东方测控

行业企业市场标准科技新品会议展会政策原创

传统信息安全产品能否保证工控安全?

行业聚焦点中国仪表网2015年01月27日 13:20人气:4925

  【中国仪表网 行业聚焦点】据调查,目前一些工业控制系统以安装传统防火墙产品来防卫工控安全。但实践证明,工业控制系统部署传统信息安全产品无法解决工控安全问题。
  

 
  从2010年针对伊朗核工厂的Stuxnet病毒,到2014年席卷欧洲的Havex病毒,针对工业控制系统的网络攻击越演越烈,工业控制系统迫切需要得到安全防护。那么,把传统信息安全产品如防火墙、反病毒软件、IDS/IPS,部署到工业控制系统中是不是就能解决其信息安全问题呢?答案是——不能!
  
  实践证明传统信息安全产品不能解决工业控制系统的安全问题
  
  通过现场调研时发现,一些工业控制系统的网络中,已经有部署传统的防火墙产品,在工作站上也有安装杀毒软件产品。但是,传统的防火墙在保护OPC服务器时,由于不支持OPC协议的动态端口开放,不得不允许OPC客户端和OPC服务器之间大范围内的任意端口号的TCP连接,因此防火墙提供的安全保障被降至最低,从而很容易受到恶意软件和其他安全威胁的攻击。而反病毒软件,通常因得不到及时更新,导致失去了对主流病毒、恶意代码的防护能力。现场调研的另一个发现,是工业控制系统的系统漏洞,不能像IT系统一样,得到及时的漏洞修复,大量漏洞长期存在。
  
  综上所述,传统信息安全产品(如防火墙、反病毒软件)及传统信息安全的管理方法(如漏洞及时修复)并不适用于工业控制系统,不能解决其信息安全问题。
  
  为什么传统信息安全产品/方法不适用于工业控制系统
  
  传统信息安全产品/方法不适用于工业控制系统,是由于工业控制系统相对于IT信息系统的有其独特差异性,而传统信息安全产品是针对IT信息系统的需求开发的。工业控制系统相对于IT信息系统的差异,在信息安全需求方面主要体现有:
  
  工业控制系统以“可用性”为第一安全需求,而IT信息系统以“机密性”为第一安全需求。在信息安全的三个属性(机密性、完整性、可用性)中,IT信息系统的优先顺序是机密性、完整性、可用性,而工业控制系统则是可用性、完整性、机密性。这一差异,导致工业控制系统中的信息安全产品,必须从软硬件设计上达到更高的可靠性,例如硬件要求无风扇设计(风扇平均无故障时间不到3年)。另外,导致传统信息安全产品的“故障关闭”原则如防火墙故障则断开内外网的网络连接,不适用于工业控制系统,工业控制系统的需求是防火墙故障时保证网络畅通。
  
  工业控制系统不能接受频繁的升级更新操作,而IT信息系统通常能够接受频繁的升级更新操作。这对依赖一个黑名单库来提供防护能力的信息安全产品(例如:反病毒软件,IDS/IPS)是一个严峻的挑战。
  
  工业控制系统对报文时延很敏感,而IT信息系统通常强调高吞吐量。在网络报文处理的性能指标(吞吐量、并发连接数、连接速率、时延)中,IT信息系统强调吞吐量、并发连接数、连接速率,对时延要求不太高(通常几百微秒);而工业控制系统对时延要求高,某些应用场景要求时延在几十微秒内,对吞吐量、并发连接数、连接速率往往要求不高。这一差异,导致工业控制系统中的信息安全产品,必须从CPU选型、软硬件架构上做到低时延,这对当前一些基于x86CPU及开源软件架构的信息安全产品是一个严峻挑战。
  
  工业控制系统基于工业控制协议(例如,OPC、Modbus、DNP3、S7),而IT信息系统基于IT通信协议(例如,HTTP、FTP、SMTP、TELNET)。虽然,现在主流工业控制系统已经广泛采用工业以太技术,基于IP/TCP/UDP通信,但是应用层协议是不同的,这就要求信息安全产品必须支持工业控制协议(例如,OPC、Modbus、DNP3、S7),否则就会出现上面提到的为了支持OPCClassic服务而放开大量TCP端口的问题。
  
  工业控制系统的工业现场环境恶劣(如,野外零下几十度的低温、潮湿、高原、盐雾),而IT信息系统通常在恒温、恒湿的机房中。这就要求工业控制系统中的信息安全硬件产品,必须按照工业现场环境的要求专门设计硬件,做到全密闭、无风扇,支持﹣40℃~70℃等。
  
  所以,要想解决工业控制系统的信息安全问题,传统信息安全产品和解决方案并不是一剂对症良药,工业控制系统需要有一套为自己量身打造的信息安全产品,才能有效抵御工业系统面临的各种安全威胁,为客户带来工控安全防护的真正价值。
(本文来源:北京威努特技术有限公司CTO转载请注明出处
仪表网官方微信
@仪表网
已推荐
0

全年征稿 / 资讯合作

联系邮箱:ybzhan@QQ.com
  • 凡本网注明"来源:中国仪表网"的所有作品,版权均属于中国仪表网,转载请必须注明中国仪表网,http://www.ybzhan.cn/。违反者本网将追究相关法律责任。
  • 本网转载并注明自其它来源的作品,目的在于传递更多信息,并不代表本网赞同其观点或证实其内容的真实性,不承担此类作品侵权行为的直接责任及连带责任。其他媒体、网站或个人从本网转载时,必须保留本网注明的作品来源,并自负版权等法律责任。
  • 如涉及作品内容、版权等问题,请在作品发表之日起一周内与本网联系,否则视为放弃相关权利。
成丰仪表——中国第三代流量计领军品牌


返回首页
“双11”仪器仪表促销狂欢节
关闭