工業(yè)互聯(lián)網(wǎng)安全保障體系國家工業(yè)信息安全發(fā)展研究中心監(jiān)測預警所形勢：互聯(lián)互通帶來的安全挑戰(zhàn)防護：工業(yè)企業(yè)安全防護策略技術(shù)：安全保障體系構(gòu)建政策：頂層設(shè)計與戰(zhàn)略布局目

錄二四一三l

2019年全國各類型平臺數(shù)量約過百，應用工業(yè)云平臺的工業(yè)企業(yè)約占比10%，其中，工業(yè)控制系統(tǒng)上云的企業(yè)占比17%。l

實現(xiàn)機器、物品、控制系統(tǒng)、信息系統(tǒng)、人之間的泛在連接，互聯(lián)互通帶來了生產(chǎn)力的顯著提高。一

工業(yè)互聯(lián)網(wǎng)

l先進制造業(yè)”

一

形勢：互聯(lián)互通帶來的安全挑戰(zhàn)l新代信息技術(shù)與制造業(yè)深度融合的產(chǎn)物

新工業(yè)革命的關(guān)鍵支撐和深化“互聯(lián)網(wǎng)

+對未來工業(yè)發(fā)展產(chǎn)生全方位、深層次、革

命性影響的重要基石

lDCS傳感器閥門攝像頭工廠1DCS工業(yè)互聯(lián)網(wǎng)平臺打

破了企業(yè)、設(shè)備間的信息孤島，為黑客入侵、病毒傳播帶來便利，孕育新的信息安全挑戰(zhàn)。網(wǎng)絡(luò)虛擬化存儲服務(wù)器工廠內(nèi)的工業(yè)控制

系統(tǒng)是工業(yè)互聯(lián)網(wǎng)

的數(shù)據(jù)來源。

一

形勢：互聯(lián)互通帶來的安全挑戰(zhàn)

攝像頭

工程師站

操作員站

OPC服務(wù)器

網(wǎng)閘

e

e

uMESERP辦公電腦

資源部署與管理

工業(yè)大數(shù)據(jù)系統(tǒng)工業(yè)數(shù)據(jù)建模分析應用開發(fā)工業(yè)微服

務(wù)組件庫風險通路PLC接入

網(wǎng)關(guān)ERPPLCOPC服務(wù)器

網(wǎng)閘接入

網(wǎng)關(guān)歷史數(shù)據(jù)庫操作員站工程師站防火墻辦公電腦...安全漏洞帶來的風險日趨嚴重

工業(yè)控制系統(tǒng)漏洞數(shù)量自2014年以來大幅增長，2015年后一直維持高位

高危漏洞占比64%

關(guān)鍵制造、能源、水務(wù)、醫(yī)療健康、食品農(nóng)業(yè)等領(lǐng)域受影響較大427

432382245209

20319037市政設(shè)施3%交通運輸7%化學化工7%食品農(nóng)業(yè)7%能源

22%

一

形勢：互聯(lián)互通帶來的安全挑戰(zhàn)低

1%中35%漏洞影響的領(lǐng)域國防工業(yè)其他500450400350300250200150100500工控漏洞數(shù)量統(tǒng)計高、中、低危漏洞比例201020112012201320142015201620172018關(guān)鍵制造

24%通信

2%3%醫(yī)療

10%高

64%4%390聯(lián)網(wǎng)設(shè)備數(shù)量呈上升態(tài)勢

我國在互聯(lián)網(wǎng)上可辨識的智能設(shè)備、物聯(lián)網(wǎng)、工業(yè)控制系統(tǒng)等領(lǐng)域的資產(chǎn)數(shù)量約萬余

個，涉及全國31個?。▍^(qū)、市）

暴露的聯(lián)網(wǎng)系統(tǒng)和設(shè)備多用于市政、能源和智能制造領(lǐng)域

SCADA軟件和Modbus設(shè)備數(shù)量最多

一

形勢：互聯(lián)互通帶來的安全挑戰(zhàn)1600014000120001000080006000400020000網(wǎng)絡(luò)釣魚等傳統(tǒng)網(wǎng)絡(luò)攻擊瞄準工業(yè)企業(yè)關(guān)鍵領(lǐng)域工業(yè)控制系統(tǒng)成為國家網(wǎng)絡(luò)安全對抗陣地工業(yè)數(shù)據(jù)成為攻擊竊密的重點目標針對制造業(yè)的勒索病毒攻擊呈現(xiàn)增勢

一

形勢：互聯(lián)互通帶來的安全挑戰(zhàn)安全整體形勢判斷2018年8月4日，攻擊者使用TRITON攻擊中東某關(guān)鍵基礎(chǔ)設(shè)施內(nèi)的施耐德Triconex安全儀表系統(tǒng)（SIS

），造成SIS系統(tǒng)失效，進而導致工業(yè)生產(chǎn)過程自動關(guān)閉。TRITON是第一個單純針對SIS設(shè)備

的惡意攻擊軟件，主要針對石油石化、天然氣等行業(yè)。典型事件1：中東某關(guān)鍵基礎(chǔ)設(shè)施遭受新型工控惡意軟件TRITON攻擊

一

形勢：互聯(lián)互通帶來的安全挑戰(zhàn)典型事件2：烏克蘭電力系統(tǒng)遭受網(wǎng)絡(luò)攻擊烏克蘭電力系統(tǒng)感染了名為BlackEnergy的惡意軟件。該軟件不僅能夠關(guān)閉電力設(shè)施中的關(guān)鍵系統(tǒng)，還能讓黑客遠程控制目標系統(tǒng)。入侵者遠程訪問配電站控制系統(tǒng)，斷開了數(shù)十個斷路器，造成大面積停電，電力中斷最長達6小時，約140萬人受到影響。

一

形勢：互聯(lián)互通帶來的安全挑戰(zhàn)2019年3月，挪威海德魯公司在全球的多家鋁生產(chǎn)工廠遭受LockerGoga勒索軟件攻擊，致使主機死機，造成多個工廠關(guān)閉、部分工廠切換為手動運營模式，導致生產(chǎn)業(yè)務(wù)中斷。

一

形勢：互聯(lián)互通帶來的安全挑戰(zhàn)典型事件3：挪威海德魯鋁業(yè)集團遭受網(wǎng)絡(luò)勒索典型事件4：烏克蘭氯氣站遭VPNFilter惡意軟件突襲2018年7月，烏克蘭特勤局安全研究人員在烏克蘭Aulska氯氣站的工控系統(tǒng)中檢測到了VPNFilter惡意軟件，已成功阻止VPNFilter對氯蒸餾站的攻擊。若此次攻擊成功，Aulska氯氣站的工控系統(tǒng)將終止運行，并讓受影響的系統(tǒng)發(fā)生崩潰，甚至可能對設(shè)備造成物理損害，從而導致“災難性”的事件發(fā)生。

一

形勢：互聯(lián)互通帶來的安全挑戰(zhàn)形勢：互聯(lián)互通帶來的安全挑戰(zhàn)防護：工業(yè)企業(yè)安全防護策略技術(shù)：安全保障體系構(gòu)建政策：頂層設(shè)計與戰(zhàn)略布局目

錄二四一三

三同步的要求，同步規(guī)劃、同步建設(shè)、同步使用安全技術(shù)措

施；

設(shè)置專門安全管理機構(gòu)和安全管理負責人，定期對從業(yè)人員

進行網(wǎng)絡(luò)安全教育培訓；

對重要系統(tǒng)和數(shù)據(jù)庫進行容災備份；

制定網(wǎng)絡(luò)安全事件應急預案，并定期進行演練；

……工業(yè)互聯(lián)網(wǎng)相關(guān)企業(yè)?屬于網(wǎng)絡(luò)運營者、網(wǎng)絡(luò)產(chǎn)品或者服務(wù)提供者或關(guān)鍵信息基礎(chǔ)設(shè)置運營者?

網(wǎng)絡(luò)安全法已明確其應承擔的網(wǎng)絡(luò)安全責任部分重要工業(yè)互聯(lián)網(wǎng)中的信息系統(tǒng)、控制系統(tǒng)?

屬于關(guān)鍵信息基礎(chǔ)設(shè)施?

受網(wǎng)絡(luò)安全法的重點保護我國第一部全面規(guī)范網(wǎng)絡(luò)空間安全管理的基礎(chǔ)性法律

二

政策：頂層設(shè)計與戰(zhàn)略布局《網(wǎng)絡(luò)安全法》上位法：工業(yè)互聯(lián)網(wǎng)安全的根據(jù)遵循☆重要要求2016和義務(wù)★《關(guān)于深化“互聯(lián)網(wǎng)+先進制造業(yè)”發(fā)展工業(yè)

互聯(lián)網(wǎng)的指導意見》

明確將安全作為工業(yè)互聯(lián)網(wǎng)三大功能體系之一

要求把握好安全與發(fā)展的辯

證關(guān)系

堅持工業(yè)互聯(lián)網(wǎng)安全保障手

段同步規(guī)劃、同步建設(shè)、同

步運行，提升工業(yè)互聯(lián)網(wǎng)安

全防護能力國務(wù)院文件：指導建立工業(yè)互聯(lián)網(wǎng)安全保障體系

二政策：頂層設(shè)計與戰(zhàn)略布局2017.11.27

行動目標：初步建立工業(yè)互聯(lián)網(wǎng)安全保障體系，建立健全安全管理制度機制，全面落實企業(yè)內(nèi)網(wǎng)絡(luò)安全主體責任，制定設(shè)備、平臺、數(shù)據(jù)等至少10項相關(guān)安全標準，同步推進標識解析體系安全建設(shè)，顯著提升安全態(tài)勢感知和綜合保障能力

重點任務(wù)：指導督促企業(yè)強化自身網(wǎng)絡(luò)安全技術(shù)防護，推動加強國家工業(yè)互聯(lián)網(wǎng)安全技術(shù)保障手段及數(shù)據(jù)安全防護技術(shù)手段建設(shè)，提升安全態(tài)勢感知和綜合保障

能力《工業(yè)互聯(lián)網(wǎng)發(fā)展行動計劃（2018-2020年）》工信部文件：旨在深入實施工業(yè)互聯(lián)網(wǎng)創(chuàng)新發(fā)展戰(zhàn)略，推動實體經(jīng)濟與數(shù)字經(jīng)濟深度融合

二政策：頂層設(shè)計與戰(zhàn)略布局2018.5.31三平臺

建設(shè)全國工控安全監(jiān)測網(wǎng)絡(luò)。實現(xiàn)對全國重要工業(yè)控制系統(tǒng)運行狀態(tài)、風險隱患的實時感知、精準研

判和科學決策。

建設(shè)國家應急資源庫。在突發(fā)工業(yè)信息安全事件時，支撐行業(yè)主管部門協(xié)調(diào)技術(shù)專家和專業(yè)隊伍對事件開展分析研判，并調(diào)動相關(guān)應急資源及時有效的開展處置工作。

加強防護技術(shù)研究。

支持建設(shè)工控安全靶場、

仿真測試等共性技術(shù)平臺。

實施信息共享工程。

充分利用云計算、大數(shù)據(jù)等技術(shù)手段，建設(shè)國家工控安全信息共享平臺，實現(xiàn)信

息的安全、可靠、及時共享。

開展信息通報預警。

建設(shè)工控安全信息通報預警平臺，及時發(fā)布風險預警信息，跟蹤風險防范工作進

展，形成快速高效、各方聯(lián)動的信息通報預警體系。《工業(yè)控制系統(tǒng)信息安全行動計劃（2018-2020年）》工信部文件：旨在深入落實國家安全戰(zhàn)略，加快工控安全保障體系建設(shè)，促進工業(yè)信息安全產(chǎn)業(yè)發(fā)展

二政策：頂層設(shè)計與戰(zhàn)略布局2017.12.29一網(wǎng)一庫主要任務(wù)構(gòu)建工業(yè)互聯(lián)網(wǎng)安全管理體系提升企業(yè)工業(yè)互聯(lián)網(wǎng)安全防護水強化工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)安全保護能力建設(shè)國家工業(yè)互聯(lián)網(wǎng)安全技術(shù)手段加強工業(yè)互聯(lián)網(wǎng)安全公共服務(wù)能力推動工業(yè)互聯(lián)網(wǎng)安全科技創(chuàng)新與產(chǎn)業(yè)發(fā)展總體要求

圍繞設(shè)備、控制、網(wǎng)絡(luò)、平臺、數(shù)據(jù)安全，以健全制度機制

形成事前防范、事中監(jiān)測、事后應急能力

全面提升工業(yè)互聯(lián)網(wǎng)創(chuàng)新發(fā)展安全保障能力和服務(wù)水平總體目標

到2020年底，工業(yè)互聯(lián)網(wǎng)安全保障體系初步建立。

到2025年，制度機制健全完善，基本建立起較為完備可

靠的工業(yè)互聯(lián)網(wǎng)安全保障體系。工信部文件：關(guān)于加強工業(yè)互聯(lián)網(wǎng)安全工作的指導意見（征求意見稿）

二

政策：頂層設(shè)計與戰(zhàn)略布局推動工業(yè)互聯(lián)網(wǎng)安全責任落實提升

安全

保障

能力形勢：互聯(lián)互通帶來的安全挑戰(zhàn)防護：工業(yè)企業(yè)安全防護策略技術(shù)：安全保障體系構(gòu)建政策：頂層設(shè)計與戰(zhàn)略布局目

錄二四一三基礎(chǔ)設(shè)施，安全保障的基礎(chǔ)數(shù)據(jù)資源，安全保障的主線業(yè)務(wù)核心，安全保障的核心數(shù)據(jù)來源，安全保障的重點

三技術(shù)：安全保障體系構(gòu)建工業(yè)互聯(lián)網(wǎng)安全全要素工業(yè)互聯(lián)網(wǎng)安全互聯(lián)網(wǎng)安全保障對象工業(yè)生產(chǎn)系統(tǒng)、信息系統(tǒng)、工業(yè)互聯(lián)網(wǎng)平臺信息系統(tǒng)通信協(xié)議控制協(xié)議>1000種，且大多缺乏安全

機制TCP/IP，安全機制較完善接入設(shè)備類型多，防護需求多樣類型相對單一網(wǎng)絡(luò)架構(gòu)復雜，貫穿企業(yè)控制網(wǎng)、管理網(wǎng)、公共互聯(lián)網(wǎng)，難以精準定位風險點簡單，網(wǎng)絡(luò)層級少數(shù)據(jù)保護工業(yè)數(shù)據(jù)，流動方向和路徑復雜，數(shù)據(jù)種類多樣，防護難度大信息數(shù)據(jù)人員要求IT安全+工業(yè)行業(yè)知識積累IT安全

三技術(shù)：安全保障體系構(gòu)建工業(yè)互聯(lián)網(wǎng)安全與互聯(lián)網(wǎng)安全比較工業(yè)互聯(lián)網(wǎng)平臺應用服務(wù)安全檢測能力工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)安全保護能力工業(yè)互聯(lián)網(wǎng)平臺運行安全監(jiān)測預警能力工業(yè)互聯(lián)網(wǎng)設(shè)備安全接入保障能力工業(yè)控制系統(tǒng)信息安全保障能力

三技術(shù)：安全保障體系構(gòu)建

問題導向推動技術(shù)保障體系構(gòu)建風險發(fā)現(xiàn)

風險防范風險消減（態(tài)勢感知

）

（安全防護）

（應急處置）形勢：互聯(lián)互通帶來的安全挑戰(zhàn)防護：工業(yè)企業(yè)安全防護策略技術(shù)：安全保障體系構(gòu)建政策：頂層設(shè)計與戰(zhàn)略布局目

錄二四一三企業(yè)發(fā)展需求網(wǎng)絡(luò)安全威脅企業(yè)高速智能化發(fā)展的需求日益復雜的網(wǎng)絡(luò)安全威脅

四

防護：工業(yè)企業(yè)安全防護策略

工業(yè)企業(yè)面臨的安全挑戰(zhàn)工業(yè)互聯(lián)網(wǎng)智能制造網(wǎng)絡(luò)安全安全管理兩化融合節(jié)能增效轉(zhuǎn)型升級數(shù)據(jù)安全存量安全設(shè)備安全VS工業(yè)設(shè)備

工業(yè)設(shè)備數(shù)量龐大、位置分散、安全防護成本高

工業(yè)設(shè)備大多缺乏安全設(shè)計，本身存在信息、拒絕服

務(wù)等大量嚴重安全威脅

工業(yè)控制系統(tǒng)漏洞頻發(fā)，且企業(yè)為保證系統(tǒng)穩(wěn)定運行，極少進行補丁升級，安全隱患堆積

工控網(wǎng)絡(luò)自身開放化、標準化導致工業(yè)控制系統(tǒng)守

ModBus、OPC、

ProfiNet等專有協(xié)議為滿足運行需求，放棄了全特性，協(xié)議的公開性也導致極攻擊。

網(wǎng)絡(luò)攻擊水平漸高，傳統(tǒng)防火墻、網(wǎng)閘等效果逐漸不足工業(yè)網(wǎng)絡(luò)

四

防護：工業(yè)企業(yè)安全防護策略

工業(yè)企業(yè)安全困境工業(yè)數(shù)據(jù)

工業(yè)數(shù)據(jù)數(shù)據(jù)量龐大、敏感性較高，數(shù)據(jù)遭損壞或丟失造

成經(jīng)濟損失極大

工業(yè)數(shù)量防護無等級差別，防護措施無重點

工業(yè)數(shù)據(jù)缺少全流程可靠安全傳輸及安全存儲，軟件、硬件、協(xié)議等多方面均可造成數(shù)據(jù)安全問題

安全意識淡薄，認為生產(chǎn)網(wǎng)不聯(lián)網(wǎng)就是安全

安全管理缺失，企業(yè)安全管理流程不規(guī)范導致安全事件

缺乏工業(yè)安全整體規(guī)劃及工業(yè)數(shù)據(jù)分類分級保護安全

管理

四

防護：工業(yè)企業(yè)安全防護策略

工業(yè)企業(yè)安全困境平臺應用數(shù)據(jù)分析采集存儲l

面向工業(yè)生產(chǎn)網(wǎng)絡(luò)開展安全數(shù)據(jù)采集和分析，建設(shè)集資產(chǎn)管理、運行監(jiān)測、安

全自查與外部防御為一體的安全態(tài)勢感知體系

，對企業(yè)整體安全態(tài)勢進行可視

化展示，對威脅信息及時告警。國家（省級）工業(yè)互聯(lián)網(wǎng)安全態(tài)勢感知平臺

四防護：工業(yè)企業(yè)安全防護策略1.建設(shè)工業(yè)企業(yè)側(cè)安全態(tài)勢感知體系（發(fā)現(xiàn)風險）數(shù)據(jù)應用與可視化展示系統(tǒng)企業(yè)探針

威脅誘捕蜜罐

工控漏洞掃描器

風險預警系統(tǒng)工業(yè)控制系統(tǒng)虛擬

仿真安全動態(tài)資產(chǎn)發(fā)現(xiàn)漏洞匹配攻擊數(shù)據(jù)采集風險事件高危漏洞數(shù)據(jù)高速存儲數(shù)據(jù)建模防護能力評估主機探針網(wǎng)絡(luò)探針日志探針威脅可視化數(shù)據(jù)預處理威脅預警數(shù)據(jù)提取機器學習特征分析去重合并統(tǒng)計挖掘管理網(wǎng)核

心交換機

工控采集終端

操作員站現(xiàn)場控制層

DCS

PLC

RTU

操作員站

操作員站

-i

網(wǎng)絡(luò)流量探針工業(yè)主機探針漏洞掃描器威脅誘捕系統(tǒng)工控安全風險預警

四防護：工業(yè)企業(yè)安全防護策略Internet生產(chǎn)管理層企業(yè)側(cè)安全態(tài)勢感知體系部署工程師站

工程師站

MESPIMS

倉儲管理工業(yè)企業(yè)安全

態(tài)勢感知平臺過程監(jiān)控層現(xiàn)場設(shè)備層工控網(wǎng)核

心交換機工控蜜罐分離工業(yè)控制系統(tǒng)的開發(fā)、測試和生產(chǎn)環(huán)境，避免開發(fā)、測試環(huán)境中

的安全風險引入生產(chǎn)系統(tǒng)。根據(jù)區(qū)域重要性和業(yè)務(wù)需求劃分工業(yè)控制系統(tǒng)安全域，通過工業(yè)防火墻、

網(wǎng)閘等防護設(shè)備對安全區(qū)域之間進行邏輯隔離安全防護。安全域劃分

物理隔離邏輯隔離直連互聯(lián)網(wǎng)

四防護：工業(yè)企業(yè)安全防護策略2.建設(shè)工業(yè)企業(yè)側(cè)安全防護技術(shù)體系（防護風險）通信網(wǎng)絡(luò)隔離

與防護網(wǎng)絡(luò)

隔離區(qū)域

劃分工業(yè)主機采用經(jīng)過離線環(huán)境中充分驗證測試的安全軟件關(guān)注重大安全漏洞及補丁發(fā)布，及時安裝相關(guān)補丁和服務(wù)包拆除或封閉工業(yè)主機上不必要USB、光驅(qū)、無線等接口

四防護：工業(yè)企業(yè)安全防護策略工業(yè)主機安全防護安全軟件外設(shè)管理補丁升級測試數(shù)據(jù)

保護工業(yè)企業(yè)應對測試數(shù)據(jù)，包括安全評估數(shù)據(jù)、現(xiàn)場組態(tài)開發(fā)數(shù)據(jù)、

系統(tǒng)聯(lián)調(diào)數(shù)據(jù)、現(xiàn)場變更測試數(shù)據(jù)、應急演練數(shù)據(jù)等進行保護，

如簽訂協(xié)議、回收測試數(shù)據(jù)等。數(shù)據(jù)安全

防護工業(yè)企業(yè)應對靜態(tài)存儲的重要工業(yè)數(shù)據(jù)進行加密存儲，設(shè)置訪問

控制功能，對動態(tài)傳輸?shù)闹匾I(yè)數(shù)據(jù)進行加密傳輸，使用VPN

等方式進行隔離保護數(shù)據(jù)備份對關(guān)鍵業(yè)務(wù)數(shù)據(jù)，如工藝參數(shù)、配置文件、設(shè)備運行數(shù)據(jù)、生產(chǎn)