电网OPC UA被轻松破坏，我们能做些什么？
一、工业控制系统仍然有很多唾手可得的成果
近日，由趋势科技旗下Zero Day Initiative（ZDI）团队主办的2022年Pwn2Own大赛在迈阿密落幕。大赛上，两名来自荷兰的白帽Daan Keuper与Thijs Alkemade破解了承载全球大部分电网信息的软件。他们表示，入侵OPC UA是迄今为止他们在大赛上“最简单”的攻击行为。Keuper向《麻省理工科技评论》解释，“因为工业领域安全性落后很多，所以在工业控制系统中，仍然有很多唾手可得的成果。”
二、工业控制系统的现状
传统工业控制系统设计之初着重点在于控制过程和设备的监测、控制以及管理，对安全少有顾及，主流所用的Modbus、OPC、CIP、IEC104等协议存在缺乏认证和授权机制、缺少完整性和机密性校验等问题。大赛中的OPC UA是一个整合所有OPC Classic规格的架构，担任ICS（Industrial Control Systems）世界通用翻译协议，几乎出现在所有的ICS产品中，但却没有安全方面的防范措施，这让黑客的入侵如同探囊取物。
三、行业政策不断更新
大赛上工业控制系统协议呈现的脆弱性为全球电力行业敲响了警钟，时刻警醒着大家工业领域的安全工作任重而道远，我国对工业网络安全的重视程度也在不断提升，《电力监控系统安全防护规定》、《电力监控系统安全防护总体方案等安全防护方案和评估规范》、《电力行业信息安全等级保护管理办法》相继颁布。最近的《电力可靠性管理办法（暂行）》由国家发改委官网公布于2022年4月25日，《办法》对电力网络安全做出明确要求：电力网络安全应加强网络安全审查、容灾备份、监测审计、态势感知、纵深防御、信任体系建设、供应链管理等工作；开展网络安全监测、风险评估和隐患排查治理，提高网络安全监测分析与应急处置能力；加强对直接调度范围内的发电厂涉网部分电力监控系统安全防护的技术监督。
四、如何进行防护
大规模的电力工控系统所存在的协议脆弱问题无法改变，短时间内也不会广泛的使用一种新的安全的通信协议，但可以对工控协议进行深入解析、识别并结合先进的安全防护技术，保障工业控制系统安稳运行。
协议深度解析能力
木链科技从工业企业客户的切实需求出发，通过产品研发和部分项目的实施逐步完成了这方面的技术和经验积累，具备了对常见的Modbus、S7、Enthernet/IP、GOOSE、OPC、DNP3等23种工控协议行业领先的指令级解析能力和其中13种工控协议的语义级解析能力。
安全防护技术
基于工控协议语义级别解析的深度访问控制：利用协议指纹匹配和协议规则验证实现网络协议的识别，利用大数据技术对收集到的数据进行整理和分析，分析每个数据的协议类型、地址、端口等信息，与预先设置的过滤规则进行匹配，判断出非法通信数据包并进行过滤，以抵御来自内外网对工业生产设备的攻击。
基于工控协议语义级别解析的异常流量分析：对工业控制协议（如IEC104、S7、DNP3、Modbus TCP、OPC等）的通信报文进行深度解析，实时检测针对工业协议的网络攻击、用户误操作、用户违规操作、非法设备接入以及蠕虫、病毒等恶意软件的传播并实时报警；实现设备指纹识别、资产管理、现场网络拓扑建立、日志记录、规则审计等，为工业控制系统的安全事故调查提供可信依据。
基于工控协议语义级别解析的脆弱性检测：深入解析数据包和协议指令，对潜在的安全问题进行检测，精准识别安全风险；依照一定的安全策略，通过软、硬件，对网络、系统的运行状况进行监视，尽可能发现各种攻击企图、攻击行为或者攻击结果，以保证网络系统资源的机密性、完整性和可用性。
五、针对电力行业的解决方案
木链科技在《发电厂监控系统安全防护方案》的基础上，结合《GB/T239-2019 信息安全技术网络安全等级保护基本要求》和《工业控制系统信息安全防护指南》等相关文件的要求，综合大量用户系统的实际情况，形成了电力行业解决方案。
电力企业工控网络安全建设架构图
安全区域划分：确定生产控制大区（包括控制区和非控制区）和管理信息大区范围，并根据业务子系统做进一步划分，针对不同防护等级和区域部署安全防护设备。
边界安全防护：在控制区和非控制区边界及其内部子系统之间部署支持工控协议深度解析的工控安全防火墙，根据安全策略对跨越边界的流量进行管控，避免安全威胁跨区域传播。
流量入侵检测：在生产控制大区关键节点交换机旁路部署工控安全审计平台，基于工控协议解析引擎实现对网络通讯流量的深度解析、异常行为的检测。
主机安全加固：在主机、服务器上安装主机卫士软件，通过白名单等手段对操作系统的安全配置进行加固。
全合规分析：将工控漏洞扫描系统接入工控网络，可以快速识别现场资产及其漏洞，根据各类政策文件要求对工控网络安全状况进行评估，满足关键信息基础设施定期安全检查要求。
安全管理中心：将综合管理平台与现场安全设备独立组网，实现对安全设备的集中管控，对安全策略统一下发，大大提升工作效率；工业运维管理审计系统可对运维人员的访问过程进行细粒度的授权、全过程的操作记录、审计和回放等功能，全面解决各种复杂环境下的运维安全问题，提升企业运维管理水平。
