2020年，“新基建”一詞再次火熱，工業互聯網作為新基建的七大領域之一， 受到了更多關注。今年兩會，工業互聯網連續第四年被寫入了政府工作報告。未來三年，可以預見工業互聯網將進入快速成長期。

工業互聯網和我們每個人并不是全無干系，現代生活很大程度上依賴于工業互聯網。水處理廠、電力公司、通信企業等都離不開SCADA系統（數據采集與監視控制系統），如果它們的網絡遭到攻擊和破壞，將影響個人生活，企業乃至國家的正常運轉。

工控安全事件層出不窮
然而，工業互聯網中的設備和協議對網絡攻擊基本不設防，工業通信協議也大都是明文協議，這就導致攻擊者更容易入侵網絡。

2019年，委內瑞拉最大發電廠遭到攻擊，全國停電；

2020年，以色列水利基礎設施遭到攻擊，緊急更改所有聯網系統的口令；

2021年，美國能源系統遭到有史以來最嚴重的攻擊，美國政府宣布進入國家緊急狀態……

層出不窮的工控安全事件，為工業網絡安全敲響了警鐘。

工控網絡遭到攻擊的主要原因
早期，工控系統都是專網專用。但隨著工業互聯網的發展，信息化帶來的便利超出預期，暴露在網絡上的SCADA系統越來越多，其中不乏能源、交通等重要行業。

大部分SCADA系統是早期開發的，存在著許多漏洞。當能夠通過公網直接訪問這些SCADA系統時，也打開了網絡入侵的大門。

1、SCADA系統的暴露數量持續增長

在網絡空間安全搜索引擎FOFA上，可以搜索到大量暴露在公網上的SCADA系統，近一年的搜索結果就達5萬余個。

管理人員在安全方面不夠敏感，為了便利性或業務需要將SCADA系統直接映射到公網。攻擊者可以通過爬蟲、網絡掃描器等掃描到這些系統，通常使用弱口令破解登錄。

2、SCADA系統具有Web訪問入口

SCADA系統一般是應用程序，部分具有Web管理界面，同時也有Web漏洞。常見的Web漏洞如SQL注入、XSS、CSRF等，都可能出現在SCADA系統的Web管理界面中，被攻擊者利用從而滲透進入系統。

3、SCADA系統與PLC通信協議未加密

SCADA系統對PLC的訪問不需要認證，攻擊者可以修改報文后，進行重放攻擊。

例如，S7 communication是西門子專有協議，S7協議被封裝在TPKT和COTP協議中，這使得PDU（協議數據單元）能夠通過TCP傳送，實現從SCADA系統訪問PLC數據及診斷的目的。

第五層TPKT介于TCP和COTP之間，是一個傳輸服務協議，主要用于在COTP和TCP之間建立橋梁。第六層COTP以Packet為基本單位傳輸數據，接收方會得到與發送方相同邊界的數據。第七層S7與用戶數據相關，對PLC數據的讀取和控制指令在這里完成。

因此，TPKT和COTP主要用于鑒權，一般不發生改變。如果把S7的功能碼解析出來，就可以對PLC進行控制。

在公開信息中可以找到其他功能碼，并通過重放腳本進行重放攻擊，即模擬SCADA系統向PLC發包，對PLC進行控制。

工業互聯網背后的安全力量
工業互聯網打破了傳統工控系統的封閉格局，暴露出了以上這些安全問題。面向工業互聯網場景，安博通下一代防火墻產品已成為“智”造背后的安全力量。

1、資產清點發現，縮小公網暴露面

安博通下一代防火墻采用主動掃描和監控主機流量的方式，識別網絡中的資產信息，包括PC、交換機、SCADA系統、PLC設備、HMI人機交互等。幫助管理人員掌握內網中的資產情況，識別潛在風險，減少未知開放服務。

2、WAF級別的Web安全防護

對于暴露在互聯網上的SCADA系統，在IT到OT這個網絡轉換的中間地帶，安博通下一代防火墻可以提供WAF級別的Web安全防護，攔截SCADA系統的請求。

以資產和攻擊者維度關聯安全事件，將攻擊過程階段化、具體化和可視化，為事后回溯提供數據支撐。看見攻擊者入侵了哪些內網主機，看清被影響范圍和受損情況。

3、精準識別工控通信協議

工業互聯網中設備類型豐富，多數采用私有協議進行通訊，傳統防火墻對工控協議的識別能力較弱。為滿足工控行業的合規要求，安博通下一代防火墻通過自主研發的深度數據包解析引擎，能夠檢測主流廠商的工控協議并發現工控設備。

產品應用白名單機制保護SCADA系統與PLC之間的通信和控制，實現對主流工控協議內容的深度報文解析和精準識別，包括OPC、Modbus、Opcode、IEC104、DNP3、S7等協議。

工業互聯網將為“智”造行業構建通四方、行無阻的“高速公路”，成為工業經濟高質量發展的助推力。安博通堅持以原創技術做場景創新，成為工業數字化背后的安全力量。