行業(yè)最主要的石油和天然氣貿易展會(huì )之一，近海技術(shù)會(huì )議（Offshore Technology Conference，簡(jiǎn)稱(chēng)OTC）上個(gè)月隆重舉行。功能安全和信息安全對參會(huì )者而言都是熱點(diǎn)話(huà)題，Tofino Security公司的展臺因而備受關(guān)注。很高興信息安全終于進(jìn)入了公司的優(yōu)先事項列表。
如今當工程師們考慮信息安全時(shí)，他們應當了解深度包檢測技術(shù)（Deep Packet Inspection，簡(jiǎn)稱(chēng)DPI），以及為什么在保護近海網(wǎng)絡(luò )安全時(shí)需要使用深度包檢測技術(shù)。
讓我先來(lái)介紹一些相關(guān)背景，眾所周知管理近海平臺生產(chǎn)和安全的關(guān)鍵系統大部分都基于傳統SCADA和工業(yè)控制系統ICS產(chǎn)品和協(xié)議。其中許多產(chǎn)品都數十年之久，而且設計上未曾考慮到信息安全因素。
Dale Petersen和其Basecamp團隊已經(jīng)證實(shí)了這些設備的脆弱性。不幸的是這些系統現在使用Ethernet和TCP/IP連接到外部系統。盡管這種做法一方面有利于提高效率，但另一方面卻將關(guān)鍵生產(chǎn)系統暴露在惡意軟件的威脅下。
目前，需要使用采用深度包檢測技術(shù)的防火墻來(lái)保護近海油田生產(chǎn)設施遠離高級攻擊
考慮到工業(yè)系統的普遍生命周期是20年，新的更安全的SCADA和ICS設備以及協(xié)議的廣泛使用需要很長(cháng)時(shí)間。這就使得成千上萬(wàn)的傳統平臺控制系統面臨受到攻擊的風(fēng)險，即使是沒(méi)有經(jīng)驗的黑客也可以禁用或者破壞大部分控制器。
面臨的問(wèn)題：SCADA/ICS協(xié)議沒(méi)有粒度控制
傳統SCADA/ICS協(xié)議沒(méi)有粒度控制。數據讀信息看上去完全就像固件升級信息。因此如果允許從HMI到PLC的數據讀信息通過(guò)傳統的防火墻，同時(shí)也就放行了編程信息。這是一個(gè)嚴重的安全問(wèn)題。
用戶(hù)面臨著(zhù)艱難的選擇——讓信息流通過(guò)從而確保系統運行，但要面臨著(zhù)受攻擊的風(fēng)險，或者阻止一切。為了不使系統停車(chē)，用戶(hù)也只能選擇接受高風(fēng)險。但在Macondo深水地平線(xiàn)事件之后，這一選擇也不現實(shí)。
那么，工程師該如何是好呢？幸運的是，現在有了相應的解決方案。
解決方案：深度包檢測
解決方案就是采用能夠深入工業(yè)協(xié)議內了解消息目的的DPI防火墻，即所謂的深度包檢測，其遠遠超越了IT防火墻的性能。
接下來(lái)解釋一下DPI防火墻是如何工作的：在應用傳統的防火墻規則后，DPI防火墻能檢查消息內容并運用更詳細的規則。例如，DPI防火墻可以判定一個(gè)消息是讀消息還是寫(xiě)消息，然后阻止所有的寫(xiě)消息。
此外，好的DPI防火墻對通訊進(jìn)行“完整性檢查”，識別格式異常的消息或異常行為（例如一個(gè)請求消息有10,000個(gè)回復消息來(lái)響應）。這些異常消息表明由黑客創(chuàng )建的通訊正在試圖破壞PLC，需要被阻止。
Tofino Modbus TCP Enforcer防火墻就是一款DPI防火墻，產(chǎn)品采用Tofino安全專(zhuān)利技術(shù)來(lái)保障Modbus通訊安全。
在2013近海技術(shù)會(huì )議上展示的Tofino安全公司的工業(yè)協(xié)議深度包檢測（DPI）防火墻和赫斯曼公司的零失效備援RSP交換機。
為何現在需要DPI技術(shù)
據Eric Byres表示，五年前他或許會(huì )說(shuō)DPI技術(shù)是一項錦上添花的性能，然而面對新一代的蠕蟲(chóng)病毒和高級威脅，要想保障SCADA或ICS系統的安全，DPI則是一項必備技術(shù)。
原因在于當今的惡意軟件設計者和攻擊者知道防火墻和入侵檢測系統能立即發(fā)現異常協(xié)議的使用。他們知道，假設網(wǎng)絡(luò )中正常使用的協(xié)議有HTTP（如網(wǎng)頁(yè)瀏覽）、Modbus和MS-SQL（如數據庫查詢(xún)），那么一個(gè)新協(xié)議如FTP的突然出現會(huì )立刻引起系統管理員的警戒。
蠕蟲(chóng)病毒設計者致力于通過(guò)將他們的網(wǎng)絡(luò )通訊隱藏在他們要攻擊的網(wǎng)絡(luò )中的正常協(xié)議中來(lái)躲避“雷達掃描”。例如，如今許多蠕蟲(chóng)將他們的出站通訊隱藏在看似正常的HTTP消息中。
即使你懷疑某些地方出錯，如果你使用的是普通防火墻的話(huà)，也無(wú)濟于事。簡(jiǎn)單地阻止所有的Modbus通訊將會(huì )影響生產(chǎn)。沒(méi)有深度包檢測DPI，（如檢查消息內容并阻止可疑通訊的工具），你將束手無(wú)策。
DPI技術(shù)是安全工具箱中一個(gè)非常強大的工具。它使工程師能阻止惡意信息，同時(shí)避免對控制系統造成不必要的影響。沒(méi)有DPI技術(shù)的話(huà)，現代蠕蟲(chóng)病毒的設計者就明顯占了上風(fēng)。
為了領(lǐng)先于壞分子，DPI技術(shù)已成為工業(yè)防火墻的必備技術(shù)。這會(huì )對你的ICS安全計劃會(huì )有什么影響呢？
聯(lián)系客服
