在兩化融合的大時代背景下,UPS雖然是一種工業(yè)設備,卻大都工作在信息化條件下,作為工業(yè)生產(chǎn)和網(wǎng)絡電源的保障屏障,其與網(wǎng)絡安全息息相關(guān)。眾所周知,網(wǎng)絡安全是指網(wǎng)絡系統(tǒng)的硬件、軟件及其系統(tǒng)中的數(shù)據(jù)受到保護,不因偶然的或者惡意的原因而遭受到破壞、更改、泄露,系統(tǒng)連續(xù)可靠正常地運行,網(wǎng)絡服務不中斷。其中,UPS對因偶然原因?qū)е率须姽╇姰惓５谋Ｕ献饔檬秋@而易見的,本文簡析了UPS與惡意攻擊存在的隱患。
UPS的工作原理
UPS由整流器、逆變器、蓄電池等組成,主要實現(xiàn)對市電進行濾波、整流、存儲、逆變等功能。
UPS作為用電設備電力保障的最后一道屏障,在市電正常時利用市電對負載直接供電,UPS對市電進行一定的處理,例如穩(wěn)壓、濾波等,保障輸出電力的穩(wěn)定;同時在市電正常時,對電池進行充電,以保持電池處于滿充狀態(tài),在市電異常時,利用電池的電能通過逆變?yōu)榻涣髫撦d供電。UPS的工作原理參見圖1。
隨著計算機系統(tǒng)、通訊設備的迅猛發(fā)展和智能化監(jiān)控需求的快速增長,UPS設備大都具備高速數(shù)字信號處理器(DSP)、單片機等智能模塊。進而,目前大部分UPS都具備動力環(huán)境監(jiān)控等的嵌入式系統(tǒng),在用戶的實際使用中,UPS一般處于實時受監(jiān)控的狀態(tài)。
動力環(huán)境監(jiān)控系統(tǒng)的原理
動力環(huán)境監(jiān)控的方式有多種,其中小機房和工業(yè)環(huán)境常用的方式是,應用工控計算機作為監(jiān)控主機,進行電力信息收集和處理,采用多串口卡的方式實現(xiàn)對底端動力設備的采集,通過聯(lián)網(wǎng)回傳實時數(shù)據(jù)。
UPS等設備通過智能通信口(RS232、RS485或USB)或者增加的采集模塊,將工作狀態(tài)回傳至工控機(運行動力監(jiān)控系統(tǒng)采集程序的電腦),由工控機實現(xiàn)協(xié)議解釋及數(shù)據(jù)處理。工控主機也可以向UPS設備發(fā)送控制指令。動力環(huán)境監(jiān)控原理圖見圖2。
動力環(huán)境監(jiān)控系統(tǒng),在工業(yè)控制上類似于一款簡易的SCADA工控系統(tǒng),存在漏洞和網(wǎng)絡攻擊的風險。
信息化背景下的人為漏洞攻擊
據(jù)中科院網(wǎng)絡化控制系統(tǒng)重點實驗室研究,目前在使用的嵌入式設備大都處于不設防的狀態(tài)。特別是許多設備企業(yè)在生產(chǎn)時未考慮網(wǎng)絡安全隱患,在聯(lián)網(wǎng)使用時,存在被網(wǎng)絡攻擊的風險。同時,該機構(gòu)模擬了利用工業(yè)病毒,通過嵌入式系統(tǒng)漏洞,“悄無聲息地”對石化設備進行破壞的試驗,驗證了嵌入式設備漏洞風險。
早在2010年,一個針對伊朗核實施的超級病毒——Stuxnet蠕蟲就引起了多國情報中心的擔憂。據(jù)證實,這種病毒可以發(fā)出指令,突然改變高速運轉(zhuǎn)的離心機運轉(zhuǎn)速度,達到破壞離心機的目的,同時向中控系統(tǒng)發(fā)出錯誤信息,讓控制人員無法察覺離心機的異常。該病毒是利用Windows操作系統(tǒng)漏洞和西門子器件漏洞開發(fā)的,旨在破壞伊朗核實施。俄羅斯常駐北約代表羅戈津稱,病毒給伊朗布什爾核電站造成嚴重影響,導致放射性物質(zhì)泄漏,危害不亞于切爾諾貝利核電站事故。
不論是棱鏡門還是Stuxnet蠕蟲,有組織的網(wǎng)絡攻擊都是針對特定漏洞開發(fā)攻擊手段或設置人為漏洞便于網(wǎng)絡攻擊。而針對工控系統(tǒng)或工業(yè)設備漏洞進行的攻擊,一般是破壞性的,需要我們時刻警惕,提高意識,加強防范。圖3為國家權(quán)威機構(gòu)公布的、已經(jīng)發(fā)現(xiàn)的工控系統(tǒng)行業(yè)廠商漏洞,最為相關(guān)的廠商包括:西門子、施耐德、Advantech等。
上述內(nèi)容,通過介紹UPS的構(gòu)造和動環(huán)監(jiān)控的原理,闡明了UPS作為機房基礎(chǔ)的網(wǎng)絡動力、環(huán)境設備之一,大多是動力環(huán)境監(jiān)控系統(tǒng)下的嵌入式、可編程的智能化設備。同時,通過介紹國內(nèi)外網(wǎng)絡攻擊的案例和手段,特別是針對工控機設備及嵌入式設備的網(wǎng)絡攻擊,說明工控機、UPS等智能化設備存在人為漏洞的可能,如果沒有保護措施,我們的工業(yè)生產(chǎn)和信息化設備就存在被斷電力供應的風險,后果不堪設想。這不是無中生有的臆想,惡意軟件作者曾經(jīng)發(fā)布過一個對西門子SIPROTEC系列保護繼電器執(zhí)行DoS攻擊的工具。
網(wǎng)絡安全任重道遠,在注重IT關(guān)鍵應用主機和軟件自主可控的同時,我們也不容忽視供電及動力環(huán)境控制系統(tǒng)的漏洞風險,在關(guān)乎國家和人民群眾生產(chǎn)和信息安全的關(guān)鍵領(lǐng)域,工控設備及智能供電設備也應做到自主可控。
在核電站領(lǐng)域,核級UPS是核電工程的重要組件,在供電安全性方面,技術(shù)級別是最高的。因受制于國外技術(shù)壟斷,原來我國核電廠在役的和在建的工程中,核級UPS設備完全依賴進口。這制約了國內(nèi)核電的自主化水平,也影響國家戰(zhàn)略安全。從2016年開始,國內(nèi)某企業(yè)已經(jīng)打破核島級UPS的國外技術(shù)壟斷,并開始逐步國產(chǎn)化推廣應用,為國家核安全增添了一道保障。
結(jié)束語
END
2017年,我國正式實施《中華人民共和國網(wǎng)絡安全法》,其中規(guī)定,國家對重要行業(yè)和領(lǐng)域,以及其他一旦遭到破壞、喪失功能或者數(shù)據(jù)泄露,可能嚴重危害國家安全、國計民生、公共利益的關(guān)鍵信息基礎(chǔ)設施,在網(wǎng)絡安全等級保護制度的基礎(chǔ)上,實行重點保護,體現(xiàn)了我國對信息安全的重視。保障網(wǎng)絡安全的一個重要途徑就是自主可控。原信息產(chǎn)業(yè)部副部長呂新奎認為,保衛(wèi)網(wǎng)絡安全就是保障國家主權(quán),而自主可控就是保障網(wǎng)絡安全、信息安全的基本前提。UPS電源及動力環(huán)境監(jiān)控系統(tǒng)作為IT網(wǎng)絡和工業(yè)控制的基礎(chǔ)保障,出現(xiàn)漏洞攻擊的危害是破壞性的,需要我們加強防范意識,提高自主可控程度,保障國家網(wǎng)絡和工業(yè)生產(chǎn)安全。
