工业安全国家联合实验室发布工业信息安全态势报告

2月1日，2018工业 互联网 峰会在北京国家会议中心举办。会上，工业控制系统安全国家地方联合工程实验室、360威胁情报中心发布《IT/OT一体化的工业信息安全态势报告（2017）》（以下简称“态势报告”）。态势报告阐述了IT/OT一体化融合带来的安全挑战，分析了2017工业信息安全重大事件以及大量工业信息系统应急响应典型案例，并提出工业信息安全建议。

随着IT/OT（信息技术和操作技术）一体化的逐步推进，工业控制系统越来越多地与企业网和互联网相连接，形成了一个开放式的网络环境。工控系统网络化发展导致了系统安全风险和入侵威胁不断增加，面临的网络安全问题也更加突出。由于工控网络系统环境的特殊性，传统的IT信息安全技术不能直接应用于工业控制网络的安全防护。然而，工业控制系统又应用于国家的电力、交通、石油、取暖、制药等多种大型制造行业，一旦遭受攻击会带来巨大的损失，因此需要有效的方法确保工控系统的网络安全。

安全漏洞，是工业控制系统面临的首要安全问题。根据美国工业控制系统网络紧急响应小组（ICS-CERT）最新统计报告，2015年漏洞总数为486个，2016年美国关键基础设施存在492个安全漏洞。根据公开的ICS漏洞数的年度变化趋势来看，工控安全漏洞逐年增加。

自2000年1月截止到2017年12月，根据我国国家信息安全漏洞共享平台（CNVD）统计，所有的信息安全漏洞总数为101734个，其中工业控制系统漏洞总数为1437个。2017年CNVD统计的新增信息安全漏洞4798个，工控系统新增漏洞数351个，均比去年同期有显著增长；其中，高危漏洞占比最高，达到53.6%。中危漏洞占比42.4%，其余4.0%为低危漏洞。

根据态势报告的分析，对于传统IT网络安全，保密性优先级最高，其次是完整性、可用性。工业网络则有明显的不同，工业网络更为关注的是系统设备的可用性、实时性。由于IT系统和OT系统之间存在的众多差异，当工业互联网的IT/OT进行融合时会带来很多安全挑战，包括暴露在外的攻击面越来越大，操作系统安全漏洞难以修补，软件漏洞容易被黑客利用，恶意代码不敢杀、不能杀，DDOS攻击随时可能中断生产，高级持续性威胁时刻环伺等。

此外，一些安全挑战还来源于工业系统自身安全建设的不足，诸如工业设备资产的可视性严重不足，很多工控设备缺乏安全设计，设备联网机制缺乏安全保障，IT和OT系统安全管理相互独立操作困难，生产数据面临丢失、泄漏、篡改等安全威胁。

在国际市场中，2017年OT安全全球市场规模102.4亿美元，2022年将达到138.8亿美元，年均复合增长率为6.3%；利润率高，市场渗透度为5%-20%；Gartner市场趋势预测：到2020年，50%的OT服务供应商将与IT供应商建立合作伙伴关系。Gartner认为，OT安全对关键基础设施、智能楼宇、工厂管理、医疗和零售行业等资产密集型或资产中心化的组织是非常有用的。

在工业安全2018-2020行动计划中，通过对MarketsandMarkets、Credence Research、和讯网、工控安全蓝皮书等的统计分析，国内市场2018工控安全市场保守预计在4.4亿。

业内分析，IT/OT一体化发展趋势为：IT和OT分离管理的情况将会打破；基于以太网的尽力交付模型将不再适用；开始考虑时间敏感网络（TSN）自底向上打通；数字孪生。

为此，针对工业信息安全态势报告也提出了相关建议：要建立网络安全滑动标尺动态安全模型；从安全运营等角度，建立企业的工业安全运营中心，以解决越来越多等安全产品部署在网络中形成的“安全防御孤岛”问题；组建IT&OT融合的安全管理团队，对整个工业控制系统进行安全运营；在技术层面提高防护能力，具体包括终端层面、网络层面、监控层面、可恢复性（备份层面）等。

【工业控制系统安全国家地方联合工程实验室简介】

工业控制系统安全国家地方联合工程实验室（简称：工业安全国家联合实验室）”是由国家发展与改革委员会批准授牌成立，由360企业安全集团承建的对外开放的工业控制安全技术方面的公共研究平台。实验室依托360企业安全的安全能力和大数据优势，联合公安三所、信通院、国家工业信息安全发展研究中心、中科院沈阳自动化所、东北大学等科研院所及大学。实验室现拥有软件著作权7项，专利11项，创新地提出了工业互联网自适应防护架构（PC4R），推出了工业主机防护、工业防火墙/网关、工业审计、工业态势感知与监测预警平台、工业安全运营中心等工业安全领域完整解决方案及产品，并在众多央企和工业企业中进行应用。