摘 要：文章對智能電網(wǎng)環(huán)境下，工控系統(tǒng)可能面臨的信息安全威脅進行了分析，重點對嵌入式終端設(shè)備安全性進行分析，并指出了相應(yīng)的防護方法。

關(guān)鍵詞：工控系統(tǒng)；信息安全；嵌入式設(shè)備；智能終端

1 概述

隨著信息化新技術(shù)在電網(wǎng)中廣泛的使用，智能終端的接入數(shù)量和接入方式不斷增多，在給用戶帶來便利的同時，也引入了大量安全風(fēng)險和新的挑戰(zhàn)，工控系統(tǒng)面臨的網(wǎng)絡(luò)安全威脅和風(fēng)險也日益突出，所以開展智能電網(wǎng)環(huán)境下，工控系統(tǒng)信息安全防護研究迫在眉睫。

2 系統(tǒng)簡介

用電信息采集智能終端和配電自動化終端在系統(tǒng)組成上基本一致，典型的電力配用電智能設(shè)備的組成從結(jié)構(gòu)上可分為三層：物理層、系統(tǒng)層、業(yè)務(wù)層。

終端設(shè)備一般由相關(guān)的物理硬件及其配套的軟件構(gòu)成，軟件部分可分為系統(tǒng)層和業(yè)務(wù)層兩個層次。配用電智能設(shè)備的安全運行必須保障這些主要組成部分的安全性，一旦某一層次出現(xiàn)安全問題，都會造成整個設(shè)備運行出現(xiàn)異常。

3 安全威脅分析

智能電網(wǎng)重要特點就是要求計算設(shè)備隨時聯(lián)網(wǎng)，網(wǎng)絡(luò)化使得攻擊者可以隨時發(fā)起攻擊；另外一方面，隨著集成電路等工業(yè)技術(shù)的提高，嵌入式系統(tǒng)越來越智能化，這也給攻擊者植入病毒、木馬帶來了便利。近年來，在國內(nèi)外由于嵌入式系統(tǒng)造成的電力系統(tǒng)事故屢有發(fā)生，比如有著名的伊朗Stuxnet震網(wǎng)病毒事件，該病毒專門針對PLC設(shè)備攻擊，通過修改PLC來改變工業(yè)生產(chǎn)控制系統(tǒng)的行為，一度導(dǎo)致伊朗核電站推遲發(fā)電。

下面分別對物理層、系統(tǒng)層、業(yè)務(wù)層進行說明。

3.1 物理層

物理層提供了系統(tǒng)運行的物理環(huán)境，為上層業(yè)務(wù)功能的實現(xiàn)提供了直接計算環(huán)境，包括CPU、主板、存儲器、電源等，其一般MCU方式實現(xiàn)，在體系結(jié)構(gòu)上主要以ARM為主，存儲器一般采用容量較小的FLASH。

（1）外圍接口脆弱性。外圍接口包括人機接口、通訊接口、控制/采集接口等，人機接口一般為按鍵、顯示屏、開關(guān)等方式，提供管理人員對設(shè)備配置和控制功能；通訊接口包括RS232、RS485、載波、光纖、無線等方式，主要用于配用電智能設(shè)備與外界進行通訊；控制/采集接口采用電路方式與被控制的電力設(shè)備連接，用于采集電力設(shè)備的工作狀態(tài)以及發(fā)送控制電信號。應(yīng)對方法，根據(jù)具體工作環(huán)境加強物理保護裝置外殼、物理鎖等物理保護裝置。

（2）外設(shè)接入脆弱性。終端設(shè)備安裝位置多在用戶側(cè)或外人很容易接觸的地方，如果沒有對U盤等存儲介質(zhì)的使用進行有效管理，會導(dǎo)致病毒傳播問題；如果系統(tǒng)的管理維護中沒有到達一定安全基線的筆記本電腦接入到系統(tǒng)，也有可能會對系統(tǒng)的安全造成很大的威脅。應(yīng)對方法，對外設(shè)進行嚴格的控制。通過技術(shù)及管理手段實現(xiàn)移動存儲介質(zhì)、軟件黑白名單、網(wǎng)絡(luò)準入控制、安全配置管理等。

3.2 系統(tǒng)層

電力配用電智能設(shè)備一般采用專用嵌入式操作系統(tǒng)，目前采用的嵌入式操作系統(tǒng)包括嵌入式LINUX、VXWORKS等，這些系統(tǒng)一般經(jīng)過裁剪，能夠與底層專用硬件對接，并去掉了不需要的功能。但為了方便設(shè)備管理操作，開啟了一些自帶的系統(tǒng)服務(wù)，一般包括Telnet、FTP、HTTP等服務(wù)。在系統(tǒng)層主要面臨以下風(fēng)險。

（1）操作系統(tǒng)脆弱性。終端設(shè)備操作系統(tǒng)多基于vxworks、linux等，某些操作系統(tǒng)版本存在已知的安全漏洞。如Vxworks WDB漏洞，如果編譯選項中包含了INCLUDE_WDB和ICLUDE_DEBUG，則會默認打開WDB調(diào)試功能，提供讀寫內(nèi)存和執(zhí)行函數(shù)的功能。允許攻擊者通過WDB調(diào)試端口（UDP17185）讀寫內(nèi)存、執(zhí)行函數(shù)或使系統(tǒng)重啟。但由于考慮到系統(tǒng)兼容性問題、系統(tǒng)重啟等風(fēng)險，所以設(shè)備安裝后系統(tǒng)不打補丁、帶病運行的情況是很常見的。應(yīng)對方法是在保證系統(tǒng)安全的前提下及時更新操作系統(tǒng)補丁。

（2）病毒防護脆弱性。終端設(shè)備的操作系統(tǒng)基于存儲容量、性能和兼容性考慮，通常不安裝殺毒軟件，有感染病毒與惡意代碼的風(fēng)險。但隨著現(xiàn)代工業(yè)與互聯(lián)網(wǎng)融合加深，工控系統(tǒng)由傳統(tǒng)的相對封閉轉(zhuǎn)向開放，即使有些系統(tǒng)仍相對孤立封閉，但是通過U盤擺渡等方式，仍然存在遭受病毒、木馬攻擊的可能性。應(yīng)對方法，在接入的主機上安裝防病毒軟件并定期更新補丁等。

（3）FTP攻擊。FTP攻擊分為弱口令漏洞攻擊和FTP服務(wù)器的溢出。FTP弱口令指開啟了FTP的匿名登錄功能，或系統(tǒng)口令的長度太短或者復(fù)雜度不夠。FTP弱口令漏洞可能造成包括系統(tǒng)配置，證書等敏感信息泄露。使用時應(yīng)對時應(yīng)禁用FTP匿名登錄，并且設(shè)置復(fù)雜密碼。FTP服務(wù)器的溢出漏洞指當(dāng)用戶成功登錄系統(tǒng)，F(xiàn)TP服務(wù)器處理命令時缺少正確的邊界檢查，攻擊者可以構(gòu)造特殊的請求數(shù)據(jù)，觸發(fā)緩沖區(qū)溢出，以FTP進程權(quán)限在系統(tǒng)上執(zhí)行任意代碼。應(yīng)對時應(yīng)跟蹤漏洞庫信息，及時更新漏洞補丁。

3.3 業(yè)務(wù)層

業(yè)務(wù)層實現(xiàn)了具體的業(yè)務(wù)功能，主要包括：業(yè)務(wù)系統(tǒng)：提供了具體的業(yè)務(wù)處理功能，能夠通過專用標準規(guī)約與主站進行通訊，能夠采集電力設(shè)備運行狀態(tài)和進行控制指令的執(zhí)行；管理系統(tǒng)：提供了配置管理功能，包括命令行、WEB、遠程等多種管理方式；數(shù)據(jù)存儲：包括小型文件數(shù)據(jù)庫、配置文件、數(shù)據(jù)文件等內(nèi)容。

（1）SQL注入。SQL注入是一種最常見的Web漏洞，實現(xiàn)方式就是用戶在輸入的字符串中增加SQL命令，程序沒有很好的對用戶輸入的合法性進行判斷或者處理不當(dāng)，那么這些注入進去的SQL命令就會被數(shù)據(jù)庫當(dāng)作正常的SQL命令運行，而不是按照設(shè)計者本意去執(zhí)行SQL語句。通過構(gòu)造巧妙的SQL語句，用戶可以獲得敏感數(shù)據(jù)或者控制整個服務(wù)器。

（2）跨站攻擊。跨站攻擊指的是當(dāng)Web程序?qū)τ脩糨斎脒^濾不足時，攻擊者通過在輸入中插入HTML和JavaScript腳本，可以在某個頁面里插入惡意HTML代碼，其他合法用戶通過瀏覽器訪問該頁面時，注入的腳本將被解釋執(zhí)行。相對于其他的攻擊，跨站漏洞的目標是應(yīng)用程序的用戶，而不是直接針對服務(wù)器。

（3）代碼注入。代碼注入同樣是由于程序缺乏對用戶輸入的過濾造成的。攻擊者在發(fā)送給應(yīng)用程序的數(shù)據(jù)中注入代碼，導(dǎo)致了代碼執(zhí)行。以上幾種注入攻擊比較難以發(fā)現(xiàn)，它們表面看起來跟正常的Web頁面訪問沒什么區(qū)別，所以可以順利通過防火墻的檢查。但通過以下方法可以有效防御：不要信任用戶的輸入，對用戶的輸入進行校驗，轉(zhuǎn)義特殊字符；運行數(shù)據(jù)庫和Web服務(wù)時應(yīng)使用較低權(quán)限用戶；敏感數(shù)據(jù)不要使用明文存儲；對原始錯誤信息進行封裝；采取WAF防火墻。

（4）越權(quán)訪問是指在遠程維護與控制電力終端設(shè)備時，需通過管理員賬戶驗證登錄WEB客戶端。WEB客戶端中每一項控制命令、參數(shù)設(shè)置都對應(yīng)一個頁面鏈接。在操作過程中可能出現(xiàn)通過輸入頁面地址直接實現(xiàn)相應(yīng)的控制命令或參數(shù)設(shè)置，從而繞過管理員賬戶驗證，獲得管理員權(quán)限，并直接對電力終端設(shè)備進行操作控制、參數(shù)篡改、數(shù)據(jù)竊取等攻擊。理清程序訪問控制邏輯，判斷訪問頁面的用戶是否具有適當(dāng)?shù)臋?quán)限。

4 結(jié)束語

近年來，隨著電網(wǎng)信息化建設(shè)發(fā)展，工控系統(tǒng)安全防護體系逐步完善，按照“安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向認證”的原則，對電力生產(chǎn)控制系統(tǒng)的邊界采取了有效的安全防護措施及縱深防御策略。但是，隨著工業(yè)控制系統(tǒng)和設(shè)備中新的漏洞、后門等脆弱性信息的發(fā)現(xiàn)和披露，電網(wǎng)工業(yè)控制系統(tǒng)面臨如APT等更加隱蔽的攻擊風(fēng)險。確保工控系統(tǒng)信息安全對提高企業(yè)信息安全整體水平、保證用戶的用電安全具有非常重要的意義。

作者簡介：張偉（1977，09-），男，漢族，河南省鄭州市中原區(qū)，本科，工程師，國網(wǎng)河南省電力公司電力科學(xué)研究院信息安全技術(shù)督查室專責(zé)，從事信息安全研究工作。