【應用案例】用施耐德電氣ConneXium多芬諾防火墻，讓SCADA安全更簡單
用施耐德ConneXium多芬諾防火墻，使SCADA安全更簡單
“在缺乏充足IT預算的情況下，自動化系統(tǒng)仍需要網絡安全保障，且只應包含盡可能少的人工干預?！?/span>
對此我非常同意。以上論述引自Pike Research公司Bob Lockhart在今天的新產品ConneXium多芬諾防火墻新聞發(fā)布會上的發(fā)言。ConneXium多芬諾防火墻是我們與施耐德電氣合作研發(fā)的新產品。它充分體現(xiàn)了我的核心理念，那就是為保證SCADA和ICS網絡安全的有效性，我們需要使產品易于配置、組態(tài)和維護。自我在BCIT實驗室1工作以來，這一理念就是多芬諾工業(yè)安全解決方案基礎設計的重要組成部分。這款施耐德電氣與多芬諾安全公司合力推出的新產品通過加入一系列超級簡便的使用特性讓我們的核心理念進一步實現(xiàn)。
感謝施耐德電氣為改善客戶網絡安全而在很多方面做出的諸多努力。比如，他們在其所有主要的自動化產品上進行詳細的安全性分析，這是復雜且花費昂貴的舉措。另一項舉措則是與我們共同研發(fā)connexium多芬諾防火墻。
需要補充說明的是，ConneXium是施耐德電氣網絡基礎設施產品系列，可以與施耐德公司的自動化產品交互操作。ConneXium多芬諾解決方案是強化工業(yè)系統(tǒng)避免網絡事故和攻擊的新產品。
可供配置與組態(tài)的多種防護插件
如我之前所述，使用的便利性是我們兩個團隊合作本項目的核心目標。首先，我們努力使ConneXium Tofino解決方案能夠擴大應用范圍。比如，包含配置工具的用戶界面（叫做ConneXium Tofino 組態(tài)器）的設計在視覺上和感覺上都很像Windows瀏覽器，一款所有人都用于管理電腦文件的工具。
還有一點你很快也會注意到，就是當你打開組態(tài)器時能看到“資產管理模板”。這些是為主要施耐德自動化產品的預設模板。無需是安全領域的專家，工程師們直接選擇他們工廠中正在使用的施耐德產品的型號就可以了。當他們確定好哪些設備是允許通信的以后，適用于那些產品的規(guī)則就會自動生成。最后，新專家技術會在防火墻編程中檢查規(guī)則里的常見錯誤并提出可行的改善建議。
ConneXium Tofino組態(tài)器的設計看起來和使用起來都和Windows瀏覽器一樣。在這里你可以看到在Project Explorer導航窗下選取了Tofino “FS_TSA_001”規(guī)則。在規(guī)則詳細設置中選擇“只讀”選項，從而配置防火墻只允許只讀數(shù)據的Modbus指令通過。所有的寫數(shù)據和編程指令都會被阻止。
正如多數(shù)人了解的那樣，大多SCADA和ICS協(xié)議并不支持網絡消息的粒度檢測。在TCP/IP層，讀數(shù)據包看起來就和PLC固件升級包一樣。如果你允許讀數(shù)據包通過傳統(tǒng)防火墻，你也讓固件升級包通過了。這就是一個很嚴重的問題了。
ConneXium Tofino產品在自身每個單元中配置了我公司的Modbus TCP Enforcer模塊，就可以解決這個問題。Modbus TCP Enforcer只允許被認可的Modbus指令從被核準的設備發(fā)出并通過防火墻。這被稱為“深度包檢測”，這項技術阻止了不恰當?shù)倪h程編程或來自于惡意軟件和黑客的蓄意破壞消息等多種攻擊。類似于這樣的技術在防火墻領域中是非常稀缺的。
再次說明，使用的便利性對Modbus TCP Enforcer來說非常關鍵。這就無需要求控制工程師們掌握應用程序所使用的特定Modbus功能編碼，因為很多標準應用場景已經定義好了。比如，若你想讓ConneXium Tofino只允許讀數(shù)據指令在PLC和HMI之間傳送，那你可以直接選Read Only選項。
針對產品漏洞的多芬諾安全文件
在之前的一篇博客中我討論過需要在不停地打補丁這一措施之外尋找其他備選方案。ConneXium Tofino防火墻通過支持多芬諾安全文件實現(xiàn)了這一目標。他們是定制規(guī)則，以及為抵御最新公開的漏洞和惡意軟件所定義協(xié)議的集合。每個多芬諾安全文件都是已經打包好的，因而能夠迅速配置且不會影響運行，從而提供抵御新威脅的快速且有效的安全屏障。
例如，上周我發(fā)布了針對CoDeSys漏洞的安全文件。CoDeSys漏洞是影響上百個不同控制產品安全的威脅。由于CoDeSys公司還沒有提供產品補丁，因此我們與Joel Langill公司 (www.scadahacker.com)合作，即時發(fā)布了解決方案。
網絡安全防護是有效果的
如果你是本博客專欄的定期讀者的話，你會了解我們刊登的大部分文章旨在普及相關知識而非營銷。不過這一篇的確是在“為自己宣傳”，因而非常感謝大家一如既往的支持！
然而更重要的是，我希望本篇博客能夠說明科學技術能夠設計的讓工業(yè)網絡安全易于實現(xiàn)。不論你是否選擇使用多芬諾技術，我們都希望你能夠看到網絡安全技術是可以交付使用的，這樣控制器使用者們就能確保他們的系統(tǒng)是安全的——而且也就能夠專注于安全可靠的生產活動，做好本職工作。
我再從Bob Lockhart在Pike Research上的發(fā)言中引用兩句作為本文的結尾：
“自動化系統(tǒng)面臨著特殊的網絡安全挑戰(zhàn)，需要由了解這些系統(tǒng)如何運行的企業(yè)提供安全防護……那些想要專注于他們的核心業(yè)務，而非技術的公司?！?/span>
投訴建議
提交
能源領域網絡安全框架實施指南（英文版）
【指導手冊】有效網絡防御的關鍵控制
【操作指南】SCADA與過程控制網絡防火墻配置指南
【指導手冊】控制系統(tǒng)安全實踐匯編
【操作指南】工業(yè)控制系統(tǒng)(ICS)安全指南