你相信發電廠爆炸事件是工控黑客所為嗎？（40頁）.pdf

《你相信發電廠爆炸事件是工控黑客所為嗎？（40頁）.pdf》由會員分享，可在線閱讀，更多相關《你相信發電廠爆炸事件是工控黑客所為嗎？（40頁）.pdf（40頁珍藏版）》請在三個皮匠報告上搜索。

1、你相信發電廠爆炸事件是工控黑客所為嗎？伍智波伍智波 實驗室負責人周坤周坤 實驗室高級安全研究員中國網安 三零衛士 木星安全實驗室目錄介紹工控概述1工控系統脆弱性2工控漏洞挖掘方法3工控安全防護4PART 01工控概述工控概述 工業控制系統（ICS）部分廠商：工控概述工業控制系統（ICS）所應用重點行業 電力電力 能源能源 石油石油 化工化工 水處理水處理 燃氣燃氣 軍工軍工 航空航天航空航天 汽車汽車 交通交通 冶金冶金 食品食品 制藥制藥 造紙造紙 建材建材 醫療醫療 煙草煙草 物流物流 海事海事 半導體半導體工控概述 工業控制系統（ICS）是一個通用簡稱，主要是用來描述不同類型的控制系統其

2、中包含系統、網絡、和控制用于操作、工業過程自動化設備。也就是對多種控制系統的總稱，其中列舉部分工業控制系統如下：可編程邏輯控制器（PLC）數據采集與監視控制系統（SCADA）系統 集散分布式控制系統（DCS）遠程終端單元（RTU）工控概述 什么是PLC？PLC也就是Programmable logic Controller，直譯可編程邏輯控制器。在1987年國際電工委員會（International Electrical Committee）頒布的PLC標準草案中對PLC做了如下定義：PLC是一種專門為在工業環境下應用而設計的數字運算操作的電子裝置。它采用可以編制程序的存儲器，用來在其內部存儲

3、執行邏輯運算、順序運算、計時、計數和算術運算等操作的指令，并能通過數字式或模擬式的輸入和輸出，控制各種類型的機械或生產過程。工控概述 PLC的構成 從結構上分，PLC分為固定式和組合式（模塊式）兩種。固定式PLC包括CPU板、I/O板、顯示面板、內存塊、電源等，這些元素組合成一個不可拆卸的整體。模塊式PLC包括CPU模塊、I/O模塊、內存、電源模塊、底板或機架，這些模塊可以按照一定規則組合配置工控概述 PLC的構成 從結構上分，PLC分為固定式和組合式（模塊式）兩種。固定式PLC包括CPU板、I/O板、顯示面板、內存塊、電源等，這些元素組合成一個不可拆卸的整體。模塊式PLC包括CPU模塊、I/

4、O模塊、內存、電源模塊、底板或機架，這些模塊可以按照一定規則組合配置工控概述工控概述 PLC的構成 工控概述 工業控制系統（ICS）特點：實時性要求高，強調實時I/O能力 可用性要求高，系統一旦上線，不能接受重新啟動之類的響應，中斷必須有計劃和提前預定時間 工控硬件要求壽命長，防電磁干擾，防爆，防塵等要求非常嚴格；特有的工業控制協議通訊協議，不同廠商控制設備采用不同通信協議，很多協議不公開 工控系統上線生產后，一般不會調整 工控系統要求封閉性比較強工控概述 工業控制系統（ICS）部分功能：PLC與RTU主要用于獲取設備狀態 PLC可以用于設備本地本地控制 DCS通常用于局域網生產過程的整體控制

5、 SCADA主要是從PLC和RTU采集監控數據PART 02工控系統脆弱性工控系統脆弱性 全球工業控制系統攻擊安全事件案例 2000年澳大利亞污水處理廠被攻擊者非法攻擊控制了150個污水泵站，總 計有100萬公升的污水未經處理排入到自然水系 2003年美國Davis-Besse核電站受到Slammer蠕蟲攻擊、導致核電站計算機出現異常并連續數小時無法工作 2006年美國Browns Ferry核電站受到網絡攻擊，反應堆再循環泵的變頻器（VFD）和冷凝除礦控制器（PLC）失效導致多組機組癱瘓。2008年美國Hatch核電廠由于采集控制網絡中的診斷數據，使得控制系統以為反應儲水庫水位下降導致整個機

6、組被關閉 2010年震網Stuxnet病毒席卷全球工業界，該病毒感染全球45000個網絡，伊朗、印尼、美國等多地工業工控系統均不能幸免，其中伊朗布什爾核電站最為嚴重 2014年德國鋼鐵廠遭受APT攻擊導致工控系統的控制組件和整個生產線被全部停止運行 2015波蘭航空公司地面操作系統遭遇黑客攻擊導致長達5個小時癱瘓、超過1400明旅客滯留 2015年烏克蘭電力系統遭遇黑客攻擊導致伊萬諾-弗蘭科夫地區約超過一半的家庭（約140萬）人停電工控系統脆弱性黑客針對工控攻擊形式多樣化黑客針對工控攻擊形式多樣化郵件 惡意代碼惡意代碼社工U U盤盤DOSDOS人人工控漏洞 系統漏洞系統漏洞工控系統脆弱性伊朗核

7、電站“震網”病毒事件發生事件：2010年7月攻擊目標：伊朗核電站（物理隔離網絡）入侵方式：收集核電站工作人員和其家庭成員信息收集核電站工作人員和其家庭成員信息 針對針對PCPC電腦發起攻擊，成功控制電腦發起攻擊，成功控制PCPC電腦并感染所有接入的電腦并感染所有接入的USBUSB移動介質通過移動介質通過U U盤盤將病毒擺渡核電站內部網絡將病毒擺渡核電站內部網絡 利用西門子的漏洞，成功控制離心機的控制系統，修改利用西門子的漏洞，成功控制離心機的控制系統，修改了離心機參數，讓其生產不出制造核武器的物質，但在人工檢測顯了離心機參數，讓其生產不出制造核武器的物質，但在人工檢測顯示端正常示端正常 n 滲

8、透手段：滲透手段：U U盤盤n 損失：損失：“震網震網”蠕蟲病毒攻擊伊朗的軸濃縮設備，造成伊朗核電站離心機損壞，推遲發電達兩蠕蟲病毒攻擊伊朗的軸濃縮設備，造成伊朗核電站離心機損壞，推遲發電達兩年之久。年之久。n 影響面：感染全球超過影響面：感染全球超過4500045000個網絡個網絡工控系統脆弱性烏克蘭電網遭受病毒攻擊事件 2015年的最后一周，烏克蘭至少有三個區域的電力系統被具有高度破壞性的惡意軟件攻擊并導致大規模的停電 12月23日，伊萬諾-弗蘭科夫斯克地區，有超過一半的家庭（約140萬人）遭受了停電的困擾 整個停電事件持續了數小時之久，病毒關閉生產控制大區的控制服務器，使得二次信息系統喪

9、失對物理設備的感知和控制導致部分設備運行中斷而大面積停電。釣魚郵件釣魚郵件潛伏到特潛伏到特地時間地時間滲透擴散到生產網滲透擴散到生產網點擊點擊officeoffice郵郵件感染辦公感染辦公電腦電腦執行攻擊執行攻擊者指令者指令工控系統脆弱性 歸根結底就是工業控制系統的漏洞問題，截止到2019年，公開的工業控制系統的高危漏洞數總體仍然在增加數據統計來自vulhub工控系統脆弱性工控安全與傳統安全差異化工控安全與傳統安全差異化工控安全：可用性 完整性 機密性傳統安全：機密性 完整性 可用性工控系統脆弱性工控安全與傳統安全差異化工控安全與傳統安全差異化工控安全傳統安全專有私有協議標準的通信協議主要保護

10、邊緣客戶端（設備、過程控制器）主要保護IT資產、存儲、傳輸信息服務支持通常通過單一供應商允許多元化的支持風格實時性要求高、不接受延時非實時、可以傳輸延遲兼容性差、軟硬件升級困難實時補丁修復專有操作系統、硬件系統按照典型操作系統使用PART 03工控漏洞挖掘工控漏洞挖掘標題文本預設標題文本預設標題文本預設標題文本預設工程師站、操作員站PC端工程師站、操作員站移動端工程師站、操作員站WEB端工程師站、操作員站網絡端工控漏洞挖掘 工程師站、操作員站PC端 緩沖區溢出 控件漏洞 后門漏洞 驅動漏洞 弱口令 安全配置錯誤 身份認證繞過 硬編碼漏洞 敏感信息泄露.木星安全實驗室-工控小組工控漏洞挖掘國內某

11、工控廠商后門漏洞發現第1次國內某工控廠商后門漏洞發現第2次漏洞修復前漏洞修復后工控漏洞挖掘國外-國內工控廠商PC漏洞工控漏洞挖掘 工程師站、操作員站移動端 簽名破解 組件攻擊 邏輯漏洞 跨站請求偽造 路徑穿越 越權攻擊 明文存儲.木星安全實驗室-工控小組工控漏洞挖掘國外-國內工控廠商移動端漏洞工控漏洞挖掘 工程師站、操作員站WEB端 目錄遍歷 拒絕服務 跨站腳本 未授權訪問 SQL注入 弱口令 命令注入 信息泄露.木星安全實驗室-工控小組工控漏洞挖掘國外-國內工控廠商部分WEB漏洞工控漏洞挖掘 工程師站、操作員站網絡端 DOS攻擊 中間人攻擊 協議校驗繞過 啟停攻擊 服務端攻擊 寄存器攻擊 C

12、PU存儲器清除 木星安全實驗室-工控小組工控漏洞挖掘工控漏洞挖掘環境木星安全實驗室-工控小組工控漏洞挖掘 工控安全漏洞挖掘需要的技能如下：會自動化工程師技能會電工技能會PC逆向安全技能會WEB滲透師技能會移動端安全技能會協議分析師技能會嵌入式安全技能.PART 04工控安全防護工控安全防護誤區：工業控制系統是與外界隔離的 沒有人會攻擊工業控制系統 黑客不懂工控協議和系統，系統非常安全 單向通信可以保證100%的安全工控安全防護工控系統防御必須具有全球性視角1、各國網軍不斷擴大，對抗升級2、明間黑客組織水平的不斷提升3、背后巨大的商業利益驅動4、針對工業控制網絡的恐怖襲擊 工控安全對抗形式：工控

13、安全防護工業控制系統防護要點：用戶與帳號管理 授權和訪問控制 邊界保護 系統監控管理 系統資源管理 身份認證 文件與數據保護 入侵檢測 惡意代碼防護 系統安全增強 網絡安全審計工控安全防護流量日志操作員站應用服務器數據庫服務器PLC/RTU工業交換機工程師站 工業系統可用性監控：工控安全防護 工業系統行為監控：安全事件運維行為異常行為攻擊告警惡意行為協議異常工控安全防護強調隔離縱深防御工業控制系統持續性防御體系以功為守的戰略物理隔離的變種，隔離背后是脆弱的，現代高端持續性攻擊都是針對隔離系統的由傳統信息安全廠商提出的，大多數項目演變為信息安全產品的簡單堆砌，網關、網閘已不能完全適應工業網絡安全的特點適應工業控制網絡的特點，通過基礎硬件創新來實現，低延時，高可靠，可定制化，持續更新，簡單化的實施和操作等以美國、以色列為代表，在國家層面注重攻擊技術的研究、實驗、突破和攻防演示實驗的建設，以攻擊技術的提高，帶動防御技術的提高，以攻擊威懾力換取安全性 工控防護演變過程：