隨著“兩化”融合的不斷深入，傳統(tǒng)IT的安全威脅不斷涌向，讓原本封閉和脆弱的工業(yè)雪上加霜。據(jù)美國國土安全部下屬的工業(yè)控制系統(tǒng)網(wǎng)絡(luò)應(yīng)急響應(yīng)小組（ICS－CERT）發(fā)布的報(bào)告披露，2014年9月至2015年2月期間共發(fā)生了245起網(wǎng)絡(luò)安全事件， 其中的154起影響了關(guān)鍵制造業(yè)、能源系統(tǒng)、化工和核設(shè)施。這些事件在發(fā)生頻率、復(fù)雜性和嚴(yán)重性上均有不同程度增加，且超過一半屬于高級(jí)持續(xù)性威脅（APT）。盡管企業(yè)在安全防護(hù)、監(jiān)控和檢測(cè)能力上已有所增強(qiáng)，但伴隨著攻擊行為的集團(tuán)化、精準(zhǔn)性特點(diǎn)越來越顯著，可被利用的安全漏洞在過去幾年逐年增多，充分了解自身安全風(fēng)險(xiǎn)顯得尤為必要。滲透測(cè)試作為發(fā)現(xiàn)工控系統(tǒng)脆弱性的有效補(bǔ)充手段，可驗(yàn)證安全管理流程和技術(shù)防護(hù)措施的有效性，增強(qiáng)工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全性。

圖1 ICS－CERT公布的發(fā)生在2014年9月到2015年2月期間的網(wǎng)絡(luò)安全事件

圖2 ISA－99／IEC 62443 Purdue模型

盡管ISA－99／IEC 62443等對(duì)數(shù)據(jù)流向進(jìn)行了規(guī)定，但不遵守安全分區(qū)和數(shù)據(jù)流向規(guī)則的網(wǎng)絡(luò)大量存在，多網(wǎng)卡以及允許全網(wǎng)ICMP通訊的情況也非常普遍，外部滲透測(cè)試方法依舊可行。

其它可選滲透測(cè)試方法

除了上面提到的互聯(lián)網(wǎng)和相鄰連接網(wǎng)絡(luò)滲透測(cè)試方法，其它可考慮的滲透點(diǎn)包括物理安全脆弱性和社會(huì)工程學(xué)。社會(huì)工程學(xué)利用了任何安全程序中最薄弱的環(huán)節(jié)之一：人的因素。技術(shù)性社會(huì)工程學(xué)方法（如釣魚網(wǎng)站）結(jié)合專業(yè)的工具可實(shí)現(xiàn)最有效的滲透測(cè)試，工業(yè)控制系統(tǒng)需綜合終端防護(hù)、入侵檢測(cè)及加強(qiáng)人員安全意識(shí)培訓(xùn)等來防范社會(huì)工程學(xué)攻擊。

測(cè)試模擬的真實(shí)工業(yè)控制網(wǎng)絡(luò)

在實(shí)驗(yàn)室或者測(cè)試環(huán)境搭建模擬真實(shí)生產(chǎn)控制系統(tǒng)的平臺(tái)，采用相同的設(shè)備類型、型號(hào)和版本，并盡可能采用真實(shí)系統(tǒng)的備份鏡像進(jìn)行測(cè)試，采取各項(xiàng)滲透測(cè)試手段，盡最大可能發(fā)現(xiàn)模擬環(huán)境的問題，而無需太關(guān)心安全問題。

測(cè)試工控設(shè)備

取得控制設(shè)備操作權(quán)限或破壞控制設(shè)備是黑客攻擊的重要目的。由于前期未進(jìn)行安全設(shè)計(jì)，大部分基于IP的工業(yè)控制協(xié)議都缺乏加密認(rèn)證機(jī)制，很容易被修改、劫持、破壞，甚至造成設(shè)備被直接控制。需對(duì)工控設(shè)備進(jìn)行安全性和健壯性測(cè)試，挖掘其未知安全漏洞。

測(cè)試工控服務(wù)器和工作站

工控服務(wù)器和工作站大部分是Windows系統(tǒng)，且很大一部分為XP等老舊系統(tǒng)。用戶由于擔(dān)心系統(tǒng)兼容性問題，通常不升級(jí)補(bǔ)丁，系統(tǒng)長(zhǎng)期運(yùn)行后會(huì)積累大量的安全漏洞，也為滲透測(cè)試提供了豐富的研究素材。

小結(jié)

本文簡(jiǎn)單介紹了工控系統(tǒng)滲透測(cè)試方法，并分析了工業(yè)控制系統(tǒng)的特定威脅、攻擊行為以及風(fēng)險(xiǎn)點(diǎn)，幫助客戶優(yōu)化安全防護(hù)策略，減少安全隱患。