行業(yè)最主要的石油和天然氣貿易展會之一，近海技術會議（Offshore Technology Conference，簡稱OTC）上個月隆重舉行。功能安全和信息安全對參會者而言都是熱點話題，Tofino Security公司的展臺因而備受關注。很高興信息安全終于進入了公司的優(yōu)先事項列表。
如今當工程師們考慮信息安全時，他們應當了解深度包檢測技術（Deep Packet Inspection，簡稱DPI），以及為什么在保護近海網絡安全時需要使用深度包檢測技術。
讓我先來介紹一些相關背景，眾所周知管理近海平臺生產和安全的關鍵系統(tǒng)大部分都基于傳統(tǒng)SCADA和工業(yè)控制系統(tǒng)ICS產品和協(xié)議。其中許多產品都數十年之久，而且設計上未曾考慮到信息安全因素。
Dale Petersen和其Basecamp團隊已經證實了這些設備的脆弱性。不幸的是這些系統(tǒng)現在使用Ethernet和TCP/IP連接到外部系統(tǒng)。盡管這種做法一方面有利于提高效率，但另一方面卻將關鍵生產系統(tǒng)暴露在惡意軟件的威脅下。
目前，需要使用采用深度包檢測技術的防火墻來保護近海油田生產設施遠離高級攻擊
考慮到工業(yè)系統(tǒng)的普遍生命周期是20年，新的更安全的SCADA和ICS設備以及協(xié)議的廣泛使用需要很長時間。這就使得成千上萬的傳統(tǒng)平臺控制系統(tǒng)面臨受到攻擊的風險，即使是沒有經驗的黑客也可以禁用或者破壞大部分控制器。
面臨的問題：SCADA/ICS協(xié)議沒有粒度控制
傳統(tǒng)SCADA/ICS協(xié)議沒有粒度控制。數據讀信息看上去完全就像固件升級信息。因此如果允許從HMI到PLC的數據讀信息通過傳統(tǒng)的防火墻，同時也就放行了編程信息。這是一個嚴重的安全問題。
用戶面臨著艱難的選擇——讓信息流通過從而確保系統(tǒng)運行，但要面臨著受攻擊的風險，或者阻止一切。為了不使系統(tǒng)停車，用戶也只能選擇接受高風險。但在Macondo深水地平線事件之后，這一選擇也不現實。
那么，工程師該如何是好呢？幸運的是，現在有了相應的解決方案。
解決方案：深度包檢測
解決方案就是采用能夠深入工業(yè)協(xié)議內了解消息目的的DPI防火墻，即所謂的深度包檢測，其遠遠超越了IT防火墻的性能。
接下來解釋一下DPI防火墻是如何工作的：在應用傳統(tǒng)的防火墻規(guī)則后，DPI防火墻能檢查消息內容并運用更詳細的規(guī)則。例如，DPI防火墻可以判定一個消息是讀消息還是寫消息，然后阻止所有的寫消息。
此外，好的DPI防火墻對通訊進行“完整性檢查”，識別格式異常的消息或異常行為（例如一個請求消息有10,000個回復消息來響應）。這些異常消息表明由黑客創(chuàng)建的通訊正在試圖破壞PLC，需要被阻止。
Tofino Modbus TCP Enforcer防火墻就是一款DPI防火墻，產品采用Tofino安全專利技術來保障Modbus通訊安全。
在2013近海技術會議上展示的Tofino安全公司的工業(yè)協(xié)議深度包檢測（DPI）防火墻和赫斯曼公司的零失效備援RSP交換機。
為何現在需要DPI技術
據Eric Byres表示，五年前他或許會說DPI技術是一項錦上添花的性能，然而面對新一代的蠕蟲病毒和高級威脅，要想保障SCADA或ICS系統(tǒng)的安全，DPI則是一項必備技術。
原因在于當今的惡意軟件設計者和攻擊者知道防火墻和入侵檢測系統(tǒng)能立即發(fā)現異常協(xié)議的使用。他們知道，假設網絡中正常使用的協(xié)議有HTTP（如網頁瀏覽）、Modbus和MS-SQL（如數據庫查詢），那么一個新協(xié)議如FTP的突然出現會立刻引起系統(tǒng)管理員的警戒。
蠕蟲病毒設計者致力于通過將他們的網絡通訊隱藏在他們要攻擊的網絡中的正常協(xié)議中來躲避“雷達掃描”。例如，如今許多蠕蟲將他們的出站通訊隱藏在看似正常的HTTP消息中。
即使你懷疑某些地方出錯，如果你使用的是普通防火墻的話，也無濟于事。簡單地阻止所有的Modbus通訊將會影響生產。沒有深度包檢測DPI，（如檢查消息內容并阻止可疑通訊的工具），你將束手無策。
DPI技術是安全工具箱中一個非常強大的工具。它使工程師能阻止惡意信息，同時避免對控制系統(tǒng)造成不必要的影響。沒有DPI技術的話，現代蠕蟲病毒的設計者就明顯占了上風。
為了領先于壞分子，DPI技術已成為工業(yè)防火墻的必備技術。這會對你的ICS安全計劃會有什么影響呢？
聯系客服
