从工控协议入手，保障工控系统安全 —— 某典型工控协议脆弱性分析

　　工控系统协议对于公用设施运行很关键，伴随因特网发展，但是大多数与其隔离，只是通过专用串口在封闭网络和可信软件间执行。然而，为了满足更智能能源系统的要求，租用线路被TCP或者无线链接取代，同时，工控系统流量与其他种类的数据包混合，遗留的工控系统协议设计成为问题。

工控系统协议设计从未考虑公开接入互联网，缺少重要的安全特性，比如，基本的认证和加密。尽管如此，经常发现不安全地挂在互联网上。Mirian等人扩展ZMap和Censys，全面IPv4扫描几种工控协议，包括DNP3、Modbus、BACnet、Tridium Fox和Siemens S7，总计发现约46K个工控系统主机可被公开访问和易受攻击。

以IEC101协议为例，首先分析其脆弱性。SCADA环境中可能受通信信道攻击的区域有：MTU（主终端单元）和RTU间通信，使用101和104协议数据传输；MTU和HMI间通信。IEC101一个比特校验和，104缺失校验和，完全依赖底层保证数据完整性。缺少保障应用层和数据链路层安全的内置安全机制。数据传输层通信脆弱性有：有限带宽导致有限帧长度的数据可被传输，不可靠的通信媒介；可能的攻击：欺骗，不可抵赖。校验和脆弱性会导致校验和大小不够以及单独校验和数据完整性不可靠。存在校验和溢出的可能性，聪明的攻击者可以通过改变数据值和响应校验和值来愚弄操作人员。

其次，分析其安全机制及问题。IEC62351提供应用层的安全机制。应答挑战机制是，因为RTU和MTU采用第三方软件，不对外公开，所以使用单板机作为额外的一层，将信息包裹后再传输。新增处理时间要小于100ms，身份认证的积极模式不如应答挑战模式安全，但在时间先决的场景下很重要。加密技术可以消除数据修改攻击、重放攻击和嗅探攻击，时间戳技术可以消除重放攻击。任何协议有一个内在的结构复杂性和攻击面的设计折衷，所以不偏向加密。

基于越来越多的系统互连和相互依赖，例如，通信、配电和运输基础设施，让政府机构和工业行业认识到保护关键基础设施的潜在风险和缓解措施越来越重要。从工控协议入手，发现和分析脆弱性及安全漏洞，尽早采取防护措施，以保障工控系统的安全可靠运行。