2019中国工业互联网安全态势报告.pdf

中国工业互联网安全态势报告 （2019） 工业互联网产业联盟 2020年8月 目 录 前言. 1 第一章 中国工业互联网安全发展概述 . 1 1.1 工业互联网安全政策进展 . 1 1.1.1 2019年相关政策 . 1 1.1.2 重要政策解读 . 2 1.2 工业互联网安全标准进展 . 4 1.3 工业互联网安全技术进展 . 8 1.4 工业互联网安全产业发展情况 . 8 第二章 国外工业互联网安全发展概述 . 10 2.1 美国工业互联网安全发展现状 . 10 2.2 德国工业4.0安全发展现状 . 11 2.3 其他国家工业互联网安全发展情况 . 12 第三章 2019年中国工业互联网安全威胁统计 . 13 3.1 互联网安全风险威胁统计 . 13 3.2 工业互联网接入设备安全威胁统计 . 15 3.2.1工业互联网主机安全风险 . 15 3.2.2工业控制系统安全风险 . 20 3.2.3物联网接入设备安全 . 30 3.3 工业互联网网络安全风险 . 35 3.3.1 标识解析体系安全分析 . 35 3.3.2 5G网络安全风险分析 . 43 3. 4工业互联网平台安全调查 . 49 3.4.1边缘接入层安全 . 49 3.4.2 基础设施层（IaaS）安全 . 50 3.4.3 工业PaaS与SaaS层安全风险 . 51 3.4.4 工业互联网平台的安全管理与运维 . 52 3.5 2019工业互联网安全态势总结与分析 . 52 第四章 2019年国内外重点工业互联网安全事件 . 54 4.1 2019年国内外典型工业安全事件汇总 . 54 4.2 2019工业安全事件重点分析 . 60 4.2.1 印度核电厂遭受网络攻击：恶意软件Dtrack分析6 . 60 4.2.2 某装备制造企业遭受APT攻击事件深度分析7 . 75 4.2.3 某关键基础设施遭受非法恶意挖矿的深度分析8 . 83 4.2.4 针对DNS隧道的攻击与防范 . 91 第五章 中国重点行业工业互联网安全案例 . 97 5.1案例一：工业互联网边缘计算敏感数据安全防护案例 . 97 5.1.1案例概述 . 97 5.1.2工业互联网企业数据安全问题 . 97 5.1.3敏感数据防护解决方案 . 98 5.1.4小结 . 101 5.2 案例二：智能工厂工业网络安全集中监测与态势感知 . 102 5.2.1案例概述 . 102 5.2.2智能工厂典型安全问题 . 102 5.2.3智能工厂安全集中监测解决方案 . 103 5.2.4小结 . 106 案例三：工业互联网平台的安全防护与统一安全运营管理 . 106 5.3.1 案例概述 . 106 5.3.2工业互联网平台典型安全问题 . 107 5.3.3工业互联网平台安全解决方案 . 108 5.3.4 小结 . 113 第六章 中国工业互联网安全发展趋势 . 115 附录：国内外工业安全相关政策与标准 . 117 附录一：国内外工业安全相关政策一览表 . 117 附录二：国内外工业安全相关标准一览表 . 119 参考文献. 122 前 言 中国工业互联网在2019年发展迅速，已广泛应用于石化、钢铁、电子信息、家电、服装、机械、汽车、装备、航空航天等垂直行业和领域。据不完全统计， 2019年全国工业互联网产业规模超过7000亿元，复合增长率超过11.5%。工业互联网产业联盟成员单位也在2019年发展到1400余家成员单位。 工业和信息化部在2019年1月18日发布了工业互联网网络建设及推广指南，2019年7月26日，工业和信息化部、教育部、人力资源和社会保障部、生态环境部、国家卫生健康委员会、应急管理部、国务院国有资产监督管理委员会、国家市场监督管理总局、国家能源局、国家国防科技工业局十部委联合发布了加强工业互联网安全工作的指导意见，分别面向2020年和2025年提出了两大发展目标，并提出了7大任务和17项重点工作，并提出4项重点保障举措，为开展工业互联网安全工作提供切实可行指引。 为使广大工业互联网从业者清晰地了解工业互联网安全的发展情况，工业互联网产业联盟安全组启动编写了2019年版的中国工业互联网安全态势报告，报告从工业互联网安全现状、标准与政策、漏洞威胁、安全态势等多方面进行了深入的调研分析，以期引起各界对工业互联网安全的广泛关注，保障工业互联网的未来健康发展。 本报告是在工业和信息化部网络安全管理局指导和支持下，由北京六方云科技有限公司牵头，工业互联网产业联盟安全组多家企事业单位参加编写完成。主要参与单位有：中国信息通信研究院、中国电子信息产业集团第六研究所、中国移动通信集团、启明星辰信息技术集团股份有限公司、奇安信科技集团股份有限公司、杭州安恒信息技术股份有限公司、北京神州绿盟信息安全科技股份有限公司、北京梆梆安全科技有限公司、北京东方国信科技股份有限公司、北京交通大学、东北大学、北京双湃智安科技有限公司。 本报告的参编人：王志勤、魏亮、李江力、田慧蓉、刘晓曼、陶耀东、张峰、邱勤、王弢、李转琴、王绍杰、卢佐华、叶鹏、王晓鹏、姚羽、刘健帅、雷慧桃、王晔、崔婷婷、崔君荣、王锐、周玉刚、李鸿彬、袁森、周永权、张子钰。 中国工业互联网安全态势报告（2019） 1 第一章 中国工业互联网安全发展概述 1.1 工业互联网安全政策进展 1.1.1 2019年相关政策 2019 年 1 月 18 日，工业和信息化部发布工业互联网网络建设及推广指南，明确提出将以加快企业外网络和企业内网络建设与改造为主线，以构筑支撑工业全要素、全产业链、全价值链互联互通的网络基础设施为目标，以企业网络应用创新和传统产业升级为牵引，加快培育网络新技术、新产品、新模式、新业态，有力支撑制造强国和网络强国建设。 2019年7月26日，工业和信息化部、教育部、人力资源和社会保障部、生态环境部、国家卫生健康委员会、应急管理部、国务院国有资产监督管理委员会、国家市场监督管理总局、国家能源局、国家国防科技工业局十部委联合发布了加强工业互联网安全工作的指导意见，分别面向2020年和2025年提出了两大发展目标，并提出了7大任务和17项重点工作，并提出4项重点保障举措，为开展工业互联网安全工作提供切实可行指引。 2019 年 10 月 22 日，工业和信息化部印发关于加快培育共享制造新模式新业态 促进制造业高质量发展的指导意见，提出强化安全保障体系。围绕应用程序、平台、数据、网络、控制和设备安全，统筹推进安全技术研发和手段建设，建立健全数据分级分类保护制度，强化共享制造企业的公共网络安全意识，打造共享制造安全保障体系。 2019 年 10 月 29 日，工业和信息化部、发改委等十三部门印发了制造业设计能力提升专项行动计划（2019-2022年），强化产品安全性、功能性、可靠性、环保性等标准要求，规范信息交互、用户体验、运行维护等设计标准，形成高水平设计标准体系。 2019年11月 1日，工业和信息化部办公厅发布关于开展2019年工业互联网试点示范项目推荐工作的通知，将围绕网络化改造集成创新应用、标识解析集成创新应用、“5G+工业互联网”集成创新应用、平台集成创新应用、安全集中国工业互联网安全态势报告（2019） 2 成创新应用五个方向，遴选一批工业互联网试点示范项目，通过试点先行、示范引领，总结推广可复制的经验做法，推进工业互联网创新发展。 2019 年 12 月，为贯彻落实加强工业互联网安全工作的指导意见，推动工业互联网安全责任落实，对工业互联网企业网络安全实施分类分级管理，提升工业互联网安全保障能力和水平，工业和信息化部研究起草了工业互联网企业网络安全分类分级指南（试行）（征求意见稿），公开征求意见。 1.1.2 重要政策解读 以下是针对加强工业互联网安全工作的指导意见的政策解读。4 1.加强工业互联网安全工作的指导意见出台的背景和意义? 答：党中央国务院高度重视工业互联网发展，习近平总书记明确提出，要深入实施工业互联网创新发展战略。国务院关于深化“互联网+先进制造业”发展工业互联网的指导意见将安全保障与网络、平台建设并列为工业互联网三大体系之一。出台实施安全指导意见，一是落实党中央国务院工作部署，加快制造强国和网络强国建设，强化工业互联网安全体系化布局；二是有助于提升工业互联网安全保障水平，应对工业互联网发展面临的网络安全新风险、新挑战；三是有利于凝聚各方共识，构建协同推进、各司其责的安全工作体系，形成工业互联网安全保障合力。 为做好安全指导意见编制工作，工业和信息化部会同教育部、人力资源和社会保障部、应急管理部、国务院国有资产监督管理委员会、国家能源局等相关部门系统调研相关企业，广泛征集产业各方意见，理清工业互联网安全职责界面，明确重点任务。安全指导意见出台后，将为地方主管部门和相关企事业单位开展工业互联网安全工作提供依据和指导。 2.加强工业互联网安全工作的指导意见的总体要求？ 答：安全指导意见坚持以习近平新时代中国特色社会主义思想为指导，全面贯彻党的十九大和十九届二中、三中全会精神，围绕制造强国和网络强国建设，聚焦设备、控制、网络、平台、数据安全，落实企业主体责任、政府监管责任，健全制度机制、建设技术手段、加强公共服务能力、促进产业发展、强化人才培育，构建责任清晰、制度健全、技术先进的工业互联网安全保障体系，全面中国工业互联网安全态势报告（2019） 3 提升工业互联网创新发展安全保障能力和服务水平。 安全指导意见提出了四条基本原则：一是筑牢安全，保障发展。坚持安全与发展并重，确保工业互联网安全和发展同步规划、同步建设、同步运行；二是统筹指导，协同推进。强化统筹协调和系统谋划，推动产学研用各方形成发展合力，打造国家、地方、行业企业协同联动的工作格局；三是分类施策，分级管理。坚持分类分级管理的基本思路，强化重点领域、关键环节的管理和防护，提升企业综合防护水平；四是融合创新，重点突破。创新安全管理机制和技术手段，强化工业互联网安全关键核心技术研究，提升产业供给能力。 3.安全指导意见的主要目标？ 答：安全指导意见提出了两个阶段发展目标。到2020年底，建立监督检查、信息共享、应急处置等安全管理制度；制定设备、平台、数据等至少20项亟需的安全标准；基本建成国家工业互联网安全技术保障平台、基础资源库和安全测试验证环境；在电子信息、航空航天等重点领域形成至少 20个创新实用的安全产品、解决方案的试点示范，培育若干具有核心竞争力的工业互联网安全企业。到2025年，建立起较为完备可靠的工业互联网安全保障体系。 4.安全指导意见提出的重点任务 答：为全面提升工业互联网创新发展安全保障能力和服务水平，安全指导意见提出了7个方面17项重点任务。 一是推动安全责任落实。企业依法落实主体责任，政府履行监督管理责任，相关行业主管部门开展本行业领域工业互联网安全指导、监管工作。 二是构建安全管理体系。健全监督检查、信息通报、应急处置等安全管理制度，制定工业互联网行业企业分类分级指南，不断完善工业互联网安全标准体系。 三是提升企业安全防护水平。督促相关企业部署针对性防护措施，不断夯实设备和控制、网络、平台等安全。加强对标识解析系统的安全评估，强化平台安全，加强工业APP安全管理。 四是强化工业互联网数据安全保护能力。指导企业完善数据安全防护措施，建立工业互联网数据分类分级管理制度，构建工业互联网全产业链数据安全管理体系。 五是建设国家工业互联网安全技术手段。打造国家、省、企业三级协同的安中国工业互联网安全态势报告（2019） 4 全技术保障平台。建立基础资源库和安全测试验证环境，提升识别隐患、抵御威胁、化解风险的能力。 六是加强工业互联网安全公共服务能力。开展安全评估认证，推动测评机构的审核认定。鼓励和支持专业机构、安全企业等提升安全服务水平，增强安全产品及解决方案供给能力。 七是推动科技创新与产业发展。加大技术研发和成果转化支持力度，培育安全企业，开展试点示范，遴选优秀安全解决方案和最佳实践，加强应用推广。 5.安全指导意见实施的保障措施 答：为了保障工业互联网安全有关工作任务有效落实，推动安全工作有序高效开展，安全指导意见提出了四个方面的保障措施：一是加强组织领导，强化统筹协调，构建各负其责、紧密结合、运转高效的工作机制，形成合力。二是优化创新环境，加大支持力度，鼓励企业技术创新和技术应用，推动安全产业集聚发展。三是发挥市场作用，汇聚产学研用多方力量，形成市场需求牵引、政府支持推动的发展局面。四是加强宣传教育，提升企业和相关从业人员安全意识，深入推进产教融合、校企合作，加快人才培养。 1.2 工业互联网安全标准进展 2019年1月25日，工信部、国标委两部委联合印发了工业互联网综合标准化体系建设指南5，明确了网络、平台、安全、应用相关建设内容。其中安全标准包括“设备安全”、“控制系统安全”、“网络安全”、“数据安全”、“平台安全”、“应用程序安全”、“安全管理”。 图 1-1 工业互联网标准体系 工业互联网标准体系基础共性 总体 应用术语定义通用需求架构测试与评估管理典型应用 垂直行业应用网络与联接工厂内网工厂外网设备/产品联网网络设备标识解析编码与存储标识采集解析交互处理设备与中间件异构标识互操作边缘计算边缘设备边缘智能能力开放平台与数据资源管理与配置工业大数据工业微服务应用开发环境平台互通适配工业APP开发集成部署安全设备安全控制系统安全网络安全平台安全应用程序安全数据安全安全管理网络资源管理数据采集互联互通网络化协同服务化延伸汽车智能化生产航空航天石油化工机械制造轻工家电电子信息个性化定制服务