工業(yè)控制系統(tǒng)安全指南

《工業(yè)控制系統(tǒng)安全指南》

NISTSP800-82

周小嵐開始語《SP800—82：工業(yè)控制系統(tǒng)(ICS)安全指南》于2010年1O月發(fā)布，是NIST依據(jù)2002年聯(lián)邦信息安全管理法、2003年國土安全總統(tǒng)令HSPD-7等編制而成。它遵循《OMB手冊》的要求“保障機構(gòu)信息系統(tǒng)，為聯(lián)邦機構(gòu)使用，同時允許非政府組織自愿使用，不受版權(quán)管制?！盨P800—82有邏輯地給出了ICS安全保護的建議和指導(dǎo)，若能有效地滿足這樣的需求,ICS系統(tǒng)就可達到更安全的（secure），即系統(tǒng)處在一種特定狀態(tài)，可有效地抵御所面臨的不可接受的風(fēng)險。NISTSP800-82概述該指南為保障工業(yè)控制系統(tǒng)ICS提供指南，包括監(jiān)控與數(shù)據(jù)采集系統(tǒng)(SCADA)、分布式控制系統(tǒng)（DCS)和其他完成控制功能的系統(tǒng)。它概述了ICS和典型的系統(tǒng)拓撲結(jié)構(gòu)，指出了這些系統(tǒng)的典型威脅和脆弱點所在，為消減相關(guān)風(fēng)險提供了建議性的安全對策。同時，根據(jù)ICS的潛在風(fēng)險和影響水平的不同，指出了保障ICS安全的不同方法和技術(shù)手段。該指南適用于電力、水利、石化、交通、化工、制藥等行業(yè)的ICS系統(tǒng)。主要內(nèi)容工業(yè)控制系統(tǒng)概論ICS特性、威脅和脆弱性ICS系統(tǒng)安全程序開發(fā)與部署網(wǎng)絡(luò)結(jié)構(gòu)ICS安全控制

工業(yè)控制系統(tǒng)概論

分布式控制系統(tǒng)（DCS)監(jiān)控和數(shù)據(jù)采集系統(tǒng)(SCADA)可編程邏輯控制器（PLC)工業(yè)控制系統(tǒng)ICS操作關(guān)鍵組件

控制回路、人機界面（HMI）、遠程診斷和維護工具主要ICS元件控制元件：控制服務(wù)器、SCADA服務(wù)器或主終端單元（MTU）、遠程終端裝置（RTU）、可編程邏輯控制器（PLC）、智能電子設(shè)備（IED）、人機界面（HMI）、歷史數(shù)據(jù)、輸入/輸出（IO）服務(wù)器；網(wǎng)絡(luò)組件：現(xiàn)場總線網(wǎng)絡(luò)、控制網(wǎng)絡(luò)、通訊路由器、防火墻、調(diào)制解調(diào)器、遠程接入點。SCADA系統(tǒng)SCADA系統(tǒng)是用來控制地理上分散的資產(chǎn)的高度分布式的系統(tǒng)，往往分散數(shù)千平方公里，其中集中的數(shù)據(jù)采集和控制是系統(tǒng)運行的關(guān)鍵。這些系統(tǒng)被用于配水系統(tǒng)和污水收集系統(tǒng)，石油和天然氣管道，電力設(shè)施的輸電和配電系統(tǒng)，以及鐵路和其他公共交通系統(tǒng)?？傮w結(jié)構(gòu)分布式控制制系統(tǒng)（DCS）DCS系統(tǒng)用于控控制在同一一地理位置置的生產(chǎn)系系統(tǒng)，被用來控制制工業(yè)生產(chǎn)產(chǎn)過程，如煉油廠，，水和污水水處理，發(fā)發(fā)電設(shè)備，，化學(xué)品制制造工廠，，和醫(yī)藥加加工設(shè)施等等行業(yè)。可編程邏輯輯控制器（（PLC）PLC可用在SCADA和DCS系統(tǒng)中，作作為整個分分級系統(tǒng)的的控制部件件，通過反反饋控制，，提供對過過程的本地地管理。ICS特性，威脅脅和脆弱性性ICS特性本文中ICS特性主要是是通過與IT系統(tǒng)的區(qū)別別而列舉出出來的。起初，ICS與IT系統(tǒng)并無相相似之處，，隨著ICS采用廣泛使使用的、低低成本的互互聯(lián)網(wǎng)協(xié)議議（IP）設(shè)備取代代專有的解解決方案，，以促進企企業(yè)連接和和遠程訪問問能力，并并正在使用用行業(yè)標準準的計算機機、操作系系統(tǒng)（OS）和網(wǎng)絡(luò)協(xié)協(xié)議進行設(shè)設(shè)計和實施施，它們已已經(jīng)開始類類似于IT系統(tǒng)了。但是，ICS有許多區(qū)別別于傳統(tǒng)IT系統(tǒng)的特點點，包括不不同的風(fēng)險險和優(yōu)先級級別。其中中包括對人人類健康和和生命安全全的重大風(fēng)風(fēng)險，對環(huán)環(huán)境的嚴重重破壞，以以及金融問問題如生產(chǎn)產(chǎn)損失和對對國家經(jīng)濟濟的負面影影響。其中首要要的區(qū)別別在于：：IT系統(tǒng)的目目標和過過程控制制系統(tǒng)的的目標有有根本性性的區(qū)別別，IT系統(tǒng)通常常將性能能、保密密性和數(shù)數(shù)據(jù)完整整性作為為首要需需求，而而ICS系統(tǒng)則將將人類和和設(shè)備安安全作為為其首要要責(zé)任，，因此，，系統(tǒng)的的可用性性和數(shù)據(jù)據(jù)完整性性的具有有較高核核心級。。ICS面臨的威威脅控制系統(tǒng)統(tǒng)面臨的的威脅可可以來自自多種來來源，包包括對抗抗性來源源如敵對對政府、、恐怖組組織、工工業(yè)間諜諜、心懷懷不滿的的員工、、惡意入入侵者，，自然來來源如從從系統(tǒng)的的復(fù)雜性性、人為為錯誤和和意外事事故、設(shè)設(shè)備故障障和自然然災(zāi)害。。攻擊者僵尸網(wǎng)絡(luò)絡(luò)操縱者者犯罪集團團外國情報報服務(wù)內(nèi)部人員員釣魚者垃圾郵件件發(fā)送者者間諜/惡意軟件件作者恐怖份子子工業(yè)間諜諜ICS系統(tǒng)潛在在的脆弱弱性脆弱性被被劃分成成策略與與程序類類、平臺臺類和網(wǎng)網(wǎng)絡(luò)類脆脆弱性，，大多數(shù)數(shù)在工業(yè)業(yè)控制系系統(tǒng)中常常出現(xiàn)的的一些脆脆弱性都都可與歸歸集到這這幾類中中策略和程程序方面面的脆弱弱性主要是由由于安全策略略及程序序文件不不完全、、不適合合或文件件的缺失失，包括安安全策略略及實施施指南（（實施程程序）等等。安全全策略程程序文檔檔，包括括管理支支持等，，是安全全工作的的基礎(chǔ)例如：工業(yè)控制制系統(tǒng)安安全策略略不當、沒有正式式的工業(yè)業(yè)控制系系統(tǒng)安全全培訓(xùn)和和安全意意識培養(yǎng)養(yǎng)、安全架構(gòu)構(gòu)和設(shè)計計不足、對于工業(yè)業(yè)控制系系統(tǒng)，沒沒有開發(fā)發(fā)出明確確具體、、書面的的安全策策略或程程序文件件、工業(yè)控制制系統(tǒng)設(shè)設(shè)備操作作指南缺缺失或不不足、安全執(zhí)行行中管理理機制的的缺失、工業(yè)控制制系統(tǒng)中中很少或或沒有安安全審計計、沒有明確確的ICS系統(tǒng)業(yè)務(wù)務(wù)連續(xù)性性計劃或或災(zāi)難恢恢復(fù)計劃劃、沒有明確確具體的的配置變變更管理理程序。平臺方面面的脆弱弱性ICS系統(tǒng)由于于程序瑕疵疵、配置置不當或或維護較較少而出現(xiàn)一一些安全全的脆弱弱性，包包括ICS系統(tǒng)硬件件、操作作軟件和和應(yīng)用軟軟件，通通過各種種安全控控制措施施的實施施，可以以緩解因因安全脆脆弱性問問題導(dǎo)致致的安全全風(fēng)險。平臺配置方面面的脆弱性平臺硬件方面面的脆弱弱性平臺軟件方面面的脆弱弱性；平臺惡意軟件件防護方方面的脆脆弱性；；網(wǎng)絡(luò)方面面的脆弱弱性在ICS中的漏洞洞可能會會出現(xiàn)缺陷，錯錯誤配置置，或?qū)CS網(wǎng)絡(luò)及與與其他網(wǎng)網(wǎng)絡(luò)的連連接管理理不善。這些漏漏洞可以以通過各各種安全全控制消消除或者者弱化，，如防御御深入的的網(wǎng)絡(luò)設(shè)設(shè)計，網(wǎng)網(wǎng)絡(luò)通信信加密，，限制網(wǎng)網(wǎng)絡(luò)流量量，并提提供網(wǎng)絡(luò)絡(luò)組件的的物理訪訪問控制制。網(wǎng)絡(luò)配置置漏洞網(wǎng)絡(luò)硬件件漏洞網(wǎng)絡(luò)邊界界漏洞網(wǎng)絡(luò)監(jiān)控控和記錄錄漏洞通信中的的漏洞無線連接接中的漏漏洞目前有幾幾個因素素導(dǎo)致ICS控制系統(tǒng)統(tǒng)風(fēng)險的的日益增增加采用標準準化的協(xié)協(xié)議和技技術(shù)，安安全漏洞洞已知連接到其其他網(wǎng)絡(luò)絡(luò)控制系系統(tǒng)不安全和和非法的的網(wǎng)絡(luò)連連接ICS系統(tǒng)相關(guān)關(guān)技術(shù)信信息的廣廣泛普及及安全事件件統(tǒng)計故意有針針對性的的攻擊，，如未經(jīng)經(jīng)授權(quán)訪訪問文件件，執(zhí)行行拒絕服服務(wù)，或或欺騙的的電子郵郵件（即即偽造電電子郵件件發(fā)送者者的身份份）非故意后后果或設(shè)設(shè)備損害害，來自自蠕蟲，，病毒或或控制系系統(tǒng)故障障無意的內(nèi)內(nèi)部安全全的后果果，如不不適當?shù)牡臏y試業(yè)業(yè)務(wù)系統(tǒng)統(tǒng)或未經(jīng)經(jīng)授權(quán)的的系統(tǒng)配配置的變變化。ICS系統(tǒng)安全全程序開開發(fā)與部部署ICS和IT系統(tǒng)之間間存在較較大的差差異，這這將影響響ICS系統(tǒng)采用用何種安安全控制制措施。。因此，，組織應(yīng)應(yīng)制定和和部署ICS安全策略略與程序序，這些些安全策策略和IT安全策略略與程序序應(yīng)當是是一致的的，但必必須符合合ICS的技術(shù)和和環(huán)境的的具體要要求和特特點。組組織應(yīng)定定期審查查和更新新他們的的ICS安全計劃劃和方案案，以適適應(yīng)新技技術(shù)，業(yè)業(yè)務(wù)，標標準和法法規(guī)的變變化。如何建立一個個ICS安全計劃？①建立安全業(yè)業(yè)務(wù)方案安全業(yè)務(wù)方案建成安全項目的收益不實施安全項目的潛在后果安全程序的實施、運行、監(jiān)管、維護等流程開發(fā)、實施、維護安全項目所需的成本和資源安全業(yè)務(wù)方案案由四個關(guān)鍵鍵要素組成：威脅優(yōu)先化、商業(yè)后果優(yōu)優(yōu)先化、商業(yè)業(yè)利益優(yōu)先化化以及年度商業(yè)影響。②綜合安全程程序的開發(fā)和和部署(1)通過安全業(yè)務(wù)方案獲得高管層的支持；(2)建立與培訓(xùn)跨職能小組；(3)明確安全組織、系統(tǒng)所有方和使用方的作用、責(zé)任與義務(wù)，以及安全程序所涉及和影響的范圍(4)明確ICS具體安全政策和步驟，盡可能整合到現(xiàn)有的運營政策和管理政策中，確保安全保護的持續(xù)性和通用性；(5)編制ICS系統(tǒng)與網(wǎng)絡(luò)資產(chǎn)目錄；(6)評估ICS風(fēng)險與脆弱性，通過風(fēng)險評估確定ICS的優(yōu)先順序，通過脆弱性評估識別系統(tǒng)中的脆弱點，以有助于保持系統(tǒng)和數(shù)據(jù)的可靠性、完整性和可用性；(7)明確風(fēng)險、脆弱點消減手段，充分考慮潛在風(fēng)險代價和消減風(fēng)險的成本；(8)組織培訓(xùn)以提高安全意識，利用培訓(xùn)的反饋提煉安全程序的宗旨和范圍。網(wǎng)絡(luò)結(jié)構(gòu)系統(tǒng)安全建設(shè)設(shè)的環(huán)節(jié)中，，除了安全程程序開發(fā)，另另一個關(guān)鍵環(huán)環(huán)節(jié)是處理好好ICS網(wǎng)絡(luò)與其他應(yīng)應(yīng)用網(wǎng)絡(luò)的連連接問題，即即網(wǎng)絡(luò)體系結(jié)結(jié)構(gòu)問題。兩點建議！(1)當為ICS的部署設(shè)計一一個網(wǎng)絡(luò)時，，建議把ICS從其他合作的的網(wǎng)絡(luò)中隔離離開。因為，，通常這兩類類網(wǎng)絡(luò)流量不不同，并且因因特網(wǎng)的訪問問和電子郵件件等操作對ICS網(wǎng)絡(luò)一般是允允許的：對于于合作網(wǎng)而言言，可能沒有有網(wǎng)絡(luò)設(shè)備的的嚴格變更控控制規(guī)程：如如果ICS網(wǎng)絡(luò)流量存在在于合作網(wǎng)上上，有找到Dos攻擊的風(fēng)險。。文中對該建建議給出指導(dǎo)導(dǎo)意見：采用用防火墻技術(shù)術(shù)實現(xiàn)網(wǎng)絡(luò)隔隔離。(2)如果需要ICS和合作網(wǎng)之間間必須建立連連接，只允許許最好的連接接(盡可能只有一一個)。并通過防火火墻或DMZ實現(xiàn)連接。ICS安全控制安全控制是一一個信息系統(tǒng)統(tǒng)保護其信息息的保密性、、完整性和有有效性而制定定的管理、操操作和技術(shù)控控制。本文此部分分的內(nèi)容主要要是如何把SP800—53中“聯(lián)邦信息息系統(tǒng)與組織織安全控制方方法”部分分提出的管理理、運營和技技術(shù)方面的控控制措施運用用在ICS中。NISTSP800-53在聯(lián)邦政府信信息系統(tǒng)的支支持下，提出出相應(yīng)的準則則為信息系統(tǒng)統(tǒng)選擇和指定定安全控制。。安全控制的的組織分為三三個等級：管理、運行和技術(shù)控制管理控制安全評估和授授權(quán)(CA)規(guī)劃(PL)風(fēng)險評估(RA)系統(tǒng)和服務(wù)獲獲取(SA項目群管理(PM)運行控制人員安全(Ps)物理和環(huán)境安安全(PE)應(yīng)急規(guī)劃(CP)配置管理(CM)維護(MA)系統(tǒng)和信息完完整性(sI)介質(zhì)保護(MP)事件應(yīng)急響應(yīng)應(yīng)(IR)意識和培訓(xùn)(AT)。技術(shù)控制鑒定和授權(quán)(IA)訪問控制(AC)審計與核查(AU)系統(tǒng)和通訊保護(SC)密碼授權(quán)挑戰(zhàn)-應(yīng)答鑒定物理標志授權(quán)權(quán)生物授權(quán)基于角色的訪訪問控制(RBAC)WEB服務(wù)器虛擬本地局域域網(wǎng)絡(luò)(VLAN)無線撥號調(diào)制解調(diào)調(diào)器加密虛擬專用網(wǎng)絡(luò)絡(luò)(VPN)以上概要介紹紹了美國在解解決工業(yè)控制制系統(tǒng)安全問問題上的思想想、途徑以及及方法，這些些內(nèi)容對我國國目前實際開開展的ICS安全工作，對對我國ICS安全戰(zhàn)略制定定、標準化工工作、安全技技術(shù)研發(fā)和創(chuàng)創(chuàng)新等，均具具有很好的參參考價值。謝謝！9、靜夜四無無鄰，荒居居舊業(yè)貧。。。12月-2212月-22Thursday,December29,202210、雨中黃黃葉樹，，燈下白白頭人。。。13:01:1313:01:1313:0112/29/20221:01:13PM11、以我獨沈沈久，愧君君相見頻。。。12月-2213:01:1313:01Dec-2229-Dec-2212、故人江江海別，，幾度隔隔山川。。。13:01:1313:01:1313:01Thursday,December29,202213、乍見翻疑疑夢，相悲悲各問年。。。12月-2212月-2213:01:1313:01:13December29,202214、他他鄉(xiāng)鄉(xiāng)生生白白發(fā)發(fā)，，舊舊國國見見青青山山。。。。29十十二二月月20221:01:13下下午午13:01:1312月月-2215、比比不不了了得得就就不不比比，，得得不不到到的的就就不不要要。。。。。十二二月月221:01下下午午12月月-2213:01December29,202216、行行動動出出成成果果，，工工作作出出財財富富。。。。2022/12/2913:01:1313:01:1329December202217、做前，能能夠環(huán)視四四周；做時時，你只能能或者最好好沿著以腳腳為起點的的射線向前前。。1:01:13下下午1:01下下午13:01:1312月-229、沒有失敗敗，只有暫暫時停止成成功！。12月-2212月-22Thursday,December29,202210、很多事情努努力了未必有有結(jié)果，但是是不努力卻什什么改變也沒沒有。。13:01:1313:01:1313:0112/29/20221:01:13PM11、成功就就是日復(fù)復(fù)一日那那一點點點小小努努力的積積累。。。12月-2213:01:1313:01Dec-2229-Dec-2212、世間間成事事，不不求其其絕對對圓滿滿，留留一份份不足足，可可得無無限完完美。。。13:01:1313:01:1313:01Thursday,December29,202213、不知香積寺寺，數(shù)里入云云峰。。12月-2212月-2213:01:1313:01:13December29,202214、意志志堅強強的人人能把把世界界放在在手中中像泥泥塊一一樣任任意揉揉捏。。29十十二二月20221:01:13下下午13:01:1312月月-2215、楚楚塞塞三三湘湘接接，，荊荊門門九九派派通通。。。。。十二二月月221:01下下午午12月月-2213:01December29,202216、少年年十五五二十十時，，步行行奪得得胡馬馬騎。。。2022/12/2913:01:1313:01:1329December202217、空山新雨雨后，天氣氣晚來秋。。。1:01:13下下午1:01下下午13:01:1312月月-229、楊柳散和和風(fēng)，青山山澹吾慮。。。12月-2212月-22Thursday,December29,202210、閱讀一一切好書書如同和和過去