文章对智能电网环境下，工控系统可能面临的信息安全威胁进行了分析，重点对嵌入式终端设备安全性进行分析，并指出了相应的防护方法。
1 概述
随着信息化新技术在电网中广泛的使用，智能终端的接入数量和接入方式不断增多，在给用户带来便利的同时，也引入了大量安全风险和新的挑战，工控系统面临的网络安全威胁和风险也日益突出，所以开展智能电网环境下，工控系统信息安全防护研究迫在眉睫。
2 系统简介
用电信息采集智能终端和配电自动化终端在系统组成上基本一致，典型的电力配用电智能设备的组成从结构上可分为三层：物理层、系统层、业务层。
终端设备一般由相关的物理硬件及其配套的软件构成，软件部分可分为系统层和业务层两个层次。配用电智能设备的安全运行必须保障这些主要组成部分的安全性，一旦某一层次出现安全问题，都会造成整个设备运行出现异常。
3 安全威胁分析
智能电网重要特点就是要求计算设备随时联网，网络化使得攻击者可以随时发起攻击;另外一方面，随着集成电路等工业技术的提高，嵌入式系统越来越智能化，这也给攻击者植入病毒、木马带来了便利。近年来，在国内外由于嵌入式系统造成的电力系统事故屡有发生，比如有著名的伊朗Stuxnet震网病毒事件，该病毒专门针对PLC设备攻击，通过修改PLC来改变工业生产控制系统的行为，一度导致伊朗核电站推迟发电。
下面分别对物理层、系统层、业务层进行说明。
3.1 物理层
物理层提供了系统运行的物理环境，为上层业务功能的实现提供了直接计算环境，包括CPU、主板、存储器、电源等，其一般MCU方式实现，在体系结构上主要以ARM为主，存储器一般采用容量较小的FLASH。
(1)外围接口脆弱性。外围接口包括人机接口、通讯接口、控制/采集接口等，人机接口一般为按键、显示屏、开关等方式，提供管理人员对设备配置和控制功能;通讯接口包括RS232、RS485、载波、光纤、无线等方式，主要用于配用电智能设备与外界进行通讯;控制/采集接口采用电路方式与被控制的电力设备连接，用于采集电力设备的工作状态以及发送控制电信号。应对方法，根据具体工作环境加强物理保护装置外壳、物理锁等物理保护装置。
(2)外设接入脆弱性。终端设备安装位置多在用户侧或外人很容易接触的地方，如果没有对U盘等存储介质的使用进行有效管理，会导致病毒传播问题;如果系统的管理维护中没有到达一定安全基线的笔记本电脑接入到系统，也有可能会对系统的安全造成很大的威胁。应对方法，对外设进行严格的控制。通过技术及管理手段实现移动存储介质、软件黑白名单、网络准入控制、安全配置管理等。
3.2 系统层
电力配用电智能设备一般采用专用嵌入式操作系统，目前采用的嵌入式操作系统包括嵌入式LINUX、VXWORKS等，这些系统一般经过裁剪，能够与底层专用硬件对接，并去掉了不需要的功能。但为了方便设备管理操作，开启了一些自带的系统服务，一般包括Telnet、FTP、HTTP等服务。在系统层主要面临以下风险。
(1)操作系统脆弱性。终端设备操作系统多基于vxworks、linux等，某些操作系统版本存在已知的安全漏洞。如Vxworks WDB漏洞，如果编译选项中包含了INCLUDE_WDB和ICLUDE_DEBUG，则会默认打开WDB调试功能，提供读写内存和执行函数的功能。允许攻击者通过WDB调试端口(UDP17185)读写内存、执行函数或使系统重启。但由于考虑到系统兼容性问题、系统重启等风险，所以设备安装后系统不打补丁、带病运行的情况是很常见的。应对方法是在保证系统安全的前提下及时更新操作系统补丁。
(2)病毒防护脆弱性。终端设备的操作系统基于存储容量、性能和兼容性考虑，通常不安装杀毒软件，有感染病毒与恶意代码的风险。但随着现代工业与互联网融合加深，工控系统由传统的相对封闭转向开放，即使有些系统仍相对孤立封闭，但是通过U盘摆渡等方式，仍然存在遭受病毒、木马攻击的可能性。应对方法，在接入的主机上安装防病毒软件并定期更新补丁等。
(3)FTP攻击。FTP攻击分为弱口令漏洞攻击和FTP服务器的溢出。FTP弱口令指开启了FTP的匿名登录功能，或系统口令的长度太短或者复杂度不够。FTP弱口令漏洞可能造成包括系统配置，证书等敏感信息泄露。使用时应对时应禁用FTP匿名登录，并且设置复杂密码。FTP服务器的溢出漏洞指当用户成功登录系统，FTP服务器处理命令时缺少正确的边界检查，攻击者可以构造特殊的请求数据，触发缓冲区溢出，以FTP进程权限在系统上执行任意代码。应对时应跟踪漏洞库信息，及时更新漏洞补丁。
3.3 业务层
业务层实现了具体的业务功能，主要包括：业务系统：提供了具体的业务处理功能，能够通过专用标准规约与主站进行通讯，能够采集电力设备运行状态和进行控制指令的执行;管理系统：提供了配置管理功能，包括命令行、WEB、远程等多种管理方式;数据存储：包括小型文件数据库、配置文件、数据文件等内容。
(1)SQL注入。SQL注入是一种最常见的Web漏洞，实现方式就是用户在输入的字符串中增加SQL命令，程序没有很好的对用户输入的合法性进行判断或者处理不当，那么这些注入进去的SQL命令就会被数据库当作正常的SQL命令运行，而不是按照设计者本意去执行SQL语句。通过构造巧妙的SQL语句，用户可以获得敏感数据或者控制整个服务器。
(2)跨站攻击。跨站攻击指的是当Web程序对用户输入过滤不足时，攻击者通过在输入中插入HTML和JavaScript脚本，可以在某个页面里插入恶意HTML代码，其他合法用户通过浏览器访问该页面时，注入的脚本将被解释执行。相对于其他的攻击，跨站漏洞的目标是应用程序的用户，而不是直接针对服务器。
(3)代码注入。代码注入同样是由于程序缺乏对用户输入的过滤造成的。攻击者在发送给应用程序的数据中注入代码，导致了代码执行。以上几种注入攻击比较难以发现，它们表面看起来跟正常的Web页面访问没什么区别，所以可以顺利通过防火墙的检查。但通过以下方法可以有效防御：不要信任用户的输入，对用户的输入进行校验，转义特殊字符;运行数据库和Web服务时应使用较低权限用户;敏感数据不要使用明文存储;对原始错误信息进行封装;采取WAF防火墙。
(4)越权访问是指在远程维护与控制电力终端设备时，需通过管理员账户验证登录WEB客户端。WEB客户端中每一项控制命令、参数设置都对应一个页面链接。在操作过程中可能出现通过输入页面地址直接实现相应的控制命令或参数设置，从而绕过管理员账户验证，获得管理员权限，并直接对电力终端设备进行操作控制、参数篡改、数据窃取等攻击。理清程序访问控制逻辑，判断访问页面的用户是否具有适当的权限。
4 结束语
近年来，随着电网信息化建设发展，工控系统安全防护体系逐步完善，按照“安全分区、网络专用、横向隔离、纵向认证”的原则，对电力生产控制系统的边界采取了有效的安全防护措施及纵深防御策略。但是，随着工业控制系统和设备中新的漏洞、后门等脆弱性信息的发现和披露，电网工业控制系统面临如APT等更加隐蔽的攻击风险。确保工控系统信息安全对提高企业信息安全整体水平、保证用户的用电安全具有非常重要的意义。
作者简介：张伟(1977，09-)，男，汉族，河南省郑州市中原区，本科，工程师，国网河南省电力公司电力科学研究院信息安全技术督查室专责，从事信息安全研究工作。
