摘 要：文章對智能電網(wǎng)環(huán)境下，工控系統(tǒng)可能面臨的信息安全威脅進行了分析，重點對嵌入式終端設備安全性進行分析，并指出了相應的防護方法。

關鍵詞：工控系統(tǒng)；信息安全；嵌入式設備；智能終端

1 概述

隨著信息化新技術在電網(wǎng)中廣泛的使用，智能終端的接入數(shù)量和接入方式不斷增多，在給用戶帶來便利的同時，也引入了大量安全風險和新的挑戰(zhàn)，工控系統(tǒng)面臨的網(wǎng)絡安全威脅和風險也日益突出，所以開展智能電網(wǎng)環(huán)境下，工控系統(tǒng)信息安全防護研究迫在眉睫。

2 系統(tǒng)簡介

用電信息采集智能終端和配電自動化終端在系統(tǒng)組成上基本一致，典型的電力配用電智能設備的組成從結構上可分為三層：物理層、系統(tǒng)層、業(yè)務層。

終端設備一般由相關的物理硬件及其配套的軟件構成，軟件部分可分為系統(tǒng)層和業(yè)務層兩個層次。配用電智能設備的安全運行必須保障這些主要組成部分的安全性，一旦某一層次出現(xiàn)安全問題，都會造成整個設備運行出現(xiàn)異常。

3 安全威脅分析

智能電網(wǎng)重要特點就是要求計算設備隨時聯(lián)網(wǎng)，網(wǎng)絡化使得攻擊者可以隨時發(fā)起攻擊；另外一方面，隨著集成電路等工業(yè)技術的提高，嵌入式系統(tǒng)越來越智能化，這也給攻擊者植入病毒、木馬帶來了便利。近年來，在國內外由于嵌入式系統(tǒng)造成的電力系統(tǒng)事故屢有發(fā)生，比如有著名的伊朗Stuxnet震網(wǎng)病毒事件，該病毒專門針對PLC設備攻擊，通過修改PLC來改變工業(yè)生產(chǎn)控制系統(tǒng)的行為，一度導致伊朗核電站推遲發(fā)電。

下面分別對物理層、系統(tǒng)層、業(yè)務層進行說明。

3.1 物理層

物理層提供了系統(tǒng)運行的物理環(huán)境，為上層業(yè)務功能的實現(xiàn)提供了直接計算環(huán)境，包括CPU、主板、存儲器、電源等，其一般MCU方式實現(xiàn)，在體系結構上主要以ARM為主，存儲器一般采用容量較小的FLASH。

（1）外圍接口脆弱性。外圍接口包括人機接口、通訊接口、控制/采集接口等，人機接口一般為按鍵、顯示屏、開關等方式，提供管理人員對設備配置和控制功能；通訊接口包括RS232、RS485、載波、光纖、無線等方式，主要用于配用電智能設備與外界進行通訊；控制/采集接口采用電路方式與被控制的電力設備連接，用于采集電力設備的工作狀態(tài)以及發(fā)送控制電信號。應對方法，根據(jù)具體工作環(huán)境加強物理保護裝置外殼、物理鎖等物理保護裝置。

（2）外設接入脆弱性。終端設備安裝位置多在用戶側或外人很容易接觸的地方，如果沒有對U盤等存儲介質的使用進行有效管理，會導致病毒傳播問題；如果系統(tǒng)的管理維護中沒有到達一定安全基線的筆記本電腦接入到系統(tǒng)，也有可能會對系統(tǒng)的安全造成很大的威脅。應對方法，對外設進行嚴格的控制。通過技術及管理手段實現(xiàn)移動存儲介質、軟件黑白名單、網(wǎng)絡準入控制、安全配置管理等。

3.2 系統(tǒng)層

電力配用電智能設備一般采用專用嵌入式操作系統(tǒng)，目前采用的嵌入式操作系統(tǒng)包括嵌入式LINUX、VXWORKS等，這些系統(tǒng)一般經(jīng)過裁剪，能夠與底層專用硬件對接，并去掉了不需要的功能。但為了方便設備管理操作，開啟了一些自帶的系統(tǒng)服務，一般包括Telnet、FTP、HTTP等服務。在系統(tǒng)層主要面臨以下風險。

（1）操作系統(tǒng)脆弱性。終端設備操作系統(tǒng)多基于vxworks、linux等，某些操作系統(tǒng)版本存在已知的安全漏洞。如Vxworks WDB漏洞，如果編譯選項中包含了INCLUDE_WDB和ICLUDE_DEBUG，則會默認打開WDB調試功能，提供讀寫內存和執(zhí)行函數(shù)的功能。允許攻擊者通過WDB調試端口（UDP17185）讀寫內存、執(zhí)行函數(shù)或使系統(tǒng)重啟。但由于考慮到系統(tǒng)兼容性問題、系統(tǒng)重啟等風險，所以設備安裝后系統(tǒng)不打補丁、帶病運行的情況是很常見的。應對方法是在保證系統(tǒng)安全的前提下及時更新操作系統(tǒng)補丁。

（2）病毒防護脆弱性。終端設備的操作系統(tǒng)基于存儲容量、性能和兼容性考慮，通常不安裝殺毒軟件，有感染病毒與惡意代碼的風險。但隨著現(xiàn)代工業(yè)與互聯(lián)網(wǎng)融合加深，工控系統(tǒng)由傳統(tǒng)的相對封閉轉向開放，即使有些系統(tǒng)仍相對孤立封閉，但是通過U盤擺渡等方式，仍然存在遭受病毒、木馬攻擊的可能性。應對方法，在接入的主機上安裝防病毒軟件并定期更新補丁等。

（3）FTP攻擊。FTP攻擊分為弱口令漏洞攻擊和FTP服務器的溢出。FTP弱口令指開啟了FTP的匿名登錄功能，或系統(tǒng)口令的長度太短或者復雜度不夠。FTP弱口令漏洞可能造成包括系統(tǒng)配置，證書等敏感信息泄露。使用時應對時應禁用FTP匿名登錄，并且設置復雜密碼。FTP服務器的溢出漏洞指當用戶成功登錄系統(tǒng)，F(xiàn)TP服務器處理命令時缺少正確的邊界檢查，攻擊者可以構造特殊的請求數(shù)據(jù)，觸發(fā)緩沖區(qū)溢出，以FTP進程權限在系統(tǒng)上執(zhí)行任意代碼。應對時應跟蹤漏洞庫信息，及時更新漏洞補丁。

3.3 業(yè)務層

業(yè)務層實現(xiàn)了具體的業(yè)務功能，主要包括：業(yè)務系統(tǒng)：提供了具體的業(yè)務處理功能，能夠通過專用標準規(guī)約與主站進行通訊，能夠采集電力設備運行狀態(tài)和進行控制指令的執(zhí)行；管理系統(tǒng)：提供了配置管理功能，包括命令行、WEB、遠程等多種管理方式；數(shù)據(jù)存儲：包括小型文件數(shù)據(jù)庫、配置文件、數(shù)據(jù)文件等內容。

（1）SQL注入。SQL注入是一種最常見的Web漏洞，實現(xiàn)方式就是用戶在輸入的字符串中增加SQL命令，程序沒有很好的對用戶輸入的合法性進行判斷或者處理不當，那么這些注入進去的SQL命令就會被數(shù)據(jù)庫當作正常的SQL命令運行，而不是按照設計者本意去執(zhí)行SQL語句。通過構造巧妙的SQL語句，用戶可以獲得敏感數(shù)據(jù)或者控制整個服務器。

（2）跨站攻擊?？缯竟糁傅氖钱擶eb程序對用戶輸入過濾不足時，攻擊者通過在輸入中插入HTML和JavaScript腳本，可以在某個頁面里插入惡意HTML代碼，其他合法用戶通過瀏覽器訪問該頁面時，注入的腳本將被解釋執(zhí)行。相對于其他的攻擊，跨站漏洞的目標是應用程序的用戶，而不是直接針對服務器。

（3）代碼注入。代碼注入同樣是由于程序缺乏對用戶輸入的過濾造成的。攻擊者在發(fā)送給應用程序的數(shù)據(jù)中注入代碼，導致了代碼執(zhí)行。以上幾種注入攻擊比較難以發(fā)現(xiàn)，它們表面看起來跟正常的Web頁面訪問沒什么區(qū)別，所以可以順利通過防火墻的檢查。但通過以下方法可以有效防御：不要信任用戶的輸入，對用戶的輸入進行校驗，轉義特殊字符；運行數(shù)據(jù)庫和Web服務時應使用較低權限用戶；敏感數(shù)據(jù)不要使用明文存儲；對原始錯誤信息進行封裝；采取WAF防火墻。

（4）越權訪問是指在遠程維護與控制電力終端設備時，需通過管理員賬戶驗證登錄WEB客戶端。WEB客戶端中每一項控制命令、參數(shù)設置都對應一個頁面鏈接。在操作過程中可能出現(xiàn)通過輸入頁面地址直接實現(xiàn)相應的控制命令或參數(shù)設置，從而繞過管理員賬戶驗證，獲得管理員權限，并直接對電力終端設備進行操作控制、參數(shù)篡改、數(shù)據(jù)竊取等攻擊。理清程序訪問控制邏輯，判斷訪問頁面的用戶是否具有適當?shù)臋嘞蕖?/p>

4 結束語

近年來，隨著電網(wǎng)信息化建設發(fā)展，工控系統(tǒng)安全防護體系逐步完善，按照“安全分區(qū)、網(wǎng)絡專用、橫向隔離、縱向認證”的原則，對電力生產(chǎn)控制系統(tǒng)的邊界采取了有效的安全防護措施及縱深防御策略。但是，隨著工業(yè)控制系統(tǒng)和設備中新的漏洞、后門等脆弱性信息的發(fā)現(xiàn)和披露，電網(wǎng)工業(yè)控制系統(tǒng)面臨如APT等更加隱蔽的攻擊風險。確保工控系統(tǒng)信息安全對提高企業(yè)信息安全整體水平、保證用戶的用電安全具有非常重要的意義。

作者簡介：張偉（1977，09-），男，漢族，河南省鄭州市中原區(qū)，本科，工程師，國網(wǎng)河南省電力公司電力科學研究院信息安全技術督查室專責，從事信息安全研究工作。