融安网络：浅谈工业控制系统网络靶场的发展及应用

    随着国家新基础设施时代的到来，工业控制系统的网络安全问题备受关注。对于工业控制系统，一旦病毒、蠕虫等入侵，系统将面临停机的风险，造成不可估量的经济损失，甚至更严重的安全事故，威胁人员的生命安全。因此，工业控制系统的测试和工业控制安全的研究迫在眉睫。

    工业网络安全目标领域是进行工业控制系统网络安全测试、演练和研究的必要设施。在网络安全和工业现场模拟系统的基础上，建立虚拟与现实相结合的综合工业网络安全目标领域，集教学、科研、评价、展示等功能于一体。通过复制模拟攻击行为和保护措施，展示攻击效果，验证保护措施的有效性，帮助工业企业提高综合保护能力，提高技术人员的安全意识和安全技能。

    1、分析国内网络靶场应用现状

    1.1网络靶场的定义

    网络靶场起源于美国。根据2008年5月1日美国国防高级研究计划局(DARPA)发布的国家网络靶场(NationalCyberrrrange)招标文件，网络靶场的相关概念和作用定义正式出现在市场上。

    根据网络解释：网络靶场（Cyberrrange）是一种基于虚拟化技术模拟和复制真实网络空间中的网络架构、系统设备、业务流程运行状态和运行环境的技术或产品，从而更有效地实现与网络安全相关的学习、研究、测试、竞赛和演习，从而提高人员和机构的网络安全对抗水平。

    1.2中国网络靶场的发展现状

    目前，网络靶场已成为网络空间安全研究、学习、测试、验证、演练等必不可少的核心基础设施。世界各国高度重视网络靶场建设，作为支持网络安全技术能力的重要手段。

    目前，我国网络靶场建设仍处于发展和跟进阶段，在我国数字化转型的背景下，技术和市场有很大的提升空间。其中，军事单位有单一的小功能靶场。此外，还有一些科研实验室和行业专用试验场。其主要功能是研究电子信息对抗和模拟技术，测试和测试行业产品。

    从系统应用的角度来看，我国现有的网络测试环境或测试床规模仍然较小，主要针对某一专业领域，不适用于系统的网络空间安全研究测试和测试评估。在国家网络靶场建设方面，在靶场基础理论研究、关键技术和产品研发、网络空间安全风险评估研究等方面仍存在较大差距。

    二、介绍工业网络靶场

    在网络靶场中，复制信息系统环境是网络靶场的主要核心能力。工业网络靶场侧重于复制工业控制系统和关键信息基础设施环境的能力，并整合支持复制信息系统环境的能力。

    在我国各行业数字化的背景下，新的工业网络空间技术、新的场景、新的应用效率验证和内生安全对靶场能力和技术提出了更高的要求。工业网络靶场的成熟发展将有效支持两个强国、新基础设施等重要战略工作。

    2.1工业网络靶场面临的挑战和问题

    (1)系统化、集成化、协调发展尚未实现，行业产品技术能力和运营服务水平参差不齐；

    （2）工业网络靶场运营模式与相应需求不匹配，使用频率低，导致建设者投资回报率低，工业网络靶场价值无法体现；

    （3）核心技术由国外主导，闭源软件、私人通信协议、专用硬件导致工业靶场虚拟模拟能力瓶颈；工业工艺模拟困难，保密；工业网络流量和用户行为收集不足，模拟开发缺乏大量真实数据支持。

    2.2工业网络靶场

    基于网络靶场的作用和价值，我们在工业领域开展了网络靶场的实际应用探索。工业网络靶场定位为覆盖电力、能源、通信、交通等领域，满足关键信息基础设施安全系统建设、工业网络攻防能力验证、工业产品检测评价的需要。通过虚拟化技术和模拟化技术，靶场可以重现真正的工业网络节点和链接。依托虚拟环境，可以完成网络空间和工业网络系统规划论证、能力测试评估、产品研发测试、产品安全测试、人才教育培训等任务。

    工业控制网络靶场不仅作为沙盘的展示和基本的攻防演练功能，还应具备学习和研究能力，深入挖掘各种设备的通信协议和漏洞，形成大数据分析显示、情况感知等强大功能。

    三、融安网络工业网络靶场功能介绍

    鉴于传统工业控制系统典型架构的网络脆弱性和各种协议漏洞，荣安网络依托多年的技术积累和工业控制安全领域的应用实践，建立了工业网络目标领域。

    3.1离线模拟

    在典型立工业控制系统的模拟演示环境，有效帮助客户验证系统的安全为补偿措施提供依据，模拟典型生产工业控制网络和各生产环节的工艺流程阶段和使用的相关协议。由工业控制设备和模拟模型组成，恢复真实现场；目标系统离线测试；工业控制安全深度攻防演习；在线显示可视化攻击路径；满足用户培训、测试、标准验证等多元化需求。

    3.2漏洞挖掘

    漏洞挖掘检测技术为工业控制设备提供全面的检测和漏洞挖掘功能，通过各种测试脚本和套件的综合应用，快速准确地发现各种工业控制设备各种工业控制设备的已知漏洞和未知漏洞，并可以在漏洞挖掘的基础上进行一系列漏洞根分析和保护策略研发验证，未来也可以使用保护设备联动，将设备漏洞添加到漏洞库中。

    协议漏洞挖掘。

    为工业控制通用协议提供全面的协议监控、强化分析等功能；为私人协议提供客户定制开发、用户开发介绍和未知协议智能测试。对于用户自己或遇到的私人协议，可以提供接口，由客户定制开发，以确保用户私人协议的保密性。对于用户遇到的未知私人协议，可以进行智能Fuzzing，智能发现用户私人协议中的功能漏洞和协议实现的漏洞。

    挖掘设备漏洞。

    专业检测工控网络仿真平台设备、模拟平台工控网络保护设备。

    测试任何具有Ethernet端口和网络堆栈的设备。

    测试内容包括兼容性、安全性、功能性等。测试装置的兼容性、安全性、功能性等多种因素决定，包括可用的存储器、处理资源和网络响应时间。在执行测试用例时，健康设备不会发生任何意外或异常的服务或性能变化。不健康设备的行为变化，如性能退化和硬件故障。

    漏洞根源分析。

    抓住包重放和专业分析工具，准确定位漏洞的根源，梳理攻击原理。在挖掘漏洞的过程中，使用数据包进行捕获。测试完成后，将数据包捕获文件保存到漏洞挖掘设备中。可使用专用分析工具打开文件，查看测试流量的详细信息。根据数据包分析的结果进行有针对性的测试。

    漏洞管理

    全面覆盖工业控制漏洞，支持衍生开发，扩大后续挖掘、检测能力和保护策略，提供行业最大的工业安全漏洞库、最丰富、最全面的网络和工业控制协议测试库和最先进、最智能的测试技术和最先进、最智能的测试技术；检测到的系统或设备漏洞可在开发后添加到漏洞库中，并转换为漏洞测试套件，不断提高漏洞库，提高系统检测能力，制作相应的漏洞补丁。

    3.3安全防护技术

    通过部署智能工业防火墙技术、工业检测审计技术、统一安全监督平台技术等工业安全防护技术，对整个系统进行安全防护。

    安全感知技术。

    以各种国家标准和行业标准为指导，整合大数据计算、统一数据采集、数据分析、策略发布、事件调查和可视化大屏幕。通过学习资产、流量、日志、事件等数据，发现网络中的弱点和威胁，感知整个网络的安全状况，帮助用户真正实现可见的安全、可靠的网络。真正了解家庭背景，识别风险，发现漏洞，通知结果，督促整改。

    USB安全防御技术。

    通过荣安网络公司USB安全防御技术，对靶场主机系统USB接口进行安全加固，实现工控网络模拟系统上位机操作系统USB接口加固和USB接口管理，防止病毒通过U盘传播，破坏系统。

    智能工业防火墙技术。

    通过模拟平台关键区域和设备前端的智能工业防火墙技术串联部署，实时拦截利用漏洞引起的攻击，确保关键区域和设备的稳定运行，实现区域保护的目的。

    工业监测审计技术。

    利用荣安网络公司的工业监控审计技术，实现目标领域网络流量的入侵检测和网络安全审计，及时发现网络中的异常行为和攻击，为事件的可追溯性和恢复提供强有力的技术依据。

    3.4漏洞验证

    检测和保护预期在线设备的漏洞和攻击，验证保护设备和补偿措施的有效性。增加防护手段后，需要再次攻击漏洞，验证防护措施的有效性。同时，对准备上线的设备进行中间测试，验证上线设备是否存在已知的安全漏洞。

    漏洞特征库

    用户可以自己添加到基本的漏洞库中。漏洞库根据不同的实际环境具有相应的特点。同时，可以对用户进口仓库，完善重放抓包、漏洞危害描述、漏洞影响范围进行分类深入分析，从而决定采取的措施。

    漏洞库验证

    根据类别存储进一步检测和验证相应漏洞的表文件，并与漏洞特征库中检测表文件的名称和字段相对应。验证数据库中的每个表文件都对应于某些漏洞的检测和验证方法，并记录了多少种检测和验证方法。使用时，提取相应表文件的字段值，生成检测脚本程序行检测，并在使用后释放。

    漏洞的威胁。

    分别分析内存破坏、CGI漏洞、输入验证、错误漏洞配置、内存破坏、意外错误处理漏洞的威胁，并对相关漏洞提出有针对性的保护方法和建议。

    3.5攻防对抗

    通过实验和研究工业网络靶场、防护演练、漏洞验证等方向的实验和研究，利用工业控制系统存在的漏洞，以各行业的生产工艺为靶场的基础进行专业演练。结合近年来工业网络安全热点事件的攻击原则、攻击路径和防护方法，更直观地为研究人员提供攻防对抗的平台环境。同时，在工业网络靶场的基础上，还可以形成与工业控制系统攻防对抗技术相关的专有技术研究和项目申报。

    3.6.防护建议

    有效整合现有安全检测设备和安全防护设备，验证即将启动的设备中试漏洞，实现设备中试和已知漏洞防护建议。

    漏洞验证子系统主要是对现有漏洞进行风险分析，通过丰富的漏洞库和漏洞验证库对工业协议、传统IT协议、木马后门、典型的工业控制恶意软件、工业控制服务等进行漏洞特征分析验证。该系统有助于提高用户对漏洞本质的理解。用户可以根据系统的漏洞特征分析报告有针对性地消除漏洞，对预测未知漏洞的研究和获取最新的攻击技术具有很大的参考价值。

    四、融安网络工业网络安全靶场特点

    功能特点

    4.1高度模拟工业控制现场。

    软硬件资源，如组态软件、HMI、MES、DCS、PLC、电机、阀门、传感器等。

    4.2直观多维效果显示。

    通过模拟沙盘、效果展板、操作中心、声光电等方式可视化显示攻击路径、防护手段、攻击危害等。

    4.3综合攻击防护手段。

    采用多种合理有效的攻击手段，模拟典型的攻击事件，定位工业控制网络中的安全软环节；综合边界隔离、网络监控、终端保护等措施，形成保护计划，实施有效性验证。

    4.4深度定制行业特点。

    根据电力、智能制造、石油、石化、轨道交通、市政、医药、船舶、煤炭、烟草、水利等行业的特点，模拟高仿真行业定制。

    五、融安网络应用于工业网络安全靶场

    5.1教育与实验应用

    工业控制网络安全移动实验箱是一套针对工业控制网络安全设计的移动教学平台，以小型自动化系统为基础，整合工业控制网络安全保护解决方案。

    移动实验箱产品的主要实验装置采用与实际应用一致的小型工业控制系统（配备主流PLC和HMI设备），配备典型的工业控制程序，模拟工业现场环境。荣安网络安全防护产品（工业设备防御系统、工业监测审计系统）部署在移动实验箱的主要实验装置上，增加网络保护、网络隔离和网络审计功能。

    工业控制网络安全移动实验箱配备理论教学书籍和实验教学指导书籍，可帮助学习者学习工业控制网络安全防护和攻防知识。

    5.2工业信息安全攻防大赛应用

    工业信息安全防御竞赛是围绕电力、化工、能源、轨道交通等关键基础设施，模拟其工业控制系统生产环境进行信息安全防御对抗，通过技术手段在规定时间内控制系统漏洞攻击，挑战困难，团队排名第一。

    同时，通过技术论坛、实时技术讲解、赛后演练，分析工业系统关键基础设施的信息安全问题，提高工业控制系统的安全意识，完善工业控制系统信息安全检查机制，扩大信息安全人才队伍建设，提高工业控制系统专业人员的技术水平。

    5.3工业网络安全虚拟靶场应用

    工业网络安全虚拟靶场是建立一个虚拟的工业控制系统模拟环境，包括建立工业安全防护设备、虚拟PLC控制器、虚拟SCADA系统、数据采集服务器和信息办公系统、网络门户网站等。整个系统如下图所示：

    在工业网络安全虚拟靶场平台的应用中，荣安网络可以根据用户需求进行电力、石化、智能制造等行业的虚拟靶场攻防演练，实现快速部署、快速切换、实时状态监控、Modbus、S7/S7Plus、CIP、OPC等工控协议的数据采集、接入和模拟；广泛应用于教育教学、工业培训、攻防竞赛等场景。

    5.4制定工业网络安全靶场标准

    为加强我国网络空间安全技术、试验、风险评估等工作。2019年12月，中国通信标准化协会召开的技术管理委员会第二次会议批准在TC8下成立网络空间安全模拟任务组，开展网络靶场相关标准化工作。

    荣安网络牵头并参与了网络空间安全模拟靶场的多项标准制定。其中，我公司作为领导单位，审核并提交项目审批申请的标准包括《网络靶场数据采集指南》和《电力行业靶场模拟平台接入技术要求》。

    随着工业网络安全靶场标准规范的制定，工业网络安全靶场的建设和实施更加有根据。荣安网络还积极参与，为我国工业网络安全靶场技术研究、攻防试验、风险评估等标准化工作做出贡献。