工控系统攻击行为分析

网络攻击可能来自多种原因，黑客、职业罪犯、遭公司解雇或对公司不满而离开的员工、公司竞争对手等都可能发起网络攻击行为。有些攻击行为是明显的，能发现某些地方出现了问题，有些攻击行为是隐秘的，用户很难发现，比如入侵一台控制器、PC或通信设备中，偷听会话，窃取数据，甚至进行破坏操作。

网络攻击的基本步骤和方法同样适用于工业控制系统，不过由于工业控制系统使用专门的系统和协议，其攻击步骤和方法也有一定的差异性。针对工控系统的攻击主要包括四个方面。

1.信息搜集。工业控制系统的网络、协议和系统都比较特殊，攻击者要搜集到相关信息并不容易，但他们通常会从企业的公开信息、轮班时间表、合作服务和贸易往来，尤其是企业供应商所提供产品的协议规范等入手，以了解控制系统相关设备的漏洞和后门。

2.网络扫描。利用网络扫描可以通过端口、协议等信息快速定位SCADA和DCS系统。值得注意的是，很多工业控制系统的网络协议对延时非常敏感，如果硬扫描，很可能导致整个网络瘫痪。

3.账户破解。很多工业控制系统是基于Windows系统的，那些专门破解Windows账户信息的方法和工具也可以应用到工控系统上。尤其是运行在WindowsOLE和DCOM上的OPC系统，只要通过主机认证就可以全面控制OPC环境。所以从功能上将物理设备和逻辑设备全部隔离到安全区域是非常重要。NIST800-82（工业控制系统安全防护指南）建议采用账户复合认证方式，也就是说，即使知道了某个用户名或密码，也很难通过账户认证。

4.实施攻击。如前所述，一次简单的网络扫描就可以破坏工业控制系统网络。因为工业控制系统网络协议非常敏感，信息流稍有变化，协议就会失效。所以，利用硬扫描来破坏系统，利用软扫描来侦测信息成为安全隐患。另外，风险还存在于通过防火墙实施网络扫描，因为通过防火墙的开放端口进行分组交换更加容易。一旦扫描通过，黑客就可伪装合法通讯并实施DoS攻击。