工业控制系统安全

CorporateTechnology工业基础设施信息安全工业基础设施信息安全工业基础设施信息安全工业基础设施信息安全Copyright©SiemensLtd.China,CooperateTechnology2011.Allrightsreserved.西门子中国研究院西门子中国研究院西门子中国研究院西门子中国研究院信息安全部信息安全部信息安全部信息安全部Prof.Dr.唐文唐文唐文唐文内容内容内容内容二二二二一一一一工业基础设施安全分析工业基础设施安全分析工业基础设施安全分析工业基础设施安全分析信息安全的新战场信息安全的新战场信息安全的新战场信息安全的新战场－－－－工业基础设施工业基础设施工业基础设施工业基础设施Page2IT-Security,CTChinaDr.WenTangSiemensAnswers二二二二三三三三总结总结总结总结四四四四工业基础设施安全分析工业基础设施安全分析工业基础设施安全分析工业基础设施安全分析工业自动化系统构成了工业基础设施的核心工业自动化系统构成了工业基础设施的核心工业自动化系统构成了工业基础设施的核心工业自动化系统构成了工业基础设施的核心工业自动化技术工业自动化技术工业自动化技术工业自动化技术工业自动化是在产品制造与服务提供中采用控制系统与信息技术。目前，工业自动化在世界经济与日常生活中起到了越来越重要的作用。典型的工业自动化设施典型的工业自动化设施典型的工业自动化设施典型的工业自动化设施Page3IT-Security,CTChinaDr.WenTang越来越重要的作用。目前，工业自动化控制系统的作用已经远远超出了传统的制造领域，例如
曾非常普遍的接线员被电话交换机所替代
现在，借助于自动化系统能够更快速、更精准地执行筛选试验与实验分析等操作
自动应答系统大大减少了客户亲自到银行取款与办理业务的需要信息安全的新战场信息安全的新战场信息安全的新战场信息安全的新战场－－－－工业基础设施工业基础设施工业基础设施工业基础设施与传统的与传统的与传统的与传统的IT信息安全不同信息安全不同信息安全不同信息安全不同，，，，工业基础设施中工业基础设施中工业基础设施中工业基础设施中关键关键关键关键ICS系统的安全事件会导致系统的安全事件会导致系统的安全事件会导致系统的安全事件会导致：：：：
系统性能下降，影响系统可用性工业基础设施构成了我国国民经济工业基础设施构成了我国国民经济工业基础设施构成了我国国民经济工业基础设施构成了我国国民经济、、、、现代现代现代现代社会以及国家安全的重要基础社会以及国家安全的重要基础社会以及国家安全的重要基础社会以及国家安全的重要基础Page4IT-Security,CTChinaDr.WenTang
系统性能下降，影响系统可用性
关键控制数据被篡改或丧失
失去控制
环境灾难
人员伤亡
公司声誉受损
危及公众生活及国家安全
破坏基础设施
严重的经济损失等工业基础设施面临安全威胁工业基础设施面临安全威胁工业基础设施面临安全威胁工业基础设施面临安全威胁工业信息安全就是要为制造工厂与工业信息安全就是要为制造工厂与工业信息安全就是要为制造工厂与工业信息安全就是要为制造工厂与自动化系统提供安全防护自动化系统提供安全防护自动化系统提供安全防护自动化系统提供安全防护目前目前目前目前，，，，工业基础设施面临的安全威胁工业基础设施面临的安全威胁工业基础设施面临的安全威胁工业基础设施面临的安全威胁包括包括包括包括：：：：
窃取数据、配方等Page5IT-Security,CTChinaDr.WenTang
窃取数据、配方等
破坏制造工厂
由于病毒、恶意软件等导致的工厂停产
操纵数据或应用软件
对系统功能的未经授权的访问近年来近年来近年来近年来，，，，各种安全事件已经充分说明各种安全事件已经充分说明各种安全事件已经充分说明各种安全事件已经充分说明当前工业自动化控制系统存在着安全当前工业自动化控制系统存在着安全当前工业自动化控制系统存在着安全当前工业自动化控制系统存在着安全脆弱性脆弱性脆弱性脆弱性工业信息安全事件工业信息安全事件工业信息安全事件工业信息安全事件（（（（1））））-能源能源能源能源
1994年，美国亚利桑那州SaltRiverProject(SRP)被黑客入侵
2000年，俄罗斯政府声称黑客成功控制了世界上最大的天然气输送管道网络（属于GAzprom公司）
2001年，黑客侵入了监管加州多数电力传输系统的独立运营商Page6IT-Security,CTChinaDr.WenTang营商
2003年,美国俄亥俄州Davis-Besse的核电厂控制网络内的一台计算机被微软的SQLServer蠕虫所感染，导致其安全监控系统停机将近5小时
2003年，龙泉、政平、鹅城换流站控制系统发现病毒，外国工程师在系统调试中用笔记本电脑上网所致。
2008年，黑客劫持了南美洲某国的电网控制系统，敲诈该国政府，在遭到拒绝后，攻击并导致电力中断几分钟
2008年年年年，，，，在美国国土安全局的一次针对电力系统的渗透测在美国国土安全局的一次针对电力系统的渗透测在美国国土安全局的一次针对电力系统的渗透测在美国国土安全局的一次针对电力系统的渗透测试中试中试中试中，，，，一台发电机在其控制系统收到攻击后被物理损坏一台发电机在其控制系统收到攻击后被物理损坏一台发电机在其控制系统收到攻击后被物理损坏一台发电机在其控制系统收到攻击后被物理损坏（（（（video））））工业信息安全事件工业信息安全事件工业信息安全事件工业信息安全事件（（（（2））））-水利与水处理水利与水处理水利与水处理水利与水处理
2000年年年年，，，，一个工程师在应聘澳大利亚的一家污水处理厂被一个工程师在应聘澳大利亚的一家污水处理厂被一个工程师在应聘澳大利亚的一家污水处理厂被一个工程师在应聘澳大利亚的一家污水处理厂被多次拒绝后多次拒绝后多次拒绝后多次拒绝后，，，，远程侵入该厂的污水处理控制系统远程侵入该厂的污水处理控制系统远程侵入该厂的污水处理控制系统远程侵入该厂的污水处理控制系统，，，，恶意造恶意造恶意造恶意造成污水处理泵站的故障成污水处理泵站的故障成污水处理泵站的故障成污水处理泵站的故障，，，，导致超过导致超过导致超过导致超过1000立方米的污水被直立方米的污水被直立方米的污水被直立方米的污水被直接排入河流接排入河流接排入河流接排入河流，，，，导致严重的环境灾难导致严重的环境灾难导致严重的环境灾难导致严重的环境灾难
2006年，黑客从Internet攻破了美国哈里斯堡的一家污水处理厂的安全措施，在其系统内植入了能够影响污水操作的Page7IT-Security,CTChinaDr.WenTang理厂的安全措施，在其系统内植入了能够影响污水操作的恶意程序。
2007年，攻击者侵入加拿大的一个水利SCADA控制系统，通过安装恶意软件破坏了用于控制从Sacrmento河调水的控制计算机。工业信息安全事件工业信息安全事件工业信息安全事件工业信息安全事件（（（（3））））-交通交通交通交通
1997年，一个十几岁的少年侵入（纽约）NYNES系统，干扰了航空与地面通信，导致马萨诸塞州的Worcester机场关闭6个小时
2003年，CSX运输公司的计算机系统被病毒感染，导致华盛顿特区的客货运输中断
2003年，19岁的AaronCaffrey侵入Houston渡口的计算机Page8IT-Security,CTChinaDr.WenTang
2003年，19岁的AaronCaffrey侵入Houston渡口的计算机系统，导致该系统停机
2008年年年年，，，，一少年攻击了波兰一少年攻击了波兰一少年攻击了波兰一少年攻击了波兰Lodz的城铁系统的城铁系统的城铁系统的城铁系统，，，，用一个电用一个电用一个电用一个电视遥控器改变轨道扳道器视遥控器改变轨道扳道器视遥控器改变轨道扳道器视遥控器改变轨道扳道器，，，，导致导致导致导致4节车厢出轨节车厢出轨节车厢出轨节车厢出轨工业信息安全事件工业信息安全事件工业信息安全事件工业信息安全事件（（（（4））））-制造行业制造行业制造行业制造行业
1992年，一前雇员关闭了雪佛龙位于22个州的应急警报系统，直到一次紧急事件发生之后才被发现
2005年年年年，，，，在在在在Zotob蠕虫安全事件中蠕虫安全事件中蠕虫安全事件中蠕虫安全事件中，，，，尽管在尽管在尽管在尽管在Internet与企与企与企与企业网业网业网业网、、、、控制网之间部署了防火墙控制网之间部署了防火墙控制网之间部署了防火墙控制网之间部署了防火墙，，，，还是有还是有还是有还是有13个美国汽车厂个美国汽车厂个美国汽车厂个美国汽车厂由于被蠕虫感染而被迫关闭由于被蠕虫感染而被迫关闭由于被蠕虫感染而被迫关闭由于被蠕虫感染而被迫关闭，，，，50,000生产线工人被迫停止生产线工人被迫停止生产线工人被迫停止生产线工人被迫停止Page9IT-Security,CTChinaDr.WenTang50,000工作工作工作工作，，，，预计经济损失超过预计经济损失超过预计经济损失超过预计经济损失超过1,400,000美元美元美元美元
在2005年的InfraGard大会上，BCIT科学家EricByres声称在用普通的扫描器扫描某著名品牌PLC时导致其崩溃CaseStudy:Stuxnet“震网震网震网震网””””07.19.西门子官方发布关于木马的事故信息07.21.发布关于病毒的FAQ以及快速防范措施的建议07.22.发布木马检测工具以及SIMATIC系列产品的安全更新补丁07.15.西门子收到首个Stuxnet报告，并立即启动IndustryTaskForce07.19.西门子CERT成立应急响应小组，并开始分析病毒样本07.25.解密并提取病毒的PLC负载代码123123分析过程分析过程分析过程分析过程客户信息收集与解决措施发布客户信息收集与解决措施发布客户信息收集与解决措施发布客户信息收集与解决措施发布Page10IT-Security,CTChinaDr.WenTang品的安全更新补丁08.02.微软发布更新补丁，修补了安全漏洞09.17.公开发布完整的病毒分析报告至今仍在及时更新产品信息以及病毒感染状态08.16.掌握病毒的感染和传播机制、触发条件以及主要的PLC负载代码；结束初步分析阶段09.16.公开发布首个关于PLC负载代码的分析报告124545第一周第一周第一周第一周第二周第二周第二周第二周第三周第三周第三周第三周第四周第四周第四周第四周34512453Stuxnet原理与影响原理与影响原理与影响原理与影响
Stuxnet具有异常精巧的传播与感染机制•借助了4个0-daywindows漏洞•窃取了2个有效的软件证书•60000余行代码
制作该病毒需要非常丰富的SIMATIC编程及工业现场的专家知识Stuxnet分析分析分析分析影响影响影响影响0影响的西门子合法渠道客户数影响的西门子合法渠道客户数影响的西门子合法渠道客户数影响的西门子合法渠道客户数24被感染的安装被感染的安装被感染的安装被感染的安装SIMATIC的的的的PC数数数数10000感染普通感染普通感染普通感染普通PC数数数数Page11IT-Security,CTChinaDr.WenTang及工业现场的专家知识Source:SüddeutscheZeitungOnline,22.9.20100影响的西门子合法渠道客户数影响的西门子合法渠道客户数影响的西门子合法渠道客户数影响的西门子合法渠道客户数*)BSI:BundesamtfürSicherheitinderInformationstechnikStuxnet攻击目标攻击目标攻击目标攻击目标:WinCC服务器服务器服务器服务器Stuxnet概述概述概述概述Stuxnet编译模块病毒载体病毒载体病毒载体病毒载体
传播
目标选择
感染传播基于手工基于手工基于手工基于手工、、、、人工人工人工人工
可移动USB设备
U盘
被感染的SIMAICStep