2020工业互联网安全研究报告.pdf

研究报告 2020 前言 随着新基建逐步深入，互联网 +、大数据、云计算等新一代信息技术与工业制造深度融合，工业控制系统作为工业制造的“神经中枢”，亦呈 互联互通趋势。工业互联网是数字浪潮下，工业体系和互联网体系的深度融合的产物，已然成为业界共识的第四次工业革命。 工业互联网的发展极大的促进了生产效率和服务水平的提高，同时打破以往人机物之间、工厂与工厂之间、企业上下游之间彼此相对独立、 纯物理隔离状态，使得原本封闭的系统变得越来越开放，致使系统安全风险和入侵威胁不断增加，网络安全风险日益突出。同时，工业互联 网已广泛应用于电力、交通、石油、取暖、制造业等关键信息基础设施领域，成为黑客攻击和网络战的重要目标。工业互联网的平台安全、 数据安全和联网智能设备的安全问题都备受关注。一旦发生安全事件，将造成巨大的损失和恶劣的社会影响。 本报告从工业互联网安全风险态势、政策法规解读、工业互联网安全上下游建设现状及典型建设案例等方面进行调研编写，为企业提供参考 和指引，共同推进新基建下的工业互联网安全建设发展。 魏敏敏 上汽集团赤霄网络空间信息安全实验室 & 网络安全应急响应中心（SAIC-SRC），12 年安全从业经历，牵头负责上汽集 团网络安全应急响应技术支撑平台的建设工作，参与多个安全研究课题，涉及基础架构容器安全、工业互联网安全监 测体系以及智能网联应急响应等多个领域。 剑思庭 CIS 网络安全创新大会 5G+ 工业互联网 / 车联网安全论坛出品人 , 国际工控厂商网络安全负责人，IRTeam 工控安全红 队创始人，从事工业控制及自动化行业 20 年，专注于制造业工控安全的渗透测试与防御建设。 张鹏 赛迪奇智系统安全负责人，十余年系统架构设计和安全模型搭建经验，深耕工业智能制造领域信息系统安全防御及治理， 牵头完成多个工业控制系统的安全系统设计和研发工作，对工业信息化项目的网络安全防御有丰富的落地经验。 出品人：尤文、鲍弘捷 指导专家：魏敏敏、剑思庭、张鹏、徐钟豪 编辑：武文婧、张艺 设计：姚媛 编者阵容 FreeBuf 网络安全行业门户，每日发布专业的安全资讯、技术剖析，分享国内外安全资源与行业洞见，是网络安全从业者与爱好 者广泛关注的行业社区平台。 FreeBuf 咨询集结安全行业经验丰富的安全专家和分析师，常年对信息安全技术、行业动态保持追踪，洞悉安全行业现状和趋势，呈 现专业的研究与咨询服务。 关于 FreeBuf 咨询 在这里要特别感谢以下甲方安全专家参与报告编写并提供相关支持（排名不分先后）： 目 录 CATALOG CHAPTER ONE 第一章 新基建 赋能工业互联网 蓬勃发展 (一) 新基建概念内涵 (二) 工业互联网发展现状 02 03 2 CHAPTER TWO 第二章 工业互联网发展 伴生安全问题 引发重视 (一) 工业互联网安全概念内涵 (二) 国内工业互联网安全风险态势 (三) 2020年典型工业互联网安全事件 05 05 06 07 08 1、工业互联网安全是传统网络安全的延伸 2、工业互联网安全风险简介 3 CHAPTER THREE 第三章 工业互联网安全 国际对比：发展 现状与政策法规 (一) 美国工业互联网安全发展重要举措 12 12 12 13 1、政府层面：立法时间早、战略布局广 2、技术体系：领先的技术研究和行业标准制定 3、工控安全国际标准：IEC 62443标准 (二) 国内工业互联网安全重要举措 14 14 14 1、政府层面：安全砝码伴随产业发展渐重 2、技术体系：工业信息安全标准体系逐渐完善成熟 4 CHAPTER FOUR 第四章 工业互联网安全 产业链发展现状 (一) 上游：工业企业安全建设发展 16 16 18 19 1、工业企业安全风险态势 2、工业企业网络安全投入 3、工业企业网络安全产品服务需求 (二) 下游：工业互联网安全厂商发展 20 20 21 1、安全产品/服务体系 2、市场格局变化 5 CHAPTER FIVE 第五章 典型行业工业 互联网安全 实践分析 (一) 电力行业 24 24 24 1、电力行业安全风险特点 2、电力行业网络安全防护策略 (二) 钢铁行业 25 25 25 1、钢铁行业安全风险特点 2、钢铁行业网络安全防护策略 6 CHAPTER SIX 第六章 展望：工业互联网 安全发展趋势 (一) 政策关联，工业互联网安全大有可为 28 28 28 28 (二) 技术导向，工业制造转型“工业安全智造” (三) 市场火热，工业安全防护产品及服务持续丰富 (四) 关系国计民生，国产安全厂商迎来机遇 CHAPTER ONE 第一章 新基建赋能 工业互联网 蓬勃发展 第一章 新基建赋能工业互联网蓬勃发展 新型基础设施建设（简称 : 新基建），主要包括 5G 基站建设、特高压、城际高速铁路和城市轨道交通、新能源汽车充电桩、大数据中心、人工智能、 工业互联网七大领域，涉及诸多产业链。 新基建以新一代信息技术演化生成的基础设施，深度应用互联网、大数据、人工智能等技术进一步推动数字化转型深入、促进产业智能升级、实现 融合创新等。传统基础设施主要承载物质和能量的存储和流转，其投入以钢铁、水泥、化工等物质材料为主。相比之下，新型基础设施主要承载电 子数据的存储和流转，建设投入主要是通信网络（含传感终端）和计算存储设备所需的各种硅基半导体材料和微电子金属材料，因此新基建不但在 物质消耗量上远少于传统基建，而且技术门槛显著提高。 （一）新基建概念内涵 其中，工业互联网是新基建战略的重要方向之一。工业互联网是工业 + 互联网的融合概念，是全球工业系统与高级计算、分析、感应技术以及互联 网连接融合的一种结果，也是实现工业智能化的关键基础设施。 根据工业互联网产业联盟编撰的工业互联网标准体系（2.0），工业互联网通过系统构建网络、平台、安全三大功能体系，打造人、机、物全面 互联的新型网络基础设施，形成智能化发展的新兴业态和应用模式。 （二）工业互联网发展现状 发力新基建：FreeBuf 2020工业互联网安全研究报告 02 截至今年10月，以下典型场景可以帮助我们一窥新基建取得的丰硕成果： 中国累计开通5G基站超过70万座，终端连接数超过1.8亿个； 国家电网开发的智慧车联网平台，已接入充电桩超过103万个； 推进智能制造、柔性定制，全国范围内“5G+工业互联网”建设项目超过1100个。 传统基建 新基建 5G 基建 特高压 大数据中心 人工智能 工业互联网 新能源汽车充电桩 城际高速铁路和城市轨道交通 铁路 公路 机场 港口 水利设施 图1：新基建与传统基建“铁公基”的区别 其中网络是基础、平台是核心、安全是保障。 “网络”是实现各类工业生产要素泛在深度互联的基础，包括网络互联互通体系和标识解析体系。通 过建设低延时、高可靠、广覆盖的工业互联网网络基础设施，能够实现数据在工业各个环节的无缝传递，支撑形成实时感知、协同交互、智能反馈 的生产模式。 “平台”是工业全要素链接的枢纽，下连设备，上接应用，通过海量数据汇聚、建模分析与应用开发，推动制造能力和工业知识的标准化、软件化、 模块化与服务化，支撑工业生产方式、商业模式创新和资源高效配置。 “安全”则是工业互联网健康发展的保障，涉及设备安全、控制安全、网络安全、数据安全、平台安全、和应用程序安全等六个方面。通过建立工 业互联网安全保障体系，能够有效识别和抵御各类安全威胁，化解多种安全风险，为工业智能化发展保驾护航。 在新基建政策的强势助推下，我国工业互联网产业增加值规模持续扩大。据工信部发布的数据显示，2018 年中国工业互联网市场规模达到 5318 亿 元左右。如下图所示，据测算， 2019 年我国工业互联网产业增加值规模达到 3.41 万亿元，名义增速达到 22.14%，增速同比增长 2.97 个百分点。 预计 2020 年，工业互联网产业增加值规模达到 3.78 万亿元，成为促进我国 GDP 增长的重要因素。 此外，工业互联网与新基建的其他六大领域均可融合发展，相互促进，为经济社会发展提供新动能。工业互联网与特高压、新能源汽车充电桩融合 为智能电网应用，与城际高铁融合为智能轨道交通系统。工业互联网与 5G、人工智能、大数据中心结合，可实现 5G+ 工业互联网应用、工业智能 化应用和建立工业互联网大数据中心。 CHAPTER ONE 03 图2：工业互联网标准体系（2.0） 用户 ( 消费者 / 企业用户 ) 物理系统 应用 垂直行业应用 ( 汽车、航空航天、石油化工、机械制作 .) 智能化生产 网络化协同 个性化定制 服务化延伸 网络 平台 安全 网络与联接 标识解析 工业 APP 应用程序安全 平台安全 数据安全 网络安全 控制安全 设备安全 资源管理与配置 边缘计算 数据采集 图3：工业互联网产业发展预测 图源中国工业互联网产业经济发展白皮书 增加值规模 ( 万亿元 ) 名义增速 (%) 年份 0.0%0.0 0.5 1.0 1.5 2.0 2.5 3.0 3.5 4.0 5.0% 10.0% 15.0% 20.0% 25.0% 30.0% 2017 2.35 2.79 3.41 3.78 2018 2019 2020E 名义增速 产业增加值规模 18.61% 22.14% 10.99% 发力新基建：FreeBuf 2020工业互联网安全研究报告 2 CHAPTER TWO 第二章 工业互联网 发展伴生安全问题 引发重视 2 第二章 工业互联网发展伴生安全问题引发重视 1、工业互联网安全是传统网络安全的延伸 随着智能制造、云制造、工业互联网等新技术的应用，制造业生产能力大幅提升的同时，工业互联网安全问题也逐渐凸显。由于工业互联网颠覆了 传统的工业模式，封闭的生产线变开放，打破了过去人机物之间、工厂与工厂之间、企业上下游之间的隔离状态。相对于传统较封闭的工业生产体系， 基于工业互联网的新发展模式更开放，这也意味着潜在的安全风险增加。此外，工业互联网广泛应用于工业、能源、交通、水利及市政等行业，重 点领域包括电力、石油石化、钢铁、冶金、化工、天然气、先进制造、水利枢纽、铁路、城市轨道交通、民航等与国计民生紧密相关的领域。由于 关系到国家命脉，此类行业一旦发生安全事件，极易持续发酵，甚至对人身安全、社会发展和国家稳定造成重大影响。 随着近年来，工业以太网、5G、云计算和大数据等技术的日趋成熟，离散的工业以太网在海量的数据传输网络、庞大的云计算资源的支持下，组 成广泛的物联网，同时加以工业大数据分析，进而发展为工业互联网。 在此过程中，从单一的工业以太网到工业互联网实质上发生了以下变化：从相对封闭的工业生产控制网络转变为相对开放的工业互联网平台、从流 入工业企业本地孤立的业务系统转变为流向外部的云端平台、从工业企业自身实施优化到依托工业互联网平台优化配置。 相比于传统网络安全，工业互联网安全具备以下三个差异特点： 一是防护对象扩大，安全场景更丰富。传统互联网安全更多关注网络设施、信息系统软硬件以及应用数据安全，工业互联网安全扩展延伸至工 厂内部，包含设备安全（工业智能装备及产品）、控制安全（SCADA、DCS 等）、网络安全（工厂内、外网络）、应用安全（平台应用、软件及工业 APP 等） 以及数据安全（工业生产、平台承载业务及用户个人信息等数据）。 二是连接范围更广，威胁延伸至物理世界。传统互联网安全中，攻击对象为用户终端、信息服务系统、网站等。工业互联网联通了工业现场与互联网， 使网络攻击可直达生产一线。 三是网络安全和生产安全交织，安全事件危害更严重。传统互联网安全事件大多表现为利用病毒、木马、拒绝服务等攻击手段造成信息泄露或篡改、 服务中断等，影响工作生活和社会活动。而工业互联网一旦遭受攻击，不仅影响工业生产运行，甚至会引发安全生产事故，给人民生命财产造成严 重损失，若供给发生在能源、航空航天等重要领域，还将危害国家总体安全。 （一）工业互联网安全概念内涵 传统网络安全 网络架构 通信协议 网络时延 应用范围 保护数据 接入设备 安全后果 简单，网络层级少 TCP/IP，安全机制较完善 要求低，响应时延为秒级 保障传统行业网络平台、信息系统 信息数据 / 网络数据 传统网络设备 安全建设相对较成熟，安全后果在可控范围内 工业互联网安全 部分行业安全建设较落后，严重时会触发物理安全、 人身安全等，危害更严重 连续性、实时性要求高，控制网络时延为 微秒级，控制周期 20-500 毫秒 复杂，泛在连接 控制协议 1000 种，大多缺乏安全机制 关注工业互联网平台安全，保障范围 广、环节多、难度大 工业数据，流动方向和路径较为复杂 多种工业设备，防护需求多样化 表1：传统网络安全与工业互联网安全对比 发力新基建：FreeBuf 2020工业互联网安全研究报告 CHAPTER TWO 05 2、工业互联网安全风险简介 根据工业互联网产业联盟编撰的工业互联网标准体系（2.0），工业互联网安全风险来源主要包括设备安全、控制系统安全、网络安全、数据安全、 平台安全、应用安全等内容。 （1）设备安全 工业互联网中的前端设备是很重要的数据收集端。随着智能设备的数量日渐庞大，且其自身安全防护手段薄弱，导致许多设备直接暴露于互联网， 或导致设备非法受控，为承载 DDoS 功能的恶意样本进行扫描和传播提供了便利。工业互联网智能设备固件安全风险增加，更易成为工业互联网其 他系统和网络的突破口。 此外，值得一提的是，许多智能设备的安全问题与厂商在开发生命周期中忽略公开漏洞的排查和修复密切相关，产品质量良莠不齐容易导致各智能 设备自身存在的系统与应用暴露出各种漏洞以被攻击者恶意利用。 （2）控制安全 控制安全具备极大的风险隐患，绝大部分工业企业安全事件均来源于此。控制安全风险来源于工控系统中使用的工控主机、工控网络、工控设备及 控制协议，可能存在输入验证，许可、授权与访问控制不严格，不当身份验证，配置维护不足，凭证管理不严，加密算法过时等问题。 许多工控系统研发时缺乏安全性，导致自身存在设计漏洞，投入应用流后未及时更新修复，造成可被利用漏洞较多的情况。如：企业利用陈旧的操 作系统，且缺乏防护边界，容易被黑客利用进行攻击；厂家对系统和设备进行远程维护，导致生产网直接暴露在互联网上。 发力新基建：FreeBuf 2020工业互联网安全研究报告 06 图4：工业互联网安全风险来源 01 智能传感器 工业机器人 智能仪表 智能产品 . 设备 安全 02 HMISCADA PLC .DCS/FCS 控制 安全 工 厂 外 网 工业互联网平台 ( 公有云 , 大数据分析 ) 定制业务 协同业务 产品服务 工 厂 内 网 工业互联网平台 ( 私有云 , 数据集成应用 ) PLM 产品生命全周期管理 MES 制造执行系统 SCM APS ERP CRM PDM 应用安全 04 03 网络安全 05 数据安全 平台安全 06 （3）网络安全 工业互联网的核心是“互联互通”，在此过程中便会面临网络连接过程中的安全风险。数控系统、PLC、应用服务器连接形成工业网络，工业网络 与办公网络连接形成企业内部网络，此外，企业内部网络与外部也会进行网络连接。在这样的背景下，攻击者研发、生产、管理、服务等各环节都 可能实现对工业互联网的网络攻击和病毒传播。 （4）应用安全 随着工业互联网不断催生新的商业模式和工业产业生态，工业互联网相关应用无论从数量还是种类将会出现迅速增长。支撑工业互联网智能化生产、 网络化协同、个性化定制、服务化延伸等服务的应用程序也面临着安全防护与检测要求，包括支撑各种应用的软件、APP、Web 系统等。 （5）数据安全 工业互联网数据种类和保护需求多样，数据流动方向和路径复杂，设计、生产、操控等各类数据分布在云平台、用户端、生产端等多种设施上，仅 依托单点、离散的数据保护措施难以有效保护工业互联网中流动的工业数据安全。工业互联网承载着事关企业生产、社会经济命脉乃至国家安全的 重要工业数据，一旦被窃取、篡改或流动至境外，将对国家安全造成严重威胁。 （6）平台安全 工业互联网平台的风险主要来自平台与企业接入过程中的数据采集、协议转换、边缘计算等行为，容易遭受数据篡改、数据窃取、终端漏洞被攻击 等风险。 工业企业网络安全类别 表 2：工业企业网络安全风险概述 安全风险简介 工业企业内网安全 制造资源接入安全 网络边界安全 网络通信安全 身份认证安全 内部工业生产网络缺乏安全机制 用户企业内部的恶意代码通过接入层网络进入工业互联网平台 内外网纵向互通、控制区域横向互联 物理攻击、消息篡改、信息泄露、数据监听、侧信道攻击等 弱口令、未授权访问、权限绕过等 图5：工业互联网平台安全风险 边缘层安全 工业 PaaS 层安全 工业 IaaS 层安全 工业 SaaS 层安全 平台数据安全 - 智能传感器、边缘网关等边缘终端设 备计算资源有限 - 安全防护能力薄弱 - 在数据采集、转换、传输的过程中， 数据被侦听、拦截、篡改、丢失 - 利用边缘终端设备漏洞对平台实施入 侵或发起大规模网络攻击 - 通用 PaaS 平台感染病毒、木马工 业应用开发工具、微服务组件存在漏 洞 - 工艺参数、产能数据等高价值数据， 被黑客入侵可能导致敏感信息泄露 - 虚拟机逃逸、跨虚拟机侧信道攻击、 镜像篡改等新型攻击方式的威胁 - 第三方云基础设施服务商提供的 IaaS 服务，存在数据安全责任边界不清晰 - 工业微服务组件，功能复杂、安全设 计规范缺乏 - 工业 APP 漏洞、API 通信安全、用户 管控、开发者恶意代码植入等应用安全 问题更为突出 - 平台接入数据侦听、拦截、篡改、丢 失 - 平台运行数据存储安全风险 - 平台数据泄露与备份安全风险 发力新基建：FreeBuf 2020工业互联网安全研究报告 CHAPTER TWO 07 以工业控制安全现状为例，根据国家信息安全漏洞共享平台（CNVD）工控系统行业漏洞数据统计，从 2012 年至 2020 年，国内工控系统行业漏 洞呈逐年上升趋势，2020 年的工控系统漏洞上报达到最高的数目，其中高危漏洞占比 53.29%。 由此可见，现阶段工业互联网安全整体形势不容乐观，随着暴露在互联网上的工业设备数量不断增多，重大工业信息安全事件仍处高发态势。 （二）国内工业互联网安全风险态势 5 月中旬，工信部发布的关于工业大数据发展的指导意见显示，我国 34% 的联网工业设备存在高危漏洞，仅在 2019 年上半年嗅探事件就高达 5151 万起。此外，根据中国信息通信研究院与工业互联网产业联盟的2020 上半年工业互联网安全态势综述显示，国家工业互联网安全态势感 知与风险预警平台对全国136个主要工业互联网平台、10万多家工业企业、900多万台联网设备进行安全监测，累积监测发现恶意网络行为1356.3次， 涉及 2039 家企业。 恶意网络行为月累计数 / 次 0.0万 50.0万 100.0万 150.0万 200.0万 250.0万 300.0万 一月 (1.1-1.31) 154.3万 60.0万 139.6万 41.8万 271.2万 45.3万 279.3万 34.7万 267.6万 30.6万 244.5万 26.4万 二月 (2.1-2.29) 三月 (3.1-3.31) 四月 (4.1-4.30) 五月 (5.1-5.31) 六月 (6.1-6.30) 重点行业企业全体工业企业 工业互联网恶意网络行为态势图 图6：2020上半年工业互联网恶意网络行为态势图 （资料来源：中国信通院） 图7：1900-2020年国内工控系统漏洞发展趋势 （数据来源：国家信息安全漏洞共享平台（CNVD），FreeBuf咨询整理） 0 100 200 300 400 500 600 2012 年 2013 年 2014 年 2015 年 2016 年 2017 年 2018 年 2019 年 2020 年 工控系统漏洞 230 277 193 240 409 431 479 563 287 图8：2020年工控系统漏洞风险等级统计 （数据来源：国家信息安全漏洞共享平台 （CNVD），FreeBuf咨询整理） 工控 系统漏洞 中危 高危 低危 53.29% 40.50% 6.22% 发力新基建：FreeBuf 2020工业互联网安全研究报告 08 4 月，以色列国家网络局发布公告称，收到了多起针对废水处理厂、水泵站和污水管的入侵报告，受此影响，各能源和水行业企业需紧急更改所 有联网系统的密码，以应对网络攻击的威胁。以色列计算机紧急响应团队 (CERT) 和以色列政府水利局也发布了类似安全警告，水利局告知企业“重 点更改运营系统和液氯控制设备”的密码，因为这两类系统遭受的攻击最多。 2、以色列供水设施突遭袭击，紧急停工更改密码 4 月，葡萄牙跨国能源公司 EDP（Energias de Portugal）遭到勒索软件攻击。攻击者声称，已获取 EDP 公司 10TB 的敏感数据文件，并且索要了 1580 的比特币赎金（折合约 1090 万美元 /990 万欧元）。EDP 集团是欧洲能源行业（天然气和电力）最大的运营商之一，也是世界第四大风能生产商， 在全球四个大洲的 19 个国家 / 地区拥有业务。 3、欧洲能源巨头EDP遭网络攻击，被勒索近1000万美元 5 月，瑞士铁路机车制造商 Stadler 披露遭遇黑客窃取公司数据。攻击者破坏了公司 IT 网络，并在其中一些计算机上部署了恶意软件，用于从受 感染设备中窃取数据。该公司透露，入侵者要求支付大量赎金，并试图威胁要曝光被盗的数据，从而勒索 Stadler。 4、国际轨道交通车辆制造商Stadler数据泄露，遭黑客勒索 6 月，日本汽车制造商本田 (Honda) 表示其服务器受到 Ekans 勒索软件攻击，该事件对本田公司在全球的业务产生影响。本田发布声明：“本田可 以确认本田网络发生了网络攻击。该问题正在影响其访问计算机服务器，使用电子邮件以及使用其内部系统的能力。此外对日本以外的生产系统 也有影响。目前正在开展工作以最大程度地减少影响并恢复生产，销售和开发活动的全部功能。” 5、本田汽车遭受工业型勒索软件攻击，生产受阻 6 月，巴西的电力公司 Light S.A 被黑客勒索 1400 万美元的赎金，安全研究人员分析认为是 Sodinokibi 勒索软件。Light SA 表示，公司系统被入侵后， 攻击者对所有 Windows 系统文件进行加密。该公司恶意软件分析团队通过访问可能在攻击中使用的二进制文件，能够确认该样本来自一个名为 REvil 的勒索软件家族。 6、巴西电力遭遇勒索软件，被勒索1400万美金 7 月，国外网络安全公司研究人员在 Treck,Inc. 开发的 TCP/IP 软件库中发现了 19 个 0Day 漏洞，其中包含多个远程代码执行漏洞，统称为 “Ripple20”。攻击者可以利用这些漏洞在无需用户交互的情况下，实现对目标设备的完全控制，该漏洞波及家用 / 消费设备、医疗保健、数据中心、 电信、能源、交通运输以及许多其他关键基础框架。受影响的供应商包括财富 500 强企业 : 惠普、时代的电气、英特尔等，影响高达数亿的物联网设备， 在整个供应链行业中产生连锁反应。 7、影响数亿物联网设备，TCP/IP 软件库曝Ripple20漏洞 9 月，全球第四大班轮公司达飞轮船（CMA CGM）官网瘫痪无法打开，旗下众多全球网站也都陷入了瘫痪。据知情人士透露，达飞轮船方面“只 有部分邮箱可以使用，有部分邮箱被锁，遭到了黑客勒索”。 8、达飞遭受黑客攻击，官网瘫痪部分电脑和邮件被锁 3 月，钢铁制造商 EVRAZ 公司遭受了勒索软件 Ryuk 攻击，导致其在北美的分支机构（包括加拿大和美国的钢铁生产厂）瘫痪。EVRAZ 是全球最 大的跨国垂直整合炼钢和采矿公司之一，该公司主要在俄罗斯运营，但在乌克兰、哈萨克斯坦、意大利、捷克共和国、美国、加拿大和南非也有业务。 1、钢铁制造商EVRAZ遭受勒索软件攻击，致多家工厂停产 （三）2020年典型工业互联网安全事件 发力新基建：FreeBuf 2020工业互联网安全研究报告 CHAPTER TWO 09 9 月，顶象洞见安全实验室发现西门子多款工业交换机存在高危漏洞，并第一时间上报 CNNVD 和 CNVD。攻击者可利用这些高危漏洞远程窃 取网络传输的工控指令、账户密码等敏感信息，或者发动中间人攻击。同时，黑客可直接对联网工控设备下达停止、销毁、开启、关闭等各种指令， 甚至在网络内植入木马病毒，直接关停网内生产设备。预计至少有 17 款西门子设备受影响。 9、西门子17款工业交换机爆出高危漏洞 特斯拉一直以其所谓的“空中更新”（OTA）而自豪，自动推出新代码来修复漏洞并增加功能。11 月，一位安全研究人员展示了特斯拉 ModelX 无钥匙进入系统中存在的严重漏洞，黑客可以通过这一漏洞利用蓝牙连接重写车辆钥匙卡的固件，从钥匙卡上获取车辆解锁代码，并在几 分钟内窃取一辆 Model X。 10、Model X被曝存中继攻击安全漏洞，特斯拉正紧急推送修复补丁 钢铁制造商EVRAZ 遭受勒索软件攻击 2020.03 国际轨道交通车辆制造商 Stadler数据泄露 2020.05 TCP/IP 软件库曝 Ripple20漏洞 2020.07 Model X被曝存中继攻击 安全漏洞 2020.11 以色列供水设施 突遭袭击 2020.04 2020.06 2020.09 欧洲能源巨头EDP 遭网络攻击 2020.04 本田汽车遭受工业型 勒索软件攻击 巴西电力遭遇勒索软件 2020.06 达飞遭受黑客攻击 西门子17款工业交换机 爆出高危漏洞 2020.09 发力新基建：FreeBuf 2020工业互联网安全研究报告 10 3 CHAPTER THREE 第三章 工业互联网安全 国际对比：发展 现状与政策法规 图9：美国重要网络安全政策一览 3 第三章 工业互联网安全国际对比：发展现状与政策法规 1、政府层面：立法时间早、战略布局广 美国作为网络技术的发起国和强大网络空间势力的拥有国，也是工控安全和关键基础设施网络安全起步最早的国家。从时间跨度与布局范围来看， 历任美国政府都将网络安全置于重要地位，以关键基础设施网络安全为根本，逐步完善巩固工业网络安全防护。 1996 年开始，克林顿政府时期便确立了保护国家关键基础设施安全的管理机构，以及人才培养等方面的行动措施。 2001 年开始，小布什政府组建了国土安全部（DHS）及发布保护网络安全国家战略，将工业网络安全与国家安全挂钩，强化网络空间安全。 2008 后，奥巴马政府启动了为期 60 天的网络空间安全状况评估，并发布了网络空间政策评估报告，此后又连续发布数条法令，对美 国工业网络安全战略布局进行了持续巩固与完善，更加重视基础设施安全。 2017 年以后，特朗普政府执政后愈发注重网络空间安全的对外威慑性，提出“分层威慑”理念，即整合所有传统威慑机制和工具，将参 与威慑者拓展至政府之外的组织机构、甚至公民个人，从而形成整个国家（whole-of-nation) 的方略去应对网络威胁，塑造和影响对手决策， 同时保留动用军事报复的最后手段和能力。此后，特朗普政府频繁出台各项法规政策，重心放置于能源、工业等大型基础建设设施上，并 将网络安全与国家安全紧密挂钩，强化政治邻国的网络安全威胁，以此促进其大国博弈及强权威慑能力。 2、技术体系：领先的技术研究和行业标准制定 在技术体系方面，美国非常重视工控系统安全技术的创新发展，拥有诸多世界一流的研发实验室，引领世界范围内工业控制系统相关安全标准的研制， 在美国工控安全保障体系、技术研发和攻击防御等方面发挥着巨大的支撑作用。 以美国爱达荷国家实验室和桑迪亚国家实验室为例，二者均隶属于美国能源部，逐步从早先的核能源研究转向关键基础设施网络安全和国家安全研 究。除此之外，他们都着重于 SCADA 系统（数据采集与监视控制系统）的安全研究，并发展设立了各自的 SCADA 安全中心。 在技术标准方面，美国国家标准技术研究院（NIST）、美国国土安全部（DHS）等机构致力于美国工控信息安全标准建设，并制定了一系列通用工 控信息安全标准。 （一）美国工业互联网安全发展重要举措 发力新基建：FreeBuf 2020工业互联网安全研究报告 12 CHAPTER THREE 13 除政府参与修订工控安全技术体系外，还有传统安全厂商赛门铁克、迈克菲、思科和工控厂商罗克韦尔、通用电气以及一些新兴专业工控安全厂商 在工控系统安全防护及产品服务方面展开深入研究、实践及产业化工作。 值得一提的是，该标准突出了工控系统服务商在工控安全领域的重要作用，工控系统安全问题与通用信息系统安全问题相比，更为严重依赖服务商侧。 因此于企业用户来讲，规避工控系统安全问题的重心之一在于工控系统服务商也应从规划、设计、建设、使用管理等生命周期各环节联动处理安全 问题。 表3：NIST&DHS近年发布部分标准一览 发布机构 标准名称 NIST 2004 年 2007 年 2010 年 2014 年 2009 年 2010 年 2010 年 系统保护轮廓工业控制系统（NIST IR7176） 联邦信息系统和组织建议的安全控制（NIST SP800-53） 工业控制系统安全指南（NIST SP800-82） 改善监管基础设施网络安全框架 控制系统安全一览表：标准推荐 工业控制系统安全评估指南 工业控制系统远程访问配置管理指南 DHS 发布时间 3、工控安全国际标准：IEC 62443标准 在工控安全的国际标准研究方面，除上文提到的美国 NIST 发布的工业控制系统安全指南（NIST SP800-82）之外，IEC 62443 标准也是工控安全行 业最为关注的工控安全标准。IEC 62443 在国际上被广泛采纳和认可，各国 / 各行业制定工控相关标准政策都会参考和吸收该标准提供的概念、方法、 理论模型。目前在国内 IEC 62443-2-1 已等同采纳为国标，于 2016 年 10 月发布，标准编号为 GB/T 33007。 IEC 62443 前身源于国际自动化协会（ISA）99 委员会提出的工业自动化和控制系统的信息安全技术标准。2007 年，IEC/TC65/WG10（国际电工委 员会第 65 技术委员会第 10 工作组，工作范围为网络与系统安全）与 ISA 99 委员会成立联合工作组，共同制定出 IEC 62443 系列标准。2011 年 5 月， IEC/TC65 年会决定整合 IEC 62443 标准结构，由工业通信网络与系统信息安全改为工业过程测量、控制和自动化网络与系统信息安全。 IEC 62443 系列标准目前分为通用、信息安全程序、系统技术和部件技术 4 个部分，各部分主要内容详见下表： 图10：IEC 62443系列标准结构示意图 IEC 62443-ISA-99 通用方面 定义指标 系统集成商 部件制造商 1-1 术语、概念、模型 1-2 术语和缩略语 1-3 系统信息安全符合 性度量 3-2 区域和通道的信息 安全等级 3-3 系统信息安全要求 和信息安全保障等级 3-1 IACS 信息安全技术 4-2 对 IACS 产品的信 息安全技术要求 4-1 产品开发要求 用户业主 用户参考 安全系统的要求 保障系统部件的 安全要求 2-1 建立 IACS 信息安全程序 2-2 运行 IACS 信息安全程序 2-3 IACS 环境中的补丁更新管理 2-4 对 IACS 制造商信息安全政策 与实践的认证 发力新基建：FreeBuf 2020工业互联网安全研究报告 我国高度重视工业互联网安全，明确将安全作为工业互联网三大功能体系之一，围绕工业互联网推进设备安全、网络安全、控制安全、数据安全和 应用安全各个层面的安全防护工作，旨在为新基建战略的落实奠定安全基础。 1、政府层面：安全砝码伴随产业发展渐重 我国工业发展起步较晚，但产业发展规模和速度都在持续扩大。伴随该情况，工控安全相关法规也很快提上日程。2011年，工信部发布451号文件关 于加强工业控制系统安全管理的通知，自此国内各行各业都对工控系统安全的认识达到了新的高度，电力、石化、制造、烟草等多个行业陆续制 定了相应指导性文件，来指导行业安全检查与整改活动。 此后，伴随着我国智能制造全面推进，工业互联网发展如火如荼，工控安全面临安全漏洞不断增多、安全威胁加速渗透、攻击手段复杂多样等挑战。 与此同时，工业互联网安全也随之前行，各项法规政策逐步出台。 （二）国内工业互联网安全重要举措 标准 2018 年正式发布信息安全技术工业控制系统安全管理基本要求 2018 年正式发布信息安全技术 工业控制系统信息安全检查指南 2018 年正式发布信息安全技术 工业控制系统信息安全分级规范 2018 年正式发布信息安全技术 工业控制系统风险评估实施指南 2018 年正式发布信息安全技术 工业控制系统现场测控设备通用安全功能要求 2018 年正式发布工业互联网平台安全防护要求 报批稿信息安全技术 关键信息基础设施安全检查评估指南 在编中安全可控信息系统 ( 电力系统 ) 安全指标体系 在编中信息安全技术 工业控制系统安全防护技术要求和测试评价方法 状态 表4：部分工业互联网安全标准一览表 图11：国内工业互联网安全重要文件 国务院：深化“互联网 + 先进制造 业”发展工业互联网的指导意见 2017 2018 2019 2020 明确提出构建网络、平台、安全三大体系 提出网络、平台、安全相关 行动目标和任务 进一步明确网络、 标识、平台、安全 等发展重点 构建体系化的工业互联网安全 工作格局 指导各相关部门建设专业化安 全监测和预警通报技术手段 工信部：工业互联网发展行 动计划（2018-2020 年） 十部委：加强工业互联网安全工作 的指导工作 工信部：省级工业互联网安全监测 与态势感知平台建设指南 工信部：关于推动工业互联网 加快发展的通知 在产业联盟方面，国内也在迅速发展。2014年，由中国电子技术标准化研究院信息安全研究中心、全国工业过程测量控制和自动化标准化技术委员会、 公安部第三研究所、工信部电子科学技术情报研究所、中国软件评测中心、中国仪器仪表行业协会等涉及国家主管部门、工控系统厂商、信息安全 厂商以及行业用户的 24 家单位共同发起了“工业控制系统信息安全产业联盟”，致力于为我国工业控制系统信息安全在体系建设、等级保护、风险 评估、标准制定、产品开发和评测等方面迅速有效地取得积极成效而搭建一个交流平台。 2、技术体系：工业信息安全标准体系逐渐完善成熟 建立完善的工业控制系统信息安全标准体系对工业信息安 全建设具有重要的意义，通过工业信息安全标准体系的建 设，可有效提高对工业信息安全风险的管控能力。同时， 信息安全标准体系的建立将使得企业安全实施水平与国际 先进水平接轨，从而加快工业控制系统信息安全的落实。 在技术标准体系建设方面，国内也已经基本形成自有规模。 2002 年，中国通信标准化协会（CCSA）成立，2016 年， 全国信息安全标准化技术委员会（信安标委）成立。另有 全国电力系统管理及其信息交换标准化技术委员会 （TC82）、全国电力监管标准化技术委员会（TC296）、全 国工业过程测量和控制标准化技术委员会（TC124）共同 推动工业控制系统信息安全标准工作。 发力新基建：FreeBuf 2020工业互联网安全研究报告 14 4 CHAPTER FOUR 第四章 工业互联网安全 产业链发展现状 在工业和信息化部下发的工业互联网企业网络安全分类分级指南（试行）文件中，依据企业属性，对工业互联网企业分为三类： 应用工业互联网的工业企业（简称“联网工业企业”），主要涉及原材料工业、装备工业、消费品工业和电子信息制造业等行业； 工业互联网平台企业（简称“平台企业”，主要指对外提供工业互联网平台等互联网信息服务的企业）； 工业互联网基础设施运营企业，主要包括基础电信运营企业和标识