2020工业互联网安全研究报告.pdf

研究报 告2020前言随着新基建逐步深入，互联网+、大数据、云计算等新一代信息技术与工业制造深度融合，工业控制系统作为工业制造的“神经中枢”，亦呈互联互通趋势。工业互联网是数字浪潮下，工业体系和互联网体系的深度融合的产物，已然成为业界共识的第四次工业革命。工业互联网的发展极大的促进了生产效率和服务水平的提高，同时打破以往人机物之间、工厂与工厂之间、企业上下游之间彼此相对独立、纯物理隔离状态，使得原本封闭的系统变得越来越开放，致使系统安全风险和入侵威胁不断增加，网络安全风险日益突出。同时，工业互联网已广泛应用于电力、交通、石油、取暖、制造业等关键信息基础设施领域，成为黑客攻击和网络战的重要目标。工业互联网的平台安全、数据安全和联网智能设备的安全问题都备受关注。一旦发生安全事件，将造成巨大的损失和恶劣的社会影响。本报告从工业互联网安全风险态势、政策法规解读、工业互联网安全上下游建设现状及典型建设案例等方面进行调研编写，为企业提供参考和指引，共同推进新基建下的工业互联网安全建设发展。魏敏敏上汽集团赤霄网络空间信息安全实验室&网络安全应急响应中心（SAIC-SRC），12 年安全从业经历，牵头负责上汽集团网络安全应急响应技术支撑平台的建设工作，参与多个安全研究课题，涉及基础架构容器安全、工业互联网安全监测体系以及智能网联应急响应等多个领域。剑思庭CIS 网络安全创新大会 5G+工业互联网/车联网安全论坛出品人,国际工控厂商网络安全负责人，IRTeam 工控安全红队创始人，从事工业控制及自动化行业 20 年，专注于制造业工控安全的渗透测试与防御建设。张鹏赛迪奇智系统安全负责人，十余年系统架构设计和安全模型搭建经验，深耕工业智能制造领域信息系统安全防御及治理，牵头完成多个工业控制系统的安全系统设计和研发工作，对工业信息化项目的网络安全防御有丰富的落地经验。出品人：尤文、鲍弘捷指导专家：魏敏敏、剑思庭、张鹏、徐钟豪编辑：武文婧、张艺设计：姚媛编者阵容FreeBuf.COM 网络安全行业门户，每日发布专业的安全资讯、技术剖析，分享国内外安全资源与行业洞见，是网络安全从业者与爱好者广泛关注的行业社区平台。FreeBuf 咨询集结安全行业经验丰富的安全专家和分析师，常年对信息安全技术、行业动态保持追踪，洞悉安全行业现状和趋势，呈现专业的研究与咨询服务。关于 FreeBuf 咨询在这里要特别感谢以下甲方安全专家参与报告编写并提供相关支持（排名不分先后）：目 录C A T A L O GCHAPTERONE第一章 新基建赋能工业互联网蓬勃发展(一)新基建概念内涵(二)工业互联网发展现状02032CHAPTERTWO第二章工业互联网发展伴生安全问题引发重视(一)工业互联网安全概念内涵(二)国内工业互联网安全风险态势(三)2020年典型工业互联网安全事件05050607081、工业互联网安全是传统网络安全的延伸2、工业互联网安全风险简介3CHAPTERTHREE第三章工业互联网安全国际对比：发展现状与政策法规(一)美国工业互联网安全发展重要举措121212131、政府层面：立法时间早、战略布局广2、技术体系：领先的技术研究和行业标准制定3、工控安全国际标准：IEC 62443标准(二)国内工业互联网安全重要举措1414141、政府层面：安全砝码伴随产业发展渐重2、技术体系：工业信息安全标准体系逐渐完善成熟4CHAPTERFOUR第四章工业互联网安全产业链发展现状(一)上游：工业企业安全建设发展161618191、工业企业安全风险态势2、工业企业网络安全投入3、工业企业网络安全产品服务需求(二)下游：工业互联网安全厂商发展2020211、安全产品/服务体系2、市场格局变化5CHAPTERFIVE第五章典型行业工业互联网安全实践分析(一)电力行业2424241、电力行业安全风险特点2、电力行业网络安全防护策略(二)钢铁行业2525251、钢铁行业安全风险特点2、钢铁行业网络安全防护策略6CHAPTERSIX第六章展望：工业互联网安全发展趋势(一)政策关联，工业互联网安全大有可为28282828(二)技术导向，工业制造转型“工业安全智造”(三)市场火热，工业安全防护产品及服务持续丰富(四)关系国计民生，国产安全厂商迎来机遇CHAPTERONE第一章 新基建赋能工业互联网蓬勃发展第一章 新基建赋能工业互联网蓬勃发展新型基础设施建设（简称:新基建），主要包括 5G 基站建设、特高压、城际高速铁路和城市轨道交通、新能源汽车充电桩、大数据中心、人工智能、工业互联网七大领域，涉及诸多产业链。新基建以新一代信息技术演化生成的基础设施，深度应用互联网、大数据、人工智能等技术进一步推动数字化转型深入、促进产业智能升级、实现融合创新等。传统基础设施主要承载物质和能量的存储和流转，其投入以钢铁、水泥、化工等物质材料为主。相比之下，新型基础设施主要承载电子数据的存储和流转，建设投入主要是通信网络（含传感终端）和计算存储设备所需的各种硅基半导体材料和微电子金属材料，因此新基建不但在物质消耗量上远少于传统基建，而且技术门槛显著提高。（一）新基建概念内涵其中，工业互联网是新基建战略的重要方向之一。工业互联网是工业+互联网的融合概念，是全球工业系统与高级计算、分析、感应技术以及互联网连接融合的一种结果，也是实现工业智能化的关键基础设施。根据工业互联网产业联盟编撰的工业互联网标准体系（2.0），工业互联网通过系统构建网络、平台、安全三大功能体系，打造人、机、物全面互联的新型网络基础设施，形成智能化发展的新兴业态和应用模式。（二）工业互联网发展现状发 力 新 基 建：F r e e B u f 2 0 2 0 工 业 互 联 网 安 全 研 究 报 告 0202截至今年10月，以下典型场景可以帮助我们一窥新基建取得的丰硕成果：中国累计开通5G基站超过70万座，终端连接数超过1.8亿个；国家电网开发的智慧车联网平台，已接入充电桩超过103万个；推进智能制造、柔性定制，全国范围内“5G+工业互联网”建设项目超过1100个。传统基建新基建5G 基建特高压大数据中心人工智能工业互联网新能源汽车充电桩城际高速铁路和城市轨道交通铁路公路机场港口水利设施图1：新基建与传统基建“铁公基”的区别0202其中网络是基础、平台是核心、安全是保障。“网络”是实现各类工业生产要素泛在深度互联的基础，包括网络互联互通体系和标识解析体系。通过建设低延时、高可靠、广覆盖的工业互联网网络基础设施，能够实现数据在工业各个环节的无缝传递，支撑形成实时感知、协同交互、智能反馈的生产模式。“平台”是工业全要素链接的枢纽，下连设备，上接应用，通过海量数据汇聚、建模分析与应用开发，推动制造能力和工业知识的标准化、软件化、模块化与服务化，支撑工业生产方式、商业模式创新和资源高效配置。“安全”则是工业互联网健康发展的保障，涉及设备安全、控制安全、网络安全、数据安全、平台安全、和应用程序安全等六个方面。通过建立工业互联网安全保障体系，能够有效识别和抵御各类安全威胁，化解多种安全风险，为工业智能化发展保驾护航。在新基建政策的强势助推下，我国工业互联网产业增加值规模持续扩大。据工信部发布的数据显示，2018 年中国工业互联网市场规模达到 5318 亿元左右。如下图所示，据测算，2019 年我国工业互联网产业增加值规模达到 3.41 万亿元，名义增速达到 22.14%，增速同比增长 2.97 个百分点。预计 2020 年，工业互联网产业增加值规模达到 3.78 万亿元，成为促进我国 GDP 增长的重要因素。此外，工业互联网与新基建的其他六大领域均可融合发展，相互促进，为经济社会发展提供新动能。工业互联网与特高压、新能源汽车充电桩融合为智能电网应用，与城际高铁融合为智能轨道交通系统。工业互联网与 5G、人工智能、大数据中心结合，可实现 5G+工业互联网应用、工业智能化应用和建立工业互联网大数据中心。CHAPTER ONE03图2：工业互联网标准体系（2.0）用户(消费者/企业用户)物理系统应用垂直行业应用(汽车、航空航天、石油化工、机械制作.)智能化生产网络化协同个性化定制服务化延伸网络平台安全网络与联接标识解析工业 APP应用程序安全平台安全数据安全网络安全控制安全设备安全资源管理与配置边缘计算数据采集图3：工业互联网产业发展预测图源 中国工业互联网产业经济发展白皮书增加值规模(万亿元)名义增速(%)年份0.0%0.00.51.01.52.02.53.03.54.05.0%10.0%15.0%20.0%25.0%30.0%20172.352.793.413.78201820192020E名义增速产业增加值规模18.61%22.14%10.99%发 力 新 基 建：F r e e B u f 2 0 2 0 工 业 互 联 网 安 全 研 究 报 告 2CHAPTERTWO第二章 工业互联网发展伴生安全问题引发重视第二章 工业互联网发展伴生安全问题引发重视1、工业互联网安全是传统网络安全的延伸随着智能制造、云制造、工业互联网等新技术的应用，制造业生产能力大幅提升的同时，工业互联网安全问题也逐渐凸显。由于工业互联网颠覆了传统的工业模式，封闭的生产线变开放，打破了过去人机物之间、工厂与工厂之间、企业上下游之间的隔离状态。相对于传统较封闭的工业生产体系，基于工业互联网的新发展模式更开放，这也意味着潜在的安全风险增加。此外，工业互联网广泛应用于工业、能源、交通、水利及市政等行业，重点领域包括电力、石油石化、钢铁、冶金、化工、天然气、先进制造、水利枢纽、铁路、城市轨道交通、民航等与国计民生紧密相关的领域。由于关系到国家命脉，此类行业一旦发生安全事件，极易持续发酵，甚至对人身安全、社会发展和国家稳定造成重大影响。随着近年来，工业以太网、5G、云计算和大数据等技术的日趋成熟，离散的工业以太网在海量的数据传输网络、庞大的云计算资源的支持下，组成广泛的物联网，同时加以工业大数据分析，进而发展为工业互联网。在此过程中，从单一的工业以太网到工业互联网实质上发生了以下变化：从相对封闭的工业生产控制网络转变为相对开放的工业互联网平台、从流入工业企业本地孤立的业务系统转变为流向外部的云端平台、从工业企业自身实施优化到依托工业互联网平台优化配置。相比于传统网络安全，工业互联网安全具备以下三个差异特点：一是防护对象扩大，安全场景更丰富。传统互联网安全更多关注网络设施、信息系统软硬件以及应用数据安全，工业互联网安全扩展延伸至工厂内部，包含设备安全（工业智能装备及产品）、控制安全（SCADA、DCS 等）、网络安全（工厂内、外网络）、应用安全（平台应用、软件及工业 APP 等）以及数据安全（工业生产、平台承载业务及用户个人信息等数据）。二是连接范围更广，威胁延伸至物理世界。传统互联网安全中，攻击对象为用户终端、信息服务系统、网站等。工业互联网联通了工业现场与互联网，使网络攻击可直达生产一线。三是网络安全和生产安全交织，安全事件危害更严重。传统互联网安全事件大多表现为利用病毒、木马、拒绝服务等攻击手段造成信息泄露或篡改、服务中断等，影响工作生活和社会活动。而工业互联网一旦遭受攻击，不仅影响工业生产运行，甚至会引发安全生产事故，给人民生命财产造成严重损失，若供给发生在能源、航空航天等重要领域，还将危害国家总体安全。（一）工业互联网安全概念内涵传统网络安全网络架构通信协议网络时延应用范围保护数据接入设备安全后果简单，网络层级少TCP/IP，安全机制较完善要求低，响应时延为秒级保障传统行业网络平台、信息系统信息数据/网络数据传统网络设备安全建设相对较成熟，安全后果在可控范围内工业互联网安全部分行业安全建设较落后，严重时会触发物理安全、人身安全等，危害更严重连续性、实时性要求高，控制网络时延为微秒级，控制周期 20-500 毫秒复杂，泛在连接控制协议 1000 种，大多缺乏安全机制关注工业互联网平台安全，保障范围广、环节多、难度大工业数据，流动方向和路径较为复杂多种工业设备，防护需求多样化表1：传统网络安全与工业互联网安全对比发 力 新 基 建：F r e e B u f 2 0 2 0 工 业 互 联 网 安 全 研 究 报 告 CHAPTER TWO052、工业互联网安全风险简介根据工业互联网产业联盟编撰的工业互联网标准体系（2.0），工业互联网安全风险来源主要包括设备安全、控制系统安全、网络安全、数据安全、平台安全、应用安全等内容。（1）设备安全工业互联网中的前端设备是很重要的数据收集端。随着智能设备的数量日渐庞大，且其自身安全防护手段薄弱，导致许多设备直接暴露于互联网，或导致设备非法受控，为承载 DDoS 功能的恶意样本进行扫描和传播提供了便利。工业互联网智能设备固件安全风险增加，更易成为工业互联网其他系统和网络的突破口。此外，值得一提的是，许多智能设备的安全问题与厂商在开发生命周期中忽略公开漏洞的排查和修复密切相关，产品质量良莠不齐容易导致各智能设备自身存在的系统与应用暴露出各种漏洞以被攻击者恶意利用。（2）控制安全控制安全具备极大的风险隐患，绝大部分工业企业安全事件均来源于此。控制安全风险来源于工控系统中使用的工控主机、工控网络、工控设备及控制协议，可能存在输入验证，许可、授权与访问控制不严格，不当身份验证，配置维护不足，凭证管理不严，加密算法过时等问题。许多工控系统研发时缺乏安全性，导致自身存在设计漏洞，投入应用流后未及时更新修复，造成可被利用漏洞较多的情况。如：企业利用陈旧的操作系统，且缺乏防护边界，容易被黑客利用进行攻击；厂家对系统和设备进行远程维护，导致生产网直接暴露在互联网上。发 力 新 基 建：F r e e B u f 2 0 2 0 工 业 互 联 网 安 全 研 究 报 告 06图4：工业互联网安全风险来源01智能传感器工业机器人智能仪表智能产品.设备安全02HMISCADAPLC.DCS/FCS控制安全工厂外网工业互联网平台(公有云,大数据分析)定制业务协同业务产品服务工厂内网工业互联网平台(私有云,数据集成应用)PLM 产品生命全周期管理MES 制造执行系统SCMAPSERPCRMPDM应用安全0403网络安全05数据安全平台安全06（3）网络安全工业互联网的核心是“互联互通”，在此过程中便会面临网络连接过程中的安全风险。数控系统、PLC、应用服务器连接形成工业网络，工业网络与办公网络连接形成企业内部网络，此外，企业内部网络与外部也会进行网络连接。在这样的背景下，攻击者研发、生产、管理、服务等各环节都可能实现对工业互联网的网络攻击和病毒传播。（4）应用安全随着工业互联网不断催生新的商业模式和工业产业生态，工业互联网相关应用无论从数量还是种类将会出现迅速增长。支撑工业互联网智能化生产、网络化协同、个性化定制、服务化延伸等服务的应用程序也面临着安全防护与检测要求，包括支撑各种应用的软件、APP、Web 系统等。（5）数据安全 工业互联网数据种类和保护需求多样，数据流动方向和路径复杂，设计、生产、操控等各类数据分布在云平台、用户端、生产端等多种设施上，仅依托单点、离散的数据保护措施难以有效保护工业互联网中流动的工业数据安全。工业互联网承载着事关企业生产、社会经济命脉乃至国家安全的重要工业数据，一旦被窃取、篡改或流动至境外，将对国家安全造成严重威胁。（6）平台安全工业互联网平台的风险主要来自平台与企业接入过程中的数据采集、协议转换、边缘计算等行为，容易遭受数据篡改、数据窃取、终端漏洞被攻击等风险。工业企业网络安全类别表 2：工业企业网络安全风险概述安全风险简介工业企业内网安全制造资源接入安全网络边界安全网络通信安全身份认证安全内部工业生产网络缺乏安全机制用户企业内部的恶意代码通过接入层网络进入工业互联网平台内外网纵向互通、控制区域横向互联物理攻击、消息篡改、信息泄露、数据监听、侧信道攻击等弱口令、未授权访问、权限绕过等图5：工业互联网平台安全风险边缘层安全工业 PaaS 层安全工业 IaaS 层安全工业 SaaS 层安全平台数据安全-智能传感器、边缘网关等边缘终端设备计算资源有限-安全防护能力薄弱-在数据采集、转换、传输的过程中，数据被侦听、拦截、篡改、丢失-利用边缘终端设备漏洞对平台实施入侵或发起大规模网络攻击-通用 PaaS 平台感染病毒、木马工业应用开发工具、微服务组件存在漏洞-工艺参数、产能数据等高价值数据，被黑客入侵可能导致敏感信息泄露-虚拟机逃逸、跨虚拟机侧信道攻击、镜像篡改等新型攻击方式的威胁-第三方云基础设施服务商提供的 IaaS服务，存在数据安全责任边界不清晰-工业微服务组件，功能复杂、安全设计规范缺乏-工业 APP 漏洞、API 通信安全、用户管控、开发者恶意代码植入等应用安全问题更为突出-平台接入数据侦听、拦截、篡改、丢失-平台运行数据存储安全风险-平台数据泄露与备份安全风险发 力 新 基 建：F r e e B u f 2 0 2 0 工 业 互 联 网 安 全 研 究 报 告 CHAPTER TWO07以工业控制安全现状为例，根据国家信息安全漏洞共享平台（CNVD）工控系统行业漏洞数据统计，从 2012 年至 2020 年，国内工控系统行业漏洞呈逐年上升趋势，2020 年的工控系统漏洞上报达到最高的数目，其中高危漏洞占比 53.29%。由此可见，现阶段工业互联网安全整体形势不容乐观，随着暴露在互联网上的工业设备数量不断增多，重大工业信息安全事件仍处高发态势。（二）国内工业互联网安全风险态势5 月中旬，工信部发布的关于工业大数据发展的指导意见显示，我国 34%的联网工业设备存在高危漏洞，仅在 2019 年上半年嗅探事件就高达5151 万起。此外，根据中国信息通信研究院与工业互联网产业联盟的2020 上半年工业互联网安全态势综述显示，国家工业互联网安全态势感知与风险预警平台对全国136个主要工业互联网平台、10万多家工业企业、900多万台联网设备进行安全监测，累积监测发现恶意网络行为1356.3次，涉及 2039 家企业。恶意网络行为月累计数/次0.0万50.0万100.0万150.0万200.0万250.0万300.0万一月(1.1-1.31)154.3万60.0万139.6万41.8万271.2万45.3万279.3万34.7万267.6万30.6万244.5万26.4万二月(2.1-2.29)三月(3.1-3.31)四月(4.1-4.30)五月(5.1-5.31)六月(6.1-6.30)重点行业企业全体工业企业工业互联网恶意网络行为态势图图6：2020上半年工业互联网恶意网络行为态势图（资料来源：中国信通院）图7：1900-2020年国内工控系统漏洞发展趋势（数据来源：国家信息安全漏洞共享平台（CNVD），FreeBuf咨询整理）01002003004005006002012 年2013 年2014 年2015 年2016 年2017 年2018 年2019 年2020 年工控系统漏洞230277193240409431479563287图8：2020年工控系统漏洞风险等级统计（数据来源：国家信息安全漏洞共享平台（CNVD），FreeBuf咨询整理）工控系统漏洞中危高危低危53.29%40.50%6.22%发 力 新 基 建：F r e e B u f 2 0 2 0 工 业 互 联 网 安 全 研 究 报 告 084 月，以色列国家网络局发布公告称，收到了多起针对废水处理厂、水泵站和污水管的入侵报告，受此影响，各能源和水行业企业需紧急更改所有联网系统的密码，以应对网络攻击的威胁。以色列计算机紧急响应团队(CERT)和以色列政府水利局也发布了类似安全警告，水利局告知企业“重点更改运营系统和液氯控制设备”的密码，因为这两类系统遭受的攻击最多。2、以色列供水设施突遭袭击，紧急停工更改密码4 月，葡萄牙跨国能源公司 EDP（Energias de Portugal）遭到勒索软件攻击。攻击者声称，已获取 EDP 公司 10TB 的敏感数据文件，并且索要了1580 的比特币赎金（折合约 1090 万美元/990 万欧元）。EDP 集团是欧洲能源行业（天然气和电力）最大的运营商之一，也是世界第四大风能生产商，在全球四个大洲的 19 个国家/地区拥有业务。3、欧洲能源巨头EDP遭网络攻击，被勒索近1000万美元5 月，瑞士铁路机车制造商 Stadler 披露遭遇黑客窃取公司数据。攻击者破坏了公司 IT 网络，并在其中一些计算机上部署了恶意软件，用于从受感染设备中窃取数据。该公司透露，入侵者要求支付大量赎金，并试图威胁要曝光被盗的数据，从而勒索 Stadler。4、国际轨道交通车辆制造商Stadler数据泄露，遭黑客勒索6 月，日本汽车制造商本田(Honda)表示其服务器受到 Ekans 勒索软件攻击，该事件对本田公司在全球的业务产生影响。本田发布声明：“本田可以确认本田网络发生了网络攻击。该问题正在影响其访问计算机服务器，使用电子邮件以及使用其内部系统的能力。此外对日本以外的生产系统也有影响。目前正在开展工作以最大程度地减少影响并恢复生产，销售和开发活动的全部功能。”5、本田汽车遭受工业型勒索软件攻击，生产受阻6 月，巴西的电力公司 Light S.A 被黑客勒索 1400 万美元的赎金，安全研究人员分析认为是 Sodinokibi 勒索软件。Light SA 表示，公司系统被入侵后，攻击者对所有 Windows 系统文件进行加密。该公司恶意软件分析团队通过访问可能在攻击中使用的二进制文件，能够确认该样本来自一个名为REvil 的勒索软件家族。6、巴西电力遭遇勒索软件，被勒索1400万美金7 月，国外网络安全公司研究人员在 Treck,Inc.开发的 TCP/IP 软件库中发现了 19 个 0Day 漏洞，其中包含多个远程代码执行漏洞，统称为“Ripple20”。攻击者可以利用这些漏洞在无需用户交互的情况下，实现对目标设备的完全控制，该漏洞波及家用/消费设备、医疗保健、数据中心、电信、能源、交通运输以及许多其他关键基础框架。受影响的供应商包括财富 500 强企业:惠普、时代的电气、英特尔等，影响高达数亿的物联网设备，在整个供应链行业中产生连锁反应。7、影响数亿物联网设备，TCP/IP 软件库曝Ripple20漏洞9 月，全球第四大班轮公司达飞轮船（CMA CGM）官网瘫痪无法打开，旗下众多全球网站也都陷入了瘫痪。据知情人士透露，达飞轮船方面“只有部分邮箱可以使用，有部分邮箱被锁，遭到了黑客勒索”。8、达飞遭受黑客攻击，官网瘫痪部分电脑和邮件被锁3 月，钢铁制造商 EVRAZ 公司遭受了勒索软件 Ryuk 攻击，导致其在北美的分支机构（包括加拿大和美国的钢铁生产厂）瘫痪。EVRAZ 是全球最大的跨国垂直整合炼钢和采矿公司之一，该公司主要在俄罗斯运营，但在乌克兰、哈萨克斯坦、意大利、捷克共和国、美国、加拿大和南非也有业务。1、钢铁制造商EVRAZ遭受勒索软件攻击，致多家工厂停产（三）2020年典型工业互联网安全事件发 力 新 基 建：F r e e B u f 2 0 2 0 工 业 互 联 网 安 全 研 究 报 告 CHAPTER TWO099 月，顶象洞见安全实验室发现西门子多款工业交换机存在高危漏洞，并第一时间上报 CNNVD 和 CNVD。攻击者可利用这些高危漏洞远程窃取网络传输的工控指令、账户密码等敏感信息，或者发动中间人攻击。同时，黑客可直接对联网工控设备下达停止、销毁、开启、关闭等各种指令，甚至在网络内植入木马病毒，直接关停网内生产设备。预计至少有 17 款西门子设备受影响。9、西门子17款工业交换机爆出高危漏洞特斯拉一直以其所谓的“空中更新”（OTA）而自豪，自动推出新代码来修复漏洞并增加功能。11 月，一位安全研究人员展示了特斯拉ModelX 无钥匙进入系统中存在的严重漏洞，黑客可以通过这一漏洞利用蓝牙连接重写车辆钥匙卡的固件，从钥匙卡上获取车辆解锁代码，并在几分钟内窃取一辆 Model X。10、Model X被曝存中继攻击安全漏洞，特斯拉正紧急推送修复补丁钢铁制造商EVRAZ遭受勒索软件攻击2020.03国际轨道交通车辆制造商Stadler数据泄露2020.05TCP/IP 软件库曝Ripple20漏洞2020.07Model X被曝存中继攻击安全漏洞2020.11以色列供水设施突遭袭击2020.042020.062020.09欧洲能源巨头EDP遭网络攻击2020.04本田汽车遭受工业型勒索软件攻击巴西电力遭遇勒索软件2020.06达飞遭受黑客攻击西门子17款工业交换机爆出高危漏洞2020.09发 力 新 基 建：F r e e B u f 2 0 2 0 工 业 互 联 网 安 全 研 究 报 告 103CHAPTERTHREE第三章 工业互联网安全国际对比：发展现状与政策法规图9：美国重要网络安全政策一览第三章 工业互联网安全国际对比：发展现状与政策法规1、政府层面：立法时间早、战略布局广美国作为网络技术的发起国和强大网络空间势力的拥有国，也是工控安全和关键基础设施网络安全起步最早的国家。从时间跨度与布局范围来看，历任美国政府都将网络安全置于重要地位，以关键基础设施网络安全为根本，逐步完善巩固工业网络安全防护。1996 年开始，克林顿政府时期便确立了保护国家关键基础设施安全的管理机构，以及人才培养等方面的行动措施。2001 年开始，小布什政府组建了国土安全部（DHS）及发布 保护网络安全国家战略，将工业网络安全与国家安全挂钩，强化网络空间安全。2008 后，奥巴马政府启动了为期 60 天的网络空间安全状况评估，并发布了网络空间政策评估报告，此后又连续发布数条法令，对美国工业网络安全战略布局进行了持续巩固与完善，更加重视基础设施安全。2017 年以后，特朗普政府执政后愈发注重网络空间安全的对外威慑性，提出“分层威慑”理念，即整合所有传统威慑机制和工具，将参与威慑者拓展至政府之外的组织机构、甚至公民个人，从而形成整个国家（whole-of-nation)的方略去应对网络威胁，塑造和影响对手决策，同时保留动用军事报复的最后手段和能力。此后，特朗普政府频繁出台各项法规政策，重心放置于能源、工业等大型基础建设设施上，并将网络安全与国家安全紧密挂钩，强化政治邻国的网络安全威胁，以此促进其大国博弈及强权威慑能力。2、技术体系：领先的技术研究和行业标准制定在技术体系方面，美国非常重视工控系统安全技术的创新发展，拥有诸多世界一流的研发实验室，引领世界范围内工业控制系统相关安全标准的研制，在美国工控安全保障体系、技术研发和攻击防御等方面发挥着巨大的支撑作用。以美国爱达荷国家实验室和桑迪亚国家实验室为例，二者均隶属于美国能源部，逐步从早先的核能源研究转向关键基础设施网络安全和国家安全研究。除此之外，他们都着重于 SCADA 系统（数据采集与监视控制系统）的安全研究，并发展设立了各自的 SCADA 安全中心。在技术标准方面，美国国家标准技术研究院（NIST）、美国国土安全部（DHS）等机构致力于美国工控信息安全标准建设，并制定了一系列通用工控信息安全标准。（一）美国工业互联网安全发展重要举措发 力 新 基 建：F r e e B u f 2 0 2 0 工 业 互 联 网 安 全 研 究 报 告 12CHAPTER THREE13除政府参与修订工控安全技术体系外，还有传统安全厂商赛门铁克、迈克菲、思科和工控厂商罗克韦尔、通用电气以及一些新兴专业工控安全厂商在工控系统安全防护及产品服务方面展开深入研究、实践及产业化工作。值得一提的是，该标准突出了工控系统服务商在工控安全领域的重要作用，工控系统安全问题与通用信息系统安全问题相比，更为严重依赖服务商侧。因此于企业用户来讲，规避工控系统安全问题的重心之一在于工控系统服务商也应从规划、设计、建设、使用管理等生命周期各环节联动处理安全问题。表3：NIST&DHS近年发布部分标准一览发布机构标准名称NIST2004 年2007 年2010 年2014 年2009 年2010 年2010 年系统保护轮廓工业控制系统（NIST IR7176）联邦信息系统和组织建议的安全控制（NIST SP800-53）工业控制系统安全指南（NIST SP800-82）改善监管基础设施网络安全框架控制系统安全一览表：标准推荐工业控制系统安全评估指南工业控制系统远程访问配置管理指南DHS发布时间3、工控安全国际标准：IEC 62443标准在工控安全的国际标准研究方面，除上文提到的美国 NIST 发布的工业控制系统安全指南（NIST SP800-82）之外，IEC 62443 标准也是工控安全行业最为关注的工控安全标准。IEC 62443 在国际上被广泛采纳和认可，各国/各行业制定工控相关标准政策都会参考和吸收该标准提供的概念、方法、理论模型。目前在国内 IEC 62443-2-1 已等同采纳为国标，于 2016 年 10 月发布，标准编号为 GB/T 33007。IEC 62443 前身源于国际自动化协会（ISA）99 委员会提出的工业自动化和控制系统的信息安全技术标准。2007 年，IEC/TC65/WG10（国际电工委员会第 65 技术委员会第 10 工作组，工作范围为网络与系统安全）与 ISA 99 委员会成立联合工作组，共同制定出 IEC 62443 系列标准。2011 年 5 月，IEC/TC65 年会决定整合 IEC 62443 标准结构，由工业通信网络与系统信息安全改为工业过程测量、控制和自动化网络与系统信息安全。IEC 62443 系列标准目前分为通用、信息安全程序、系统技术和部件技术 4 个部分，各部分主要内容详见下表：图10：IEC 62443系列标准结构示意图IEC 62443-ISA-99通用方面定义指标系统集成商部件制造商1-1 术语、概念、模型1-2 术语和缩略语1-3 系统信息安全符合 性度量3-2 区域和通道的信息 安全等级3-3 系统信息安全要求 和信息安全保障等级3-1 IACS 信息安全技术4-2 对 IACS 产品的信 息安全技术要求4-1 产品开发要求用户业主用户参考安全系统的要求保障系统部件的安全要求2-1 建立 IACS 信息安全程序2-2 运行 IACS 信息安全程序2-3 IACS 环境中的补丁更新管理2-4 对 IACS 制造商信息安全政策 与实践的认证发 力 新 基 建：F r e e B u f 2 0 2 0 工 业 互 联 网 安 全 研 究 报 告 我国高度重视工业互联网安全，明确将安全作为工业互联网三大功能体系之一，围绕工业互联网推进设备安全、网络安全、控制安全、数据安全和应用安全各个层面的安全防护工作，旨在为新基建战略的落实奠定安全基础。1、政府层面：安全砝码伴随产业发展渐重我国工业发展起步较晚，但产业发展规模和速度都在持续扩大。伴随该情况，工控安全相关法规也很快提上日程。2011年，工信部发布451号文件 关于加强工业控制系统安全管理的通知，自此国内各行各业都对工控系统安全的认识达到了新的高度，电力、石化、制造、烟草等多个行业陆续制定了相应指导性文件，来指导行业安全检查与整改活动。此后，伴随着我国智能制造全面推进，工业互联网发展如火如荼，工控安全面临安全漏洞不断增多、安全威胁加速渗透、攻击手段复杂多样等挑战。与此同时，工业互联网安全也随之前行，各项法规政策逐步出台。（二）国内工业互联网安全重要举措标准2018 年正式发布信息安全技术工业控制系统安全管理基本要求2018 年正式发布信息安全技术 工业控制系统信息安全检查指南2018 年正式发布信息安全技术 工业控制系统信息安全分级规范2018 年正式发布信息安全技术 工业控制系统风险评估实施指南2018 年正式发布信息安全技术 工业控制系统现场测控设备通用安全功能要求2018 年正式发布工业互联网平台安全防护要求报批稿信息安全技术 关键信息基础设施安全检查评估指南在编中安全可控信息系统(电力系统)安全指标体系在编中信息安全技术 工业控制系统安全防护技术要求和测试评价方法状态表4：部分工业互联网安全标准一览表图11：国内工业互联网安全重要文件国务院：深化“互联网+先进制造业”发展工业互联网的指导意见2017201820192020 明确提出构建网络、平台、安全三大体系 提出网络、平台、安全相关行动目标和任务进一步明确网络、标识、平台、安全等发展重点 构建体系化的工业互联网安全工作格局 指导各相关部门建设专业化安全监测和预警通报技术手段工信部：工业互联网发展行动计划（2018-2020 年）十部委：加强工业互联网安全工作的指导工作工信部：省级工业互联网安全监测与态势感知平台建设指南工信部：关于推动工业互联网加快发展的通知在产业联盟方面，国内也在迅速发展。2014年，由中国电子技术标准化研究院信息安全研究中心、全国工业过程测量控制和自动化标准化技术委员会、公安部第三研究所、工信部电子科学技术情报研究所、中国软件评测中心、中国仪器仪表行业协会等涉及国家主管部门、工控系统厂商、信息安全厂商以及行业用户的 24 家单位共同发起了“工业控制系统信息安全产业联盟”，致力于为我国工业控制系统信息安全在体系建设、等级保护、风险评估、标准制定、产品开发和评测等方面迅速有效地取得积极成效而搭建一个交流平台。2、技术体系：工业信息安全标准体系逐渐完善成熟建立完善的工业控制系统信息安全标准体系对工业信息安全建设具有重要的意义，通过工业信息安全标准体系的建设，可有效提高对工业信息安全风险的管控能力。同时，信息安全标准体系的建立将使得企业安全实施水平与国际先进水平接轨，从而加快工业控制系统信息安全的落实。在技术标准体系建设方面，国内也已经基本形成自有规模。2002 年，中国通信标准化协会（CCSA）成立，2016 年，全国信息安全标准化技术委员会（信安标委）成立。另有全国电力系统管理及其信息交换标准化技术委员会（TC82）、全国电力监管标准化技术委员会（TC296）、全国工业过程测量和控制标准化技术委员会（TC124）共同推动工业控制系统信息安全标准工作。发 力 新 基 建：F r e e B u f 2 0 2 0 工 业 互 联 网 安 全 研 究 报 告 144CHAPTERFOUR第四章工业互联网安全产业链发展现状 在工业和信息化部下发的 工业互联网企业网络安全分类分级指南（试行）文件中，依据企业属性，对工业互联网企业分为三类：应用工业互联网的工业企业（简称“联网工业企业”），主要涉及原材料工业、装备工业、消费品工业和电子信息制造业等行业；工业互联网平台企业（简称“平台企业”，主要指对外提供工业互联网平台等互联网信息服务的企业）；工业互联网基础设施运营企业，主要包括基础电信运营企业和标识解析系统建设运营机构。工业互联网安全的本质是解决工业企业、工业互联网平台企业、工业互联网基础设施运营企业等产业链上游的安全问题。对此，便需要上游企业与下游安全服务商共同构建安全体系，不仅需要上游企业自身具备先进成熟的安全理念、投入较高的安全建设成本，还需要下游的安全服务商准确掌握企业安全痛点，化单点安全防护为全面的安全建设方案供应商，二者缺一不可。1、工业企业安全风险态势工业控制系统作为工业领域的“神经中枢”，在工业互联网逐渐发展的背景下，传统工控安全问题愈发突出，工业互联网也成为黑客攻击和网络战的重要目标。针对企业对工业控制系统服务商的选择上，根据调研结果，74.3%的企业选择使用西门子、施耐德、罗克韦尔等国外工控服务商。根据我国国家工业信息安全产业发展联盟统计的数据显示，中国工控系统 95以上仍存在漏洞，65属于中高危漏洞，33属于高危漏洞，可以轻易被远程控制。对此，报告针对企业近一年遭受网络攻击的情况进行了调研。调研结果显示，63.5%的受访企业在近一年间曾遭受网络攻击，其中，45.9%的企业曾遭受超过 3 次以上的攻击。第四章 工业互联网安全产业链发展现状联网工业企业原材料工业装备工业消费品工业电子信息制造平台企业主要指对外提供工业互联网平台等互联网信息