工业4.0环境下PLC系统面临的安全挑战

Security Challenges in Industry 4.0 PLC Systems

一、摘要

本文主要讨论工业4.0模式下面临的网络威胁以及应对这些威胁可以改进的方向。

二、风险监测、漏洞识别以及现有的安全评估体系

（一）风险监测和漏洞识别的常用手段

有效的网络安全风险管理的第一阶段是识别对企业正常运营的关键服务和资产。这个阶段需要企业根据其运营中的实际情况，找出最佳防护的位置。一般来说需要保护的资产包括：生产流程、生产过程中用到的材料的类型和数量、客户需求、员工数据等等。

下面将对保护上述提到的重要资产阐述有哪些防护手段：
1.验证机器文件及其通信和软件标准。
这种方法旨在验证使用的通信标准是否能抵抗黑客的攻击，以及判断软件是否是最新版本的，是否是足够安全的。此外，还能够实现物理校验，能够判断机器部件是否与电子文档匹配。
2.验证网络架构和相关部分管理。
目的是检查在搭建网络环境期间所有的安全标准是否由授权人员维护并妥善管理。
3.询问负责机器操作和工业网络安全的员工。
这种方法可以获得与在网络配置中发现的错误信息相关的有价值信息。
4.管理验证网络特殊部分和网络内特殊设备。
适用于那些不需要直接，永久连接到工厂网络的设备。
5.对网络设备的配置和设置分析。
此外还会检测软件是否是最新版本确保其安全性。
6.监控负责安全和日志检验的设备。
这种方法允许在不编辑数据包的情况下对该数据包跟踪，查看是否有其他设备有意修改它。
7.受控攻击期间（ controlled attacks）的安全性物理校验。
这是目前最有效的方法之一。它通过实现工业网络内的一系列受控攻击来寻找网络内的漏洞，并阻止这些漏洞的外部利用。
8.通过端口扫描和网络映射来检查网络渗透的鲁棒性。
9.分析网络图，生产流程等。
通过这些内容分析显示用户如何使用工业网络。

（二）系统风险量化评估手段

事件树是一种表示在工业网络网络安全问题中发生的因果关系的依赖性的图形化方式。在构建事件树时，假设安全事件是一系列事件的结果。因此，事件树从一个初始事件开始，然后呈现所有可能的因果序列。在事件树的许多地方，都有一些分支点，在某些事件发生后，就有可能发生各种其他潜在的危险事件。因此，特定效果的概率是通过将构成树中路径的所有连续事件的连续概率相乘得到的，沿着这些概率计算可以实现对风险的量化。通过这种建模方法，可以得到如下计算公式：

其中，P（Vulnerability）是发生一个特定弱点的概率，P（Threat）是一个特定威胁发生的概率，P(Impact)是产生一个特定影响的概率。需要注意的是，P(Impact)是一个偏主观的影响因素。
没有100%安全的系统，对于系统可能存在的风险只能说是尽可能减小，常见的对于减小事件影响的活动主要包括：
1.工业网络的碎片化
这是一种基于引入或重新引入使用子网络的原始网络碎片化的活动，旨在将业务实体资源集与访问外部网络分开，或限制对网络中单个活动元素的未经授权的访问。
2.通过为用户设置不同的访问级别来控制访问权限
3.网络系统内的软硬件升级，以及对通信协议的更新

三、OT系统下的常见风险源

（1）人为因素

1.人为故意泄露
2.钓鱼攻击
这种攻击是通过对消息伪装，使得被攻击者点击设定好的一个链接，从而窃取相关数据。
3.弱密码
密码设定过简单，有可能被暴力破解；此外，如果，用户私人密码和公司的密码是一致的，那么一旦私人密码被攻破，公司的密码也会被攻击者得到。

（2）硬件

PLC常用的传输协议有MODBUS，Ethernet/IP, Profibus, DNP 317 和ISO-TSAP协议，这些协议只能实现通信有效，无法保证数据传输安全。在数据传输过程中并不能保证机密性也没有身份认证，这使得整个网络容易受到各种类型的攻击。

PLC配有两个随机存取存储器，主存储器和寄存器存储器。主存储器用于存储被执行程序的数据，而寄存器存储器用于临时存储。然而，PLC寄存器内存的访问和该区域的读写没有任何限制。攻击者只需要让设备染上蠕虫即可，蠕虫将会使寄存器内存值改变，与程序逻辑部分的操作相关的参数也可能改变。这可能会导致输出不可预测的结果。

在（SCADA，HMI）系统中，PLC具有强制输出设置的功能。然而，强制输出的过程没有任何授权验证机制，因此每个能访问PLC所在网络的人都可以实现该功能。

攻击者还可以利用ISO-TSAP协议的弱点进行攻击，软件与PLC之间的通信基于ISO-TSAP协议标准，协议不对PLC和计算机之间交换的数据进行加密，这意味着所有数据都以明文传输。

（3）软件

(1)SCADA系统
Supervisory Control and Data Acquisition (SCADA)是一套监督技术生产过程的IT系统，与PLC控制器一样，SCADA最薄弱的点就是不同组件之间的通信协议。Modbus,Profinet等协议并没有足够的安全保护机制
(2)HMI
Human-Machine interface(HMI)人机接口是机器和操作者之间的一个工业接口，通过使用HMI，能够在一个比PLC寄存器更友好的环境中对生产过程进行控制。在HMI环境中，最重要的就是权限管理，根据操作员的权限，在机器上创建不同级别的访问权限，以防止对生产过程的参数发生未经授权的更改。此外，HMI的另一个问题就是缺乏和控制器之间的加密连接

四、针对安全问题的改进方向

（1）设计更安全的通信协议

通信协议的安全性始终是工控系统中比较薄弱的一环，可以通过添加一些校验位，将计算校验和的算法作为永久代码嵌入在通信设备的一侧，以便对数据的编码，解码，验证。

（2）更合理的网络拓扑结构

1.将工业网络划分为子网
子网的划分能够实现生产过程和网络接入点的隔离，而且与监控或数据获取没有任何关系，这就降低了发生人为错误的风险。
对于连接到内部工业网络的外部连接，可以使用VPN使用加密连接。VPN的主要目的是确保外部设备与企业内部网络之间的数据交换，从而使该网络的节点对以这种方式传输的数据包保持不可见。由于使用了VPN，也可以压缩和加密传输的数据，以确保更高级别的安全性。

2.完整性检验
保证数据完整性的一种方法就是通过两个端口传输相同的数据，，最终检验这两份数据是否一致，这种方法能够排除在通信过程中扭曲传输数据的可能请，从而限制了由改变数据帧的黑客攻击的可能性。

3.监控数据传输的授权
引入中央授权系统的主要目的是确保作为进程数据交换元素的两个接入点之间的通信安全。这在两个SCADA系统之间的数据交换中尤为重要，该系统监督等价进程，并需要通过全球网络进行连接。在这种情况下，可以创建一个包含每个系统的授权数据的头，然后对通过所述授权服务器传递的这些数据进行加密。（DES或SHA-3）

（3）定期更新软件

一些安全问题可能由于软件版本过低，对新兴的攻击脚本没有做到一个有效的防护导致。对于这方面的问题，可以设计一个自动化脚本，一旦软件出现新的版本，就自动向网络管理员提示。而且软件的更新最好由具有适当权限的管理员进行，避免由于执行过程中的操作不当导致网络感染。

（4）减少人为因素导致的安全问题

目前出现的安全问题大部分都是由于人为的不规范操作导致，虽然我们对于网络安全的认识在加深，但是误点钓鱼链接这种操作还是屡见不鲜，对于这方面的问题，可以通过组织定期的培训，以及设置更加合理的员工权限等方法。