2014工控系统安全态势报告

《2014工控系统安全态势报告》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、2014工控系统安全态势报告2014工控系统安全态势报告工控安全产业生态环境模型工业控制系统安全与传统的信息安全不同，它通常关注更多的是物理安全与功能安全，而且系统的安全运行由相关的生产部门负责，信息部门仅处于从属的地位。随着信息化与工业化技术的深度融合以及潜在网络战威胁的影响，工业控制系统也将从传统的仅关注物理安全、功能安全转向更为关注信息系统安全；这种转变将在国家政策的推动下对传统的工业企业产生较大的影响。确保国计民生相关的工业控制系统安全已被提升到了国家安全战略的高度，再加上工业控制系统跨学科、跨行业应用的特殊性；使其安全保障

2、体系的建立必须在国家、行业监管部门、工业控制系统企业（用户）、工业控制系统提供商、信息安全厂商等多方面的协同努力下才能够实现。

3、工控系统的安全威胁态势分析本章将从工业控制系统公开安全漏洞的统计分析以及对近期典型的工控安全攻击事件及新型攻击技术的分析等多个方面，讨论工控系统当前所面临的安全威胁态势。工控系统的自身脆弱性截至2014年6月，我们以绿盟科技安全漏洞库收录的工业控制系统相关的漏洞信息为基础，综合参考了美国CVE[CVE]、ICS-CERT以及中国国家信息安全漏洞共享平台所发布的漏洞信息[CNVD][ICSMM2014]，共整

4、理出了549个与工业控制系统相关的漏洞。本节将重点分析2014年新增漏洞的统计特征和变化趋势，主要涉及公开漏洞的总体变化趋势、漏洞的严重程度、漏洞所影响的工控系统类型、漏洞的危害等几个方面的对比分析。公开漏洞数总体上保持快速增长的变化趋势下图给出了截止到2014年6月之前所公开发布的工业控制系统相关漏洞按年度进行统计分析的结果。352014工控系统安全态势报告图1.1公开的ICS漏洞的年度变化趋势在2011年之前，公开披露的工业控制系统相关漏洞数量相当少，但在2011年出现快速增长，这可能是因为2010年的Stuxnet蠕虫事件之后

5、，人们对工业控制系统安全问题持续关注以及工业控制系统厂商分析解决历史遗留安全问题所造成的。随着各方面对工业控制系统的安全日益重视，工业控制系统的相关公开漏洞数量仍将保持一个快速增长的总体趋势。公开漏洞涉及的工控系统厂商依然以国际厂商为主通过对漏洞的统计分析，下图给出了公开漏洞所涉及的主要工业控制系统厂商，以及及各厂商的相关漏洞数及其占漏洞库中所有漏洞的比例情况。分析结果表明，公开漏洞所涉及的工业控制系统厂商仍然是以国际著名的工业控制系统厂商为主，西门子（Siemens）、施耐德电气（Schneider）、研华科技（Advantech

6、）、通用电气（GE）与罗克韦尔（Rockwell）占据漏洞数排行榜的前五名。用户的工控系统使用情况调研结果表明，这些国际著名工控系统厂商的产品在国内市场上占据优势地位，甚至某些产品在某些行业处于明显的垄断地位。这种情况必然会造成这些厂商的产品倍受系统攻防双方的重视和关注，而且也比较容易获得研究分析用户的产品，这很可能就是公开漏洞涉及到的工控系统厂商总是以国际厂商为主的主要原因。这里需要说明的是，虽然漏洞涉及的是系统自身的脆弱性问题，但依然不能简单地通过这里的漏洞数量信息实现厂商之间产品安全性的横向对比（因为各厂商产品的漏洞数量不仅与

7、产品自身的安全性有关，而且也和厂商的产品数量、产品的复杂度、受研究者关注程度以及工业控制系统厂商对自身系统安全性的自检力度等多种因素有关。因此，我们并不能简单地认为公开漏洞数量越多的厂商产品越不安全。），但是却可以通过该信息评估用户工控系统所存在的安全脆弱性状况，并据此进行系统的安全加固、调整安全防护策略，来增强用户系统的整体安全防护能力。352014工控系统安全态势报告图1.1公开漏洞所涉及到的主要工业控制系统厂商（Top10）图1.4给出了2014年上半年新增漏洞所涉及的工控厂商情况，与图1.3的总体情况相比有所变化。其中西门子

8、以新增25个公开漏洞，占比39%依然位居首位，研华科技则以新增10个公开漏洞，占比15.4%而升据第二。施耐德电气则以半年新增4个漏洞（占比6%）依然位列三甲之内。但需要注意的是：1）日本横河电机株式会社(YOKOGAWA)首次进入我们的关注视野，就以半年新增4个漏洞，与施耐德电气并列2014半年度新增漏洞的第三名。日本横河电机作为工业控制行业全球最为专业的跨国公司之一，经营领域涉及测量、控制、信息三大领域，其集散型控制系统（DCS系统）、PLC等工控产品在国内石油、化工等大型工厂生产过程也有较为广泛的应用。也应是我们需要重点关注研

9、究的工控厂商之一。2）排名第四、第五的Cogent、Ecava则是两家专业的工控软件厂商，表明除了著名国际厂商之外，在工控软件某个子领域内相对领先的企业也日益受到关注。352014工控系统安全态势报告图1.12014年新增工业控制系统