2014年7月份，當(dāng)伊朗核電站基礎(chǔ)設(shè)施的重要組成部分，遭到專門針對數(shù)據(jù)采集與監(jiān)視控制系統(tǒng)（SCADA）的Stuxnet病毒攻擊的時候，科幻最終走出熒幕，變成了現(xiàn)實。該事件仍然主要在工業(yè)自動化領(lǐng)域內(nèi)傳播，但是其它數(shù)據(jù)泄露事件，比如索尼和Target，卻廣為人知。網(wǎng)絡(luò)安全意識越來越被企業(yè)管理層所重視。
除了蓄意攻擊所造成的中斷，無意識的錯誤組態(tài)或者錯誤操作，也會造成安全漏洞；由于現(xiàn)在的系統(tǒng)高度集成，并且包含很多層軟件，因此在大多數(shù)情況下，創(chuàng)建并運營這些系統(tǒng)的人，并沒有必要對軟件層之間的相互作用有較深的理解。
安全分析
正如最近幾年所發(fā)生的一樣，分布式系統(tǒng)的集成程度、自動化和信息技術(shù)系統(tǒng)軟件的復(fù)雜程度和多重結(jié)構(gòu)，為惡意攻擊創(chuàng)造了良好的條件。
但是，由于這些系統(tǒng)與SCADA的安全息息相關(guān)，因此不僅僅要預(yù)防蓄意攻擊，還應(yīng)防范其它方面的危險。不管是誰創(chuàng)建、運營工廠自動化系統(tǒng)，他們對復(fù)雜的基礎(chǔ)設(shè)施和使用的眾多軟件層，并沒有完全了解。因此，除非有適用的標(biāo)準(zhǔn)，否則的話，運行錯誤、不充分的維護、升級流程都很有可能會影響系統(tǒng)的可靠性和穩(wěn)定性。對于系統(tǒng)而言，這就是“無意識病毒”；或者為懷有惡意的人打開了攻擊的大門。
為了幫助系統(tǒng)識別潛在攻擊，并避免攻擊的發(fā)生，需要有一個驗證矩陣。一方面，用戶可以保護軟件和IT基礎(chǔ)設(shè)施，這是SCADA/HMI軟件運行的基礎(chǔ)；另一方面，需要對自動化工程本身進行分析，尤其是SCADA/HMI工程組態(tài)及其運營。
安全分析的第一個方面，是基本硬件、軟件和網(wǎng)絡(luò)基礎(chǔ)設(shè)施，它們主要用于處理操作系統(tǒng)安全補丁的升級程序、身份識別和密碼保護等諸如此類的事項。這種分析，并不是SCADA/HMI系統(tǒng)所獨有的，應(yīng)該遵循已有的IT標(biāo)準(zhǔn)，有很多案例可供參考。因此，我們應(yīng)該將重點放在另外一個方面：軟件自動化工程開發(fā)本身上，包括SCADA/HMI組態(tài)、執(zhí)行和調(diào)度。
蓄意攻擊
防范有意識的攻擊非常重要。這些蓄意的攻擊者，有些是出于政治目的而攻擊生產(chǎn)線，而且可能是出于非常簡單的目的，例如，“如果可以實施攻擊，那為什么不去做”。即使是出于技術(shù)方面的挑戰(zhàn)，就像很多計算機病毒的出現(xiàn)一樣，并不是出于盈利或某種特定目的的攻擊，只是為了滿足某個人的虛榮心。
在過去15年間，編程技術(shù)、軟件和通訊技術(shù)的發(fā)展進步，遠遠超過了大多數(shù)自動化軟件工具和產(chǎn)品的更新?lián)Q代。即使用戶將軟件工具升級到最新版本，也不能保護它，因為大多數(shù)解決方案都是基于落后的技術(shù)。因此只要愿意，這些精通科技的少年就有可能破解它。
潛在威脅
隨著系統(tǒng)復(fù)雜性的增加，在現(xiàn)場進行調(diào)試時，也許并不可能完全模擬每一種假設(shè)場景，所以在設(shè)計中要使用具有本質(zhì)安全的技術(shù)和架構(gòu)、在單元測試時確保軟件質(zhì)量和運行穩(wěn)定性。事實上，很多系統(tǒng)并沒有應(yīng)用更新和更安全的技術(shù)；相反，他們創(chuàng)建了“封裝器”，用代碼層和模塊來封裝舊的代碼和技術(shù)以保護他們的投資。
當(dāng)嘗試在新計算機上運行舊部件，并且使用新操作系統(tǒng)、新網(wǎng)絡(luò)和新運行規(guī)程時，就會增加潛在的隨機問題，同時還會將核心部件暴露出來。這種情況容易形成漏洞，導(dǎo)致巨大的風(fēng)險，很可能會造成不安全狀況的發(fā)生。
在正常運行期間出現(xiàn)問題，往往相對容易被檢測到，但是在某些特殊情況下，有時更容易出現(xiàn)錯誤，例如：在工作任務(wù)繁忙或者異常工況，網(wǎng)絡(luò)或計算機故障或出現(xiàn)多個報警時，執(zhí)行先前未執(zhí)行的故障路徑代碼或系統(tǒng)恢復(fù)代碼，或不正確的執(zhí)行指令。在執(zhí)行關(guān)鍵任務(wù)時，最終用戶期望這些潛在的錯誤，能夠在最壞的情況、異常工藝工況下被識別出來并被進行妥善的處理。
舉個無意識威脅導(dǎo)致系統(tǒng)被破壞的例子：在某個工廠夜間倒班時，SCADA/HMI 和 PLC的通訊可能會發(fā)生故障，導(dǎo)致工藝停止。故障發(fā)生時，系統(tǒng)已經(jīng)正常運行很長時間了，項目組態(tài)也沒有做過任何修改，因此可以懷疑受到病毒感染或者蓄意的網(wǎng)絡(luò)攻擊。
經(jīng)過整夜的查看操作員和工藝過程的監(jiān)控，相關(guān)人員了解到某人已經(jīng)激活了操作員電腦的“屏幕保護”程序；由于某個電腦的硬件問題，在關(guān)閉顯示器的時候，同時關(guān)閉了“用于RS-232通訊的8250芯片”，而RS232通訊端口只能通過斷電和上電來重新啟動。這個問題不是隨機發(fā)生或是蓄意的，它發(fā)生在夜間換班的時候：運行人員離開較長時間，屏幕保護程序啟動。但是IT技術(shù)人員在決定使用屏幕保護程序來保護屏幕和節(jié)省能源的時候，并沒有意識到硬件的這種副作用。
上面給出的例子，顯示了無意識威脅的典型步驟：
（1）自動化系統(tǒng)軟件、硬件交互具有很多層，非常復(fù)雜，運行人員和IT技術(shù)人員并不具備全部的知識。這種做事方式?jīng)]有錯，他們不可能也沒有必要了解所有的東西。
（2）一般認為，系統(tǒng)或環(huán)境的輕微修改，或者運行流程的變化，完全沒有危害，但是有時也會帶來意想不到的副作用；
（3）由于不可探測的潛在錯誤以及相互連接的各層級間不可預(yù)測的工況，副作用可能不斷傳導(dǎo)積累，導(dǎo)致更大的問題；
（4）造成的錯誤或者問題，可能在一段時間內(nèi)并不會被檢測到，或者看起來具有隨機屬性。
項目周期安全
為了系統(tǒng)地防范蓄意攻擊和識別潛在的安全隱患，企業(yè)應(yīng)該對整個項目周期進行分析。在一個簡化的模型構(gòu)架下，對整個項目周期的分析主要由以下4個步驟組成：
1.選擇技術(shù)、結(jié)構(gòu)和工具；
2.項目組態(tài)和編程；
3.部署和調(diào)試；
4.運營和維護。
對每個階段了解的越多，越有助于在項目中融入安全特性。根據(jù)以往經(jīng)驗，“部署和調(diào)試”對大多數(shù)系統(tǒng)來講，是最容易出現(xiàn)漏洞的環(huán)節(jié)之一。
技術(shù)和結(jié)構(gòu)安全
對一輛生產(chǎn)于1980年代的汽車來講，僅僅通過增加安全氣囊、傳感器以及其它技術(shù)，還不足以提升對司機和乘客的安全保障；同理，對于工廠來說也一樣，只有通過改造現(xiàn)有自動化系統(tǒng)軟件基礎(chǔ)，才能使其在當(dāng)今的運營環(huán)境下確保安全。這種升級換代還可以釋放現(xiàn)有技術(shù)條件下的潛在的收益，而基于傳統(tǒng)技術(shù)核心的解決方案并不能充分利用。
由于缺少指針和內(nèi)存保護，ActiveX組件、COM、DCOM、開放的TCP/IP Socket等，這些老的技術(shù)，在本質(zhì)上并不是十分安全的，比如用VB腳本和VBA編寫的解釋性腳本，以及用C或C++語言編寫的程序，因此應(yīng)避免使用這些技術(shù)。推薦的技術(shù)包括編譯和用于腳本的內(nèi)存保護性語言，包括C#、 VB.NET、具有純因特網(wǎng)技術(shù)的網(wǎng)絡(luò)客戶端（配置“安全砂箱”或“局部信任”）、WCF（Windows通訊基礎(chǔ)）、網(wǎng)絡(luò)服務(wù)和SQL數(shù)據(jù)庫。
編程安全
工程組態(tài)和運行的良好經(jīng)驗，包括在SQL數(shù)據(jù)庫或服務(wù)器上的集中組態(tài)，使得分布式安全接入、在項目升級時內(nèi)置的變更管理和版本控制、遠程診斷、完全測試新應(yīng)用、不間斷運行的升級系統(tǒng)成為可能。
在過去，測試項目的方法僅僅是運行應(yīng)用程序?，F(xiàn)在的標(biāo)準(zhǔn)則要求在組態(tài)階段進行更高層次的確認，同時使用專門的仿真工具、配置和性能分析工具。
病毒和隨機應(yīng)用錯誤所導(dǎo)致的潛在問題比較相似。代碼覆蓋率分析算法表明，僅僅通過測試案例來確保可靠性幾乎是不可能的。例如，一個僅有10個“IF-Then-Else”指令的程序，如果完全測試，就需要運行1024個測試用例。因此，安全和可靠性確認應(yīng)該內(nèi)嵌到系統(tǒng)的結(jié)構(gòu)、技術(shù)和編程流程中，而不僅僅是通過強力測試或增加外部封裝器來實現(xiàn)。系統(tǒng)還應(yīng)具有內(nèi)置的追蹤和版本管理系統(tǒng)，這樣工具自己就可以自動實現(xiàn)日志和配置變更管理。
SCADA/HMI軟件安全中所用新、舊技術(shù)的比較
部署和調(diào)試安全
部署和調(diào)試是安全事項中最容易出問題的領(lǐng)域之一，在最近發(fā)生的病毒事件中，很多與其有關(guān)。
在當(dāng)前的工業(yè)環(huán)境下，大多數(shù)仍然在服役的系統(tǒng)，使用的都是1980年代或1990年代的技術(shù)，而那時的SCADA/HMI軟件包的運行，依賴于成百上千的獨立組態(tài)文件和通訊驅(qū)動器的動態(tài)鏈接庫（DLL）文件。意想不到的錯誤很容易發(fā)生，編寫病毒程序只需要最基本的編程技巧，最簡單的甚至只需要在文件夾中扔幾個文件即可。
即使當(dāng)單個文件自身采用加密或二進制文件的形式，這些文件與原始項目之間并沒有聯(lián)系。任何人、在任何電腦上都可以創(chuàng)建額外的文件，只需將其扔到文件夾中就可以改變項目的行為模式。要想弄清楚哪個報警或者設(shè)定值變更產(chǎn)生了威脅，所需要的知識也許非常復(fù)雜，但是病毒程序本身需要的僅僅是最基本的編程技巧，而錯誤的遺留或拷貝錯誤文件帶來的風(fēng)險卻非常高。現(xiàn)在，新一代的工具基于加密過的結(jié)構(gòu)化查詢（SQL）語言，并且具有只讀屬性，這樣就可以確保組態(tài)文件的安全部署。
下面所列的就是一個簡單的檢查清單，可以降低對舊系統(tǒng)的威脅，也有助于編制新系統(tǒng)的技術(shù)規(guī)格書。
舊產(chǎn)品和裝置
應(yīng)該將配置文件拷貝到新文件夾中，同時確保文件夾是空的；在運行項目軟件時，通過微軟操作系統(tǒng)登錄的用戶應(yīng)僅具有只讀權(quán)限。對于非常關(guān)鍵的系統(tǒng)而言，應(yīng)該有外部的設(shè)備可以檢查整個文件的大小，并對安裝于產(chǎn)品的文件進行校驗，與系統(tǒng)集成公司遠程創(chuàng)建的文件相比較。
選擇和實施新方案
理想情況下，整個項目的配置文件應(yīng)該保存在一個配置文件中，比如加密并具有只讀屬性的SQL數(shù)據(jù)庫文件中。文件的版本管理和變更管理應(yīng)該由內(nèi)置功能完成，不能依賴于外部工具或手動程序。
舊系統(tǒng)容易出漏洞的另外一個方面是通訊協(xié)議驅(qū)動模型，協(xié)議依賴于外部DLL文件，這些文件由開放的工具包開發(fā)， 這些文件很容易被其它DLL文件所替代，這可能會導(dǎo)致系統(tǒng)的崩潰。在新一代工具中，驅(qū)動器獨立運行，與應(yīng)用工程的其它部分沒有直接的聯(lián)系，而且可以具有數(shù)字驗證和只讀設(shè)置，這樣就可以避免在調(diào)試完成后這些DLL文件被修改或替換。
運行和維護
配置良好的安全系統(tǒng)，應(yīng)包括角色和群組許可功能，這些功能在以前的大多數(shù)系統(tǒng)中都已經(jīng)存在。大多數(shù)系統(tǒng)都能滿足監(jiān)管的要求，比如美國FDA CFR 21 第 11部分。運行和維護方面的新功能主要用于消除不安全的實時運行部件，比如Active-x組件，在升級項目時增加內(nèi)置的保護功能、變更管理功能、版本控制功能、以及遠程診斷或不停機升級的能力。對項目實施版本控制(審查跟蹤)、以及在同一個計算機上管理多個版本的能力，都十分關(guān)鍵。除了用戶接口安全外，還應(yīng)在數(shù)據(jù)定義表格中，在圖形顯示以及每個標(biāo)簽上定義數(shù)據(jù)安全。
升級軟件工具是造成系統(tǒng)中斷的主要原因，有時會對運行中的應(yīng)用軟件造成意想不到的干擾?，F(xiàn)代系統(tǒng)應(yīng)該允許新項目和軟件工具新版本的安裝，而不必卸載先前的版本；在同一個服務(wù)器上并列運行不同版本，運行先前系統(tǒng)的執(zhí)行引擎和計劃升級的版本，這樣就可以在對生產(chǎn)線進行升級前進行驗證測試。
及時更新
如前所述，僅僅通過增加部件，幾乎不可能將建造于1980年代的汽車變得像最新款式的汽車那樣安全。同樣的道理，也適用于工業(yè)自動化應(yīng)用中所使用的軟件。很多系統(tǒng)所使用的軟件基礎(chǔ)，創(chuàng)建于1980年代和1990年代。即使它們在那個年代很出色，也不能滿足當(dāng)今的安全需求；過去10年涌現(xiàn)了很多新技術(shù)，幾乎每周都會發(fā)生變化，但是它們無法充分利用這些最新技術(shù)。
軟件、通訊和用戶接口技術(shù)方面的發(fā)展在不斷加速，因此大多數(shù)工廠，并不需要更新全部的自動化系統(tǒng)。無論是在系統(tǒng)安全，還是在運行穩(wěn)定性、可靠性和靈活性方面，SCADA 和 HMI系統(tǒng)的更新，都可以帶來很多立竿見影的好處，還可以提供信息優(yōu)化，使其能夠創(chuàng)造投資回報，而不需要僅僅依賴于對更高安全性的需求 。
對一個真正的現(xiàn)代技術(shù)來講，軟件更新的預(yù)期回報不能僅僅通過收益的百分比來度量，而應(yīng)在倍增系數(shù)基礎(chǔ)上對其進行度量，因為其所避免的潛在安全事故，很可能對產(chǎn)量造成巨大的影響。此外，這些系統(tǒng)管理的資產(chǎn)還可以獲得更高的效率。
