工业控制系统面临的三大安全威胁

最近，美国Booz Allen Hamilton公司（简称BAH）对世界各地共314家运行工业控制系统（ICS）的组织进行了调查，数据显示过去12个月内有34%的ICS遭受2次以上的非法入侵。2015年ICS企业上报给美国权威部门的安全事件也比往年多很多。这些都表明，ICS的攻击者/黑客正变得越来越聪明、越来越高效，入侵工业控制系统的成功率也越来越高。

可以说，现今ICS面临的安全形势十分严峻。根据 BAH的调查报告，ICS威胁不论是数量、类型还是风险程度都呈现出快速增长趋势；从造成的后果来说，网络攻击扰乱了ICS系统运行，有的甚至对ICS系统造成了物理损害。

由于大部分ICS系统是在网络威胁出现之前创建的，设计之初并没有考虑内置外部安全防控措施，所以现阶段保障ICS网络安全并不是一件容易的事。了解ICS网络面临的主要威胁/三大威胁有助于分析和改善ICS网络的安全状况。

一、外部威胁—APT、目标攻击等

ICS网络的外部威胁可能与政治敌对势力（如某个民族、国家、恐怖组织或者黑客行动主义者等）有关，也可能与工业间谍活动有关。它们的动机不同，攻击的目的也不同。例如，出于政治动机的攻击目标在于中断ICS系统运行或者摧毁ICS系统；而工业间谍则更关注知识产权的盗用。

今天，大多数的工业部门，特别是涉及关键基础设施的工业部门，更有可能成为政治动机的攻击目标，系统运行中断或系统损毁的风险很高。一旦风险发生，即使是那些不关心APT、不关心定向攻击的非关键基础设施的工业部门也会受到波及，也会出现连带损失。因为出于政治动机的网络攻击所利用的技术漏洞通常是所有工业部门都存在的，很可能在无意间影响到非目标组织及其ICS网络。以著名的攻击伊朗核设施的震网病毒为例，按照西门子公司的说法，震网病毒至少入侵了14家企业，包括美国雪佛兰公司和俄罗斯的民用核电站。

二、内部威胁—员工、承包商等

和IT网络内部威胁一样，工业网络也存在同样的风险。拥有ICS网络合法访问权限的内部威胁包括员工、承包商、第三方集成商等。由于大部分ICS网络缺乏限制用户活动的认证或加密机制，用户可以毫无约束地访问网络中的任何设备。

众所周知的澳洲马卢奇污水处理厂事件，就是因为一位参与该厂SCADA系统安装工作的员工不满没有被续聘引起的。这名员工利用无线设备（可能是盗来的）向系统发送了非授权指令，导致80万公升的污水直接排入当地的公园、河流，甚至漫进酒店大堂，严重污染了当地自然环境。

三、人为失误—可能是ICS的最大威胁

人为失误是无可避免的，但因此付出的代价可能极为昂贵。对很多组织来说，人为失误造成的损失可能比内部威胁更为严重。有些情况下，人为失误可以看作是ICS系统的最大威胁。

人为失误包括设置错误、配置错误以及PLC编程错误等，人为失误造成的漏洞很容易被外部对手利用。例如集成商建立的临时连接通常在项目结束后还保留着的现象十分普遍，相当于给攻击者留了一扇门。

有些人为失误是因为员工在工作中采用了“创造性的方法”。比如在需要远程接入ICS网络，却又不提供安全连接的情况下，员工只能自己建立未经授权的远程连接。这些未经批准的连接就有可能成为外部攻击的渗透点，进而暴露出整个ICS系统。

总之，要在内部和外部威胁中保障ICS网络安全不是件容易的事。首先ICS系统本身不具备任何认证或授权机制；其次，多数系统也缺乏访问控制策略、安全控制策略或者变更管理策略；另外，也没有审计线索或活动日志、变动日志供取证调查之用。所以，一旦发生运行中断事件，很难确切判断到底是网络攻击、内部恶意代码、人为失误还是机械故障引起，制约了操作员及时处理事件的响应能力。

对工业网络来说，实时可见性是保障ICS安全的关键。要防御外部威胁、内部恶意代码以及人为失误，工业组织应能监控系统所有活动—不论是未知来源还是内部授信者、不论是授权还是非授权。监控系统所有活动，监控无论网络或设备上企图更改工业控制器的活动，是检测源于ICS威胁的非授权活动最有效的方式。