中国工业互联网安全应急响应和产业态势分析报告（2018）

中国工业互联网安全应急响应和产业态势分析报告（2018） 工业控制系统安全国家地方联合工程实验室2019.3 主要观点  勒索病毒攻击已经成为工业企业面临的最大安全问题之一，勒索病毒导致工业互联网企业停产的事件频繁发生。系统暴露，系统漏洞，远程维护成为勒索病毒入侵的主要原因。勒索病毒的流行彻底打破了“一般互联网安全威胁对工业系统是无害的”这个传统认知。 1）从问题和现象上看：企业遭受攻击后的现象多为蓝屏、重启、勒索；病毒多为“永恒之蓝”蠕虫变种、挖矿蠕虫；蠕虫病毒普遍利用MS17-010漏洞进行大面积传播； 2）从行业分布上看：当前感染蠕虫病毒的企业多为智能制造、钢铁、烟草等行业的企业； 3）从根本原因分析上看：工业环境缺乏基本的安全防护为最主要原因。 病毒攻击的目标为主机，而工业主机基本处于裸奔状态；其次网络结构划分不当，缺乏边界防护和网络流量监测手段；再次就是安全管理的问题，包括补丁管理、移动介质使用、第三方运维准入、网络资产台账、人员管理、安全意识提升等等多个方面。  建立低位、中位、高位能力“三位一体”的工业互联网信息安全产品体系将成为产业未来发展的重要趋势。 工业互联网信息安全市场产品结构可从低到高分为三层：防护监测层、安全运营层、态势感知层。这三层产品分别实现不同的安全功能，三层产品进行数据、指令、威胁情报的流动，实现协同联动的整体防护效果。其中数据从低到高流动，威胁情报从高到低赋能。  梳理工业资产，重点关注工业主机资产，做好工业主机防护。 值得关注的是，近一年来国内在汽车、电子制造、钢铁冶炼、机械加工、微电子等行业发生的数起工业安全事件，八成首先攻击或影响的是工业主机，只有二成是其他原因，利用好这个二八定律，从工业主机开始构建工业互联网安全防护体系，将取得“最高费效比”实现“事半功倍”。 摘要  病毒攻击的目标为主机，而工业主机基本处于裸奔状态；  传统的安全防御产品已逐渐乏力、无法有效应对越来越严重的安全威胁，构建层次清晰、定位明确、融合联动的工业互联网信息安全产品体系将成为产业未来发展的重要趋势；  工业互联网信息安全市场产品结构可从低到高分为三层：防护监测层、安全运营层、态势感知层；  防护监测层产品处于产品体系功能层级的最低层，此类产品进行数据采集，在发现威胁或接到上层安全运营类产品命令时实施处置，具备简单的分析功能；  安全运营层产品处于产品体系功能层级的中层，此类产品技术核心是威胁情报利用、安全可视化、大数据处理技术；  安全态势感知层产品处于产品体系功能层级的最高层，此类产品主要部署在政府主管部门或大型企业集团总部，负责对辖区和主管范围内的主要工业企业进行态势感知和安全监管。  梳理工业资产，重点关注工业主机资产，做好工业主机防护；  持续监测生产风险；  统筹规划，合力发展；  顶层设计，标准推动；  重视人才，培养高端。 关键词：勒索病毒；高中低位能力；工业主机防护 目 录 研究背景 ........................................................................................................................................... 1 第一章 工业互联网安全应急响应典型案例及总结 ...................................................................... 2 一、 奇安信在工业安全应急响应中的典型案例 ...................................................................... 2 （一） 某知名汽车零部件生产企业遭受“永恒之蓝”勒索病毒攻击 .................................... 2 （二） 某大型炼钢厂遭受挖矿蠕虫病毒攻击 ...................................................................... 3 （三） 某卷烟厂遭受蠕虫病毒攻击 ..................................................................................... 3 （四） 某半导体制造企业遭勒索软件攻击 .......................................................................... 4 二、 工业互联网安全应急响应案例总结 .................................................................................. 4 (一) 勒索病毒主要攻击目标瞄准工业主机 .......................................................................... 4 (二) 构造完善的工业安全产业体系 ..................................................................................... 5 第二章 工业互联网安全产业态势 ................................................................................................. 6 一、 工业互联网安全产业结构 ................................................................................................. 6 （一） 高中低位能力安全产品体系 ..................................................................................... 6 （二） 防护监测层产品 ........................................................................................................ 6 （三） 安全运营层产品 ........................................................................................................ 6 （四） 安全态势感知层产品 ................................................................................................ 7 二、 GARTNER关于OT市场的分析 .......................................................................................... 7 第三章 工业互联网安全发展建议 ................................................................................................. 9 一、 对工业企业的建议 ............................................................................................................ 9 二、 对安全服务机构的建议 ..................................................................................................... 9 三、 对政府主管部门的建议 ................................................................................................... 10 附录一 工业互联网安全事件 ......................................................................................................... 11 一、 美国通报“熔断”和“幽灵”高危漏洞................................................................................. 11 二、 台积电三大基地疑遭勒索软件攻击停摆 ........................................................................ 11 三、 英国2700 万能源智能电表存在安全漏洞 ...................................................................... 11 四、 美国天然气输气管道电子系统遭受供应链攻击 ............................................................. 12 五、 伊朗机场显示屏幕遭受黑客攻击.................................................................................... 12 六、 俄罗斯400多家工业企业遭遇网络钓鱼攻击................................................................. 12 七、 乌克兰国防系统密码竟为初始密码“123456” ................................................................. 13 八、 某市北控水务集团远程数据监测平台遭到黑客攻击 ..................................................... 13 附录二 工业控制系统安全国家地方联合工程实验室 ................................................................... 14 1 研究背景 在政策与技术的双轮驱动下，工业控制系统正在越来越多地与企业内网和互联网相连接，并与新型服务模式相结合，逐步形成了工业互联网架构。工业互联网是数字浪潮下，工业体系和互联网体系的深度融合的产物，是新一轮工业革命的关键支撑。工业互联网的发展一方面极大的促进了生产效率和服务水平的提高，另一方面也使原本封闭的系统变得越来越开放，致使系统安全风险和入侵威胁不断增加，网络安全问题日益突出。 工业互联网目前已经广泛应用于电力、交通、石油、取暖、制造业等关键信息基础设施领域，一旦发生安全事件，往往会造成巨大的损失和广泛的影响。但是，由于工业互联网环境的特殊性，传统的IT信息安全技术并不能完全有效的保护工业系统的安全，甚至很多常用的安全技术都不能直接应用于工业网络的安全防护。对于工业互联网安全的分析与防护，需要使用一些专门的方法和专用的技术。 工业控制系统安全国家地方联合工程实验室（以下简称“联合实验室”）于2017年发布《IT/OT一体化工业信息安全态势报告》，总结分析IT/OT融合带来的新