启明星辰天工工业控制系统信息安全解决方案白皮书

工业控制系统信息安全解决方案白皮书启明星辰集团工控安全事业部2015/4/28特别声明本白皮书是在调研几大行业工业控制系统信息安全现状的基础上，提取共性需求整理出来的。由于各行业工业控制系统存在特性，防护思路和方法有差异，如有需要请联系启明星辰集团相关人员。技术联系人：李转琴：工控安全营销总监[e-mail]郑凌鹏：首席专家[e-mail]孟雅辉：工控安全技术总监[e-mail]目录1工业控制信息安全背景.........................................................................................11.1工业控制信息安全事件..................................................................................11.2国内政策和标准情况......................................................................................21.3国外标准和研究情况......................................................................................31.4工业控制系统面临的主要威胁......................................................................52工业控制系统信息安全现状.................................................................................72.1各行业信息安全共性问题..............................................................................72.2城市轨道交通行业..........................................................................................92.3石油化工行业................................................................................................162.4先进制造行业................................................................................................202.5烟草行业........................................................................................................222.6发电行业........................................................................................................243工业控制系统信息安全解决方案.......................................................................273.1参考标准........................................................................................................273.2信息安全防护思路........................................................................................283.3工业控制信息安全防护体系........................................................................294启明星辰集团工业控制信息安全产品介绍......................................................334.1工业控制信息安全产品体系介绍................................................................334.2工业控制信息安全管理系统........................................................................334.3工控异常监测系统........................................................................................434.4工业防火墙....................................................................................................464.5工控漏洞扫描系统........................................................................................464.6现场运维审计与管理系统............................................................................474.7WIFI入侵检测与防护设备...........................................................................484.8操作站安全系统............................................................................................485启明星辰集团介绍...............................................................................................49工业控制系统信息安全解决方案白皮书©2015启明星辰&网御星云11工业控制信息安全背景随着计算机技术网络技术的发展，特别是互联网及社会公共网络平台的快速发展，在“两化”融合的行业发展需求下，为了提高生产高效运行、生产管理效率，国内众多行业大力推进工业控制系统自身的集成化，集中化管理。系统的互联互通性逐步加强，与办公网、互联网也存在千丝万缕的联系。但是工业控制系统建设时更多的是考虑各自系统的可用性，并没有考虑系统之间互联互通的安全风险和防护建设。使得国际国内针对工业控制系统的攻击事件层出不穷，“震网”病毒事件为全球工业控制系统安全问题敲响了警钟，促使国家和社会逐渐重视工业控制系统的信息安全问题。1.1工业控制信息安全事件据权威工业安全事件信息库RISI统计，截止到2013年10月，全球已发生300余起针对工业控制系统的攻击事件。2001年后，随着通用开发标准与互联网技术的广泛使用，针对工业控制系统(ICS)的病毒、木马等攻击行为大幅度增长，直接导致工业控制系统的故障次数明显增多，对人员、设备和环境造成严重的后果。工业控制系统脆弱的安全状况以及面临的日益严重的攻击威胁，已经引起了国家的高度重视，甚至提升到国家安全战略的高度，并在政策、标准、技术、方案等方面展开了积极应对。在明确重点领域工业控制系统信息安全管理要求的同时，国家主管部门在政策和科研层面上也在积极部署工业控制系统的安全保障工作。控制系统信息安全大事件：2007年，攻击者入侵加拿大一个水利上位监控控制系统，破坏了取水调度的控制计算机。2008年，攻击者入侵波兰某城市地铁系统，通过电视遥控器改变轨道扳道器，致四节车厢脱轨。2010年，西门子首次监测到专门攻击该公司工业控制系统的Stuxnet病毒，也称为震网病毒。工业控制系统信息安全解决方案白皮书©2015启明星辰&网御星云22010年，伊朗政府宣布布什尔核电站员工电脑感染Stuxnet病毒，严重威胁核反应堆安全运营。2011年，黑客入侵数据采集与监控系统，使美国伊利诺伊州城市供水系统的供水泵遭到破坏。2011年，微软警告称最新发现的“Duqu”病毒可从工业控制系统制造商收集情报数据。2012年，两座美国电厂遭USB病毒攻击，感染了每个工厂的工控系统，可被病毒窃取数据。2012年，发现攻击多个中东国家的恶意程序Flame火焰病毒，它能收集各行业的敏感信息。2014年，Havex病毒开始对工业控制系统感兴趣，变种多达80余种。Havex背后的攻击者采用了一种巧妙的方法来进行工业间谍活动，通过对ICS/SCADA软件安装包中植入木马，甚至能够入侵到关键技术设施。可以感染工控系统中使用的工业控制软件，这种木马可能有能力禁用水电大坝、使核电站过载、甚至可以做到按一下键盘就能关闭一个国家的电网。2014年，德国境内的钢铁厂去年遭遇到一次网络黑客攻击，并且遭受到“大规模”物理破坏。当时恶意软件攻击了工厂钢铁熔炉控制系统，让钢铁熔炉无法正常关闭。据报告，黑客通过使用鱼叉式网络钓鱼攻击，早已经渗透到工厂的业务网络，并且控制了关键系统。之后，他们再设法访问生产网络。1.2国内政策和标准情况国家非常重视工业控制系统信息安全问题，国内标准频发，已经把问题提到新的高度。中共中央总书记、国家主席、中央军委主席、中央网络安全和信息化领导小组组长习近平2014年2月27日下午主持召开中央网络安全和信息化领导小组第一次会议并发表重要讲话。会议中，习总书记指出，没有网络安全就没有国家安全，没有信息化就没有现代化。工业和信息化部2011年9月发布《关于加强工业控制系统信息安全管理的通知》（[2011]451号），通知明确了工业控制系统信息安全管理的组织领导、技术保障、规章制度等方面的要求，并在工业控制系统的连接、组网、配置、设备选择与升级、数据、应急管理等六个方面提出了明确的具体要求。工业控制系统信息安全解决方案白皮书©2015启明星辰&网御星云32012年6月28号国务院《关于大力推进信息化发展和切实保障信息安全的若干意见（国发[2012]23号》中明确要求：保障工业控制系统安全；重点保障对可能危及生命和公共财产安全的工业控制系统。国家发改委从2011年开始开展工业控制系统信息安全专项，涉及到面向现场设备环境的边界安全专用网关产品、面向集散控制系统（DCS）的异常监测产品、安全采集远程终端单元（RTU）产品、工业应用软件漏洞扫描产品等产业化项目。在电力电网、石油石化、先进制造、轨道交通等领域，支持大型重点骨干企业，按照信息安全等级保护相关要求，开展工业控制系统信息安全建设的试点示范。目前已颁布了如下标准：GB/T26333-2010《工业控制网络安全风险评估规范》；GB/T30976.1-2014—工业控制系统信息安全第1部分：评估规范；GB/T30976.2-2014—工业控制系统信息安全第2部分：验收规范；此外，《工业控制系统信息安全等级保护设计技术指南(草稿)》、《工业控制系统信息安全等级保护基本要求(草稿）》正在编写过程中。《集散控制系统（DCS）安全防护标准》正在征求意见中。在工控安全建设方面走在前列的电力行业早些年已经在生产系统中建立了相