《工業控制網絡安全技術與實踐》一3.3.3 企業辦公網絡脆弱性分析

本文講的是<b>工業控制網絡安全技術與實踐一3.3.3　企業辦公網絡脆弱性分析</b>,随着國家工業化和資訊化兩化融合深入推進，傳統資訊技術廣泛應用到工業生産的各個環節，資訊化成為工業企業經營管理的正常手段。資訊化程序和工業化程序不再互相獨立進行，不再是單方的帶動和促進關系，而是兩者在技術、産品、管理等各個層面互相交融，彼此不可分割，傳統IT在工業控制系統的廣泛應用也勢必會給工業控制系統引入更多的安全風險。“震網”、“Duqu”、“火焰”等針對工控系統的網絡病毒漸漸為人們所知，工業控制網絡安全越來越受到各方的關注。對工業使用者而言，其根深蒂固的“實體隔離即絕對安全”的理念正在被慢慢颠覆。

在石油、化工企業中，随着ERP、CRM 以及OA等傳統資訊系統的廣泛使用，工業控制網絡和企業管理網絡的聯系越來越緊密，企業在提高公司營運效率、降低企業維護成本的同時，也随之帶來了更多的安全問題。

随着TCP/IP協定、OPC協定、PC和Windows作業系統等通用技術和通用軟硬體産品被廣泛地用于石油、化工等工業控制系統，随之而來的通信協定漏洞、裝置漏洞以及應用軟體漏洞問題日益突出。2010年發生的伊朗核電站“震網病毒”事件，就是同時利用了工控系統、Windows系統的多個漏洞。事件發生之後，大量高風險未公開漏洞通過地下經濟出賣或被某些國家/組織高價收購，并被利用來開發0day攻擊或進階持久威脅（Advanced Persistent Threat，APT）的攻擊技術，為未來可能的網絡對抗做準備。是以，現有高風險漏洞以及0day漏洞的新型攻擊已經成為網絡空間安全防護的新挑戰，而涉及國計民生的石油、石化、電力、交通、市政等行業的國家關鍵基礎設施及其工業控制系統，在工業化和資訊化日益融合的今天，将極大可能成為未來網絡戰的重要攻擊目标。

根據風險敏感程度和企業應用場景的不同，企業辦公網絡可能存在與外部網際網路通信的邊界；而企業辦公網絡資訊系統的通信需求主要來自使用者請求，多使用者、多種應用帶來了大量不規律的流量，也導緻了不同應用環境下通信流量的難以預測。一旦存在網際網路通信，就可能存在來自網際網路的安全威脅，例如，來自網際網路的網絡攻擊、僵屍木馬、病毒、拒絕服務攻擊、未授權的非法通路等。這時通常就需要具有較完備的安全邊界防護措施，如防火牆、嚴格的身份認證及準入控制機制等。

工業控制系統的監控及采集資料也需要被企業内部的系統或人員通路或進行資料處理。這樣在企業辦公網絡與工業控制系統的監控網絡，甚至現場網絡（總線層）之間就存在資訊通路路徑。由于工業控制系統通信協定的局限，在這些通路過程中多數情況并未能實作基本通路控制及認證機制，也同時存在裝置随意接入、非授權通路、越權通路等多種風險。

由于工業控制系統不像網際網路或與傳統企業IT網絡那樣備受黑客的關注，在2010年“震網”事件發生之前很少有黑客攻擊工業控制網絡的事件發生。工業控制系統在設計時也多考慮系統的可用性，普遍對安全性問題的考慮不足，更不用提制定完善的工業控制系統安全政策、管理制度以及對人員的安全意識培養了。“和平日久”造成人員的安全意識淡薄。而随着工控系統在國計民生中的重要性日益提高，以及IT通用協定和系統在工控系統的逐漸應用，人員安全意識薄弱将是造成工業控制系統安全風險的一個重要因素，特别是社會工程學相關的定向釣魚攻擊可能使重要崗位人員淪為外部威脅入侵的跳闆。

原文标題：工業控制網絡安全技術與實踐一3.3.3　企業辦公網絡脆弱性分析