2017年度ITOT一体化的工业信息安全态势报告_37页-2mb

IT/OT一体化的工业信息安全态势报告（2017）总结

核心内容

本报告由工业控制系统安全国家地方联合工程实验室与360威胁情报中心联合发布，分析了2017年工业控制系统在IT/OT一体化趋势下所面临的安全挑战，并提出了相应的改进建议。报告指出，随着工业互联网的发展，工业控制系统（ICS）与IT系统之间的融合，使得传统IT安全技术难以直接应用，带来了新的安全问题。

主要观点

IT/OT一体化带来的新挑战

1. 攻击面扩大：随着IT与OT的融合，工业控制系统暴露在互联网上的端口和设备增多，攻击面也随之扩大。
2. 漏洞修补困难：工业系统常使用过时操作系统和软件，缺乏及时补丁更新，使得安全漏洞难以修复。
3. 恶意代码威胁：病毒和恶意软件在工控系统中传播，且由于工控系统缺乏杀毒软件，威胁更加严重。
4. DDoS攻击风险：拒绝服务攻击对工业系统造成严重影响，可能中断生产流程，甚至导致设备瘫痪。
5. 高级持续性威胁（APT）：攻击者利用社会工程学和隐蔽手段，对关键工业系统进行长期渗透和破坏。
6. 系统自身安全建设不足：包括资产可视性差、安全设计缺失、联网机制不安全、IT与OT管理分离、生产数据面临丢失、泄露和篡改等风险。

安全建议与展望

1. 建立网络安全滑动标尺动态安全模型：涵盖架构安全、被动防御、积极防御、威胁情报和进攻反制五个类别，体现安全防护的动态性。
2. 建立工业安全运营中心（IISOC）：整合IT与OT安全管理，统一识别和应对风险。
3. 组建IT&OT融合的安全管理团队：提升整体安全运营能力，实现跨系统协作。
4. 提升技术防护能力：包括终端、网络、监管、数据恢复等层面，加强防护机制。

关键信息

工业控制系统漏洞现状

• 全球漏洞数量：根据ICS-CERT数据，2015年漏洞总数为486个，2016年增至492个。
• 国内漏洞数量：CNVD统计显示，截至2017年底，工控系统漏洞总数为1437个，2017年新增351个，其中高危漏洞占比达53.6%，中危漏洞占42.4%。
• 主要厂商漏洞分布：Siemens漏洞最多，达197个，其次是Schneider（117个）。

工控系统暴露情况

• 2017年下半年，全球和国内暴露在互联网上的工控设备数量明显上升。
• 部分设备因配置不当或管理不善，暴露在互联网上，增加了被攻击的风险。

工业信息安全风险分析

• IT与OT系统差异：IT系统关注保密性、完整性、可用性，而OT系统更关注可用性、实时性。
• 设备老旧与维护不足：很多工业设备使用年限长，缺乏维护和升级，易受攻击。
• 安全设计缺失：部分设备缺乏安全机制，如身份验证、访问控制等。
• 联网机制不安全：设备与互联网连接方式不规范，易被攻击。
• IT与OT管理分离：缺乏统一的安全管理机制，导致安全漏洞难以及时发现和修复。
• 数据安全威胁：生产数据面临丢失、泄露和篡改等风险，影响企业运营和国家安全。

2017年重大工业安全事件

1. WannaCry勒索病毒：影响全球多个国家和企业，造成大规模生产中断。
2. HTTP81僵尸网络：攻击大量物联网设备，具备强大的DDoS攻击能力。
3. 类Petya勒索病毒：席卷欧洲，影响政府、银行、能源等多个行业。
4. 美国供水设施瘫痪：由个人恶意攻击导致，造成严重影响。
5. BrickerBot攻击：影响印度ISP，导致大量设备“砖化”。
6. 瑞典交通机构DDoS攻击：影响列车订单系统，造成服务中断。
7. 巴西银行恶意软件攻击：攻击ATM设备，窃取用户信息。
8. TRITON攻击能源系统：首次攻击核心安全保护系统，具有极强破坏力。

国内外政策与标准

国际政策与标准

• 美国：DFS发布网络安全监管规则，强化金融机构安全义务；特朗普签署行政令，推动联邦政府及关键基础设施网络安全。
• 澳大利亚：发布《国家网络安全战略》修订版，加强关键基础设施安全，推动网络安全立法。
• 新加坡：发布《网络安全法案2017》草案，加强网络安全监管。
• 英国：发布智能汽车网络安全指南，强调安全设计与防护。

国内政策与标准

• 工信部：发布《信息通信网络与信息安全规划（2016-2020）》、《工业控制系统信息安全事件应急管理工作指南》、《工业控制系统信息安全防护能力评估工作管理办法》等。
• 国家互联网信息办公室：发布《网络产品和服务安全审查办法（试行）》、《关键信息基础设施安全保护条例（征求意见稿）》等。
• 《中华人民共和国网络安全法》：于2017年6月实施，明确对关键信息基础设施和个人信息的保护。
• Gartner技术成熟度曲线：OT安全进入低谷期，预计2018年将进入稳步爬升期。

结构与内容

本报告共分为六章，包括概述、安全性现状分析、重大安全事件、应急响应典型案例、标准与政策动向、改进建议。各章节详细分析了工控系统在IT/OT一体化下的安全问题，并提供了相应的解决方案与政策建议。

总结

IT/OT一体化为工业控制系统带来了更广阔的发展空间，但也引入了新的安全挑战。工业系统更关注可用性与实时性，但其安全建设仍存在诸多不足。随着安全事件频发，各国纷纷出台政策与标准，以加强工业网络的安全防护。未来，OT安全将逐步进入稳步发展期，工业信息安全将成为保障国家安全与经济运行的重要组成部分。