如何有效進(jìn)行SCADA系統(tǒng)的防護(hù)

　　目前，針對電路傳輸網(wǎng)絡(luò)的網(wǎng)絡(luò)威脅正在急劇升級，尤其是針對SCADA系統(tǒng)的攻擊行為，變得越來越普遍。想要抵御每一次“最先進(jìn)”的網(wǎng)絡(luò)攻擊，這幾乎是不可能實現(xiàn)的，所以“遏制”措施非常重要。

　　根據(jù)戴爾公司安全部門的一份最新報告，針對數(shù)據(jù)采集與監(jiān)視控制（SCADA）系統(tǒng)的網(wǎng)絡(luò)攻擊活動數(shù)量在去年增長了近一倍，而且相比于2012年，針對 SCADA系統(tǒng)的網(wǎng)絡(luò)攻擊活動數(shù)量增長了近六百個百分點。盡管這些數(shù)據(jù)是非常驚人的，但另一個關(guān)鍵的研究成果則更加的令人不安，物理破壞性的攻擊行為也變得越來越普遍了。實際上，在去年所有的網(wǎng)絡(luò)安全事件中，有25%的網(wǎng)絡(luò)攻擊是針對SCADA系統(tǒng)的，這些特定類型的攻擊能夠關(guān)閉工業(yè)系統(tǒng)中的機(jī)械設(shè)備，而且還有可能進(jìn)行破壞設(shè)備物理實體的操作。據(jù)研究人員推測，此類攻擊在接下來的幾個月內(nèi)，甚至在今后幾年的時間中，將會變的更加的嚴(yán)重。除此之外，美國將會成為世界上受此類攻擊影響最嚴(yán)重的第三個國家。美國國土安全部的工業(yè)控制系統(tǒng)網(wǎng)絡(luò)應(yīng)急響應(yīng)小組（ICS-CERT）也有相似的發(fā)現(xiàn)，他們發(fā)現(xiàn)針對工業(yè)關(guān)鍵基礎(chǔ)設(shè)施的攻擊活動正在不斷增長，能源行業(yè)是所有攻擊目標(biāo)中受此類型攻擊影響最為嚴(yán)重的（占所有攻擊活動的32%）。而且，拒絕服務(wù)（DoS）攻擊已經(jīng)變成了攻擊者的最愛了。

　　為什么這種復(fù)雜的攻擊現(xiàn)在變得越發(fā)的頻繁了？

　　主要是以下兩個原因：

　　首先是黑客，黑客與外國政府相互勾結(jié)，并進(jìn)行有組織的網(wǎng)絡(luò)犯罪。

　　其次，電力公司是所有群體中最主要的攻擊目標(biāo)，考慮到各種政治方面的因素，攻擊者能夠從攻擊中牟取暴利。

　　所以在接下來的幾年內(nèi)，此類攻擊將會變得愈加頻繁，產(chǎn)生的后果也將會變的越來越嚴(yán)重。

　　隱蔽攻擊（Stealthier attacks）：

　　電力公司的IT團(tuán)隊也許對“網(wǎng)絡(luò)釣魚”郵件和“僵尸網(wǎng)絡(luò)“最為熟悉了，因為這兩者最容易感染他們的網(wǎng)絡(luò)系統(tǒng)。然而，這些攻擊將會升級，然后變得更具復(fù)雜性，目的性和隱蔽性。通常情況下，各大組織機(jī)構(gòu)應(yīng)當(dāng)特別注意以下兩類攻擊：“跨站腳本攻擊”和“drive-by攻擊”。這兩種類型的攻擊均會使用合法的網(wǎng)站去入侵一家公司的內(nèi)部網(wǎng)絡(luò)，但我們在這里并不會給大家提供過多的技術(shù)細(xì)節(jié)。但這是怎么實現(xiàn)的呢？因為一個存在于合法網(wǎng)站（這些網(wǎng)站可以是一個著名的網(wǎng)站，一個新網(wǎng)站，也可以是某個技術(shù)論壇等。）中的漏洞可以允許攻擊者執(zhí)行惡意代碼，還可以在網(wǎng)站中植入惡意軟件，這樣就可以感染任何訪問這個網(wǎng)站的用戶了。“drive-by攻擊”所需的唯一條件就是需要一名公司員工去訪問這個受感染的網(wǎng)站。在跨站腳本攻擊之中，當(dāng)公司員工點擊了電子郵件中附帶的合法鏈接之后，便被成功感染了。

　　攻擊者也更傾向于攻擊一個公司員工家里的計算機(jī)系統(tǒng)。攻擊者可以盜取保存在家用個人電腦之中的用戶憑證，或者感染一個可移動媒體存儲設(shè)備（例如USB閃存驅(qū)動器），因為這名員工很有可能會將這些設(shè)備帶到他的工作場所。

　　破壞性惡意軟件（Destructive malware）：

　　惡意軟件也處于不斷地進(jìn)化之中，現(xiàn)在出現(xiàn)了更多破壞性十分強(qiáng)大的惡意軟件，這些惡意軟件是我們在之前從未見到過的。很多人也許會對“震網(wǎng)”這個名字比較熟悉，這是一個復(fù)雜的蠕蟲病毒，它是世界上首個專門針對工業(yè)控制系統(tǒng)編寫的破壞性病毒，目前已經(jīng)感染多個國家及地區(qū)的工業(yè)系統(tǒng)和個人用戶。當(dāng)然，還有很多其他種類的病毒，蠕蟲以及木馬也能夠禁用物理設(shè)備的部分功能。其中最重要的兩個部分是：“wipers”，它可以將一臺計算機(jī)或設(shè)備上的所有數(shù)據(jù)全部擦除，從而使得目標(biāo)設(shè)備完全無法使用；另一個是”加密型惡意軟件”，它不會刪除設(shè)備上的數(shù)據(jù)，而是采用幾乎無法破解的加密方法來將設(shè)備中的數(shù)據(jù)進(jìn)行加密。說的通俗一點，加密型的惡意軟件其目的就是為了“勒索”用戶。

　　拒絕服務(wù)（Denial of service）：

　　除了惡意軟件可以破壞工廠的日常運作之外，還有大量的web攻擊也能做到同樣的事情。兩種最常見的就是：“緩沖區(qū)溢出”，當(dāng)攻擊者對網(wǎng)絡(luò)進(jìn)行flood 攻擊時，便會造成網(wǎng)絡(luò)系統(tǒng)的癱瘓；還有一個是“分布式拒絕服務(wù)攻擊”，它會利用大量合理的服務(wù)請求來占用過多的服務(wù)資源，從而使合法用戶無法得到服務(wù)的響應(yīng)，進(jìn)而造成系統(tǒng)癱瘓?，F(xiàn)在的事實就是，你的工廠很容易受到這些類型的攻擊，根據(jù)國土安全部的報告，研究人員發(fā)現(xiàn)這些漏洞是工業(yè)設(shè)施中最常見的漏洞。

　　部署有效的防御措施（Developing an effectived efense）：

　　由于這些攻擊將會變的越來越復(fù)雜，那么對于公司的管理人員來說，在他們進(jìn)行積極的網(wǎng)絡(luò)防御過程中，將工作的重心集中到攻擊事件發(fā)生后的損失處理控制措施上才是更加重要的。

　　如果你想要抵御每一次“最先進(jìn)”的網(wǎng)絡(luò)攻擊，這幾乎是不可能實現(xiàn)的，所以“遏制”措施也是同等重要的。

　　可用的防御措施包括對過時的或者未打補(bǔ)丁的系統(tǒng)進(jìn)行安全審計，對個人工作站，網(wǎng)絡(luò)服務(wù)器，以及web應(yīng)用程序部署相應(yīng)的反病毒軟件等等。比如說，你的網(wǎng)絡(luò)中接入了運行WindowsXP或者WindowsServer2003操作系統(tǒng)的設(shè)備嗎？你的工業(yè)生產(chǎn)環(huán)境中還需要安裝現(xiàn)代防火墻，惡意軟件檢測工具，設(shè)置電子郵件白名單，并且設(shè)置能夠主動監(jiān)測可疑網(wǎng)絡(luò)活動（例如數(shù)據(jù)泄漏）的防火墻。禁止所有的可移動/便攜式媒體存儲設(shè)備進(jìn)入工作場所——這也就意味著，所有的USB閃存驅(qū)動器，智能手機(jī)，平板電腦等設(shè)備都不允許進(jìn)入工作場所。

　　發(fā)生安全事件之后的遏制措施也是至關(guān)重要的。你需要確保所有關(guān)鍵的工業(yè)系統(tǒng)都有空氣間隙系統(tǒng)。然后從其它領(lǐng)域的網(wǎng)絡(luò)系統(tǒng)中學(xué)習(xí)如何以最好的方式來對網(wǎng)絡(luò)進(jìn)行劃分。網(wǎng)絡(luò)分割是非常關(guān)鍵的，因為當(dāng)網(wǎng)絡(luò)中的一臺計算機(jī)受到感染的時候，它就無法感染整個網(wǎng)絡(luò)系統(tǒng)了。你也可疑采用一種“訪問控制”策略。單一的公司員工不應(yīng)該擁有過多的訪問公司數(shù)據(jù)，系統(tǒng)，以及關(guān)鍵業(yè)務(wù)的權(quán)限。與此同時，你也需要經(jīng)常查看你工業(yè)系統(tǒng)的程序日志記錄。這是非常重要的，因為任何的網(wǎng)絡(luò)事件都會被完整地記錄下來，以便于事件響應(yīng)小組去確定攻擊的類型以及攻擊所帶來的損失程度。