2022工控系統(tǒng)信息安全建設(shè)常見陷阱誤區(qū)

工業(yè)控制系統(tǒng)信息安全建設(shè)常見陷阱誤區(qū)TheSecurityofIndustryControlSystem2022工業(yè)網(wǎng)絡(luò)發(fā)展趨勢工業(yè)網(wǎng)絡(luò)信息安全信息安全建設(shè)常見的陷阱與誤區(qū)天工工控信息安全整體防護體系工業(yè)發(fā)展趨勢工業(yè)發(fā)展趨勢 中國制造2025 互聯(lián)網(wǎng)+制造業(yè)、工業(yè)、金融、農(nóng)業(yè)……工業(yè)互聯(lián)網(wǎng)——未來工業(yè)發(fā)展的趨勢互聯(lián)化 數(shù)字化 智能化 平民化工業(yè)控制系統(tǒng)應(yīng)用工業(yè)控制系統(tǒng)應(yīng)用冶金石化電力航空航天航海工業(yè)領(lǐng)域 軍事領(lǐng)域冶金石化電力航空航天航海機械制造生物化工水利 衛(wèi)星定位制導(dǎo)系統(tǒng)導(dǎo)航系統(tǒng)機械制造生物化工水利衛(wèi)星定位制導(dǎo)系統(tǒng)導(dǎo)航系統(tǒng)其他社會生活各領(lǐng)域智能家居交通管理圖書管理智能辦公醫(yī)學(xué)生物科技智能家居交通管理圖書管理智能辦公醫(yī)學(xué)生物科技工業(yè)網(wǎng)絡(luò)發(fā)展趨勢工業(yè)網(wǎng)絡(luò)信息安全信息安全建設(shè)常見的陷阱與誤區(qū)天工工控信息安全整體防護體系兩化融合-工業(yè)網(wǎng)絡(luò)互聯(lián)之擔(dān)憂兩化融合-工業(yè)網(wǎng)絡(luò)互聯(lián)之擔(dān)憂互聯(lián)網(wǎng)管理網(wǎng)生產(chǎn)網(wǎng)兩化融合背景下-工業(yè)網(wǎng)絡(luò)信息安全兩化融合背景下-工業(yè)網(wǎng)絡(luò)信息安全矛盾：隔離矛盾：隔離-互聯(lián)辦法：采用防火墻、網(wǎng)關(guān)風(fēng)險：存在了攻擊路徑動化系統(tǒng)信息安全互聯(lián)網(wǎng)WEB應(yīng)用實時業(yè)務(wù)需求系統(tǒng)可靠性動化系統(tǒng)RedtigerSecurity2010年研究成果，北美100多個電廠滲透測試，出現(xiàn)38000個安全警告與漏洞。這些漏洞從被公開到其在控制系統(tǒng)中被發(fā)現(xiàn)的平均時間間隔是331天，更糟的是有些超過了1100天之久，相當(dāng)于零日漏洞之后的3年。工業(yè)網(wǎng)絡(luò)已成為攻擊威脅目標(biāo)工業(yè)網(wǎng)絡(luò)已成為攻擊威脅目標(biāo) 安全設(shè)計及實踐技術(shù)相對落后，漏洞多

關(guān)系國計民生工業(yè)及基礎(chǔ)設(shè)施

網(wǎng)絡(luò)犯罪攻擊目標(biāo)

網(wǎng)絡(luò)戰(zhàn)軍團戰(zhàn)略打擊節(jié)點例舉發(fā)生的工控信息安全典型事件例舉發(fā)生的工控信息安全典型事件2000年3月，澳大利亞馬盧奇污水處理廠非法入侵事件2000年10月13日，我國二灘水電站，接收到外來信號，7秒甩出89千瓦，導(dǎo)致川渝電網(wǎng)幾乎瓦解。2001年10月1日，我國全國147座變電站、電廠，遭受時間邏輯炸彈病毒，故障錄波器同時死機。2010年11月16日伊朗NatanzStuxnet病毒攻擊。2014年德國的一個鋼鐵廠，遭受到高級持續(xù)性威脅(APT)攻擊，給鋼廠帶來了重大破壞。2015年6SCADA系統(tǒng)（系統(tǒng)）對應(yīng)開發(fā)了一套病毒程序，病毒爆發(fā)導(dǎo)致系統(tǒng)無法運行。廣州地鐵四號線采用基于Wi-Fi技術(shù)的西門子CBTC廣州地鐵四號線采用基于Wi-Fi技術(shù)的西門子CBTC信號丟失，從而緊急制動頻繁，經(jīng)常晚點。深圳地鐵龍崗線無線控制系統(tǒng)，于2011年在布吉附近被醫(yī)院超聲波設(shè)備干擾，出現(xiàn)緊急制動。上海地鐵10號線采用卡斯柯無線CBTC系統(tǒng)，2011年7月28方向”的事故，更在同年9月27日，由于信號系統(tǒng)出現(xiàn)故障，切換為人工駕駛，由于操作失誤，導(dǎo)致列車追尾。深圳地鐵蛇口線和環(huán)中線采用卡斯柯無線CBTC系統(tǒng)，2012Wi-Fi設(shè)備干擾，出現(xiàn)緊急制動。工控信息安全事件逐年上升工控信息安全事件逐年上升公開的ICS漏洞數(shù)的年度變化趨勢187起，2014年為159起，其中所涉及的工控產(chǎn)品類別如圖。數(shù)據(jù)來源工控網(wǎng) 數(shù)據(jù)來源工控網(wǎng)國家形勢和動態(tài)國家形勢和動態(tài)（部協(xié)[2011]451號）知》(國辦函[2012]102號)GB/T30976.1~.2-2014《工業(yè)控制系統(tǒng)信息安全》GBT26333-2010國內(nèi)標(biāo)準(zhǔn)(制定中……）《工業(yè)控制系統(tǒng)信息安全等級保護設(shè)計技術(shù)指南(草稿)》《工業(yè)控制系統(tǒng)信息安全等級保護基本要求(草稿）》《集散控制系統(tǒng)（DCS）安全防護標(biāo)準(zhǔn)(征求意見稿)》。。。。。。相關(guān)行業(yè)主管理單位行動工信部組織經(jīng)信委對當(dāng)?shù)氐墓た叵到y(tǒng)單位調(diào)研檢查公安和工信部對發(fā)現(xiàn)問題的進行通報電力行業(yè)正在計劃制定標(biāo)準(zhǔn)軌道交通正在制定相關(guān)標(biāo)準(zhǔn) 行業(yè)面臨安全風(fēng)險-電力行業(yè)面臨安全風(fēng)險-電力安全建設(shè)現(xiàn)狀國網(wǎng)目前在完善智能電網(wǎng)調(diào)度控制系統(tǒng)的安全統(tǒng)系統(tǒng)綜合采用調(diào)度數(shù)字證書和安全標(biāo)簽技術(shù)，實現(xiàn)安全授權(quán)、強制執(zhí)行控制（MEC）和強制訪問控制（MAC）等安全防護策略。計劃構(gòu)建安全免疫的智能電網(wǎng)調(diào)度控制系統(tǒng)建立可信計算密碼平臺，更新調(diào)度數(shù)字證書、縱向加密認證、橫向隔離裝置、防火墻、入侵檢測系統(tǒng)，搭建安全仿真平臺。電網(wǎng)面臨的風(fēng)險1、邊界防護不足2、應(yīng)用軟件層面防護薄弱3、終端接入設(shè)備缺乏管控4、缺少審計監(jiān)測系統(tǒng)

發(fā)電面臨的風(fēng)險：1、所有系統(tǒng)將連接在一區(qū)，無任何安全防護措施2、操作站通過U盤感染病毒，3、安全運維審計裝置缺失，4、新型智能I/O設(shè)備缺少安全防護措施行業(yè)面臨安全風(fēng)險-先進制造行業(yè)面臨安全風(fēng)險-先進制造現(xiàn)狀：數(shù)控機床部分聯(lián)網(wǎng)，沒有統(tǒng)一管理面臨問題：1、工控系統(tǒng)默認口令，密碼簡單，2、操作站感染病毒3、串網(wǎng)口轉(zhuǎn)換，協(xié)議缺乏校驗，業(yè)務(wù)指令異常無法發(fā)現(xiàn)。4、機床NC文件數(shù)據(jù)傳輸存在安全隱患，5、DNC服務(wù)器采用Wiondows系統(tǒng)安全數(shù)據(jù)庫，并大量采用FTP等服務(wù)，其操作有被滲透的風(fēng)險。6、第三方運維人員在運維設(shè)備時缺乏審計記錄，存在數(shù)據(jù)泄密或病毒侵入的威脅。行業(yè)面臨的安全風(fēng)險-石油石化行業(yè)面臨的安全風(fēng)險-石油石化安全建設(shè)現(xiàn)狀以霍尼韋爾為主，也有橫河、艾默生、英維思、西門子、ABB、浙江中控。所有公司都在管理網(wǎng)連接處放置了FW。有些公司已在邊界處放了隔離、防火墻、監(jiān)測等系統(tǒng)。有的用了工業(yè)FW。DCS系統(tǒng)到中控室是由機動部，運維部門為電儀公司，工控信息安全由信息科技部負責(zé)。面臨的風(fēng)險1、操作站通過U盤感染病毒，2、數(shù)據(jù)庫未進行相應(yīng)的防護措施3、未對操作站和服務(wù)器統(tǒng)一進行管理4、缺少審計和監(jiān)測手段行業(yè)面臨安全風(fēng)險-煙草行業(yè)面臨安全風(fēng)險-煙草安全建設(shè)現(xiàn)狀網(wǎng)絡(luò)進行了一定的區(qū)域劃分，部分車間辦公地址和生產(chǎn)地址混亂與MES系統(tǒng)下發(fā)任務(wù)與上傳任務(wù)間加了防火墻隔離物流車間有無線設(shè)備控制機器人，部分操作員站有防病毒系統(tǒng)，很少升級個別廠逐步開始建設(shè)生產(chǎn)網(wǎng)的信息安全面臨的風(fēng)險：1、操作站的終端使用U盤導(dǎo)致的病毒傳播問題2、缺少安全運維審計和監(jiān)測手段3、生產(chǎn)網(wǎng)絡(luò)間通訊不清晰4、發(fā)現(xiàn)問題處理周期較長5、缺少無線安全防護裝置工業(yè)網(wǎng)絡(luò)發(fā)展趨勢工業(yè)網(wǎng)絡(luò)信息安全信息安全建設(shè)常見的陷阱與誤區(qū)天工工控信息安全整體防護體系工控系統(tǒng)與傳統(tǒng)IT系統(tǒng)的差異化對比項工業(yè)控制系統(tǒng)ICS傳統(tǒng)IT信息系統(tǒng)建設(shè)目標(biāo)利用計算機、互聯(lián)網(wǎng)、微電子以及電氣等技術(shù)，使工廠的生產(chǎn)和強調(diào)的是工業(yè)自動化過程及相關(guān)設(shè)備的智能控制、監(jiān)測與管理。利用計算機、互聯(lián)網(wǎng)技術(shù)實現(xiàn)數(shù)據(jù)處理與信息共享。體系結(jié)構(gòu)ICS系統(tǒng)主要由PLC、RTU、DCS、SCADA等工業(yè)控制設(shè)備及計算機系統(tǒng)組成有計算機系統(tǒng)通過互聯(lián)網(wǎng)協(xié)議組成的計算機網(wǎng)絡(luò)操作系統(tǒng)廣泛使用嵌入式操作系統(tǒng)VxWorks、uCLinux、WinCE等，并有可能是根據(jù)需要進行功能裁減或定制。通用操作系統(tǒng)（window、UNIX、linux等），功能相對強大。數(shù)據(jù)通訊協(xié)議專用通信協(xié)議或規(guī)約Modbus、ICCP、DNP3、OPC、其他Ethernet/IP、Profibus等等或作為TCP/IP協(xié)議的應(yīng)用層使用。TCP/IP協(xié)議棧（應(yīng)用層協(xié)議：HTTP、FTP、SMTP等）系統(tǒng)實時性系統(tǒng)傳輸、處理信息的實時性要求高、不能停機和重啟恢復(fù)。實時性、同步通信，使之更易受干擾。存在信息安全漏洞。系統(tǒng)的實時性要求不高，信息傳輸允許延遲，可以停機和重啟恢復(fù)。系統(tǒng)故障響應(yīng)不可預(yù)料的中斷會造成經(jīng)濟損失或災(zāi)難，故障必須緊急響應(yīng)處理不可預(yù)料的中斷可能會造成任務(wù)損失，系統(tǒng)故障的處理響應(yīng)級別隨IT系統(tǒng)要求而定系統(tǒng)升級難度專有系統(tǒng)兼容性差、軟硬件升級較困難，一般很少進行系統(tǒng)升級，如需升級可能需要整個系統(tǒng)升級換代采用通用系統(tǒng)、兼容性較好，軟硬件升級較容易，且軟件系統(tǒng)升級較頻繁信息安全常見的陷阱與誤區(qū)信息安全常見的陷阱與誤區(qū)常見陷阱與誤區(qū)常見陷阱與誤區(qū)自滿自滿錯誤配置合規(guī)與安全范圍與規(guī)模自滿自滿在任何安全層面上都是危險的因素。自滿網(wǎng)絡(luò)安全專業(yè)人員需要像拳擊手一樣時刻要保持適當(dāng)?shù)木枰粯?，同樣需要假定一個類似的防御姿態(tài)。自滿1、脆弱性評估與零日攻擊自滿脆弱評估、滲透測試

未知為威脅應(yīng)對對策：（）使用多層防御（）使用可替換的威脅檢測機制（）將安全監(jiān)控與分析工具的全部功能作為一個整體使用，以提供網(wǎng)絡(luò)的態(tài)勢感知，潛在地識別可能被邊界安全設(shè)備漏掉的未知威脅。自滿2、真正的安全自滿安全是一個過程，不僅需要一個深思熟慮的信息安全實踐，而且嚴重依賴于人為因素。即使最為嚴格的網(wǎng)絡(luò)邊界也可以被終端用戶繞過去---無論是有意的、單純的或者無知的破壞行為。如工作人員進入物理安全區(qū)并插入未授權(quán)的USBkey、智能移動設(shè)備，即使真正的隔離裝置也將會被破壞。只要存在連接，無論直接還是間接，區(qū)域內(nèi)就存在著可被攻擊者利用的清晰且直接的攻擊向量。自滿3、過于迷信物理隔離自滿在一個開放網(wǎng)絡(luò)協(xié)議與無線網(wǎng)絡(luò)普天蓋地的時代，依然有人因為沒有連接到IT網(wǎng)絡(luò)而錯誤的認為存在隔離并保護著關(guān)鍵工業(yè)系統(tǒng)。而在現(xiàn)實中，由于網(wǎng)絡(luò)攻擊已經(jīng)超越了物理連線，在防御網(wǎng)絡(luò)攻擊時，即使是真實的隔離裝置也幾乎無用的。許多并沒有經(jīng)過專門設(shè)計來支持無線網(wǎng)絡(luò)通信的資產(chǎn)具有在微處理級潛入的WIFI功能，可以從訓(xùn)練有素的網(wǎng)絡(luò)恐怖分子到了解無線技術(shù)的不滿人員工等攻擊者所利用。此外，威脅非常有可能通用人類載體的幫助跨過隔離裝置進入關(guān)鍵網(wǎng)絡(luò)。其他未知的傳輸技術(shù)。。。錯誤配置如果自滿是意識層面的問題，那錯誤配置是實施層面的問題錯誤配置據(jù)研究表明，配置漏洞占工控系統(tǒng)漏洞利用的16%。使用默認賬號密碼使用默認賬號密碼安全策略設(shè)置了卻忘記維護了執(zhí)行重載邊界控制中缺乏出站監(jiān)控或策略錯誤配置1、默認賬號與密碼錯誤配置攻擊最初階段都包含枚舉合法系統(tǒng)默認賬號密碼攻擊最初階段都包含枚舉合法系統(tǒng)默認賬號密碼是一個確定攻擊可以利用的漏洞的必要過程。獲得默認賬戶密碼，系統(tǒng)即非常脆弱獲得默認賬戶密碼，系統(tǒng)即非常脆弱攻擊者不管是外部人員還是內(nèi)部人員，都可以很容易得到認證。時已非常脆弱而處于風(fēng)險之中簡單的錯誤配置抵消一個特定的安全設(shè)備所有功能簡單的錯誤配置抵消一個特定的安全設(shè)備所有功能簡單的錯誤配置可以抵消一個特定的安全設(shè)備所有功能（比如防火墻上采用默認密碼），將整個區(qū)域暴露出來，而錯誤配置的主機一旦被攻破，就可以在網(wǎng)絡(luò)上提供不受約束的滲透于傳播。但值得慶幸的是，這是問題是可以被安全設(shè)備檢測出來的。錯誤配置2、出站安全與監(jiān)控的缺失錯誤配置外部攻擊為入站事件，另外也會存在內(nèi)部攻擊者，包括不滿的員工或“受信任的”第三方。有許多破壞會導(dǎo)致惡意軟件的感染與傳播，這些惡意軟件通常會試圖回至一個公網(wǎng)IP，因此，在進、出兩個方向上強制執(zhí)行訪問控制與流量限制是至關(guān)重要的。根據(jù)攻擊的復(fù)雜性，出站連接可能隱藏的很好，但是如果防火墻與IPS策略只允許一個方向通信，那便沒事。另外監(jiān)控同樣重要，即使邊界安全策略嚴格到足以攔截惡意的出站通信，但是從內(nèi)部發(fā)起的通信表明你的網(wǎng)絡(luò)內(nèi)有惡意實體（用戶或惡意軟件），那么安全監(jiān)控會向你報警，也會幫組指出攻擊是從哪發(fā)起的。內(nèi)部攻擊、員工 出站：訪問

入站：攻擊受信任第三方 黑客邊界防護行為監(jiān)控3、執(zhí)行重載

錯誤配置為了方便工業(yè)業(yè)務(wù)運行，滿足特殊業(yè)務(wù)的需求，而設(shè)置的一個故意策略，允許不是用于重要用途的數(shù)據(jù)流量通過邊界防護。營銷部門為了方便做金融與貿(mào)易分析，在業(yè)務(wù)網(wǎng)（最不安全的網(wǎng)絡(luò)區(qū)域）可以實時獲取生產(chǎn)一線的產(chǎn)品產(chǎn)量、品質(zhì)及生產(chǎn)效率等實時數(shù)據(jù)信息。形成了駐留關(guān)鍵區(qū)域的直接攻擊向量單向網(wǎng)關(guān)、數(shù)據(jù)二極管信息安全常見的陷阱與誤區(qū)信息安全常見的陷阱與誤區(qū)錯誤配置4、遺忘--設(shè)置了去又忘記了錯誤配置工業(yè)網(wǎng)絡(luò)安全策略配置完了，就萬事大吉了？工業(yè)網(wǎng)絡(luò)安全不是一個產(chǎn)品，不是一次性的工程，而是一個循環(huán)的處理過程。評估安全基線配置核評估安全基線配置核查安全策略調(diào)整安全配置鎖定安全策略改進，以確保沒有被員、不滿的內(nèi)部員工或攻擊者為了更深層次滲透網(wǎng)絡(luò)，而修改防御策略；---識別并適應(yīng)新的威脅類型，包括新的零日漏洞攻擊、新的社會工程學(xué)計劃以及由新技術(shù)帶來的攻擊；---增加新的安全控制，并調(diào)整現(xiàn)有控制的配置，使其以持續(xù)的方式確保風(fēng)險最小化。信息安全常見的陷阱與誤區(qū)信息安全常見的陷阱與誤區(qū)合規(guī)與安全這是一個常見的陷阱：如在合規(guī)審計準(zhǔn)備階段，致力于獲得必要的文件以得到“合規(guī)核對框”，而不是標(biāo)準(zhǔn)的安全目的。合規(guī)與安全為了合規(guī)審計不是標(biāo)準(zhǔn)的安全目的合規(guī)控制是為了保證組織安全措施，以保護敏感材料、系統(tǒng)或服務(wù)，而制定的指導(dǎo)方針或規(guī)定。盡管合規(guī)控制是出于美好的意圖設(shè)計出來的，但是有時他們會影響到其要盡力保證的安全過程。為了合規(guī)審計不是標(biāo)準(zhǔn)的安全目的合規(guī)與安全1、審計材料合規(guī)與安全為合規(guī)而采集事件日志對安全不會有所幫助為合規(guī)而采集事件日志對安全不會有所幫助不能完全證明也不能駁斥持續(xù)的安全實踐是好的、壞的、有效的、成功的或完整的。為滿足合規(guī)，不關(guān)注安全，很容易會出問題為滿足合規(guī)，不關(guān)注安全，很容易會出問題當(dāng)以提供合規(guī)證據(jù)為主要目標(biāo)以滿足安全次要目標(biāo)來實施時，便會出問題了為了安全而進行的審計行為，才是更為安全的。應(yīng)為了安全首先設(shè)計和實施安全措施，由此產(chǎn)生的日志與文檔應(yīng)滿足標(biāo)準(zhǔn)和審計的需求，這樣網(wǎng)絡(luò)才會變得更加安全。合規(guī)與安全2、一周合規(guī)窗口合規(guī)與安全合規(guī)審計的安全分析師，通常只是兼任。合規(guī)審計的安全分析師，通常只是兼任。以他任，將他們的注意力從實時、日常的安全操作中移開。審計完后，員工被分配到他們原來的崗位，如一切順利，組織將保持合規(guī)知道下一次審計發(fā)生。新系統(tǒng)實施、新補丁更新等只有下一個審計周期才能被發(fā)現(xiàn)。新系統(tǒng)實施、新補丁更新等只有下一個審計周期才能被發(fā)現(xiàn)。略與實踐不符。這些錯誤將被忽視或無視，直到下一個審計周期的到來。工業(yè)網(wǎng)絡(luò)不是孤立的系統(tǒng)工業(yè)網(wǎng)絡(luò)不是孤立的系統(tǒng)范圍和規(guī)模還一個常見的錯誤是在嘗試確?？刂葡到y(tǒng)安全時認為工業(yè)網(wǎng)絡(luò)是一個孤立的系統(tǒng)。盡管曾經(jīng)與組范圍和規(guī)?？椫械钠渌到y(tǒng)物理隔離，但是現(xiàn)在的工業(yè)與自動化系統(tǒng)依賴并深受許多其他系統(tǒng)的影響。工業(yè)網(wǎng)絡(luò)需要動態(tài)的評估工業(yè)網(wǎng)絡(luò)需要動態(tài)的評估工業(yè)控制系統(tǒng)必須被當(dāng)作動態(tài)的系統(tǒng)進行評估（至少為了安全目的），如果對來自外界的影響與未預(yù)見的增長沒有充分的計劃，即使是最完美的計劃在實施后也會失敗的。范圍和規(guī)模1、工程限制的思考范圍和規(guī)模安全不是限定范圍和限定目標(biāo)的一次性工程安全不是限定范圍和限定目標(biāo)的一次性工程信息安全領(lǐng)域兩個公理：安全是處理過程，不是產(chǎn)品； 每個門都是后門。能存在一種傾向：實施邊界防御，鎖定配置，然后就認為工作完成了。工業(yè)網(wǎng)絡(luò)深受外圍網(wǎng)絡(luò)的影響工業(yè)網(wǎng)絡(luò)深受外圍網(wǎng)絡(luò)的影響