虚拟空间与能源安全

虚拟空间的黑客攻击对国民经济与社会生活形成了新的严峻威胁。随着信息和自动控制技术在能源工程上的大量应用，能源领域成为了黑客攻击的主要对象。在美国，50%的重大黑客攻击事件发生在能源领域。从沙特、伊朗、卡塔尔已经发生的事件中可以看出，重要能源设施在黑客攻击的威胁下显得非常脆弱。有知名保险公司警告说，全球能源行业也许正坐在一个"没有保险的黑客攻击定时炸弹"上。黑客攻击给能源公司、保险公司、国家财政都带来了巨大的成本负担，也使能源实体的供应安全越来越依赖于虚拟空间的网络安全。网络安全无疑是21世纪能源安全所面临的最为变化无常的新挑战。

黑客为什么要攻击能源设施？如何攻击？能源企业如何抵御黑客攻击？政府在这方面应该有何作为？世界各国如何合作应对？

2014年9月5日下午，北京国际能源专家俱乐部在京举办了《虚拟空间与能源安全》研讨会，特邀美国国家能源安全理事会"能源与虚拟空间安全中心"主任GalLuft博士分享对此议题的看法。

GalLuft博士的主要观点总结如下：

1.网络安全已成为全球能源安全的重要组成部分，应完善对能源设施保护的思路。2006年是能源设施遭受攻击的分水岭。在1906-2006这100年里，能源设施遭受的主要是物理攻击。2006年后，通过网络对能源设施实施攻击的严重性要大于物理攻击。2013年美国256次重大网络攻击事件中，有50%以上是针对能源系统的。英国石油公司（BP）首席执行官公开披露，该公司每天遭受5万多次网络攻击，而过去40年中全球能源系统遭受物理攻击的次数总和仅为20万次。

2.网络攻击对能源系统的危害与日俱增。黑客可以通过病毒软件进入能源系统的控制中心，轻则导致系统瘫痪，重可造成灾难性后果。2012年，一个名叫Shamoon的病毒感染了沙特阿美石油公司的3万台电脑，导致该公司关闭15天。2010年，在伊朗潜伏了两年多的Stuxnet病毒软件突然爆发，摧毁了伊朗Natanz核工厂的1000台离心机。最近有新的病毒软件可以掌控工业控制的SCADA系统，可修改系统监控数据，直接影响系统自动化决策，可对电厂、电网、石化工厂、水电站等自动化程度很高的能源工业设施带来巨大的危害。相关报道见附录。

3.能源设施遭受网络攻击的损失巨大，可能的后果不堪设想。英国政府估计，网络攻击已经给英国的油气行业造成了每年4亿英镑的损失。其它潜在的风险更为巨大。全球各地的深水油气生产平台都有动态定位系统，该系统目前都与外部网络保持连接。如果黑客控制了这一定位系统，所造成的损失可能是高达500亿美元的环境灾难。1975年河南驻马店板桥水库的溃坝造成了17多万人死亡和1000多万人丧失家园，而装有全美国8100座主要大坝敏感数据的数据库在2013年被黑客盗取，如果黑客控制大坝开闸放水或导致溃坝，后果不堪设想。

4.网络攻击的来源呈现多元化趋势。任何通过芯片联接的能源系统都存在被黑客攻击的风险。能源系统联接的设备越多，范围越广，风险越大。智能电网在能源利用效率方面具有优势，但同时又在网络安全方面留下隐患。美国许多地方因公众反对潜在的信息泄露或网络攻击，智能电表无法入户。GalLuft博士举例，曾有黑客通过联网的咖啡机制造线路过热最终引发了火灾。

5.实施网络攻击的主体多元，以非国家力量为主。攻击者包括遭遇不顺或被解雇的员工、极端的环保主义者、无政府主义者、对社会不满者、恐怖分子和他国政府的网络部队等。

6.当前能源系统的网络安全防护远远落后于IT系统。GalLuft博士指出，应加强对能源系统的网络安全的重视，包括认知、理念、措施、合作等诸多方面。全球对IT系统的安全相当重视，但对能源领域的网络安全还没有充分的认识。未来的战争很可能不是通过武器来摧毁，而是网络的打击。通过网络打击可以使敌国的能源和工业系统瘫痪，从而不需要流血牺牲而达到目的。

7.全球对网络安全的风险和危害的评估机制尚未建立。世界各国还没有建立网络安全的风险危害评估机制，也就没有一个相应的险种可以赔偿网络攻击带来的损失。如果能源系统遭受物理攻击而受到损失，保险公司可以依规赔偿，但基于网络攻击可能带来不可估量的损失，全球保险公司至今拒绝为网络攻击担保。

8.保障能源系统免受网络攻击仍面临诸多挑战。GalLuft博士总结为依次递进的五方面：一是日常检测方面的难题，某些病毒有相当长的潜伏期，一旦爆发猝不及防；二是攻击源很难及时识别，只有找到攻击源才能想方设法有效地制止；三是要采取网络隔离，一旦病毒爆发，必须立即采取隔离措施，尽量降低损失；四是可持续运行方面，能源系统必须具备孤立运行的能力。为此，维护数据系统电力供应的可靠性尤为重要，一旦断电，需要电子控制的系统就无法运行；五是网络攻击的手段和途径在不断演变，今天的解决方案预防不了明天的攻击。

9.中国在网络安全领域的重视度和国际参与度有待提高。黑客攻击影响能源安全在国际上还属于前沿领域，各国都在探讨应对措施，以色列为此已经成立了国家虚拟空间管理局（NationalCyberAdministration），并每年主办有上万人出席的全球大会，但中国一直缺席。

在讨论中，与会专家还就能源系统如何预防网络攻击提出了以下建议：

1.在技术、人员、制度三个方面加强网络安全建设。一是在技术层面提高能源系统的网络安全防护措施；二是加强网络安全的教育和培训，增强企业和个人主观的防护意识；三是加强国家层面的网络安全制度建设，在法律上严惩黑客犯罪行为。大型能源企业要有专门负责网络安全的部门与机构，在企业内落实各种防范措施。

2.建立网络安全的信息共享机制。从全球来看，网络安全的信息共享机制还没有达成共识，能源企业因意识或竞争原因不愿披露受网络攻击的信息，导致更多企业受害。如2012年，沙特阿美公司因没有及时分享遭受攻击的信息而导致卡塔尔天然气公司随后又遭受攻击。建议在煤、油、气、电、管网及其他基础设施的经营企业之间建立更广泛的网络安全合作机制，统筹协调各大能源领域的网络安全应急与防护措施。建议能源领域的相关行业协会建立网络安全的信息共享机制。

3.建立国家层面的网络安全决策和执行机构。信息安全已经被列为国家安全委员会所关注的11类国家安全事项之一，但信息安全并不等于网络安全。可以考虑在国家安全委员会下设立网络与重大基础设安全领导小组，远期还可以参照以色列考虑设立"国家网络安全管理局"，在国家层面制定网络安全防护战略，并督导对国民经济有重大影响的企业落实网络安全的相关规定。

4.建立网络安全国际合作机制。网络军队与网络武器已经成为各国国防力量的重要组成部分，但各国都面临着黑客攻击对能源与其他工业基础设施造成损失的共同挑战。应该将网络武器与民用设施保护分开对待，加强各国之间就能源设施保护的信息与经验交流。作为维护全球能源安全的主要机构，国际能源署（IEA）在协调各国在网络能源安全的信息共享与应对措施方面可以发挥重要作用。

5.在网络安全的背景下，重新评估与设计智能电网。智能电网连接了众多智能终端设备，任何一个接口都可能成为黑客攻击的突破口，因而在构建智能电网时，不应只考虑其带来的高效和便利，更应该考虑在网络安全前提下的电力可靠供应。

6.加强中国在国际网络安全方面的参与度。在能源领域的网络安全国际会议中，还没有中国人的参与。中国作为能源生产和消费大国，必须积极面对能源系统的新挑战。能源企业、网络企业、科研咨询机构、各行业协会应积极参加网络安全国际会议，也可以考虑在华举办"网络与能源安全"国际会议，交流相关信息，探讨应对措施。

附录

Stuxnet病毒

2012年4月10日网上报道

一、简介

Stuxnet病毒，中文译为震网病毒，它是一种全新的蠕虫病毒，以工业控制系统的核心计算机控制软件为攻击目标。2010年7月，德国专家率先发现了这种病毒。随后，伊朗、印度尼西亚、印度和美国等国均遭到震网病毒的攻击。随着对病毒特点的进一步认识，西方媒体得出一致结论，震网病毒的目标是伊朗布什尔核电站。

2011年7月，电脑安全公司赛门铁克通过一系列的试验研究和分析，认定这种病毒是专门为袭击离心机而设计的，并能突然更改离心机中的发动机转速，这种突然的改变足以摧毁离心机且无法修复。同时，赛门铁克认为这种病毒能够对世界范围内的工业控制系统造成物理破坏，并于2011年10月发现了这种病毒的变种。

二、危害及影响

震网病毒与传统病毒的区别在于，其以对目标的物理攻击为直接目的，而非传统意义上的信息窃取和软件系统破坏，而且攻击对象直指工业控制系统。震网是第一个直接破坏现实世界中工业基础设施的恶意代码。以往采用病毒破坏工业基础设施的设想仅存在于书本之中，而今震网病毒已经将其付诸实践，因而震网病毒也被誉为世界上首个网络"超级武器"。

震网病毒之所以能够在短时间内带来如此严重的影响，是因为它采取了多种先进技术，具有极强的隐身和破坏力。震网病毒利用了微软操作系统中至少4个漏洞，其中有3个全新的零日漏洞；它伪造驱动程序的数字签名，通过一套完整的入侵和传播流程，突破工业专用局域网的限制，并利用主流工业控制过程监视系统--WinCC系统的2个漏洞，开展破坏性攻击。

赛门铁克在对软件进行反编译后发现，"震网"病毒结构非常复杂，因此它应该是一个"受国家资助高级团队研发的结晶"。由于攻击目标直指工业控制系统，这种病毒可以破坏世界各国的化工、发电和电力传输企业所使用的核心生产控制电脑软件，并且代替其对工厂其他电脑"发号施令"。

"震网"感染的重灾区集中在伊朗境内。因此美国和以色列被怀疑是"震网"的发明人。相关媒体普遍推测，以色列迪莫纳核基地和美国能源部下属的国家实验室联合完成了"震网"病毒的开发工作，在研发过程中，德国和英国政府也专门提供了必要的援助，并且，以色列曾在迪莫纳核基地内对"震网"病毒进行测试。据赛门铁克公司的统计，2010年7月份，伊朗感染震网病毒的主机只占25%，到9月下旬，这一比例达到60%。2010年9月27日，伊朗国家通讯社向外界证实该国的第一座核电站"布什尔核电站"已经遭到攻击。因此，此次攻击具有明确的地域性和目的性。

目前，全球已经有至少4.5万个工业控制系统遭到过"震网"病毒的光顾，对那些不属于自己打击对象的系统，"震网"会在留下了其"电子指纹"后溜之大吉，继续寻找真正的破坏目标。据推测，俄罗斯工程技术人员使用的U盘可能是本次病毒传播的重要渠道。

震网病毒的出现使得工业系统的安全性面临严峻的挑战。在我国，WinCC已被广泛应用于很多重要行业，目前在电力、钢铁、化工等大型重化工业企业中，工业以太网、DCS（集散控制系统）、现场总线等技术早已渗透到控制系统的方方面面。工业控制网络的核心现在都是工控PC，大多数同样基于Windows-Intel平台。工业控制网络除了可能遭到与攻击民用/商用网络手段相同的攻击，例如通过局域网传播的恶意代码之外，还可能遭到针对现场总线的专门攻击，因此，一旦类似震网的病毒在我国传播，造成的影响和后果将十分严重。

【点评】在传统工业与信息技术的融合不断加深、传统工业体系的安全核心从物理安全向信息安全转移的趋势和背景下，Stuxnet病毒攻击事件值得我们高度关注。Stuxnet病毒针对工业控制系统的核心操作软件展开攻击，历史性的对工业控制系统造成了物理破坏，这样的攻击效果无异于网络界的"超级武器"。同时，攻击中所采用的多个新漏洞和传播手段，将在很长一段时间内给新的攻击提供最直接的动力。而更大的影响是，事件中显露出来的攻击思路和攻击视野会带来长久的示范效应。

世界最大石油公司持续遭受网络攻击，即将停产

2012年12月13日网上报道

今年八月份的时候，freebuf就曾报道过SaudiAramco(沙特阿拉伯国家石油公司)遭受严重网络攻击，恶意软件Shamoon感染该公司网络，造成该公司从外部访问的所有电子系统突然中断，影响了该公司的一些网络访问。

当时该公司官员声称已经采取了一系列措施和多个冗余系统，保障了其业务和数据库系统的正常运行(据路透社报道实际情况比SaudiAramco发表的声明更为严重，网络上显示大量的系统和网络以及邮件服务器、域控服务器被入侵，约3万台左右)。

时至近日，SaudiAramco在应急响应不力的情况下，实在不堪折磨，打算停止该公司的石油生产。SaudiAramco公司发言人Abdullahal-Saadan说道："本次网络袭击的主要目的是在于阻止石油和天然气于本地和国际市场之间的流动，感谢上帝，他们不能实现自己的目标。"

一个自称"正义之剑"(CuttingSwordofJustice)的黑客组织声称对SaudiAramco遭攻击一事负责，称攻击石油公司是处于政治目的，想窃取机密然后威胁他们公布相关机密。

美国电网若遭攻击损害程度将超桑迪飓风

2012年12月4日网上报道

根据最新报告显示，美国迫切需要一个全国性的战略来保护其高度"脆弱"的电网，如果攻击者攻击美国电网，损害程度可能会远远超过飓风桑迪。

根据美国国家研究委员会的报告显示，如果恐怖分子侵入任何一个关键设施(无论是通过用于破坏控制系统的互联网恶意软件，还是通过内部攻击)，都可能让美国大部分地区断电达数星期或数个月。

这种攻击的损害程度将比上个月飓风桑迪对美国东海岸的损害多几十亿美元以上。

卡内基-梅隆大学工程和公共政策系M.GrangerMorgan表示，"精心设计和执行的恐怖袭击造成的损害更广泛，持续时间更长，想都不用想，这种攻击将会造成几百亿美元的损失。"

美国电网的"脆弱性"在于分布范围广泛(数百英里)，并有很多无人防守的关键设施。此外，20世纪90年代中期的联邦立法为电力市场的更多竞争者打开了大门，强调国家的散布的输电系统，这可能造成攻击后发生多重故障的风险。

美国电网还包含很多重要设备，这些设备有些已有几十年的历史，缺乏先进的传感和控制技术来防止系统中断。一个典型的例子就是，在飓风桑迪后，美国LongIsland电力管理局难以恢复电力，造成超过700亿美元的损失。新闻媒体报道称，由于使用年代久远的电脑主机，严重阻碍了公共事业设备的恢复进度。

计算机取证和安全专家兼佩斯大学教授DarrenHayes表示，"由于公共事业设备难以赚取利润，最让人担心的就是陈旧系统的更新和安全投资。"

Hayes表示，公共事业设备的另一个问题是，加入IT操作以消减成本。

"安全一直都不是优先事项，但现在必须优先考虑安全性，很多公共事业设备将重点放在集中IT操作来降低成本，"Hayes表示，"这种集中化意味着，公共事业设施联接在一起，可能被灾难性地全部摧毁。"

在发现Stuxnet(2010年破坏伊朗核设施的高级恶意软件)后，对国家的关键基础设施的攻击开始成为关注的焦点。伊朗表示要采取"先发制人"的方式来打击他们认为应当负责任的国家。"纽约时报"报道称美国和以色列共同开发了Stuxnet。

该报告提供了保护国家电力输送系统的几个建议，当然，一切都需要从钱开始，研究资助资金远远小于研发需求。

除了钱以外，该报告还建议开发、生产和储备"通用恢复变压器"，这可以暂时代替故障的高压变压器--这些变压器通常是在美国以外地区定制的，需要几个月甚至几年来替换。通用恢复变压器效率没那么高，但它们可以显著减少恢复电力的时间。美国国土安全局最近开始于美国电力行业合作开发和测试恢复变压器。

其他"脆弱点"包括通信、传感器和控制系统，这些都容易通过互联网连接或者内部的攻击。最好的解决办法是断开与互联网的连接。如果不能断开的话，应该部署国家最先进的技术和管理安全系统，包括监控操作人员错误或破坏的系统。

内部攻击的威胁非常巨大，在8月份，名为Shamoon的病毒删除了国有石油公司SaudiAramco公司三个季度的企业数据。据称是内部人员通过USB插入电脑来感染系统的。

最后，该报告建议美国国土安全局和能源部跨地区制定安全战略，这些战略的目的在于消除漏洞。

另外，还需要政府机构和私营行业之间的信息共享与协作。但要做到这一点，联邦政府将不得不解决公共政策和法律障碍。

俄罗斯黑客组织蜻蜓攻击了西方一千多家能源公司

2014年7月17日佚名FreeBuf

某安全公司称，近来一个称为EnergeticBear的俄罗斯黑客组织使用一种复杂的网络武器，已经使1000多家欧洲和北美能源公司受损，与震网相似，这种网络武器可以使黑客们访问到能源部门的控制系统。

往日的网络犯罪通常仅注重在PC机上传播恶意代码，并且以PC使用者为目标，不管他们是屌丝还是高富帅。而今，能源部门的各种机构已经变成网络犯罪感兴趣的目标了。

几天前，安全研究人员发现了一种类似震网的恶意代码：Havex,它也是被编码用作感染工业控制系统的SCADA系统，这种恶意代码可能通过使用一个按键就能够使水电大坝停运、核电站过载，甚至关闭一个国家的电网。

俄罗斯黑客袭击1000多家能源公司

该黑客组织也被称为"蜻蜓"，一个至少自2011年起便开始活跃的东欧黑客团体，并且自从2013年就一直使用钓鱼网站和木马对美国和其他一些国家的能源供应商组织实施攻击。

赛门铁克称，"他们的主要目标是实施间谍活动，该团体似乎是有资源、有规模、有组织的，这无疑表明在这次恶意软件活动中有政府的参与。"

根据赛门铁克发表在官方博客的博文称，蜻蜓组织的主要目标是许多国家的石油管道运营商、发电企业和其他能源工控设备提供商。

破坏操作

从2013年开始，蜻蜓组织就以那些使用工控系统来管理电、水、油、气和数据系统的机构为攻击目标，这次间谍活动在18个月的时间里影响了84个国家，但是大多数受害者机构都位于美国、西班牙、法国、意大利、德国、土耳其和波兰等国家。

赛门铁克博文显示，2013年初在将主要目标转向美国和欧洲的能源公司之前，蜻蜓最初的目标是美国和加拿大的国防和航空企业，蜻蜓体现了国家支持的标志，展示了技术能力的高度。

攻击向量

为达到通过远程控制木马(RAT)访问计算机系统的目的，蜻蜓使用不同的技术感染工业软件，包括在电子邮件、网站和第三方程序中捆绑恶意软件，这种恶意软件拥有实施破坏操作的能力，这种破坏操作可能中断多个欧洲国家的能源供应。