近日，工業(yè)控制系統(tǒng)安全國家地方聯(lián)合工程實(shí)驗(yàn)室發(fā)布了《IT/OT一體化工業(yè)信息安全態(tài)勢報(bào)告》。報(bào)告顯示，工控系統(tǒng)相關(guān)漏洞增長情況居高不小，安全形勢十分嚴(yán)峻。在2019年工業(yè)應(yīng)急響應(yīng)安全事件中，病毒攻擊仍然是工業(yè)企業(yè)遭受失陷的主要原因，其中，病毒多為"永恒之藍(lán)"蠕蟲變種、挖礦蠕蟲。

工控系統(tǒng)漏洞增長情況居高不下

根據(jù)中國國家信息安全漏洞共享平臺最新統(tǒng)計(jì)，截止到2019年12月，CNVD收錄的與工業(yè)控制系統(tǒng)相關(guān)的漏洞高達(dá)2306個，2019年新增的工業(yè)控制系統(tǒng)漏洞數(shù)量達(dá)到413個，基本和2018年持平。而另據(jù)CVE、NVD、CNVD、CNNVD四大漏洞平臺收錄的漏洞信息顯示，2019年共收錄了690條漏洞工業(yè)控制系統(tǒng)漏洞。數(shù)據(jù)居高不下，安全形勢十分嚴(yán)峻。

2000-2019年CNVD收錄的工控系統(tǒng)漏數(shù)量分布圖

其中，高危漏洞占比57.3%，中危漏洞占比為35.5%，中高危漏洞占比高達(dá)92.8%。且漏洞成因多樣化特征明顯，技術(shù)類型多達(dá)30種以上。無論攻擊者利用何種漏洞造成生產(chǎn)廠區(qū)的異常運(yùn)行，均會影響工控系統(tǒng)組件及設(shè)備的可用性和可靠性。

2019年四大漏洞庫平臺收錄的工控系統(tǒng)漏洞危險(xiǎn)等級圖

在收錄的工業(yè)控制系統(tǒng)安全漏洞中，多數(shù)分布在制造業(yè)、能源、水務(wù)、商業(yè)設(shè)施、石化、醫(yī)療、交通、農(nóng)業(yè)、信息技術(shù)、航空等關(guān)鍵基礎(chǔ)設(shè)施行業(yè)。一個漏洞可能涉及多個行業(yè)，在690個漏洞中，有566個漏洞涉及到制造業(yè)，也是占比最高的行業(yè)。涉及到的能源行業(yè)漏洞數(shù)量高達(dá)502個。

2019年四大漏洞庫平臺收錄的工控漏洞涉及行業(yè)分布圖

工控系統(tǒng)互聯(lián)網(wǎng)暴露總數(shù)持續(xù)攀升，中國同比增長2.7倍

造成工控系統(tǒng)暴露的主要原因之一是"商業(yè)網(wǎng)絡(luò)（IT）"與"工業(yè)網(wǎng)絡(luò)（OT）"的不斷融合。隨著云計(jì)算、物聯(lián)網(wǎng)、大數(shù)據(jù)技術(shù)的廣泛應(yīng)用，工控系統(tǒng)已漸漸從最初的封閉狀態(tài)向開放狀態(tài)改變。暴露在互聯(lián)網(wǎng)上的工業(yè)控制系統(tǒng)設(shè)備也隨之越來越多，從而增加了攻擊者的攻擊面積。

根據(jù)Positive Technologies研究數(shù)據(jù)顯示：當(dāng)前全球工控系統(tǒng)聯(lián)網(wǎng)暴露組件總數(shù)量約為22.4萬個，同比去年增長27%。將可通過互聯(lián)網(wǎng)訪問的工業(yè)控制系統(tǒng)組件（工控設(shè)備、協(xié)議、軟件、工控系統(tǒng)等）數(shù)量按照國家進(jìn)行分類，美國聯(lián)網(wǎng)的工控設(shè)備暴露情況最為嚴(yán)重，達(dá)到95661個，其次為德國，聯(lián)網(wǎng)工控組件達(dá)到21449個，相比去年而言，中國工控系統(tǒng)互聯(lián)網(wǎng)暴露數(shù)量呈現(xiàn)明顯增長趨勢，由6223個增長到16843個，增長比例高達(dá)2.7倍，排名第三。

世界各國工控系統(tǒng)聯(lián)網(wǎng)組件暴露數(shù)量分布圖

需要注意的是，一方面，某地區(qū)工控系統(tǒng)在互聯(lián)網(wǎng)上暴露的越多，往往說明該地區(qū)工業(yè)系統(tǒng)的信息化程度越高，工業(yè)互聯(lián)網(wǎng)越發(fā)達(dá)；而另一方面，暴露的比例越大，也往往意味著工控設(shè)備將直接面對來自互聯(lián)網(wǎng)的威脅。

勒索病毒攻擊仍是工業(yè)安全面臨的主要威脅

2019年奇安信工業(yè)安全應(yīng)急響應(yīng)中心和安全服務(wù)團(tuán)隊(duì)共同為全國工業(yè)企業(yè)提供應(yīng)急求助273起，涉及醫(yī)療衛(wèi)生、交通運(yùn)輸、制造業(yè)、能源等重要關(guān)鍵信息基礎(chǔ)設(shè)施行業(yè)。數(shù)據(jù)顯示，遭受勒索病毒攻擊仍然是工業(yè)企業(yè)面臨的最大挑戰(zhàn)。需要注意的是，病毒攻擊的主要目標(biāo)是工業(yè)主機(jī)，然而工業(yè)主機(jī)大多數(shù)處于裸奔狀態(tài)，因此，工業(yè)企業(yè)應(yīng)落實(shí)工業(yè)主機(jī)的安全防護(hù)。

2019年2月，某大型制造企業(yè)的臥式爐、厚度檢測儀、四探針測試儀、銅區(qū)等多個車間的機(jī)臺主機(jī)以及MES（制造執(zhí)行系統(tǒng)）客戶端都不同程度的遭受蠕蟲病毒攻擊，出現(xiàn)藍(lán)屏、重啟現(xiàn)象。工業(yè)安全應(yīng)急響應(yīng)中心人員到達(dá)現(xiàn)場后發(fā)現(xiàn)，當(dāng)前網(wǎng)絡(luò)中存在的主要問題是工業(yè)生產(chǎn)網(wǎng)和辦公網(wǎng)網(wǎng)絡(luò)邊界模糊不清，MES與工控系統(tǒng)無明顯邊界，在工業(yè)生產(chǎn)網(wǎng)中引入了"永恒之藍(lán)"等勒索蠕蟲變種，感染了大量主機(jī)。

三級協(xié)同建設(shè)全面提升工業(yè)互聯(lián)網(wǎng)安全保障水平

隨著工業(yè)安全形勢的日益嚴(yán)峻，傳統(tǒng)的"圍墻式"網(wǎng)絡(luò)安全建設(shè)、業(yè)務(wù)和安全"兩張皮"、IT安全管理和OT安全管理"兩張皮"式的安全防護(hù)體系已經(jīng)不能滿足越來越復(fù)雜的網(wǎng)絡(luò)安全環(huán)境。規(guī)劃建設(shè)三級協(xié)同的"工業(yè)互聯(lián)網(wǎng)安全技術(shù)保障平臺"有利于全面提高工業(yè)互聯(lián)網(wǎng)安全建設(shè)水平。

平臺基于"監(jiān)測-響應(yīng)"的技術(shù)路線進(jìn)行建設(shè)實(shí)施，有利于工業(yè)生產(chǎn)的長期可靠、穩(wěn)定運(yùn)行。因此，旁路的、非侵入式的平臺建設(shè)結(jié)合關(guān)鍵節(jié)點(diǎn)串接、阻斷式的安全防護(hù)是工業(yè)互聯(lián)網(wǎng)安全建設(shè)的發(fā)展趨勢。

三級協(xié)同的工業(yè)互聯(lián)網(wǎng)安全技術(shù)保障平臺

同時需要注意，目前很多企業(yè)存在著輕視安全運(yùn)營的現(xiàn)象。對此報(bào)告認(rèn)為，工業(yè)企業(yè)可以利用外部資源，特別是安全公司提供的遠(yuǎn)程、駐場或托管式安全運(yùn)營服務(wù)開展工作。工業(yè)企業(yè)也可以把安全運(yùn)營工作上移到集團(tuán)、行業(yè)等平臺，通過委托方式用專業(yè)安全團(tuán)隊(duì)來提供安全保障?；诖?，不僅可以在威脅發(fā)現(xiàn)、風(fēng)險(xiǎn)預(yù)測、處置響應(yīng)、追蹤溯源等方面大幅度提高工業(yè)企業(yè)網(wǎng)絡(luò)安全防護(hù)能力，還可以減少人力資源投入、降低工業(yè)企業(yè)安全運(yùn)營成本。

關(guān)于工業(yè)控制系統(tǒng)安全國家地方聯(lián)合工程實(shí)驗(yàn)室

工業(yè)控制系統(tǒng)安全國家地方聯(lián)合工程實(shí)驗(yàn)室（簡稱：工業(yè)安全國家聯(lián)合實(shí)驗(yàn)室）是由國家發(fā)展與改革委員會批準(zhǔn)授牌成立，由奇安信集團(tuán)承建的對外開放的工業(yè)控制安全技術(shù)方面的公共研究平臺。

工業(yè)安全國家聯(lián)合實(shí)驗(yàn)室以對工業(yè)控制系統(tǒng)安全領(lǐng)域有重大影響的前沿性、戰(zhàn)略性技術(shù)作為研究目標(biāo)，建立以工程實(shí)驗(yàn)室為主，聯(lián)合高等院校、科研院所和國家需求部門、企業(yè)共同參加的，產(chǎn)、學(xué)、研、用相結(jié)合的合作機(jī)制，發(fā)揮高等院校、科研院所在基礎(chǔ)理論研究方面的力量和優(yōu)勢，發(fā)揮國家需求部門、企業(yè)在技術(shù)創(chuàng)新和應(yīng)用方面的主體作用，共享科研成果。