360安全：2018工业互联网安全风险态势报告（15页）.pdf

1、 工业互联网安全风险态势报告（2018） 工业控制系统安全国家地方联合工程实验室 2019.3 主要观点 暴露在外的攻击面越来越大， 工业互联网安全将迎来更高的挑战。 中国暴露在互联网上 的工控系统联网设备达到 6223 个，排名全球第五。 工业互联网安全漏洞数量快速增长，类型多样化特性明显，高危漏洞占比较高，安全形 式日益严峻。 工控漏洞技术类型多达 30 种以上， 无论攻击者利用何种漏洞造成生产厂区的异常运行， 均会影响工控系统组件及设备的灵敏性和可靠性，造成严重的安全问题。 建立工业互联网安全战略推进时间表，推进实现近期、中期、远期的工作目标； 近期：安全意识培训、资产识别、工业主机（端

2、点）防护； 中期：建立共同的 IT/OT 安全运营模式、做好网络安全控制和实时监测、提高 OT 流程 的成熟度； 远期：对工控系统进行定期渗透测试、漏洞扫描、部署新的 OT 安全工具和技术、持续 评估 IT/OT 一体化带来的安全风险。 摘要 全球工控系统联网组件总数量为 175632 个，主要集中在美洲和欧洲国家，中国联网组 件总数量为 6223 个，超出意大利 365 个，排名全球第五； 在所有的工控系统组件中， 工控设备的暴露是最为危险的。 工控设备的暴露意味着攻击 者有可能直接对设备本身发动攻击； 工业互联网安全漏洞数量快速增长，安全形式日益严峻； 类型多样化特性明显，且高危漏洞占比较

3、高； 漏洞涉及行业广泛，以制造业、能源行业为主； 漏洞涉及厂商以国际厂商为主； 很多工业企业的信息中心管理 OT 网络和服务器的连接性和安全性，但往往对于 OT 网 络上的生产设备与控制系统的连接性没有管辖权限，安全责任模糊； 较多工业企业的IT和OT网络并没有进行有效的隔离； 部分工业企业虽然进行了分隔， 并设置了访问策略，但总有员工为方便，私自设置各类双网卡机器，应加强安全意识培 训； 建立工业互联网安全战略推进时间表，推进实现近期、中期、远期的工作目标。 目 录 研究背景 . 1 第一章 工控系统互联网暴露情况 . 2 第二章 工业互联网安全漏洞分析 . 4 一、 安全漏洞数量快速增长，

4、安全形式日益严峻. 4 二、 安全漏洞类型多样化特性明显 . 5 三、 高危漏洞占比较高 . 5 四、 漏洞涉及厂商以国际厂商为主 . 6 五、 漏洞涉及行业广泛，以制造业、能源行业为主 . 6 第三章 工业互联网安全威胁 . 8 一、 OT 安全管理不到位 . 8 二、 IT 和 OT 安全责任模糊. 8 三、 IT 安全控制在 OT 领域无效 . 8 四、 缺乏 OT 资产和漏洞的可见性 . 8 五、 工业主机几乎“裸奔” . 8 六、 IT 和 OT 网络混杂缺防护 . 9 第四章 工业互联网安全推进建议 . 10 附录一 工业控制系统安全国家地方联合工程实验室 . 11 1 研究背景

5、在政策与技术的双轮驱动下， 工业控制系统正在越来越多地与企业内网和互联网相连接， 并与新型服务模式相结合，逐步形成了工业互联网架构。工业互联网是数字浪潮下，工业体 系和互联网体系的深度融合的产物， 是新一轮工业革命的关键支撑。 工业互联网的发展一方 面极大的促进了生产效率和服务水平的提高，另一方面也使原本封闭的系统变得越来越开 放，致使系统安全风险和入侵威胁不断增加，网络安全问题日益突出。 工业互联网目前已经广泛应用于电力、交通、石油、取暖、制造业等关键信息基础设施 领域，一旦发生安全事件，往往会造成巨大的损失和广泛的影响。但是，由于工业互联网环 境的特殊性，传统的 IT 信息安全技术并不能完

6、全有效的保护工业系统的安全，甚至很多常 用的安全技术都不能直接应用于工业网络的安全防护。对于工业互联网安全的分析与防护， 需要使用一些专门的方法和专用的技术。 工业控制系统安全国家地方联合工程实验室（以下简称“联合实验室” ）于 2017 年发布 IT/OT 一体化工业信息安全态势报告 ，总结分析 IT/OT 融合带来的新挑战，给出工业信 息安全建议和展望。 为给政府部门、 科研机构和工业企业提供参考和借鉴， 工业控制系统安全国家地方联合 工程实验室（以下简称联合实验室）编撰了工业互联网安全风险态势报告（2018） 。 本报告对工业互联网安全漏洞的分析，采用了一种新型漏洞评分系统，将可见性、可