数字工厂智能制造工业物联网安全比工控安全更难更值得警醒

　　智能制造工业物联如火如荼，工控系统接入物联网是大势所趋，但笔者在研究一些工业物联网行业具体项目解决方案和相关产品时。发现工业互联网的安全隐患尚未引发业界足够的重视，本文介绍工控系统智慧升级上云方案的安全性，介绍工业物联网攻击的发展趋势，以期望能够引起业界重视和评判
　　智能化，傻瓜化，很多不设防的工业物联在黑客面前几乎裸奔、以黑客工具INCONTROLLER为例，就像一把＂多功能瑞士军刀＂，它能够扫描、破坏和控制工业系统。由于工业系统非常复杂，需要专业知识，INCONTROLLER在很大程度上降低了攻击者的攻击难度，其存在很可能让更多的人参与到对工业系统的攻击活动中。在工业系统中，采集生产环境中设备的数据并控制设备状态是工业系统的核心业务。使设备进入非预期状态、停机状态或直接损坏，非法控制设备的操作、篡改设备的配置、修改业务流程等行为，均属于对工业业务的攻击。根据攻击目标不同，针对工业业务的攻击可分为传感器攻击、控制器攻击、上位机攻击、服务器攻击四类。由于INCONTROLLER的多功能性，攻击目标可覆盖以上四种类型，若一旦被成功用于能源、化工，尤其是燃气和石油管道设施，后果将不堪设想。＂
　　智能制造工业物联如火如荼，工控系统接入物联网是大势所趋。 当前制造业正在由自动化为代表的工业3.0向智能化为代表的工业4.0迈进，在人口老龄化，用工成本上升的趋势下，为了维护我国制造业支柱地位，智能制造升级是必然方向。以PLC、DCS、SCADA为代表的工控系统软硬件是制造业转型的核心，国外厂商仍占据较大的市场份额，但国产替代已经开启。国家和各地方智能制造政策不断出台，推动工业互联网、智能制造转型升级。
　　工控系统联网上云之后，工控系统的安全至关重要。 全球各国政府已经将维护国家工业系统网络安全放在了首要地位，因为工业系统的网络安全是整个国家网络安全的基石，具有十分重要的战略地位。
　　根据Dragos2022年7月20日发布的最新工控安全报告，伪装成工控系统可编程逻辑控制器（ PLC ）、人机界面（ HMI ）和项目文档密码破解器的恶意软件生态系统的雏形已经浮出水面，黑客在网上兜售大量工控系统设备的密码破解软件，宣称可以帮助忘记密码的工控系统工程人员找回系统设备密码，但这些软件实际上是木马软件，被安装后会加载僵尸病毒，将工控设备变成僵尸网络的一部分。因为PLC上没有任何安全解决方案，此类攻击通常很难被检测到。而且，一旦设备被入侵，恶意代码可以驻留相当久的时间——因为PLC几乎不会被格式化。
　　工控系统主要由PLC、DCS、SCADA构成。 PLC是工控系统的重要基础， PLC、DCS与SCADA系统三者有融合的趋势。工业控制系统涵盖了数据采集与监控系统（ SCADA ） 、分布式控制系统（DCS）、可编程逻辑控制器（PLC）。PLC通常作为重要的底层控制部件应用在SCADA和DCS系统中，用于实现工业设备的具体操作与工艺控制。而SCADA侧重于各子系统数据监测，DCS则主要应用于流程工业，侧重于分散控制，也兼具了SCADA的功能。同时，随着工控自动化技术的进步，三者正呈现融合与集成的趋势。
　　中国工控系统市场外资唱主角，数字工厂和工业互联网之后国家安全隐患不得不引起重视 。2020年中国PLC硬件市场规模约112亿人民币，中国PLC市场，国外品牌占率近九成，主要以欧美系的西门子、罗克韦尔，以及日系的三菱、欧姆龙为主。目前本土品牌主要以提供小型PLC产品为主，大中型PLC基本被国外垄断，国产PLC替代空间极大。
　　以西门子 PLC为例，西门子 近些年来屡曝严重漏洞，研究人员已经演示过其中一些具破坏性的攻击。西门子控制器所用最新版 S7 协议确实采用了某些防御机制，包括加密消息完整性检查之类应保护通信不受恶意篡改的机制。然而，逆向工程了该协议之后，以色列研究人员成功开发出模仿 TIA Portal 的伪工程工作站，可与西门子 PLC 交互。只要能访问目标公司的网络和 PLC，攻击者便可以设置这样一个伪工作站。专家已证明，此类伪工程工作站可以向 S7-1500 PLC 发送指令，指示其启动或关闭。取决于控制器的用途，伪工程工作站可能造成很严重的危害。不仅如此，伪系统还可用于远程下载恶意控制逻辑程序到控制器上。在被描述为隐藏程序注入的攻击中，专家成功了下载了一段恶意程序到 PLC 上，同时躲过了工程师的视线。之所以能做到这一点，是因为程序下载消息中既包含程序的源代码，也包含将在 PLC 上运行的二进制（已编译）代码。攻击者可以分别修改这两种代码，让未编译代码保持原样——这部分代码将展示给工程师看，而对发送给控制器的已编译代码进行恶意修改。
　　2022年9月5日，国家计算机病毒应急处理中心和360公司分别发布了关于西北工业大学遭受美国国家安全局网络攻击的调查报告，美国国家安全局(NSA)下属的特定入侵行动办公室(TAO)使用了40余种不同的专属网络攻击武器，持续对西北工业大学开展攻击窃密，窃取该校关键网络设备配置、网管数据、运维数据等核心技术数据。据外交部发言人毛宁回应，攻击窃密行动窃取了一批核心技术数据 。
　　证据表明，美国国家安全局针对西北工业大学实施网络攻击和数据窃密的证据链清晰完整，是一盘精心布局、蓄谋已久、用心险恶的＂大棋＂。今年4月，西北工业大学报警称，发现一批以科研评审、答辩邀请和出国通知等为主题的钓鱼邮件，内含木马程序，引诱部分师生点击链接。部分教职工电脑也存在遭受网络攻击的痕迹。技术分析显示，攻击的发起方正是美国国家安全局！攻击过程使用的专业网络攻击武器包含了41种之多，分四种类型，先攻击突破，再持久控制，再潜伏窃取，最后消除痕迹，手段无比娴熟。更＂巧＂的是，54台跳板机和代理服务器分布在17个国家，其中70%位于中国周边国家，均非＂五眼联盟＂国家。
　　2022年4月13日，美国CISA、DOE、NSA和FBI多个机构发布了一份联合安全公告，披露了一个专门针对工业控制系统的攻击工具。Mandiant公司将其命名为＂INCONTROLLER＂，Dragos公司将其命名为＂PIPEDREAM＂，INCONTROLLER可以降低攻击者对工业知识的依赖，对多个行业的特定工业控制设备进行攻击，截止目前暂未发现任何组织被攻击或者感染。但是由于INCONTROLLER具备干扰、破坏或者潜在破坏工业过程的能力，所以还是会对拥有目标设备的工业组织构成严重的威胁。
　　智能制造升级，传统工控设备要在线化——沉淀数据，联通业务系统；智能化——基于数据分析的机床和设备养护维修。都需要新型支持远程联网的PLC设备。能够直接上网的PLC设备，或基于云端计算的软件PLC方案已经有具体的应用案例，传统国外PLC已经应用广泛，大量工程技术人员有相当的技术经验，技术迁移成本高，设备替换成本。
　　国产PLC替代可能不会一蹴而就，但会缓慢进行。在这个过程中，一些国产PLC网关设备厂商也迎来了巨大的发展机遇。PLC网关主要是解决原有PLC设备无法上网、无法上云，而SCADA系统又面临上云与其他MES系统ERP系统集成的问题。工业互联网时代，人人都有智能手机，也大大释放了工程维护与技术人员的束缚，远程维护、远程监控、远程诊断和更新工控设备，也可以大大节省工控人员的人力资源。以杭州领祺科技为代表的物联网通讯网关抓住机遇，面向国内工控领域大量PLC 存货缺乏统一通讯标准，设备部署时间久远，更新维护缺乏厂商支持等问题，研发制造了通用智慧PLC物联网网关产品，可以完美解决大量PLC设备的历史遗留问题。
　　工控系统上网上云，安全隐患的主要发生在哪几处？
　　透传物联网网关隐患大 。据透传网关,简称DTU，数据采集和自动控制都在服务器上实现，对服务器压力较大，且信息裸奔，完全不设防，是最大的安全隐患。某宝上热销的低价物联网网关、PLC网关，价格低廉，已经有很大的销售量，这种网关一旦应用到工业物联，将会产生很大的安全隐患。所谓透传，就是网关一端采集设备物联信息之后，以MQTT等互联网传输协议转发到上位机系统或云端系统，在这个传输过程中，信息完全可以被窃取，而且信息上传到云端之前，也缺乏信息审核和校验，很容易让伪造的设备信息灌入后端系统，由OT侵入IT系统。
　　某些云PLC网关有安全隐患，某些云PLC网关，后端云的安全本身一旦发生问题，远程固件升级下载PLC程序时，就会对工控系统造成损害。今年某东方大国（印度？）其东南小岛（斯里兰卡）电网系统遭受攻击，就与电力二次系统通讯设备联网并可以通过网络在线升级，给黑客攻击创造了便利良机。因此，加大对PLC网关厂商的安全升级，纳入工控通讯设备安全认证管理办法，刻不容缓。
　　一些打着支持联网的云PLC一体化设备也有同样的安全隐患。国际PLC设备龙头企业，看中智慧工厂物联网的发展趋势，推出新一代集成互联网接口和传输协议的PLC设备，可以直接上网。这类设备在部署应用后，因为与互联网直接相连，在遭受网络攻击时就完全无狙敌空间了。
　　软件PLC（SoftPLC，也称为软逻辑SoftLogic）是一种基于基于PC机开发结构的控制系统，它具有硬PLC在功能、可靠性、速度、故障查找等方面的特点，利用软件技术可以将标准的工业PC转换成全功能的PLC过程控制器。软件PLC综合了计算机和PLC的开关量控制、模拟量控制、数学运算、数值处理、网络通信、PID调节等功能，通过一个多任务控制内核，提供强大的指令集、快速而准确的扫描周期、可靠的操作和可连接各种I/O系统的及网络的开放式结构。纯软PLC虽然价格便宜，但对于IT人员更为熟悉，对IT技术精通的黑客来说，攻击也更为方便，因此需要更高的IT安全防范措施，企业需要具备专门的IT安全专业人员才适合此方案。
　　目前，国内一些大企业提出纯软件的PLC方案，位于云的PLC方案。并在一些大的制造厂中实验落地。这可能是未来PLC集中沉淀数据、获取数据智慧的一个发展方向。但其中的安全隐患在于PLC所寓居的云系统本身的安全性。云原生技术、容器技术和纵横加密机采用国家加密验证的加密机，是增加防护的必须手段。
　　对于广大中小制造型企业来说，在拥抱智慧工厂、设备物联的福利的同时，安全隐患不得不倍加小心。选择具有高安全性、高通用性，支持数据传输自定义各种等级加密协议的PLC网关是一个更合适的选择。以杭州领祺科技发布的全面支持OPC UA标准的PLC工业网关为例，这类PLC网关一般都要支持OPC UA标准，该标准具有平台无关性，内置各种安全等级的算法设定，可以嵌入国密安全算法。一般PLC网关采集传输协议只支持Modbus tcp协议，而Modbus协议由于没有加密算法，是黑客最容易下手的地方。这一安全方案，一方面可以保护数据，另外一方面可以在网关上增加加密机，有效隔离工控系统和远程互联网监控也许系统。对远程数据上传和远程升级功能的PLC网关，其中数据传输通道的安全和可信度也应受到严格的保障。
　　OPC UA安全性主要考虑：客户端和服务器的合法性，用户的合法性，客户端和服务器之间通信的一致性和机密性，功能发布的真实性。OPC UA安全性不指定包含了多种必需安全机制的环境。安全模型规范是非常重要的，但是它可能在特定条件下由系统的设计者来制定，也可能由其他标准来指定。
　　另外，OPC UA提供了一个安全模型，规范的第二部分给予了定义，安全方法可以针对给定设备进行选择和配置来满足其安全性需要。安全模型包括标准安全机制和参数。在某些情况下，用于交换安全参数的机制需要定义，但是运用这些参数的方法不用定义。框架也定义了所有UA服务器必须支持的最少安全功能子集，即使这个功能子集中的功能没有被用在所有设备中。规范的第七部分定义了安全性协议。
　　应用程序级的安全性依靠一个安全的通信通道，这个通信通道在应用程序会话过程中始终有效，并且保证所有被交换信息的完整性。这也就意味着用户在应用程序会话建立时进行一次认证就可以了，不需要第二次认证。规范的第四部分和第六部分定义了建立安全通道和应用程序会话的机制。
　　当一个会话建立时，客户端和服务器应用程序协商构造一个安全通信通道并且交换表明客户端和服务器身份的软件认证书还要交换各自所能提供功能的信息。OPC基金会发布的软件认证书显示了OPC UA中应用程序需要实现的基本要求，而且OPC UA认证标准贯彻到了每个协议中。规范的第七部分详细说明了每个协议和认证书的细节。由其他组织发行的认证也可能在会话建立期间进行交换。
　　会话建立之后，服务器会对用户身份进行鉴别，随后批准用户对服务器中对象访问的请求。诸如访问控制列表这样的授权机制，OPC UA规范没有给予详细说明。这些机制与特定的应用程序或系统有关。
　　在客户端和服务器审查日志可查的条件下，用户级安全性为安全审查记录提供支持。如果在服务器端检测到一个安全连接问题，与之关联的客户端将在其审查日志中添加相应条目。OPC UA也为服务器提供了产生审查事件通知的功能，审查事件通知可以向有能力处理和记录审查事件的客户端报告审查性的事件。OPC UA定义了标准审查参数，审查日志和审查事件通知都可以包含这些参数。规范的第五部分定义了这些参数的数据类型。并不是所有的服务器和客户端都提供所有的审查特性。规范第七部分的协议显示了所要支持的审查特性。
　　传输安全性. OPC UA安全性弥补了大部分网络服务可选平台上底层结构安全性的不足。传输级别上的安全性可以用来加密并标记消息。加密和标记技术防止了信息的泄露，保证了消息的完整性。用于在OPC UA应用程序之间传递消息的底层通信技术提供了加密功能。规范的第七部分定义了用于给定协议上的加密和标记方法。杭州领祺 智能PLC网关全面实现和支持OPC UA协议，内嵌OPC UA客户端，支持各种工控协议，提供各种级别的安全加密机制，增加了设备之间的互操作与集成的即联即用，同时内嵌OPC UA服务端，具备服务自动发现、互访寻址、安全穿越防火墙的隧道流等优势，从而让复杂工业环境下的智慧工厂的设备系统集成更加方便快捷、容易实施。
　　附：知识背景——生产控制类系统PLC、DCS和SCADA、PLC网关
　　工业控制系统（ ICS，Industrial control system ）是各式各样控制系统类型的总称，是由各种自动化控制组件以及对实时数据进行采集、监测的过程控制组件，共同构成的确保工业基础设施自动化运行、过程控制与监控的业务流程管控系统。
　　工业软件分为嵌入式软件（工业通信、汽车电子等）、研发设计类（CAX、PLM等）、生产制造类（MES、DCS等）、信息管理类(ERP、CRM等)。 而生产制造类软件主要包括：生产控制类（ PLC/DCS/SCADA ）和制造执行类 （ MES ）。
　　工业控制系统涵盖了多种类型的控制系统，包括数据采集与监控系统（ SCADA ） 、分布式控制系统（DCS）、可编程逻辑控制器（PLC）。在ISA-95企业管理系统与控制系统集成的五层系统中， PLC属于Level 1，而DCS属于Level 1 和Level 2，而SCADA则属于Level 2 。
　　PLC：工控系统中的重要底层控制部件
　　PLC（Programmable Logic Controller，可编程逻辑控制器）是一种以微处理器为基础，集合了计算机技术、自动控制技术和通讯技术的数字运算操作电子系统， 在其内部存储执行逻辑运算、顺序控制、定时、计数和算术运算等操作的指令，通过数字式或模拟式的输入输出来控制各种类型的机械设备或生产过程，可以将控制指令随时载入内存进行储存与执行。用户编制的控制程序表达了生产过程的工艺要求，将其存入PLC的用户程序存储器，运行时按存储程序的内容逐条执行，以完成工艺流程要求的操作。
　　PLC于上世纪60 年代末研制出应用于汽车制造业，PLC是从摸仿原继电器控制原理发展起来的，70年代的PLC只有开关量逻辑控制，所以被命名为可编程逻辑控制器。PLC具有适用范围广、可靠性高、编程简单、使用方便等特点。 PLC主要由CPU结构、存储器、I/O单元、电源模块、外部设备接口等部分组成。
　　PLC：工控系统中的重要底层控制部件（续）
　　PLC主要用于六大场景：（1）开关量控制；（2）模拟量控制；（3）运动控制；（4）数据采集；（5）信号监控；（6）联网和通讯
　　DCS：是流程工业控制系统的核心
　　DCS（Distributed Control System ，集散控制系统） 是以微处理器为基础，采用分散控制、集中显示、分而、综合协调的设计原则的新一代仪表控制系统。 DCS采用集中监控的方式协调本地控制器以执行整个生产过程，将各个分站进行数据交流和整合，完成满足客户需求的控制。
　　DCS是流程工业控制系统的核心，它采用控制分散、管理集中的设计思想，采用多层分级、合作自治的结构形式，主要应用于基于物理和化学变化生产、加工过程属于连续系统的流程工业领域。 DCS由输入输出模块、通信模块、控制器和人机界面组成，用于实现对生产过程的数据采集、控制和监视功能。
　　DCS主要由三站一线组成：工程师站、操作员站、现场控制站、系统网络。 工程师站对DCS进行离线的配置、组态工作和在线的系统监督、控制、维护的网络接点。操作员站一切与运行操作有关的人机界面功能的网络节点。现场控制站是DCS的核心，对现场I/O处理并实现直接数字控制（DDC）功能的网络节点。系统网络是连接系统各个站的桥梁，由于DCS是由各种不同功能的站组成的，这些站之间必须实现有效的数据传输，以实现系统总体的功能。
　　SCADA：重点在于数据采集与监控处理
　　SCADA:（Supervisory Control And Data Acquisition，监测控制和数据采集系统），是以计算机为基础的实时分布式系统，可对现场设备进行远程控制和监控，并为安全生产、调度、管理、优化和故障诊断提供依据。 SCADA系统的设计用来收集现场信息，将这些信息传输计算机系统，并且用图像或文本的形式显示这些信息。
　　SCADA系统重点突出数据采集和监控处理 。SCADA系统集成了数据采集系统、数据传输系统和HMI软件，以提供集中的监视和控制，以便进行过程的输入和输出。可以应用于电力、冶金、石油、化工、燃气、铁路等领域的数据采集与监视控制以及过程控制等诸多领域。
　　SCADA系统主要由监控中心、通讯系统和数据采集系统三部分组成。 上位机与下位机由通讯系统连接，上位机定位监控中心，主要负责监控，下位机主要由PLC、RTU、现场仪表、现场人机界面等组成 ，主要负责控制。
　　三者对比：PLC/DCS/SCADA
　　DCS与SCADA是一种控制＂系统＂，PLC只是一种控制＂装置＂ 。 在工业自动化和控制系统的结构中，PLC作为重要的底层控制部件，通常应用在SCADA和DCS系统中，用于实现工业设备的具体操作与工艺控制，PLC控制系统重要的基础。
　　DCS与SCADA 侧重点不同。 SCADA侧重于各子系统数据监测，SCADA主要用于控制点分散，比如天然气的长输管道、电力调度系统等等。 DCS侧重于分散控制，也兼具了SCADA的功能。基本上，在一些生产企业会包含3种系统，SCADA作为生产管理级上位监控，DCS实现复杂控制，而PLC实现单机及简单控制。
　　PLC通过网关联网后带来的价值
　　支持远程配置、升级、管理和监视：
　　可以节约人力资本，减少现场人员，异地的智力资源得到充分利用，位于异地的专家通过网络获得远程监控数据，进行集中会诊，在线分析处理，实现远程监控。
　　远程监控系统可以使异地的物质资源得到充分利用。通过该技术的使用，可以使异地物资资源的共享和远程实验得以实现。
　　管理人员使用远程监控系统，可以不必亲临恶劣的现场环境就可以对现场的工作情况进行监视，完成对参数的设置与调整，修复故障等。
　　远程监控系统的应用，可以实现现场运行数据的快速集中和实时采集，获得现场的监控数据，提供了远程故障诊断技术物质基础。