烏克蘭電網被黑，能源網絡安全幾何
發布時間：2017-02-10 08:37:00 點擊：
日前，烏克蘭伊萬諾—弗蘭科夫斯克地區數十萬家庭遭遇大面積停電的新聞引發國際社會關注。很快，安全專家就證實，這是一起由黑客攻擊引發的事件。隨后，國外有安全公司聲稱已取得該事件的惡意代碼。據悉，這是有史以來首次導致電網大規模停電的網絡攻擊，可謂工業控制（以下簡稱工控）安全領域又一起大事件。
電網是怎樣被“黑”的？
國外安全公司研究人員證實，烏克蘭電力部門所感染的是一款名為BlackEnergy（黑暗力量）的惡意軟件，該軟件不僅能夠關閉電力設施中的關鍵系統，還能讓黑客遠程控制目標系統。據了解，Black Energy最初在2007年被發現，之后不斷更新功能，可針對新聞機構、電力公司以及其他產業群體進行間諜活動。
本次攻擊共包括3大部分：惡意軟件、停機后的證據清理、指向電話系統的拒絕服務攻擊。攻擊者先在微軟辦公文檔中嵌入惡意宏文件，再以郵件形式定向發送給目標企業，并通過偽裝誘騙員工打開附件，從而將惡意代碼植入烏克蘭電力公司的SCADA（數據采集與監視控制系統），獲得電力系統斷路器的控制權限。之后，該代碼又啟動了惡意代碼“KillDisk”(硬盤數據清除)，破壞計算機硬盤驅動器的關鍵部分，以此銷毀SCADA系統主機的數據。這一方面使電力設備的恢復變得更加艱難，另一方面使得后繼調查人員難以取證。隨后，黑客對電力企業的技術支持電話發起拒絕服務攻擊，使得各大電力公司的呼叫中心一直處于忙碌狀態，阻礙電力運營商遠程修復工控系統主機。
分析整個事件，我們不難發現以下問題：
一、事件的罪魁禍首是惡意軟件的集合。攻擊者同時使用了Black Energy與KillDisk攻擊電網工控系統，再加上對運營商遠程修復所用的電話系統進行拒絕服務攻擊，使打擊更徹底。目前，還出現了另一種解釋——最新的BlackEnergy還包括一個特殊后門，以幫助攻擊者遠程訪問并感染電力系統。
二、工控安全領域缺乏理想的取證手段。在此類事件的調查中，最為關鍵的環節在于根據相關系統日志進行溯源分析。但是，目前眾多工控系統缺少針對日志記錄的取證審計功能。因此，當工控系統遭遇攻擊或意外事故時，取證能力非常有限。
三、SCADA系統安全方面的薄弱性。SCADA系統被廣泛應用于電網、能源、交通以及通訊等多個領域，但是安全性卻相當薄弱。根據NSS實驗室的漏洞威脅報告，2012年以來，有關重要基礎設施如電網、供水、電信、交通等SCADA系統的漏洞數量增長了600%。
不僅僅是停電那么簡單
工控系統是由計算機設備與工業過程控制部件組成的自動控制系統，是工業設施與自動化系統的中樞神經。隨著互聯網技術的高速發展，工控系統的網絡化浪潮正在澎湃式推進。據美國某信息安全公司的研究報告，目前世界各國仍然有大量的工控系統接入互聯網。就經濟角度而言，這是一種便捷有效的方法，但從安全角度看，卻是極其危險的行為。
一旦電力系統被黑客入侵，停電是較低級的危害，還可能導致信息外泄，甚至發生電力過載、電源故障、爆炸等可怕的后果，損失十分慘重。劍橋大學風險研究中心與某保險公司聯合發布的報告顯示，每破壞50個向電網供電的發電機，就會導致2430億美元至1萬億美元的經濟損失。
盡管此次烏克蘭電網事件看似是一起滋擾級別的攻擊活動，沒有人員傷亡亦沒有爆炸等后續狀況，但安全專家擔憂，對SCADA系統的攻擊或可演變為針對國家重要基礎設施進行毀滅性打擊的現代軍事手段。一旦電力與通信體系被破壞，國家調動防御、組織反擊的能力必將受損。
當前，國際形勢極為復雜，戰爭形態也發生了重大變化。有些國家專門成立了網軍司令部，除了配合軍隊進行直接干擾和打擊外，還可針對國家關鍵基礎設施的指揮調度系統進行干預和破壞。網絡武器很可能隱藏在政府機關、金融、航空航天、能源生產、化工車間等目標網絡中，并在必要時發揮作用，達到電網瓦解、通信中斷、飛機鐵路無法正常運行、衛星指揮調度系統失靈等目的。
面對如此可怕的后果，難道我們要坐以待斃嗎？答案顯然是否定的。工控系統網絡安全專家曾提出多項警告，指出整個行業亟須制定并實施防火墻、入侵檢測以及加密等技術方案。事實上，針對這起電網攻擊可以在3個階段進行有效攔截。首先，對郵件內包含的所有文件進行動態行為鑒定，一旦判定為惡意行為就將其刪除或隔離。第二，對系統關鍵進程進行監控，一旦發現可疑操作立即阻斷其執行。第三，阻斷惡意代碼對外連接，設置IP黑白庫，對系統外聯的IP地址進行過濾，攔截與惡意服務器交互的所有網絡數據包。
隨著能源互聯網等概念的興起及電力市場改革的不斷推進，未來大量的終端用戶可能會通過無線通信、互聯網等方式與能源系統產生信息互動。目前，中國智能電網建設正如火如荼地推進，電網企業剛剛體驗到大數據、信息化的方便快捷。因此，國家相關部門應當盡早從國家安全的角度制定互聯網接入型電力工控服務方案的標準，推動制定國家電力行業信息安全戰略，盡快建立相對成熟的電網信息安全保護機制。至少，應當對電力工控系統中的危險因素深入了解，形成完整的應急響應預案。
電網是怎樣被“黑”的？
國外安全公司研究人員證實，烏克蘭電力部門所感染的是一款名為BlackEnergy（黑暗力量）的惡意軟件，該軟件不僅能夠關閉電力設施中的關鍵系統，還能讓黑客遠程控制目標系統。據了解，Black Energy最初在2007年被發現，之后不斷更新功能，可針對新聞機構、電力公司以及其他產業群體進行間諜活動。
本次攻擊共包括3大部分：惡意軟件、停機后的證據清理、指向電話系統的拒絕服務攻擊。攻擊者先在微軟辦公文檔中嵌入惡意宏文件，再以郵件形式定向發送給目標企業，并通過偽裝誘騙員工打開附件，從而將惡意代碼植入烏克蘭電力公司的SCADA（數據采集與監視控制系統），獲得電力系統斷路器的控制權限。之后，該代碼又啟動了惡意代碼“KillDisk”(硬盤數據清除)，破壞計算機硬盤驅動器的關鍵部分，以此銷毀SCADA系統主機的數據。這一方面使電力設備的恢復變得更加艱難，另一方面使得后繼調查人員難以取證。隨后，黑客對電力企業的技術支持電話發起拒絕服務攻擊，使得各大電力公司的呼叫中心一直處于忙碌狀態，阻礙電力運營商遠程修復工控系統主機。
分析整個事件，我們不難發現以下問題：
一、事件的罪魁禍首是惡意軟件的集合。攻擊者同時使用了Black Energy與KillDisk攻擊電網工控系統，再加上對運營商遠程修復所用的電話系統進行拒絕服務攻擊，使打擊更徹底。目前，還出現了另一種解釋——最新的BlackEnergy還包括一個特殊后門，以幫助攻擊者遠程訪問并感染電力系統。
二、工控安全領域缺乏理想的取證手段。在此類事件的調查中，最為關鍵的環節在于根據相關系統日志進行溯源分析。但是，目前眾多工控系統缺少針對日志記錄的取證審計功能。因此，當工控系統遭遇攻擊或意外事故時，取證能力非常有限。
三、SCADA系統安全方面的薄弱性。SCADA系統被廣泛應用于電網、能源、交通以及通訊等多個領域，但是安全性卻相當薄弱。根據NSS實驗室的漏洞威脅報告，2012年以來，有關重要基礎設施如電網、供水、電信、交通等SCADA系統的漏洞數量增長了600%。
不僅僅是停電那么簡單
工控系統是由計算機設備與工業過程控制部件組成的自動控制系統，是工業設施與自動化系統的中樞神經。隨著互聯網技術的高速發展，工控系統的網絡化浪潮正在澎湃式推進。據美國某信息安全公司的研究報告，目前世界各國仍然有大量的工控系統接入互聯網。就經濟角度而言，這是一種便捷有效的方法，但從安全角度看，卻是極其危險的行為。
一旦電力系統被黑客入侵，停電是較低級的危害，還可能導致信息外泄，甚至發生電力過載、電源故障、爆炸等可怕的后果，損失十分慘重。劍橋大學風險研究中心與某保險公司聯合發布的報告顯示，每破壞50個向電網供電的發電機，就會導致2430億美元至1萬億美元的經濟損失。
盡管此次烏克蘭電網事件看似是一起滋擾級別的攻擊活動，沒有人員傷亡亦沒有爆炸等后續狀況，但安全專家擔憂，對SCADA系統的攻擊或可演變為針對國家重要基礎設施進行毀滅性打擊的現代軍事手段。一旦電力與通信體系被破壞，國家調動防御、組織反擊的能力必將受損。
當前，國際形勢極為復雜，戰爭形態也發生了重大變化。有些國家專門成立了網軍司令部，除了配合軍隊進行直接干擾和打擊外，還可針對國家關鍵基礎設施的指揮調度系統進行干預和破壞。網絡武器很可能隱藏在政府機關、金融、航空航天、能源生產、化工車間等目標網絡中，并在必要時發揮作用，達到電網瓦解、通信中斷、飛機鐵路無法正常運行、衛星指揮調度系統失靈等目的。
面對如此可怕的后果，難道我們要坐以待斃嗎？答案顯然是否定的。工控系統網絡安全專家曾提出多項警告，指出整個行業亟須制定并實施防火墻、入侵檢測以及加密等技術方案。事實上，針對這起電網攻擊可以在3個階段進行有效攔截。首先，對郵件內包含的所有文件進行動態行為鑒定，一旦判定為惡意行為就將其刪除或隔離。第二，對系統關鍵進程進行監控，一旦發現可疑操作立即阻斷其執行。第三，阻斷惡意代碼對外連接，設置IP黑白庫，對系統外聯的IP地址進行過濾，攔截與惡意服務器交互的所有網絡數據包。
隨著能源互聯網等概念的興起及電力市場改革的不斷推進，未來大量的終端用戶可能會通過無線通信、互聯網等方式與能源系統產生信息互動。目前，中國智能電網建設正如火如荼地推進，電網企業剛剛體驗到大數據、信息化的方便快捷。因此，國家相關部門應當盡早從國家安全的角度制定互聯網接入型電力工控服務方案的標準，推動制定國家電力行業信息安全戰略，盡快建立相對成熟的電網信息安全保護機制。至少，應當對電力工控系統中的危險因素深入了解，形成完整的應急響應預案。
文章評論