WAN分離開來。對于遠程終端單元設備來說，也可以通過以太網通訊的方式與SCADA系統，主站實現互聯互通。

        3 SCADA系統安全隱患

        近些年來，SCADA系統的發展趨勢主要體現在產品基于開放式標準協議和越來越多地采用COTS產品。大部分SCADA軟硬件開發商都在采用TCP/IP協議和以太網通訊技術。這些技術的發展使得 系統具有更好的兼容性，也使得不同系統的集成應用和系統擴展變得更加容易。但是，隨著設備接口標準化和開放式系統的應用，成功實施網絡控制的惡意攻擊對技術性含量的要求越來越低，因而系統 將面臨更多的安全隱患。

        企業內網是企業內部交流的主要途徑，SCADA 系統已經與企業網絡實現互聯互通，因此SCADA系統容易受到許多基于TCP/IP協議的攻擊威脅。許多系統管理者和系統分析師可能仍然認為他們的 網絡是獨立于企業網絡的，不會受到外界的攻擊。另外，對于RTU和PLC等設備，通常采用無線電、電 話線或者衛星系統等專業通訊網絡u J，這也經常給SCADA系統的管理者一種安全錯覺，認為他們 的這些終端設備受到了非公司網絡連接的保護，從 而降低了對系統的安全防范。

        現代SCADA系統中，很多地方可能會存在安 全隱患。其中，SCADA系統主機和控制室最容易受到攻擊。系統主機收集遠程終端設備采集的數據并 將其傳送到后臺數據庫，這說明網絡中存在SCADA 主機訪問數據庫系統的連接通路。同樣，網絡中也必然存在經由SCADA系統主機最終訪問到遠程終 端設備的連接路徑。這就意味著一旦企業網絡受到 攻擊，那么任何基于TCP/IP協議的設備或電腦系統都可能受到安全方面的威脅。

        由于SCADA系統的功能需求，網絡通常一直 處于連接在線狀態并允許在任何時間登陸使用，這 使得系統可能受到的攻擊主要包括以下幾種:

        (1) 拒絕服務(DoS)攻擊，致使SCADA服務器崩潰而無 法正常工作，導致操作失靈或者系統關機;

        (2)偷窺 操作者鍵盤活動，竊取用戶名和密碼，為進一步的攻擊做準備;

        (3)安裝木馬程序，完全控制系統并能發出操作指令;

        (4)遠程修改數據庫數據從而造成企 業數據損失;

        (5)竊取公司保密信息或數據為其他競爭者所用，從而使得企業失去競爭優勢;

        (6)改變預置操作或者欺騙操作者，使其認為控制過程失控必須關閉或者重新啟動系統，導致企業蒙受數據損失;

        (7)惡意刪除服務器上的系統文件或者損壞網絡中的其它設備部件。

        4 SCADA安全防御策略

        針對企業的SCADA系統存在的安全隱患，有必要實施具體的安全措施來保障系統的安全應用和發展。制定適當的SCADA安全策略需要對企業網絡層次結構和SCADA系統結構進行分析，包括防火墻、代理服務器、操作系統、應用軟件和工具、通訊方式和政策法規等。在SCADA系統中，系統面臨的安全威脅可能是來自互聯網的攻擊，也可能來自SCADA網絡內部，

        圖2給出了一種典型的企業SCADA系統的防御策略，該策略構成一種基于層次結構的“防御圈”。在該“防御圈”中，防護措施分為企業網絡防護和SCADA網絡防護。企業網絡防護策略包括防火墻、代理服務器、操作系統、應用程序和企業管理政策規定;SCADA網絡防護策略包括防火墻、SCADA內部網絡設計、操作系統、SCADA應用程序和SCADA管理政策和規定。企業的網絡威脅可能來自互聯網，也可能來自內部網絡中的計算機;SCADA網絡受到的攻擊可以來自上游，如應用程序，也可能來自下游，如RTU設備，這就需要對該“防御圈”進行適當的配置，使“防御圈”中的各個層協調工作。

        4.1 企業網絡安全防護

        防火墻(Firewal1)是一項協助確保信息安全的 設備，會依照特定的規則，允許或是限制傳輸的數據通過。防火墻可以是一臺專屬的硬件也可以是架設在一般硬件上的一套軟件。正確地配置防火墻可以起到基本的防護目的，包括密碼安全、IP地址隱藏和文件保護等。但是，在缺乏操作系統基本安全保

        障的情況下，黑客就可以直接穿透企業內部專用網絡或者進行拒絕服務攻擊。

        代理服務器(Proxy Server)是一種重要的安全功能，它的工作主要在開放系統互聯模型的對話層，從而起到類似防火墻的作用。代理服務器大多被用來連接國際互聯網和局域網，就是代理網絡用戶去取得網絡信息，它是網絡信息的中轉站。但是，代理服務器不能消除應用層攻擊的威脅。

        操作系統(Operating System)是一管理電腦硬件與軟件資源的程序，同時也是計算機系統的內核與基石。操作系統的特點廣為人知，操作系統的漏洞可能成為黑客的首選目標，所以應及時升級系統的補丁文件。應用程序(Applications)應用層的攻擊，比如緩沖區溢出、蠕蟲、木馬程序和惡意的ActiveX代碼這些措施可以使防病毒軟件喪失保護能力，并繞過防火墻使系統安全受到威脅。政策和管理是安全策略的實施基礎。他要求用戶提升基本的安全防范意識，制定安全規定和政策并要求用戶在日常操作中加以實施。一些常見的規定如不能使用自己的生日或者名字作為密碼、密碼不能過于簡單，至少應該由字母和數字混合構成，并且長度要求超過八個字符等。

        4.2 SCADA網絡安全防護

        SCADA防火墻。如企業網絡一樣，SCADA系統和工業自動化網絡可能受到相似的黑客攻擊。通常情況下，SCADA系統還會因為其它內部軟件工具的使用或者因為無惡意內部員工的操作而使得系統的安全受到威脅。基于這些原因，可以部署SCADA專用防火墻。SCADA系統防火墻可以將SCADA系統網絡與企業內部網絡和互聯網隔離開，在SCADA系統網絡和互聯網之間至少提供了兩層防火墻保護，這樣可以為SCADA系統實現更高級別的安全防護。 SCADA內部網絡設計。SCADA系統網絡應該使用自己的網段使其與外部網絡隔離。通過使用IP智能轉換和適當的分段隱藏技術，可以有效地保護網絡間的信息傳輸安全，比如文件傳輸、打印服務 等。使用無線以太網和WEP協議(Wired Equivalent Protoco1)的設備應該改變服務集標識(SSID)的默認 名稱，非法用戶需要知道SSID名稱并獲得正確地加密密鑰才能建立網絡連接和訪問網絡。

        SCADA服務器操作系統。SCADA服務器安全是SCADA系統安全重要組成部分。單純的依靠安裝防火墻和IP地址分段隱藏技術并不能確保系統安全可靠，一個有經驗的黑客經?？梢暂p松地繞過 防火墻，甚至可以使用地址解析協議在局域網內實施ARP欺騙攻擊。操作系統上的SCADA應用要正常運行，其首要前提是SCADA服務器操作系統的安全。操作系統的漏洞威脅近來趨勢有所增加，相關的調查表明，有80%的服務器安全問題和操作系統有關。病毒、蠕蟲、惡意代碼、間諜軟件、流氓軟件等一旦侵入服務器內部并取得操作系統管理員權限，其行為不但不受控制，并且可以清除行為痕跡， 導致無法追查其來源。目前，以微軟Windows為代表的操作系統不斷發現漏洞，通常在漏洞被披露的1—2周內，相應的蠕蟲病毒就會產生。用戶安全意識不強、用戶口令選擇不慎、用戶越權訪問和用戶賬號管理不嚴格等問題都會給服務器操作系統的安全帶來威脅。對服務器操作系統及時升級補丁文件是抵御最新漏洞的有效方法。同時應該修改甚至刪除默認的空管理員賬戶。

        SCADA應用程序。企業保證SCADA系統中的應用程序的自身安全。應用程序的漏洞導致特洛伊木馬和蠕蟲病毒可以被輕易地安裝并攻擊應用系統。它們可以被用來處理數據或在服務器上發出指令。當操作員要執行某個指令或者點擊某個按鈕時，會觸發被預先植入系統內的批處理文件，導致磁盤文件被全部刪除或者系統的輸，/V輸出狀態被錯誤修改。系統內部其它計算機在使用郵件服務的時候，也會被植入木馬程序或者感染計算機病毒。這些木馬程序和病毒再入侵到相鄰的SCADA應用服務器，并等待指定的時間或者其它觸發條件司機運行。減輕這些情況的發生的有效方法包括在運行SCADA應用軟件的計算機上安裝反病毒程序、系統管理員禁用任何未經授權的軟件安裝和其它適用于SCADA系統的政策和管理規定。

        SCADA政策和管理。SCADA系統政策和管理措施涉及供應商、遠程訪問權限和密碼管理等內容。SCADA系統政策規定可以極大的影響到SCADA網絡內部設備可能受到的安全威脅。制定并堅持執行適當的政策和管理法規，將大大提高SCADA系統的安全狀態。

        5 結論

        本文在分析開放式SCADA系統網絡安全隱患的基礎上，提出了一種基于層次結構的“防御圈”安 全策略。在具體實施過程中，結合企業SCADA系統特點、安全等級需求和成本控制等實際情況，可以對各個層進行優化合理配置，該“防御圈”策略表現出可行度高、防范效果好和配置靈活的特點。需要注意的問題是企業在布設了信息網絡之 后，對于網絡設備的正確管理和監視將變得更為復 雜。我們必須認識到，如果只是采取了純技術性的解決方案而不進行密切的管理和監視，安全防護效果會大大降低。因此，可以考慮與專業網絡安全公司進行合作，或者在公司內設立網絡安全專職工程師崗位，專門進行網絡安全監視和事故預防。這樣可以有效地提升已有信息安全機制的性能和作用。

        原文：《中國安全生產科學技術》