工业互联网网络安全渗透测试技术研究

◆陈坤华

（国家计算机网络与信息安全管理中心福建分中心 福建 350025）

随着“互联网+”行动计划和“中国制造2025”战略的实施，我国进入工业智能化建设的高峰期，工业互联网的发展需求不断增强，我国关键信息基础设施发展很快的同时，网络安全保障能力相对滞后。随着针对工控领域的攻击不断增加，工控安全事件频发，工业安全所面临的威胁和挑战越趋严峻。实现对工业互联网安全风险评估和渗透测试的技术手段研究是必要的，同时也是难点。如何帮助工业企业发现互联网系统的安全问题，成为保障工业控制系统安全运行的关键一环。因此本文对工业互联网渗透测试技术平台的研究具有一定意义。

1 工业互联网安全现状分析

工业互联网是满足工业智能化发展需求，具有低时延、高可靠、广覆盖特点的关键网络基础设施，是新一代信息通信技术与先进制造业深度融合所形成的新兴业态和应用模式[1]。工业互联网的重要性使它成为网络攻击的首要目标，针对工业互联网的攻击事件频发。2010-2012 年，针对伊朗核设施的震网病毒攻击事件；2015 年，波兰航空公司的地面操作系统遭遇黑客攻击；2015-2016 年，乌克兰连续发生黑客攻击导致的大面积断电事件等。相比其他国家，我国工业网络安全领域的薄弱环节较多，事态较为严峻。2017 年，全球爆发的“永恒之蓝”勒索病毒事件，我国工业企业被攻击事件占国内总数的17.3%，对工业运行造成严重影响。目前工业互联网主要存在的安全问题有以下几点：

（1）核心技术受制于人。目前我国工业产业规模较大，但在核心芯片、工控系统及工控软件等核心技术仍受制于国外公司，工业市场拥有自主核心技术和产品较少，需加强核心技术自主可控，否则工业互联网的安全与发展将受制于人[2-3]。

（2）网络安全不够重视。目前国内工业互联网企业普遍缺乏安全意识，工业企业往往重视发展而忽略安全，重视设备功能性而忽略整体安全性等，导致工控系统安全隐患越来越突出，这也是目前大部分企业存在的通病。

（3）安全防护能力较弱。目前国内工业企业在网络安全防护能力上普遍缺乏，传统工业在没有与互联网连接时，其安全隐患相对不那么显现，一旦工业+互联网，当工业系统暴露在互联网，如果缺乏安全防护手段，那系统将处于“裸奔”状态，这就给工业企业自身安全防护能力提出更高要求。

（4）新兴技术带来的隐患。随着云计算、人工智能、大数据等新兴技术在工业领域的应用和发展，给工业企业特别是工业互联网带来更多更复杂的安全问题，工业互联网安全面临着严峻挑战[2-3]。

2018 年，CNCERT（国家互联网应急中心）抽样监测发现，我国境内联网工业设备、系统、平台等遭受恶意嗅探、网络攻击的次数显著增加[4]。2017 年，CNCERT 监测发现超过245 万起（较2016 年增长了178.4%）境外针对我国联网工控系统和设备的恶意嗅探事件。2017 年，在CNVD（国家信息安全漏洞共享平台）中新增收录工控系统安全漏洞376 个，较2016 增长了118.6%[5]。工业漏洞收录时间分布如图1 所示：

图1 工业漏洞收录时间分布（数据来源：CNVD）

2 工业互联网安全渗透测试技术分析

渗透测试是通过模拟恶意黑客的攻击手段和方法，来评估网络系统安全性的一种方法。不同于漏洞评估偏重于检查系统和服务是否存在安全问题，渗透测试主要通过执行漏洞利用来验证系统确实存在漏洞。基于渗透测试的特点，工业互联网安全渗透测试技术架构如图2 所示：

图2 工业互联网安全渗透测试技术架构

（1）以工业控制渗透测试的实际需求为基础，以PTES、NIST SP800-115、OSSTMM、OWASP Test guide 等渗透测试、安全测试流程指南为参考，对工业控制系统渗透测试进行分析，并提取出关键的流程、步骤、技术。同时，对重点的安全工具的核心功能、操作流程、使用方式、调用接口、输出结果及报表进行系统的分析，有重点地提取出关键性的功能点和接口。在上述分析、调研的基础上，开发、设计工业控制系统渗透测试专用系统的架构。

（2）集成漏洞挖掘模块，在工业控制系统安全测试及漏洞挖掘系统基础上，集成其模糊测试框架，提供传统IT 及工业协议的模糊测试功能，提供工控协议模糊测试功能，提供针对主流厂商软硬件产品、工业以太网设备及应用的漏洞挖掘功能。最终积累形成工控系统0-day 漏洞POC 知识库，进而支撑工控设备入网安全检测、渗透测试等业务。

（3）开发漏洞扫描模块，集成当前主流的商业或开源漏洞扫描器，实现扫描任务的插件化、脚本化，使本系统具有对工控产品指纹特征和漏洞特征的标准化插件描述的功能。在此基础上，开发支持利用攻击特征针对目标进行漏洞扫描的功能，实现针对特定工控目标的全面而准确的漏洞扫描和安全风险评估。

（4）开发漏洞验证及利用模块，以Metasploit 为核心工具，兼顾其他主流漏洞利用工具，实现漏洞验证及利用的插件化、脚本化。研究并重点积累针对关键工业控制系统的监控层系统、应用、软件（如WinCC、FactoryTalk、Citect 等）的安全漏洞验证和利用能力，并具备针对现场控制层的PLC 等专用工业控制设备的安全漏洞的验证和利用能力，支持以插件、脚本的形式将高危漏洞集成到本模块中。

（5）系统利用工具提供的API 接口或者命令行接口，逐个工具封装工具驱动。驱动接收系统下发的测试任务内容，调用工具相应的API 接口或者命令行接口，实现测试任务，并且获取工具测试结果返回上层处理。开发统一的任务管理模块，支持同时开展多个测试任务，根据工具的使用情况、设备的性能状态统一调度测评工具，满足业务并发的需求。同时，监控测试任务的开展进度和测试工具的使用状态，支持对测试任务进行暂停、恢复和中止操作。

（6）支持对各个测试工具生成的分析结果进行自动化解析，按照测试任务组织合并分析报告结果，输出统一格式的分析报告。支持安全专家对分析报告内容进行审核和修订，筛选删除误报等内容。

工业互联网安全渗透测试并非简单、孤立地将各种渗透测试安全工具安装到一起，而是要实现渗透工具间的深度集成。

3 工业互联网渗透测试技术平台研究

工业互联网安全扫描和渗透测试平台以对主流工业控制系统进行渗透测试为需求，以对典型渗透工具进行共性分析为基础，具备目标（资产）识别与剖析、漏洞扫描与挖掘、威胁建模、漏洞利用与渗透攻击等功能。由于该系统采用高度可扩展和插件化的架构，支持渗透测试工具和插件的可扩展，支持数据的联动与协同，因此利于工业控制系统渗透测试能力和技术的积累，以及测试效率的提高。工业互联网渗透测试平台框架如图3 所示：

图3 工业互联网渗透测试平台框架

工业互联网安全漏洞扫描和渗透测评平台框架以主动探测引擎为基础，联动互联网基础资源平台和工控行业知识库，可建成主被动结合的工业互联网安全监测平台，具有安全风险评估、安全风险预警和定位溯源等功能，该框架主要包括采集层、功能层、展示层。

（1）采集层：通过对工业互联网系统流量采集，利用工业设备识别引擎提取和分析工业互联网设备的通讯协议和行为，获取设备指纹和通讯流量特征。

（2）功能层：通过漏洞扫描引擎对工业设备和系统进行安全漏洞扫描，并结合知识库中的漏洞库和恶意代码库进行设备的漏洞扫描和攻击检测，及时发现设备隐藏的各种漏洞。分析生成的设备库信息通过统一存储引擎写入到数据存储模块中，形成工控设备资产库。

（3）展示层：全局安全预警和态势感知层，基于数据可视化技术，对平台分析结果数据进行综合展示，可展示资产分布、漏洞分布、行业分布及设备类型分布等情况，提供数据支撑，服务政府和行业。

4 结语

总而言之，当前工业互联网的网络安全面临着越来越多的挑战，因此必须高度重视工业互联网安全威胁和问题，做好安全风险评估和监测预警工作。本文从当前工业互联网安全现状及面临的问题出发，浅析工业互联网网络安全渗透测试技术，提出安全漏洞扫描和渗透测试平台框架，实现对工业互联网安全风险的快速检测分析和预警，该平台框架具有高可扩展性和很强的实用性。