IT/OT一体化的工业信息 安全态势报告（ 2017） 工业控制系统安全国家地方联合工程实验室 奇安信威胁情报中心 2018年2月1日 主要观点 IT/OT一体化融合带来的 新挑战  IT/OT一体化在拓展了工业控制系统发展空间的同时，也带来了工业控制系统网络安全 问题。企业为了管理与控制的一体化，实现生产和管理的高效率、高效益，普遍引入生 产执行系统 MES，实现管理信息网络与控制网络之间的数据交换和工业控制系统和管 理信息系统的集成。 MES不再是一个独立运行的系统，而要与管理系统甚至互联网互 通、互联，从而 在工业系统中 引入了网络攻击风险。  对于传统 IT网络安全，保密性优先级最高，其次是完整性、可用性。工业网络则有明 显的不同，工业网络更为关注的是系统设备的可用性、实时性。 在工业系统中，设备 超 期服役、带洞运行、带毒运行的状况非常普遍 。而且有大量的 内部系统和设备不必要的 暴露在互联网上， 进一步加大 了工业系统的安全风险。  工业互联网的 IT/OT融合会带来很多安全挑战 。一方面是来自外部的挑战，如：暴露在 外的攻击面越来越大；操作系统安全漏洞难以 修补；软件漏洞容易被黑客利用 ；恶意代 码不敢杀 、不能杀 ；DDOS攻击随时 可能中断生产；高级持续 性威胁时刻环伺 等。另一 方面是来自工业系统自身安全建设的不足，如：工业设备资产的可视性严重不足； 很多 工控设备缺乏安全 设计；设备联网机制缺乏安全保障 ；IT和OT系统安全管理 相互独立 互操作困难；生产 数据面临丢失、泄露、篡改等安全威胁 等。 工业信息安全建议与展望  建立网络安全滑动标尺动态安全模型 ，该标尺模型共包含五大类别，分别为架构安全 （Architecture ）、被动防御（ Passive Defense ）、积极防御（ Action Defense ）、威胁情 报（ Intelligence ）和进攻反制（ Offense）。这五大类别之间具有连续性关系，并有效展 示了防御逐步提升的理念。  从安全运营的角度，建立企业的工业安全运营中心 （IISOC）。在IT和OT一体化推进发 展中， IT技术在 OT领域大量使用， IT所面对的风险也跟随进入了 OT网络，因此工业 企业对这两个应用角度都要识别风险的切入点，列举相关的风险，并且要进行一体化的 规划。  组建 IT&OT融合的安全管理团队 ，对整个工业 控制系统进行 安全运营。  在技术层面提高防护能力 ，包括终端层面、网络层面 和监管层面 ，以及数据和系统的 可 恢复性（备份层面） 方面。 摘 要  工业控制系统 (Industrial Control Systems, ICS) 通常指由计算机设备和工业生产控制部件 组成的系统。  根据美国工业控制系统网络紧急响应小组 （ICS-CERT）最新统计报告， 2015年漏洞总数 为486个， 2016年美国关键基础设施存在 492个安全漏洞。  ICS-CERT的最新报告显示， 相关漏洞涉及供水、 能源和石油行业等关键基础设施。 此外， ICS-CERT安全研究专家指出， 针对工业控制系统环境入侵的攻击者数量增长无疑意味着 可利用的漏洞数量和类型也会同时增长。  2000年1月截止到 2017年12月， 根据我国国家信息安全漏洞共享平台 （ CNVD） 统计， 所有的信息安全漏洞总数为 101734个，其中工业控制系统漏洞总数为 1437个。 2017 年CNVD统计的新增信息安全漏洞 4798个，工控系统新增漏洞数 351个，均比去年同 期有显著增长。  CNVD在2017年收录的工控相关漏洞中，高危漏 洞占比最高，达到 53.6%。中危漏洞占 比42.4%，其余 4.0%为低危漏洞。  CNVD已收录的漏洞 数量最多的五大 工控厂商的安全漏洞数量中 ，Siemens最多，为197 个，其次是 Schneider117 个。  工业互联网安全 监测公共服务平台 收录了 2017下半年国内 以及全球 范围内，暴露在互 联网上的工业控制系统设备 数量。从中 分析可知，在八月 份和九月中旬期间，国内和全 球暴露的工控设备数均有一个明显上升趋势，且 2017年末比 2017年中旬暴露的工控 设备数多。  企业为了管理与控制的一体化，实现生产和管理的高效率、高效益，普遍引入生产执行 系统 MES，实现管理信息网络与控制网络之间的数据交换和工业控制系统和管理信息 系统的集成。  工业网络则有明显的不同，工业网络更为关注的是系统设备的可用性、实时性 ，除此特 点外， IT系统和 OT系统之间仍然存在很多差异性。  根据 ICS-CERT的报告显示， 在2016年，工业控制 系统网络安全应急小组团队完成了对 290起安全事件的处理。 其中，对制造业的 攻击比重最大， 有63起，约占 22%，此外， 通信部门 攻击有 62起，比重第二 ，有 59起能源部门安全 事件。  2017年工业网络 八大重点安全事件 ：永恒之蓝 勒索病毒 、新型物联网僵尸网络 HTTP81、 类Petya勒索病毒席卷欧洲、美国供水 设施网络瘫痪 、印度 ISP遭受 BrickerBot 攻击、 瑞典交通 机构遭受 DDOS攻击、巴西银行发现 恶意软件攻击 、恶意软件 TRITON攻击能 源关键信息基础设施 。  2017年2月，美国纽约州金融服务部 （DFS）颁布了新的网络安全监管规则，这意味着 在纽约运营的主要金融机构迎来了相比过去更为严厉的网络安全防控义务。  2017年5月，澳大利亚总理特恩布尔日前宣布 ，发布政府首次年度修订版《国家网络 安全战略》 。该战略于 2016年4月推出，涵盖 33个网络安全计划，投入资金达 2.31亿澳元（约合 12亿人民币） 。  2017年1月，韩国政府向国会正式提交了《国家网络安全法案》 。 其旨在防止威胁国家 安全的网络攻击，迅速积极应对网络危机，为保障国家安全及国民利益 做出贡献。  2017年7月，新加坡通信部与网络安全局共同发布了《网络安全法案 2017》 （草案）征 求公众意见，该草案是新加坡继去年 10月宣传的旨在加强全球合作伙伴关系的 “网络 安全战略 ”之后又一网络安全举措。  2017年8月，英国 政府出台《智能汽车网络安全新指南》 ，指南的全称为《面向联网和 自动驾驶汽车的网络安全关键原则》 ， 目标是将之拓展到汽车制造和供应链上的每一方。  2017年1月，工信部印发《信息通信网络与信息安全规划（ 2016 -2020） 》 ，规划》明确 了以网络强国战略为统领。  2017年3月，经中央网络安全和信息化领导小组批准，外交部和国家互联网信息办公 室1日共同发布《网络空间国际合作战略》 。  2017年4月，工信部印发《云计算发展三年行动计划（ 2017 -2019年） 》 。  2017年5月，国家互联网信息办公室发布《网络产品和服务 安全审查办法（试行） 》 ， 于6月1日起实施。  2017年5月，工业和信息化部印发《工业控制系统信息安全事件应急管理工作指南》 。  2017年6月， 《中华人民共和国网络安全法》正式实施，这是我国网络领域的基础性法 律，其中明确规定要加强对个人信息保护。  2017年7月，国家互联网信息办公室发布《关键信息基础设施安全保护条例（征求意 见稿） 》 。  2017年8月，工信部印发《工业控制系统信息安全防护能力评估工作管理办法》 。  2017年11月，工信部印发《公共互联网网络安全突发事件应急预案》 。  2017年12月，工业和信息化部 制定了《工业控制系统信息安全行动计划（ 2018 -2020 年） 》 。  对比 2016年和 2017年Gartner技术成熟度曲线： OT安全进入底谷期，估计会在 2018 年进入稳步爬升的光明期。 关键词： 工业信息、 ICS 工业控制系统安全国家地方联合工程实验室 目 录 第一章 概述 ................................ ................................ ................................ ................................ ......... 1 一、 研究背景及意义 ................................ ................................ ................................ ..................... 1 二、 研究内容与结构 ................................ ................................ ................................ ..................... 2 第二章 工业信息安全性现状分析 ................................ ................................ .........................