3.3.3　企业办公网络脆弱性分析

本文讲的是工业控制网络安全技术与实践一3.3.3　企业办公网络脆弱性分析,随着国家工业化和信息化两化融合深入推进，传统信息技术广泛应用到工业生产的各个环节，信息化成为工业企业经营管理的常规手段。信息化进程和工业化进程不再相互独立进行，不再是单方的带动和促进关系，而是两者在技术、产品、管理等各个层面相互交融，彼此不可分割，传统IT在工业控制系统的广泛应用也势必会给工业控制系统引入更多的安全风险。“震网”、“Duqu”、“火焰”等针对工控系统的网络病毒渐渐为人们所知，工业控制网络安全越来越受到各方的关注。对工业用户而言，其根深蒂固的“物理隔离即绝对安全”的理念正在被慢慢颠覆。
在石油、化工企业中，随着ERP、CRM 以及OA等传统信息系统的广泛使用，工业控制网络和企业管理网络的联系越来越紧密，企业在提高公司运营效率、降低企业维护成本的同时，也随之带来了更多的安全问题。

1.信息资产自身漏洞的脆弱性

随着TCP/IP协议、OPC协议、PC和Windows操作系统等通用技术和通用软硬件产品被广泛地用于石油、化工等工业控制系统，随之而来的通信协议漏洞、设备漏洞以及应用软件漏洞问题日益突出。2010年发生的伊朗核电站“震网病毒”事件，就是同时利用了工控系统、Windows系统的多个漏洞。事件发生之后，大量高风险未公开漏洞通过地下经济出卖或被某些国家/组织高价收购，并被利用来开发0day攻击或高级持久威胁（Advanced Persistent Threat，APT）的攻击技术，为未来可能的网络对抗做准备。因此，现有高风险漏洞以及0day漏洞的新型攻击已经成为网络空间安全防护的新挑战，而涉及国计民生的石油、石化、电力、交通、市政等行业的国家关键基础设施及其工业控制系统，在工业化和信息化日益融合的今天，将极大可能成为未来网络战的重要攻击目标。

2.网络互连给系统带来的脆弱性

根据风险敏感程度和企业应用场景的不同，企业办公网络可能存在与外部互联网通信的边界；而企业办公网络信息系统的通信需求主要来自用户请求，多用户、多种应用带来了大量不规律的流量，也导致了不同应用环境下通信流量的难以预测。一旦存在互联网通信，就可能存在来自互联网的安全威胁，例如，来自互联网的网络攻击、僵尸木马、病毒、拒绝服务攻击、未授权的非法访问等。这时通常就需要具有较完备的安全边界防护措施，如防火墙、严格的身份认证及准入控制机制等。

3.内部管理机制缺失带来的脆弱性

工业控制系统的监控及采集数据也需要被企业内部的系统或人员访问或进行数据处理。这样在企业办公网络与工业控制系统的监控网络，甚至现场网络（总线层）之间就存在信息访问路径。由于工业控制系统通信协议的局限，在这些访问过程中多数情况并未能实现基本访问控制及认证机制，也同时存在设备随意接入、非授权访问、越权访问等多种风险。

4.缺乏安全意识带来的脆弱性

由于工业控制系统不像互联网或与传统企业IT网络那样备受黑客的关注，在2010年“震网”事件发生之前很少有黑客攻击工业控制网络的事件发生。工业控制系统在设计时也多考虑系统的可用性，普遍对安全性问题的考虑不足，更不用提制定完善的工业控制系统安全政策、管理制度以及对人员的安全意识培养了。“和平日久”造成人员的安全意识淡薄。而随着工控系统在国计民生中的重要性日益提高，以及IT通用协议和系统在工控系统的逐渐应用，人员安全意识薄弱将是造成工业控制系统安全风险的一个重要因素，特别是社会工程学相关的定向钓鱼攻击可能使重要岗位人员沦为外部威胁入侵的跳板。

原文标题：工业控制网络安全技术与实践一3.3.3　企业办公网络脆弱性分析