前言

工業(yè)控制系統(Industrial Control Systems,ICS)通常指由計算機設備和工業(yè)生產(chǎn)控制部件組成的系統，主要包括五大部分：數據釆集與監測控制系統(SCADA)、分布式控制系統(DCS)、過(guò)程控制系統(PCS)、可編程邏輯控制器(PLC)及現場(chǎng)總線(xiàn)控制系統(FCS)等。工業(yè)控制系統已經(jīng)廣泛應用于能源、工業(yè)、交通及市政等領(lǐng)域，是我國國民經(jīng)濟、現代社會(huì )以及國家安全的重要基礎設施的核心系統，一旦遭受攻擊會(huì )帶來(lái)巨大的損失。

黨的十八大以來(lái)，我國確立了網(wǎng)絡(luò )強國戰略，加快數字中國建設，信息經(jīng)濟蓬勃發(fā)展， 互聯(lián)網(wǎng)成為國家發(fā)展的重要驅動(dòng)力。中國共產(chǎn)黨第十九次全國代表大會(huì )報告提出，堅持和平發(fā)展道路，推動(dòng)構建人類(lèi)命運共同體，并指出網(wǎng)絡(luò )安全是人類(lèi)面臨的許多共同挑戰之一。加強工業(yè)控制系統網(wǎng)絡(luò )安全建設、加快構建全方位工業(yè)網(wǎng)絡(luò )安全保障體系，是推進(jìn)我國由制造大國向制造強國、網(wǎng)絡(luò )大國向網(wǎng)絡(luò )強國歷史性轉變的重要前提和基礎支撐，黨中央和國家站在國家安全的高度，對保障工業(yè)控制系統網(wǎng)絡(luò )安全作出戰略性、前瞻性部署。2017 年6月1日，我國第一部《網(wǎng)絡(luò )安全法》正式實(shí)施，《網(wǎng)絡(luò )安全法》高度重視工業(yè)控制系統安全，由于工業(yè)控制系統在關(guān)鍵信息基礎設施中的重要性，工控系統安全被提升到前所未有的重視程度。為推動(dòng)我國工業(yè)控制系統網(wǎng)絡(luò )安全建設，一系列法律法規和規范性文件相繼出臺，包括國家互聯(lián)網(wǎng)信息辦公室發(fā)布《關(guān)鍵基礎設施安全保護條例（送審稿）》，工信部印發(fā)《工業(yè)控制系統信息安全防護能力評估工作管理辦法》，以及工業(yè)和信息化部制定了《工業(yè)控制系統信息安全行動(dòng)計劃（2018-2020年）》。

近年，我國網(wǎng)絡(luò )安全面臨的形勢異常嚴峻、復雜，網(wǎng)上的政治戰、輿論戰、技術(shù)戰和信息戰接連不斷，關(guān)鍵基礎設施受制于人、技不如人的現狀仍未改善。隨著(zhù)我國互聯(lián)網(wǎng)普及和工業(yè)4.0、大數據、數字化工程等新技術(shù)、新業(yè)務(wù)的快速發(fā)展與應用，我國工業(yè)控制系統網(wǎng)絡(luò )安全需求也在快速的增長(cháng)。但隨著(zhù)互聯(lián)網(wǎng)應用的深化、網(wǎng)絡(luò )空間戰略地位的日益提升，網(wǎng)絡(luò )空間已經(jīng)成為國家或地區安全博弈的新戰場(chǎng)，我國在工業(yè)控制系統方面面臨的安全問(wèn)題也日益復雜。隨著(zhù)敲詐勒索病毒盛行，設備高危漏洞數量增加，外國設備后門(mén)增多，分布式拒絕服務(wù)攻擊事件峰值流量持續突破新高，聯(lián)網(wǎng)智能設備面臨的安全威脅加劇， 工業(yè)控制系統安全威脅與風(fēng)險不斷加大，網(wǎng)絡(luò )攻擊“武器庫”泄露給網(wǎng)絡(luò )空間安全造成嚴重的潛在安全威脅，APT組織依然活躍等問(wèn)題，對我國工控系統安全不斷提出新的挑戰。

全球能源互聯(lián)網(wǎng)研究研究聯(lián)合360威脅情報中心及國家互聯(lián)網(wǎng)應急中心，在我國工控互聯(lián)網(wǎng)宏觀(guān)安全態(tài)勢監測的基礎上，結合網(wǎng)絡(luò )安全預警通報、應急響應工作實(shí)踐成果，分析總結了2018年能源行業(yè)工業(yè)控制系統網(wǎng)絡(luò )安全狀況。 

2018 年能源行業(yè)工業(yè)控制系統網(wǎng)絡(luò )安全態(tài)勢報告

1  能源行業(yè)工控網(wǎng)絡(luò )安全概況

2018年，我國網(wǎng)絡(luò )安全形勢日益嚴峻，截止2018年5月，根據我國國家信息安全漏洞共享平臺（CNVD）統計，信息安全漏洞總數為6730個(gè)，其中工業(yè)控制系統漏洞總數為190 個(gè)，能源行業(yè)工業(yè)控制系統漏洞為65個(gè)。在CNVD工業(yè)控制系統子漏洞庫中，新增的高危漏洞有95個(gè)，占該子漏洞庫新增數量的50%，漏洞涉及20多個(gè)工業(yè)相關(guān)產(chǎn)品，包括西門(mén)子、施耐德、研華科技等在中國廣泛應用的工控系統產(chǎn)品。在對電力、燃氣、供暖、煤炭、水務(wù)、智能樓宇六個(gè)重點(diǎn)行業(yè)的境內聯(lián)網(wǎng)工控系統或平臺開(kāi)展安全檢測過(guò)程中，發(fā)現存在嚴重漏洞隱患案例超過(guò)249例，這些漏洞若被黑客惡意利用，可能造成相關(guān)系統生產(chǎn)停擺或大量生產(chǎn)、用戶(hù)數據泄露。根據CNCERT監測，2018年1月-5月，發(fā)現超過(guò)10萬(wàn)起針對我國聯(lián)網(wǎng)工控系統和設備的惡意嗅探事件。我國境內1887個(gè)聯(lián)網(wǎng)工控系統或設備型號、參數等數據遭到泄露，涉及西門(mén)子、摩莎、施耐德等多達38家國內外知名廠(chǎng)商的產(chǎn)品和應用。

1.1 工業(yè)控制系統漏洞現狀

安全漏洞，是工業(yè)控制系統面臨的首要安全問(wèn)題。根據美國工業(yè)控制系統網(wǎng)絡(luò )緊急響應小組（ICS-CERT） 最新統計報告，2015年漏洞總數為486個(gè)，2016年漏洞總數為492個(gè)。根據公開(kāi)的ICS漏洞數的年度變化趨勢來(lái)看，工控安全漏洞逐年增加，盡管目前ICS-CERT2017年的工控漏洞收錄數據還未公開(kāi)，但很有可能再創(chuàng )新高。從行業(yè)分布來(lái)看，能源、關(guān)鍵制造業(yè)及水處理依然是工控安全漏洞分布較廣泛的行業(yè)。此外，ICS-CERT安全研究專(zhuān)家指出，針對工業(yè)控制系統環(huán)境入侵的攻擊者數量增長(cháng)無(wú)疑意味著(zhù)可利用的漏洞數量和類(lèi)型也會(huì )同時(shí)增長(cháng)。

圖1 美國 ICS-CERT 歷年收錄工業(yè)控制系統安全漏洞數量 

近年來(lái)，我國國家信息安全漏洞共享平臺（CNVD）所收錄的安全漏洞數量也持續走高。2018年1月至2018年5月，根據CNVD統計，信息安全漏洞總數達6730個(gè)，工業(yè)控制系統漏洞總數為190個(gè)，主要分布在能源、制造、商業(yè)設施、水務(wù)、市政等重點(diǎn)領(lǐng)域。其中，能源行業(yè)工控安全漏洞為65個(gè)，占比34.2%。在CNVD工業(yè)控制系統子漏洞庫中，新增的高危漏洞有95個(gè)，占該子漏洞庫新增數量的50%。 

圖2 CNVD2018 年收錄工業(yè)控制系統安全漏洞數量

 在2018年CNVD收錄的能源行業(yè)工控相關(guān)漏洞中，高危漏洞占比最高，達到52%。中危漏洞占比45%，其余3.0%為低危漏洞。截止2018年5月，CNVD收錄能源行業(yè)工控系統漏洞危險等級分布如下圖。  

圖3 CNVD2018 年收錄能源行業(yè)工控系統安全漏洞危險等級

2018年，CNVD已收錄的工業(yè)控制系統漏洞涉及20多個(gè)工業(yè)相關(guān)產(chǎn)品，數量最多的五大工控廠(chǎng)商的安全漏洞數量中，羅克韋爾最多，為19個(gè)，其次是研華18個(gè)，西門(mén)子和施耐德電氣均為15個(gè)。需要說(shuō)明的是，收錄的漏洞越多，不等于相關(guān)廠(chǎng)商的設備越不安全，因為往往是使用越廣泛的系統，越受安全工作者的關(guān)注，所以被發(fā)現和披露的漏洞往往也越多。  

圖4 CNVD2018 年收錄五大工控廠(chǎng)商安全漏洞數量

1.2 工業(yè)控制系統互聯(lián)網(wǎng)暴露情況

截止2018年5月，國內范圍內，暴露在互聯(lián)網(wǎng)上的工業(yè)控制系統設備數量達97625個(gè)。其中能源行業(yè)暴露在互聯(lián)網(wǎng)上的工業(yè)控制系統設備數量達19341個(gè)，2018年1月至5月暴露的工控設備數量折線(xiàn)圖如下所示。

圖5 2018 年 1 月至 5 月國內工控設備互聯(lián)網(wǎng)暴露數量

2018年暴露在互聯(lián)網(wǎng)上的工控資產(chǎn)涉及西門(mén)子、摩莎、施耐德等多達38家國內外知名廠(chǎng)商的產(chǎn)品和應用，分布如下表表1所示。

表 1  2018年1月至5月國內暴露設備的廠(chǎng)商數據

2018年，截至5月份，我國境內暴露在互聯(lián)網(wǎng)上的能源行業(yè)的工控資產(chǎn)涉及施耐德、西門(mén)子、ABB等7家國內外知名廠(chǎng)商的產(chǎn)品和應用，廠(chǎng)商分布如下圖所示： 

圖6 能源行業(yè)工控廠(chǎng)商設備互聯(lián)網(wǎng)暴露分布

本報告針對全國范圍內工控資產(chǎn)的暴露情況進(jìn)行分析，當前在全國范圍內，已有不少暴露的工業(yè)控制系統，一旦該控制系統被不法分子所利用，將發(fā)生不可知的后果，嚴重情況下將影響經(jīng)濟民生。企業(yè)單位重視自身的對外接口的安全防護工作，尤其是對內部重要工業(yè)控制系統的聯(lián)網(wǎng)情況進(jìn)行自查，采用有效的防護措施來(lái)保障工業(yè)控制系統安全。

1.3 工業(yè)控制系統網(wǎng)絡(luò )安全風(fēng)險分析

工業(yè)控制系統安全是國家關(guān)鍵信息基礎設施安全的重要組成部分。在工業(yè)互聯(lián)網(wǎng)、“中國制造2025”、“工業(yè)4.0”等趨勢驅動(dòng)下，拓展了工業(yè)控制系統發(fā)展空間的同時(shí)，也不斷加大了工業(yè)控制系統網(wǎng)絡(luò )安全的威脅與挑戰。工業(yè)控制系統網(wǎng)絡(luò )安全威脅與挑戰主要來(lái)自?xún)蓚€(gè)方面，一方面是來(lái)自外部的安全挑戰，另一方面來(lái)自工業(yè)系統自身安全建設的不足。 

外部的安全挑戰包括：

· 工控網(wǎng)絡(luò )安全高危漏洞層出不窮

工業(yè)控制系統網(wǎng)絡(luò )安全漏洞數量連年呈現高發(fā)態(tài)勢，近年來(lái)CVE、 NVD、CNVD和CNNVD 收錄的全球工控漏洞數量居高不下，尤其在 2011年漏洞數量發(fā)生漏洞數量發(fā)生急劇增長(cháng)，工控安全漏洞威脅十分嚴重。而且半數以上的工控安全漏洞均為高危漏洞，在2018年CNVD 收錄的能源行業(yè)工控相關(guān)漏洞中，高危漏洞占比高達52%，其次是中危漏洞，占比也達到45%，低危漏洞占比3.0%。由于披露的工控相關(guān)漏洞大多重要程度高，危險性大，一旦被利用，極易造成破壞性的后果。此外，披露的工控安全漏洞類(lèi)型呈現多樣化特征，對業(yè)務(wù)連續性、實(shí)時(shí)性要求高的工控系統來(lái)說(shuō)，無(wú)論是利用這些漏洞造成業(yè)務(wù)中斷、獲得控制權限還是竊取敏感生產(chǎn)數據，都將對工控系統造成極大的安全威脅。最后，工控漏洞的修復進(jìn)度較為遲緩，全球新增的工控漏洞數量要明顯高于修復的漏洞數量，究其原因在于，一方面供應商漏洞修復工作的優(yōu)先級別較低，還要受到軟件開(kāi)發(fā)迭代周期的限制；另一方面工業(yè)企業(yè)出于維持業(yè)務(wù)連續性的考慮，及時(shí)更新和安裝補丁的積極性不高。

·暴露互聯(lián)網(wǎng)上的工控系統及設備有增無(wú)減 

工業(yè)與IT的高度融合，信息技術(shù)（IT）和操作技術(shù)(OT)一體化迅速發(fā)展，越來(lái)越多的工業(yè)控制系統工采用通用硬件和通用軟件，并與企業(yè)網(wǎng)中運行的管理信息系統（如MES、ERP）之間實(shí)現了互聯(lián)、互通、互操作，甚至可以通過(guò)互聯(lián)網(wǎng)、移動(dòng)互聯(lián)網(wǎng)等直接或間接地訪(fǎng)問(wèn)，這就導致了從研發(fā)端、管理端、消費端、生產(chǎn)端任意一端都有可能實(shí)現對工控系統的網(wǎng)絡(luò )攻擊或病毒傳播，給工業(yè)控制系統（ICS）、數據采集與監視控制系統（SCADA） 等工業(yè)設施帶來(lái)了更大的攻擊面。然而工業(yè)控制系統又涉及我國電力、水利、冶金、石油化工、核能、交通運輸、制藥以及大型制造行業(yè)，尤其是能源行業(yè)，一旦遭受攻擊會(huì )帶來(lái)巨大的損失。與傳統IT系統相比較，II/OT一體化的安全問(wèn)題把安全威脅從虛擬世界帶到現實(shí)世界，可能會(huì )對人的生命安全和社會(huì )的安全穩定造成重大影響。

·工控系統網(wǎng)絡(luò )攻擊難度逐漸降低 

隨著(zhù)越來(lái)越多的工控系統暴露在互聯(lián)網(wǎng)上，工控系統日益成為“眾矢之的”，黑客有目的地探測并鎖定攻擊目標變得更加容易。加上針對工控系統的漏洞挖掘和發(fā)布與日俱增， 大量工控系統安全漏洞、攻擊方法可以通過(guò)互聯(lián)網(wǎng)等多種公開(kāi)或半公開(kāi)渠道擴散，極易被 黑客等不法分子獲取利用。如今，對工控系統的入侵攻擊已不再神秘，進(jìn)一步加劇了工控系統的安全風(fēng)險。

首先大量工控系統軟硬件設備漏洞及利用方式可通過(guò)公開(kāi)或半公開(kāi)的渠道獲得。其次， 諸多黑客大會(huì )、開(kāi)源論壇和白帽社區公開(kāi)大量工控系統入侵案例細節，如2017年舉辦的亞 洲黑帽大會(huì )上，研究人員展示了世界上第一款可以在可編程邏輯控制器（PLC）之間進(jìn)行 傳播的蠕蟲(chóng)病毒，發(fā)布了技術(shù)思路和概念驗證程序。我國知名白帽子技術(shù)社區烏云上也有 相當多SCADA系統風(fēng)險案例，詳細描述了SCADA系統的漏洞細節和利用方式。眾多開(kāi)發(fā)者社區發(fā)布的工控系統安全事件技術(shù)分析報告不斷增多，其中許多技術(shù)分析報告給出了網(wǎng)絡(luò )攻擊步驟、詳細攻擊代碼甚至攻擊工具等詳細信息，易被黑客獲取、復現以實(shí)施網(wǎng)絡(luò )攻擊。

此外，美國網(wǎng)絡(luò )武器庫遭泄埋下重大工業(yè)信息安全隱患。維基解密、影子經(jīng)紀人等黑客組織公開(kāi)披露了大批網(wǎng)絡(luò )攻擊工具和安全漏洞，與木馬病毒相結合，可被用于入侵感染工控系統，引發(fā)高頻次、大規模的網(wǎng)絡(luò )攻擊，造成嚴重后果。例如，震驚全球的”WannaCry” 勒索病毒就利用了黑客組織“影子經(jīng)紀人”披露的美國國安局的“永恒之藍”漏洞進(jìn)行傳播，給工控系統造成巨大危害。截至2017年9月8日，維基解密已經(jīng)泄露23批美國中央情報局（CIA）Vault7文件，這些文件中包含了大量網(wǎng)絡(luò )攻擊工具，可被直接或修改后用來(lái)對工控系統發(fā)動(dòng)網(wǎng)絡(luò )攻擊，潛在的安全隱患極大。

工業(yè)系統自身安全建設的不足包括：

· 工業(yè)設備資產(chǎn)的可視性嚴重不足

工業(yè)設備資產(chǎn)可視性不足嚴重阻礙了安全策略的實(shí)施。要在工業(yè)互聯(lián)網(wǎng)安全的戰斗中取勝，“知己”是重要前提。許多工業(yè)協(xié)議、設備、系統在設計之初并沒(méi)有考慮到在復雜網(wǎng)絡(luò )環(huán)境中的安全性，而且這些系統的生命周期長(cháng)、升級維護少也是巨大的安全隱患。

· 很多工控設備缺乏安全設計

在各類(lèi)機床數控系統、PLC、運動(dòng)控制器等所使用的控制協(xié)議、控制平臺、控制軟件等方面，在設計之初可能未考慮完整性、身份校驗等安全需求，存在輸入驗證、許可、授權與訪(fǎng)問(wèn)控制不嚴格，身份驗證不當，配置維護不足，憑證管理不嚴，加密算法過(guò)時(shí)等安全隱患。例如：國產(chǎn)數控系統所采用的操作系統可能是基于某一版本Linux進(jìn)行定制的， 所使用的內核、文件系統、對外提供服務(wù)等一旦穩定均不再修改，可能持續使用多年，有的甚至超過(guò)十年，而這些內核、文件系統、服務(wù)所爆出的安全漏洞并未得到更新，安全隱患長(cháng)期保留。

·設備聯(lián)網(wǎng)機制缺乏安全保障 

工業(yè)控制系統中越來(lái)也多的設備與網(wǎng)絡(luò )相連。如各類(lèi)數控系統、PLC、應用服務(wù)器通過(guò)有線(xiàn)網(wǎng)絡(luò )或無(wú)線(xiàn)網(wǎng)絡(luò )連接，形成工業(yè)網(wǎng)絡(luò )；工業(yè)網(wǎng)絡(luò )與辦公網(wǎng)絡(luò )連接形成企業(yè)內部網(wǎng)絡(luò )； 企業(yè)內部網(wǎng)絡(luò )又與外面的云平臺、第三方供應鏈、客戶(hù)等進(jìn)行網(wǎng)絡(luò )連接。由此產(chǎn)生的主要安全挑戰包括：網(wǎng)絡(luò )數據傳遞過(guò)程的常見(jiàn)網(wǎng)絡(luò )威脅（如：拒絕服務(wù)、中間人攻擊等）、網(wǎng)絡(luò )傳輸鏈路上的硬件和軟件安全（如：軟件漏洞、配置不合理等）、無(wú)線(xiàn)網(wǎng)絡(luò )技術(shù)使用帶來(lái)的網(wǎng)絡(luò )防護邊界模糊等。

· IT 和 OT 系統安全管理相互獨立互操作困難

隨著(zhù)智能制造的網(wǎng)絡(luò )化和數字化發(fā)展，工業(yè)與IT的高度融合，企業(yè)內部人員，如：工程師、管理人員、現場(chǎng)操作員、企業(yè)高層管理人員等，其“有意識”或“無(wú)意識”的行為， 可能破壞工業(yè)系統、傳播惡意軟件、忽略工作異常等，因為網(wǎng)絡(luò )的廣泛使用，這些挑戰的影響將會(huì )急劇放大；而針對員工的社會(huì )工程學(xué)、釣魚(yú)攻擊、郵件掃描攻擊等大量攻擊都利用了員工無(wú)意泄露的敏感信息。因此，在智能制造+互聯(lián)網(wǎng)中，人員管理也面臨巨大的安全挑戰。

· 生產(chǎn)數據面臨丟失、泄露、篡改等安全威脅

智能制造工廠(chǎng)內部生產(chǎn)管理數據、生產(chǎn)操作數據以及工廠(chǎng)外部數據等各類(lèi)數據，不管是通過(guò)大數據平臺存儲、還是分布在用戶(hù)、生產(chǎn)終端、設計服務(wù)器等多種設備上，都將面臨數據丟失、泄露、篡改等安全威脅。 

2  2018 年能源行業(yè)重大工控安全漏洞及網(wǎng)絡(luò )安全事件 

2.1 2018 年能源行業(yè)重大工控安全漏洞

2.1.1 羅克韋爾工控設備曝多項嚴重漏洞

2018年3月，思科Talos安全研究團隊發(fā)文指出羅克韋爾自動(dòng)化公司的 Allen-Bradley MicroLogix 1400系列可編程邏輯控制器( PLC )中存在多項嚴重安全漏洞，這些漏洞可用來(lái)發(fā)起拒絕服務(wù)攻擊、篡改設備的配置和梯形邏輯、寫(xiě)入或刪除內存模塊上的數據等。該 系列可編程邏輯控制器被各關(guān)鍵基礎設施部門(mén)廣泛運用于工業(yè)控制系統（ICS）的執行過(guò) 程控制，一旦被利用將會(huì )導致嚴重的損害。思科Talos團隊建議使用受影響設備的組織機 構將固件升級到最新版本，并盡量避免將控制系統設備以及相關(guān)系統直接暴露在互聯(lián)網(wǎng)中。 

2.1.2 思科網(wǎng)絡(luò )設備爆嚴重安全漏洞

2018年3月，思科公司發(fā)布了一個(gè)遠程代碼執行嚴重漏洞通告（CVE-2018-0171），通告了其網(wǎng)絡(luò )設備上使用的IOS和IOS-XE操作系統的Smart Install Client（用于設備即插即用配置和鏡像管理功能）代碼中存在一處緩沖區溢出漏洞。攻擊者無(wú)需通過(guò)身份驗證就可向遠端思科設備的 TCP 4786 端口發(fā)送精心構造的惡意數據包觸發(fā)漏洞，從而遠程執行任意命令或導致設備停止服務(wù)。該漏洞相關(guān)的技術(shù)細節和驗證程序已經(jīng)公開(kāi)，根據國家信息安全漏洞共享平臺（CNVD）發(fā)布的公告顯示，全球約14.3萬(wàn)臺設備面臨潛在威脅。俄羅斯和伊朗兩國的網(wǎng)絡(luò )基礎設施近日已遭到利用此漏洞的網(wǎng)絡(luò )攻擊，進(jìn)而波及了兩國的ISP（互聯(lián)網(wǎng)服務(wù)提供商）、數據中心以及某些網(wǎng)站，黑客利用該漏洞將路由器重置為默認配置，并向受害者顯示信息。目前，思科已發(fā)布該漏洞修復補丁及相關(guān)修復指南。

2.1.3 西門(mén)子繼電保護設備曝高危漏洞

2018年4月，ICS-CERT（美國工控系統網(wǎng)絡(luò )應急響應小組）發(fā)布安全通告稱(chēng)使用EN100以太網(wǎng)通信模塊和DIGSI 4軟件的西門(mén)子繼電保護設備SIPROTEC 4、SIPROTEC Compact 、Reyrolle存在三個(gè)高危漏洞，可能會(huì )被黑客利用來(lái)攻擊變電站和其他供電設施。此類(lèi)設備用于控制和保護變電站及其他電力基礎設施，當這些漏洞被成功利用時(shí)，攻擊者能夠通過(guò)覆蓋設備配置信息、嗅探網(wǎng)絡(luò )流量等方式獲取設備管理員口令，繼而導致電力設備保護功能中斷。

2.1.4 思科多款工控產(chǎn)品存在 SAML 身份驗證系統漏洞

2018 年 4 月 ， 思 科 公 司 發(fā) 布 了 一 個(gè) 關(guān) 于 SAML 身 份 驗 證 系 統 的 嚴 重 漏 洞 通 告（CVE-2018-0229）。該漏洞允許未經(jīng)身份驗證的遠程攻擊者通過(guò)運行ASA（自適應安全設備軟件）或FTD（威脅防御軟件）來(lái)建立偽造的AnyConnect（桌面移動(dòng)客戶(hù)端軟件）會(huì )話(huà)， 從而開(kāi)啟進(jìn)一步的網(wǎng)絡(luò )攻擊。AnyConnect、ASA、FTD等基礎套件被廣泛應用于思科的工業(yè)安全設備、工業(yè)防火墻等設備中，一旦被利用將會(huì )導致嚴重的網(wǎng)絡(luò )安全風(fēng)險，思科官方建議用戶(hù)通過(guò)升級補丁方式盡快對受影響設備進(jìn)行修復。 

2.1.5 Moxa 工業(yè)安全路由器爆多項嚴重漏洞

2018年4月，思科Talos安全研究團隊發(fā)現Moxa公司的工業(yè)路由器EDR-810中存在17個(gè)安全漏洞，其中包括多個(gè)影響Web服務(wù)器功能的嚴重命令注入漏洞和導致服務(wù)器崩潰的拒絕服務(wù)(DOS)漏洞。EDR-810是Moxa公司2015年發(fā)布的一款集防火墻、交換機等多功能于一體的工業(yè)級多端口安全路由器，被廣泛應用于工業(yè)控制系統中。這些發(fā)現的漏洞已在Moxa EDR-810 V4.1 build 17030317中得到確認，其早期版本的產(chǎn)品也可能受到了影響。目前， 針對這些漏洞，Moxa公司已經(jīng)發(fā)布了新版固件以及相關(guān)修復指南。

2.2  2018 年能源行業(yè)工控網(wǎng)絡(luò )安全事件

2.2.1 俄黑客對美國核電站和供水設施攻擊事件

2018年3月，美國計算機應急準備小組發(fā)布了一則安全通告TA18-074A，詳細描述了俄羅斯黑客針對美國某發(fā)電廠(chǎng)的網(wǎng)絡(luò )攻擊事件。通告稱(chēng)俄黑客組織通過(guò)（1）收集目標相關(guān)的互聯(lián)網(wǎng)信息和使用的開(kāi)源系統的源代碼；（2）盜用合法賬號發(fā)送魚(yú)叉式釣魚(yú)電子郵件；（3）在受信任網(wǎng)站插入JavaScrip或PHP代碼進(jìn)行水坑攻擊；（4）利用釣魚(yú)郵件和水坑攻擊收集用戶(hù)登錄憑證信息；（5）構建基于操作系統和工業(yè)控制系統的攻擊代碼發(fā)起攻擊。本次攻擊的主要目的是以收集情報為主，攻擊者植入了收集信息的程序，該程序捕獲屏幕截圖，記錄有關(guān)計算機的詳細信息，并在該計算機上保存有關(guān)用戶(hù)帳戶(hù)的信息。此安全事件告誡我們：加強員工安全意識教育和管理是十分必要的，如密碼定期更換且不復用，安裝防病毒軟件并確保及時(shí)更新等。  

2.2.2 中東石油和天然氣行業(yè)頻繁受到網(wǎng)絡(luò )攻擊

自2017年3月至今，近 3/4 的中東石油和天然氣工業(yè)組織經(jīng)歷了安全危害，導致其機密數據或操作技術(shù)中斷，在中東受到的所有網(wǎng)絡(luò )攻擊中石油和天然氣行業(yè)占據了一半的比例。最嚴重的一次攻擊事件發(fā)生在2017年8月，沙特阿拉伯的一家石油工廠(chǎng)使用的Triconex 安全控制器系統中存在漏洞，惡意軟件試圖利用漏洞破壞設備并企圖以此引發(fā)爆炸摧毀整個(gè)工廠(chǎng)，但由于惡意代碼寫(xiě)入存在缺陷，未能引發(fā)爆炸。此安全事件告誡我們：對于工業(yè)控制系統要及時(shí)進(jìn)行更新，修復安全漏洞。

2.2.3 美國天然氣公司被攻擊導致交易系統關(guān)閉

2018年4月2日，美國能源公司Energy Services Group的天然氣管道客戶(hù)交易系統受到網(wǎng)絡(luò )攻擊，造成系統關(guān)閉數小時(shí)，萬(wàn)幸的是此次攻擊主要影響的是客戶(hù)賬單信息，并未對天然氣流量造成影響。天然氣管道客戶(hù)交易系統用于幫助管道運營(yíng)商加快跟蹤和調度天然氣流量，此系統被關(guān)閉可能導致天然氣流量供應異常。

2.2.4 烏克蘭能源部網(wǎng)站遭黑客攻擊要求支付贖金解鎖

2018年4月24日，烏克蘭能源和煤炭工業(yè)部網(wǎng)站遭黑客攻擊，網(wǎng)站癱瘓，主機中文件被加密，主頁(yè)留下要求支付比特幣贖金的英文信息，以此換取解鎖文件。經(jīng)過(guò)烏克蘭網(wǎng)絡(luò )警察部門(mén)調查，能源和煤炭工業(yè)部網(wǎng)站受到攻擊是一起孤立事件，不構成大規模網(wǎng)絡(luò )攻擊。烏克蘭政府的其他部門(mén)和機構網(wǎng)站沒(méi)有遭遇類(lèi)似狀況。

2.2.5 印度電力公司遭勒索攻擊，大量客戶(hù)計費數據被竊取鎖定

2018年3月21日，印度Uttar Haryana Bijli Vitran Nigam（簡(jiǎn)稱(chēng) UHBVN）電力公司的網(wǎng)絡(luò )系統遭到了匿名黑客組織入侵，黑客在獲取其計算機系統訪(fǎng)問(wèn)權限后，進(jìn)一步侵入計費系統并竊取和鎖定了大量客戶(hù)計費數據，同時(shí)向UHBVN公司勒索價(jià)值1000萬(wàn)盧布（約15萬(wàn)美元）的比特幣作為贖金。據悉，UHBVN公司負責哈里亞納邦9大地區的電力供應和費用收取，客戶(hù)數量超過(guò)26萬(wàn)名（包括民用、商用和工業(yè)用電），此次遭黑客竊取的數據是客戶(hù)的消費賬單，包括電費繳納記錄、未支付費用及客戶(hù)地址等。UHBVN公司發(fā)言人表示， 遭黑客竊取的數據庫進(jìn)行了加密處理，因此與之相關(guān)的數據并不會(huì )遭到泄露；此外，公司擁有該數據庫的備份并已完成了數據恢復，不會(huì )有業(yè)務(wù)因此中斷或遭受損失 

3  2017 年能源行業(yè)工控系統應急響應典型案例

3.1 工業(yè)控制系統遭勒索軟件攻擊典型案例

3.1.1 某大型能源機構的應急響應處置方案

3.1.1.1 場(chǎng)景回顧

2017年5月12日14:26，360互聯(lián)網(wǎng)安全中心發(fā)現安全態(tài)勢異常，啟動(dòng)黃色應急響應程序，安全衛士在其官方微博上發(fā)布永恒之藍緊急預警。5月13日凌晨1:23’，360安全監測與響應中心接到某大型能源企業(yè)的求助，反映其內部生產(chǎn)設備發(fā)現大規模病毒感染跡象， 部分生產(chǎn)系統已被迫停產(chǎn)。360安全監測與響應中心的安全服務(wù)人員在接到求助信息后， 立即趕往該單位總部了解實(shí)際感染情況。

3.1.1.2 疫情分析

初步診斷認為：WannaCry病毒已在該機構全國范圍內的生產(chǎn)系統中大面積傳播和感染， 短時(shí)間內病毒已在全國各地內迅速擴散，但仍處于病毒傳播初期；其辦公網(wǎng)環(huán)境、各地業(yè) 務(wù)終端（專(zhuān)網(wǎng)環(huán)境）都未能幸免，系統面臨崩潰，業(yè)務(wù)無(wú)法開(kāi)展，事態(tài)非常嚴重。

進(jìn)一步研究發(fā)現，該機構大規模感染W(wǎng)annaCry的原因與該機構業(yè)務(wù)系統架構存在一定的關(guān)聯(lián)；用戶(hù)系統雖然處于隔離網(wǎng)，但是存在隔離不徹底的問(wèn)題；且存在某些設備、系統的協(xié)同機制通過(guò)445端口來(lái)完成的情況。

3.1.1.3 處置方案

安服人員第一時(shí)間建議全網(wǎng)斷開(kāi)445端口，迅速對中招電腦與全網(wǎng)機器進(jìn)行隔離，形成初步處置措施。隨后，針對該企業(yè)實(shí)際情況，制定了應急處置措施，提供企業(yè)級免疫工具并開(kāi)始布防。該企業(yè)在全國范圍內針對該病毒發(fā)送緊急通知，發(fā)布內部應急處理和避免感染病毒的終端擴大傳播的公告。

5月16日，病毒蔓延得到有效控制，染毒終端數量未繼續增長(cháng)，基本完成控制及防御工作。整個(gè)過(guò)程中，該企業(yè)和安全廠(chǎng)商全力協(xié)作配合，監控現場(chǎng)染毒情況、病毒查殺情況， 最終使病毒得到有效控制。

3.1.2 某新能源汽車(chē)廠(chǎng)商的工業(yè)控制系統被 WannaCry 攻擊而停產(chǎn)

3.1.2.1 場(chǎng)景回顧

2017年6月9日，某新能源汽車(chē)制造商的工業(yè)控制系統開(kāi)始出現異常。當日晚上19時(shí)， 該機構生產(chǎn)流水線(xiàn)的一個(gè)核心部分：動(dòng)力電池生產(chǎn)系統癱瘓。該生產(chǎn)系統日產(chǎn)值超百萬(wàn)，停產(chǎn)直接損失嚴重，同時(shí)也就意味著(zhù)其電動(dòng)車(chē)的電力電機模組部分出不了貨，對該企業(yè)的生產(chǎn)產(chǎn)生了極其重大的影響。該機構緊急向360安全監測與響應中心進(jìn)行了求助。

實(shí)際上，這是永恒之藍勒索蠕蟲(chóng)的二次突襲，而該企業(yè)的整個(gè)生產(chǎn)系統已經(jīng)幸運的躲過(guò)了5月份的第一輪攻擊，卻沒(méi)有躲過(guò)第二次。監測顯示，這種第二輪攻擊才被感染情況大量存在，并不是偶然的。  

3.1.2.2 疫情分析

安服人員現場(chǎng)實(shí)際勘測發(fā)現：該機構的工業(yè)控制系統已經(jīng)被WannaCry感染，運行異常， 重復重啟或藍屏，而其辦公終端系統基本無(wú)恙，這是因其辦公終端系統上安裝了比較完善的企業(yè)級終端安全軟件。但在該企業(yè)的工業(yè)控制系統上，尚未部署任何安全措施。感染原因主要是由于其系統與企業(yè)辦公網(wǎng)絡(luò )連通，間接存在公開(kāi)暴露在互聯(lián)網(wǎng)上的接口。后經(jīng)綜合檢測分析顯示，該企業(yè)生產(chǎn)系統中感染W(wǎng)annaCry的工業(yè)主機數量竟然占到了整個(gè)生產(chǎn)系統工業(yè)終端數量的20%。

事實(shí)上，該企業(yè)此前早已制定了工業(yè)控制系統的安全升級計劃，但由于其生產(chǎn)線(xiàn)上的設備環(huán)境復雜，操作系統五花八門(mén)（WinCE終端、Win2000、WinXP終端及其他各種各樣的終端都會(huì )碰到），硬件設備也新老不齊（事后測試發(fā)現，其流水線(xiàn)上最老的電腦設備有10 年以上歷史），所以部署安全措施將面臨巨大的兼容性考驗，所以整個(gè)工控系統的安全措施遲遲沒(méi)有部署。

3.1.2.3 處置方案

因廠(chǎng)商的生產(chǎn)系統中沒(méi)有企業(yè)級終端安全軟件，于是只能逐一對其電腦進(jìn)行排查。一天之后也僅僅是把動(dòng)力電池的生產(chǎn)系統救活。此后，從6月9日開(kāi)始一直到7月底差不多用了兩個(gè)月時(shí)間，該企業(yè)生產(chǎn)網(wǎng)里中的帶毒終端才被全部清理干凈。經(jīng)過(guò)此次事件，該機構對工業(yè)控制系統安全性更加重視，目前已經(jīng)部署了工控安全防護措施。經(jīng)過(guò)測試和驗證， 兼容性問(wèn)題也最終得到了很好的解決。

3.2 工業(yè)控制系統服務(wù)器遭攻擊典型案例

3.2.1 某大型能源公司網(wǎng)站遭遇 APT 入侵

海蓮花（OceanLotus）是首個(gè)由國內安全機構（360威脅情報中心，2015年5月）披露的APT組織。2012年4月起至今，該境外黑客組織對中國政府、科研院所、海事機構、海域建設、航運企業(yè)等相關(guān)重要領(lǐng)域展開(kāi)了有組織、有計劃、有針對性的長(cháng)時(shí)間不間斷攻擊。該組織主要通過(guò)魚(yú)叉攻擊和水坑攻擊等方法，配合多種社會(huì )工程學(xué)手段進(jìn)行滲透，向境內特定目標人群傳播專(zhuān)用木馬程序，秘密控制部分政府人員、外包商和行業(yè)專(zhuān)家的電腦系統， 竊取系統中相關(guān)領(lǐng)域的機密資料。

3.2.1.1 場(chǎng)景回顧

2017年11月，云監測發(fā)現，某大型能源公司網(wǎng)站被海蓮花 APT 組織攻陷。我們認為網(wǎng)站是整個(gè)組織暴露在外的非常關(guān)鍵的入口，這是360云監測第一次發(fā)現APT 與網(wǎng)站入侵直接相關(guān)的國內案例。

圖7 360 云監測第一次發(fā)現 APT 案例

3.2.1.2 疫情分析

該大型能源公司被海蓮花 APT 組織攻陷，云監測發(fā)現其采取的是“水坑攻擊”方式， 并且目前網(wǎng)站首頁(yè)上存在海蓮花 APT 水坑域名相關(guān)的 js。攻擊者團伙入侵網(wǎng)站后，不僅破壞網(wǎng)站的安全性，還會(huì )收集所訪(fǎng)問(wèn)用戶(hù)的系統信息。如果確認感興趣的目標，則會(huì )執行進(jìn)一步的釣魚(yú)攻擊獲取敏感賬號信息或嘗試植入惡意程序進(jìn)行秘密控制。

3.2.1.3 處置方案

 一是建議該企業(yè)及時(shí)清理被篡改的相關(guān)頁(yè)面；二是該企業(yè)與360合作，展開(kāi)全面調查。 

4  能源行業(yè)工控網(wǎng)絡(luò )安全標準與政策動(dòng)向

4.1 2018 年國外工控安全標準與政策動(dòng)向

4.1.1 美國工控安全標準與政策動(dòng)向

4.1.1.1 美國眾議院能源和商業(yè)小組委員會(huì )通過(guò) 4 項能源安全法案

2018年4月，美國能源部公布一份“投資機會(huì )聲明”，將撥款2500萬(wàn)美元（約合人民幣1.57億元）支持能源行業(yè)的網(wǎng)絡(luò )安全項目。同月，美國眾議院能源和商業(yè)小組委員會(huì )通過(guò)4項能源安全法案，旨在提升美國能源部的網(wǎng)絡(luò )響應能力和參與度，并制定新計劃解決電網(wǎng)和管道的安全問(wèn)題。法案包括：（1）要求美國能源部長(cháng)制定計劃提高美國能源管道和液化天然氣設施的物理安全與網(wǎng)絡(luò )安全（“管道與液化天然氣設施網(wǎng)絡(luò )安全準備法案”）；（2）提出將美國能源部的應急響應和網(wǎng)絡(luò )安全工作領(lǐng)導權力提至助理部長(cháng)一級（“能源應急領(lǐng)導法案”）；（3）制定計劃幫助私營(yíng)公共事業(yè)公司識別并使用網(wǎng)絡(luò )安全功能強大的產(chǎn)品（“2018網(wǎng)絡(luò )感知法案”）；（4）提出加強公私合作確保電力設施安全（“公私合作加強電網(wǎng)安全法案”）。這些法案提出“采取可行的措施”，確保美國能源部能有效執行應急和安全活動(dòng)，并確保美國能源供應安全可靠。美國能源部部長(cháng)及高級官員已認識到能源行業(yè)面臨的廣泛網(wǎng)絡(luò )威脅，他們堅持將網(wǎng)絡(luò )安全作為優(yōu)先事項，包括成立新辦公室解決美國能源資產(chǎn)面臨的物理安全和網(wǎng)絡(luò )安全威脅。

4.1.1.2 NIST 正式發(fā)布《提升關(guān)鍵基礎設施網(wǎng)絡(luò )安全的框架網(wǎng)絡(luò )安全框架》1.1 版本

2018年4月，美國商務(wù)部國家標準與技術(shù)研究院（NIST）正式發(fā)布《提升關(guān)鍵基礎設施網(wǎng)絡(luò )安全的框架》1.1版本。該框架側重于對美國國家與經(jīng)濟安全至關(guān)重要的行業(yè)（能源、銀行、通信和國防工業(yè)等）。美國商務(wù)部長(cháng)表示，企業(yè)應當將 NIST 網(wǎng)絡(luò )安全框架作為第一道防線(xiàn)；NIST 院長(cháng)表示，《網(wǎng)絡(luò )安全框架1.1》的發(fā)布是一項重大進(jìn)步，真正反映出公私合作模式在應對網(wǎng)絡(luò )安全挑戰方面的成功。1.1版本更新的內容包括：身份驗證和身份、自我評估網(wǎng)絡(luò )安全風(fēng)險、供應鏈中的網(wǎng)絡(luò )安全管理以及漏洞披露。1.1版本具有靈活性，可滿(mǎn)足組織機構的業(yè)務(wù)或任務(wù)需求，并適用于各種技術(shù)環(huán)境，例如信息技術(shù)、工業(yè)控制系統和物聯(lián)網(wǎng)。

4.1.1.3 美監管機構要求強化電網(wǎng)聯(lián)網(wǎng)便攜設備安全基線(xiàn)

2018年5月，美國聯(lián)邦能源管理委員會(huì )發(fā)布了一項新規定，要求公用事業(yè)公司對“低影響力”或者被認為不那么重要的便攜式設備部署安全控制。該委員會(huì )還要求修訂電源可靠性標準，以降低這些設備中惡意代碼帶來(lái)的風(fēng)險。聯(lián)邦能源委員會(huì )監管的北美Electric Reliability電力公司表示，新政策“代表網(wǎng)絡(luò )安全標準的下一階段”，它將推動(dòng)該行業(yè)的基準網(wǎng)絡(luò )安全。

4.1.1.4 美國 DHS 發(fā)布《網(wǎng)絡(luò )安全戰略》 確定五大方向及七個(gè)目標

2018年5月，美國國土安全部（DHS）發(fā)布網(wǎng)絡(luò )安全戰略，希望更積極地履行網(wǎng)絡(luò )安全使命，以保護關(guān)鍵基礎設施免于遭受網(wǎng)絡(luò )攻擊。該戰略旨在使 DHS 的網(wǎng)絡(luò )安全工作規劃、設計、預算制定和運營(yíng)活動(dòng)按照優(yōu)先級協(xié)調開(kāi)展。該戰略將致力于協(xié)調各部門(mén)的網(wǎng)絡(luò )安全活動(dòng)，以確保相關(guān)工作的協(xié)調一致。 該戰略描繪了 DHS 未來(lái)五年在網(wǎng)絡(luò )空間的路線(xiàn)圖， 為 DHS 提供了一個(gè)框架，指導該機構未來(lái)五年履行網(wǎng)絡(luò )安全職責的方向，以減少漏洞、增強彈性、打擊惡意攻擊者、響應網(wǎng)絡(luò )事件、使網(wǎng)絡(luò )生態(tài)系統更安全和更具彈性，跟上不斷變化的網(wǎng)絡(luò )風(fēng)險形勢。該戰略確定了 DHS 管理網(wǎng)絡(luò )安全風(fēng)險的五大主要方向及7個(gè)明確目標：（1）風(fēng)險識別方面，評估不斷變化的網(wǎng)絡(luò )安全風(fēng)險；（2）減少關(guān)鍵基礎設施脆弱性方面，保護美國聯(lián)邦政府信息系統、保護關(guān)鍵基礎設施；（3）降低網(wǎng)絡(luò )犯罪活動(dòng)威脅方面，防止并打擊網(wǎng)絡(luò )空間的犯罪活動(dòng)；（4）緩解網(wǎng)絡(luò )事件影響方面，有效響應網(wǎng)絡(luò )事件；（5）實(shí)現網(wǎng)絡(luò )安全成果方面，提高網(wǎng)絡(luò )生態(tài)系統的安全性和可靠性、加強管理 DHS 網(wǎng)絡(luò )安全活動(dòng)。

4.1.1.5 美國能源部發(fā)布網(wǎng)絡(luò )安全多年改進(jìn)計劃

2018年5月，美國能源部發(fā)布了長(cháng)達52頁(yè)的美國《能源行業(yè)網(wǎng)絡(luò )安全多年計劃》，為美國能源部網(wǎng)絡(luò )安全、能源安全和應急響應辦公室勾畫(huà)了一個(gè)“綜合戰略”，確定了美國能源部未來(lái)五年力圖實(shí)現的目標和計劃，以及實(shí)現這些目標和計劃將采取的相應舉措，以降低網(wǎng)絡(luò )事件給美國能源帶來(lái)的風(fēng)險。綜合網(wǎng)絡(luò )戰略主要涉及兩個(gè)方面的任務(wù)：通過(guò)與合作伙伴合作，加強美國當今的能源輸送系統安全，以解決日益嚴峻的威脅并持續改進(jìn)安全狀況；推出顛覆性解決方案，從而在未來(lái)開(kāi)發(fā)出具備安全性、彈性和自我防御功能的能源系統。綜合網(wǎng)絡(luò )戰略設定了三個(gè)目標：加強美國能源行業(yè)的網(wǎng)絡(luò )安全防范工作，通過(guò)信息共享和態(tài)勢感知加強當前能源輸送系統的安全性；協(xié)調網(wǎng)絡(luò )事件響應和恢復工作；加速顛覆性解決方案的研發(fā)與示范（RD&D）工作，以創(chuàng )建更安全、更具彈性的能源系統。

4.1.2 其他國家工控安全標準與政策動(dòng)向

4.1.2.1 新加坡通過(guò)《網(wǎng)絡(luò )安全法案》

2018年2月，新加坡國會(huì )通過(guò)《網(wǎng)絡(luò )安全法案》，旨在加強保護提供基本服務(wù)的計算機系統，防范網(wǎng)絡(luò )攻擊。該法案提出針對關(guān)鍵信息基礎設施的監管框架，并明確了所有者確保網(wǎng)絡(luò )安全的職責。能源、交通、航空等基礎設施領(lǐng)域的關(guān)鍵網(wǎng)絡(luò )安全信息被點(diǎn)名加強合作。如果關(guān)鍵信息基礎設施所有者不履行義務(wù)，將面臨最高10萬(wàn)新元的罰款，或兩年監禁，亦或二者并罰。

4.1.2.2 加拿大核實(shí)驗室宣布設立國家網(wǎng)絡(luò )安全創(chuàng )新中心

2018年5月，加拿大核實(shí)驗室（CNL）宣布將在加拿大新不倫瑞克省弗雷德里克頓設立國家網(wǎng)絡(luò )安全創(chuàng )新中心，并稱(chēng)該中心將顯著(zhù)擴大 CNL 的網(wǎng)絡(luò )安全研究能力，為加拿大的國家網(wǎng)絡(luò )安全再添助力。CNL參與行業(yè)驅動(dòng)的研究和開(kāi)發(fā)，涉足能源、核、交通、清潔技術(shù)、國防、安全和生命科學(xué)領(lǐng)域，提供解決方案。CNL設立的國家網(wǎng)絡(luò )安全創(chuàng )新中心將引進(jìn)人才，關(guān)注關(guān)鍵基礎設施中的漏洞， 保護工控系統完整性和安全性。

4.1.2.3 歐盟“關(guān)鍵基礎設施”NIS 指令正式生效

2018年5月，歐盟網(wǎng)絡(luò )與信息系統（NIS）指令正式生效。此項面向歐盟范圍內的新法令有望提高關(guān)鍵基礎設施相關(guān)組織的 IT 安全性，同時(shí)亦將約束各搜索引擎、在線(xiàn)市場(chǎng)以及其它對現代經(jīng)濟擁有關(guān)鍵性影響的組織機構。NIS 指令側重于保障歐盟國家電力、交通以及醫療衛生等領(lǐng)域關(guān)鍵基礎設施的安全性，其力圖通過(guò)加強網(wǎng)絡(luò )防御能力以提升此類(lèi)服務(wù)的安全性與彈性。NIS 指令將覆蓋一切被認定對歐盟國家基礎設施擁有重要影響的組織機構，例如各在線(xiàn)市場(chǎng)、搜索引擎以及關(guān)鍵基礎設施供應商。此項指令要求各歐盟成員國建立國家網(wǎng)絡(luò )安全戰略、計算機安全事件應急小組（CSIRT）以及國家 NIS 主管部門(mén)。此外，各國還必須確定關(guān)鍵組織或“基礎服務(wù)運營(yíng)商（OES）”名單。這些 OES 必須采取適當的安全措施以管理其網(wǎng)絡(luò )與信息系統風(fēng)險，同時(shí)就出現的嚴重安全事件向相關(guān)國家主管部門(mén)進(jìn)行通報。

4.2 2018 年國內工控安全標準與政策動(dòng)向

4.2.1 工信部將實(shí)施工業(yè)互聯(lián)網(wǎng)三年行動(dòng)計劃

2018年2月，2018工業(yè)互聯(lián)網(wǎng)峰會(huì )在北京召開(kāi)。會(huì )議指出，工信部將在今年實(shí)施工業(yè)互聯(lián)網(wǎng)三年行動(dòng)計劃，拓寬工業(yè)互聯(lián)網(wǎng)企業(yè)的融資和上市渠道，為企業(yè)提供必要的支持。工信部將統籌推進(jìn)工業(yè)互聯(lián)網(wǎng)發(fā)展的“323”行動(dòng)，即著(zhù)力打造網(wǎng)絡(luò )、平臺、安全三大體系，加快大型企業(yè)集成創(chuàng )新和中小企業(yè)的應用普及，不斷健全產(chǎn)業(yè)、生態(tài)、國際化三大支撐，為工業(yè)互聯(lián)網(wǎng)企業(yè)協(xié)調政策提供支持。

4.2.2 “兩會(huì )”再次聚焦網(wǎng)絡(luò )工業(yè)互聯(lián)網(wǎng)安全

2018年3月，召開(kāi)的全國“兩會(huì )”上，網(wǎng)絡(luò )安全作為當前一個(gè)熱點(diǎn)話(huà)題備受關(guān)注，“兩會(huì )”代表積極就“網(wǎng)絡(luò )安全”建言獻策。其中，全國政協(xié)委員、啟明星辰董事長(cháng)嚴望佳提出兩個(gè)工控網(wǎng)絡(luò )安全相關(guān)提案：（1）關(guān)于加強工業(yè)互聯(lián)網(wǎng)信息安全建設的提案。建議明確國家、地方及行業(yè)的工業(yè)互聯(lián)網(wǎng)信息安全監督主體和責任；制定工業(yè)互聯(lián)網(wǎng)安全新技術(shù)研究方向，開(kāi)展工業(yè)互聯(lián)網(wǎng)信息安全技術(shù)創(chuàng )新實(shí)驗室和示范基地建設；完善信息安全產(chǎn)品認證及準入機制，建立相關(guān)產(chǎn)品名錄；完善國家工業(yè)互聯(lián)網(wǎng)整體安全保障能力；（2）關(guān)于推動(dòng)國產(chǎn)安全設備在關(guān)鍵信息基礎設施保護中應用的提案。建議對關(guān)鍵信息基礎設施的運營(yíng)企業(yè)購置國產(chǎn)網(wǎng)絡(luò )安全設備出臺稅收優(yōu)惠政策；對企業(yè)可享受稅收優(yōu)惠的網(wǎng)絡(luò )安全設備進(jìn)行明確。

4.2.3 國家互聯(lián)網(wǎng)信息辦公室制定《關(guān)鍵信息基礎設施安全保護條例（送審稿）》

2018年3月，為貫徹落實(shí)《中華人民共和國網(wǎng)絡(luò )安全法》，國家互聯(lián)網(wǎng)信息辦公室會(huì )同有關(guān)部門(mén)制定了《關(guān)鍵信息基礎設施安全保護條例（送審稿）》， 推進(jìn)關(guān)鍵信息基礎設施安全保障體系建設。該《條例》對關(guān)鍵信息基礎設施在網(wǎng)絡(luò )安全等級保護制度基礎上， 實(shí)行重點(diǎn)保護。關(guān)鍵信息基礎設施安全保護堅持頂層設計、整體防護，統籌協(xié)調、分工負責的原則，充分發(fā)揮運營(yíng)主體作用，社會(huì )各方積極參與，共同保護關(guān)鍵信息基礎設施安全。

4.2.4 工信部加快構建工業(yè)互聯(lián)網(wǎng)安全保障體系

2018年5月，由工信部指導，國家工業(yè)信息安全發(fā)展研究中心、工業(yè)信息安全產(chǎn)業(yè)發(fā)展聯(lián)盟主辦的首屆中國工業(yè)信息安全大會(huì )在北京召開(kāi)。會(huì )上發(fā)布《工業(yè)信息安全概論》、《中國工業(yè)信息安全產(chǎn)業(yè)發(fā)展白皮書(shū)》、《工業(yè)控制系統信息安全防護指引》?！豆I(yè)信息安全概論》系統介紹了工業(yè)信息安全領(lǐng)域重點(diǎn)概念定義，深刻分析工業(yè)信息安全當前發(fā)展現狀，詳細解讀工業(yè)信息安全發(fā)展政策條件，分享工業(yè)信息安全具體應用及技術(shù)實(shí)踐經(jīng)驗?！吨袊I(yè)信息安全產(chǎn)業(yè)發(fā)展白皮書(shū)》從工業(yè)信息安全產(chǎn)業(yè)范疇、產(chǎn)業(yè)結構、產(chǎn)業(yè)政策、行業(yè)應用、技術(shù)發(fā)展等方面綜合分析工業(yè)信息安全產(chǎn)業(yè)形勢，系統反映我國工業(yè)信息安全產(chǎn)業(yè)發(fā)展現狀?！豆I(yè)控制系統信息安全防護指引》重點(diǎn)基于《工業(yè)控制系統信息安全防護指南》要求，從安全管理、運行維護、技術(shù)操作等多維度，提出具體可行的防護策略、實(shí)施建議和解決方案，為工業(yè)企業(yè)開(kāi)展工控安全防護工作提供技術(shù)指導。

 工信部網(wǎng)絡(luò )安全管理局副局長(cháng)在會(huì )上表示，工信部正在加快構建工業(yè)互聯(lián)網(wǎng)安全保障體系，目前已初步形成以健全制度機制、建設技術(shù)手段、促進(jìn)產(chǎn)業(yè)發(fā)展、強化人才培育四大領(lǐng)域為基本內容的體系架構。工信部下一步將從加強工作指導、建設安全技術(shù)保障體系、建立安全檢查機制、強化工業(yè)互聯(lián)網(wǎng)數據安全保護、推進(jìn)工業(yè)互聯(lián)網(wǎng)安全產(chǎn)業(yè)發(fā)展五方面推進(jìn)我國工業(yè)互聯(lián)網(wǎng)安全保障工作。

4.2.5 工信部印發(fā)《工業(yè)互聯(lián)網(wǎng)發(fā)展行動(dòng)計劃（2018-2020 年）》

2018年6月，根據《國務(wù)院關(guān)于深化“互聯(lián)網(wǎng)+先進(jìn)制造業(yè)”發(fā)展工業(yè)互聯(lián)網(wǎng)的指導意 見(jiàn)》（以下簡(jiǎn)稱(chēng)《指導意見(jiàn)》），2018-2020 年是我國工業(yè)互聯(lián)網(wǎng)建設起步階段，對未來(lái)發(fā)展影響深遠。為貫徹落實(shí)《指導意見(jiàn)》要求，深入實(shí)施工業(yè)互聯(lián)網(wǎng)創(chuàng )新發(fā)展戰略，推動(dòng) 實(shí)體經(jīng)濟與數字經(jīng)濟深度融合，工信部印發(fā)《工業(yè)互聯(lián)網(wǎng)發(fā)展行動(dòng)計劃（2018-2020年）》 和《工業(yè)互聯(lián)網(wǎng)專(zhuān)項工作組2018年工作計劃》。其中，行動(dòng)計劃列出基礎設施能力提升、標識解析體系構建、工業(yè)互聯(lián)網(wǎng)平臺建設、核心技術(shù)標準突破、新模式新業(yè)態(tài)培育、產(chǎn)業(yè) 生態(tài)融通發(fā)展、安全保障水平增強、開(kāi)放合作實(shí)施推進(jìn)、加強統籌推進(jìn)、推動(dòng)政策落地等 十大方面共計36項重點(diǎn)任務(wù)，提出到2020年底，初步建成工業(yè)互聯(lián)網(wǎng)基礎設施和產(chǎn)業(yè)體系。

5  總結

隨著(zhù)我國互聯(lián)網(wǎng)普及和工業(yè)4.0、大數據、數字化工程等新技術(shù)、新業(yè)務(wù)的快速發(fā)展與應用，工業(yè)控制系統網(wǎng)絡(luò )復雜度在不斷提高，各生產(chǎn)單元內部系統與受控系統信息交換的需求也不斷增長(cháng)，工業(yè)控制系統網(wǎng)絡(luò )安全需求也在快速的增長(cháng)。近年來(lái)，隨著(zhù)工業(yè)控制系統安全面臨高危安全漏洞層出不窮、暴露互聯(lián)網(wǎng)上的工控系統及設備有增無(wú)減、網(wǎng)絡(luò )攻擊難度逐漸降低，工業(yè)控制系統網(wǎng)絡(luò )安全威脅與風(fēng)險不斷加大。工控系統漏洞及入侵案例細節公開(kāi)、美國網(wǎng)絡(luò )“武器庫”泄露、APT組織依然活躍等問(wèn)題，對我國工控系統安全不斷提出新的挑戰。工業(yè)與IT的高度融合，II/OT一體化把安全威脅從虛擬世界帶到現實(shí)世界，尤其是能源行業(yè)，一旦遭受攻擊會(huì )帶來(lái)巨大的損失。

我國工業(yè)控制系統網(wǎng)絡(luò )安全主要面臨安全挑戰包括：

· 工控系統日益成為黑客攻擊和網(wǎng)絡(luò )戰的重要目標

工控系統是我國工業(yè)生產(chǎn)的“神經(jīng)中樞”，是電力系統、鋼鐵石化、軌道交通、先進(jìn)制造、國防軍工、市政水務(wù)以及核設施等重點(diǎn)領(lǐng)域關(guān)鍵信息基礎設施的核心組成，工控安全直接關(guān)系到人民生命財產(chǎn)安全、社會(huì )穩定甚至國家安全。工控系統的極端重要性決定了其極易成為互聯(lián)網(wǎng)攻擊和網(wǎng)絡(luò )戰的重要目標。一方面，從工控系統自身結構看，由于采用專(zhuān)用的通信協(xié)議、操作系統和軟硬件設置，且缺乏相應的安全防御措施，系統固有的漏洞容易被攻擊者利用以進(jìn)行破壞性的操作。從外部網(wǎng)絡(luò )環(huán)境看，在“互聯(lián)網(wǎng)+”、“工業(yè)4.0” 等政策的驅動(dòng)下，工控系統與傳統IT環(huán)境的物理隔離逐漸被打破，攻擊者能夠使用傳統的IT系統攻擊方法深入到工控系統網(wǎng)絡(luò )，從而發(fā)起攻擊。當前大國之間軍事對抗日益升級， 恐怖主義活動(dòng)和社會(huì )不穩定因素不斷增加，未來(lái)工控系統將進(jìn)一步成為國家之間網(wǎng)絡(luò )對抗的重要目標，以及黑客組織實(shí)施攻擊破壞的重點(diǎn)對象，防護壓力空前增大。伊朗震網(wǎng)病毒、烏克蘭電網(wǎng)事件、俄羅斯輸氣管道爆炸、德國鋼廠(chǎng)事故等一系列網(wǎng)絡(luò )安全事件表明，工控系統正面臨越來(lái)越多的復雜攻擊，如何增強工控系統安全性，抵御內外部攻擊已經(jīng)成為了世界各國關(guān)注的焦點(diǎn)問(wèn)題。

· 大批網(wǎng)絡(luò )武器泄露顯著(zhù)降低工業(yè)領(lǐng)域的攻擊門(mén)檻

“WannaCry”和“永恒之石”（“EternalRocks”）等網(wǎng)絡(luò )安全事件，都是不法分子利用2017年泄露的美國中央情報局（CIA）、國家安全局（NSA）的網(wǎng)絡(luò )武器工具發(fā)起的攻擊。這些網(wǎng)絡(luò )武器的攻擊對象包括微軟、安卓、蘋(píng)果iOS、OS X和Linux等多種通用操作系統，以及車(chē)載智能系統和路由器等網(wǎng)絡(luò )節點(diǎn)單元和智能設備。曝光的網(wǎng)絡(luò )工具通過(guò)暗網(wǎng)等渠道進(jìn)行非法交易和大量擴散，使得犯罪分子可輕易獲取攻擊工具，發(fā)起高強度網(wǎng)絡(luò )攻擊門(mén)檻大大降低。由于工業(yè)生產(chǎn)領(lǐng)域同樣大量使用標準IT產(chǎn)品，使得不法分子可以利用這些網(wǎng)絡(luò )武器入侵工控領(lǐng)域并發(fā)起網(wǎng)絡(luò )攻擊，加劇工控系統遭受惡意攻擊的威脅。

· 針對工業(yè)領(lǐng)域的勒索軟件、定向攻擊將愈發(fā)普遍

針對工控系統的勒索攻擊、定向攻擊等新型攻擊模式逐漸成熟。一方面，傳統勒索軟件已對能源、交通等領(lǐng)域的工控系統造成了影響；另一方面，出現了定向攻擊工控系統的新型惡意軟件，如直擊電網(wǎng)工控設備的網(wǎng)絡(luò )攻擊武器“Industroyer”，以及專(zhuān)門(mén)針對工控領(lǐng)域的勒索軟件“必加”（Petrwrap），對工控網(wǎng)絡(luò )安全造成極大威脅。

·工業(yè)互聯(lián)網(wǎng)的應用普及給工控安全帶來(lái)更大挑戰

隨著(zhù)國務(wù)院印發(fā)《關(guān)于深化“互聯(lián)網(wǎng)+先進(jìn)制造業(yè)”發(fā)展工業(yè)互聯(lián)網(wǎng)的指導意見(jiàn)》， 我國工業(yè)互聯(lián)網(wǎng)發(fā)展面臨難得的戰略窗口期，同時(shí)也給保障工控安全帶來(lái)更為嚴峻的挑戰。一方面，網(wǎng)絡(luò )空間對抗博弈加劇，工業(yè)領(lǐng)域信息基礎設施成為重點(diǎn)攻擊目標，防護壓力空 前增大。另一方面，相較傳統網(wǎng)絡(luò )安全，工業(yè)互聯(lián)網(wǎng)安全呈現新的特點(diǎn)，較傳統網(wǎng)絡(luò )安全 進(jìn)一步增加了安全防護難度。一是互聯(lián)互通導致攻擊路徑增多。工業(yè)互聯(lián)網(wǎng)實(shí)現了全系統、全產(chǎn)業(yè)鏈和全生命周期的互聯(lián)互通，使傳統互聯(lián)網(wǎng)安全威脅延伸至工業(yè)生產(chǎn)領(lǐng)域，且攻擊 者從研發(fā)端、管理端、消費端、生產(chǎn)端都有可能實(shí)現對工業(yè)互聯(lián)網(wǎng)的攻擊。二是開(kāi)放化、標準化導致易攻難守。工業(yè)互聯(lián)網(wǎng)系統與設備供應商越來(lái)越多的使用公開(kāi)協(xié)議以及標準化 的Windows或Unix操作系統技術(shù)架構。這些協(xié)議與模塊操作系統的安全漏洞使攻擊者的攻 擊門(mén)檻大為降低。三是現有安全產(chǎn)品和技術(shù)措施相對滯后于工業(yè)互聯(lián)網(wǎng)發(fā)展普及的步伐。工業(yè)互聯(lián)網(wǎng)架構中通信和計算資源往往有限，很多傳統安全防護設備由于占用資源較大， 可能不再適用，由于產(chǎn)業(yè)技術(shù)支撐能力嚴重不足，尚未出現。四是海量設備集成和數據流動(dòng)帶來(lái)新的信息安全挑戰。工業(yè)互聯(lián)網(wǎng)集成海量設備系統，導致更多安全漏洞產(chǎn)生，工業(yè)數據量爆炸性增加，互聯(lián)互通使得工業(yè)生產(chǎn)網(wǎng)絡(luò )的攻擊泄密事件的數量飆升，所造成的影響也變得更為重大。 

· 工業(yè)數據作為企業(yè)核心資源面臨嚴峻的安全風(fēng)險

工業(yè)數據囊括了從客戶(hù)需求到銷(xiāo)售、訂單、計劃、研發(fā)、設計、工藝、制造等整個(gè)產(chǎn)品全生命周期的各類(lèi)數據，這些數據具有的價(jià)值巨大，特別是研發(fā)、設計、工藝等數據還可能涉及知識產(chǎn)權，關(guān)系企業(yè)經(jīng)營(yíng)和生產(chǎn)安全，甚至關(guān)乎國家安全。當前，我國工業(yè)數據的安全防護能力較為薄弱，安全環(huán)境比較嚴峻：一是工業(yè)數據安全頂層設計不足。工業(yè)數據安全監管相關(guān)的政策制度、標準規范等都還不夠完善，開(kāi)展工作缺乏政策支持，實(shí)施防護沒(méi)有專(zhuān)門(mén)的標準指南參考。二是工業(yè)數據安全主體責任不明。在工業(yè)數據的共享、交換、流通過(guò)程中，會(huì )出現數據擁有者與管理者不同、數據所有權和使用權分離的情況，從而帶來(lái)數據濫用、權屬不明確、安全主體責任不清晰等安全風(fēng)險，將嚴重損害數據所有者的權益。三是工業(yè)數據安全技術(shù)保障能力有待提升。調研發(fā)現，當前我國工業(yè)大數據還處于推廣和發(fā)展階段，安全保障沒(méi)有跟上，沒(méi)有做到“三同步”，已有的安全措施以傳統安全防護手段為主，專(zhuān)門(mén)的工業(yè)數據安全技術(shù)手段較為缺乏。因此，加強工業(yè)數據保護，提高工業(yè)數據抵御黑客攻擊竊密的能力，將是日后工控網(wǎng)絡(luò )安全工作的重要課題。