2022工控系統(tǒng)安全態(tài)勢

工控系統(tǒng)安全態(tài)勢報告NSFOCUSICSSECURITYREPORT本報告分析了工控系統(tǒng)自身的脆弱性以及所面臨的安全威脅發(fā)展態(tài)勢，著重對工控安全產(chǎn)業(yè)生態(tài)環(huán)境進行了調(diào)研?；谶@些研究成果可以看到，在每個垂直領(lǐng)域里面，都需要工控系統(tǒng)廠商、投入時的決策參考。分析數(shù)據(jù)分析顯示近4年來：工控漏洞快速增長 工控系統(tǒng)公開漏洞數(shù)達到549個年之后持續(xù)保持快速增長的勢頭顯然這對業(yè)務(wù)連續(xù)性實時性要求高的業(yè)控制系統(tǒng)來說，造成了極大的安全威脅。能源行業(yè)易受攻擊 ICS-CERT公布數(shù)據(jù)中，工控安全事件達632件而且多集中能源行和關(guān)鍵制造工控安全事件呈快速增長的趨勢。國家支持的黑客攻擊 2014年6月，“蜻蜓組織”利用惡意程與震網(wǎng)類似對歐美地區(qū)的一千多家能源企業(yè)進行了攻擊這次事件表明黑客組（其是有某些國家幕后支持的黑客組織成為當(dāng)前工控系統(tǒng)所面臨的最大安全威脅。

安全事件分析分析工業(yè)控制系統(tǒng)自身的脆弱性及所工控行業(yè)調(diào)研本文調(diào)查了各方當(dāng)前在政策發(fā)布、技統(tǒng)的安全現(xiàn)狀、存在的問題及市場需求。歷次報告積累第一次報告，\h工控安全是什么第二次報告，\h工控安全存在哪些問題第三次報告，\h工控安全行業(yè)需求及發(fā)\h展態(tài)勢第四次報告，工控安全產(chǎn)品及解決方案第五次報告，……工控安全產(chǎn)業(yè)生態(tài)環(huán)境模型（用戶圖1.1工控安全產(chǎn)業(yè)生態(tài)環(huán)境模型目錄工控系統(tǒng)的安全研究及發(fā)展態(tài)勢分析 I工控安全產(chǎn)業(yè)生態(tài)環(huán)境模型 I工控系統(tǒng)的安全威脅態(tài)勢分析 1工控系統(tǒng)的自身脆弱性 1工控系統(tǒng)面臨的安全威脅 7工控安全領(lǐng)域的總體發(fā)展態(tài)勢分析 12國外發(fā)展動態(tài)概述 12國內(nèi)政策法規(guī)動態(tài) 13國內(nèi)產(chǎn)業(yè)聯(lián)盟動態(tài) 13國內(nèi)工控安全廠商動態(tài) 14合作策略及建議 17典型行業(yè)的工控安全發(fā)展態(tài)勢分析 18發(fā)電行業(yè)的工控安全發(fā)展態(tài)勢 18電網(wǎng)行業(yè)的工控安全發(fā)展態(tài)勢 26結(jié)束語 33附錄 34圖表索引 34聯(lián)系作者 34縮略語中英文對照 35參考文獻 36

這里結(jié)合目錄章節(jié)，對報告的主要內(nèi)容提要如下：P2工控系統(tǒng)的安全威脅態(tài)勢分析主要從近期公開的工控系統(tǒng)相關(guān)漏洞的統(tǒng)計分析結(jié)果以及對近期典型的工控安全攻擊事件及新型攻擊技術(shù)的分析，討論工控系統(tǒng)當(dāng)前所面臨的安全威脅態(tài)勢。P13工控安全領(lǐng)域的總體發(fā)展態(tài)勢分析況，討論工控安全領(lǐng)域的總體發(fā)展態(tài)勢。P19典型行業(yè)的工控安全發(fā)展態(tài)勢分析們針對該行業(yè)的工控安全服務(wù)的推廣策略。NextchapterNextchapter工控系統(tǒng)的安全威脅態(tài)勢分析PAGE11|工控系統(tǒng)的安全威脅態(tài)勢分析PAGE11|工控系統(tǒng)的安全威脅態(tài)勢分析PAGE10PAGE10工控系統(tǒng)的安全威脅態(tài)勢分析本章將從工業(yè)控制系統(tǒng)公開安全漏洞的統(tǒng)計分析以及對近期典型的工控安全攻擊事件及新型攻擊技術(shù)的分析等多個方面，討論工控系統(tǒng)當(dāng)前所面臨的安全威脅態(tài)勢。工控系統(tǒng)的自身脆弱性20146CVE[CVE]、ICS-CERT[CNVD][ICSMM2014]5492014年新增漏洞的統(tǒng)計特征和變化趨勢，主要涉及公開漏洞的總體變化趨勢、漏洞的嚴(yán)重程度、漏洞所影響的工控系統(tǒng)類型、漏洞的危害等幾個方面的對比分析。公開漏洞數(shù)總體上保持快速增長的變化趨勢下圖給出了截止到2014年6月之前所公開發(fā)布的工業(yè)控制系統(tǒng)相關(guān)漏洞按年度進行統(tǒng)計分析的結(jié)果。17713517713511741115146510180160140120100806040200

64圖1.2公開的ICS漏洞的年度變化趨勢201120112010年的Stuxnet隨著各方面對工業(yè)控制系統(tǒng)的安全日益重視，工業(yè)控制系統(tǒng)的相關(guān)公開漏洞數(shù)量仍將保持一個快速增長的總體趨勢。公開漏洞涉及的工控系統(tǒng)廠商依然以國際廠商為主庫中所有漏洞的比例情況。（Rockwell）占據(jù)漏洞數(shù)排行榜的前五名。究分析用戶的產(chǎn)品，這很可能就是公開漏洞涉及到的工控系統(tǒng)廠商總是以國際廠商為主的主要原因。（為公開漏洞數(shù)量越多的廠商產(chǎn)品越不安全。），但是卻可以圖1.3公開漏洞所涉及到的主要工業(yè)控制系統(tǒng)廠商（Top10）圖1.4給出了2014年上半年新增漏洞所涉及的工控廠商情況，與圖1.3的總體情況相比有所變化。其中西門子以新增2539%1015.4%4個漏洞（6%）日本橫河電機株式會社(YOKOGAWA)42014半（DCS系統(tǒng)）、PLC廣泛的應(yīng)用。也應(yīng)是我們需要重點關(guān)注研究的工控廠商之一。CogentEcavaTriangleMicroworks,2,3%

others,7,11%COPA-DATA,2,3%Emerson,2,3%GE,2,3%Ecava,3,5%Cogent,3,5%

2014年64日本橫河電機株式會社(YOKOGAWA)首次進入我們的關(guān)注視野，就以半年新增4個漏洞，與施耐德電氣并列2014半年度新增漏洞的第三名。

Siemens,25,39%yokogawa,4,6%

Schneider,4,6%

Advantech,10,16%圖1.42014工控系統(tǒng)相關(guān)漏洞的嚴(yán)重性表明：工控系統(tǒng)存在嚴(yán)重的安全隱患及被攻擊的威脅CVECVECVSS評估值來判斷，并劃分為高、中、低三種情況。（CVSS7.0~10.0）且基本上都是嚴(yán)重性程度為“中”以上（CVSS4.0）的漏洞。這也表明了當(dāng)前工控系統(tǒng)產(chǎn)品存在嚴(yán)重的安全隱患。圖1.52014年收錄的新增漏洞按嚴(yán)重程度的分類情況2014可引起業(yè)務(wù)中斷的拒絕服務(wù)類漏洞占比最高(33%)顯然這些漏洞所可能造成的主要威脅的分類情況也可以從側(cè)面表明當(dāng)前工控系統(tǒng)安全所應(yīng)關(guān)注的主要安全問題。6,跨站攻擊,3,5%

拒絕服務(wù),21,33%權(quán)限提升,3遠程執(zhí)行,8,12%

業(yè)務(wù)中斷33%拒絕服務(wù)類漏洞（約33%）這對強調(diào)業(yè)務(wù)連續(xù)性的工控系統(tǒng)來說不是一個好消息信息泄露,16%

緩沖區(qū)溢出,13,20%圖1.62014年新增漏洞的威脅分類及占比分析公開漏洞中以SCADA/HMI系統(tǒng)相關(guān)的漏洞為主，其占比超過40%SCADA/HMI30%OPC10%（交換機）及工業(yè)網(wǎng)絡(luò)管理軟件的脆弱性也受到了一定的關(guān)注，其相關(guān)的公開漏洞也有比較高的占比（8%）。工業(yè)交換機,2,3% 其他,2,3%工業(yè)網(wǎng)絡(luò)管理軟件,3,5%

SCADA/HMI,27,42%OPC,6,9%DCS,6,10%

SCADA/HMI>40%工控系統(tǒng)中攻防雙方可能把主要精力放在了工控系統(tǒng)的控制設(shè)備PLC,18,28%圖1.72014年新增漏洞所涉及的工控產(chǎn)品分類分析工控系統(tǒng)面臨的安全威脅工控安全事件增長快速，且主要集中在能源行業(yè)（59%）與關(guān)鍵制造業(yè)（20%）結(jié)合ICS-CERT往年的安全事件的統(tǒng)計數(shù)據(jù)分析的結(jié)果可知，近年來，工業(yè)控制系統(tǒng)相關(guān)的安全事件正在呈快速增長的趨勢（如下圖所示）。300

4年632件2563925639197140197140近4年來公開報告處理的安全事件就達632件1501005002010 2011 2012 2013圖1.9ICS-CERT(按財年①統(tǒng)計)統(tǒng)計分析ICS-CERT256件1.10151件，接近所1.10的安全檢查及整改方面做了不少的工作。而其他行業(yè)在工控安全方面則多處于剛剛起步階段，市場尚待培育開發(fā)。①這里的財年計算方法是從上一年的10月開始至下一年的9月結(jié)束。醫(yī)療保健,3,1%IT,4,2%通信,4,2%政府設(shè)施,6,2%核工業(yè),8,3%12,5%13,5%

能源151以電力行業(yè)為主的能源行業(yè)相對于其他行業(yè)來說，具有較高的安全意識，并已在安全建設(shè)方面做了不少的工作

能源,151,59%關(guān)鍵制造業(yè),50,20%圖1.10工控安全事件所涉及的重要行業(yè)及分布Havex——2014年專門針對工控系統(tǒng)的新型攻擊2014625ICS-CERTICSFocusedMalwareICS-ALERT-14-176-02[havex]中通報了一種類似震網(wǎng)病毒的專門針對工控系統(tǒng)攻擊的惡意代碼。安全廠商F-Secure首先發(fā)現(xiàn)了這種惡意代碼并將其作為后門命名為W32/Havex.A，F(xiàn)-SecureRemoteAccessStuxnet蠕蟲病毒一樣，HavexSCADAIC-ERT-crymntc的研究表明avex~HavexWebWebAPP的感染惡意代碼的版本。ICS-CERT3個Web（后門程序或木馬mbcheck.dll”Havex惡意代碼。F-SecureHavexRAT88HavexOPCOPCWebC&C服務(wù)器C&C服務(wù)器上（Havex的攻擊原理如下圖所示）FireEye公司的研究人員最近也Havex的新變種[Havex3]HavexOPCC&CHavex及其變種最可能是被用作收集工控系統(tǒng)情報的ICSSCADA控制權(quán)更感興趣。圖1.11Havex的攻擊原理最近多家安全公司的研究發(fā)現(xiàn)它多被用于從事工業(yè)間諜活動，其主要攻擊對象是歐洲的許多使用和開發(fā)工業(yè)應(yīng)用程序和機械設(shè)備的公司。黑客組織是當(dāng)前工控系統(tǒng)所面臨的最大安全威脅20141CrowdStrike①EnergeticBearCrowStrkeHavexRATSYSMainRATHavexRAT有可能以某種方式被俄羅斯黑客連接，或者由俄羅斯政府資助實施。賽門鐵克F-secure等多家安全公司在近期發(fā)布的研究報告[Dragonfly]或官方博客的博文中[havex2]也發(fā)表了類似的信息，聲稱近期一個稱①CrowdStrike公司是一家專注于APT防護的新興網(wǎng)絡(luò)安全公司，它倡導(dǎo)“ActiveDefense”（主動防御）的安全理念，強調(diào)聚焦于提高對手的攻擊成本，使防御者在戰(zhàn)略層面上處于優(yōu)勢地位。其實體產(chǎn)品“Falcon”系統(tǒng)是一個基于大數(shù)據(jù)的“云服務(wù)”，可從部署了sensors的網(wǎng)絡(luò)內(nèi)實時收集情報以及安全事件，并堅持他們的防御理念“是在合法范圍內(nèi)挫敗攻擊者”。為EnergeticBear的俄羅斯黑客組織使用一種復(fù)雜的網(wǎng)絡(luò)武器Havex，已經(jīng)使1000多家歐洲和北美能源公司受損；并認(rèn)為Havex與震網(wǎng)病毒（Stuxnet）相似，能使黑客們訪問到能源部門的控制系統(tǒng)。根據(jù)賽門鐵克的研究報告[Dragonfly]EnergeticBearDragonfly2011年起20131.12所示201318841.13所示F-secureCrowdStrike2010FlameDuquSCADA系統(tǒng)的安（Havex及其近百的變種的發(fā)現(xiàn)威脅也將日益嚴(yán)峻。圖1.12賽門鐵克公司關(guān)于“蜻蜓組織”近期活動的時序分析[Dragonfly]圖1.13受蜻蜓組織近期攻擊活動影響較大的國家（TopTen）[Dragonfly]NextchapterNextchapter工控安全領(lǐng)域的總體發(fā)展態(tài)勢分析工控安全領(lǐng)域的總體發(fā)展態(tài)勢分析合作建議。國外發(fā)展動態(tài)概述2010技術(shù)、方案等方面展開了積極應(yīng)對[LYHC2012]。最近工業(yè)控制系統(tǒng)安全更成為備受工業(yè)和信息安全領(lǐng)域研究機構(gòu)關(guān)注的研究熱點。作為信息產(chǎn)業(yè)發(fā)展的領(lǐng)導(dǎo)者，美國很早就十分重視工控系統(tǒng)的安全。2003年將其視為國家安全優(yōu)先事項；2008年則將200914CERT[ICSCERT1ICSCERT2]（TheU.SDepartmentofHomeland（ControlSystemSecurityProgram，CSSP）（SP800-822013）[NIST]SCADA21MCAFEE、思科以及傳統(tǒng)工控廠商羅克韋爾、通用電氣以及一些新興先的地位。的解決方案。例如，德國西門子研究院設(shè)有工控安全實驗室（@CTChina），可提供安全咨詢服務(wù)、培訓(xùn)、漏洞及補丁的發(fā)\h/industrialsecurity工控廠商的支持，自然西門子等企業(yè)的市場和技術(shù)優(yōu)勢也將奠定未來很長一段時間內(nèi)其在工控安全領(lǐng)域的領(lǐng)先地位。多芬諾）\h/（Codenomicon）則以fuzzingNessue，它分為專業(yè)版（收費）SCADAPLCPAGE13|工控安全領(lǐng)域的總體發(fā)展態(tài)勢分析PAGE13|工控安全領(lǐng)域的總體發(fā)展態(tài)勢分析PAGE14PAGE14NISTNIST800-82之外，IEC62443標(biāo)準(zhǔn)也是工控安全研究者最為關(guān)注的工NIST800-82工控安全防護方案。國內(nèi)政策法規(guī)動態(tài)451TC260、TC124等標(biāo)準(zhǔn)組也已經(jīng)啟動了相應(yīng)標(biāo)準(zhǔn)的研究制定工作。具體情況如下：政策法規(guī)451號文電監(jiān)會的《電力二次系統(tǒng)安全防護規(guī)定》201350國家煙草局《煙草工業(yè)企業(yè)生產(chǎn)區(qū)與管理區(qū)網(wǎng)絡(luò)互聯(lián)安全規(guī)范》等標(biāo)準(zhǔn)草案這兩年在信安標(biāo)委的指導(dǎo)下，正在草擬的工控安全相關(guān)標(biāo)準(zhǔn)主要包括：《信息安全技術(shù)工業(yè)控制系統(tǒng)安全管理基本要求》《安全可控信息系統(tǒng)（電力系統(tǒng)）安全指標(biāo)體系》《信息安全技術(shù)工業(yè)控制系統(tǒng)信息安全檢查指南》《信息安全技術(shù)工業(yè)控制系統(tǒng)安全防護技術(shù)要求和測試評價方法》《信息安全技術(shù)工業(yè)控制系統(tǒng)信息安全分級規(guī)范》另外，其他主管部門牽頭制定的標(biāo)準(zhǔn)還有：《工業(yè)控制系統(tǒng)信息安全等級保護設(shè)計技術(shù)指南》……國內(nèi)產(chǎn)業(yè)聯(lián)盟動態(tài)201441724家單位共同發(fā)起，以“搭建政府、工業(yè)控制系統(tǒng)信息安全產(chǎn)業(yè)聯(lián)盟成立以來的主要工作如下：開通聯(lián)盟網(wǎng)站\h/員間的信息交互并展示聯(lián)盟成員成果動態(tài)信息。20145222014工業(yè)控制系統(tǒng)信息安全年”大型主題系列活動首站上海站活動及第三屆工業(yè)控制系統(tǒng)信息安全峰會（綠盟科技李鴻培博士作為聯(lián)盟專家委員會成員主持下午的技術(shù)大會）。會議資料下載地址：\h/2014ICSIS-1/zhibo.html201471201472014年度中關(guān)村產(chǎn)業(yè)技術(shù)聯(lián)盟重大應(yīng)用示范項目”201481（ICSISIA)（ECC）2014年會暨第四屆全國自動化企業(yè)發(fā)展戰(zhàn)略論壇”（會議主題：環(huán)保與安全）大會。借助聯(lián)盟成員工信部四院，促進行業(yè)標(biāo)準(zhǔn)的制訂和落實?！娮右凰鶈挝贿M行了相對深入的合作與技術(shù)交流。國內(nèi)工控安全廠商動態(tài)業(yè)化。投入工控安全的研究及產(chǎn)品研發(fā)領(lǐng)域，并力爭在工控安全領(lǐng)域獲得先發(fā)優(yōu)勢。不同背景的兩大企業(yè)陣營但要為工控行業(yè)的用戶提供工控系統(tǒng)安全服務(wù)，不僅需要熟悉工控系統(tǒng)，而且還要具備信息安全服務(wù)及網(wǎng)絡(luò)攻防的能工控系統(tǒng)背景的廠商①因工控安全在很多行業(yè)涉及到國計民生的安全，雖然國際性著名的工控系統(tǒng)提供商西門子、施耐德電氣、GE、羅克韋爾、日本橫河等在國內(nèi)很多行業(yè)都在應(yīng)用其工控安全產(chǎn)品，甚至是擁有壟斷的市場地位；同時他們在工控安全研究方面也擁有先天的優(yōu)勢。但從國家安全的角度，工控系統(tǒng)的安全產(chǎn)品的自主可控要遠比工控系統(tǒng)的自主可控要重要的多，因此目前這些國際性工控系統(tǒng)廠商并不是國內(nèi)工控安全企業(yè)的潛在競爭對手，甚至他們的產(chǎn)品在國內(nèi)銷售因要符合國內(nèi)的安全監(jiān)管需求而需要配合國內(nèi)廠商的工作。所以本節(jié)主要討論國內(nèi)廠商的競爭態(tài)勢。提供整體安全解決方案，實現(xiàn)在現(xiàn)有業(yè)務(wù)上的信息安全增值服務(wù)。位。信息安全背景的廠商是要保證生產(chǎn)流程的連續(xù)性及敏感生產(chǎn)數(shù)據(jù)的防泄密等問題。個性化的工控系統(tǒng)及業(yè)務(wù)層面的設(shè)計使得信息安全廠商將會面臨很多個性化的定制服務(wù)需求，這使得信息安全廠商難以通過像互聯(lián)網(wǎng)安全行業(yè)那樣的通用化服務(wù)或產(chǎn)品來提高其安全及信息安全廠商共同參與，形成分行業(yè)的標(biāo)準(zhǔn)化安全解決方案及相應(yīng)的安全產(chǎn)品相關(guān)標(biāo)準(zhǔn)，共同培育行業(yè)性的工控安全市安全防護類產(chǎn)品，實現(xiàn)產(chǎn)品的規(guī)?；c產(chǎn)業(yè)化。（離設(shè)備安全廠商”。領(lǐng)域的廠商進行合作。國內(nèi)工控安全廠商動態(tài)這里初步介紹我們所了解的一些國內(nèi)從事工控安全研究廠商的進展情況，為大家進一步討論國內(nèi)工控安全市場的競爭態(tài)勢提供參考。我們首先來討論具有工控系統(tǒng)研發(fā)背景的廠商情況。中國電子信息產(chǎn)業(yè)集團中國電子信息產(chǎn)業(yè)集團的\h華北計算機系統(tǒng)工程研究所（原電子部六所）近幾年比較重視工控安全研究及產(chǎn)品開發(fā)方面的的開發(fā)。和利時40~50的工控系統(tǒng)信息安全解決方案。浙大中控集團浙大中控集團是中國領(lǐng)先的自動化與信息化技術(shù)、產(chǎn)品與解決方案提供商，2013項工控安全相關(guān)國家標(biāo)準(zhǔn)的制定工作。力控華康北京力控華康科技有限公司（簡稱力控華康）2009年，是專業(yè)從事工業(yè)網(wǎng)絡(luò)及安全產(chǎn)品研發(fā)，提供整體安全解pSafetyLink?pFieldComm?HC-ISG?等系列產(chǎn)年的國家發(fā)改委安全專項課題——工控防火墻項目的研發(fā)工作。究及解決方案提供方面擁有強勢的資源和影響力，應(yīng)是我們爭取合作的戰(zhàn)略伙伴，這里不作為競爭廠商進行分析。其次我們介紹具有信息安全背景的工控安全廠商的情況。綠盟科技2012年承擔(dān)國家發(fā)改委的安全專項——啟明星辰面也有相應(yīng)的項目實踐經(jīng)驗。中科網(wǎng)威承擔(dān)企業(yè)內(nèi)部的技術(shù)研究。中科網(wǎng)威關(guān)于工控安全的主要產(chǎn)品包括工控防火墻（NP-ISG6000/4000/2000）、工控網(wǎng)絡(luò)安全日志服務(wù)器產(chǎn)品、工控網(wǎng)絡(luò)資產(chǎn)安全風(fēng)險監(jiān)測產(chǎn)品、工控網(wǎng)絡(luò)異常檢測系統(tǒng)等。2012年國家發(fā)改委的工控安全專項基金項目，與有關(guān)單位合作研制工控防火墻。產(chǎn)品或公司。合作策略及建議善測評標(biāo)準(zhǔn)，這樣才能保證產(chǎn)品提供商為用戶提供安全、可靠的工控安全產(chǎn)品。培育市場方面進行合作。也就是說，即使是以前的競爭對手，在現(xiàn)階段也將會存在“合作大于競爭”的可能。NextchapterNextchapter典型行業(yè)的工控安全發(fā)展態(tài)勢分析典型行業(yè)的工控安全發(fā)展態(tài)勢分析發(fā)電行業(yè)的工控安全發(fā)展態(tài)勢行業(yè)政策動態(tài)能源局PLC安全整改2010年爆發(fā)的伊朗布什爾核電站震網(wǎng)病毒事件，對于整個工業(yè)企業(yè)控制系統(tǒng)的安全敲響了警鐘。2013年國家能源局以國能綜安全[2013]387PLCPLCPLCPLC力工控PLCPLC10020131230廠應(yīng)于2014年12月30日前完成整改工作。電力企業(yè)網(wǎng)絡(luò)與信息安全駐點（尤其是生產(chǎn)控制大區(qū)信息系統(tǒng)（2013432號2014年組織對遼寧省電力企業(yè)網(wǎng)絡(luò)與信息安全工作開展了專項駐點監(jiān)管。根據(jù)駐點監(jiān)管情況，編制形成《電力企業(yè)網(wǎng)題，主要集中在：重視不夠，定級、備案、測評、整改等環(huán)節(jié)的各項要求落實不嚴(yán)。及時、安全配置不完整。針對存在的問題，能源局提出了如下的監(jiān)管意見：理專職崗位，責(zé)任到人，強化信息安全組織保障體系。形成常態(tài)化工作機制。對評估、測評中發(fā)現(xiàn)的問題，要安排資金，及時整改，消除安全隱患。PAGE19|典型行業(yè)的工控安全發(fā)展態(tài)勢分析PAGE19|典型行業(yè)的工控安全發(fā)展態(tài)勢分析PAGE20PAGE20PLCPLC查及漏洞整改工作的通知》（國能綜安全〔2013〕387號）PLCPLC人員參加行業(yè)和其它專業(yè)機構(gòu)舉辦的信息安全培訓(xùn)，提高信息安全從業(yè)人員的專業(yè)技術(shù)水平。（尤其是生產(chǎn)監(jiān)控系統(tǒng)）/信息系統(tǒng)的安全可靠運行。工信部2011（451號文6451企業(yè)的主要監(jiān)管單位，從2012年開始基于檢查規(guī)范在一些發(fā)電集團的個別電廠進行了試點性的安全檢查試用，并未在發(fā)電行業(yè)中進行大規(guī)模的推廣。發(fā)電集團內(nèi)部20122013年陸續(xù)對一些電廠的控制設(shè)備進行了漏洞整改，從整改的過程中也積累了大量的工控系統(tǒng)安全建設(shè)段是華能和各個發(fā)電集團在未來工控安全建設(shè)方面的一個重要的方向?？匕踩珡恼麄€集團的角度來考慮如何構(gòu)建起一套行之有效的管控措施。一些省級電力公司已經(jīng)開始在一些電廠嘗試引入一SIS系統(tǒng)安全考核基線，形成一整套針對工控系統(tǒng)的安全預(yù)警機制。行業(yè)工控系統(tǒng)的安全現(xiàn)狀及問題電廠工控系統(tǒng)簡介DCSPLCDCSPLC反饋的數(shù)據(jù)了解機組整體運行狀況。通過儀器儀表安全系統(tǒng)，如繼電保護、故障錄波等實現(xiàn)對機制安全運行的監(jiān)控。（操作員站和工程師站組成DPUAGCAVCDCS圖1.14火電廠控制系統(tǒng)的示例圖現(xiàn)有的安全措施電力二次系統(tǒng)安全防護52005向加密認(rèn)證。下圖為發(fā)電廠二次系統(tǒng)安全區(qū)域示意圖（以火電廠為例）。圖1.15以火電廠為例的發(fā)電廠二次系統(tǒng)安全區(qū)域示意圖5（現(xiàn)電監(jiān)會職能已經(jīng)并入能源局是定555對完善的防護體系。電力等保要求電監(jiān)會于2007年發(fā)布關(guān)于開展電力行業(yè)管理信息安全等級保護定級工作的通知，要求在電力企業(yè)中開展等級保護，要求按照電力行業(yè)定義的不同等級的系統(tǒng)進行定級工作。定級指導(dǎo)如下表所示：表格3.1發(fā)電行業(yè)電力二次系統(tǒng)等保的定級指導(dǎo)類別定級對象系統(tǒng)級別電力二次系統(tǒng)總部區(qū)域（省）地市火電機組控制系統(tǒng)DCS（含輔機控制系統(tǒng)）單機容量300MW以上為3級，以下為2級水電廠監(jiān)控系統(tǒng)總裝機1000MW以上為3級，以下為2級電能量計量系統(tǒng)32不齊。安全措施的不足技術(shù)方面面臨的問題技術(shù)手段上普遍存在不足。生后，無法找到根本原因，最終無法對事件進行定性分析。遞的信息無法管理，造成很多的惡意軟件直接進入系統(tǒng)中，對系統(tǒng)產(chǎn)生影響。定位。旦遭受到攻擊很快就會擴散到整個系統(tǒng)中。相關(guān)設(shè)備通信缺乏有效的安全認(rèn)證機制。管理方面面臨的問題的定位和及時有效的處理。在控制系統(tǒng)中缺乏有效的信息安全應(yīng)急響應(yīng)預(yù)案。生產(chǎn)環(huán)境中人員信息安全意識淡薄。設(shè)備。安全管理制度中對于信息安全相關(guān)的制度和章程基本沒有，人員入崗沒有進行相關(guān)的安全培訓(xùn)。24接和控制方面普遍沒有基于信息安全考慮，人員管理上存在一定的漏洞。行業(yè)安全建設(shè)需求分析服務(wù)從服務(wù)的角度，發(fā)電企業(yè)在工控安全主要存在著安全體系規(guī)劃、安全評估和應(yīng)急響應(yīng)體系建設(shè)和標(biāo)準(zhǔn)制定四個方面的安全需求。安全體系規(guī)劃夠保障發(fā)電生產(chǎn)安全的防護系統(tǒng)。安全評估以落實到系統(tǒng)的生產(chǎn)環(huán)境需求中來。應(yīng)急響應(yīng)體系有效的應(yīng)急響應(yīng)體系。標(biāo)準(zhǔn)制定標(biāo)準(zhǔn)方面。產(chǎn)品從產(chǎn)品角度看，發(fā)電企業(yè)在工控安全產(chǎn)品需求方面主要存在如下產(chǎn)品的需求：傳統(tǒng)安全產(chǎn)品需求IDS：滿足電力等保和電力二次防護方案要求加密認(rèn)證裝置：滿足電力等保和電力二次防護方案要求隔離裝置：滿足電力等保和電力二次防護方案要求防火墻：滿足電力等保和電力二次防護方案要求日志分析平臺：滿足電力等保和電力二次防護方案要求新型安全需求工控審計：基于業(yè)務(wù)行為的審計系統(tǒng)含異常行為審計工控終端安全產(chǎn)品：操作員站、工程師站防護產(chǎn)品，尤其是進程白名單產(chǎn)品工控統(tǒng)一管理平臺：基于業(yè)務(wù)和安全的統(tǒng)一分析展示平臺工控防火墻：可部署在工控現(xiàn)場的訪問控制設(shè)備要求到操作指令級無線審計：可以基于工業(yè)無線的現(xiàn)場環(huán)境進行審計工控安全發(fā)展的制約因素國家政策層面技術(shù)的引入是否會影響到工業(yè)生產(chǎn)的正常運行，都存在較大的不確定性。成熟的過程。企業(yè)人員的安全意識DCSPLC的運維；但在信息安全方面一般是沒有固定的人應(yīng)急響應(yīng)能力普遍缺乏。缺乏安全檢測機制工控安全的推廣策略安全培訓(xùn)上來。產(chǎn)品試點并能夠有效解決工控安全問題的時候，才能得到發(fā)電企業(yè)的認(rèn)可。風(fēng)險評估在工業(yè)控制系統(tǒng)中一直以來都非常關(guān)注功能安全，IEC61508的功能安全要求，在工控領(lǐng)域中應(yīng)用比較多，基于IEC61508的HAZOP風(fēng)險評估方法在新建信息和系統(tǒng)安全改造中應(yīng)用比較廣泛，并且相關(guān)的認(rèn)證也作為企業(yè)安全的一個重要方面。IEC61508更加強調(diào)工控系統(tǒng)的本質(zhì)安全和固有安全，但是，從最近發(fā)展的趨勢看，信息安全也逐步在成為此標(biāo)準(zhǔn)的一個關(guān)注點。重大節(jié)日保電等時期前。建設(shè)思路DCS、PLC設(shè)備、SCADA軟件在上線前的安全檢查基于業(yè)務(wù)進行安全分區(qū)，強化對邊界的控制，如針對不同控制業(yè)務(wù)之間的有效隔離通信過程的加密認(rèn)證基于安全監(jiān)控業(yè)務(wù)行為，發(fā)現(xiàn)潛在的異常行為，建立起基于業(yè)務(wù)行為的安全基線主機及主機應(yīng)用側(cè)的安全管控，賬戶權(quán)限的最小化原則，如系統(tǒng)進程的白名單機制基于安全的系統(tǒng)運行分析，早期安全預(yù)警與態(tài)勢分析電網(wǎng)行業(yè)的工控安全發(fā)展態(tài)勢行業(yè)政策動態(tài)能源局要求電監(jiān)會5號令200412245號令。5號令強調(diào)為了防范黑客及惡意代碼等對電力二次系統(tǒng)的攻擊侵害及由5號令。5,5號令的要求。電監(jiān)會5號在具體執(zhí)行層面的主要依據(jù)是2003年全國電力二次系統(tǒng)安全防護專家組和工作組編制的電力二次系統(tǒng)安全防護方案。電力二次系統(tǒng)安全防護方案中電網(wǎng)防護主要在電力調(diào)度系統(tǒng)的主站系統(tǒng)內(nèi)的安全分區(qū)之間有效的安全隔離、區(qū)域邊界的安全防護以及與廠站通信的加密處理等。電力二次系統(tǒng)安全建設(shè)的示意圖如下圖所示：圖1.16電力二次系統(tǒng)安全建設(shè)的示意圖電力等保要求2007求按照電力行業(yè)定義的不同等級的系統(tǒng)進行定級工作。針對電網(wǎng)工控系統(tǒng)的定級指導(dǎo)如下表所示：表格3.2電網(wǎng)的電力二次系統(tǒng)等保的定級指導(dǎo)類別定級對象系統(tǒng)級別總部區(qū)域（省）地市電力二次系統(tǒng)能量管理系統(tǒng)（具有SCADA、AGC、AVC等控制功能）43變電站自動化系統(tǒng)(含開關(guān)站、換流站、集控站)220kV及以上變電站為3級，以下為2級；集控站為3級；電能量計量系統(tǒng)32廣域相量測量系統(tǒng)（WAMS）3無電網(wǎng)動態(tài)預(yù)警系統(tǒng)3無調(diào)度交易計劃系統(tǒng)3無水調(diào)自動化系統(tǒng)2調(diào)度管理系統(tǒng)（OMS）22雷電監(jiān)測系統(tǒng)2電力調(diào)度數(shù)據(jù)網(wǎng)絡(luò)（SGDnet）32通信設(shè)備網(wǎng)管系統(tǒng)32通信資源管理系統(tǒng)32綜合數(shù)據(jù)通信網(wǎng)絡(luò)(SGTnet)2整改，并且按照相關(guān)的要求進行周期性測評，如三級系統(tǒng)每年進行一次測評。55口。生產(chǎn)控制信息系統(tǒng)類的總體技術(shù)與管理要求行業(yè)生產(chǎn)控制信息系統(tǒng)類系統(tǒng)安全的總體技術(shù)及管理要求，詳見如下表格。3.3生產(chǎn)控制信息系統(tǒng)類總體技術(shù)要求電力生產(chǎn)企業(yè)、電網(wǎng)企業(yè)、供電企業(yè)內(nèi)部基于計算機和網(wǎng)絡(luò)技術(shù)的業(yè)務(wù)系統(tǒng)，原則上劃分為生產(chǎn)控制大區(qū)和管理信息大區(qū)，生產(chǎn)控制大區(qū)可以分為控制區(qū)（又稱安全區(qū)I）和非控制區(qū)（又稱安全區(qū)II）；生產(chǎn)控制大區(qū)網(wǎng)絡(luò)與管理信息大區(qū)網(wǎng)絡(luò)應(yīng)物理隔離；兩網(wǎng)之間有信息通信交換時應(yīng)部署符合電力系統(tǒng)要求的單向隔離裝置，確保單向隔離裝置策略配置安全有效，禁止任何穿越邊界的E-Mail、Web、Telnet、Rlogin、FTP等通用網(wǎng)絡(luò)服務(wù)；在生產(chǎn)控制大區(qū)與廣域網(wǎng)的縱向交接處應(yīng)當(dāng)設(shè)置經(jīng)過國家指定部門檢測認(rèn)證的電力專用縱向加密認(rèn)證裝置或者加密認(rèn)證網(wǎng)關(guān)及相應(yīng)設(shè)施，確保縱向加密認(rèn)證裝置策略配置安全有效，實現(xiàn)雙向身份認(rèn)證、數(shù)據(jù)加密和訪問控制；電力調(diào)度數(shù)據(jù)網(wǎng)應(yīng)當(dāng)在專用通道上使用獨立的網(wǎng)絡(luò)設(shè)備組網(wǎng)，在物理層面上實現(xiàn)與其它數(shù)據(jù)網(wǎng)及外部公共信息網(wǎng)的安全隔離；控制區(qū)的信息系統(tǒng)數(shù)據(jù)通信應(yīng)使用電力調(diào)度數(shù)據(jù)網(wǎng)的實時子網(wǎng)或?qū)Ｓ猛ǖ肋M行傳輸，非控制區(qū)的信息系統(tǒng)數(shù)據(jù)通信應(yīng)使用電力調(diào)度數(shù)據(jù)網(wǎng)的非實時子網(wǎng)；控制區(qū)與非控制區(qū)之間應(yīng)采用國產(chǎn)防火墻，或采用具有訪問控制功能的設(shè)備進行隔離；二級系統(tǒng)統(tǒng)一成域，三級及以上系統(tǒng)單獨成域；三級及以上系統(tǒng)域由獨立子網(wǎng)承載，每個域有唯一網(wǎng)絡(luò)出口，可在網(wǎng)絡(luò)出日處部署滿足相應(yīng)等級要求的等級保護專用裝置為系統(tǒng)提供整體安全防護；（注1：等級保護裝置）省級以上及有實際業(yè)務(wù)需要的地區(qū)調(diào)度中心的電力監(jiān)控系統(tǒng)、電力調(diào)度數(shù)據(jù)網(wǎng)上的關(guān)鍵應(yīng)用、關(guān)鍵用戶和關(guān)鍵設(shè)備應(yīng)使用電力調(diào)度數(shù)字證書系統(tǒng)實現(xiàn)身份認(rèn)證、安全數(shù)據(jù)傳輸及鑒權(quán)；生產(chǎn)控制大區(qū)所部署的安全審計系統(tǒng)，可對網(wǎng)絡(luò)運行日志、操作系統(tǒng)運行日志、數(shù)據(jù)庫訪問日志、業(yè)務(wù)應(yīng)用系統(tǒng)運行日志、安全設(shè)施運行日志等進行集中收集、自動分析。3.4生產(chǎn)控制信息系統(tǒng)類總體管理要求如果本單位生產(chǎn)控制大區(qū)僅有一級信息系統(tǒng)時，通用管理要求等同采用一級；如果本單位生產(chǎn)控制大區(qū)含有二級及以下等級信息系統(tǒng)時，通用管理要求等同采用二級；如果本單位生產(chǎn)控制大區(qū)含有三級及以下等級信息系統(tǒng)時，通用管理要求等同采用三級；如果本單位生產(chǎn)控制大區(qū)含有四級及以下等級信息系統(tǒng)時，通用管理要求等同采用四級。能源局駐點安全檢查（尤其是生產(chǎn)控制大區(qū)信息系統(tǒng)（國能監(jiān)管[2013]432號2014XXXXXX管理不足：部分電力企業(yè)網(wǎng)絡(luò)與信息安全工作多頭管理，職能交叉，缺乏統(tǒng)一領(lǐng)導(dǎo)和溝通協(xié)調(diào)；信息安全工作人員配備不足，甚至身兼數(shù)職，不利于信息安全工作的落實。部分電力企業(yè)對網(wǎng)絡(luò)與信息安全的應(yīng)急處置工作重視業(yè)對信息安全等級保護工作重視不夠，定級、備案、測評、整改等環(huán)節(jié)的各項要求落實不嚴(yán)。維護不及時、安全配置不完整。針對存在的問題，能源局提出了如下的監(jiān)管意見：專職崗位，責(zé)任到人，強化信息安全組織保障體系。評，形成常態(tài)化工作機制。對評估、測評中發(fā)現(xiàn)的問題，要安排資金，及時整改，消除安全隱患。PLCPLC查及漏洞整改工作的通知》（國能綜安全[2013]387號PLCPLC人員參加行業(yè)和其它專業(yè)機構(gòu)舉辦的信息安全培訓(xùn)，提高信息安全從業(yè)人員的專業(yè)技術(shù)水平。（尤其是生產(chǎn)監(jiān)控系統(tǒng)）/信息系統(tǒng)的安全可靠運行。國調(diào)中心要求（1）695號文2011695合.。（2）168號文離用戶最新的業(yè)務(wù)環(huán)境。對于配電的安全性來說，任意可接入配電網(wǎng)的主機下發(fā)的控制指令只要是和配電指令要求一1681682015年前完成所有配電終端的整改。（3）常態(tài)化的安全檢查尤其是重大節(jié)日的保電檢查。檢查中會參照電力二次防護的要求從技術(shù)和管理兩個方面對調(diào)度中心三個區(qū)域的不同業(yè)行業(yè)工控系統(tǒng)的安全現(xiàn)狀及問題安全現(xiàn)狀二次防護構(gòu)建EMS（能量管理系統(tǒng)WAMS（廣域監(jiān)測系統(tǒng)調(diào)度員培訓(xùn)系統(tǒng)測系統(tǒng)、氣象信息、日報/早報等生產(chǎn)管理系統(tǒng)等系統(tǒng)組成。其中實時系統(tǒng)主要提供基于毫秒級的實時業(yè)務(wù)處理能力，SCADA和其他支撐調(diào)度系統(tǒng)的相關(guān)數(shù)據(jù)支撐的作用，是調(diào)度生產(chǎn)相關(guān)的業(yè)務(wù)的集中區(qū)域?？刂茀^(qū)和生產(chǎn)管理區(qū)。4電力二次系統(tǒng)的安全防護的運維負責(zé)，依據(jù)電力二次防護方案的要求對電網(wǎng)安全的建設(shè)提供合理的安全規(guī)劃建議。處對威脅的抵御能力。自主可控建設(shè)2000年之前電網(wǎng)中從調(diào)度中心到變電站普遍都在采用國外的控制設(shè)備軟件系統(tǒng)。在變電站和調(diào)度中心陸續(xù)出現(xiàn)了由于國外運維linux系統(tǒng)。在調(diào)度中心除了依據(jù)電力二次安全防護進行防護外，經(jīng)過幾年的國產(chǎn)化改造調(diào)度系統(tǒng)的主要業(yè)務(wù)系統(tǒng)都已經(jīng)實現(xiàn)了國（D5000平臺D5000平臺中集成了內(nèi)網(wǎng)監(jiān)視模塊，來對系統(tǒng)內(nèi)各個業(yè)務(wù)系統(tǒng)的安全狀況進行監(jiān)控。系統(tǒng)的安全。面臨的問題與挑戰(zhàn)APT攻擊等所帶來的沖擊已經(jīng)對電網(wǎng)的安全構(gòu)成了足夠的威脅。行業(yè)安全建設(shè)的需求分析APT檢測與防護需求APTAPTAPT一段時間內(nèi)調(diào)度系統(tǒng)在安全建設(shè)方面的一個新的著力點。工控運維堡壘機事件，造成現(xiàn)實中信息安全需求的剛性不足。被動式漏洞掃描件的安全漏洞從能源局到調(diào)度中心都是非常關(guān)注的，都希望有被動式的掃描產(chǎn)品可以部署在客戶現(xiàn)場來對各個系統(tǒng)的漏洞進行在線檢測，可以對配置發(fā)生變更時，及時進行預(yù)警。評估加固服務(wù)全評估和加固。工控安全發(fā)展的制約因素業(yè)務(wù)的重要性控思路在不完全成熟的情況下，電網(wǎng)一般不會主動引入新的防護思路。網(wǎng)絡(luò)隔離調(diào)度系統(tǒng)本身是一個內(nèi)部全互連外部有限連接的網(wǎng)絡(luò)，通過有效的安裝隔離裝置實現(xiàn)了與外部資源之間有限的信息傳送。在有限外部通信被控制在小范圍可控的情況下，電網(wǎng)短期內(nèi)是不容易接受新的防護思路。成熟產(chǎn)品的需求在電網(wǎng)中運行了多年的隔離裝置和加密認(rèn)證裝置已經(jīng)在電網(wǎng)中得到普遍認(rèn)可。而實際從國內(nèi)工控安全廠商提供的工控行大范圍的推廣。工控安全的推廣策略APT來說是比較迫切的。想進入到調(diào)度提供安全服務(wù)，還是需要我們聯(lián)合相關(guān)的測評機構(gòu)，以測評機構(gòu)的名義來推動安全服務(wù)。PAGE33|結(jié)束語PAGE33|結(jié)束語結(jié)束語本文首先從工業(yè)控制系統(tǒng)自身的脆弱性、最新的安全攻擊事件及安全攻擊威脅的角度討論了工業(yè)控制系統(tǒng)現(xiàn)階段的安全威脅態(tài)勢，分析的結(jié)果表明：2011年之后持續(xù)保持快速增長的勢頭。2013177個，20146451%（16%）（12%）SCADA/HMI（公開漏洞所涉及的工控系統(tǒng)廠商又是市場優(yōu)勢企業(yè)，其系統(tǒng)的廣泛使用性及工控系統(tǒng)漏洞的難以及時修復(fù)等現(xiàn)實情況，使得各行業(yè)工控系統(tǒng)都可能存在嚴(yán)重安全隱患。20146ICS-CERT88種（成為當(dāng)前工控系統(tǒng)所面臨的最大安全威脅。ICS-CERT（59%）和關(guān)鍵制造業(yè)（20%）。（產(chǎn)業(yè)聯(lián)盟等形式前的競爭對手，在現(xiàn)階段也將會存在“合作大于競爭”的可能。礎(chǔ)上提出我們針對該行業(yè)的工控安全服務(wù)的推廣策略。的主管部門、工控系統(tǒng)用戶以及工控安全服務(wù)商在決定下一步工控安全投入時的決策參考。附錄圖表索引表格索引表格3