2018工业互联网安全风险态势报告.pdf

工业互联网安全风险态势 报告 （ 2018） 工业控制系统安全国家地方联合工程实验室2019.3 主要观点 暴露在外的攻击面越来越大，工业互联网安全将迎来更高的挑战。中国暴露在互联网上的工控系统联网设备达到 6223 个，排名全球第五。 工业互联网安全漏洞数量快速增长，类型多样化特性明显 ，高危漏洞占比较高，安全形式日益严峻。 工控漏洞 技术类型多达 30 种以上 ， 无论 攻击者 利用何种漏洞造成生产厂区的异常运行，均会影响工控系统组件及设备的灵敏性和可靠性，造成严重的安全问题。 建立工业互联网安全战略推进时间表，推进实现近期、中期 、远期的工作目标； 近期：安全意识培训、资产识别、工业主机（端点）防护； 中期：建立共同的 IT/OT 安全运营模式、做好网络安全控制和实时监测、提高 OT 流程的成熟度； 远期：对工控系统进行定期渗透测试、漏洞扫描、部署新的 OT 安全工具和技术、持续评估 IT/OT 一体化带来的安全风险。 摘要 全球工控系统联网组件总数量为 175632 个，主 要集中在美洲和欧洲国家 ， 中国联网组件总数量为 6223 个，超出意大利 365 个，排名全球第五 ； 在 所有的 工控 系统 组件中 ， 工控 设备的暴露是最为危险 的。工控设备 的暴露意味着攻击者有可能直接对设备本身发动攻击； 工业互联网安全漏洞数量快速增长 ， 安全形式日益严峻； 类型多样化特性明显，且高危漏洞占比较高 ； 漏洞涉及行业广泛，以制造业、能源行业为主； 漏洞涉及厂商以国际厂商为主 ； 很多工业 企业的信息中心 管理 OT 网络和服务器的连接性和安全性，但 往往 对 于 OT 网络上 的 生产设备 与 控制系统的连接性没有管辖权限 ， 安全责任模糊； 较多 工业 企业的 IT和 OT网络并没有进行有效的隔离； 部分 工业 企业 虽然进行 了 分隔 ，并设置 了 访问策略， 但 总有 员工为方便，私自设置各类双网卡机器 ， 应加强安全意识培训； 建立 工业互联网安全战略推进时间表， 推进实现 近期、中期、远期的工作目标。 目 录 研究背景 . 1 第一章 工控系统互联网暴露情况 . 2 第二章 工业互联网安全漏洞分析 . 4 一、 安全漏洞数量快速增长，安全形式日益严峻 . 4 二、 安全漏洞类型多样化特性明显 . 5 三、 高危漏洞占比较高 . 5 四、 漏洞涉及厂商以国际厂商为主 . 6 五、 漏洞涉及行业广泛，以制造业、能源行业为主 . 6 第三章 工业互联网安全威胁 . 8 一、 OT 安全管理不到位 . 8 二、 IT 和 OT 安全责任模糊 . 8 三、 IT 安全控制在 OT 领域无效 . 8 四、 缺乏 OT 资产和漏洞的可见性 . 8 五、 工业主机几乎 “裸奔 ” . 8 六、 IT 和 OT 网络混杂缺防护 . 9 第四章 工业互联网安全推进建议 . 10 附录一 工业控制系统安全国家地方联合工程实验室 . 11 1 研究背景 在政策 与技术的双轮驱动下 ，工业控制系统 正在 越来越多地与企业 内 网和互联网相连接，并与 新型服务模式相结合，逐步形成了工业互联网架构 。 工业互联网是数字浪潮下，工业体系和互联网体系的深度融合的产物，是新一轮工业革命的关键支撑。 工业互联网 的 发展 一方面 极大的促进了生产效率 和 服务水平的提高 ，另一方面 也使原本封闭的系统 变得越 来 越 开放 ， 致使 系统安全风险和入侵威胁不断增加，网络安全问题 日益 突出。 工业 互联网 目前已经广泛 应用于 电力、 交通、 石油 、 取暖 、 制造业 等 关键 信息基础设施领域 ，一旦 发生 安全 事件 ，往往会造成巨大的损失和广泛的 影响 。 但是 ， 由于工 业 互联网 环境的特殊性，传统的 IT 信息安全技术 并 不能完全有效的保护工业系统的安全，甚至很多常用 的 安全技术都 不能直接应用于工业网络的安全防护。 对于 工业互联网安全的分析 与 防护，需要使用 一些 专门的方法和 专用 的技术。 工业控制系统安全国家地方联合工程实验室（以下简称“联合实验室”）于 2017 年发布 IT/OT 一体化工业信息安全态势报告，总结分析 IT/OT 融合带来的新挑战，给出工业信息安全建议和展望。 为给政府部门、科研机构和工业企业提供参考和借鉴， 工业控制系统安全国家地方联合工程实验室 （以 下 简称联合实验室 ） 编撰了 工业互联网安全 风险态势 报告 （ 2018） 。 本报告 对工业互联网安全漏洞的分析 ， 采用了一种新型漏洞评分系统 ， 将可见性、可控性、 漏洞利用目标服役情况等 体现 工控安全特性的指标纳入量化评估范围。 报告 以 联合实验室漏洞库收录的工业控制系统相关的漏洞信息为基础， 综合参考 CVE、 NVD、 CNVD、CNNVD 四大公开漏洞平台 发布的漏洞信息，分析工业互联网安全 风险 态势 ， 编撰了 工业互联网安全 风险态势 报告 （ 2018） 。 此外，本 报告 分析暴露在互联网上的工控组件和安全威胁，最后 提出 工业互联网 安全 推进 建议 。 工业互联网安全风险态势报告内容被综合收录 到 IT/OT 一体化工业信息安全态势报告（ 2018）年度报告中。 IT/OT 一体化工业信息安全态势报告（ 2018）是续 2017 年发布 IT/OT 一体化工业信息安全态势报告 （ 2017） 后，总结分析 2018 年工业互联网 IT/OT融合带来的新挑战， 安全现状、 产业发展趋势、重大应用案例 等， 给出 2019 年工业信息安全建议和展望 。 最后，希望本报告 能够 帮助读者对工业互联网安全有一个更加全面、 前沿 的认识。 2 第一章 工控系统互联网暴露情况 工控 系统 在 互联网上 的 暴露问题是工业互联网 安全 的一个基本问题。 所谓“ 暴露，是指我们 可以通过互联网直接对某些 与 工控系统相关的工业 组件，如 工控设备、协议、软件、 系统等 ，进行远程 访问或查询。 造成工控 系统暴露 的 主要原因 之一 是 “ 商业网络 （ IT）” 与 “ 工业网络（ OT） ” 的不断 融合 。 IT 与 OT 网络的 连通在拓展了工业控制系统发展空间的同时，也带来了工业控制系统网络安全问题。近年来，企业为了管理与控制的一体化，实现生产和管理的高效率、高效益，普遍 推进 生产执行系统， 实现 管理信息网络与控制网络之间的数据交换 ， 实现 工业控制系统和管理信息系统的集成。 如此 一 来 ，如果未能做 好 必要 的 分 隔管控工作，就会导致 原本封闭的 OT 系统 ， 通过 管理系统 与 互联网互通、互联 后 ， 面临从互联网侧传播进来的各类 网络攻击风险。 工控 系统的 直接连接到互联网，也称为“ 暴露 ”在互联网上，这个 问 题要一分为二的来看待： 一方面 ， 某 地区 工控 系统 在 互联网上暴露的 越多 ，往往说明 该地区工业 系统的信息化程度 越 高，工业互联网越发达；而另一方面，因为绝大多数的工业 组 件 其实 并 不 需要通过互联网进行远程操作，因此 ， 暴露的 比例越大 ，也 往往 意味着 工业 系统 在 信息化的 同时 ，没有充分的做好 必要 的隔离工作 ， 系统 遭遇攻击和入侵的风险 也 越大。 美国 安全公司 Positive technologies的监测 数据 较好 的反映了 全球范围内 ，工业 组 件 在互联网上 的暴露情况。 为了 收集在互联网上具有可访问性的 工业控制系统 站点及组件 ， Positive technologies采用被动方式 ， 使用可公开访问的引擎： Google、 Shodan（ shodan. io） 、 Censys（ censys. io） 对 全球工业系统进行 了 搜索。 其中 ， Shodan 和 Censys可搜索 工业 服务器、路由器、 专用 摄像头等 设备的联网情况 。 根据 Positive Technologies2018 研究 数据显示：当前 全球工控系统联网 暴露 组件总数量约 为 17.6 万 个 。从这些 工业组件 的 国家和地域分布来看 ，联网的工控组件主要集中在美洲和欧洲国家，其中美洲占比达到 40%以上 。 这也是为什么工业互联网安全事件多集中在欧洲和美洲等发达国家的主要原因。 从 具体国家来看， 美国的工控 系统 组件 联网 暴露 情况 最为严3 重，达到 64287 个 ； 其次 是 德国， 13242 个 ； 法国排名第三， 7759 个 。中国 排名全球第五，位列加拿大之后， 为 6223 个。 全球 各国 工控系统联网组件 暴露 数量 及 分布 情况如下图 。 在 所有的 工控 系统 组件中 ， 工控 设备的暴露是最为危险 的。工控设备 的暴露意味着攻击者有可能直接对设备本身发动攻击。 基于全国全球的主动探测， 360 工业互联网安全大数据分析平台 哈勃平台 收录了 2018 国内以及全球范围内，暴露在互联网上的工业控制系统设备数量。该平台统计的工控设备主要包括 PLC、 DCS、 DTU、 SCADA 等设备 。 统计显示 ， 2018 年 全年， 中国和全球的工控设备 暴露 数量基本处于稳定状态， 2018 年末比 2018 年初有稍微增长，在 2018 年 4 月份中国和全球的工控设备有稍微增长趋势。暴露的工控设备数量折线图如下所示。 4 第二章 工业互联网安全 漏洞分析 安全 漏洞 问题 是工业互联网面临的又一个顽疾。特别 的 ，与一般的 IT 系统不同， 受到生产环境的约束， 很多 的工业系统 安全 漏洞即便已知，也未必能有条件进行修复。 本节主要 以 联合实验室漏洞库收录的工业控制系统相关的漏洞信息为基础，综合参考了Common Vulnerabilities & Exposures（ CVE）、 National Vulnerability Database（ NVD） 、中国国家信息安全漏洞共享平台（ CNVD）及国家信息安全漏洞库（ CNNVD）所发布的漏洞信息， 从工控漏洞的年度变化趋势、等级危害、漏洞类型、漏洞涉及行业、漏洞设备类型等方面分析工业控制系统的安全威胁态势及脆弱性。 本报告中的 工控漏洞风险评估方法， 基于通用漏洞评分系统，将可见性、可控性、漏洞利用目标服役情况等体现工控安全特性的指标纳入量化评估范围。该方法使用改进的工控漏洞风险评估算法，既可以生成工控漏洞的基础评分、生命周期评分，也可以用于安全人员结合实际工控安全场景的具体需求以生成环境评分。 一、 安全漏洞数量快速 增长，安全形式日益严峻 根据中国国家信息安全漏洞共享平台 （ CNVD） 最新统计 数据显示 ， 自 2000 年 -2009 年 ， CNVD 每年 收录的 工控 系统漏洞 数量一直 保持在个位数。 但到 了 2010 年 ，该数字 一下子 攀升到 32 个 ， 次年 又 跃升到 190 个 。 这和 情况 的发生 与 2010 年发 现 的 Stuxnet 蠕虫病毒 （震网 病毒 ） 有直接关系。 Stuxnet 病毒 是世界上第一个专门针对工业控制系统编写的破坏性病毒，自此业界对工业控制系统的安全性普遍关注，工业控制系统的安全漏洞数量增长迅速。 不过， 从 2011 年 -2015 年 ， CNVD 收录的工控系统漏洞数量 ， 又呈现了一个 持续 的 稳中有降 的态势 。直到 2015 年 底 至 2016 年初 的 乌克兰 大停电事件之后， 工控 系统 漏洞 的发现再次进入 高速 增长期 ： 2016 年 191 个； 2017 年 351 个 ； 而 到 了 2018 年 ， 增长到 了 442 个 。 5 二、 安全漏洞类型多样化特性明显 在 2018 年四大漏洞平台收录的工业控 系统漏洞中，漏洞成因多样化特征明显，技术类型多达 30 种以上。其中， 拒绝服务 漏洞 （ 103） 、 缓冲区溢出 漏洞（ 54）和 访问控制 漏洞 (32)数量最多，最为常见。 攻击者 可以 利用多样化的漏洞获取非法控制权、通过遍历的方式绕过验证机制、发送大量请求造成资源过载等 安全 事故。 实际上 ，无论 攻击者无论利用何种漏洞造成生产厂区的异常运行，均会影响工控系统组件及设备的灵敏性和可靠性，造成严重的安全问题。 三、 高危漏洞占比较高 在 2018 年四大漏洞平台收录的工业控 系统漏洞中 ， 高危漏洞占比 53.6%，中危漏洞占比为 36.4%，中高危漏洞占比达到 90%。 漏洞危害等级分布 如下： 6 四、 漏洞涉及厂商以国际厂商为主 在 2018 年四 大 平台 新收录的 工 业控制系统漏洞中 ， 涉及到的前八大工控厂商中有 七 个为国际厂商，一个为 中国台湾厂商 。 这些厂商 分别为西门子（ Siemens）、 施耐德（ Schneider）、研华（ Advantech）、罗克韦尔（ Rockwell）、 欧姆龙 （ Omron）、 摩莎（ Moxa）、 富士电机（ Fuji Electric） 和 思科（ Cisco） 。 漏洞涉及 主要 厂商 情况如 下图所示 ： 需要 说明的事， 虽然安全漏洞在一定程度上反映了工控系统的脆弱性，但不能仅通过 被报告的 厂商安全漏洞数量 来 片面判断 比较 厂商 产品 的 安全性 。因为 一般来说 ， 一个 厂商的产品 越是 使用广泛， 越 会受到更多安全研究者的关注， 因此 被发现 安全漏洞 的 可能性也越大。某种程度 上来说，安全漏洞报告的厂商分布，更多程度上反映 的是 研究者的关注度。 五、 漏洞涉及行业广泛，以制造业、能源行业为主 在 2018 年四 大 平台 新收录 工 业控制系统安全漏洞中，多数分布在 制造业、能源、水务、医疗、食品、石化、轨道交通、冶金、市政、信息技 术等关键基础设施行业。 制造业占比最高，涉及的相关漏洞数量占比达到 30.6%，打破了 近几年 能源行业稳居第一的局面，能源行业涉及的相关洞数量为 23.9%。漏洞行业分布图如下：