中国能源、电力、交通、制造等重点行业已部署并运行大量工业控制系统。在国家工业互联网发展与数字化转型深入推进的背景下,作为工业控制系统核心部件的工业智能控制器正加速向云边协同开放架构演进。随着工业控制系统自动化与智能化水平的持续提升,广泛升级为具备联网能力的智能组件,在实现高效互联的同时,也使网络攻击暴露面显著扩大
[1]。
近年来,工业控制系统网络安全事件频发,典型案如西门子可编程逻辑控制器(programmable logic controller,PLC)受到攻击导致伊朗核电站瘫痪、乌克兰电力系统遭恶意操控引发大面积停电,以及美输油管道遭勒索病毒攻击导致停摆等
[2-3]。上述事件表明,当前工业控制系统面临的网络安全风险日益严峻,集中体现在以下三个方面:一是自主可控风险,工业智能控制器呈现多样异构、核心软硬件国产化率较低,单一技术依赖强,各层级漏洞防护难度较大,未知后门情况尚未完全掌握
[4];二是未知攻击防御风险,工业现场设备多采用扁平化混合组网,安全边界模糊;与此同时,网络攻击呈现出组织化与军事化特征,大量未知漏洞被挖掘,面向控制交互过程的未知攻击路径隐蔽、特征不明;三是持续稳定运行风险,云-边协同结构所带来的云边端故障相互影响,故障定位难;此外,企业层面攻防对抗人才严重不足,在面对高强度网络攻击及高级持续性威胁攻击(advanced persistent threat,APT)时,现有防护手段明显不足。
值得注意的是,当前针对工业控制系统网络安全防护手段普遍基于传统网络安全防护体系建立,如纵深网络安全防护体系。现有云-边协同工业控制系统安全防护并不完全匹配,工业控制系统云边协同响应、控制过程防护,关键组件内生安全等缺乏专门设计。近年来,国家相继出台了一系列法律法规与行业标准,对工业控制系统的安全运行能力提出了更高要求
[5-6]。学术界也积极探索新形势下的安全评估方法
[7-8]。孙彦斌等
[9]指出,在开放互联背景下,构建基于自主可控的新型工业控制系统防护体系是未来发展的必然趋势。王文海等
[10]则面向内网安全关键控制系统,提出了基于数字孪生技术的多维安全分析与验证方法。上述研究在工业控制系统逐步开放互联的趋势下提供了重要思路,并取得显著成果,但在安全模型系统性设计与防护机制有效性验证方面仍存在进一步完善空间。
鉴于传统网络安全模型不匹配,系统内生安全能力不足,以及云边协同响应等问题,现基于自主可控的设计理念,按照“支撑器件-设备-系统-评估”改进思路,尝试引入动态异构、多模裁决、四重化控制等关键内生安全技术对工业控制系统关键组件进行重新架构设计和实现,构建新型工业控制系统安全隔离网关,云边缘智能平台,最终实现云边协同新型工业控制系统智能防护系统的设计和落地实践。对设计的新型安全防护系统开展安全评估,按照真实石油石化生产场景搭建数字孪生测试平台,引入真实生产数据,采用网络安全有效性量化评估和攻击验证评估两方面开展测试,验证系统的先进性和有效性。以期为新形势下大型企业工业控制系统安全运行提供了一种可行且先进高效的方案。
1 工业控制系统特点
工业控制系统根据生产流程和工艺设计一般由多个独立的生产装置子系统及辅助设备设施构成
[11]。系统大量采用自动化生产分布式控制系统(distributed control system,DCS)、安全仪表系统(safety instrumented system,SIS)、PLC等子系统对生产装置运行参数进行监控和调整,各系统和装置单位相对独立设置。
工业控制系统一般可分为设备层、控制层、网络层、监控层
[12],控制层又可分为现场控制层和过程控制层。根据不同生产业务需要,还会进行更细的分层,如业务层。大部分系统采用星型网络结构部署,各成套装置及配套系统处于独立网络中运行。但为了实现管理监控等要求,生产装置的重要参数需要传输汇集。通常方式是建立一个外部接口,通过工程师站对象链接与嵌入的过程控制(ole for process control,OPC)上位机接入如生产信息化管理系统(manufacturing execution system,MES)、重大危险源监控平台等管理平台实现数据传输。随着云计算、物联网等技术的发展,为了提升自动化生产水平,工业控制系统网络架构也逐步向云边协同技术架构演进。随之而来的管理、技术和运营模式也在发生改变,新模式下网络安全平稳运行的风险亟待关注。例如石油石化工业控制系统典型架构如
图1所示。
2 工业控制系统内生安全设计
2.1 内生安全防护架构设计
云边协同工业控制系统相较于传统系统主要改变就是内部体系的解耦,利用云计算技术实现云、边、端三方的协同控制与交互。相较于传统架构,云边协同工业控制系统架构中通常会增加边缘智能型终端、分布式控制器、工业安全隔离网关、边缘智能控制平台等设备。针对云边协同工业控制系统特点,系统需具备深度融合、全面覆盖、高可用,高可靠、高可信等特点。目前工业控制系统设备国产化率较低,安全漏洞、未知漏洞等难以防范
[13]。这种情况下,采取“安全分区、网络专用、横向隔离、纵向认证、实时监测、终端可信”的纵深防御框架是主流。
面对当前不断演进的网络安全攻击手段,工业控制系统不仅需要抵御未知网络攻击、也要在复杂攻击环境下保持平稳运行。当前主流部署的网络安全防御措施主要基于网络安全纵深防御框架实施,相关框架对APT攻击、分布式拒绝服务攻击(distributed denial of service attack,DDOS)等防御效果比较差,本文设计思路是对系统关键技术、组件进行改进,融入自主可控的内生安全技术,设计新型云边协同工业控制系统的智能防护架构。通过关键设备和节点的自主设计,建立工控边界、工控网络以及工控主机的安全可信环境,实现内生安全赋能的全域防护和安全增强。
构建工业控制系统内生安全防御架构,在纵深防御架构体系基础上,一般从自主可控安全和新型工业控制安全防护体系两个方面进行改进升级
[14]。其中控制层、网络层、监控层是改进的重点,同时需要关注关键节点和设备的安全可靠性、冗余性、可信赖性。实现内生安全的工业控制系统防御架构的关键技术改进包括:按照“支撑器件-设备-系统-评估”的方法,改进关键设计分为3个主要方面,共10项子任务。改进任务和设计思路分别如
图2、
图3所示。
2.2 安全防护架构关键改进设计
普通办公网络的防护设计中,通常会将威胁发现、主动阻断、蜜罐诱捕等主动防护技术引入网络安全防护体系中
[15-17]。在工业控制系统场景中,构建自主可控的内生安全防护体系与常规网络安全防护体系不同,其存在安全稳定运行要求高,不易部署探测型、阻断型设备,网络协议相对封闭等特点,需要根据系统实际运行情况开展基于内生安全和可靠性理论的云边协同响应防御模型设计。设计应实现攻击主动规避,漏洞主动容忍,失效主动抑制的设计效果。将任务进行分解,重点需要完成关键支持器件如微控制单元(microcontroller unit,MCU)、控制模块的安全设计;内生安全设备的研发设计,如安全可编程控制器设计、安全型分布式控制器安全智能终端设计;以及边缘智能控制平台、工业安全隔离网关的设计,以及内生安全防御系统原型设计和实施。
2.2.1 安全可编程逻辑控制器改进设计
(1)技术改进——拟态MCU芯片设计。MCU是安全可编辑逻辑控制器的核心组件,传统MCU多为单一厂商的单核心或者双核心设计,存在故障无法无冗余切换,故障修复依赖某一厂商等特点,采用拟态MCU芯片
[18]的思路进行设计,如
图4所示,能够实现在某一或者两个品牌MCU故障情况下,仍然能够动态切换并继续保障设备运行。主要包括异构多核CPU子系统、轻量化拟态调度器子系统、总线及外设子系统、应用软件和IDE子系统。异构多核CPU子系统主要由3个相互独立的CPU子系统组成,构成了拟态MCU的大脑。每个CPU子系统均包含各自CPU指令集的内核、FLASH控制器模块、Flash memory、SRAM接口模块、SRAM memory、系统控制模块、看门狗和定时器模块等。3套CPU子系统相互独立,保证物理隔绝,最大程度地实现安全可靠。
(2)技术应用——安全型可编程逻辑控制器设计。安全型可编程逻辑控制器架构组成,如
图5所示。以拟态MCU芯片为核心,扩展对外接口,开展硬件平台设计;固件BIOS实现硬件初始化与检测、引导操作系统内核;以设备驱动层提供支持,开发及支持环境层集成内生安全多样化编译工具以及各种支持环境;构建固件代码、实时数据、控制运算、通信互联等全生命周期安全环境,打造指令级多余度表决、异构执行体调度、异常执行体清洗、随机化特征编译、创新多样化编译及等价异构程序编码等多种安全防护模块,为整个可编程逻辑控制器及系列应用安全部署、运行、更新等提供支撑。
2.2.2 安全型分布控制器改进设计
(1)技术改进——四重化控制模块设计。分布控制器(DCS)是相对封闭的工控子系统,目前还是以部署国外厂商的系统为主
[19]。设计了四重化控制模组用于替代传统的控制模组,将多个异构分布控制器进行结合,引入攻击裁决机制,实现安全型分布控制器改进设计。四重化分布控制器包括控制模块、控制模块配套底座、冗余安全通信模块、安全锁模块。控制模块1、控制模块2、FPGA1及相关外围器件构成控制模块1组;控制模块3、控制模块4、FPGA2及相关外围器件构成控制模块2组;4块控制模块两两之间通过QBus总线建立数据通信,控制模块1和控制模块2通过串行外设接口(serial peripheral interface,SPI)和FPGA1进行交互,控制模块3和控制模块4通过SPI和FPGA2进行交互;两块FPGA通过冗余数据通道进行通信。
每个控制模块都包括2路冗余SNet(监控网)和2路冗余CNet(控制网),其中SNet为百兆以太网,连接至外部交换机。控制模块组件通过冗余系统网络SNet实现与操作员站/工程师站的交互;通过CNet冗余控制网络实现与IO模块的通信。
控制模块组件是控制站的核心处理单元,执行以下安全和常规控制任务:①扫描输入模块的实时输入数据,并更新实时数据库数据,执行控制运算以实现应用逻辑;②更新数据库数据,并将实时数据库下发至输出模块,实现与其他安全控制站的安全通信;③对控制站进行安全诊断;④安全锁模块实现控制模块运行状态(运行态、运行编程态、编程态)切换的功能,冗余安全通信模块实现以下功能;⑤控制模块组件基地址设定功能,读取安全锁的信息。
(2)技术应用——安全型分布控制器。 安全型分布式控制器的核心处理单元是安全控制模块,执行以下安全控制任务:扫描读取数字量输入模块和模拟量输入模块的各通道安全表决实时数据;执行用户所编程生成的安全控制程序,安全控制程序应由经过认定的安全控制算法模块集及其算法链接关系构成;执行安全控制运算输出,并将实时输出数据送至数字量输出模块;协调处理控制站内部的综合诊断、控制计算、监控操作等;高可靠、高可用、高安全、强适应性设计,确保适用于各类复杂安全控制策略应用,如
图6所示。
2.2.3 工业安全隔离网关改进设计
云边协同工业控制系统中“网络分区分域,横向隔离,纵向认证、终端可信”的防护能力同样需要实现,工业安全隔离接入网关主要部署在安全型分布式控制系统的控制站和操作站之间,以及控制站和控制站之间,是实现安全隔离及认证能力的重要设备。本文工业安全隔离接入网关采用2+1分离式设计,由1个工业安全隔离接入网关底座、4个安全隔离接入模块及电源附件组成,通过摆渡模块的时分切换功能,断开两个网络安全域间直接的物理连接。4个安全隔离接入模块采用主备双路运行模式,实现了双机热备,负载均衡,部署方式如
图7所示。
2.2.4 拟态云边缘智能控制平台设计
按照“支撑器件-设备-系统-评估”的改进思路,在安全支持器件、安全改进设备基础上,需要构建云边缘设备的安全控制系统,从而形成整体的防御体系
[20-21]。引入拟态云技术
[22-23]改进边缘智能控制平台,将云平台提供的应用服务节点构成基于拟态防御技术的服务,使服务具备拟态构造所带来的内生安全特性。
引入基于多领域工程对象模型的控制工程设计开发平台,实现控制工程编程设计,控制流程图形化展示,控制算法封装,以及Modbs、Profibus DP等协议的驱动,通过开放规范的 OPC 客户端与服务器接口,构建分布式工程对象实时数据库,实现系统数据与外部设备数据的全局一致与统一接口,如
图8所示。
拟态云平台的重要组件及功能,具体如下。
(1)执行体部署。提供拟态应用的N异构执行体或N异构执行体镜像自动化部署能力。
(2)执行体调度。提供基于异构特征规则分类的应用服务异构执行体、应用服务异构执行体镜像的池管理。
(3)执行体监控。提供全局的执行体、拟态云容器和拟态虚拟机的资源状态视图。
(4)执行体重构。提供基于命令策略文件驱动的运行节点管理;提供拟态安全威胁的诊断、清洗和恢复以及状态告警能力。
(5)分布式分发表决服务。提供多并发应用服务分发表决需求的统一表决服务框架以及分发、表决服务器动态调度。
3 系统安全有效性验证
针对云边协同工业控制平台系统设计了加入内生安全元素的防御模型
[24],其目的是验证应对攻防视角下真实的网络安全攻击。在完成模型的设计和搭建后,需设计和开展对系统的安全有效性验证。2022年,国家市场监督管理总局与国家标准化管理委员会发布《信息安全技术 工业控制系统信息安全防护能力成熟度模型》(GB/T 41400—2022);2024年,工业和信息化部发布《工业控制系统网络安全防护指南》(工信部网安〔2024〕14号)。以前者作为基础依据开展安全有效性的量化评估,可明确工业控制系统安全评估的量化参考依据与核心内容;在此基础上,还需要从真实攻击视角出发,引入基于网络杀伤链(Cyber Kill Chain)、ATT&CK(adversarial tactics, techniques, and common know-ledge)知识库和OODA(observe-orient-decide-act)循环等评估措施来进行攻击验证评估,以确保系统的可靠性与先进性
[25-26]。
3.1 验证环境搭建
利用数字孪生技术与IO映射技术构建与生产环境1∶1的工业控制系统模型,基于历史数据进行修正
[27],形成闭环控制系统。仿真真实部署的石油石化生产场景各类别控制器,内含四重化异构DCS、安全型PLC等系统,工业安全隔离网关、边缘智能控制平台(VPX形式)等设备,根据需要配置电源、交换机等完成真实生产网络场景的部署。
3.2 验证方法
依据工业控制系统信息安全防护能力成熟度模型等相关国家标准,结合纵深防御系统评估常用的业界网络杀伤链、ATT&CK知识库和 OODA 来设计,评估设计包括安全有效性的量化评估和攻击验证评估两部分
[25,28-29]。安全量化评估主要通过系统的安全能力、功能、性能等指标评估系统的安全可靠性;攻击验证评估主要通过真实攻击靶场环境进行攻击场景还原,如
图9所示,开展漏洞攻击、策略验证、横向攻击等方式验证防御体系的有效性。
3.3 有效性量化评估
以《信息安全技术 工业控制系统信息安全防护能力成熟度模型》(GB/T 41400—2022)为基础,结合《信息安全技术 网络安全等级保护基本要求》(GB/T 22239—2019)及《关键信息基础设施安全保护条例》(中华人民共和国国务院令第745号)中的相关管理要求,本次针对实际部署的基于内生安全的云边协同工业控制系统开展安全有效性量化评估。除去部分物理环境、服务商保密管理等测试项目,通过11类27项评估内容(
表1)实施测评,评估结果表明,该系统各项设计与部署完全符合上述评估要求,能够满足国家对于工业控制系统安全防护的相关强制性及指导性要求。
3.4 攻击验证评估
按漏洞和威胁攻击、策略和权限突破、网络突破和横向攻击等核心技术指标来验证改进后安全防护系统在面对真实攻击时的防御效果。攻击验证评估表如
表2~
表4所示,可以看出,改进前防御体系无法抵御的未知漏洞武器攻击、入侵权限维持和提升、网络边界突破检测、内部横向攻击等均可以做出有效的响应,对目前安全防护评价体系下的攻击防御成功率超过99%。
4 结论
随着信息化与工业化深度融合的不断推进,工业控制系统正向自动化、智能化方向演进,其安全稳定运行直接关系到国家经济发展、社会安定与国家安全。面对工业控制系统日益严峻的网络安全威胁态势,国家对新时期工业控制系统自身防护能力和安全稳定运行提出了更高要求。针对工业控制系统核心组件国产化率偏低、运维难度大及新型未知攻击难以有效抵御等突出问题,提出一种面向工业控制系统的安全改进方案:在关键系统组件中引入基于拟态计算思想的MCU与四重化控制模组的内生安全设计;对安全支撑器件、安全工业网关及安全分布式控制器等关键设备进行自主化安全设计与实现。在此基础上,基于数字孪生生产环境完成关键设备的部署和替换,实现了基于内生安全的新型工业控制系统的安全防护设计和落地实施。测试结果表明,所设计方案在安全防护能力方面取得良好效果。在全面推进工业控制系统自主安全可控的背景下,仍有诸多关键技术与保障措施有待进一步研究与突破。
PDF
(11163KB)
