電話：022-24557361 15620828838 傳真：022-24557361
0 、引言
數(shù)控系統(tǒng)固有安全漏洞和聯(lián)網(wǎng)后的開放性，使其面臨的信息安全威脅持續(xù)擴(kuò)大。數(shù)控系統(tǒng)是數(shù)控機(jī)床的“大腦”，高端數(shù)控系統(tǒng)核心技術(shù)基本被工業(yè)發(fā)達(dá)國家壟斷，數(shù)控系統(tǒng)存在不可控的漏洞、后門等安全隱患。同時(shí)針對(duì)控制系統(tǒng)的信息安全攻擊事件持續(xù)發(fā)生。數(shù)控系統(tǒng)一旦遭到破壞，將會(huì)導(dǎo)致數(shù)控機(jī)床乃至整個(gè)生產(chǎn)線停機(jī)，造成企業(yè)重大損失。所以研究數(shù)控機(jī)床信息安全防護(hù)理論與技術(shù)，對(duì)保障工業(yè)基礎(chǔ)設(shè)施穩(wěn)定運(yùn)行具有重要意義。
美國能源部國家 SCADA 測試床計(jì)劃 ( NSTB)發(fā)布了防護(hù)控制系統(tǒng)路線圖。歐洲網(wǎng)絡(luò)與信息安全局ENSIA) 制定的防護(hù)控制系統(tǒng)的指導(dǎo)文件也于 2011 年發(fā)布。國內(nèi)王琦魁提出一種數(shù)控加工網(wǎng)絡(luò)信息安全防護(hù)方案，部署數(shù)控加工網(wǎng)絡(luò)邊界隔離設(shè)備和數(shù)控系統(tǒng)終端防護(hù)設(shè)備，保障數(shù)控網(wǎng)絡(luò)安全。王劍提出了 DNC數(shù)控網(wǎng)絡(luò)系統(tǒng)安全防護(hù)架構(gòu)，部署防火墻在辦公局域網(wǎng)和 DNC 數(shù)控網(wǎng)之間過濾數(shù)據(jù)，然而該方案對(duì)于內(nèi)部信息泄露缺乏有效的防護(hù)。于立業(yè)提出工業(yè)控制系統(tǒng)信息安全縱深防御解決方案，采用邊界隔離和入侵檢測的訪問控制機(jī)制，缺乏系統(tǒng)化協(xié)同防護(hù)。
可信計(jì)算和自治愈被認(rèn)為是解決控制系統(tǒng)本質(zhì)安全的重要方法。Fadul將可信計(jì)算理論應(yīng)用到智能電網(wǎng)的 SCADA 系統(tǒng)安全防護(hù)中。伍江江提出一種基于虛擬隔離數(shù)據(jù)可信存儲(chǔ)體系來進(jìn)行數(shù)據(jù)非授權(quán)防護(hù)，魏占禎提出了一種基于可逆向擴(kuò)展的可信數(shù)據(jù)封裝方案。目前可信網(wǎng)絡(luò)理論和技術(shù)的研究主要在普通信息系統(tǒng)或數(shù)控系統(tǒng)的辦公網(wǎng)絡(luò)中，還沒有被應(yīng)用到完整的數(shù)控系統(tǒng)。張彤對(duì)應(yīng)用于電力系統(tǒng)的基于自治愈理論的網(wǎng)絡(luò)可生存性理論進(jìn)行了研究，但未對(duì)完整系統(tǒng)體系結(jié)構(gòu)模型進(jìn)行研究。Kirsch通過入侵容忍策略研究了可生存的 SCADA 系統(tǒng)，但是其策略并不適用于有狀態(tài)的應(yīng)用服務(wù)器。
本文通過建立數(shù)控機(jī)床自動(dòng)化網(wǎng)絡(luò)信息安全綜合防護(hù)方案，建立系統(tǒng)化信息安全協(xié)同防護(hù)技術(shù)，有機(jī)結(jié)合了現(xiàn)有的信息安全防護(hù)技術(shù)，在保持系統(tǒng)有序性情況下，達(dá)到較好的防護(hù)效果。
1 、數(shù)控機(jī)床網(wǎng)絡(luò)系統(tǒng)架構(gòu)和安全威脅
為了提高數(shù)控企業(yè)信息化和綜合自動(dòng)化水平，實(shí)現(xiàn)管控一體化，現(xiàn)代數(shù)控系統(tǒng)越來越多地與企業(yè)網(wǎng)絡(luò)互聯(lián)，采用計(jì)算機(jī)輔助設(shè)計(jì)制造( CAD) 、產(chǎn)品數(shù)據(jù)管理系統(tǒng)( PDM) 等提高加工效率和精度。通用協(xié)議( 如 TCP/IP 協(xié)議) 、通用操作系統(tǒng)等智能化構(gòu)件不斷用于工業(yè)數(shù)據(jù)交換和處理。數(shù)控機(jī)床與辦公網(wǎng)絡(luò)甚至 Internet 的互聯(lián)互通導(dǎo)致數(shù)控系統(tǒng)面臨更多的信息安全威脅。數(shù)控機(jī)床自動(dòng)化網(wǎng)絡(luò)結(jié)構(gòu)和安全威脅如圖1所示。
圖 1 數(shù)控機(jī)床自動(dòng)化網(wǎng)絡(luò)結(jié)構(gòu)和安全威脅
圖 1 中，數(shù)控機(jī)床網(wǎng)絡(luò)通過 ＲS232、串口等接口通過數(shù)據(jù)交換系統(tǒng)與 DNC 數(shù)控網(wǎng)絡(luò)相連，進(jìn)而與辦公自動(dòng)化系統(tǒng)互連。雙向箭頭表示了安全威脅的傳遞路徑。從圖 1 可以看出，安全威脅主要來自于外部攻擊和內(nèi)部攻擊。外部攻擊主要是攻擊者通過外部 Internet 掃描目標(biāo)網(wǎng)絡(luò)系統(tǒng)的漏洞，找到攻擊點(diǎn)，進(jìn)行持續(xù)攻擊( 如高級(jí)持續(xù)性威脅) 。內(nèi)部攻擊包括惡意的數(shù)據(jù)泄露、通過移動(dòng)設(shè)備的病毒傳播等。攻擊目標(biāo)包括操控控制系統(tǒng)，中斷加工進(jìn)程、影響產(chǎn)品質(zhì)量、竊取企業(yè)數(shù)據(jù)等。
2、 數(shù)控機(jī)床自動(dòng)化網(wǎng)絡(luò)綜合防護(hù)技術(shù)
提出的數(shù)控機(jī)床網(wǎng)絡(luò)綜合防護(hù)技術(shù)主要包括體系架構(gòu)和核心防護(hù)技術(shù)。
2．1 安全防護(hù)體系結(jié)構(gòu)
基于圖 1 的結(jié)構(gòu)，提出數(shù)控機(jī)床自動(dòng)化網(wǎng)絡(luò)系統(tǒng)協(xié)同化、系統(tǒng)化安全防護(hù)體系結(jié)構(gòu)，如圖 2 所示。
圖 2 中數(shù)控系統(tǒng)網(wǎng)絡(luò)安全防護(hù)體系涵蓋辦公網(wǎng)絡(luò)安全防護(hù)、DNC 數(shù)控網(wǎng)絡(luò)與數(shù)控機(jī)床設(shè)備網(wǎng)絡(luò)安全防護(hù)3 個(gè)方面。在辦公網(wǎng)絡(luò)防護(hù)中，主要部署了防火墻、入侵檢測、惡意代碼檢測等基本的防護(hù)措施，同時(shí)部署了可信網(wǎng)絡(luò)管理服務(wù)器來過濾惡意節(jié)點(diǎn)，提高網(wǎng)絡(luò)免疫性。針對(duì) DNC 數(shù)控網(wǎng)絡(luò)，在 DNC 服務(wù)器上部署可信計(jì)算平臺(tái)，確保運(yùn)行控制系統(tǒng)可信; 部署協(xié)議入侵檢測服務(wù)器過濾不合規(guī)系統(tǒng)控制流; 在 DNC 數(shù)據(jù)傳輸和數(shù)據(jù)讀寫中部署可信數(shù)據(jù)防護(hù)機(jī)制來阻止非預(yù)期訪問; 在管理控制接口部署數(shù)據(jù)訪問監(jiān)控模塊，阻止移動(dòng)設(shè)備惡意入侵。針對(duì)現(xiàn)場設(shè)備防護(hù)，主要在接口控制與交換層部署自治愈管理器，防止設(shè)備運(yùn)行故障對(duì)生產(chǎn)的影響。每個(gè)階段防護(hù)均連接取證審計(jì)服務(wù)器以備必要時(shí)審計(jì)。
圖 2 數(shù)控網(wǎng)絡(luò)安全綜合防護(hù)體系結(jié)構(gòu)
為了實(shí)現(xiàn)綜合協(xié)同防護(hù)，需要融合各種防護(hù)技術(shù)，以時(shí)間為軸，提出基于事件驅(qū)動(dòng)防護(hù)方案，事件生命周期防護(hù)需求和防護(hù)技術(shù)如圖 3 所示。
圖 3 事件生命周期安全防護(hù)技術(shù)示意圖
結(jié)合圖 2 和圖 3，在安全事件發(fā)生前，在 DNC 數(shù)控網(wǎng)絡(luò)中，采用實(shí)時(shí)監(jiān)控、可信平臺(tái)防護(hù)方法; 在辦公網(wǎng)絡(luò)中，采用可信網(wǎng)絡(luò)、可靠預(yù)警等方法。在安全事件發(fā)生時(shí)，針對(duì)內(nèi)部攻擊，采用主動(dòng)訪問控制、異常檢測方法。針對(duì)外部攻擊，采用入侵防御、惡意代碼防御等方法。在嚴(yán)重安全事件發(fā)生后，對(duì)數(shù)控機(jī)床網(wǎng)絡(luò)啟動(dòng)自治愈和容錯(cuò)恢復(fù)機(jī)制，并在各個(gè)網(wǎng)絡(luò)取證審計(jì)確定威脅源和威脅方法，采用升級(jí)補(bǔ)丁、入侵防御等方法阻止事件再次發(fā)生。可信防護(hù)技術(shù)、自治愈作為核心防護(hù)技術(shù)，融合基本數(shù)據(jù)和系統(tǒng)防護(hù)技術(shù)，動(dòng)態(tài)構(gòu)建基于事件生命周期的數(shù)控系統(tǒng)信息安全綜合防護(hù)機(jī)制。
2．2 可信防護(hù)技術(shù)
首先，在 DNC 系統(tǒng)服務(wù)器上部署可信計(jì)算平臺(tái)。DNC 系統(tǒng)服務(wù)器是連接辦公網(wǎng)和數(shù)控機(jī)床的關(guān)鍵節(jié)點(diǎn)，下達(dá)來自辦公網(wǎng)的指令到數(shù)控機(jī)床網(wǎng)絡(luò)，上傳數(shù)控機(jī)床數(shù)據(jù)和狀態(tài)信息到辦公網(wǎng)絡(luò)。其運(yùn)行平臺(tái)可信性至關(guān)重要?？尚庞?jì)算平臺(tái)以可信計(jì)算模塊( TPM，Trus-ted Platform Module) 為核心，以密碼和驗(yàn)證技術(shù)作為信任鏈，確?？刂朴?jì)算平臺(tái)可信安全?？尚庞?jì)算平臺(tái)主要用于事前監(jiān)控，認(rèn)證合法系統(tǒng)，確保平臺(tái)可控。拒絕安全事件發(fā)生后對(duì)設(shè)備層的非預(yù)期控制。
其次，在 DNC 數(shù)控網(wǎng)絡(luò)上部署可信數(shù)據(jù)防護(hù)機(jī)制，對(duì)數(shù)控系統(tǒng)核心數(shù)據(jù)進(jìn)行保護(hù)，如圖 4 所示。
圖 4 可信數(shù)據(jù)防護(hù)機(jī)制
在控制網(wǎng)總線上動(dòng)態(tài)構(gòu)建類似于 VPN 的通信隔離環(huán)境來保證設(shè)備控制數(shù)據(jù)不被泄漏。結(jié)合可信計(jì)算和虛擬化技術(shù)，在 DNC 數(shù)控網(wǎng)絡(luò)上構(gòu)建虛擬機(jī)系統(tǒng)，建立敏感數(shù)據(jù)安全保護(hù)域(SPDSecureProtection Do-main) ，通過將敏感數(shù)據(jù)綁定在安全域內(nèi)，根據(jù)數(shù)據(jù)的保護(hù)預(yù)期對(duì) DNC 數(shù)據(jù)訪問請求進(jìn)行安全驗(yàn)證和策略控制，阻止不可信進(jìn)程對(duì)數(shù)據(jù)的讀寫操作和傳遞到不可信區(qū)域，從而實(shí)現(xiàn)數(shù)據(jù)防泄漏功能。對(duì)不可信的進(jìn)程傳遞給惡意代碼檢測服務(wù)器，查驗(yàn)惡意入侵行為?？尚盘摂M數(shù)據(jù)防護(hù)機(jī)制主要用于事前監(jiān)控、安全隔離，事中入侵檢測，事后審計(jì)查驗(yàn)。第三，在辦公網(wǎng)絡(luò)上部署可信網(wǎng)絡(luò)服務(wù)器。動(dòng)態(tài)運(yùn)行中，可信節(jié)點(diǎn)具有一定的智能性，其可信與行為動(dòng)作相關(guān)，信任理論就是解決行為可信的有效方法，根據(jù)節(jié)點(diǎn)歷史表現(xiàn)確定可信值，大于可信閾值的節(jié)點(diǎn)才能參與服務(wù)，從而隔離惡意節(jié)點(diǎn)?？尚啪W(wǎng)絡(luò)主要用于事中檢測，結(jié)合入侵防御、惡意代碼防御，為審計(jì)提供證據(jù)?；谏鲜鋈齻€(gè)方面，建立數(shù)控系統(tǒng)可信防護(hù)模型。配合傳統(tǒng)數(shù)據(jù)防護(hù)和系統(tǒng)防護(hù)技術(shù)，實(shí)現(xiàn)數(shù)控系統(tǒng)數(shù)據(jù)安全和系統(tǒng)安全。
2．3 數(shù)據(jù)和系統(tǒng)安全防護(hù)
基礎(chǔ)數(shù)據(jù)安全防護(hù)技術(shù)主要包括傳統(tǒng)的數(shù)據(jù)隔離技術(shù)( 如訪問控制、防火墻等) ，數(shù)據(jù)防泄露技術(shù)、數(shù)據(jù)安全存儲(chǔ)技術(shù)。數(shù)據(jù)隔離設(shè)備部署在數(shù)控系統(tǒng)外部接口網(wǎng)絡(luò)、接入網(wǎng)總線、控制網(wǎng)總線之間，作為基礎(chǔ)防護(hù)手段，用于事前監(jiān)控、事中檢測。數(shù)據(jù)安全防護(hù)主要配合可信數(shù)據(jù)防護(hù)機(jī)制，對(duì)運(yùn)行的數(shù)據(jù)，設(shè)置移動(dòng)設(shè)備數(shù)據(jù)控制功能，存儲(chǔ)在移動(dòng)設(shè)備上。一旦接入系統(tǒng)或遭遇不正常訪問，主動(dòng)接通數(shù)據(jù)訪問監(jiān)控服務(wù)器，啟動(dòng)訪問控制機(jī)制。DNC 數(shù)據(jù)服務(wù)器中的敏感數(shù)據(jù)配合信息保護(hù)域管理器進(jìn)行安全存儲(chǔ)。系統(tǒng)運(yùn)行基礎(chǔ)防護(hù)技術(shù)主要包括協(xié)議檢測、入侵檢測、惡意代碼檢測。系統(tǒng)安全防護(hù)主要配合可信防護(hù)和自治愈機(jī)制。在辦公網(wǎng)和 DNC 數(shù)控網(wǎng)絡(luò)部署入侵檢測/防御系統(tǒng)。對(duì)系統(tǒng)運(yùn)行狀態(tài)實(shí)時(shí)監(jiān)控，對(duì)專用工業(yè)通信協(xié)議進(jìn)行分析，發(fā)掘入侵線索，用于事后審計(jì)?？尚欧雷o(hù)予以拒絕的進(jìn)程，由入侵檢測系統(tǒng)予以判斷，做出防御響應(yīng)。同時(shí)收集惡意攻擊證據(jù)，用于事后審計(jì)。在攻擊威脅影響到數(shù)控機(jī)床的可用性時(shí)，啟動(dòng)自治愈容錯(cuò)恢復(fù)機(jī)制。
2．4 自治愈容錯(cuò)
自治愈機(jī)制的原理是在攻擊發(fā)生的情況下，系統(tǒng)通過接受風(fēng)險(xiǎn)、反饋調(diào)整，使系統(tǒng)處于健康工作范圍內(nèi)，從而實(shí)現(xiàn)對(duì)攻擊的免疫性。在數(shù)控機(jī)床網(wǎng)絡(luò)接口與交換系統(tǒng)上建立自治愈管理器。通過監(jiān)測系統(tǒng)運(yùn)行狀態(tài)和行為來判斷系統(tǒng)的改變是否在可接受范圍，進(jìn)而執(zhí)行相應(yīng)的策略。檢測數(shù)控系統(tǒng)異常運(yùn)行行為，監(jiān)測采集到的值抽象化，與數(shù)控系統(tǒng)功能屬性( 如可用性) 關(guān)聯(lián)，根據(jù)數(shù)控系統(tǒng)各個(gè)部件的約束評(píng)估值，推理確定數(shù)控系統(tǒng)是否運(yùn)行在可接受范圍內(nèi)，超出某個(gè)部件/網(wǎng)絡(luò)的閾值時(shí)，進(jìn)行系統(tǒng)異常預(yù)警。同時(shí)，啟動(dòng)自治愈響應(yīng)機(jī)制，根據(jù)當(dāng)前系統(tǒng)狀態(tài)需要達(dá)到的目標(biāo)生成防御恢復(fù)策略和推理演化機(jī)制，通過恢復(fù)機(jī)制對(duì)違反系統(tǒng)約束的情況進(jìn)行恢復(fù)，并反饋?zhàn)饔玫竭\(yùn)行系統(tǒng)上。容錯(cuò)恢復(fù)主要是保障系統(tǒng)發(fā)生災(zāi)難時(shí)仍能繼續(xù)提供服務(wù)的能力，或是能夠快速恢復(fù)被攻擊系統(tǒng)到正常狀況。冗余技術(shù)是最基本的容錯(cuò)恢復(fù)技術(shù)，在數(shù)控機(jī)床網(wǎng)絡(luò)適量部署冗余機(jī)床，在數(shù)控機(jī)床網(wǎng)絡(luò)接口和交換網(wǎng)上部署軟件冗余模塊。同時(shí)啟動(dòng)自檢技術(shù)，找到故障位置，屏蔽或隔離故障部件。系統(tǒng)改變和故障定位的過程信息以日志的形式記錄，存儲(chǔ)在審計(jì)服務(wù)器中，以備必要時(shí)審計(jì)。
2． 5 綜合防護(hù)機(jī)制
將前述分步建立的模型依次融合到數(shù)控系統(tǒng)事件生命周期中。主要將可信防護(hù)技術(shù)融入到事前實(shí)時(shí)監(jiān)控中，實(shí)現(xiàn)可信訪問控制; 將自治愈機(jī)制融合到事后容錯(cuò)恢復(fù)中; 將數(shù)據(jù)安全防護(hù)技術(shù)與可信機(jī)制結(jié)合，保護(hù)事件周期中的數(shù)據(jù)安全; 將系統(tǒng)安全技術(shù)融合到事中檢測，配合可信機(jī)制，進(jìn)行事后取證審計(jì)。
3、 數(shù)控系統(tǒng)安全綜合防護(hù)方案分析
3． 1 防護(hù)方案功能分析
所提方案可針對(duì)如下幾種攻擊的應(yīng)對(duì)。惡意代碼攻擊: 利用數(shù)控網(wǎng)絡(luò)系統(tǒng)的硬件、軟件、協(xié)議漏洞進(jìn)行惡意代碼攻擊。在綜合防護(hù)體系中，部署在外網(wǎng)和內(nèi)網(wǎng)惡意代碼檢測機(jī)制可檢測惡意攻擊，可信訪問監(jiān)控可發(fā)現(xiàn)通過移動(dòng)存儲(chǔ)設(shè)備的入侵，可信虛擬防護(hù)域基于完整性的訪問控制需求可阻斷惡意代碼攻擊，并預(yù)警或啟動(dòng)自治愈修復(fù)。未授權(quán)訪問: 首先由安全隔離設(shè)備進(jìn)行初步隔離，可信數(shù)據(jù)防護(hù)機(jī)制進(jìn)行拒絕訪問操作，并提交審計(jì)服務(wù)器。信息泄露: 主要是內(nèi)部網(wǎng)絡(luò)信息泄露，可依靠可信數(shù)據(jù)隔離環(huán)境、敏感數(shù)據(jù)安全保護(hù)域、對(duì)數(shù)據(jù)讀寫的認(rèn)證來防護(hù)。根據(jù)操作日志，進(jìn)行審計(jì)。拒絕服務(wù)攻擊: 主要針對(duì) DNC 數(shù)控網(wǎng)絡(luò)中的系統(tǒng)服務(wù)器、DNC 傳輸服務(wù)器、接口交換機(jī)進(jìn)行攻擊，使之不能正常工作或緩沖區(qū)溢出。綜合防護(hù)方案中主要通過協(xié)議檢測監(jiān)控訪問流量，通過可信計(jì)算平臺(tái)阻止非可信訪問請求。一旦數(shù)控機(jī)床出現(xiàn)故障，啟動(dòng)自治愈機(jī)制中的冗余機(jī)制，保證可用性，同時(shí)利用自檢機(jī)制恢復(fù)故障。防護(hù)方案協(xié)同性: 當(dāng)面臨各種攻擊時(shí)，綜合利用可信防護(hù)、數(shù)據(jù)和系統(tǒng)基礎(chǔ)防護(hù)、自治愈防護(hù)，協(xié)同防護(hù)數(shù)控系統(tǒng)。
(1) 防護(hù)方案的時(shí)間協(xié)同?？尚欧雷o(hù)用于事前監(jiān)控，實(shí)現(xiàn)可信訪問控制; 自治愈機(jī)制用于事后容錯(cuò)恢復(fù); 基礎(chǔ)數(shù)據(jù)安全防護(hù)配合可信數(shù)據(jù)防護(hù)，用于事中主動(dòng)數(shù)據(jù)訪問控制; 基礎(chǔ)系統(tǒng)安全防護(hù)配合可信防護(hù)，對(duì)可信防護(hù)拒絕進(jìn)程進(jìn)行入侵檢測，收集攻擊證據(jù)，用于事后審計(jì)。在攻擊威脅到數(shù)控系統(tǒng)可用性時(shí)，啟動(dòng)自治愈容錯(cuò)恢復(fù)機(jī)制。
(2) 防護(hù)方案的空間協(xié)同。所提方案充分利用數(shù)控網(wǎng)絡(luò)架構(gòu)不同資源屬性來部署防護(hù)技術(shù)，數(shù)控機(jī)床網(wǎng)絡(luò)實(shí)時(shí)性要求高，采用可信虛擬域隔離機(jī)制防止非授權(quán)訪問，并把針對(duì)數(shù)控機(jī)床的入侵防護(hù)機(jī)制部署在數(shù)控網(wǎng)絡(luò)中。一旦突破所有防護(hù)措施，啟動(dòng)自治愈機(jī)制，隔離修復(fù)受損設(shè)備。在DNC數(shù)控網(wǎng)絡(luò)中，部署可信平臺(tái)、入侵防御監(jiān)控平臺(tái)，確保核心控制系統(tǒng)安全性。在辦公網(wǎng)中部署復(fù)雜可信網(wǎng)絡(luò)、入侵檢測、惡意代碼檢測等措施，確保外圍網(wǎng)絡(luò)可靠性。
3． 2 防護(hù)方案性能分析
所提防護(hù)方案相對(duì)典型的縱深防御方案，主要增加了可信防護(hù)模塊(T) 、自治愈模塊( S) 、與 IPS、惡意代碼檢測模塊的接口機(jī)制( I) ，其時(shí)間復(fù)雜度分別為f(t(T)) ，f(t(S)) ，f(t(I)) ，f是時(shí)間函數(shù)，事前監(jiān)控階段主要是可信防護(hù)模塊的持續(xù)監(jiān)控，所提防護(hù)方案( P) 的時(shí)間復(fù)雜度為 f(t(P) ) = f(t(T)) = O(n) ，n 為可信模塊部署數(shù)量。事中檢測階段包括可信防護(hù)檢測、數(shù)據(jù)和系統(tǒng)防護(hù)檢測、自治愈恢復(fù)?？尚啪W(wǎng)絡(luò)計(jì)算的復(fù)雜度為 O( n12) ，n1為傳輸節(jié)點(diǎn)數(shù)，可信數(shù)據(jù)防護(hù)機(jī)制的事件復(fù)雜度為 O( n) + O( 1) ，O( 1) 為偶爾的外部移動(dòng)設(shè)備訪問監(jiān)控時(shí)間，自治愈恢復(fù)為 O(1) ，數(shù)據(jù)和系統(tǒng)防護(hù)的復(fù)雜度為 O( n) ，因此事中檢測階段 f( t( P) ) = f( t( T) ) + f( t( S) ) + f( t( I) ) = O(n12) +2O(n) + 2O(1) 。后審計(jì)取證階段的時(shí)間復(fù)雜度為O(1) ?？臻g復(fù)雜度主要是增加了可信管理服務(wù)器、自治愈管理服務(wù)器以及相應(yīng)數(shù)據(jù)存儲(chǔ)服務(wù)器，空間復(fù)雜度為 3O( n) 。
3． 3 對(duì)比分析
相對(duì)于王琦魁等所提出數(shù)控加工網(wǎng)絡(luò)防護(hù)方案( 簡稱王方案) ，本文所提方案增加了可信防護(hù)、自治愈、以及系統(tǒng)協(xié)同防護(hù)模塊。王方案主要采用加工網(wǎng)絡(luò)邊界隔離設(shè)備和終端防護(hù)設(shè)備，配合審計(jì)和防護(hù)協(xié)議保護(hù)數(shù)控系統(tǒng)。在抗攻擊方面，王方案針對(duì)外部攻擊具有較好效果，但對(duì)惡意內(nèi)部泄露攻擊防護(hù)較弱; 在效率方面，王方案通信內(nèi)容深度檢查、細(xì)粒度訪問控制、主機(jī)入侵防御都需要模式匹配和計(jì)算，時(shí)間復(fù)雜度介于 O( n) 和O( n2) 之間，n 為計(jì)算實(shí)體數(shù)量。在防護(hù)效果方面，現(xiàn)場設(shè)備的深度檢查會(huì)降低可用性，對(duì)完整性破壞的防護(hù)措施沒有提及，對(duì)安全攻擊處置較為滯后。
相對(duì)于 Fadul 提出智能電網(wǎng)可信防護(hù)方案，本文所提方案更為全面。Fadul 方案利用基于信譽(yù)的信任管理系統(tǒng)來緩和針對(duì)未來智能電網(wǎng)設(shè)施脆弱性的攻擊，可信系統(tǒng)部署在智能電網(wǎng)通信支持防護(hù)系統(tǒng)中。在抗攻擊方面，F(xiàn)adul 方案由于信譽(yù)的反饋延時(shí)，抗突發(fā)攻擊能力較弱。在效率方面，信譽(yù)計(jì)算和信任管理需要多域的網(wǎng)絡(luò)社區(qū)參與迭代計(jì)算，時(shí)間復(fù)雜度接近O( n2) ，空間復(fù)雜度為 mn，m 為實(shí)體歷史向量長度，n為實(shí)體數(shù)量。在防護(hù)效果方面，基于信譽(yù)的惡意攻擊免疫機(jī)制和通信帶寬合理分配機(jī)制，使得具有較好的安全性，適宜的可用性，但完整性防護(hù)欠缺。
以上分析結(jié)果列于表 1 中，防護(hù)效果用三個(gè)級(jí)別的屬性值表示: “優(yōu)”、“中”、“差”，“差”表示相應(yīng)的屬性未提及或效果較差。有一定效果，略顯不足為“中”?？构粜Ч譃?2 個(gè)狀態(tài): 可信和不可信。效率用時(shí)間復(fù)雜度表示。表 1 所示結(jié)果為以本文方法作為當(dāng)前標(biāo)準(zhǔn)的相對(duì)性能，可以推測出本文所提方案的優(yōu)越性。
表 1 防護(hù)方案對(duì)比
3．4 實(shí)例分析
以高級(jí)持續(xù)性威脅 ( Advanced Persistent Threat，APT) 攻擊為例，分析所提綜合防護(hù)方案的有效性。
APT 攻擊靈活組合多種新型攻擊方法，對(duì)目標(biāo)長時(shí)間滲透，在特定時(shí)刻實(shí)施攻擊。典型的針對(duì)數(shù)控系統(tǒng)的 APT 攻擊過程分為 5 個(gè)階段。①收集情報(bào)。利用社會(huì)工程，搜集并鎖定特定的數(shù)控機(jī)床。②突破防線。利用服務(wù)器漏洞、網(wǎng)站掛馬、釣魚軟件、移動(dòng)客戶端漏洞，攻入辦公網(wǎng)主機(jī)，獲取受害主機(jī)的權(quán)限。③建立據(jù)點(diǎn)，橫向滲透。建立控制服務(wù)器到受害主機(jī)的信道并獲取系統(tǒng)權(quán)限，橫向探測辦公網(wǎng)系統(tǒng)和 DNC 網(wǎng)絡(luò)的結(jié)構(gòu)和數(shù)據(jù)訪問規(guī)則，入侵更多主機(jī)，并規(guī)避被發(fā)現(xiàn)。④攻擊 DNC 系統(tǒng)服務(wù)器。模擬正常節(jié)點(diǎn)，連接DNC 系統(tǒng)服務(wù)器和 DNC 傳輸服務(wù)器，利用服務(wù)器漏洞，獲取系統(tǒng)代碼執(zhí)行權(quán)限。⑤完成攻擊。修改或破化控制數(shù)據(jù)，造成數(shù)控機(jī)床設(shè)備損壞或停機(jī)，并伴隨蹤跡銷毀等撤退策略。
所提綜合防護(hù)方案的防護(hù)主要分為 4 個(gè)階段:
第一階段，攻擊辦公網(wǎng)絡(luò)主機(jī)。在辦公網(wǎng)部署的防火墻、入侵檢測、惡意代碼檢測機(jī)制可阻斷部分入侵行為; 部署的可信網(wǎng)絡(luò)可根據(jù)節(jié)點(diǎn)長期歷史表現(xiàn)，隔離不可信主機(jī)。并提交取證審計(jì)模塊。
第二階段，橫向滲透攻擊。辦公網(wǎng)內(nèi)的滲透通過上述入侵檢測和可信網(wǎng)絡(luò)隔離。針對(duì) DNC 數(shù)控網(wǎng)絡(luò)的滲透采用協(xié)議檢測、數(shù)據(jù)訪問監(jiān)控、可信數(shù)據(jù)防護(hù)機(jī)制來監(jiān)控異常數(shù)據(jù)流，阻斷惡意節(jié)點(diǎn)對(duì)數(shù)控網(wǎng)內(nèi)數(shù)據(jù)信息讀寫和對(duì)控制信息的截獲，并預(yù)警。
第三階段，攻擊 DNC 系統(tǒng)服務(wù)器。在服務(wù)器上部署的可信計(jì)算平臺(tái)通過完整性認(rèn)證，拒絕惡意節(jié)點(diǎn)對(duì)操作系統(tǒng)的非預(yù)期控制，并確定數(shù)據(jù)篡改，實(shí)時(shí)預(yù)警;在 DNC 傳輸服務(wù)器上關(guān)聯(lián)的可信數(shù)據(jù)防護(hù)機(jī)制阻斷惡意指令的傳輸，并提交惡意代碼檢測服務(wù)器進(jìn)一步檢測防御，進(jìn)行取證審計(jì)。
第四階段，惡意行為繞過可信平臺(tái)，對(duì)設(shè)備進(jìn)行攻擊。啟動(dòng)虛擬隔離機(jī)制，隔離受害數(shù)控機(jī)床，控制攻擊范圍; 啟動(dòng)自治愈機(jī)制，通過無故障冗余機(jī)床持續(xù)提供服務(wù); 同時(shí)啟動(dòng)自檢技術(shù)，屏蔽或隔離故障部件，并及時(shí)修復(fù)和審計(jì)。從而最大化消除 APT 攻擊的影響。按照圖 2 的基本結(jié)構(gòu)搭建模擬環(huán)境，部署防護(hù)方案，模擬 APT 攻擊方式，配合各種滲透技術(shù)，入侵到DNC 數(shù)控網(wǎng)絡(luò) 20 次，以讀取和破壞 DNC 控制文件為攻擊目標(biāo)。實(shí)驗(yàn)結(jié)果顯示攻擊都被有效阻斷，第一階段攻擊阻斷概率( 阻斷的攻擊次數(shù)占比總攻擊次數(shù))為 40% ，第二階段檢測概率為 30% ，最后 30% 都在第三階段被阻斷。綜上所述，所提出的綜合防護(hù)方案對(duì) APT 攻擊具有較好的防護(hù)效果。
4 、結(jié)論
本文提出了一種數(shù)控機(jī)床自動(dòng)化網(wǎng)絡(luò)系統(tǒng)安全綜合防護(hù)方案，有效解決了數(shù)控機(jī)床信息安全防護(hù)難題，相對(duì)于以往的方案具有更好的協(xié)同性和有效性。該方案可形成完整的過程防護(hù)，并自成體系，對(duì) APT 有較好的防護(hù)效果。由于可信防護(hù)技術(shù)和自治愈的本質(zhì)安全特點(diǎn)，該方案可部署在異構(gòu)混雜的數(shù)控系統(tǒng)中。
