第1章 工业控制系统信息安全简介

1.1 工业控制系统信息安全现状、威胁与发展趋势

随着现代社会发展的迅速工业化和信息化，工业控制系统产品越来越多地采用以信息技术为基础的通用协议、通用硬件和通用软件，并广泛应用于电力、冶金、安防、水利、污水处理、石油天然气、化工、交通运输、制药，以及大型制造等行业中。同时，为了满足当前工业控制的需求，提高工厂或公司管理的运作效率，工业控制系统通过各种方式与互联网等公共网络连接，使病毒、木马等威胁向工业控制系统扩散有了可乘之机。由于工业控制系统的产品特性及网络连接，工业控制系统正面临巨大的威胁，因此工业控制系统信息安全受到越来越多的关注。

1.1.1 工业控制系统信息安全现状

2001年后，通用开发标准与互联网技术的广泛使用使针对工业控制系统的攻击行为出现大幅增长，工业控制系统信息安全形势变得日益严峻。

据权威工业安全事件信息库（Repository of Industrial Security Incidents，RISI）统计，截止2011年10月，全球已发生200余起针对工业控制系统的攻击事件。据美国ICS-CERT报告，2012年工业控制安全事件197起，2013年工业控制（简称工控）安全事件248起，其统计图如图1-1所示。

由此可见，近几年工业控制系统信息安全事件呈明显增多趋势。同时，ICS-CERT安全报告指出，工业控制系统信息安全事件主要集中在能源、关键制造业、交通、通信、水利、核能等领域，而能源行业的安全事故超过一半。

近年来，典型工业控制系统入侵事件出现在能源、水利与水处理、交通运输、制造等行业。

1.能源行业

1994年，美国亚利桑那州Salt River Project被黑客入侵。

2000年，俄罗斯政府声称黑客成功控制了世界上最大的天然气输送管道网络（属于GAzprom公司）。

2001年，黑客侵入了监管加州多数电力传输系统的独立运营商。

2003年，美国俄亥俄州Davis-Besse的核电厂控制网络内的一台计算机被微软的SQL Server蠕虫病毒感染，导致其安全监控系统停机将近5小时。

2003年，龙泉、政平、鹅城换流站控制系统发现病毒，后发现是由外国工程师在系统调试中用笔记本电脑上网所致。

2007年，在美国国土安全局的“Aurora”演习中，针对电力控制系统进行渗透测试，一台发电机在其控制系统受到攻击后被物理损坏。

2010年，“网络超级武器”Stuxnet病毒有针对性地入侵工业控制系统，严重威胁到伊朗布什尔核电站核反应堆的安全运营。

2012年，美国国土安全局下属的ICS-CERT称，自2011年12月以来，已发现多起试图入侵几大输气公司的黑客活动。

2012年4月22日，伊朗石油部和国家石油公司的内部计算机网络遭病毒攻击，为安全起见，伊朗方面暂时切断了海湾附近哈尔克岛石油设施的网络连接。

2.水利与水处理行业

2000年，一个工程师在应聘澳大利亚的一家污水处理厂被多次拒绝后，远程入侵该厂的污水处理控制系统，恶意造成污水处理泵站故障，导致超过1000m³的污水被直接排入河流，造成了严重的环境灾难。

2001年，澳大利亚的一家污水处理厂由于内部工程师的多次网络入侵而发生了46次控制设备功能异常事件。

2005年，美国水电站溢坝事件。

2006年，黑客从Internet攻破了美国哈里斯堡一家污水处理厂的安全措施，在其系统内植入了能够影响污水操作的恶意程序。

2007年，攻击者入侵加拿大的一个水利SCADA控制系统，通过安装恶意软件破坏了用于控制从Sacramento河调水的控制计算机。

2011年，黑客通过Internet操纵美国伊利诺伊州城市供水系统SCADA，使得其控制的供水泵损坏。

3.交通运输行业

1997年，一个十几岁的少年入侵纽约NYNES系统，干扰了航空与地面通信，导致马萨诸塞州的Worcester机场关闭6小时。

2003年，CSX运输公司的计算机系统被病毒感染，导致华盛顿特区的客货运输中断。

2003年，19岁的Aaron Caffrey入侵Houston渡口的计算机系统，导致该系统停机。

2008年，攻击者入侵波兰某城市地铁系统，通过电视遥控器改变轨道扳道器，导致四节车厢脱轨。

4.制造行业

2005年，在Zotob蠕虫安全事件中，尽管在Internet与企业网、控制网之间部署了防火墙，但还是有13个美国汽车厂由于被蠕虫感染而被迫关闭，50 000生产线上的工人被迫停止工作，预计经济损失超过1 400 000美元。

2010年我国某石化、2011年某炼油厂的某装置控制系统分别感染Conficker病毒，都造成了控制系统服务器与控制器通信不同程度的中断。

2014年，某钢铁厂遭到攻击，攻击者的行为导致工控系统的控制组件和整个生产线被迫停止运转，造成重大损失。

5.跨行业

2011年，微软公司警告称，最新发现的Duqu病毒可从工业控制系统制造商那里收集情报数据。

2012年，发现攻击多个中东国家的恶意程序—Flame火焰病毒，能收集各行业的敏感信息。

1.1.2 工业控制系统信息安全威胁

工业控制系统信息安全威胁主要来自敌对因素、偶然因素、系统结构因素和环境因素。

1.敌对因素

敌对因素可以是来自内部或外部的个体、专门的组织或政府，通常采用包括黑客攻击、数据操纵、间谍、病毒、蠕虫、特洛伊木马和僵尸网络等进行攻击。

黑客攻击通过攻击自动化系统的要害或弱点，使得工业网络信息的保密性、完整性、可靠性、可控性、可用性等受到伤害，从而造成不可估量的损失。

来自外部的攻击包括非授权访问，是指一个非授权用户的入侵；拒绝服务（Denial of Service，DoS）攻击，即黑客想办法让目标设备停止提供服务或资源访问。这样一来，一个设备不能执行它的正常功能，或者它的动作妨碍了其他设备执行正常功能，从而导致系统瘫痪，停止运行。

近年来，高级持续威胁（Advanced Persistence Threat，APT）不断出现。攻击者有一个基于特定战略的缜密计划，其攻击对象是大中型企业、政府、重要机构。攻击者使用社会上的工程技术和/或招募内部人员来获取有效登录凭证。选择使用何种工具主要取决于他们的攻击目标是什么，以及其网络配置和安全状况。攻击者经常利用僵尸网络，因为僵尸网络能够给他们提供更多资源来发动攻击，并且很难追踪到攻击的源头。

2.偶然因素

偶然因素可以来自内部或外部的专业人员、运行维护人员或管理员。由于技术水平的局限性及经验不足，这些人员可能会出现各种意想不到的操作失误，势必对系统或信息安全产生较大影响。

3.系统结构因素

系统结构因素可以来自系统设备、安装环境和运行软件。由于设备老化、资源不足或其他情况造成系统设备故障、安装环境失控及软件故障，从而对系统或信息安全产生较大影响。

4.环境因素

环境因素可以来自自然或人为灾害、非正常的自然事件（如太阳黑子等）和基础设施破坏。这些自然灾害、人为灾害、非正常的自然事件和基础设施破坏对工业控制系统信息安全产生较大影响。

1.1.3 工业控制系统信息安全发展趋势

工业控制系统信息安全发展趋势主要有3个：全行业覆盖趋势、经济越发达安全事件越多趋势和日益增多趋势。

1.全行业覆盖趋势

目前，工业控制系统广泛应用于我国电力、冶金、安防、水利、污水处理、石油天然气、化工、交通运输、制药，以及大型制造等行业中，据不完全统计，超过80%涉及国计民生的关键基础设施是依靠工业控制系统来实现自动化作业的，工业控制系统已是国家安全战略的重要组成部分。因此，工业控制系统信息安全有全行业覆盖的趋势。

2.经济越发达安全事件越多趋势

国家经济越发达，工业控制系统应用越广泛；国家经济越发达，工业管理要求越高，工厂信息化建设越多。因此，工业控制系统信息安全有国家经济越发达工业控制系统安全事件就越多的趋势。

3.日益增多趋势

新技术新应用层出不穷，云计算、移动互联网、大数据、卫星互联网等领域的新技术新应用带来了新的信息安全问题。因此，工业控制系统信息安全有日益增多的趋势。