集散控制系統（DCS）網絡安全性分析及防范措施

羅曉東

摘要：集散控制系統（DCS）正在被廣泛的使用于化工、電廠等生產自動化程度較高的單位。其通訊網絡是建立在國際標準化組織（ISO）所定義的開放系統互連標準基礎上的。但現在DCS網絡往往也與工廠信息網相連，進而聯入互聯網，其開放的網絡標準為其安全性帶來隱患，采取合理防范措施刻不容緩。

關鍵詞：集散控制系統;以太網;黑客;病毒;防火墻;密碼

自70年代以來，以微機為核心的集散控制系統DCS將現代高科技的最新成就，計算機技術、通訊技術、CRT顯示技術和自動控制技術集為一體，使自動化儀表裝置向系統化，分散化，多樣化和高性能化的方向產生了一個質的飛躍。腈綸廠的腈綸裝置就是采用了DCS控制系統的優秀產品--I/ASeries。隨著各個廠商不同DCS產品的推出，國際標準化組織制定了MAP協議，即制造商自動化協議，使遵守該協議的計算機系統均能實現網絡互聯，現今所有優秀DCS系統都遵循此協議，即都是開放的DCS系統。但是，在如今的互聯網時代，黑客軟件和網絡病毒隨處可見，而且愈演愈烈。那么開放式系統在有通用性強的好處的同時，安全性則往往被忽略。DCS系統一旦被攻擊，所造成的損失會不可估量。這一點各大DCS廠商并沒有引起足夠的重視。I/ASeries也有其缺陷。

應用處理機將控制系統的網絡同工廠的管理信息網聯系在一起，這是一個極大的安全隱患。網絡安全界有句話：最厲害的攻擊是來自內部的攻擊。由于工廠的管理網使用的人很多，而且接入互聯網，那么黑客軟件極有可能被使用，雖然很可能是無意識的和非惡意的，但是造成的后果不堪設想。更有網絡病毒可能在不知不覺中被散播。

黑客和病毒主要是攻擊計算機的文件系統。首先，筆者先簡要介紹一下UNIX的文件系統。UNIX的文件系統以樹形結構存放，每個文件有關于此文件訪問權限的設置。分為三組，每組三個字母（RWX），分別代表讀，寫，執行的權限，短行“-”表示該權限被取消。三個組按序分別為：文件屬主，與文件主處于同一組的用戶，其他用戶。

針對目前腈綸廠DCS網絡的具體情況，以下幾種攻擊手段都是可能被用到的，很可能對網絡造成嚴重后果。筆者也將分別論述一下應該采取的措施。

一、密碼破解

在網絡界，相當多的攻擊都是從破解密碼開始的，更確切的說，是從騙取密碼開始的。為了應付這種情況，最近版本的UNIX系統引進了Shadow機制，在仍然把用戶名保存在Passwd中的情況下，把口令密碼都保存在一個Shadow文件中，這個文件只對超級用戶ROOT可讀。但是黑客仍然可以利用某些工具加上一個字典來進行試探性攻擊，這個字典中存放著常用的可能作為密碼的單詞序列，然后用黑客工具對其一一進行加密，把加密后的密文與目標口令進行比較，直到相同為止。這種黑客工具的速度可以達到很高，如果選擇的密碼是常用詞匯或者簡單數字和字母組合，那么攻擊程序可以在幾秒鐘內試探出這個密碼。

二、網絡監聽

在以太網中是基于廣播方式傳送數據的，也就是說，所有的物理信號都要經過機器，再次，網卡可以置于一種模式叫混雜模式，在這種模式下工作的網卡能夠接收到一切通過它的數據，而不管實際上數據的目的地址是不是他。這實際上就是網絡監聽工作的基本原理：讓網卡接收一切他所能接收的數據。

網絡分段通常是保證網絡安全的一項重要措施。其目的就是將非法用戶與敏感的網絡資源相互隔離，從而防止可能的非法偵聽。

對局域網進行網絡分段后，以太網偵聽的危險仍然存在。這是因為網絡最終用戶的接入往往是通過分支集線器而不是中心交換機，而使用最廣泛的分支集線器通常是共享式集線器。這樣，當用戶與主機進行數據通信時，兩臺機器之間的數據包還是會被同一臺集線器上的其他用戶所偵聽。一種很危險的情況是：用戶TELNET到一臺主機上，由于TELNET程序本身缺乏加密功能，用戶所鍵入的每一個字符（包括用戶名、密碼等重要信息），都將被明文發送，這就給黑客提供了機會。

因此，應該以交換式集線器代替共享式集線器，使單播包僅在兩個節點之間傳送，從而防止非法偵聽。腈綸DCS系統與工廠信息網因此采用了交換式集線器，確保網絡安全。

3 拒絕服務攻擊

當大量的服務請求發向一臺計算機中的服務守護進程時，就會發生服務過載。這些請求可以通過許多方式發出，許多是故意的。在分時機制中，這些潮水般的請求，使得計算機十分忙碌地處理這些不斷到來的請求，以至于無法處理常規的任務。同時，許多新到來的請求被丟棄，因為沒有空間來存放這些請求。如果攻擊的是一個基于TCP協議的服務，那么這些請求的包還會被重發，結果更加重了網絡的負擔。物理方法也可以關閉一個網絡。將網絡的電纜接地，引入一些其他信號或者將以太網上的端接器拿走，都可以有效地阻止客戶發送或者接收消息。這種攻擊方式不僅可以阻止那些依賴服務器提供程序和資源的各種機器，也可以阻止向主服務器匯報戳物的登錄請求或者危險的行動，來掩蓋一次非法訪問的企圖。在這種情況下，被攻擊的主機要向主服務器報告發現的錯誤信息。

保護網絡的電纜不被物理地接入其他設備。這也可以減少被監聽的威脅。這種保護措施減少了對電纜上的各個節點的監聽和欺騙，也可以有效地防備信號接地這類拒絕服務的攻擊。有效防范拒絕服務攻擊的方法是架設防火墻。

防火墻的概念：當一個網絡接上互聯網之后，系統的安全除了考慮計算機病毒、系統的健壯性之外，更主要的是防止非法用戶的入侵。而目前防止的措施主要是靠防火墻的技術完成。防火墻是指一個由軟件或和硬件設備組合而成，處于企業或網絡群體計算機與外界通道之間，限制外界用戶對內部網絡訪問及管理內部用戶訪問外界網絡的權限。這方面腈綸DCS還存在問題，出于生產的需要，系統開放了telnet、ftp等端口，很容易遭受攻擊，因此，筆者建議應該在DCS內部網絡和工廠信息網之間應該架設防火墻網關，采取控制IP地址等措施來減少可連接到DCS系統的計算機數量。

四、木馬攻擊

特洛伊木馬（以下簡稱木馬），它是一種基于遠程控制的黑客工具，具有隱蔽性和非授權性的特點。所謂隱蔽性是指木馬的設計者為了防止木馬被發現，會采用多種手段隱藏木馬，這樣服務端即使發現感染了木馬，由于不能確定其具體位置，往往只能望“馬”興嘆;所謂非授權性是指一旦控制端與服務端連接后，控制端將享有服務端的大部分操作權限，包括修改文件，控制鼠標，鍵盤等等，而這些權力并不是服務端賦予的，而是通過木馬程序竊取的。

抵御木馬的有效方法是在系統服務器上安裝防火墻和殺毒軟件，筆者建議應購買大廠商的防火墻軟件和病毒查殺軟件，并及時升級和更新。

綜上所述，DCS網絡安全是一個值得重視的問題。在享受網絡帶給我們的信息便利性的同時，嚴格控制對信息的訪問權限、保證信息的完整性。除了在軟硬件方面加強網絡安全性以外，DCS的網絡管理人員也要從思想上認真重視，提高網絡管理的技術水平，建立嚴格的管理制度預防為主，確保DCS系統安全、正常、穩定地運行，為生產保駕護航。

參考文獻：

[1]《網絡入侵檢測系統的設計與實現發>》唐正軍等著電子工業出版社

[2]《計算機網絡安全基礎》袁津生 吳硯農人民郵電出版社

[3]《網絡安全與電子商務》陳兵北京大學出版社

[4]《網絡信息安全技術基礎》北京啟明星辰信息技術有限公司電子工業出版社