作者 | 鄔晶，宋蕾，龍承念，李少遠 上海交通大學

摘要

信息物理系統安全問題日益突出，引起了世界各國政府和社會各界的高度關注。本文通過研究信息物理系統的安全目標，對攻擊威脅進行了概述。總結了攻擊實施的基本條件，并針對攻擊實施的不同特征，提出了幾類常用攻擊的建模方式和攻擊過程的結構化表征。從實施要素的角度對比了故障與攻擊，為準確辨識攻擊行為以及制定信息物理系統安全防護提供了模型基礎。

1 引言

隨著傳感器網絡和嵌入式系統技術的發展，近年來，信息物理系統（Cyber-Physical Systems, CPSs）的開發和部署已給人們的社會生活帶來巨大變革。CPSs涉及的應用領域非常廣泛，包括工業控制系統、智能電網系統、遠程醫療系統、智能交通系統、環境監測和智能建筑等。計算機技術、網絡通信技術和控制技術的深度融合，為國家關鍵基礎設施建設提供了強大的技術支撐，為綠色、高效、智能的生產生活模式帶來了更廣闊的發展前景。然而，越來越依賴網絡化的CPSs面臨著不斷升級的安全風險。隨著攻擊者的系統漏洞發現能力與攻擊手段不斷提升，攻擊者不僅可以利用信息安全漏洞突破網絡防御，癱瘓控制系統，甚至可以通過癱瘓一部分物理節點進而造成物理世界的級聯事故，給整個CPSs造成損害。實際上，CPSs易受攻擊的弱點在最近一系列的事故中得以證實，表1列舉了近幾年電力系統遭受網絡攻擊的實例。如圖1所示，展示了2010~2015年美國國土安全部ICS-CERT統計的影響安全事件數?？梢钥闯?，當前信息物理系統安全事故頻發，預計未來的安全威脅將日益嚴重，這對保護信息物理系統免受網絡攻擊提出了迫切需求。

信息物理系統安全威脅來自多方面，有來自系統外部的威脅，如恐怖組織、國外情報部門、網絡黑客等敵對勢力，他們借助垃圾郵件、網絡釣魚和惡意程序等竊取合法用戶身份進行在線欺騙，謀取經濟利益并破壞公眾的正常生產生活；也有來自系統內部的威脅，如系統管理人員不受限制訪問目標系統實施破壞，更嚴重的是運維人員對現場設備進行非法操作等。當然，不同行業面臨的威脅和風險不同，軍工行業主要強調工控網和涉密網連接時的信息保密，石化行業強調生產的連續和非異常，電力行業強調SCADA調度系統的不中斷等。為保障CPS工控系統的安全運行，世界各國政府已高度關注，出臺許多政策大力支持相關問題的研究工作。國際上，美國國家標準技術研究院出臺了SP800-82《工業控制系統安全指南》，確定了工控系統面臨的典型威脅漏洞以及相關資產的安全防護對策，范圍包括電力、石油化工、污水處理、核電、交通等國家關鍵基礎行業的ICS系統，美國國土安全部制定了“國家基礎設施保護計劃”。日本發起“工業控制系統網絡安全項目”，以保護日本重要基礎設施和工業設施安全。歐洲網絡與信息安全局發布《工業控制系統網絡安全白皮書》，要求歐盟成員國針對工業控制系統的網路攻擊事件做出靈活應對。

我國也將網絡安全正式劃入“十三五”規劃重點建設方向，出臺了《網絡安全法》、《國家網絡空間安全戰略》、GB/T 26333《工業控制網絡安全風險評估規范》等政策與規范，規定了工業控制網絡安全風險評估的一般方法和準則，為防范和化解CPS信息安全風險提出了針對性的防護對策和整改措施。在學術研究方面，信息物理系統的安全問題主要包括攻擊建模、入侵檢測、抗攻擊控制及隱私保護等方面。其中，攻擊模型能對攻擊過程進行結構化和形式化描述，有助于提高攻擊檢測和安全預警的效率，是保障系統安全的一個關鍵步驟。已有許多學者針對特定攻擊行為進行建模，如文分析了拒絕服務攻擊對信息物理系統的影響，并針對攻擊者干擾能量受限的情況，設計出最優拒絕服務攻擊序列模型。文采用基于數據驅動的子空間方法，設計了一種針對狀態估計的錯誤數據注入攻擊。文利用博弈論，建立了人和控制系統相互作用的模型，并用它分析信息物理安全問題。文研究了針對網絡控制系統的隱蔽攻擊，并建立了一種具有反饋結構的攻擊模型。還有一些學者以圖形化的方式描述攻擊路徑，提出基于攻擊樹或基于Petri Net攻擊圖的模型來表示攻擊行為和步驟之間的相互依賴關系，定性評估信息安全脆弱性以及系統的風險程度。然而圖形化攻擊建模過程中沒有將攻擊危害與系統安全要求結合，忽略攻擊實施基本條件與制定防御策略之間的聯系。因此，本文針對攻擊實施的行為要素，對幾類常用攻擊進行建模研究，提出了基于安全屬性的攻擊分類方法，總結了不同種類攻擊對信息物理系統狀態造成的影響，從而指導防護人員分析識別攻擊，實現準確可靠的預警及防御。

表1 電力系統網絡攻擊實際案例

圖1 美國國土安全部2010～2015年安全事件統計圖

2 信息物理系統的安全目標

《美國標準技術研究院（NIST）7682號報告》[30]指出信息安全三要素分別為可用性（Availability）、完整性（Integrity）和機密性（Confidentiality）。傳統IT系統中，強調的是確保互聯網業務及應用過程中數據的機密性，它的安全目標是“CIA”原則。而CPSs關注的安全需求是保證生產控制的可用性，可用性遭受破壞會影響物理系統正常工作，所以，CPSs的安全目標遵循的是“AIC”原則。

（1）可用性：保證所有資源及信息都處于可用狀態，網絡中任何信息時刻都能100%被授權方通過合理方式訪問。即使存在突發事件（如電力事故、攻擊行為等），被控對象、控制中心等依然能夠獲取到需要的信息?！翱捎眯浴北黄茐淖钊菀讓崿F的形式是利用通信網絡的脆弱性，中斷數據傳輸，從而造成資源浪費，影響系統的正常運行。

（2）完整性：保證所有數據或信息完整正確，任何未經授權的數據修改方式都不得對傳輸數據進行修改（包括改寫、刪除、添加、替換等操作）和破壞?！巴暾浴眴适б馕吨脩魰⑹盏降腻e誤數據認為是正確的，導致系統在信息收發過程中難以利用檢測技術發現攻擊行為，進而做出錯誤的控制決策。

（3）機密性：保證信息的獲取僅限有權限的用戶或組織，任何通過非法渠道進行的訪問都應被檢測并組織?！皺C密性” 被破壞將造成信息泄露問題，存在重要信息（如用戶隱私、產權信息等）被非法分子利用的威脅。

按照信息物理系統安全目標的屬性和重要性，我們對以破壞網絡可用性、破壞數據完整性、破壞信息機密性為目的的攻擊行為進行總結和分析，如表2所示。

表2 針對信息物理系統安全屬性的攻擊分類

2.1 以破壞網絡可用性為目的的攻擊

“下一代網絡”（如互聯網、專用網、局域網等）對實時通信和信息交互提供支撐。破壞網絡可用性的攻擊主要是通過阻礙、延遲通信網絡中的信息傳輸，引發網絡阻塞，導致數據不可用，主要涉及數據傳輸層通信協議的脆弱性，存在數據/信息的中斷威脅。典型的攻擊方式包括拒絕服務攻擊（Denial-of-Service，DoS）、黑洞攻擊、改變網絡拓撲等。DoS攻擊對被攻擊對象的資源（如網絡帶寬等）進行消耗性攻擊，其主要形式包括攻擊者迫使服務器的緩沖區溢出，使執行元件不接收新的請求；攻擊者利用網絡協議/軟件缺陷，通過IP欺騙影響合法用戶的連接，使系統服務被暫停甚至系統崩潰。黑洞攻擊常出現在無線傳感器網絡之類的自組織網絡中，攻擊時，惡意節點收到源節點發送的路由請求包后向其注出錯誤決策，使電力系統局部或整體崩潰。黑洞攻擊常出現在無線傳感器網絡之類的自組織網絡中，攻擊時，惡意節點收到源節點發送的路由請求包后向其注入虛假可用信道信息，騙取其他節點同其建立路由連接，然后丟掉需要轉發的數據包，造成數據包丟失。改變網絡拓撲的攻擊方式是指通過物理攻擊，斷開通信線路，使重要網絡線路失效，迫使信息經由更遠的路徑傳輸，引發關鍵通信的時延。

2.2 以破壞數據完整性為目的的攻擊

傳感數據的可靠采集和控制指令的有效執行為信息物理系統安全運行提供保障。破壞數據完整性的攻擊主要通過注入錯誤數據（如錯誤的狀態估計信息）或者非法篡改數據（如控制指令）來阻礙數據正常交換的可靠性和準確性。典型的攻擊形式有錯誤數據注入攻擊（False data injection attack，FDI attack）、重放攻擊（Replay attack）、中間人攻擊等。FDI攻擊常存在于電網中，攻擊者繞過壞數據檢測機制，通過錯誤數據操縱系統狀態估計結果，引起電網誤動作。重放攻擊是指攻擊者故意記錄合法用戶的身份驗證信息等，經過一段時間再向系統發送，獲取系統的信任；或者攻擊者通過網絡竊聽等其他非法監聽途徑識別并獲取傳輸信息，如斷路器跳閘的控制指令，后在電網正常運行時重放該指令，造成斷路器誤動作。中間人攻擊是指攻擊者介入兩臺通信設備之間，接收一臺發送的信息，獲取后修改數據再發送給另外一臺，例如遠程終端單元（RTU，Remote Terminal Unit）向控制中心發送的電網狀態信息可能被修改或刪除，從而導致控制中心做出錯誤決策，使電力系統局部或整體崩潰。

2.3 以破壞信息機密性為目的的攻擊

攻擊者通過非法監聽等行為訪問網絡中的機密數據，并利用這些數據對系統或其他參與者造成損害，從中獲利。以電網為例，這類攻擊大多發生在用戶側，例如通過竊聽器或流量分析儀獲取單個或多個用戶智能電表數據，從而分析出用戶與電網的狀態，便于進一步實施破壞。

具體實現途徑有：（1）密碼破解，攻擊者通過暴力破解等手段繞過防火墻和密碼保護，成功侵入后使用IP掃描工具，侵入各個用戶交互界面獲取信息或發出未授權的指令，如控制斷路器跳閘。（2）惡意軟件和病毒，通過網絡或不安全的移動存儲設備在電力控制設備上安裝惡意軟件或傳播病毒竊取信息。（3）內部員工，安全意識薄弱的員工可能將帶有病毒的移動設備插入系統，或設置易破解密碼。心懷惡意的員工得到授權可輕易對系統進行操作并規避檢查。

此外，還有以破壞多個安全屬性為目標的攻擊，如女巫攻擊攻擊者偽造多種身份與CPS元件通信，影響惡意節點相鄰節點的通信網絡和路由路徑，實現攔截信息、篡改信息等功能，破壞網絡可用性和數據完整性）、蟲洞攻擊（攻擊者在兩個相距很遠的節點之間構建一條高質量的私有通道，偽造非法的高效路徑，破壞路由協議，破壞數據完整性和信息機密性）等。

3 信息物理系統攻擊建模

CPS安全問題本質上是攻擊與防御之間的對抗，而要設計合理的防御機制，必須對攻擊的行為進行深入剖析。攻擊模型是對攻擊過程的結構化描述，是對攻擊特征的參數化表達。它不僅有助于研究攻擊者行為，而且可以提高攻擊檢測和安全預警效率，能夠為制定更有針對性的安全防護策略奠定基礎。

3.1 信息物理系統攻擊實施要素

攻擊實施的三個行為要素為：信號竊聽、攻擊構造、攻擊注入，如圖2所示。在實際攻擊場景中，攻擊者首先需要對攻擊對象和周圍環境進行感知，即攻擊者需要獲取一定的模型知識，這包括部分或全部信息物理系統演化所涉及的動態特性、系統參數、網絡參數以及系統檢測機制、安全標準等。攻擊者對模型知識掌握得越全面，構造的攻擊信號越容易躲過系統的防御和檢測機制。其次，攻擊者要對通訊網絡進行竊聽，在沒有被檢測且不影響系統運行的情況下，竊聽截取傳輸中的測量信號或控制信號的披露信息，包括信號所在的位置、信號的大小、信號的編碼方式等。結合所掌握的模型知識以及竊聽截獲的網絡披露信息，利用自身具備的破壞資源構造滿足預期攻擊效果的攻擊信號，注入到物理系統、控制中心或通信網絡中，危害信息物理系統的可用性、實時性、安全性等性能。當然，有些攻擊無需知道模型知識或竊聽披露信息，利用通信協議漏洞，也可以直接生成惡意軟件程序等威脅數據包，但這種攻擊較容易被系統自身的安全檢測機制和防御措施截獲。有的攻擊者還可以根據反饋信息，調整校正攻擊策略，以達到協同的攻擊效果。由于攻擊者具備的破壞資源受限，每類攻擊能夠感染的通道個數、持續實施的攻擊時長都不盡相同，從而對系統造成危害的程度不同。

值得注意的是，故障也會引發信息物理系統運行失效，但無意圖的故障和有意圖的攻擊存在本質區別，通過分析實施的行為要素以及實施過程中掌握的知識信息資源，可以幫助防御者區分故障和攻擊，以及區分不同類型的攻擊，從而及時進行故障隔離或實行安全控制響應。

圖2 攻擊實施圖

3.2 典型攻擊建模

攻擊的種類繁雜，手段多變，不同領域攻擊所預計到達的具體攻擊目標也不盡相同。本文以電力CPS中常見的典型攻擊為例，給出成功實施攻擊的必備條件和攻擊過程建模。

3.2.1 DoS攻擊

DoS攻擊是最常見也是最容易實現的攻擊形式，其攻擊模型如圖3所示，其中P表示系統模型，F表示控制器，D表示檢測器。攻擊者只要掌握系統元件之間的通信協議，即可利用攻擊設備在測量通道 ! 8、控制通道 #$上開展阻塞網絡信號傳輸等形式的攻擊，無需提前知道系統模型知識，也無需竊聽通信網絡獲取披露信息。系統遭受DoS攻擊時的輸出信號和控制信號可以分別表述為：

其中ω(t)和υ(t)是噪聲信號。需要指出的是，DoS攻擊時信道有可能接收到帶有真實信號的噪聲信號ω(t)和υ(t)。當噪聲信號足夠大，即攻擊足夠強時，作為防守方，我們通常會人為丟棄這個信號，因為這個噪聲信號不能提供任何有用信息。這時候系統的輸出信號和控制信號就可以看作是w./0(t)=0;123(t)=0/。這和由通信網絡不穩定造成的數據包丟失在數學表達上是相同，但其造成的原因是不同。

圖3 DoS攻擊框圖

3.2.2 重放攻擊

重放攻擊可以分為兩個階段，如圖4所示。先是記錄階段，即攻擊者從某時刻開始竊聽并記錄通信鏈路γy和γu上的傳輸信號，隨后是攻擊階段，即攻擊者經過一段時間τ后，將記錄的信息重新發送到網絡通道 ! 8、 #$中。攻擊實施過程中無需知道系統模型知識，只需獲取通信鏈路上的披露信息即可。系統遭受重放攻擊時的輸出信號和控制信號可以表述為：

可以發現重放攻擊和傳統網絡控制系統中的延時數據在數學表達上相同，但延時是由路由器轉發數據包處理時長引起的，重放攻擊是人為選擇特定時段傳輸信息再次發送，以達到損害數據完整性、一致性的目標。

圖4 重放攻擊框圖

3.2.3 欺騙攻擊（Deception attack）

欺騙攻擊是一類較為復雜的攻擊，目的是采用多種手段“躲避”系統安全檢測，欺騙防御者使其誤以為沒有攻擊發生，從而實現隱蔽攻擊。主要攻擊手段包括錯誤數據注入攻擊（FDI attack）、偏置攻擊（Bias attack）[46]、浪涌攻擊（Surge attack）[47]、轉換攻擊（Covert attack）[48]等。其攻擊模型如圖5所示。攻擊實施需要知曉安全檢測機制等模型知識，竊聽通道γy和γu上的披露信息，擁有攻擊通道 ! 8和 #$的破壞資源。系統遭受欺騙攻擊時的輸出信號和控制信號可以表述為：

圖5 欺騙攻擊框圖

3.2.4 錯誤數據注入攻擊

錯誤數據注入攻擊是一種典型的欺騙型攻擊，普遍針對電力系統狀態估計環節（即測量通道）。攻擊者在了解電力系統拓撲結構的情況下，通過篡改傳感器測量數據，入侵傳感器和SCADA系統之間的通信網絡，使得控制中心接收到的傳感器測量數據不等于真實的測量數據，以“躲避”現有的壞數據辨識裝置的檢測。攻擊實施前需要知道模型知識中的系統參數和壞數據檢測機制，才能達到欺騙效果；此外還需要知道目標通道的披露信息。系統遭受攻擊后，測量輸出信號被篡改為：

表3給出了幾類典型攻擊實施所需要素。當然，還有關于破壞信息物理系統隱私性方面的攻擊，也可以按照攻擊實施要素進行個案建模分析。由于攻擊過程本身的復雜和多樣性，從已知攻擊形式中間找出關聯并總結出通用的攻擊模型仍然是個挑戰，本文主要從攻擊實施要素角度提供攻擊建模分析思路，對系統管理者制定防御措施有積極的指導意義。

表3 幾類典型攻擊建模所需要素

4 結語

本文介紹了信息物理系統威脅和攻擊建模，它是信息物理系統中至關重要又富有挑戰的研究方向。本文的主要目的在于介紹信息物理系統的安全目標和攻擊實施的基本條件，依據攻擊實施條件闡述幾種常用攻擊的建模方式，為后續構建信息物理系統安全防護體系提供模型基礎。

作者簡介

鄔 晶（1979-），女，上海交通大學自動化系副教授，主要研究方向為信息物理系統的建模、分析與安全控制等。

宋 蕾（1994-），女，上海交通大學自動化系碩士研究生，主要研究方向為智能電網攻擊建模。

龍承念（1977-），男，上海交通大學自動化系教授，教育部新世紀優秀人才，主要研究方向為無線網絡、認知無線電、協作通信等。

李少遠（1965-），男，上海交通大學自動化系教授，國家杰出青年基金獲得者，主要研究方向為自適應預測控制、網絡化分布式系統的優化控制及數據驅動系統控制器設計。

摘自《自動化博覽》2018工業控制系統信息安全專刊（第五輯）