2月1日,2018工业互联网峰会在北京国家会议中心举办。会上,工业控制系统安全国家地方联合工程实验室、360威胁情报中心发布《IT/OT一体化的工业信息安全态势报告(2017)》(以下简称“态势报告”)。态势报告阐述了IT/OT一体化融合带来的安全挑战,分析了2017工业信息安全重大事件以及大量工业信息系统应急响应典型案例,并提出工业信息安全建议。
随着IT/OT(信息技术和操作技术)一体化的逐步推进,工业控制系统越来越多地与企业网和互联网相连接,形成了一个开放式的网络环境。工控系统网络化发展导致了系统安全风险和入侵威胁不断增加,面临的网络安全问题也更加突出。由于工控网络系统环境的特殊性,传统的IT信息安全技术不能直接应用于工业控制网络的安全防护。然而,工业控制系统又应用于国家的电力、交通、石油、取暖、制药等多种大型制造行业,一旦遭受攻击会带来巨大的损失,因此需要有效的方法确保工控系统的网络安全。
安全漏洞,是工业控制系统面临的首要安全问题。根据美国工业控制系统网络紧急响应小组(ICS-CERT)最新统计报告,2015年漏洞总数为486个,2016年美国关键基础设施存在492个安全漏洞。根据公开的ICS漏洞数的年度变化趋势来看,工控安全漏洞逐年增加。
自2000年1月截止到2017年12月,根据我国国家信息安全漏洞共享平台(CNVD)统计,所有的信息安全漏洞总数为101734个,其中工业控制系统漏洞总数为1437个。2017年CNVD统计的新增信息安全漏洞4798个,工控系统新增漏洞数351个,均比去年同期有显著增长;其中,高危漏洞占比最高,达到53.6%。中危漏洞占比42.4%,其余4.0%为低危漏洞。
根据态势报告的分析,对于传统IT网络安全,保密性优先级最高,其次是完整性、可用性。工业网络则有明显的不同,工业网络更为关注的是系统设备的可用性、实时性。由于IT系统和OT系统之间存在的众多差异,当工业互联网的IT/OT进行融合时会带来很多安全挑战,包括暴露在外的攻击面越来越大,操作系统安全漏洞难以修补,软件漏洞容易被黑客利用,恶意代码不敢杀、不能杀,DDOS攻击随时可能中断生产,高级持续性威胁时刻环伺等。
此外,一些安全挑战还来源于工业系统自身安全建设的不足,诸如工业设备资产的可视性严重不足,很多工控设备缺乏安全设计,设备联网机制缺乏安全保障,IT和OT系统安全管理相互独立操作困难,生产数据面临丢失、泄漏、篡改等安全威胁。
在国际市场中,2017年OT安全全球市场规模102.4亿美元,2022年将达到138.8亿美元,年均复合增长率为6.3%;利润率高,市场渗透度为5%-20%;Gartner市场趋势预测:到2020年,50%的OT服务供应商将与IT供应商建立合作伙伴关系。Gartner认为,OT安全对关键基础设施、智能楼宇、工厂管理、医疗和零售行业等资产密集型或资产中心化的组织是非常有用的。
在工业安全2018-2020行动计划中,通过对MarketsandMarkets、Credence Research、和讯网、工控安全蓝皮书等的统计分析,国内市场2018工控安全市场保守预计在4.4亿元。
业内分析,IT/OT一体化发展趋势为:IT和OT分离管理的情况将会打破;基于以太网的尽力交付模型将不再适用;开始考虑时间敏感网络(TSN)自底向上打通;数字孪生。
为此,针对工业信息安全态势报告也提出了相关建议:
- 要建立网络安全滑动标尺动态安全模型;
- 从安全运营等角度,建立企业的工业安全运营中心,以解决越来越多等安全产品部署在网络中形成的“安全防御孤岛”问题;
- 组建IT&OT融合的安全管理团队,对整个工业控制系统进行安全运营;
- 在技术层面提高防护能力,具体包括终端层面、网络层面、监控层面、可恢复性(备份层面)等。
网络安全滑动标尺动态安全模型
报告下载:
http://zt.360.cn/1101061855.php?dtid=1101062514&did=491010855