国产综合高清-a视频-高清全高清-国产黄a三级三级三级70年后|www.whhswh.com

  編者語：伴隨著自動化控制系統與基于Internet網絡的IT商業系統之間的連通性越來越多，最棘手的便是SCADA系統的安全問題。特別明顯的缺點是SCADA系統的最初工程設計并未預想到與Internet網絡的連接，為什么呢？SCADA系統是從私人的產品發展而來的，它應用開放式的、基于Internet網絡的技術，具有眾所周知的操作性能和安全缺陷。為了達到因經營規模擴大而得到的經濟節約，對于多種重要基礎設施，現在銷售商通常應用同一系列的控制系統元件產品。

　　雖然廣泛應用的Internet網絡技術已經帶來了效率和生產力發展的新機會，但它同時也帶來了很大的風險，比如網絡系統易受攻擊。對控制工程師和管理人員來說，在滿足普通商業需求的同時，如何隔離和保護監控和數據采集(SCADA)系統免受Internet的攻擊，這是一個關鍵的問題。在工業中利用的控制系統包括SCADA系統、分布式控制系統(DCS)、可編程邏輯控制器(PLC)，這些我們都稱為SCADA系統。

　　伴隨著自動化控制系統與基于Internet網絡的IT商業系統之間的連通性越來越多，最棘手的便是SCADA系統的安全問題。特別明顯的缺點是SCADA系統的最初工程設計并未預想到與Internet網絡的連接，為什么呢？SCADA系統是從私人的產品發展而來的，它應用開放式的、基于Internet網絡的技術，具有眾所周知的操作性能和安全缺陷。為了達到因經營規模擴大而得到的經濟節約，對于多種重要基礎設施，現在銷售商通常應用同一系列的控制系統元件產品。

　　威脅的存在

　　在許多行業中，已經發生了對SCADA系統的攻擊，比如在油/氣、電力、水、造紙和制造業的控制系統都遭受過影響。這些行業中，多數

　　要求具有保密性。但是一些已經被泄露，其中包括：

　　(1)、在亞洲損失了1000MW的水電；

　　(2)、在澳洲的一個污水處理廠，因為排出閥的數據被計算機黑客隨意刪改，導致釋放了數百萬公升的污水；

　　(3)、計算機網絡蠕蟲病毒Slammer和Blaster攻擊了許多電力和供水設備的控制系統，包括美國俄亥俄州的Davis-Besse核動力設備，以及其它的工業制造業的控制系統。

　　安全攻擊是存在的，威脅也是存在的，現在是回顧SCADA安全要素的時侯了。

　　為了使SCADA系統安全運行，它必須和外界的消極影響相隔離。這些消極影響可能包括從一個工程師需要的大量數據到由電腦黑客的蠕蟲病毒產生的大規模的電子郵件傳輸。

　　為了實現這個隔離，所有和SCADA原函數關聯的機器必須依靠一個公共的網絡—工廠控制網絡(PCN)，應用一個內部的防火墻把它和其它的網絡保護起來。

　　建立防火墻是為了管理防火墻內部機器和防火墻外部機器的連接?？梢跃帉懛阑饓Φ囊巹t允許任何網絡通信，或是對指定的設備和應用限制網絡通信。

　　需要向SCADA系統發送數據的系統類型將根據應用而變化。實驗室信息系統(LIS)就是一個很好的例子，在現代的精煉廠操作中，它和精煉廠的SCADA系統周期性的交換有關產品質量和產量的數據。在假定情況下，我們把稱得上網絡的LIS看作工廠信息網絡(PIN)。

　　為了和SCADA系統軟件代理商發生數據轉換，需要與LIS軟件通信或建立一個連接。新的防火墻規則應明確識別LIS系統，因此僅僅它能應用這個規則。

　　許多公司發現在數據進入SCADA控制系統進行計算之前，允許人員外在的檢查與確認是最優方法。為了完成他們的職責，幾乎每個雇員都需有權使用企業電子郵件和Internet網絡。進行兩個網絡連接時不慎將病毒或者計算機網絡蠕蟲引入到控制網絡，便會出現很多的問題。防火墻規則必須是來自控制網絡類型的訪問，也將開放控制網絡，使其充滿由病毒和計算機網絡蠕蟲產生的大量的有害數據，即便控制網絡上的計算機沒被感染病毒。應避免類似事件的發生。

　　為了給操作員提供企業電子郵件和Internet網絡功能但又不危及PCN網絡的安全，和PIN網絡分開的連接應該對所有地點工作的操作員都是適用的。僅僅連接到PIN網絡的工作站能提供操作員訪問電子郵件和Internet網絡功能，分離PCN網絡，以便其免受來自Internet的危險。

　　保持暢通

　　對遠程設備的軟件上載和系統診斷，大多數銷售商更喜歡應用調制解調器進行訪問。在這種情況下，在要求服務之前，與調制解調器連接的電話線應該是暢通的，銷售商一旦結束連接，線路也應該是暢通的。當銷售商需要進行診斷時，就適當的安全策略和安全實施而言，如果公司在現場有工作人員，這可能是一個可以接受的方法。

　　對那些并不是現場24/7小時都有雇員的公司，這可能是一個主要爭論點，可選擇的折中方法包括：回撥功能的調制解調器——可以對一個指定的銷售商電話號碼回撥，口令保護功能的調制解調器，加密功能的調制解調器，以及安全套接層協議虛擬專用網絡(SSL VPN)連接。

[page_break]

　　通常，回撥功能的調制解調器是不切實際的，因為它要求銷售商始終為同一個電話號碼提供服務。如果你的電話線能夠一直保持暢通，密碼保護的調制解調器也許是保護銷售商訪問的最大成本效益的方法。當設置多次注冊失敗之后(通常選擇3次或者4次)，密碼保護的調制解調器應該支持帳戶失活，并能處理復雜的密碼。

　　加密調制解調器的主要目的是保持在兩個調制解調器之間的數據通信是機密的。在這樣的情況下，這個方法是吸引人的，因為同一個制造商必須使用調制解調器建立一個連接并共享同一個密碼鑰匙。這就大大減少了未授權人員連接到這個SCADA系統的機會。

　　深層防御策略

　　另外一個以策略制勝電腦黑客的方法是在你的網絡DeMilitarized Zone（DMZ）隔離區設置一個SSL VPN網絡應用，建立DMZ隔離區就是通過一個防火墻隔離兩個網絡。SSL VPN網絡安全技術應用的訪問規則能夠限制銷售商對他們負責的特定設備的訪問。雖然這種方法的成本比較高，但是增加了安全系數，因為你可以通過單一的網關切斷調制解調器，并對所有的銷售商進行中央管理控制。對那些在控制網絡上從來都不允許銷售商訪問的設備，除非在進行維修服務時明確的授權他們，而且在他們的操作被監控的情況下，這是一個最優方法。

　　在不同的網絡上，SCADA數據被相關的系統需求，比如早期提到的LIS系統。工廠管理人員通常想要一個高層次的控制

　　視窗觀看發生了什么，有時調整代理商要求有權訪問的數據，比如來自監控系統發出的數據。對滿足這樣的商業要求，這個模型工作最好，它和我們應用的從LIS系統到SCADA系統的數據傳送很相似，只是這次的傳送是顛倒的。

　　這個模型需要被SCADA系統收集和計算的數據“副本”，這個副本是在工廠和公司網絡較低的安全等級建立的。能按照要求建立多個等級或者副本。就副本來說，并不意味著精確的復制，但是以SCADA數據庫為基礎的有相關數據的數據庫：5分鐘的平均或者每小時的平均，而不是一個變量的每次時間標記情況。

　　為了保持控制網絡的安全性，數據應該增加從控制網絡到下一個較低層的安全性，這個較低層常常是工廠網絡。如果另外的層需要安全性，比如合作伙伴或者管理機構需要的數據，那么應該增加從工廠網絡到下一個較低層的數據安全性。

　　從歷史數據上說，應用專利代碼已經實現這個模型，但幸運的是，圍繞這個概念，銷售商已經開發出了商業上可利用的產品，比如Wonderware和OSI PI數據庫。

　　盡可能避免遠程訪問

　　應該避免操作員的遠程訪問。一旦建立了遠程訪問(除了銷售商推薦的訪問)，要保證PCN免受電腦黑客、病毒、計算機網絡蠕蟲和其它的惡毒代碼的攻擊是很困難的。

　　如果必須應用遠程訪問，那么首先可供選擇的數據測定方法是從操作員的遠程位置到PCN網絡裝設一個專用線。倘若使用一個計算機專門進行控制功能也是非常合理的。如果操作員使用他們個人的家用電腦，那么在某些方面將受到感染或者危及安全的可能性也會增加，而且可能危及控制網絡的安全。

　　如果SCADA的控制功能是激活的網絡瀏覽器，那么在DMZ隔離區設置一個SSL VPN網絡應用是一個切實可行的方法，它可以對操作員和PCN網絡之間的連接進行加密。為了增加安全性的附加測試，操作員需要高速Internet網絡訪問，也需要對附加的網絡訪問采取措施，比如時常的到期、多次的不成功的登錄上網之后禁止復雜的密碼。這種解決方案的附加值是：除非你允許操作員上載文件到SCADA系統，你已經在操作員的遠程計算機上保護SCADA系統不受惡意代碼或者病毒的攻擊。

[page_break]

　　如果上述兩個可選擇的方法都是不可行的，那么第三個方法是建立普通的眾所周知的3EDS(數據加密標準)或者AES(高級加密標準)的IPSec(IP保護協議) VPN網絡。IPSec是訪問Internet網絡進行封裝通信的相對新的方法，3DES和AES是進行加密信息包公認的加密算法。那些建立的隧道幾乎能保證不讓電腦黑客侵入。

　　比如選擇SSL VPN網絡遠程訪問技術，這個方法要求在DMZ隔離區有一些昂貴的硬件。和SSL VPN網絡遠程訪問不同，通過遠程計算機，IPSec VPN網絡遠程訪問可能使控制網絡受到惡毒代碼或者未授權訪問的攻擊，除非在操作員應用的計算機上保持嚴格的控制。

　　當操作員的實際位置不在一個安全的控制室時，對于操作員的鑒定，需要三個要素。前兩個要素是用戶ID和密碼(操作員知道這個密碼)。第三個要素是確認包括USB接口激活標記、智能卡、或者有生命特征的ID比如他的聲音或拇指的指紋。

　　無線通訊

　　雖然在精煉廠或化工廠的SCADA操作員設置可能不需要配置無線通訊系統，但對于某些應用，比如生產現場位置或遠程的管道泵站，無線通訊幾乎是必須的。在一些情況中，比如從地理位置上分布式的傳感器到SCADA系統，幾乎沒有其它成本效益的方法來反饋數據點。

　　在他們現成的產品中，配置簡單容易。無線站點(WAPs—登陸PCN網絡的無線站點)是一個安全的噩夢。他們能接收來自任何方向的信號，如果使用天

　　線來加強信號強度，客戶端能在很遠的地方接收。任何一個有膝上型電腦或PDA，以及便宜的傳送器和天線的人就能夠有權訪問你的控制系統。

　　有幾種方法可以使WAPs安全可靠。最不安全的方法是有線對等保密(WEP)。說它缺少安全是因為它在無線客戶端傳感器間的加密通信是薄弱的，而且在數小時內就能被破壞。

　　在保護你的無線訪問時，動態WEP能做得更好。當一個隨機的字節傳送之后，動態WEP能改變WEP的加密鑰匙，因此使那些試圖破壞WEP的企圖更困難。事實上，在一個無線SCADA系統環境中應用動態WEP應該是必須的。

　　一個更安全的方法是應用動態WEP加密，在所有的無線傳輸上，它將強制所有來自WAPs的通信都通過一個IPsec 3DES加密驅動程序。但是，這可能是昂貴的，而且對于這個方案通常是不需要的。

　　第二步應該采取的措施是應用一個WAP，讓你指定允許和它通信的機器地址(MACs)。結合動態WEP，對于這種類型的環境，對指定的MAC地址訪問進行限時常常是足夠安全的。

　　通過合并以上的措施，如果可能，對那些未獲得授權而通過WAP訪問你的PCN網絡，使用一個行之有效的方法是困難的，但是我們沒

　　有涉及到電力的干擾，它可能妨礙傳感器數據的有效性。不管是來自惡毒源碼還是自然發生現象的干擾，這仍然干擾從傳感器到SCADA系統的信號，危及控制的安全。為了彌補這個問題，系統說明符應該考慮配置定向的天線、微波或其它的技術來增強來自傳感器信號的強度，以保證WAP僅僅接收來自傳感器的信號。

　　安全的策略、標準、指導方針

　　標準是指定的操作或程序，都應該遵循確保網絡安全的策略。例如，比較安全的策略標準可能是 ：PCN網絡的所有用戶的IDs必須通過“XYZ”過程的核準。另一方面，指導方針是專用的操作或程序，都應該遵循確保安全的策略。比如，操作員可能設立這樣的指導方針：對于SCADA系統，用戶的IDs對操作員來說應該從操作程序(OP)開始，對控制工程師來說，應該從芯片啟動(CE)開始。

　　對于應該開發的安全策略、標準和指導方針的取樣種類應包括鑒定、訪問控制、訪問控制管理、網絡、無線、遠程訪問、應用、系統、加密等。（作者：Jay Abshier and Joe Weiss ）