工業(yè)互聯(lián)網(wǎng)安全隱患巨大：現(xiàn)狀令人擔(dān)憂！
http://www.wellcomemfy.com工業(yè)4.0”，我們國家規(guī)劃為“中國制造2025”，也稱“工業(yè)互聯(lián)網(wǎng)”，我個人認(rèn)為“工業(yè)互聯(lián)網(wǎng)”這個稱呼更容易理解。互聯(lián)網(wǎng)的背后是人，互聯(lián)網(wǎng)攻擊和犯罪就是盜竊隱私、詐騙財物；工業(yè)互聯(lián)網(wǎng)的背后是生產(chǎn)線，是控制系統(tǒng)、是汽車、是衣食住行吃穿用的東西工業(yè)互聯(lián)網(wǎng) 網(wǎng)絡(luò)攻擊可能導(dǎo)致生產(chǎn)線停轉(zhuǎn)、控制失靈、車毀人亡。所以工業(yè)互聯(lián)網(wǎng) 習(xí)近平總書記在去年419網(wǎng)絡(luò)工作座談會上講話中提出：安全是發(fā)展的前提，發(fā)展是安全的保障。這句話用到工業(yè)互聯(lián)網(wǎng)上更加恰當(dāng)。沒有安全保障，工業(yè)互聯(lián)網(wǎng)將寸步難行。
一、現(xiàn)在越來越多工業(yè)系統(tǒng)暴露在互聯(lián)網(wǎng)上。
工業(yè)越發(fā)達(dá)的國家安全，暴露的也越多。360和東北大學(xué)工控安全實驗室進(jìn)行過聯(lián)合研究安全，通過掃描部分網(wǎng)絡(luò)安全，就發(fā)現(xiàn)了全球77766臺控制系統(tǒng)和控制主機(jī)暴露在互聯(lián)網(wǎng)上，其中美國占大頭3萬多臺，中國包括臺灣在內(nèi)近2000臺，涵蓋了所有目前流行的控制系統(tǒng)和工業(yè)控制協(xié)議，包括使用S7協(xié)議的西門子PLC、使用Modbus協(xié)議的施耐德PLC、使用DNP3的電力SCADA系統(tǒng)，涉及的應(yīng)用領(lǐng)域從離散控制到連續(xù)控制都有。這些系統(tǒng)一旦出現(xiàn)漏洞被攻擊、被遠(yuǎn)程操控，可能引發(fā)災(zāi)難性的后果。
二、從工業(yè)互聯(lián)網(wǎng)的發(fā)展趨勢上看，這種暴露會從常態(tài)化走向標(biāo)準(zhǔn)化。
也就是說無處不在的網(wǎng)絡(luò)連接，實時不間斷地大數(shù)據(jù)收集，以及來自云端的智能化控制是工業(yè)互聯(lián)網(wǎng)的發(fā)展潮流。
工業(yè)互聯(lián)網(wǎng)安全隱患巨大：現(xiàn)狀令人擔(dān)憂！
我國提出的工業(yè)互聯(lián)網(wǎng)的四個應(yīng)用場景：智能化生產(chǎn)、網(wǎng)絡(luò)化協(xié)同、個性化定制、還有服務(wù)化延伸，這其中服務(wù)化延伸和個性化定制是天然跟互聯(lián)網(wǎng)融合的，網(wǎng)絡(luò)化協(xié)同也是通過互聯(lián)網(wǎng)連接在一起的。智能化生產(chǎn)分為兩種情況，一種是直接跟互聯(lián)網(wǎng)連接的；另一種是不直接連接互聯(lián)網(wǎng)，而是通過監(jiān)控調(diào)度網(wǎng)絡(luò)連接到企業(yè)管理網(wǎng)。但是這四個系統(tǒng)本身都是通過各種途徑連接在一起的，并最終連接到互聯(lián)網(wǎng)上，因此，這些工業(yè)系統(tǒng)最終也間接暴露在互聯(lián)網(wǎng)上了。
比如，制造業(yè)的標(biāo)桿企業(yè)三一重工，為了實現(xiàn)卡車、挖掘機(jī)的智能，需要通過互聯(lián)網(wǎng)來收集數(shù)據(jù)和下發(fā)控制指令；還通過工業(yè)互聯(lián)網(wǎng)將分散在信息系統(tǒng)、車間工控系統(tǒng)和生產(chǎn)設(shè)備上的數(shù)據(jù)進(jìn)行匯聚，實現(xiàn)互聯(lián)互通和智能生產(chǎn)。
在這個系統(tǒng)中，從網(wǎng)絡(luò)層看，要把IT網(wǎng)絡(luò)與OT網(wǎng)絡(luò)連接起來，并實現(xiàn)數(shù)據(jù)交換。實際生產(chǎn)中，管理層將工藝流程的設(shè)計數(shù)據(jù)分解成不同的子任務(wù)，分發(fā)給監(jiān)控層；監(jiān)控層根據(jù)接收到的任務(wù)信息，轉(zhuǎn)化成相應(yīng)的指令下發(fā)給控制層；控制層通過工業(yè)以太網(wǎng)或現(xiàn)場總線，控制閥門、機(jī)械臂等執(zhí)行部件，進(jìn)行生產(chǎn)制造。
工業(yè)智能化之所以叫工業(yè)互聯(lián)網(wǎng)，就是要繼承互聯(lián)網(wǎng)的開放性，一定會越來越開放，聯(lián)網(wǎng)暴露度會越來越高。
三、暴露的工業(yè)互聯(lián)網(wǎng)安全隱患巨大，安全現(xiàn)狀令人擔(dān)憂。
來自 360 補(bǔ)天平臺的監(jiān)測數(shù)據(jù)顯示，工業(yè)互聯(lián)網(wǎng)聯(lián)盟成員中 82 家工業(yè)企業(yè)中，有 28．05 ％都出現(xiàn)過漏洞，并且 23．2 ％是高危漏洞，遭遇網(wǎng)絡(luò)攻擊的風(fēng)險很大。這些漏洞還僅僅是全部系統(tǒng)漏洞的一少部分，因為在漏洞發(fā)現(xiàn)方式上，它僅是白帽子主動提交的，而不包括主動掃描發(fā)現(xiàn)的。在漏洞范圍上，它也僅僅是針對應(yīng)用站點的漏洞，還沒有監(jiān)測它的協(xié)議漏洞和其他漏洞，也不包括主動掃描發(fā)現(xiàn)的漏洞，通過這些漏洞，黑客都有可能攻擊工業(yè)系統(tǒng)。
卡巴斯基去年掃描了全球170個國家的近20萬套ICS工業(yè)控制系統(tǒng)，其中92％都存在安全漏洞，有遭遇黑客攻擊、被接管、被破壞的風(fēng)險。
三個案例
2015年12月，黑客利用SCADA系統(tǒng)的漏洞非法入侵了烏克蘭一家電力公司，遠(yuǎn)程控制了配電管理系統(tǒng)，導(dǎo)致7 臺110kV與23 臺35kV 變電站中斷了三個小時，導(dǎo)致22．5萬用戶停電。
2016年12月，同一個黑客組織再次對烏克蘭另外一家電力企業(yè)實施了攻擊，這次是通過入侵?jǐn)?shù)據(jù)網(wǎng)絡(luò)，間接影響了電廠的控制系統(tǒng)，造成變電站停止運行。
2016年4月德國核電站負(fù)責(zé)燃料裝卸系統(tǒng)的Block B IT 網(wǎng)絡(luò)遭到攻擊，安全人員在對這套系統(tǒng)的安全檢測中發(fā)現(xiàn)了遠(yuǎn)程控制木馬，雖然還沒有執(zhí)行非法操作，但核電站的操作員為防不測，臨時關(guān)閉了發(fā)電廠。
兩個案例
有人認(rèn)為通過智能生產(chǎn)與互聯(lián)網(wǎng)隔離可以解決安全問題，這也是錯誤的。最著名的案例就是前幾年伊朗核設(shè)施遭到震網(wǎng)蠕蟲攻擊破壞事件，伊朗的核設(shè)施的運行控制系統(tǒng)是完全隔離的，但是黑客組織首先定向攻擊了伊朗核系統(tǒng)的一位核心人員，再利用電腦中系統(tǒng)的0day漏洞入侵了他的電腦，這臺電腦使用過的一個USB盤被插入了核設(shè)施的控制網(wǎng)絡(luò)里，利用了“USB擺渡”這種攻擊手法將震網(wǎng)蠕蟲植入了控制系統(tǒng)，最后控制破壞了伊朗的核設(shè)施。
2015年初，國內(nèi)的某大型鋼廠的高爐控制系統(tǒng)的上位機(jī)（安裝控制軟件的計算機(jī)）運行速度越來越慢，導(dǎo)致最后無法進(jìn)行生產(chǎn)，連續(xù)更換兩臺備用計算機(jī)，上線后均在幾個小時內(nèi)發(fā)生同樣的故障現(xiàn)象。直接導(dǎo)致該生產(chǎn)線停產(chǎn)3天，經(jīng)濟(jì)損失接近1億。360安全人員現(xiàn)場處置發(fā)現(xiàn)，故障計算機(jī)上充斥著五六年前流行的蠕蟲、木馬，進(jìn)一步檢查發(fā)現(xiàn)，整個網(wǎng)絡(luò)中充斥各種惡意流量、僵尸木馬和蠕蟲病毒。
物聯(lián)網(wǎng)和勒索軟件
工業(yè)互聯(lián)網(wǎng)是物聯(lián)網(wǎng)的重要組成部分，物聯(lián)網(wǎng)的安全威脅更是觸目驚心：去年10月份，全世界有近80萬網(wǎng)絡(luò)攝像頭感染惡意軟件，受控組成僵尸網(wǎng)絡(luò)攻擊了美國互聯(lián)網(wǎng)基礎(chǔ)設(shè)施DNS服務(wù)器，造成了大半個美國互聯(lián)網(wǎng)斷網(wǎng)。
在今年的RSA上，勒索軟件被評為七大致命攻擊之首，以前勒索軟件的目標(biāo)是醫(yī)療、交通、政府等行業(yè)的數(shù)據(jù)系統(tǒng)，現(xiàn)在也開始轉(zhuǎn)向物聯(lián)網(wǎng)、工控。從攻擊電腦和服務(wù)器加密鎖定數(shù)據(jù)和文件轉(zhuǎn)向鎖定酒店的門禁、電梯控制系統(tǒng)等、被鎖定的酒店所有的門，只有繳納贖金才能打開，被鎖定電梯也只有繳納贖金后才能運行，其造成的威脅將是災(zāi)難性的。
上面這些案例說明，工業(yè)互聯(lián)網(wǎng)如果不能得到有效的保護(hù)，其后果將是災(zāi)難性。
四、工業(yè)互聯(lián)網(wǎng)安全治理的六大措施。
在工業(yè)互聯(lián)網(wǎng)不太發(fā)達(dá)的時候，OT表面上都是隔離的，大家都淡化了安全意識，沒有采取安全措施，但實際上這只是邏輯上的隔離，OT通過各種途徑跟IT還是連接的。安全意識淡漠和安全措施不利，導(dǎo)致OT系統(tǒng)也變成了藏污納垢的地方，漏洞叢生，后門和遠(yuǎn)控數(shù)不清，就像總書記419講話中說的，誰進(jìn)來了不知道，是敵是友不知道，干了什么不知道。
去年國內(nèi)的某保密部門的生產(chǎn)系統(tǒng)癱瘓，所有機(jī)器都無法啟動，被用蠕蟲病毒傳播的木馬遠(yuǎn)程控制，導(dǎo)致系統(tǒng)崩潰。360安服團(tuán)隊?wèi)?yīng)邀對某涉核單位IT設(shè)施系統(tǒng)及工業(yè)控制系統(tǒng)進(jìn)行的安全評估和檢查中，在信息安全技術(shù)體系、安全管理、安全運維各環(huán)節(jié)中都存在嚴(yán)重問題。很多IT系統(tǒng)的主機(jī)缺乏主要的殺毒軟件，基本處于裸奔狀態(tài)；系統(tǒng)補(bǔ)丁從安裝那天起就沒有做過任何的更新過。
360安全服務(wù)團(tuán)隊對某核電站工控系統(tǒng)進(jìn)行了安全檢查，包括如DCS系統(tǒng)上位機(jī)、實物保護(hù)系統(tǒng)以及相關(guān)終端，發(fā)現(xiàn)在技術(shù)層面以及管理層面均存在嚴(yán)重的安全隱患，包括沒有強(qiáng)制密碼策略以及登錄安全策略、終端存在弱口令甚至空口令，以及濫用移動U盤等現(xiàn)象。
工業(yè)互聯(lián)網(wǎng)安全隱患巨大：現(xiàn)狀令人擔(dān)憂！
我認(rèn)為要對工業(yè)互聯(lián)網(wǎng)進(jìn)行有效的安全治理，應(yīng)該采取以下6項措施：
1． 提高安全意識，將工業(yè)互聯(lián)網(wǎng)的安全上升到最高級。安全比工業(yè)互聯(lián)網(wǎng)本身更重要，讓安全成為工業(yè)互聯(lián)網(wǎng)的前提，成為頂層設(shè)計；
2． 建立全天候工業(yè)互聯(lián)網(wǎng)安全態(tài)勢感知能力，一個網(wǎng)絡(luò)攻擊者不會單純的攻擊你一家，網(wǎng)絡(luò)攻擊是全球的，我們要對全球的網(wǎng)絡(luò)安全態(tài)勢有感知能力，尤其要關(guān)注同行的，就好比你住在一個小區(qū)里，鄰居家被偷了，怎么偷的，了解這些情況對自己防患于未然是有幫助的；
3． 建立跨越物理世界、商業(yè)世界、操作網(wǎng)絡(luò)（OT）、信息網(wǎng)絡(luò)（IT）一體化安全防御體系。改變割裂對待OT、IT安全的狀況，提高工業(yè)互聯(lián)網(wǎng)預(yù)警、檢測、響應(yīng)、追蹤溯源的縱深防御能力形成包括終端、邊界、數(shù)據(jù)、工業(yè)云的安全防護(hù)，以及威脅情報收集和應(yīng)急響應(yīng)體系等；
4． 建立工業(yè)互聯(lián)網(wǎng)安全運營與分析中心。對企業(yè)內(nèi)工業(yè)數(shù)據(jù)和安全數(shù)據(jù)持續(xù)收集，建立企業(yè)的安全數(shù)據(jù)倉庫。利用大數(shù)據(jù)方法發(fā)現(xiàn)工業(yè)生產(chǎn)異常，這是數(shù)據(jù)驅(qū)動安全的最佳實踐方法；
5． 重點防御保證關(guān)鍵基礎(chǔ)設(shè)施的安全。很多的工業(yè)互聯(lián)網(wǎng)企業(yè)都涉及關(guān)鍵基礎(chǔ)設(shè)施，有更大的概率遭受APT攻擊，更需要重點防御。
6． 協(xié)同防御，共建安全＋工業(yè)互聯(lián)網(wǎng)命運共同體。去年，360提出了協(xié)同聯(lián)動體系，通過數(shù)據(jù)協(xié)同、智能協(xié)同和產(chǎn)業(yè)協(xié)同建立安全生態(tài)和立體防御體系，得到了全球安全行業(yè)的認(rèn)同，上周在美國RSA大會上，360補(bǔ)天還聯(lián)合全球多家漏洞響應(yīng)平臺共建響應(yīng)機(jī)制等。