2018年-360研究报告_2017年度ITOT一体化的工业信息安全态势报告2017_37页_2mb

IT/OT一体化的工业信息安全管理报告总结

核心内容概述

本报告由工业控制系统安全国家地方联合工程实验室与360威胁情报中心联合发布，主要探讨了IT/OT一体化带来的工业控制系统安全挑战与应对策略。随着工业互联网、智能制造等技术的发展，工业控制系统与IT系统的融合趋势日益明显，但这也导致了网络安全风险的显著增加。报告分析了2017年国内外工业控制系统安全事件，提出了建立动态安全模型、安全运营中心（IISOC）及安全管理团队等建议，并总结了国内外在工控安全方面的政策与标准发展。

主要观点与关键信息

IT/OT一体化带来的新挑战

• 网络攻击风险增加：IT/OT融合使得工业控制系统与互联网互联，导致攻击面扩大，网络安全威胁从虚拟世界延伸到现实世界。
• 安全优先级不同：传统IT系统以保密性为核心，而工业控制系统更关注可用性与实时性，因此其安全需求与实现方案有显著差异。
• 设备老旧与漏洞：大量工业设备长期未更新，存在大量未修复的漏洞，成为攻击者的目标。
• 安全防护不足：工业系统内部资产可视性不足，缺乏安全设计，设备联网机制缺乏安全保障，IT与OT系统管理相互独立，造成安全互操作困难。
• 数据安全威胁：生产数据面临丢失、泄露、篡改等风险，尤其是在智能制造与物联网的背景下。

工业信息安全建议与展望

• 建立动态安全模型：提出“网络安全滑动标尺”动态安全模型，包含五大类别：架构安全、被动防御、积极防御、威胁情报、进攻反制。
• 设立工业安全运营中心（IISOC）：建议企业设立IISOC，统一管理IT与OT系统的安全风险，实现一体化规划。
• 组建IT&OT安全管理团队：强化跨部门协作，提升工业系统整体安全水平。
• 提升技术防护能力：加强终端、网络、监管和数据备份等层面的防护措施。

2017年工业信息安全重大事件

八大重点安全事件

1. 永恒之蓝（WannaCry）勒索病毒

   • 利用Windows 445端口漏洞，大规模传播，影响全球上千家企业及公共组织，导致生产中断与数据丢失。
   • 引发对工控系统安全防护的高度重视。

2. 我国发现新型物联网僵尸网络HTTP81

   • 感染超过5万台网络摄像头，具备强大的DDoS攻击能力，威胁互联网基础设施。
   • 提醒加强物联网设备的安全维护与更新。

3. 类Petya勒索病毒席卷欧洲

   • 传播速度快，利用“管理员共享”功能，影响政府、银行、电力等关键领域。
   • 强调对勒索病毒的防范与响应机制的重要性。

4. 美国供水设施网络瘫痪

   • 前员工因报复行为导致供水设施瘫痪，暴露了员工安全管理与设备暴露的风险。
   • 强调加强员工安全意识与设备访问控制。

5. 印度ISP遭受BrickerBot攻击

   • 恶意软件BrickerBot导致大量调制调解器掉线，影响宽带连接。
   • 提醒对非安全设备的使用与管理需更加谨慎。

6. 瑞典交通机构遭受DDOS攻击

   • 导致列车订单系统瘫痪，影响旅客出行。
   • 强调对网络流量与访问控制的重视。

7. 巴西银行发现恶意软件攻击

   • 恶意软件PRILEX专攻ATM系统，窃取用户信息。
   • 提醒加强HTTPS与DNS安全配置，以及双因子身份验证。

8. 恶意软件TRITON攻击能源关键信息基础设施

   • 针对施耐德电气的Triconex安全仪表系统，威胁能源安全。
   • 表明攻击者开始针对工业领域最核心的安全保护系统。

工业信息安全标准与政策动向

国际标准与政策

• 美国

  • 纽约州金融服务部颁布更严格的网络安全监管规则，适用于金融机构。
  • 特朗普签署行政令，要求加强联邦政府与关键基础设施的网络安全防护。
  • NIST发布《改进关键信息基础设施网络安全框架》第二稿，以提升网络安全框架的适用性与实用性。

• 澳大利亚

  • 发布修订版《国家网络安全战略》，强调网络安全行业的发展与合作。
  • 发布《关键基础设施安全法草案2017》，加强关键基础设施的管理与保护。

• 韩国与新加坡

  • 韩国颁布《国家网络安全法案》，设立网络安全委员会，明确责任机构。
  • 新加坡发布《网络安全法案2017》草案，强调国际合作与安全信息共享。

国内政策与标准

• 工信部

  • 印发《信息通信网络与信息安全规划（2016-2020）》，明确以网络强国战略为指导。
  • 发布《工业控制系统信息安全事件应急管理工作指南》，规范应急响应流程。

• 国家互联网信息办公室

  • 发布《网络产品和服务安全审查办法（试行）》，加强采购安全审查。
  • 发布《关键信息基础设施安全保护条例（征求意见稿）》，强调重点保护。

• 《中华人民共和国网络安全法》

  • 正式实施，明确关键信息基础设施范围，强化个人信息保护，规定对境外攻击的惩治措施。

工业信息安全行业动态

• Gartner技术成熟度曲线：OT安全进入低谷期，预计在2018年进入稳步爬升的光明期。
• 市场趋势预测：
  • 到2019年，65%的企业将由CIO负责OT安全。
  • 到2020年，50%的OT服务供应商将与IT供应商建立合作伙伴关系。
  • 数字孪生与时间敏感网络（TSN）将成为未来OT安全的重要方向。
• 市场增长：
  • 国内工控安全市场预计在2018年达到4.4亿元。
  • 国际OT安全市场规模预计从2017年的102.4亿美元增长至2022年的138.8亿美元，年均复合增长率6.3%。

总结

工业控制系统安全正面临前所未有的挑战，IT/OT一体化推动了效率提升，但也引入了网络安全风险。企业需加强安全意识，完善安全防护体系，提升应急响应能力。国内外在工控安全政策与标准上均有所进展，为工业信息安全提供更坚实的保障。未来，随着技术的不断发展，工业安全将成为更加重要的话题，行业将朝着更高效、更安全的方向发展。