工控网络边界脆弱性体现哪些方面
工控网络边界脆弱性体现以下方面:
没有严格界定网络边界范围:如果控制系统网络没有严格界定清晰的网络边界,将不能保证在网络中部署必要的信息安全控制措施,将导致对系统和数据的非法访问,以及相关的其他问题。
没有配置防火墙或防火墙配置不当:缺乏正确配置的防火墙将造成不必要的数据流量在网络间传输,如控制和调整网络的指令。这种情况将导致很多问题,包括使得攻击行为和病毒可以在网络间传输,导致敏感数据容易遭受其他网络用户的监视/窃取,并使得独立的用户可以非授权访问网络。
在控制系统网络中传输完成非控制任务的信息:控制信息和非控制信息流量有很多不同的要求,如独占性和可靠性不同。将两种类型的流量放在同一个网络上,使得网络更加难以配置,以致需要设计流量控制机制。例如,非控制信息将可以随意占用本应该提供给控制指令流量的网络资源,导致工业控制系统功能异常。
在工业控制系统网络中缺少行为和日志审计:没有完整和正确的日志记录,将不可能追查到安全事故是如何发生的。
在工业控制系统网络中缺少网络安全监视:如果没有对工业控制系统网络的安全状态进行常规监视,将不能及时发现安全事故,从而可能导致不必要的损毁或破坏。常规的网络安全监视也需要识别信息安全控制方面的问题,如配置错误和默认配置问题。
加强工业网络方法有以下这些:
工业主机白名单控制:工业主机由于长期不间断运行,不能及时打补丁,并且受到联网条件的限制,无法实时更新病毒库,因此传统杀毒机制不适用于工业主机。比较有效的方式是采用白名单控制技术,对工业软件相关的进程文件进行扫描识别,为每个可信文件生成唯一的特征码,特征码的集合构成特征库,即白名单。只有白名单内的软件才可以运行,其他进程都被阻止,以防止病毒、木马、违规软件的攻击。
工控协议识别与控制:为了保障数据传输的可靠性与实时性,工业生产网已发展了多套成熟的通信协议,主流的有几十种,大致分为工业总线协议和工业以太网协议两大类,如Modbus、S7、OPC、Profinet、IEC104等。工控协议的识别能力是安全设备工作的基础,也是评价产品能力的重要指标。
工控漏洞利用识别与防护:工控系统漏洞是工控网络安全问题的主要来源。由于工控设备很少升级或者不升级,因此普遍存在可被攻击的漏洞,而由于技术的专业性和封闭性,这些漏洞很容易被作为0day利用。因此工控安全产品对工控漏洞利用行为的识别能力,以及相应的防护能力,是工控安全防护能力建设的核心。
工控网络流量采集与分析:获取网络流量是发现网络攻击的前提,流量采集与分析广泛应用于网络安全方案,是一项比较成熟的技术。对于工控网络,除了基本的流量识别与统计分析外,还需要理解生产过程的操作功能码,根据业务逻辑判断是否发生异常。此外,根据设备间通信的规律建立流量基线模型,对多源数据进行关联分析,能够有效地识别异常行为和网络攻击。
工业网络安全态势感知:态势感知是安全防御的重要手段,对于工控网络,通过安全态势感知平台,可以直观地了解网络中的资产分布、漏洞分布、网络攻击事件,对网络的整体风险水平进行量化评估。态势感知平台需要多种核心能力支持,包括完善的数据获取能力、大数据分析与建模能力、网络攻击溯源分析能力、安全事件闭环处理能力等,是工控网络安全防护的核心产品。