工业互联网安全风险态势

声明

本文是学习github5.com 网站的报告而整理的学习笔记,分享出来希望更多人受益,如果存在侵权请及时联系我们

研究背景

在政策与技术的双轮驱动下，工业控制系统正在越来越多地与企业内网和互联网相连接，并与新型服务模式相结合，逐步形成了工业互联网架构。工业互联网是数字浪潮下，工业体系和互联网体系的深度融合的产物，是新一轮工业革命的关键支撑。工业互联网的发展一方面极大的促进了生产效率和服务水平的提高，另一方面也使原本封闭的系统变得越来越开放，致使系统安全风险和入侵威胁不断增加，网络安全问题日益突出。

工业互联网目前已经广泛应用于电力、交通、石油、取暖、制造业等关键信息基础设施领域，一旦发生安全事件，往往会造成巨大的损失和广泛的影响。但是，由于工业互联网环境的特殊性，传统的IT信息安全技术并不能完全有效的保护工业系统的安全，甚至很多常用的安全技术都不能直接应用于工业网络的安全防护。对于工业互联网安全的分析与防护，需要使用一些专门的方法和专用的技术。

工业控制系统安全国家地方联合工程实验室（以下简称“联合实验室”）于2017年发布《IT/OT一体化的工业信息安全态势报告（2017）》，总结分析IT/OT融合带来的新挑战，给出工业信息安全建议和展望。

为给政府部门、科研机构和工业企业提供参考和借鉴，工业控制系统安全国家地方联合工程实验室（以下简称联合实验室）继续编撰了《IT/OT一体化的工业信息安全态势报告（2018）》。本报旨在总结全年的工业互联网安全进展从在市场、技术、产业、用户、事件的维度给读者对全年的安全发展状态有一个概要性的了解，并对未来的发展趋势有一个初步的预测，供合作伙伴及企业客户决策参考使用。

本报告对工业互联网安全漏洞的分析，采用了一种新型漏洞评分系统，将可见性、可控性、漏洞利用目标服役情况等体现工控安全特性的指标纳入量化评估范围。报告以联合实验室漏洞库收录的工业控制系统相关的漏洞信息为基础，综合参考CVE、NVD、CNVD、CNNVD四大公开漏洞平台发布的漏洞信息，分析工业互联网安全态势。

以往的很多工业安全研究报告缺乏对工业企业本身的深入研究，而工业互联网安全的建设发展离不开对工业企业需求的探讨。为了更真实的了解工业企业的安全需求，本报告特别对近400家工业企业进行了问卷调查，对工业企业的安全现状和安全认知进行了深入的分析。此外，本次报告还以360工业安全应急响应中心2018年处置的工业安全事件为基础，分析了4个典型案例。

最后，本次报告还总结了工业互联网安全发展趋势，分析了国内外政策法规及Gartner市场研究；对工业企业、安全服务机构、上级主管部门提出安全发展建议，希望能够帮助读者对工业互联网安全有一个更加全面、前沿的认识。

工业互联网安全风险态势

工控系统互联网暴露情况

工控系统在互联网上的暴露问题是工业互联网安全的一个基本问题。所谓“暴露，是指我们可以通过互联网直接对某些与工控系统相关的工业组件，如工控设备、协议、软件、系统等，进行远程访问或查询。

造成工控系统暴露的主要原因之一是“商业网络（IT）”与“工业网络（OT）”的不断融合。IT与OT网络的连通在拓展了工业控制系统发展空间的同时，也带来了工业控制系统网络安全问题。近年来，企业为了管理与控制的一体化，实现生产和管理的高效率、高效益，普遍推进生产执行系统，实现管理信息网络与控制网络之间的数据交换，实现工业控制系统和管理信息系统的集成。如此一来，如果未能做好必要的分隔管控工作，就会导致原本封闭的OT系统，通过管理系统与互联网互通、互联后，面临从互联网侧传播进来的各类网络攻击风险。

工控系统的直接连接到互联网，也称为“暴露”在互联网上，这个问题要一分为二的来看待：一方面，某地区工控系统在互联网上暴露的越多，往往说明该地区工业系统的信息化程度越高，工业互联网越发达；而另一方面，因为绝大多数的工业组件其实并不需要通过互联网进行远程操作，因此，暴露的比例越大，也往往意味着工业系统在信息化的同时，没有充分的做好必要的隔离工作，系统遭遇攻击和入侵的风险也越大。

美国安全公司Positive technologies的监测数据较好的反映了全球范围内，工业组件在互联网上的暴露情况。为了收集在互联网上具有可访问性的工业控制系统站点及组件， Positive technologies采用被动方式，使用可公开访问的引擎：Google、Shodan（shodan. io）、 Censys（censys. io）对全球工业系统进行了搜索。其中，Shodan 和Censys可搜索工业服务器、路由器、专用摄像头等设备的联网情况。

根据Positive Technologies2018研究数据显示：当前全球工控系统联网暴露组件总数量约为17.6万个。从这些工业组件的国家和地域分布来看，联网的工控组件主要集中在美洲和欧洲国家，其中美洲占比达到40%以上。这也是为什么工业互联网安全事件多集中在欧洲和美洲等发达国家的主要原因。从具体国家来看，美国的工控系统组件联网暴露情况最为严重，达到64287个；其次是德国， 13242个；法国排名第三，7759个。中国排名全球第五，位列加拿大之后，为6223个。全球各国工控系统联网组件暴露数量及分布情况如下图。

在所有的工控系统组件中，工控设备的暴露是最为危险的。工控设备的暴露意味着攻击者有可能直接对设备本身发动攻击。基于全国全球的主动探测，360工业互联网安全大数据分析平台 ——哈勃平台收录了2018国内以及全球范围内，暴露在互联网上的工业控制系统设备数量。该平台统计的工控设备主要包括PLC、DCS、DTU、SCADA等设备。

统计显示，2018年全年，中国和全球的工控设备暴露数量基本处于稳定状态，2018年末比2018年初有稍微增长，在2018年4月份中国和全球的工控设备有稍微增长趋势。暴露的工控设备数量折线图如下所示。

工业互联网安全漏洞分析

安全漏洞问题是工业互联网面临的又一个顽疾。特别的，与一般的IT系统不同，受到生产环境的约束，很多的工业系统安全漏洞即便已知，也未必能有条件进行修复。

本节主要以联合实验室漏洞库收录的工业控制系统相关的漏洞信息为基础，综合参考了Common Vulnerabilities & Exposures（CVE）、National Vulnerability Database（NVD）、中国国家信息安全漏洞共享平台（CNVD）及国家信息安全漏洞库（CNNVD）所发布的漏洞信息，从工控漏洞的年度变化趋势、等级危害、漏洞类型、漏洞涉及行业、漏洞设备类型等方面分析工业控制系统的安全威胁态势及脆弱性。

本报告中的工控漏洞风险评估方法，基于通用漏洞评分系统，将可见性、可控性、漏洞利用目标服役情况等体现工控安全特性的指标纳入量化评估范围。该方法使用改进的工控漏洞风险评估算法，既可以生成工控漏洞的基础评分、生命周期评分，也可以用于安全人员结合实际工控安全场景的具体需求以生成环境评分。

安全漏洞数量快速增长，安全形式日益严峻

根据中国国家信息安全漏洞共享平台（CNVD）最新统计数据显示，自2000年-2009年， CNVD每年收录的工控系统漏洞数量一直保持在个位数。但到了2010年，该数字一下子攀升到32个，次年又跃升到190个。这和情况的发生与2010年发现的Stuxnet蠕虫病毒（震网病毒）有直接关系。Stuxnet病毒是世界上第一个专门针对工业控制系统编写的破坏性病毒，自此业界对工业控制系统的安全性普遍关注，工业控制系统的安全漏洞数量增长迅速。

不过，从2011年-2015年，CNVD收录的工控系统漏洞数量，又呈现了一个持续的稳中有降的态势。直到2015年底至2016年初的乌克兰大停电事件之后，工控系统漏洞的发现再次进入高速增长期：2016年191个；2017年351个；而到了2018年，增长到了442个。

安全漏洞类型多样化特性明显

在2018年四大漏洞平台收录的工业控系统漏洞中，漏洞成因多样化特征明显，技术类型多达30种以上。其中，拒绝服务漏洞（103）、缓冲区溢出漏洞（54）和访问控制漏洞(32)数量最多，最为常见。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-s7Zzg1Ed-1679489872366)(null)]

攻击者可以利用多样化的漏洞获取非法控制权、通过遍历的方式绕过验证机制、发送大量请求造成资源过载等安全事故。实际上，无论攻击者无论利用何种漏洞造成生产厂区的异常运行，均会影响工控系统组件及设备的灵敏性和可靠性，造成严重的安全问题。

高危漏洞占比较高

在2018年四大漏洞平台收录的工业控系统漏洞中，高危漏洞占比53.6%，中危漏洞占比为36.4%，中高危漏洞占比达到90%。漏洞危害等级分布如下：

漏洞涉及厂商以国际厂商为主

在2018年四大平台新收录的工业控制系统漏洞中，涉及到的前八大工控厂商中有七个为国际厂商，一个为中国台湾厂商。这些厂商分别为西门子（Siemens）、施耐德（Schneider）、研华（Advantech）、罗克韦尔（Rockwell）、欧姆龙（Omron）、摩莎（Moxa）、富士电机（Fuji Electric）和思科（Cisco）。漏洞涉及主要厂商情况如下图所示：

需要说明的事，虽然安全漏洞在一定程度上反映了工控系统的脆弱性，但不能仅通过被报告的厂商安全漏洞数量来片面判断比较厂商产品的安全性。因为一般来说，一个厂商的产品越是使用广泛，越会受到更多安全研究者的关注，因此被发现安全漏洞的可能性也越大。某种程度上来说，安全漏洞报告的厂商分布，更多程度上反映的是研究者的关注度。

漏洞涉及行业广泛，以制造业、能源行业为主

在2018年四大平台新收录工业控制系统安全漏洞中，多数分布在制造业、能源、水务、医疗、食品、石化、轨道交通、冶金、市政、信息技术等关键基础设施行业。制造业占比最高，涉及的相关漏洞数量占比达到30.6%，打破了近几年能源行业稳居第一的局面，能源行业涉及的相关洞数量为23.9%。漏洞行业分布图如下：

工业企业网络安全感知

本小节将主要从工业企业对自身网络安全状况的认知和感知情况，来分析工业企业的安全态势。

工业企业对自身安全建设水平的认知

2018年，联合实验室在全国范围内对工业企业用户进行了一次系统的深入调研。根据参与行业的单位属性将制造业、市政/交通、通信/网络、石油石化/化工、能源电力用户填写的问卷作为有效数据进行分析。关于本次调研的详细情况，可参见本报告“研究背景”一节的相关介绍。

调查显示，工业企业对自身企业安全建设水平普遍有较高的认识，36.7%的被调查者认为自己所在企业网络安全建设水平达到行业领先 ；，仅有2.9%的被调查者认为，自己所在的企业网络安全建设水平处于“裸奔”状态。

需要说明的是，根据联合实验室在全国各地工业企业的实地考察情况来看，工业企业对自身安全建设程度普遍“自我感觉良好”，实际上是一种过度乐观的状态。绝大多数工业企业的实际安全状况都让人十分堪忧。

工业企业对自身面临安全风险的感知

调查还显示，在被问及自己所在的工业企业是否会遭受网络攻击时，认为会遭到攻击的人和认为不会遭到攻击的人几乎各占一半。

针对生产车间设备、电脑出现蓝屏、重启现象进行调研分析发现，超过50%的企业遭受过生产设备安全故障问题，仅有不足1/4的企业没有出现过这些现象；另有约1/4的企业对此问题表示 “不掌握”相关情况。详见下图。

其实“不掌握”，这一结果可能是最可怕的一种风险。因为“不掌握”也就意味着企业其实并没有部署足够的网络安全监控措施以实时了解其工业系统的网络安全状况。这也说明，很多工业企业对自身网络安全建设水平处于业内领先地位的评估可能是过于乐观。

在被问及过去一年中，是否发生过网络安全事件时，69.4%的被调查企业表示没有发生过；表示发生过1次的有12.2%；2次的6.1%；3次及以上的占比12.2%。

将上述三组数据的结果进行对比分析，我们就会发现：多数企业确实过低的估计了自身遭到网络攻击风险的可能性 。事实上，当企业内部电脑出现大量蓝屏、重启等现象时，往往意味着企业已经遭到了攻击，只是很多企业的管理者并没有把这些事件作为安全事件来进行响应和调查，而只是当作一般的系统故障而已，从而可能导致其错过发现问题的最佳时机。

一句话，企业认为自己没有遭到过攻击，但实际上有迹象表明他们可能已经遭到了攻击，只是自己不知情或没有意识到这些现象可能与攻击有关。

此外，从应急响应或现场处置过的大量事件看，绝大多数自认为没有安全问题的工业企业，往往都存在着巨大的安全漏洞，他们对于安全事件只是处于“不知情”的状态。

工业企业对网络安全事件影响的认知

调查显示，一旦遭遇网络安全事件，22.3%的工业企业最为担心的严重后果是造成人员伤亡；其次为产品质量受损，占比20.9%，接下来是商业机会丧失、违反法规要求、承担法律责任、厂区设备损失等。需要特别说明的是，人员伤亡和产品质量受损，是工业企业遭遇网络安全事件时所需面对的特殊风险 ，一般的政府机构、企业，或IT、互联网公司都无需面对此类风险。

工业互联网安全威胁

联合实验室在对工业企业进行广泛、深入的研究的过程中，总结出了当前国内工业企业在工业互联网领域面临的8个主要安全威胁。

1. OT安全管理不到位

在很多大中型工业企业中，IT安全管理一般措施比较到位，但OT安全管理措施却有显著疏失。尽管企业大小不同，但一般其IT安全由企业的信息中心或专门团队管理。其中，制造业、石油石化、天然气，公用事业等行业的IT安全管理比其他行业更成熟。但一般来说，这些工业企业的安全管理和策略没有为OT做针对性定制，OT网络和资产及其网络安全影响多年未被覆盖和管理。

1. IT和OT安全责任模糊

很多工业企业的信息中心会去管理OT网络和服务器的连接性和安全性，但往往对于OT网络上的生产设备与控制系统的连接性没有管辖权限；而这些设备、控制系统也是互联的，有些就是基于IT技术实现的。如：操作员站、工程师站等。因此，常见的IT威胁对OT系统也有影响。反过来说，OT的运维团队一般会对生产有效性负责，但往往并不对网络安全负责。对于很多工业企业来说，生产有效性通常都比网络安全性更重要。

1. IT安全控制在OT领域无效

很多工业企业在OT设置中使用IT安全控制，但没有考虑其对OT的影响。 例如，国内某汽车企业，IT安全团队按照IT安全要求主动扫描OT网络，结果导致汽车生产线PLC出现故障，引起停产。

从实践来看，很多工业企业要么不做OT安全评估，要么OT安全评估由IT安全服务商执行。而IT安全评估通常不包括OT网络的过程层和控制层，即使对这两层进行评估，也只能采用问卷方式而不能使用工具。执行这些评估的人员通常是IT安全专家，对OT领域也不甚了解。

1. 缺乏OT资产和漏洞的可见性

工业企业的IT团队一般不负责OT的资产，而是由OT团队负责OT资产。但因为生产线系统是历经多年由多个自动化集成商持续建设的，因此OT团队对OT资产的可见性一般十分有限，甚至没有完整的OT资产清单，关于OT资产的漏洞基本上无人负责和收集。

1. 工业主机几乎“裸奔”

工业企业的OT网络中存在着大量工业主机，如：操作员站、工程师站、历史数据服务器、备份服务器等。这些PC或服务器上运行的实时数据库、监视系统、操作编程系统等，向上对IT网络提供数据，向下对OT中的控制设备及执行器进行监视和控制，它们是连接信息世界和物理世界的“关键之门”。

但在实际系统中，这些工业主机上面要么没有任何安全防护措施，要么防护措施因没有进行更新已经失效，工业主机几乎处在“裸奔”状态。近年来不断发生的各类工业安全事件中，首先遭到攻击或受影响往往都是工业主机。

1. IT和OT网络混杂缺防护

很多工业企业的IT和OT网络并没有进行有效的隔离；部分工业企业虽然进行了分隔，并设置了访问策略，但总有员工为方便，私自设置各类双网卡机器，使得IT、OT网络中存在有许多不安全、也不被掌握的通信通道。

OT系统往往由不同集成商在不同时间建设，使用不同的安全标准。因此，当需要集成商进行维修维护时，工作人员经常会开放远程维护端口，而且这些端口往往不采用任何安全防护措施，甚至还常见端口打开后忘记关闭的情况发生，从而增加工业互联网的攻击剖面。

国内某冷轧厂就曾因为工程师远程运维，结果导致勒索病毒传入生产网络影响生产。

1. OT缺乏安全响应预案和恢复机制

IT工作计划和OT工作计划往往是两张皮，IT安全事件响应计划与OT之间的协调往往十分有限。很多OT网络在制定生产事故应对计划时，都没有考虑过网络安全事件的处理。同时，由于缺乏备份和恢复机制，OT中发生的网络安全事件，恢复速度往往很慢。

1. IT和OT人员安全培训普遍缺失

很多工业企业虽然有IT组织负责IT网络安全，但其在安全意识和培训计划中，往往会忽视IT和OT之间的文化差异；IT安全人员很少会对OT人员进行安全培训，OT人员的信息安全培训普遍缺失。

总结

更多内容 可以 点击 访问 github5.com 网站的报告 进一步学习

联系我们

T-CADERM 3008—2019 严重过敏反应诊断和早期治疗规范.pdf

本文来自互联网用户投稿，文章观点仅代表作者本人，不代表本站立场，不承担相关法律责任。如若转载，请注明出处。 如若内容造成侵权/违法违规/事实不符，请点击【内容举报】进行投诉反馈！