公務(wù)員期刊網(wǎng) 論文中心 正文

工業(yè)以太網(wǎng)安全性問題探析

前言:想要寫出一篇引人入勝的文章?我們特意為您整理了工業(yè)以太網(wǎng)安全性問題探析范文,希望能給你帶來靈感和參考,敬請閱讀。

工業(yè)以太網(wǎng)安全性問題探析

摘要:隨著網(wǎng)絡(luò)技術(shù)的發(fā)展,以太網(wǎng)技術(shù)已經(jīng)被廣泛應(yīng)用工業(yè)控制當(dāng)中,但是這也暴露出了諸多的安全問題。所以,深入的研究工業(yè)以太網(wǎng)中的各種協(xié)議,從協(xié)議的角度探究安全性問題的解決方案,會有更好的效果?;诖?,本文首先分析了工業(yè)以太網(wǎng)的安全性問題;接著,總結(jié)并完善了工業(yè)以太網(wǎng)技術(shù)的安全防護技術(shù);最后,對工業(yè)以太網(wǎng)的安全防護方案進行了總結(jié)。

關(guān)鍵詞:工業(yè)以太網(wǎng);協(xié)議;安全防護;解決方案

1工業(yè)以太網(wǎng)的安全性問題分析

目前工業(yè)互聯(lián)網(wǎng)的主要安全問題解決方式,到目前為止仍然是IEC62443標(biāo)準(zhǔn)的安全解決方案[4]。但是這種安全解決方案,是偏向于系統(tǒng)級的。工業(yè)以太網(wǎng)所使用的協(xié)議是現(xiàn)場總線型協(xié)議,與IT系統(tǒng)有著較大的差異,所以在安全性的需求上也不同[5]。工業(yè)以太網(wǎng)控制系統(tǒng)的安全性問題主要出現(xiàn)在數(shù)據(jù)明文傳輸,容易被監(jiān)聽或篡改等方面。工業(yè)以太網(wǎng)控制協(xié)議主要有Modbus/Tcp、Ethernet/IP、OPC、DNP3這五種,下面將對其安全性問題進行分析。

(1)Modbus/Tcp協(xié)議安全性問題

一個典型的Modbus/Tcp控制系統(tǒng)的結(jié)構(gòu),多個PLC控制器與設(shè)備之間采用串行Modbus協(xié)議進行通信。文獻[6]就指出了Modbus/Tcp控制系統(tǒng)在信息傳輸時,缺乏安全保護措施,容易受到洪泛攻擊、重放攻擊等安全性威脅。文獻[7]總結(jié)了Modbus/Tcp協(xié)議的主要安全性威脅,主要包括加密、認(rèn)證、效驗、可編程、溢出、廣播風(fēng)暴等。

(2)Ethernet/IP協(xié)議安全性問題

Ethernet/IP是實時的通信協(xié)議,因為該協(xié)議缺乏時間戳和加密操作,所以容易受到拒絕服務(wù)的攻擊,以及數(shù)據(jù)篡改和中間人攻擊等[8]。同時由于UDP之上的Ethernet/IP協(xié)議是無連接的,其并沒有進行數(shù)據(jù)的可靠性和完整性校驗,這就會造成重放攻擊和拒絕服務(wù)攻擊的開展。總的來說Ethernet/IP協(xié)議存在著加密、認(rèn)證、重放、拒絕服務(wù)等安全性漏洞。

(3)OPC協(xié)議安全性問題

OPC協(xié)議是一種中間協(xié)議,實現(xiàn)現(xiàn)場信號和軟件的數(shù)據(jù)通信。最新的OPC協(xié)議規(guī)范已經(jīng)進行了安全性防護的補充,其可以在底層的數(shù)據(jù)通信中提供加密的需求,并且提供可靠性和完整性校驗。雖然這些措施對整個協(xié)議的安全性有一定的提高,但是其仍然存在著認(rèn)證、DOS、主機等方面的安全性威脅[9]。

(4)DNP3協(xié)議安全性問題

DNP3是美國國家通信標(biāo)準(zhǔn),其存在著DNP3-Sec和DNP3-SAv5兩個加強安全性的變種版本。DNP3-Sec主要是在數(shù)據(jù)鏈路層進行安全性加強,DNP3-SAv5主要是在應(yīng)用層進行安全性加強。雖然其在數(shù)據(jù)的認(rèn)證、加密、完整性校驗、可靠性等方面有一定程度的提升,但是其仍然存在著拒絕服務(wù)、惡意篡改、惡意監(jiān)聽等安全性威脅[10]。上述四種協(xié)議,在一定程度上都滿足了可用性和可靠性的要求,其對安全性的提升主要側(cè)重在完整性上。只有DNP3協(xié)議對信息安全的五項基本要求(保密性、完整性、可用性、可控性、不可否認(rèn)性)都做出了安全性的提升。但是某些研究也表明,DNP3協(xié)議仍然存在著安全性的問題[11]。

2工業(yè)以太網(wǎng)的安全性問題解決方案

本文將從外部主動防護技術(shù)、內(nèi)部被動防護技術(shù)和協(xié)議本身的安全性改進三個方面來進行闡述。

(1)外部主動防護技術(shù)

外部主動防護系統(tǒng)部署在系統(tǒng)外部,主要有縱深防御技術(shù)、入侵檢測、入侵防御等等。防火墻、網(wǎng)間隔離、白名單、黑名單、端口過濾等技術(shù)都屬于縱深防御技術(shù)。其也是目前來說可以有效確保工業(yè)控制系統(tǒng)安全的有效方法,其可以將工業(yè)控制設(shè)備分成多個“區(qū)”,如分軍事區(qū)、安全隔離區(qū)等等,再進行安全策略的設(shè)計。目前國內(nèi)市場上的工業(yè)防火墻和網(wǎng)絡(luò)隔離設(shè)備供應(yīng)商主要有三零衛(wèi)士、海天煒業(yè)、力控華康等[12]。其產(chǎn)品均可以在工控網(wǎng)絡(luò)中建立黑名單、白名單協(xié)議關(guān)鍵字段過濾等安全防護措施,這可以有效較低工控網(wǎng)絡(luò)的安全性威脅。入侵檢測系統(tǒng)和入侵防御系統(tǒng)也是縱深防御技術(shù)重要的實現(xiàn)方式。其主要采用模式匹配的方法,對數(shù)據(jù)進行辨析。入侵檢測系統(tǒng)是并聯(lián)旁路在系統(tǒng)中,它可以對系統(tǒng)中的所有數(shù)據(jù)流量進行監(jiān)測,并發(fā)現(xiàn)惡意數(shù)據(jù)。入侵防御系統(tǒng)是串聯(lián)在系統(tǒng)中,系統(tǒng)中的所有數(shù)據(jù)需要通過入侵防御系統(tǒng)才可以進行接收,其可以有效過濾惡意報文等[13]。

(2)內(nèi)部被動防護技術(shù)

內(nèi)部被動防護技術(shù)主要包括深度分組檢測和安全評估兩種方式。深度分組檢測主要是流量統(tǒng)計和協(xié)議報文分析,其可以發(fā)現(xiàn)異常流量和異常數(shù)據(jù),以便在問題出現(xiàn)之前將安全漏洞扼殺在搖籃中。安全評估系統(tǒng)也是工業(yè)控制網(wǎng)絡(luò)安全性解決方案中重要的組成部分,其通過對系統(tǒng)協(xié)議的分析,來對系統(tǒng)的整個安全性和可疑的攻擊進行評估。安全性評估包含多種方法,主要有基于協(xié)議模型的方法、基于異常行為處理的方法、基于聚類分析的方法、基于中間件檢測的方法[14]。

(3)協(xié)議的安全性改進

就目前技術(shù)來說,協(xié)議安全性改進主要是通過加密和其他的安全協(xié)議承載傳輸數(shù)據(jù)這兩種方式來實現(xiàn)的。再細(xì)分又可以分為從端到端加密、鏈路加密、節(jié)點加密三種方式來實現(xiàn)[15]。

3總結(jié)

隨著工業(yè)大數(shù)據(jù)、中國制造2025的推進,工業(yè)控制系統(tǒng)的安全性問題顯得越來越重要,尤其是關(guān)乎國家安全的領(lǐng)域,如電網(wǎng)、核能等等。本文以協(xié)議為基礎(chǔ),總結(jié)并闡述了現(xiàn)今的工業(yè)控制網(wǎng)絡(luò)中存在的安全性問題;并且從外部主動防護、內(nèi)部被動防護、協(xié)議改進這三種方式來論述工業(yè)控制網(wǎng)絡(luò)安全性提升的方法。

作者:廖游 單位:中國電子科技集團第三十研究所