行業概述

自來水廠的自動化生產，主要是指使用工業控制系統檢測現場水質狀況、控制工藝設備運行（如加藥設備、水泵機組、機組電氣柜等），實現對現場實時數據采集與上傳，工藝電控設備的順序、條件、計時、計數控制、PID調節控制等功能，并按照工藝要求依次完成混凝反應、沉淀處理、過濾處理、濾后消毒、加壓供水等環節，最終將純凈衛生的自來水可靠地送入千家萬戶的過程。

安全隱患與關鍵設備

自來水生產供給行業最大的安全隱患在于自來水的輸、配送管網線路鋪設范圍廣，通常采用大量的GPRS無線通訊方式進行管網狀況的數據傳輸，傳輸的數據不加密，傳輸的報文容易被截獲，從而給非法入侵提供了可乘之機。其次，水務行業大多時成套系統，生產設備與控制系統配套使用，嚴重依賴國外的產品與技術，部分控制系統存在安全漏洞與固有后門，一旦被黑客利用，后果不堪設想。

典型安全事件

據英國《每日郵報》11月21日報道，美國基礎設施控制體系專家稱，黑客通過一臺位于俄羅斯的電腦入侵了美國伊利諾伊州斯普林菲爾德市（Springfield）的公共供水網絡系統，毀掉了一個向數千戶家庭供水的水泵。這是國外黑客首次瞄準美國工業設施網絡監控系統。黑客從一家軟件公司獲得授權信息，竊取用戶姓名和密碼，約在9月初開始侵入伊利諾伊州首府斯普林菲爾德以西一處農村地區水利控制系統，頻繁開關一個水泵，直至11月8日馬達報廢，公司職員才發現水泵的監控與數據采集系統異常。這次攻擊事件表明，這家美國公司的“監控和數據采集系統”（SCADA）軟件系統存在漏洞。這種軟件也在核電站、天然氣管道、水壩和火車運行、鉆油平臺等關鍵設施中使用。

典型的攻擊方式

遠程控制攻擊

攻擊者利用別人的計算機隱藏他們真實的IP地址后，尋找在企業內網中且聯接外網的目標主機，通過使用掃描器工具，獲取目標主機操作系統、帳戶、WWW、FTP、Telnet 、SMTP等服務器程式版本等資料，為入侵作好充分的準備。進而利用社會工程學、工具和漏洞對賬號進行破解，通過FTP、Telnet等工具利用系統漏洞進入目標主機系統獲得控制權之后，清除記錄并留下后門，以便日后可以再次進入系統。通過類似手法層層向下滲透，直到基礎控制層，最終直接控制DCS系統控制器，造成生產破壞、生產數據和工藝流程數據被泄露。

U盤攻擊

典型的U盤攻擊主要有三種：

1）USB RUBBER DUCKY：簡稱USB橡皮鴨，是最早的按鍵注入工具，通過嵌入式開發板實現，后來發展成為一個完全成熟的商業化按鍵注入攻擊平臺。它的原理是將USB設備模擬成為鍵盤，讓電腦識別成為鍵盤，然后進行腳本模擬按鍵進行攻擊。

2）TEENSY：TEENSY是攻擊者在定制攻擊設備時，向USB設備中置入一個攻擊芯片，此攻擊芯片是一個非常小而且功能完整的單片機開發系統。通過TEENSY可以模擬出一個鍵盤和鼠標，當插入這個定制的USB設備時，電腦會識別成一個鍵盤，利用設備中的微處理器與存儲空間和編程進去的攻擊代碼，就可以向主機發送控制命令，從而完全控制主機，無論自動播放是否開啟，都可以成功。

3）Bad USB：最新出現的一種攻擊手段，不需要進行硬件定制，更具有普遍性。通過對U盤的固件進行逆向重新編程，改寫了U盤的操作系統進行攻擊。惡意代碼存在于U盤的固件中，由于PC上的殺毒軟件無法訪問到U盤存放固件的區域，因此也就意味著普通殺毒軟件和U盤格式化都無法應對BadUSB進行攻擊。

U盤的入侵攻擊通常會給上位機和控制器植入病毒，造成數據泄露和文件丟失，導致現場生產異常等情況。

中間人攻擊

中間人攻擊（Man-in-the-MiddleAttack，簡稱“MITM攻擊”）是一種“間接”的入侵攻擊，這種攻擊模式是通過各種技術手段將受入侵者控制的計算機放置在網絡連接中的兩臺通信計算機或上位機與DCS系統控制器之間。當兩者通訊時其實由中間人計算機進行轉發，中間人不僅可以監聽兩者通訊的內容，甚至可以偽造通訊信息轉發給雙方，對雙方進行欺騙從而達到自己的目的。中間人攻擊會造成數據泄露、現場上傳數據與實際數據不符等情況。

水坑攻擊

水坑攻擊是指黑客通過分析企業內部人員的網絡活動規律，尋找被攻擊者經常訪問的網站的弱點，例如工控論壇或供應商網站。先攻下該網站并植入攻擊代碼，等待被攻擊者來訪時實施攻擊。一旦被攻擊用戶訪問了事先被植入攻擊代碼的網站，并將帶木馬的文件或軟件安裝到現場主機上，木馬病毒就會一邊采集現場數據一邊將信息加密并傳輸到C&C服務器上。

拓撲結構

安全審計設計

建立專門針對本廠的三中網安智能監測審計平臺，可以實現以下目標：

（1）可以提供整個控制網絡的總體運行情況，自動識別網絡設備，顯示網絡設備當前狀態，進行網絡性能綜合分析。?

（2）針對工業控制系統重要的網絡節點或區域，監測所有數據包，并對數據包進行深度解析，發現異常或非法操作數據包，分析是否有外界入侵或人員誤操作，并對所有異常情況發出報警，提醒現場操作人員。?

（3）對網絡中存在的所有活動提供行為審計、內容審計，產生完整記錄便于事件追溯。?

入侵防范設計

針對于工業控制系統設備的專業防護，三中網安工控智能監測審計平臺為工業控制網絡提供了全方位的綜合防御與保護，并且完整覆蓋了工業控制系統整個漫長的生命周期。?

智能監測審計平臺能夠保障DCS控制器安全，根據自帶的漏洞特征庫，智能識別出自來水廠控制系統網絡中由于惡意入侵、系統故障、人員誤操作所引起的異常控制行為和非法數據包，及時對其進行告警和阻斷，并能為后續的安全威脅排查提供依據。?

互聯接口安全功能設計

數據采集隔離平臺是針對工控系統在數據采集過程中進行數據交換時遇到的安全難題，并結合自來水廠的工業控制系統現狀，進行開放式全方位綜合防御及保護的平臺。數據采集隔離平臺可對自來水廠大規模的無線數據采集及與調度中心通訊過程中可能遇到的數據泄露、病毒入侵等威脅提供全方位的監測、過濾、報警和阻斷。?

上位機安全防護

工業控制系統內的上位機和服務器一般具有下列顯著特征：運行時間長；操作系統版本控制混亂；因為不能聯網而無法進行補丁升級操作；U盤、USB硬盤等便攜式可插拔存儲設備無法嚴格管理；運維人員對主機內后臺運行的程序不甚了解；沒有安裝專業的工控防病毒軟件，無法檢測主機是否存在病毒威脅。正是這些嚴重威脅工業控制系統整體安全的問題，導致系統內的主機成為攻擊者最佳攻擊跳板。??

“工控安全衛士”是三中網安依托技術優勢，充分研究、吸收工控網絡安全攻防技術的前沿成果，專門為工控主機提供的一款防護產品，實現對工控上位機與工控服務器全面的安全防護。將防護軟件安裝在所有上位機，即可實現對工業控制系統主機進行防護的目的。?