从SCADA入手强化工控系统安全风险

2010年伊朗核设施遭受世界上首个专门针对工业控制系统编写的破坏性病毒攻击，这个名为Stuxnet的蠕虫病毒专门针对西门子SIMATIC WinCC监控与数据采集 (SCADA) 系统进行攻击，通过篡改离心机控制指令导致离心机停止运转，严重影响了伊朗铀浓缩进度。由于西门子SCADA系统在中国工业控制领域的广泛应用，Stuxnet蠕虫病毒的出现曾引发国内工业企业的极大恐慌。

一、SCADA系统安全风险分析

SCADA即数据采集与监控系统，被广泛应用于电力、石油、冶金、天然气、铁路、供水、化工等重要行业的工业控制系统中，以实现对底层工业设备的数据采集和运行状态监控，为生产执行与现场控制提供支撑。如今随着两化深入融合以及智能制造战略的持续推进，SCADA这种介于办公网络和工业控制网络之间的系统开始面临日趋严峻的安全挑战，黑客很容易以办公网络或互联网作为入口，利用SCADA系统的安全漏洞对工业控制系统展开攻击，进而造成严重安全事故和不可估量的经济损失。

1、国内某大型风电企业SCADA应用配置失误

2、某电力系统官网Oracle注入攻击

某黑客通过对某电力系统的官网进行简单的漏洞扫描可以发现该网站存在oracle注入漏洞，通过SQL注入操作进入到内网，发现虽然机器放在内网，但是并没有单独配置DMZ区域，而是采用工作组，这样就可以通过权限获取访问到域，当时怀着渗透的心态发现了至少3台SCADA的主机，到了这一步，再对SCADA进行控制对了解工控系统的黑客而言都是不难实现的。

从两个案例可以得过一个初步结论，目前国内企业在进行SCADA系统的部署放慢安全意识还不够强，而且很多的SCADA攻击都可以从web开始，以web为突破口进行内网渗透，最终拿到控制权限。对于攻击者来说，基本上只要确定了目标，由于SCADA系统自身防护能力较差，攻击者是很容易拿到的较高的功能权限。通过这个权限，攻击者很容易关闭重要的工业设施，造成严重的工业安全事故。

对于一些安全级别较高的企业，为了避免出现前面所说的安全风险，在企业内部大多已经实现了办公网络和工业网络的物理隔离。对于这样的企业攻击方式大多是摆渡人攻击，既通过获取企业内容中间人的信任来攻击。大概的流程是：第一步，获取到目标企业的工作流程和相关人员信息。第二步，获取目标工控系统的物理位置与工程师的相关信息，包括但不限于家庭背景、工作背景等信息；第三步，伪造自己身份，比如以谈合作的形式进行交流接触并掌握更多的目标信息；第四，在获取目标信任后骗取其U盘发起摆渡攻击。震网病毒引起的伊朗核工厂离心机停机事件就是典型的通过中间人进行摆渡人攻击。

因此，对于工业控制系统安全，亡羊补牢是必须的，但事前的预防则更为重要，企业需要提前做好SCADA系统安全防护。