工控设备更新升级，网络就能安全？
颁布功夫 2018-08-13
随着“中国造作2025”以及工业4.0的急剧发展，工业化与信息化的融合趋向越来越显著，工业节造系统也在利用最新的推算机网络技术来提高系统间的集成、互联以及信息化治理水平。将来为了提逾越产效能和效益，工控网络会越来越盛开，而盛开带来的安全问题将成为造约两化融合以及工业4.0发展的沉要成分。
罗克韦尔节造器存多项严沉安全缝隙
2018年3月，思科Talos安全钻研团队发文指出罗克韦尔自动化公司的 Allen-Bradley MicroLogix 1400系列可编程逻辑节造器( PLC )中存在多项严沉安全缝隙，这些缝隙可用来提议回绝服务攻击、篡改设备的配置和梯形逻辑、写入或删除内存�？樯系氖莸�。
AB-MicroLogix 1400节造器是MicroLogix系列新的产品线，带有内置的仿照量输入、以太网通讯、更快的高快计数器、可调脉冲输出，专为扩大利用领域而设计，目前被宽泛利用与关键基础设施、食品出产加工行业、农业及水处置等行业的工业节造现场，用于节造电机、阀门等工业设备。
以下摘录了两个曝出的Allen-Bradley MicroLogix 1400 B 系列缝隙详情：
未经身份验证的数据/法式/职能文件接见节造缝隙不正确（TALOS-2017-0443 / CVE-2017-14462 – CVE-2017-14473）
该缝隙与受影响设备上的文件接见节造不当有关。该缝隙允许未经身份验证的攻击者对存储在设备上的文件执行读取和写入操作，这能够用于从受影响的设备中检索敏感信息（蕴含设备主密码）、批改设备设置或梯形图逻辑、或导致设备进入导致回绝服务前提的故障状态。
内存�？榇娲⒎ㄊ轿募慈敕煜叮═ALOS-2017-0444 / CVE-2017-12092）
该缝隙允许未经身份验证的远程攻击者将在线法式写入受影响设备上已装置的内存�？�。攻击者能够使用它来存储法式批改，直到设备沉新启动后能力生效。随后，攻击者能够将新存储的法式与“加载内存�？榈哪诖婷蟆鄙柚媒岷鲜褂美磁南低成柚�，从而导致启用的服务产生更改。
通过上述缝隙个性，我们发现，攻击者城市利用缝隙对节造器里面的梯形图法式进行批改和删除。
攻击方式如下：攻击T型图前，先通常PC接入PLC地点网络，利用缝隙向PLC发送获取梯形图指令剧本，获取PLC法式后，通过组态软将T型图还原 ；在分析流程、工艺、资料、用量后，黑客可犯法销售企业出产工艺获取高额利润，对企业造成致命威胁。具体攻击过程如图所示：
除工控设备更新升级表的安全措施
目前，对类似曝出有高危缝隙的工控设备，我们通常采取以下措施：
1、将受影响设备升级到最新版本的固件，以便不再受到这些缝隙的影响 ；
2、在工控设备前部署安全防护设施，以预防工控设备被攻击。
由于工业现场的特殊性，通常工控设备部署实现后，根基是处于持久不变运行状态，一年仅会有半个月到一个月左右的检建� ；Ψ�，即方便用检建功夫去对工控设备进行固件升级，也可能存在内部法式被刷新或者被清空的风险，一旦出产节造法式被清空，那么其造成的损失和复原成本都是极大的，所以在现场进行固件升级的可行性比力幼。
那么第二种规划，在工控设备前部署安全防护设施是目前比力可行的防护规划。通过在PLC前部署工业防火墙，来对PLC设备进行安全防护的职能。
针对时延要求不高的系统，我们能够直接部署在节造器前端进行防护，如下图所示：
对于时延要求较高的系统，我们则可部署在系统天堑出，对工控系统进行整体隔离，如下图所示：
GA黄金甲工业防火墙提供多职能安全能力
GA黄金甲工业防火墙针对工控设备防护有以下职能特点：
GA黄金甲工业防火墙的工业和谈鉴别可实现OPC、Modbus、S7、EIP、IEC104等指令级鉴别节造，同时内置多种工业和谈及模板，支持自由机关和谈内容负载级体式访控规定。在上述总结的缝隙个性中，利用PLC缝隙盗取关键出产数据是工控常见的安全威胁的一种，并非所有工业防火墙都能够预防该缝隙，而GA黄金甲工业防火墙，选取深度检测战术，对PLC进行指令级的防护，可有效预防T型图泄漏。
该工业防火墙可开启深度检测职能，不容T型图获取指令及负载中携带获取T型图指令的数据包通过，因而，该工控防火墙适合工控出产环境，提供和谈级、指令级安全过滤能力，如下图所示：
GA黄金甲工业防火墙还可通过域距离离，通过接见节造战术、DPI战术对天堑或工控设备进行隔离，为工业设备、工业网络提供隔离能力，减幼、节造威胁扩散领域，满足等保及行业尺度安全合规性，使得工业防火墙具备工业网络特殊适应能力。
除此之表，GA黄金甲工业防火墙还提供以下职能：
1、工作不变领域宽，适应现场温度可宽达-40~70摄氏度，无电扇设计，在工业粉尘环境下可正常工作 ；
2、拥有bypass接口，保险业务的高可用性 ；
3、可针对工业环网资产、流量、和谈、组播的自动进行多维度鉴别进建，为工业网络下发管控战术提供沉要参考。
本文通过对罗克韦尔工控设备所报出的缝隙的分析，以及对GA黄金甲工业防火墙的职能和特点的论述，我们对工业防火墙能够处置的缝隙有了初步的意识。
固然工业防火墙可能有效防护工控网络中的通讯异常和和谈异常，并加以阻止，可对节造设备进行和谈级的只读防护，实现各出产线之间、各个工艺段之间的网络隔离、接见节造以及专用工控和谈的节造，预防PLC、DCS等被攻击造成沉大出产变乱、人员伤亡和社会影响。但是我们对整体系统的安全防护还是要通过系统化的思路去思考，同时辅以安全治理思想能力更好的� ；すひ迪殖〉慕谠焐璞覆槐还セ�。
罗克韦尔节造器存多项严沉安全缝隙
2018年3月，思科Talos安全钻研团队发文指出罗克韦尔自动化公司的 Allen-Bradley MicroLogix 1400系列可编程逻辑节造器( PLC )中存在多项严沉安全缝隙，这些缝隙可用来提议回绝服务攻击、篡改设备的配置和梯形逻辑、写入或删除内存�？樯系氖莸�。
AB-MicroLogix 1400节造器是MicroLogix系列新的产品线，带有内置的仿照量输入、以太网通讯、更快的高快计数器、可调脉冲输出，专为扩大利用领域而设计，目前被宽泛利用与关键基础设施、食品出产加工行业、农业及水处置等行业的工业节造现场，用于节造电机、阀门等工业设备。
AB 1400系列PLC
以下摘录了两个曝出的Allen-Bradley MicroLogix 1400 B 系列缝隙详情：
未经身份验证的数据/法式/职能文件接见节造缝隙不正确（TALOS-2017-0443 / CVE-2017-14462 – CVE-2017-14473）
该缝隙与受影响设备上的文件接见节造不当有关。该缝隙允许未经身份验证的攻击者对存储在设备上的文件执行读取和写入操作，这能够用于从受影响的设备中检索敏感信息（蕴含设备主密码）、批改设备设置或梯形图逻辑、或导致设备进入导致回绝服务前提的故障状态。
内存�？榇娲⒎ㄊ轿募慈敕煜叮═ALOS-2017-0444 / CVE-2017-12092）
该缝隙允许未经身份验证的远程攻击者将在线法式写入受影响设备上已装置的内存�？�。攻击者能够使用它来存储法式批改，直到设备沉新启动后能力生效。随后，攻击者能够将新存储的法式与“加载内存�？榈哪诖婷蟆鄙柚媒岷鲜褂美磁南低成柚�，从而导致启用的服务产生更改。
通过上述缝隙个性，我们发现，攻击者城市利用缝隙对节造器里面的梯形图法式进行批改和删除。
攻击方式如下：攻击T型图前，先通常PC接入PLC地点网络，利用缝隙向PLC发送获取梯形图指令剧本，获取PLC法式后，通过组态软将T型图还原 ；在分析流程、工艺、资料、用量后，黑客可犯法销售企业出产工艺获取高额利润，对企业造成致命威胁。具体攻击过程如图所示：
黑客攻击蹊径
除工控设备更新升级表的安全措施
目前，对类似曝出有高危缝隙的工控设备，我们通常采取以下措施：
1、将受影响设备升级到最新版本的固件，以便不再受到这些缝隙的影响 ；
2、在工控设备前部署安全防护设施，以预防工控设备被攻击。
由于工业现场的特殊性，通常工控设备部署实现后，根基是处于持久不变运行状态，一年仅会有半个月到一个月左右的检建� ；Ψ�，即方便用检建功夫去对工控设备进行固件升级，也可能存在内部法式被刷新或者被清空的风险，一旦出产节造法式被清空，那么其造成的损失和复原成本都是极大的，所以在现场进行固件升级的可行性比力幼。
那么第二种规划，在工控设备前部署安全防护设施是目前比力可行的防护规划。通过在PLC前部署工业防火墙，来对PLC设备进行安全防护的职能。
针对时延要求不高的系统，我们能够直接部署在节造器前端进行防护，如下图所示：
工业防火墙部署示意图1
对于时延要求较高的系统，我们则可部署在系统天堑出，对工控系统进行整体隔离，如下图所示：
工业防火墙部署示意图2
GA黄金甲工业防火墙提供多职能安全能力
GA黄金甲工业防火墙针对工控设备防护有以下职能特点：
- 工业和谈深度解析
- 工业特有和谈指令级检测
- 工业私有和谈检测机造
GA黄金甲工业防火墙的工业和谈鉴别可实现OPC、Modbus、S7、EIP、IEC104等指令级鉴别节造，同时内置多种工业和谈及模板，支持自由机关和谈内容负载级体式访控规定。在上述总结的缝隙个性中，利用PLC缝隙盗取关键出产数据是工控常见的安全威胁的一种，并非所有工业防火墙都能够预防该缝隙，而GA黄金甲工业防火墙，选取深度检测战术，对PLC进行指令级的防护，可有效预防T型图泄漏。
该工业防火墙可开启深度检测职能，不容T型图获取指令及负载中携带获取T型图指令的数据包通过，因而，该工控防火墙适合工控出产环境，提供和谈级、指令级安全过滤能力，如下图所示：
工业防火墙阻断攻击蹊径
GA黄金甲工业防火墙还可通过域距离离，通过接见节造战术、DPI战术对天堑或工控设备进行隔离，为工业设备、工业网络提供隔离能力，减幼、节造威胁扩散领域，满足等保及行业尺度安全合规性，使得工业防火墙具备工业网络特殊适应能力。
除此之表，GA黄金甲工业防火墙还提供以下职能：
1、工作不变领域宽，适应现场温度可宽达-40~70摄氏度，无电扇设计，在工业粉尘环境下可正常工作 ；
2、拥有bypass接口，保险业务的高可用性 ；
3、可针对工业环网资产、流量、和谈、组播的自动进行多维度鉴别进建，为工业网络下发管控战术提供沉要参考。
本文通过对罗克韦尔工控设备所报出的缝隙的分析，以及对GA黄金甲工业防火墙的职能和特点的论述，我们对工业防火墙能够处置的缝隙有了初步的意识。
固然工业防火墙可能有效防护工控网络中的通讯异常和和谈异常，并加以阻止，可对节造设备进行和谈级的只读防护，实现各出产线之间、各个工艺段之间的网络隔离、接见节造以及专用工控和谈的节造，预防PLC、DCS等被攻击造成沉大出产变乱、人员伤亡和社会影响。但是我们对整体系统的安全防护还是要通过系统化的思路去思考，同时辅以安全治理思想能力更好的� ；すひ迪殖〉慕谠焐璞覆槐还セ�。
京公网安备11010802024551号