SCADA网络安全

为了满足网络安全问题，软件和硬件供应商、系统集成商和其他利益相关者需要与最终用户合作，以实现安全的监督控制和数据采集(SCADA)解决方案。美国国家标准与技术研究院(NIST)提供了网络安全框架(“框架”)，用于系统地识别组织的关键资产、识别威胁并保护这些关键资产。该框架为以网络安全为优先的更有效的伙伴关系打开了大门，从而充分满足最终用户的需求。

网络金融攻击，例如从摩根大通银行窃取的8300万份家庭和小企业记录(路透社，2014年)，导致过去四年网络犯罪的金融影响增加了78%。在同一时期，40%的网络攻击是针对能源公司的(Siegel, Josh;摩托罗拉解决方案，2014)。美国政府将重点放在对国家关键基础设施的威胁上，如电网、石油和天然气管道、水和废水处理设施，以及隧道和桥梁等交通基础设施。

13636号行政命令涉及保护美国关键基础设施免受网络入侵，同时指示负责基础设施要素的机构共享信息。NIST框架可用于系统地识别组织的关键资产，识别威胁，并保护关键资产。它基于风险评估技术，包括定期重新评估，目标是在威胁发生之前识别和消除威胁，以及在攻击成功的情况下的恢复计划。

在NIST框架下，网络安全的实现最终是SCADA应用程序所有者和运营商的责任，因为它包含了整个系统，包括开发SCADA应用程序的组织、企业网络、运行SCADA应用程序的计算机以及附加的控制设备和仪器。但是，安全标准的实现和软件实现安全流程的功能是SCADA提供者的责任。

三个安全目标

现代电网或智能电网的三个高级安全目标是可用性、完整性和机密性。这些目标适用于所有部分的SCADA系统，无论它们是否是关键基础设施的一部分。IEEE 1815标准通常被称为分布式网络协议3 (DNP3)，在最初开发时没有包括安全性，当时“基于模糊的安全性”的概念是现实的。在当今的互联世界中，这已不再是可接受的，安全身份验证(SA)是对提供消息身份验证的标准的补充。作为IEEE 1815-2012标准的一部分发布的DNP3-SA版本5 (SAv5)非常强调解决由拒绝服务(DoS)攻击所显示的漏洞所引起的安全问题。该标准正在不断审查和更新，以应对网络威胁。

关键基础设施安全指令

2013年2月，随着越来越多的人意识到网络安全是抵御可能破坏我们的电力、水、通信和其他关键系统的攻击的关键防御措施，巴拉克·奥巴马总统发布了《关于改善关键基础设施网络安全的行政命令》和《关于关键基础设施安全和弹性的总统政策指示》(PPD)。这些政策加强了对安全和风险管理进行整体思考的必要性(国土安全部，2013年)。

虽然这些指令主要针对美国关键基础设施，但当应用于其他SCADA基础设施时，该方法具有明显的好处。

NIST网络安全模型

该框架使组织(无论规模大小、网络安全风险程度或网络安全复杂程度)能够应用风险管理的原则和最佳实践，以提高关键基础设施的安全性和弹性。该框架通过汇集在行业中有效工作的标准、指南和实践，为网络安全的多种方法提供了组织和结构。此外，由于该框架引用了全球公认的网络安全标准，美国以外的组织也可以使用该框架，并可作为加强关键基础设施网络安全的国际合作的典范(NIST, 2014)。

IEEE 1815 (DNP3)安全认证

DNP3最初设计时没有安全身份验证。该协议广泛应用于北美变电站、油气管道、水和废水处理以及交通基础设施。这使得用嵌入式安全性替换所有DNP3设备变得不切实际。相反，该标准采用了将安全身份验证提高到应用程序到应用程序级别的方法。

DNP设计用于在各种网络上运行，甚至在从发送方到接收方的过程中穿越无线电和互联网协议(IP)网络上的串行链路。因此，仅仅保护网络是不够的，事实上，必须保护消息本身，这必须在应用层完成。

DNP3-SA使用的机制是向消息添加哈希消息验证码(HMAC)来验证其完整性。这个HMAC使用基于NIST和信息安全办公室(ISO)安全哈希算法(SHA)的加密哈希，这需要一个共享密钥来解码。这种方法不是基于加密，而是基于验证消息的发送方，以确保消息没有被篡改。攻击者可以看到消息，因为它没有加密，但他或她不能篡改它或在没有密钥的情况下发送未经授权的消息。

三种网络安全类型

在通信网络中通常使用三种类型的安全性。它们是站点到站点(如虚拟专用网络)、设备到设备(传输层安全(TLS))和应用程序到应用程序(SA)。所有这些类型的安全性可以同时部署，以实现全面保护。一种类型还不够的原因可以通过考虑VPN来说明。

虽然VPN路由器和IPSec等协议保护了两个物理位置之间的链接，但它并不能保护这些位置的网络，这就存在入侵一个网络以访问另一个网络的可能性。TLS保护完整的传输控制协议(TCP)连接，目前用于银行交易，但与SCADA环境的不同之处在于它只能在IP网络上工作;因此，如果DNP正在跨越一个串行链接，就存在一个漏洞(格兰特·吉尔克里斯特;EnerNex, 2014)。

在开发SAv5的过程中，DNP3-SA的操作已经由独立的外部安全专家进行了审查。许多功能被认为是潜在的脆弱。此外，智能电网互操作性小组(SGIP)网络安全工作组(CSWG)有一组必须满足的安全标准，以允许IEEE 1815被采纳为智能电网的推荐标准。SAv5中出现的一些修改被包括进来以满足SGIP安全需求(DNP3用户组，2011)。

SAv5进行了几项更改，减少了爱达荷国家实验室十强列表中导致缓冲区溢出问题的拒绝服务攻击的影响。虽然DNP3- sa HMAC确保没有未经授权的一方可以成功地与DNP3设备通信，但发送不正确的HMAC会创建大量流量来响应坏消息。SAv5中近一半的更改类别旨在减少DoS的影响。

为了确保网络安全问题得到满足，与最终用户合作以实现安全的SCADA解决方案至关重要。NIST框架为更有效的优先网络安全伙伴关系打开了大门，从而充分满足最终用户的需求。

- Edward Nugent, PcVue Inc.业务发展总监;由Mark T. Hoske编辑，他是CFE Media的内容经理，控制工程，mhoske@cfemedia.com．

关键概念

• 美国国家标准与技术研究所(NIST)提供了网络安全框架。
• 识别组织的关键资产，识别威胁，并保护关键资产。
• 常见漏洞可以被识别、修复和共享。
• 标准有助于网络安全工作。

考虑一下这个

10个常见的SCADA漏洞中有多少还没有解决?黑客意识到了这一点;是吗?

在线额外

www.pcvuesolutions.com

参考文献

路透社，2015年1月14日，美国东部时间下午2:54，美国各州要求摩根大通提供安全数据，以调查黑客事件。

国土安全部，行政命令(EO) 13636改善关键基础设施网络安全，总统政策指令(PPD)-21关键基础设施安全和弹性。

DNP3用户组。关于DNP3安全认证版本5 (SAv5)发布的进一步信息2011.

Grant Gilchrist, EnerNex。“DNP3安全身份验证的密钥管理选项”，见Distributech会议, 2014年。

爱达荷国家实验室。“能源输送控制系统的脆弱性分析”2011.

信息技术安全委员会(ITSC)公用事业安全委员会(USC)，公用事业和智能电网安全，NERC CIP标准和NISTIR 7628对公用事业行业的影响，D. Jin, D.M. Nicol，和G. Yan。“DNP3控制的SCADA系统中的事件缓冲区泛洪攻击”，载于《科学与工程学报》2011冬季模拟会议, 2011年。

国家科学技术研究所，NIST网络安全框架．

Josh Siegle，摩托罗拉解决方案。“SCADA和ICS系统的网络安全”，2014年Entelec秋季研讨会系列。

王文业，卢卓。“智能电网中的网络安全:调查和挑战”，调查论文，Elsevier计算机网络杂志，2013年1月。

您是否具有本内容中提到的主题的经验和专业知识?你应该考虑为我们的CFE媒体编辑团队做出贡献，并获得你和你的公司应得的认可。点击在这里开始这个过程。