2018年ITOT一体化的工业信息安全态势报告.pdf

IT/OT一体化的工业信息安全态势报告（2018）工业控制系统安全国家地方联合工程实验室2019.3主要观点 工 业 互 联 网 安 全 是 一 个 新 战 场 ， 黑 客 组 织 有 目 的 的 向 高 价 值 目 标 投 放 勒 索 病 毒 、 恶 意 软件 等 ， 严 重 威 胁 到 国 家 安 全 ； 勒 索 病 毒 攻 击 已 经 成 为 工 业 企 业 面 临 的 最 大 安 全 问 题 之 一 ， 勒 索 病 毒 导 致 工 业 互 联 网 企业 停 产 的 事 件 频 繁 发 生 。 系 统 暴 露 ， 系 统 漏 洞 ， 远 程 维 护 成 为 勒 索 病 毒 入 侵 的 主 要 原 因 。勒 索 病 毒 的 流 行 彻 底 打 破 了 “ 一 般 互 联 网 安 全 威 胁 对 工 业 系 统 是 无 害 的 ” 这 个 传 统 认 知 ； 将 近 一 半 工 业 企 业 遭 受 过 生 产 设 备 安 全 故 障 、 电 脑 蓝 屏 、 重 启 等 安 全 问 题 ， 但 确 有 69.4%的 企 业 表 示 没 有 发 生 过 网 络 安 全 事 件 。 当 企 业 内 部 电 脑 出 现 大 量 蓝 屏 、 重 启 等 现 象 时 ，往 往 意 味 着 企 业 已 经 遭 到 了 攻 击 ， 但 企 业 管 理 者 未 作 为 安 全 事 件 来 进 行 响 应 和 调 查 ， 错过 处 置 最 佳 时 机 ； 国 内 76.1%的 被 调 研 工 业 企 业 非 常 重 视 工 业 互 联 网 安 全 ， 工 业 互 联 网 安 全 市 场 将 有 巨 大的 需 求 ； 梳 理 工 业 资 产 ， 80%的 防 御 工 作 可 以 放 到 工 业 主 机 防 护 .； 目 前 看 不 到 收 益 、 人 才 缺 乏 是 阻 碍 安 全 投 资 建 设 的 重 要 因 素 。 工 业 互 联 网 安 全 建 设 最 大的 难 处 在 于 没 有 造 成 安 全 事 故 ， 企 业 高 层 较 难 理 解 安 全 建 设 短 时 间 内 给 企 业 带 来 的 收 益 ，工 业 互 联 网 安 全 建 设 不 被 工 业 企 业 理 解 ； 工 业 互 联 网 安 全 防 护 体 系 还 没 有 完 全 建 立 起 来 ， 工 业 安 全 产 品 和 服 务 的 部 署 率 不 足 、 安全 管 理 水 平 较 低 、 相 关 人 才 缺 乏 ； 工 业 互 联 网 安 全 已 经 逐 步 引 起 社 会 各 界 的 广 泛 重 视 ， 政 府 主 管 部 门 出 台 一 系 列 法 律 法 规 、政 策 和 指 导 意 见 。 同 时 ， 工 业 企 业 正 在 投 入 更 多 的 资 金 进 行 安 全 建 设 ， 信 息 安 全 企 业 也推 出 了 更 多 的 安 全 产 品 和 服 务 。摘要 全 球 工 控 系 统 联 网 组 件 总 数 量 为 175632 个 ， 主 要 集 中 在 美 洲 和 欧 洲 国 家 ， 中 国 联 网 组件 总 数 量 为 6223 个 ， 超 出 意 大 利 365 个 ， 排 名 全 球 第 五 ； 在 所 有 的 工 控 系 统 组 件 中 ， 工 控 设 备 的 暴 露 是 最 为 危 险 的 。 工 控 设 备 的 暴 露 意 味 着 攻 击者 有 可 能 直 接 对 设 备 本 身 发 动 攻 击 。 工 业 互 联 网 安 全 漏 洞 数 量 快 速 增 长 ， 类 型 多 样 化 特 性 明 显 ， 且 高 危 漏 洞 占 比 较 高 ； 漏 洞涉 及 行 业 广 泛 ， 以 制 造 业 、 能 源 行 业 为 主 ； 漏 洞 涉 及 厂 商 以 国 际 厂 商 为 主 ； 工 业 企 业 对 自 身 安 全 建 设 程 度 普 遍 “ 自 我 感 觉 良 好 ” ， 实 际 上 是 一 种 过 度 乐 观 的 状 态 。绝 大 多 数 工 业 企 业 的 实 际 安 全 状 况 都 让 人 十 分 堪 忧 ； 国 内 53.1%的 企 业 遭 受 过 生 产 设 备 安 全 故 障 、 电 脑 蓝 屏 、 重 启 等 安 全 问 题 ， 仅 有 不 足25%的 企 业 没 有 出 现 过 蓝 屏 、 重 启 现 象 ， 我 国 工 业 互 联 网 安 全 建 设 情 况 并 不 乐 观 ； 将 近 有 1/4 的 被 调 研 企 业 表 示 对 生 产 车 间 设 备 、 电 脑 是 否 出 现 过 蓝 屏 、 重 启 现 象 表 示 “ 不掌 握 ” 。 “ 不 掌 握 ” 也 就 意 味 着 企 业 其 实 并 没 有 部 署 足 够 的 网 络 安 全 监 测 措 施 以 实 时 了 解其 工 业 系 统 的 网 络 安 全 状 况 ； 多 数 工 业 企 业 过 低 的 估 计 了 自 身 遭 受 网 络 攻 击 风 险 的 可 能 性 ； 工 业 互 联 网 存 在 安 全 管 理 不 到 位 、 安 全 责 任 模 糊 、 工 业 主 机 几 乎 “ 裸 奔 ” 等 问 题 ， 造 成安 全 风 险 突 出 ； 工 业 主 机 投 入 运 行 后 ， 一 般 较 少 打 补 丁 ， 同 时 老 旧 操 作 系 统 难 以 安 装 杀 毒 软 件 ， 几 乎 处于 “ 裸 奔 ” 状 态 ， 这 是 “ 永 恒 之 蓝 ” 爆 发 一 年 多 以 后 ， 工 业 主 机 仍 然 频 频 遭 受 勒 索 软 件攻 击 的 最 主 要 原 因 ； 工 业 互 联 网 安 全 事 件 发 生 后 ， 应 急 响 应 的 处 置 能 力 至 关 重 要 ； 在 工 业 互 联 网 信 息 安 全 领 域 ， 传 统 的 安 全 防 御 产 品 已 逐 渐 乏 力 、 无 法 有 效 应 对 越 来 越 严重 的 安 全 威 胁 ， 构 建 层 次 清 晰 、 定 位 明 确 、 融 合 联 动 的 工 业 互 联 网 信 息 安 全 产 品 体 系 将成 为 产 业 未 来 发 展 的 重 要 趋 势 ； 国 内 76.1%的 工 业 用 户 非 常 重 视 工 业 互 联 网 安 全 的 建 设 ； 将 近 49.1%的 工 业 企 业 在 安 全方 面 的 投 入 有 明 显 增 加 趋 势 ； 超 过 1/4 的 企 业 对 安 全 的 投 资 金 额 在 10-100 万 之 间 ； 国内 43.9%的 被 调 查 者 认 为 工 业 互 联 网 安 全 投 入 应 该 占 工 业 互 联 网 投 入 金 额 的 5%-10%； 人 才 的 缺 乏 是 影 响 工 业 互 联 网 建 设 的 首 要 因 素 ， 看 不 到 收 益 仍 然 是 阻 碍 安 全 投 资 建 设 的最 主 要 因 素 ； 国 内 69.1%的 工 业 企 业 有 专 门 的 人 员 /部 门 负 责 安 全 ， 但 负 责 安 全 的 人 数 差 距 较 大 ； 八 成 以 上 的 国 内 工 业 企 业 有 意 愿 部 署 工 业 互 联 网 安 全 服 务 ， 39%的 企 业 能 够 接 受 的 采 购费 用 低 于 20 万 ； 安 全 问 题 发 生 后 ， 国 内 51.8%以 上 的 企 业 愿 意 选 择 一 家 综 合 能 力 强 的 规 模 较 大 的 安 全 厂商 解 决 安 全 问 题 ； 工 业 企 业 安 全 安 全 服 务 市 场 显 著 增 多 ； 多 方 协 作 趋 势 明 显 ； 防 护 类 产 品 需 求 较 高 ， 网 络安 全 关 注 点 居 多 ， 非 防 护 类 产 品 比 例 相 当 ， 呈 现 多 样 化 趋 势 ； 针 对 第 三 方 服 务 供 应 商 的 攻 击 同 样 会 影 响 到 工 业 互 联 网 安 全 ， 应 加 强 工 业 互 联 网 供 应 链的 安 全 ； 梳 理 工 业 资 产 ， 重 点 关 注 工 业 主 机 资 产 ； 做 好 工 业 主 机 防 护 ； 持 续 监 控 生 产 风 险 。 统 筹 规 划 ， 合 力 发 展 ； 顶 层 设 计 ， 标 准 推 动 ； 重 视 人 才 ， 培 养 高 端 。目 录研究背景. 1第一章 工业互联网安全风险态势.2一、工控系统互联网暴露情况.2二、工业互联网安全漏洞分析.3（一）安全漏洞数量快速增长，安全形式日益严峻. 3（二）安全漏洞类型多样化特性明显. 4（三）高危漏洞占比较高. 5（四）漏洞涉及厂商以国际厂商为主. 5（五）漏洞涉及行业广泛，以制造业、能源行业为主. 6三、工业企业网络安全感知.6（一）工业企业对自身安全建设水平的认知. 6（二）工业企业对自身面临安全风险的感知. 7（三）工业企业对网络安全事件影响的认知. 9四、工业互联网安全威胁.9第二章 2018工业互联网安全工作进展. 1 1一、国外工业互联网安全重要文件.1 1二、国内工业互联网安全重要文件.1 2三、工业信息安全标准体系建设.1 5第三章 工业互联网安全产业态势.1 7一、工业互联网安全产业结构.1 7（一）高中低位能力安全产品体系.1 7（二）防护监测层产品.1 7（三）安全运营层产品.1 7（四）安全态势感知层产品.1 8二、GARTNER关于OT市场的分析.1 8三、工业企业网络安全投入分析.1 9（一）工业互联网用户对工业互联网安全的重视程度.1 9（二）工业互联网用户每年在工业互联网网络安全中的资金投入分析.2 0（三）阻碍工业互联网安全投资建设的主要因素.2 1（四）工业互联网安全团队现状.2 2四、工业企业网络安全采购需求.2 3（一）工业互联网安全产品需求.2 4（二）工业互联网安全服务需求.2 4（三）工业互联网安全应急响应需求.2 5第四章 工业互联网安全发展趋势.2 7一、工业互联网安全建设发展趋势.2 7二、工业互联网安全技术发展趋势.2 8（一）引入数据驱动安全的技术理念.2 8（二）基于威胁情报的工业威胁监测技术.2 8（三）基于大数据的工业态势感知技术.2 9（四）网络安全、功能安全、可靠性融合技术.2 9（五）应用工业大数据进行异常发现和实体行为分析.2 9（六）构建产业协同的联合防御体系.2 9第五章 工业互联网安全发展建议.3 1一、对工业企业的建议.3 1二、对安全服务机构的建议.3 1三、对政府主管部门的建议.3 2第六章 工业互联网安全应急响应典型案例.3 3一、某知名汽车零部件生产企业遭受“永恒之蓝”勒索病毒攻击.3 3二、某大型炼钢厂遭受挖矿蠕虫病毒攻击.3 3三、某卷烟厂遭受蠕虫病毒攻击.3 4四、某半导体制造企业遭勒索软件攻击.3 5附录一 工业控制系统安全国家地方联合工程实验室. 4 0附录二 工业互联网安全事件. 3 7（一）美国通报“熔断”和“幽灵”高危漏洞. 3 7（二）台积电三大基地疑遭勒索软件攻击停摆.3 7（三）英国2 7 0 0万能源智能电表存在安全漏洞.3 7（四）美国天然气输气管道电子系统遭受供应链攻击.3 8（五）伊朗机场显示屏幕遭受黑客攻击.3 8（六）俄罗斯4 0 0多家工业企业遭遇网络钓鱼攻击.3 8（七）乌克兰国防系统密码竟为初始密码“1 2 3 4 5 6 ”.3 9（八）洛阳市北控水务集团远程数据监测平台遭到黑客攻击.3 91研究背景在 政 策 与 技 术 的 双 轮 驱 动 下 ， 工 业 控 制 系 统 正 在 越 来 越 多 地 与 企 业 内 网 和 互 联 网 相 连 接 ，并 与 新 型 服 务 模 式 相 结 合 ， 逐 步 形 成 了 工 业 互 联 网 架 构 。 工 业 互 联 网 是 数 字 浪 潮 下 ， 工 业 体系 和 互 联 网 体 系 的 深 度 融 合 的 产 物 ， 是 新 一 轮 工 业 革 命 的 关 键 支 撑 。 工 业 互 联 网 的 发 展 一 方面 极 大 的 促 进 了 生 产 效 率 和 服 务 水 平 的 提 高 ， 另 一 方 面 也 使 原 本 封 闭 的 系 统 变 得 越 来 越 开 放 ，致 使 系 统 安 全 风 险 和 入 侵 威 胁 不 断 增 加 ， 网 络 安 全 问 题 日 益 突 出 。工 业 互 联 网 目 前 已 经 广 泛 应 用 于 电 力 、 交 通 、 石 油 、 取 暖 、 制 造 业 等 关 键 信 息 基 础 设 施领 域 ， 一 旦 发 生 安 全 事 件 ， 往 往 会 造 成 巨 大 的 损 失 和 广 泛 的 影 响 。 但 是 ， 由 于 工 业 互 联 网 环境 的 特 殊 性 ， 传 统 的 IT 信 息 安 全 技 术 并 不 能 完 全 有 效 的 保 护 工 业 系 统 的 安 全 ， 甚 至 很 多 常用 的 安 全 技 术 都 不 能 直 接 应 用 于 工 业 网 络 的 安 全 防 护 。 对 于 工 业 互 联 网 安 全 的 分 析 与 防 护 ，需 要 使 用 一 些 专 门 的 方 法 和 专 用 的 技 术 。工 业 控 制 系 统 安 全 国 家 地 方 联 合 工 程 实 验 室 （ 以 下 简 称 “ 联 合 实 验 室 ” ） 于 2017 年 发 布 IT/OT 一 体 化 的 工 业 信 息 安 全 态 势 报 告 （ 2017） ， 总 结 分 析 IT/OT 融 合 带 来 的 新 挑 战 ， 给出 工 业 信 息 安 全 建 议 和 展 望 。为 给 政 府 部 门 、 科 研 机 构 和 工 业 企 业 提 供 参 考 和 借 鉴 ， 工 业 控 制 系 统 安 全 国 家 地 方 联 合工 程 实 验 室 （ 以 下 简 称 联 合 实 验 室 ） 继 续 编 撰 了 IT/OT 一 体 化 的 工 业 信 息 安 全 态 势 报 告（ 2018） 。 本 报 旨 在 总 结 全 年 的 工 业 互 联 网 安 全 进 展 从 在 市 场 、 技 术 、 产 业 、 用 户 、 事 件 的维 度 给 读 者 对 全 年 的 安 全 发 展 状 态 有 一 个 概 要 性 的 了 解 ， 并 对 未 来 的 发 展 趋 势 有 一 个 初 步 的预 测 ， 供 合 作 伙 伴 及 企 业 客 户 决 策 参 考 使 用 。本 报 告 对 工 业 互 联 网 安 全 漏 洞 的 分 析 ， 采 用 了 一 种 新 型 漏 洞 评 分 系 统 ， 将 可 见 性 、 可 控性 、 漏 洞 利 用 目 标 服 役 情 况 等 体 现 工 控 安 全 特 性 的 指 标 纳 入 量 化 评 估 范 围 。 报 告 以 联 合 实 验室 漏 洞 库 收 录 的 工 业 控 制 系 统 相 关 的 漏 洞 信 息 为 基 础 ， 综 合 参 考 CVE、 NVD、 CNVD、CNNVD 四 大 公 开 漏 洞 平 台 发 布 的 漏 洞 信 息 ， 分 析 工 业 互 联 网 安 全 态 势 。以 往 的 很 多 工 业 安 全 研 究 报 告 缺 乏 对 工 业 企 业 本 身 的 深 入 研 究 ， 而 工 业 互 联 网 安 全 的 建设 发 展 离 不 开 对 工 业 企 业 需 求 的 探 讨 。 为 了 更 真 实 的 了 解 工 业 企 业 的 安 全 需 求 ， 本 报 告 特 别对 近 400 家 工 业 企 业 进 行 了 问 卷 调 查 ， 对 工 业 企 业 的 安 全 现 状 和 安 全 认 知 进 行 了 深 入 的 分 析 。此 外 ， 本 次 报 告 还 以 360 工 业 安 全 应 急 响 应 中 心 2018 年 处 置 的 工 业 安 全 事 件 为 基 础 ， 分 析了 4 个 典 型 案 例 。最 后 ， 本 次 报 告 还 总 结 了 工 业 互 联 网 安 全 发 展 趋 势 ， 分 析 了 国 内 外 政 策 法 规 及 Gartner市 场 研 究 ； 对 工 业 企 业 、 安 全 服 务 机 构 、 上 级 主 管 部 门 提 出 安 全 发 展 建 议 ， 希 望 能 够 帮 助 读者 对 工 业 互 联 网 安 全 有 一 个 更 加 全 面 、 前 沿 的 认 识 。2第一章 工业互联网安全风险态势一、工控系统互联网暴露情况工 控 系 统 在 互 联 网 上 的 暴 露 问 题 是 工 业 互 联 网 安 全 的 一 个 基 本 问 题 。 所 谓 “ 暴 露 ， 是 指我 们 可 以 通 过 互 联 网 直 接 对 某 些 与 工 控 系 统 相 关 的 工 业 组 件 ， 如 工 控 设 备 、 协 议 、 软 件 、 系统 等 ， 进 行 远 程 访 问 或 查 询 。造 成 工 控 系 统 暴 露 的 主 要 原 因 之 一 是 “ 商 业 网 络 （ IT） ” 与 “ 工 业 网 络 （ OT） ” 的 不 断融 合 。 IT 与 OT 网 络 的 连 通 在 拓 展 了 工 业 控 制 系 统 发 展 空 间 的 同 时 ， 也 带 来 了 工 业 控 制 系 统网 络 安 全 问 题 。 近 年 来 ， 企 业 为 了 管 理 与 控 制 的 一 体 化 ， 实 现 生 产 和 管 理 的 高 效 率 、 高 效 益 ，普 遍 推 进 生 产 执 行 系 统 ， 实 现 管 理 信 息 网 络 与 控 制 网 络 之 间 的 数 据 交 换 ， 实 现 工 业 控 制 系 统和 管 理 信 息 系 统 的 集 成 。 如 此 一 来 ， 如 果 未 能 做 好 必 要 的 分 隔 管 控 工 作 ， 就 会 导 致 原 本 封 闭的 OT 系 统 ， 通 过 管 理 系 统 与 互 联 网 互 通 、 互 联 后 ， 面 临 从 互 联 网 侧 传 播 进 来 的 各 类 网 络 攻击 风 险 。工 控 系 统 的 直 接 连 接 到 互 联 网 ， 也 称 为 “ 暴 露 ” 在 互 联 网 上 ， 这 个 问 题 要 一 分 为 二 的 来看 待 ： 一 方 面 ， 某 地 区 工 控 系 统 在 互 联 网 上 暴 露 的 越 多 ， 往 往 说 明 该 地 区 工 业 系 统 的 信 息 化程 度 越 高 ， 工 业 互 联 网 越 发 达 ； 而 另 一 方 面 ， 因 为 绝 大 多 数 的 工 业 组 件 其 实 并 不 需 要 通 过 互联 网 进 行 远 程 操 作 ， 因 此 ， 暴 露 的 比 例 越 大 ， 也 往 往 意 味 着 工 业 系 统 在 信 息 化 的 同 时 ， 没 有充 分 的 做 好 必 要 的 隔 离 工 作 ， 系 统 遭 遇 攻 击 和 入 侵 的 风 险 也 越 大 。美 国 安 全 公 司 Positive technologies的 监 测 数 据 较 好 的 反 映 了 全 球 范 围 内 ， 工 业 组 件 在 互联 网 上 的 暴 露 情 况 。 为 了 收 集 在 互 联 网 上 具 有 可 访 问 性 的 工 业 控 制 系 统 站 点 及 组 件 ，Positive technologies采 用 被 动 方 式 ， 使 用 可 公 开 访 问 的 引 擎 ： Google、 Shodan（ shodan. io） 、Censys（ censys. io） 对 全 球 工 业 系 统 进 行 了 搜 索 。 其 中 ， Shodan 和 Censys可 搜 索 工 业 服 务器 、 路 由 器 、 专 用 摄 像 头 等 设 备 的 联 网 情 况 。根 据 Positive Technologies2018 研 究 数 据 显 示 ： 当 前 全 球 工 控 系 统 联 网 暴 露 组 件 总 数 量约 为 17.6 万 个 。 从 这 些 工 业 组 件 的 国 家 和 地 域 分 布 来 看 ， 联 网 的 工 控 组 件 主 要 集 中 在 美 洲3和 欧 洲 国 家 ， 其 中 美 洲 占 比 达 到 40%以 上 。 这 也 是 为 什 么 工 业 互 联 网 安 全 事 件 多 集 中 在 欧洲 和 美 洲 等 发 达 国 家 的 主 要 原 因 。 从 具 体 国 家 来 看 ， 美 国 的 工 控 系 统 组 件 联 网 暴 露 情 况 最 为严 重 ， 达 到 64287 个 ； 其 次 是 德 国 ， 13242 个 ； 法 国 排 名 第 三 ， 7759 个 。 中 国 排 名 全 球 第五 ， 位 列 加 拿 大 之 后 ， 为 6223 个 。 全 球 各 国 工 控 系 统 联 网 组 件 暴 露 数 量 及 分 布 情 况 如 下 图 。在 所 有 的 工 控 系 统 组 件 中 ， 工 控 设 备 的 暴 露 是 最 为 危 险 的 。 工 控 设 备 的 暴 露 意 味 着 攻 击者 有 可 能 直 接 对 设 备 本 身 发 动 攻 击 。 基 于 全 国 全 球 的 主 动 探 测 ， 360 工 业 互 联 网 安 全 大 数 据分 析 平 台 哈 勃 平 台 收 录 了 2018 国 内 以 及 全 球 范 围 内 ， 暴 露 在 互 联 网 上 的 工 业 控 制 系 统设 备 数 量 。 该 平 台 统 计 的 工 控 设 备 主 要 包 括 PLC、 DCS、 DTU、 SCADA 等 设 备 。统 计 显 示 ， 2018 年 全 年 ， 中 国 和 全 球 的 工 控 设 备 暴 露 数 量 基 本 处 于 稳 定 状 态 ， 2018 年末 比 2018 年 初 有 稍 微 增 长 ， 在 2018 年 4 月 份 中 国 和 全 球 的 工 控 设 备 有 稍 微 增 长 趋 势 。 暴 露的 工 控 设 备 数 量 折 线 图 如 下 所 示 。二、工业互联网安全漏洞分析安 全 漏 洞 问 题 是 工 业 互 联 网 面 临 的 又 一 个 顽 疾 。 特 别 的 ， 与 一 般 的 IT 系 统 不 同 ， 受 到生 产 环 境 的 约 束 ， 很 多 的 工 业 系 统 安 全 漏 洞 即 便 已 知 ， 也 未 必 能 有 条 件 进 行 修 复 。本 节 主 要 以 联 合 实 验 室 漏 洞 库 收 录 的 工 业 控 制 系 统 相 关 的 漏 洞 信 息 为 基 础 ， 综 合 参 考 了Common Vulnerabilities & Exposures（ CVE） 、 National Vulnerability Database（ NVD） 、 中 国国 家 信 息 安 全 漏 洞 共 享 平 台 （ CNVD） 及 国 家 信 息 安 全 漏 洞 库 （ CNNVD） 所 发 布 的 漏 洞 信息 ， 从 工 控 漏 洞 的 年 度 变 化 趋 势 、 等 级 危 害 、 漏 洞 类 型 、 漏 洞 涉 及 行 业 、 漏 洞 设 备 类 型 等 方面 分 析 工 业 控 制 系 统 的 安 全 威 胁 态 势 及 脆 弱 性