“震网”危机自动化安全亮红灯

Stuxnet病毒--天生的工业杀手

　　Stuxnet蠕虫病毒是世界上首个专门针对工业控制系统编写的破坏性病毒，能够利用对windows系统和西门子SIMATIC WinCC系统的7个漏洞进行攻击。
　　特别是针对西门子公司的SIMATIC WinCC监控与数据采集系统进行攻击，由于该系统在我国的多个重要行业应用广泛，被用来进行钢铁、电力、能源、化工等重要行业的人机交互与监控。
　　其独特性在于，第一次有人决定花时间，刻意以特定供货商的SCADA系统监控与数据抓取功能软件平台做为攻击目标。去年9月，Stuxnet病毒已经感染了全球超过45000个网络，伊朗、美国等多地均不能幸免。
【西门子：“震网”并不可怕】

　工业控制很“受伤” 西门子再曝系统新漏洞
　   去年因超级工厂病毒引发的制造业系统安全余波未平；大爆发时，我国曾有上千家工厂受到攻击。近日全球独立安全检测机构NSSLabs的一项报告，再次把此话题搅热。
　   该机构5月中旬发布报告称，西门子的一个工业控制系统存在新的漏洞，该漏洞易受黑客攻击。
　   这一新漏洞被发现再次引起业界的担心。媒体报道称西门子漏洞产品在华深耕部分企业对隐患不知情。本专题将解剖StuxnetWorm病毒入侵过程，并提出解决措施。【详细】

最新报道

事件背景

　　Stuxnet病毒被多国安全专家形容为全球首个“超级工厂病毒”，于2010年6月被发现曾造成伊朗核电站推迟发电。于9月进入中国，造成国内有近500万网民及多个行业的企业遭其攻击。
　　11月攻击伊朗核电厂，锁定水库、油井、电厂等重要基础设施。2011年5月，西门子公布了存在漏洞的自动化PLC SIMATICS7-1200。目前，这款小型PLC已经在国内应用于各个领域。

漏洞产品

SIMATICS7-1200可编程控制器是西门子公司推出的新一代PLC,作为S7-200的升级替代产品,它被定位在S7-200和S7-300之间。体积非常小，是工业自动化操作系统的核心，“代表了未来小型可编程控制器的发展方向”，应用领域十分广泛。
　　为推广该产品，2010年4月至6月，西门子自动化系统部在北京、哈尔滨、深圳等11个城市进行“互动体验之旅”。2011年西门子又启动了首届有奖征文大赛。【详细】

攻击过程详解

　　据西门子官网称，目前全球共有 24 个工业领域的西门子客户报告感染了特洛伊木马病毒。各种情况下恶意软件都能被清除。所有这些感染都没有对自动化解决方案造成不利影响。对那些和被Stuxnet视为目标类似的企业控制系统来说，这应该是一记警钟。Stuxnet攻击的“软”目标皆未受到良好的防护。这些系统之所以未受到良好防护，是因为他们是位在网络的“内部”，可能被认为其区域防护已足够。网络的安全性其实取决于其最弱的环节。有鉴于此，我们详细解剖了该病毒是如何攻击感染PLC的全过程。【 Stuxnet驱动分析】

Stuxnet会根据目标系统的特点，使用不同的代码来感染PLC。一个感染的序列包括了许多PLC 模块（代码模块和数据模块），用以注入PLC来改变目标PLC 的行为。这个威胁包括了三个感染序列。其中两个非常相似，功能也相同，我们将其命名为序列A和B。第三个序列我们命名为序列C。Stuxnet通过验证“指纹”来判断系统是否为计划攻击的目标。它会检查： PLC种类/家族：只有CPU 6ES7-417 和6ES7-315-2 会被感染。系统数据模块：SDB 会被解析；根据他们包含的数据，感染进程会选择A,B或其它感染方式开始行动。【全文阅读】

运行环境
Windows 2000、Windows Server 2000
Windows XP、Windows Server 2003
Windows Vista
Windows 7、Windows Server 2008
当它发现自己运行在非Windows NT系列操作系统中，即刻退出
被攻击的软件系统包括：
SIMATIC WinCC 7.0
SIMATIC WinCC 6.2

解决方案

Tofino提出解决Stuxnet震网病毒的完美解决方案
“Stuxnet震网”病毒肆虐证明了我们的工业控制系统并非想象中的安全，黑客的针对目标也不仅仅是普通的民用网络。 Stuxnet攻击的复杂性以及协同的高级持续性威胁的杀伤力足以令包括工业网络安全在内的所有公用事业企业胆战心惊。
Stuxnet 攻击凸显出多芬诺为确保工业网络安全所做出的一系列努力的重要性。多芬诺(Tofino)工业安全解决方案，是一个独特的硬件和软件安全系统，可以保护客户的工业控制系统不会遭到Stuxnet的攻击与破坏。传统的防火墙并非专为控制系统或工业环境而设计，这样就会把一切工厂设备和系统都暴露在蠕虫病毒的威胁之下，每年，因网络攻击和主要基础设施被病毒破坏带来的损失高达数十亿甚至百数亿美元，而多芬诺为客户提供度身定做的防火墙, 可以为设备提供其独有的区级安全保护，超越一般传统的防火墙。【详细】

西门子推荐的识别和清除 Stuxnet 病毒感染的过程
        由于Stuxnet针对某个特定的工业生产控制系统进行攻击，而这些行为不会在测试环境中出现，因此在测试环境下观察到的病毒行为不全面，很可能产生误导。事实上，运行后，Stuxnet会立即尝试进入一个可编程逻辑控制器(PLC) 的数据块—DB890。这个数据块其实是Stuxnet自己加的，并不属于目标系统本身。Stuxnet 会监测并向这个模块里写入数据，以根据情况和需求实时改变PLC的流程。
        建议检查如下类型的计算机：嵌入式系统 (例如，Microbox)，其它计算机，如用于基础服务的计算机 (文件服务器，域控制器，其它服务器...) 、安装和未安装 WinCC 的计算机，虚拟机 (例如：VMWARE 安装) 按如下所述执行各种措施。
       重要信息
       在扫描 ZIP 文件前一定要做备份。应在扫描前解压缩大于 1 MB 的 ZIP 文件，以确保可以扫描其包含的文件。【详细】

分析报告

在传统工业与信息技术的融合不断加深、传统工业体系的安全核心从物理安全向信息安全转移的趋势和背景下，此次Stuxnet 蠕虫攻击事件尤为值得深入思考。这是一次极为不同寻常的攻击，其具体体现是：
传统的恶意攻击追求影响范围的广泛性，而这次攻击极富目的性；传统的攻击大都利用通用软件的漏洞，而这次攻击则完全针对行业专用软件；这次攻击使用了多个全新的零日漏洞进行全方位攻击，这是传统攻击难以企及的；这次攻击通过恰当的漏洞顺利渗透到内部专用网络中，这也正是传统攻击的弱项；从时间、技术、手段、目的、攻击行为等多方面来看，完全可以认为发起此次攻击的不是个人或者普通地下黑客组织。【详细】

中国警惕

中国制造工业新危机部分企业对隐患不知情
西门子工业控制系统存在安全漏洞经过《每日经济新闻》曝光后，引发广泛关注。不过，记者采访多位业内人士发现，不少企业并不了解西门子工业控制系统存在安全漏洞的情况。
如果真的有潜在的恶意攻击者想定点打击某些企业的生产，这些忽视或者没有意识到系统隐患的企业，会更容易被攻陷。对自动化控制存在的漏洞了解不多。企业风险意识待提升。【详细】】
“震网”打响工业系统呼唤自主技术
 无线技术：期待与IT技术深层融合

推荐工具