工业以太网安全性问题探析范文

本站小编为你精心准备了工业以太网安全性问题探析参考范文，愿这些范文能点燃您思维的火花，激发您的写作灵感。欢迎深入阅读并收藏。

摘要：随着网络技术的发展，以太网技术已经被广泛应用工业控制当中，但是这也暴露出了诸多的安全问题。所以，深入的研究工业以太网中的各种协议，从协议的角度探究安全性问题的解决方案，会有更好的效果。基于此，本文首先分析了工业以太网的安全性问题；接着，总结并完善了工业以太网技术的安全防护技术；最后，对工业以太网的安全防护方案进行了总结。

关键词：工业以太网；协议；安全防护；解决方案

随着中国制造2025计划的提出[1]，工业互联网的发展已经上升到了国家战略的层面上，工业互联网的安全性问题，也越来越受到业界的重视。根据国家信息漏洞共享平台的统计，2017年就发现了超过1000条重大的信息安全漏洞。这其中涉及了绝大多数的工业互联网控制设备供应商，并且其中的高危漏洞占比更是达到了48.59%。根据权威机构工业安全事件信息库（RISI）的统计，仅在2017年，就发生了超过200起专门针对基础工业网络所发起的攻击，并且每一次的攻击均造成了难以估量的经济损失[2]。一般来说，绝大多数的攻击都是利用了现有的工业以太网的漏洞，来进行恶意的攻击和控制的。由于工业以太网的设计之初是应用在封闭的网络环境中的，所以其各种控制协议和策略均没有考虑安全性的问题。但是随着工业以太网的发展，封闭的网络环境已经无法支持现在工业以太网的发展，并且互联网化也是发展的趋势。所以按照现有的工业以太网协议，攻击者只需要获得相应的权限，便可以轻松进行恶意的篡改和监听[3]。以著名的Stuxnet蠕虫病毒为例，该病毒便是利用西门子工控机的协议缺乏认证和加密的缺陷，使得攻击者可以轻松进行监听和攻击，这次的恶意攻击给伊朗的核电站造成了难以估量的损失。

1工业以太网的安全性问题分析

目前工业互联网的主要安全问题解决方式，到目前为止仍然是IEC62443标准的安全解决方案[4]。但是这种安全解决方案，是偏向于系统级的。工业以太网所使用的协议是现场总线型协议，与IT系统有着较大的差异，所以在安全性的需求上也不同[5]。工业以太网控制系统的安全性问题主要出现在数据明文传输，容易被监听或篡改等方面。工业以太网控制协议主要有Modbus/Tcp、Ethernet/IP、OPC、DNP3这五种，下面将对其安全性问题进行分析。（1）Modbus/Tcp协议安全性问题一个典型的Modbus/Tcp控制系统的结构如图1所示，多个PLC控制器与设备之间采用串行Modbus协议进行通信。文献[6]就指出了Modbus/Tcp控制系统在信息传输时，缺乏安全保护措施，容易受到洪泛攻击、重放攻击等安全性威胁。文献[7]总结了Modbus/Tcp协议的主要安全性威胁，主要包括加密、认证、效验、可编程、溢出、广播风暴等。（2）Ethernet/IP协议安全性问题Ethernet/IP是实时的通信协议，因为该协议缺乏时间戳和加密操作，所以容易受到拒绝服务的攻击，以及数据篡改和中间人攻击等[8]。同时由于UDP之上的Ethernet/IP协议是无连接的，其并没有进行数据的可靠性和完整性校验，这就会造成重放攻击和拒绝服务攻击的开展。总的来说Ethernet/IP协议存在着加密、认证、重放、拒绝服务等安全性漏洞。（3）OPC协议安全性问题OPC协议是一种中间协议，实现现场信号和软件的数据通信。最新的OPC协议规范已经进行了安全性防护的补充，其可以在底层的数据通信中提供加密的需求，并且提供可靠性和完整性校验。虽然这些措施对整个协议的安全性有一定的提高，但是其仍然存在着认证、DOS、主机等方面的安全性威胁[9]。（4）DNP3协议安全性问题DNP3是美国国家通信标准，其存在着DNP3-Sec和DNP3-SAv5两个加强安全性的变种版本。DNP3-Sec主要是在数据链路层进行安全性加强，DNP3-SAv5主要是在应用层进行安全性加强。虽然其在数据的认证、加密、完整性校验、可靠性等方面有一定程度的提升，但是其仍然存在着拒绝服务、恶意篡改、恶意监听等安全性威胁[10]。上述四种协议，在一定程度上都满足了可用性和可靠性的要求，其对安全性的提升主要侧重在完整性上。只有DNP3协议对信息安全的五项基本要求（保密性、完整性、可用性、可控性、不可否认性）都做出了安全性的提升。但是某些研究也表明，DNP3协议仍然存在着安全性的问题[11]。

2工业以太网的安全性问题解决方案

本文将从外部主动防护技术、内部被动防护技术和协议本身的安全性改进三个方面来进行阐述。（1）外部主动防护技术外部主动防护系统部署在系统外部，主要有纵深防御技术、入侵检测、入侵防御等等。防火墙、网间隔离、白名单、黑名单、端口过滤等技术都属于纵深防御技术。其也是目前来说可以有效确保工业控制系统安全的有效方法，其可以将工业控制设备分成多个“区”，如分军事区、安全隔离区等等，再进行安全策略的设计。目前国内市场上的工业防火墙和网络隔离设备供应商主要有三零卫士、海天炜业、力控华康等[12]。其产品均可以在工控网络中建立黑名单、白名单协议关键字段过滤等安全防护措施，这可以有效较低工控网络的安全性威胁。入侵检测系统和入侵防御系统也是纵深防御技术重要的实现方式。其主要采用模式匹配的方法，对数据进行辨析。入侵检测系统是并联旁路在系统中，它可以对系统中的所有数据流量进行监测，并发现恶意数据。入侵防御系统是串联在系统中，系统中的所有数据需要通过入侵防御系统才可以进行接收，其可以有效过滤恶意报文等[13]。（2）内部被动防护技术内部被动防护技术主要包括深度分组检测和安全评估两种方式。深度分组检测主要是流量统计和协议报文分析，其可以发现异常流量和异常数据，以便在问题出现之前将安全漏洞扼杀在摇篮中。安全评估系统也是工业控制网络安全性解决方案中重要的组成部分，其通过对系统协议的分析，来对系统的整个安全性和可疑的攻击进行评估。安全性评估包含多种方法，主要有基于协议模型的方法、基于异常行为处理的方法、基于聚类分析的方法、基于中间件检测的方法[14]。（3）协议的安全性改进就目前技术来说，协议安全性改进主要是通过加密和其他的安全协议承载传输数据这两种方式来实现的。再细分又可以分为从端到端加密、链路加密、节点加密三种方式来实现[15]，如图2所示。

3总结

随着工业大数据、中国制造2025的推进，工业控制系统的安全性问题显得越来越重要，尤其是关乎国家安全的领域，如电网、核能等等。本文以协议为基础，总结并阐述了现今的工业控制网络中存在的安全性问题；并且从外部主动防护、内部被动防护、协议改进这三种方式来论述工业控制网络安全性提升的方法。

参考文献：

[1]袁胜.中国制造2025，工控安全不容忽视[J].中国信息安全，2016（4）:44-47.

[2]罗军舟，杨明，凌振，等.网络空间安全体系与关键技术[J].中国科学:信息科学，2016，46（8）:939.

[3]屈婉莹，魏为民，朱苏榕.工业控制系统通信协议安全研究[C]//2015年全国智能电网用户端能源管理学术年会.

[5]彭勇，江常青，谢丰，等.工业控制系统信息安全研究进展[J].清华大学学报(自然科学版)，2012（10）:1396-1408.

[11]张盛山，尚文利，万明，等.基于区域/边界规则的ModbusTCP通讯安全防御模型[J].计算机工程与设计，2014，35（11）:3701-3707.

[12]陶耀东，李宁，曾广圣.工业控制系统安全综述[J].计算机工程与应用，2016，52（13）:8-18.

[13]赖英旭，刘增辉，蔡晓田，等.工业控制系统入侵检测研究综述[J].通信学报，2017，38（2）:143-156.

作者：廖游 单位：中国电子科技集团第三十研究所