2022工业控制系统安全威胁白皮书-国利网安_21页_9mb

浙江国利网安科技有限公司与工业控制系统信息安全技术国家工程研究中心联合发布的《工业控制系统安全威胁白皮书-2022》系统梳理了工业控制系统（ICS）面临的安全挑战及防护策略。白皮书指出，随着工业数字化转型，ICS广泛接入互联网，原有封闭性被打破，导致新型安全威胁频发。例如“震网”病毒事件、TRITON攻击等均引发重大物理破坏，凸显ICS安全的重要性。国家已通过等保2.0标准、关键信息基础设施保护要求等政策推动构建安全保障体系。

一、工业控制系统信息安全概述
定义为通过计算机系统防御措施确保系统资源免受非授权访问、修改和破坏，重点在于保障工业生产过程的可靠性，区别于传统IT系统侧重数据保护。典型架构分为企业管理层、生产管理层、过程监控层、现场控制层和现场设备层，各层部署了ERP、SCADA、DCS、PLC等专用系统。ICS面临从网络渗透攻击到物理破坏的多样化威胁，其危害不仅造成数据损失，更可能导致生产中断、设备损毁，甚至引发社会和环境问题。

二、工业控制系统杀伤链模型
基于洛克希德·马丁网络杀伤链理论，结合ICS特性提出包含8个阶段的模型：目标侦察、武器化、载荷投送、漏洞利用、安装植入、后门控制、目标行动、毁伤。与传统IT系统杀伤链相比，ICS更关注对生产过程的物理破坏。攻击者通过渗透系统后，可能篡改现场设备参数或控制系统逻辑，如TRITON攻击可替换SIS系统逻辑代码，导致设备失控；“震网”病毒则通过修改离心机控制程序实现物理破坏。

三、主要安全威胁分析

1. 现场设备毁伤：通过配置参数篡改或控制指令干扰导致设备故障，如伊朗钢铁厂故障引发火灾、乌克兰电网攻击致停电。
2. 控制系统毁伤：攻击上位机或控制器导致控制逻辑紊乱，如ColonialPipeline被勒索软件攻击致油气管网停运。
3. 协议缺陷：PROFIBUS、ModbusTCP等协议存在认证绕过、功能码滥用等问题，2021年CISA通报的OpENerEtherNet/IP协议栈漏洞可引发DoS、数据窃取等攻击。
4. 已知漏洞软件：西门子PLC、罗克韦尔自动化设备等存在的高危漏洞（如CVE-2021-27478）因补丁更新滞后成为攻击入口。
5. 恶意软件：WannaCry勒索病毒因未及时打补丁导致全球30万台设备感染，僵尸网络通过伪装合法程序渗透系统。
6. 社会工程学攻击：针对人员的钓鱼邮件、水坑攻击等手段可绕过技术防护，如APT33组织通过恶意Office文档实施攻击。
7. 洪泛攻击：通过发送海量数据包导致系统过载，2019年sPower电力供应商遭DDoS攻击致供电中断。
8. 中间人攻击：利用未加密协议（如S7通信协议）截取或篡改数据，实现对控制系统操控。
9. 无线端攻击：通过非法接入点或信号干扰窃取数据，如澳大利亚污水处理厂事件致100万公升污水直排环境。

四、安全防护解决方案

1. 攻击前段防护：

   • 资产测绘：通过普查和风险感知识别系统漏洞及攻击特征。
   • 入侵检测：建立专用工控入侵行为检测库，采用多维检测提升防护能力。
   • 漏洞识别：基于知识图谱技术实现漏洞快速定位。
   • 态势感知：结合机器学习构建工控指纹字典，主动探测异常行为。

2. 攻击中段防护：

   • 边界防护：实施访问控制策略，限制OPC、Modbus协议通信流量。
   • 控制行为安全：通过规则树模型实现控制指令的语义识别与异常检测。
   • 工业主机防护：采用白名单机制、系统加固等技术防范恶意程序运行。
   • 轻量级密码技术：针对资源受限环境设计低功耗加密方案。

3. 攻击后段防护：

   • 控制器防护：通过组态快照回滚、双重检验技术实现应急恢复。
   • 工业主机备份：定期备份系统数据，缩短恢复时间。

白皮书指出2010-2022年工控漏洞数量逐年攀升，拒绝服务类漏洞占比最高，凸显防护体系构建的紧迫性。解决方案强调分阶段防护策略，需结合ICS独特性设计专用安全技术，以保障工业生产的稳定性和安全性。