工业安全国家联合实验室发布工业信息安全态势报告

2月1日，2018工业互联网峰会在北京国家会议中心举办。会上，工业控制系统安全国家地方联合工程实验室、360威胁情报中心发布《IT/OT一体化的工业信息安全态势报告(2017)》(以下简称“态势报告”)。

《IT/OT一体化的工业信息安全态势报告(2017)》发布

态势报告阐述了IT/OT一体化融合带来的安全挑战，分析了2017工业信息安全重大事件以及大量工业信息系统应急响应典型案例，并提出工业信息安全建议。

随着IT/OT(信息技术和操作技术)一体化的逐步推进，工业控制系统越来越多地与企业网和互联网相连接，形成了一个开放式的网络环境。工控系统网络化发展导致了系统安全风险和入侵威胁不断增加，面临的网络安全问题也更加突出。由于工控网络系统环境的特殊性，传统的IT信息安全技术不能直接应用于工业控制网络的安全防护。然而，工业控制系统又应用于国家的电力、交通、石油、取暖、制药等多种大型制造行业，一旦遭受攻击会带来巨大的损失，因此需要有效的方法确保工控系统的网络安全。

安全漏洞，是工业控制系统面临的首要安全问题。根据美国工业控制系统网络紧急响应小组(ICS-CERT)最新统计报告，2015年漏洞总数为486个，2016年美国关键基础设施存在492个安全漏洞。根据公开的ICS漏洞数的年度变化趋势来看，工控安全漏洞逐年增加。

自2000年1月截止到2017年12月，根据我国国家信息安全漏洞共享平台(CNVD)统计，所有的信息安全漏洞总数为101734个，其中工业控制系统漏洞总数为1437个。2017年CNVD统计的新增信息安全漏洞4798个，工控系统新增漏洞数351个，均比去年同期有显著增长;其中，高危漏洞占比最高，达到53.6%。中危漏洞占比42.4%，其余4.0%为低危漏洞。

根据态势报告的分析，对于传统IT网络安全，保密性优先级最高，其次是完整性、可用性。工业网络则有明显的不同，工业网络更为关注的是系统设备的可用性、实时性。由于IT系统和OT系统之间存在的众多差异，当工业互联网的IT/OT进行融合时会带来很多安全挑战，包括暴露在外的攻击面越来越大，操作系统安全漏洞难以修补，软件漏洞容易被黑客利用，恶意代码不敢杀、不能杀，DDOS攻击随时可能中断生产，高级持续性威胁时刻环伺等。

此外，一些安全挑战还来源于工业系统自身安全建设的不足，诸如工业设备资产的可视性严重不足，很多工控设备缺乏安全设计，设备联网机制缺乏安全保障，IT和OT系统安全管理相互独立操作困难，生产数据面临丢失、泄漏、篡改等安全威胁。

在国际市场中，2017年OT安全全球市场规模102.4亿美元，2022年将达到138.8亿美元，年均复合增长率为6.3%;利润率高，市场渗透度为5%-20%;Gartner市场趋势预测：到2020年，50%的OT服务供应商将与IT供应商建立合作伙伴关系。Gartner认为，OT安全对关键基础设施、智能楼宇、工厂管理、医疗和零售行业等资产密集型或资产中心化的组织是非常有用的。

在工业安全2018-2020行动计划中，通过对MarketsandMarkets、Credence Research、和讯网、工控安全蓝皮书等的统计分析，国内市场2018工控安全市场保守预计在4.4亿。

业内分析，IT/OT一体化发展趋势为：IT和OT分离管理的情况将会打破;基于以太网的尽力交付模型将不再适用;开始考虑时间敏感网络(TSN)自底向上打通;数字孪生。

工业信息安全建议与展望

为促进工控网络安全健康发展，工业信息安全态势报告也提出了相关建议：

(一) 建立网络安全滑动标尺动态安全模型

该标尺模型共包含五大类别，分别为架构安全(Architecture)、被动防御(Passive Defense)、积极防御(Action Defense)、威胁情报(Intelligence)和进攻反制(Offense)。这五大类别之间具有连续性关系，并有效展示了防御逐步提升的理念。

架构安全：在系统规划、建立和维护的过程中充分考虑安全防护;

被动防御：在无人员介入的情况下，附加在系统架构之上可提供持续的威胁防御或威胁洞察力的系统，如：工业安全网关/防火墙、工业主机防护、工业审计等;

积极防御：分析人员对处于所防御网络内的威胁进行监控、响应、学习(经验)和应用知识(理解)的过程;

威胁情报：收集数据、将数据利用转换为信息，并将信息生产加工为评估结果以填补已知知识缺口的过程;

进攻反制：在友好网络之外对攻击者采取的直接行动(按照国内网络安全法要求，对于企业来说主要是通过法律手段对攻击者进行反击)。通过以上几个层面的叠加演进，最终才能够实现进攻反制，维护工业互联网的整体安全。

(二) 从安全运营的角度，建立企业的工业安全运营中心

在IT和OT一体化推进发展中，IT技术在OT领域大量使用，IT所面对的风险也跟随进入了OT网络，因此工业企业对这两个应用角度都要识别风险的切入点，列举相关的风险，并且要进行一体化的规划。

工业安全运营中心(IISOC)基于威胁情报和本地大数据技术对工控系统通信数据和安全日志进行快速、自动化的关联分析，及时发现工控系统异常和针对工控系统的威胁，通过可视化的技术将这些威胁和异常的总体安全态势展现给用户，通过对告警和响应的自动化发布、跟踪、管理，实现安全风险的闭环管理。威胁情报、威胁检测、深度包解析、工业大数据关联分析、可视化展现、闭环响应实现以工业安全运营为中心的一体化防护体系。安全运营目的是解决越来越多的安全产品部署在网络中形成的“安全防御孤岛”问题。

(三) 组建IT&OT融合的安全管理团队

组建IT&OT融合的信息安全管理团队，对整个工业控制系统进行安全运营。对安全管理团队进行必要的指导，根据具体场景建立合适的安全策略管理和响应恢复机制，及时应对安全威胁。企业要想成功部署工业网络安全项目，需重视同时掌握信息技术(IT)和操作技术(OT)的人才，有的放矢。订购安全服务和威胁情报，定期对安全管理团队进行培训，建立IT、OT的安全统一规划，使得安全管理团队成员尽量利用统一标准进行安全事件的处理。

(四) 在技术层面提高防护能力

终端层面：针对CNC等老旧设备，部署轻量级白名单(系统进程)的防护措施;针对性能好的生产设备，部署统一的终端杀毒软件，如360天擎;移动介质，例如U盘，进行统一管控(主机防护)。

网络层面：横向分区、纵向分层，将办公网、工控网、生产网有效划分;网络边界处部署安全网关，最小权限原则：只开放必要端口，进行精细化访问管控。

监控层面：摸清资产家底，集中统一管理，并精心维护;部署工业安全运营中心，对公司网络安全状况进行持续监测与可视化展现。

可恢复性(备份层面)：针对CNC等老旧设备，定期请工控厂商进行系统备份;针对性能好的办公和生产电脑，定期自行进行系统和数据备份。

【工业控制系统安全国家地方联合工程实验室简介】

工业控制系统安全国家地方联合工程实验室(简称：工业安全国家联合实验室)”是由国家发展与改革委员会批准授牌成立，由360企业安全集团承建的对外开放的工业控制安全技术方面的公共研究平台。实验室依托360企业安全的安全能力和大数据优势，联合公安三所、信通院、国家工业信息安全发展研究中心、中科院沈阳自动化所、东北大学等科研院所及大学。实验室现拥有软件著作权7项，专利11项，创新地提出了工业互联网自适应防护架构(PC4R)，推出了工业主机防护、工业防火墙/网关、工业审计、工业态势感知与监测预警平台、工业安全运营中心等工业安全领域完整解决方案及产品，并在众多央企和工业企业中进行应用。