2020年，“新基建”一詞再次火熱，工業(yè)互聯(lián)網(wǎng)作為新基建的七大領(lǐng)域之一， 受到了更多關(guān)注。今年兩會(huì)，工業(yè)互聯(lián)網(wǎng)連續(xù)第四年被寫入了政府工作報(bào)告。未來三年，可以預(yù)見工業(yè)互聯(lián)網(wǎng)將進(jìn)入快速成長期。

　　工業(yè)互聯(lián)網(wǎng)和我們每個(gè)人并不是全無干系，現(xiàn)代生活很大程度上依賴于工業(yè)互聯(lián)網(wǎng)。水處理廠、電力公司、通信企業(yè)等都離不開SCADA系統(tǒng)（數(shù)據(jù)采集與監(jiān)視控制系統(tǒng)），如果它們的網(wǎng)絡(luò)遭到攻擊和破壞，將影響個(gè)人生活，企業(yè)乃至國家的正常運(yùn)轉(zhuǎn)。

　　工控安全事件層出不窮

　　然而，工業(yè)互聯(lián)網(wǎng)中的設(shè)備和協(xié)議對網(wǎng)絡(luò)攻擊基本不設(shè)防，工業(yè)通信協(xié)議也大都是明文協(xié)議，這就導(dǎo)致攻擊者更容易入侵網(wǎng)絡(luò)。

　　2019年，委內(nèi)瑞拉最大發(fā)電廠遭到攻擊，全國停電；

　　2020年，以色列水利基礎(chǔ)設(shè)施遭到攻擊，緊急更改所有聯(lián)網(wǎng)系統(tǒng)的口令；

　　2021年，美國能源系統(tǒng)遭到有史以來最嚴(yán)重的攻擊，美國政府宣布進(jìn)入國家緊急狀態(tài)……

　　層出不窮的工控安全事件，為工業(yè)網(wǎng)絡(luò)安全敲響了警鐘。

　　工控網(wǎng)絡(luò)遭到攻擊的主要原因

　　早期，工控系統(tǒng)都是專網(wǎng)專用。但隨著工業(yè)互聯(lián)網(wǎng)的發(fā)展，信息化帶來的便利超出預(yù)期，暴露在網(wǎng)絡(luò)上的SCADA系統(tǒng)越來越多，其中不乏能源、交通等重要行業(yè)。

　　大部分SCADA系統(tǒng)是早期開發(fā)的，存在著許多漏洞。當(dāng)能夠通過公網(wǎng)直接訪問這些SCADA系統(tǒng)時(shí)，也打開了網(wǎng)絡(luò)入侵的大門。

　　1、SCADA系統(tǒng)的暴露數(shù)量持續(xù)增長

　　在網(wǎng)絡(luò)空間安全搜索引擎FOFA上，可以搜索到大量暴露在公網(wǎng)上的SCADA系統(tǒng)，近一年的搜索結(jié)果就達(dá)5萬余個(gè)。

　　管理人員在安全方面不夠敏感，為了便利性或業(yè)務(wù)需要將SCADA系統(tǒng)直接映射到公網(wǎng)。攻擊者可以通過爬蟲、網(wǎng)絡(luò)掃描器等掃描到這些系統(tǒng)，通常使用弱口令破解登錄。

　　在FOFA上搜索到大量SCADA系統(tǒng)

　　2、SCADA系統(tǒng)具有Web訪問入口

　　SCADA系統(tǒng)一般是應(yīng)用程序，部分具有Web管理界面，同時(shí)也有Web漏洞。常見的Web漏洞如SQL注入、XSS、CSRF等，都可能出現(xiàn)在SCADA系統(tǒng)的Web管理界面中，被攻擊者利用從而滲透進(jìn)入系統(tǒng)。

　　某SCADA系統(tǒng)存在SQL注入漏洞

　　3、SCADA系統(tǒng)與PLC通信協(xié)議未加密

　　SCADA系統(tǒng)對PLC的訪問不需要認(rèn)證，攻擊者可以修改報(bào)文后，進(jìn)行重放攻擊。

　　例如，S7 communication是西門子專有協(xié)議，S7協(xié)議被封裝在TPKT和COTP協(xié)議中，這使得PDU（協(xié)議數(shù)據(jù)單元）能夠通過TCP傳送，實(shí)現(xiàn)從SCADA系統(tǒng)訪問PLC數(shù)據(jù)及診斷的目的。

　　S7以太網(wǎng)協(xié)議基于OSI模型

　　第五層TPKT介于TCP和COTP之間，是一個(gè)傳輸服務(wù)協(xié)議，主要用于在COTP和TCP之間建立橋梁。第六層COTP以Packet為基本單位傳輸數(shù)據(jù)，接收方會(huì)得到與發(fā)送方相同邊界的數(shù)據(jù)。第七層S7與用戶數(shù)據(jù)相關(guān)，對PLC數(shù)據(jù)的讀取和控制指令在這里完成。

　　因此，TPKT和COTP主要用于鑒權(quán)，一般不發(fā)生改變。如果把S7的功能碼解析出來，就可以對PLC進(jìn)行控制。

　　解析功能碼

　　在公開信息中可以找到其他功能碼，并通過重放腳本進(jìn)行重放攻擊，即模擬SCADA系統(tǒng)向PLC發(fā)包，對PLC進(jìn)行控制。

　　工業(yè)互聯(lián)網(wǎng)背后的安全力量

　　工業(yè)互聯(lián)網(wǎng)打破了傳統(tǒng)工控系統(tǒng)的封閉格局，暴露出了以上這些安全問題。面向工業(yè)互聯(lián)網(wǎng)場景，【安博通(688168)、股吧】下一代防火墻產(chǎn)品已成為“智”造背后的安全力量。

　　1、資產(chǎn)清點(diǎn)發(fā)現(xiàn)，縮小公網(wǎng)暴露面

　　安博通下一代防火墻采用主動(dòng)掃描和監(jiān)控主機(jī)流量的方式，識別網(wǎng)絡(luò)中的資產(chǎn)信息，包括PC、交換機(jī)、SCADA系統(tǒng)、PLC設(shè)備、HMI人機(jī)交互等。幫助管理人員掌握內(nèi)網(wǎng)中的資產(chǎn)情況，識別潛在風(fēng)險(xiǎn)，減少未知開放服務(wù)。

　　2、WAF級別的Web安全防護(hù)

　　對于暴露在互聯(lián)網(wǎng)上的SCADA系統(tǒng)，在IT到OT這個(gè)網(wǎng)絡(luò)轉(zhuǎn)換的中間地帶，安博通下一代防火墻可以提供WAF級別的Web安全防護(hù)，攔截SCADA系統(tǒng)的請求。

　　以資產(chǎn)和攻擊者維度關(guān)聯(lián)安全事件，將攻擊過程階段化、具體化和可視化，為事后回溯提供數(shù)據(jù)支撐?？匆姽粽呷肭至四男﹥?nèi)網(wǎng)主機(jī)，看清被影響范圍和受損情況。

　　不同維度的攻擊鏈分析

　　3、精準(zhǔn)識別工控通信協(xié)議

　　工業(yè)互聯(lián)網(wǎng)中設(shè)備類型豐富，多數(shù)采用私有協(xié)議進(jìn)行通傳統(tǒng)防火墻對工控協(xié)議的識別能力較弱。為滿足工控行業(yè)的合規(guī)要求，安博通下一代防火墻通過自主研發(fā)的深度數(shù)據(jù)包解析引擎，能夠檢測主流廠商的工控協(xié)議并發(fā)現(xiàn)工控設(shè)備。

　　產(chǎn)品應(yīng)用白名單機(jī)制保護(hù)SCADA系統(tǒng)與PLC之間的通信和控制，實(shí)現(xiàn)對主流工控協(xié)議內(nèi)容的深度報(bào)文解析和精準(zhǔn)識別，包括OPC、Modbus、Opcode、IEC104、DNP3、S7等協(xié)議。

　　工業(yè)互聯(lián)網(wǎng)將為“智”造行業(yè)構(gòu)建通四方、行無阻的“高速公路”，成為工業(yè)經(jīng)濟(jì)高質(zhì)量發(fā)展的助推力。安博通堅(jiān)持以原創(chuàng)技術(shù)做場景創(chuàng)新，成為工業(yè)數(shù)字化背后的安全力量。