新闻动态

News information

拒绝“佛系”，护佑PLC网络安全

<<返回

2024年06月27日 16:00

当今工业领域，PLC（可编程逻辑控制器）和 HMI（人机界面）的性能不断飞跃，为生产带来了前所未有的高效与便捷。然而，在这一片欣欣向荣的背后，网络安全的短板却日益凸显，成为了工业控制系统的潜在威胁。



过去，工业自动化项目的设计重点主要聚焦于设备功能的可靠性与适用性，这无可厚非。但如今，随着智能自动化设备广泛接入有线和无线连接，最终用户对设备数据的渴求日益强烈，这些接口的网络安全瞬间成为了重中之重。尽管 PLC 和 HMI 的能力持续攀升，但网络安全方面的进展却未能跟上步伐。要提升网络安全水平，不仅要在PLC/HMI的硬件和软件上下功夫，还需转变工程师和最终用户的行为习惯。可以想见，在未来很长一段时间内，PLC和HMI仍将是工业控制系统的核心支柱，并且会不断进化。这就要求设计师和最终用户在选择自动化平台时，将网络安全功能置于核心位置，并积极倡导以网络安全为导向的正确行为。

曾经，PLC、HMI等相关设备依赖于所谓的“隐秘网络安全”和“Air Gap”（物理隔离），那时的网络入侵现象相对较少。传统的自动化设备采用专有网络和协议，工厂车间与外界的联系十分有限，这种物理网络安全手段曾被认为万无一失。

图片


但在现代，自动化设备纷纷配备了有线以太网、Wi-Fi 等连接方式，部分用户误以为这些专用系统依然坚不可摧。然而，随着网络攻击的频率和危害程度与日俱增，事实证明这些系统的安全性并非想象中那么可靠。并非所有的攻击者都只是为了窃取数据或掌控系统，有些恶意黑客甚至企图通过破坏运营或损毁设备来达到目的。无论何种情况，都对设备和人员安全构成了巨大威胁，绝不能掉以轻心。技术的发展让商业以太网在工业级设备中的应用变得经济实惠，但同时也使得生产系统、商业网络、基于云的资源与网络犯罪分子之间的联系更为紧密。本地自动化的设计者往往难以全面洞悉这些系统在面对外部威胁时的脆弱之处。

PLC网络安全的另一个严峻挑战源自内部。通常，网络安全问题会通过受到病毒感染的台式计算机，在向PLC下载软件或打补丁的过程中，或通过USB、智能手机、类似的轻型设备以及私人设备（如 iPad）等，以或隐或显的方式被引入。实际上，绝大多数针对PLC的网络攻击都是经由内部直接或间接引入的。

和其他类型的计算机系统相同，针对 PLC 的网络攻击可能以破坏其可信性、完整性、可用性，或者这些特性的任意组合为目标。攻击的施行往往着眼于 PLC 自身的细节（包括硬件、逻辑和固件），以及为后续攻击 PLC 所准备的恶意程序。举例来说，某种间谍软件能够远程安装在工程工作站、编程设备或人机界面上，也能够通过 USB 或本地 PLC 上的软件更新被引入。新一代的网络攻击，也被称作高级持续威胁（advanced persistent threats，APTs），一般会首先利用间谍软件下载额外的恶意软件，随后借助它建立从 PLC 或工程站到 I/O 的连接。例如在震网病毒 Stuxnet 攻击中便是如此操作的，这是隐形 APT 的关键构成部分。

在工业界备受关注的 PLC 攻击病毒


1.接入互联网的远程存取攻击；
2.广为人知的震网病毒 Stuxnet，也就是 PLC 蠕虫；
3.具有破坏性的有效载荷攻击；
4.难以察觉的直接攻击 PLC I/O 的根程序病毒包 rootkit，亦称 PLC 鬼魂。


六方云针对PLC防护建议


端到端的加密保护。全新的 PLC 应当支持并应用端到端加密技术，涵盖 PLC 与编程环境、其他以太网设备以及外部客户端和嵌入式网络服务器之间的所有通信。编程软件也要具备相应措施，方便管理员在需要外部访问时管理网络安全证书。可惜的是，由于加密与处理器相关，许多老旧 PLC 无法实现此功能，这就迫使设计师选用最新的 PLC。若实在无法避免使用老旧 PLC，就必须将其置于隔离网络或防火墙之后，六方云工业防火墙通过四级工控流量和工业协议深度解析与访问控制机制，全方位保护PLC设备的安全性，防止恶意指令及不可信设备对PLC逻辑的非法修改。

图片


严格的用户名/密码管理。这是 PLC 必须内置的重要功能，要坚决杜绝用户在配置 PLC 时使用默认密码。在实际操作中，不少用户嫌麻烦，要么禁用密码保护，要么保留默认值，导致保护效果大打折扣。关键在于，用户必须转变思维，像重视公司电脑的安全一样重视 PLC 的保护。

精细的访问控制和端口管理。这涉及到对通信协议的配置、端口的重新分配以及指定可访问 PLC 的 IP 地址。相较于灵活多变的商业网络，OT 网络的通信架构通常较为稳定，这为有针对性地分配访问权限提供了便利。关闭未使用的以太网端口，采用不常见的端口，能有效增加恶意访问者的入侵难度。在配置软件中，默认关闭未使用端口是明智之举，这样既能缩小攻击面，又无需用户额外操作来保护设备。但用户在需要增加连接性时，必须谨慎决策。六方云工业防火墙采用工业白名单规则策略能够对访问PLC的上位机进行严格限制，从源IP、目的IP、目的端口、传输协议等方面只允许可信的设备与PLC进行通信。

图片
有效的活动审计。在无法完全杜绝网络入侵的现实情况下，活动审计已成为早期发现问题的关键手段。查看访问活动日志，及时发现未经授权的事件并采取防范措施，能有效避免成为网络安全事件的受害者。传统PLC在这方面的功能十分薄弱，而现代 PLC 正在逐步具备审计功能，使用户能够追踪访问记录、时间和 IP 地址。

通过严格的物理隔离。禁止不同区不同域间的违规通信，阻止病毒入侵，使得病毒等攻击风险只能存在于其最初进入的位置而不扩散；如不能采取物理隔离，则需要通过部署工业防火墙、安全域等逻辑隔离手段提高其安全防护能力。

增强在遭受攻击后的追踪溯源和应急处置能力。企业应建立完善的日志和监控措施，用以识别攻击类型以及重构事件。监控的能力不仅应包含工业控制环境中的敏感信息和关键基础设施部分，还应扩展到应用程序、操作系统和网络级别。六方云工业审计与入侵检测系统以资产为视角，通过与PLC交互的流量识别操作行为，并对流量、异常行为、攻击行为、入侵检测、工业应用和会话等日志进行留存，方便进行安全事件的应急响应。同时，六方云工业审计与入侵检测系统利用人工智能技术对同类日志进行聚合，方便运维人员及时关注高危风险。

图片

图片


如今，在多数制造业和关键基础设施领域，PLC 作为自动化系统的中流砥柱，发挥着关键作用，并将在未来继续担当重任。传统模式受限于当时的技术，在网络安全功能方面存在明显不足。在当下和未来的运行环境中，任何新建或改造的 PLC 项目，都应从设计之初就将网络安全功能纳入考量，切不可等到工程结束后才亡羊补牢。完备的网络安全应当作为基础设施，实现 OT 与 IT 的无缝融合，保障数据从工厂车间向管理层的安全传输。先进的 PLC 制造商必须履行职责，仔细核查支持以太网的 PLC 是否符合最新的网络安全标准，及时修复任何潜在漏洞。精心设计且安全可靠的 PLC 硬件和软件，不仅能为终端用户减轻负担，还有助于安全系统的配置与管理。合适的技术将引领用户朝着更安全、更稳定的方向迈进。