一、工业控制系统安全现状1.1 工业控制系统概念1.2 工业控制网络发展历程1.3 从国家政策看工业安全重要性1.4 从微软系统蓝屏事件看工控风险1.5 从震网时间看黑客攻击路径 1.6 从2022年工业行业安全攻击态势看风险1.7 工控安全可能面对的挑战二、工业控制系统指南解读三、工控系统安全检查评估3.1 风险评估框架3.2 风险评估流程3.2.1 评估方案内容—资产识别核查3.2.2 评估方案内容—安全基线检查&安全漏洞扫描3.2.3 评估方案内容—定制化的远程渗透测试3.2.4 评估方案内容—IDS取样分析3.2.5 评估方案内容—网络架构分析3.2.6 评估方案内容—安全管理审计四、工控系统安全能力建设4.1 工业安全发展思路4.2 工控网络安全发展阶段4.3 生产制造工厂工业安全防护措施4.4 工业技术方面建设：工控网络安全建设-工业安全监测审计系统4.5 工业技术方面建设：工业终端安全建设-工业安全主机建设4.6 工业管理方面建设：工业系统安全管理体系建设4.7 工业运营方面建设：工业安全技术运营体系
一、工业控制系统安全现状
1.1 工业控制系统概念
工业控制系统（以下采用简称：Industrial Control System，ICS），是指由各种自动化控制组件以及对实时数据进行采集、监测的过程控制组件共同构成的，实现工业设施自动化运行、过程控制与监控的业务流程管控系统。 对工业生产过程安全（safety）、信息安全（security）和可靠运行生产作用和影响的人员、硬件和软件的集合。
1.2 工业控制网络发展历程
工业控制网络的发展历程经历了几个重要阶段。
工业控制系统主要依赖于专有的串行通信协议，设备之间的互联互通受到限制。以太网技术的引入，网络的开放性和灵活性显著提升，促进了各类设备的互联。标准化协议如Modbus和OPC的出现，使得不同制造商的设备能够更好地协同工作。随着互联网和物联网的发展，工业控制网络开始朝着智能化和远程监控方向发展，融合了云计算、大数据分析和人工智能技术，极大地提高了系统的效率和安全性，推动了工业4.0的实现。
1.3 从国家政策看工业安全重要性
法律法规
《关于加强工业控制系统信息安全管理的通知》工信部协[2011]451号《工业控制系统信息安全防护指南》工信软函〔2016〕338号《烟草工业企业生产区与管理区网络互联安全规范》国家烟草局《工业控制系统信息安全防护指南》2016《工业控制系统信息安全防护能力评估工作管理办法》2017.7.31《关键信息基础设施安全保护条例》2021.9.1
标准规范
GB/T 26802-2011《工业控制计算机系统 通用规范》GB/T 30976-2014《工业控制系统信息安全》GB/T 32919-2016《信息安全技术 工业控制系统安全应用指南》GB/T 33008-2016《工业自动化和控制系统网络安全 可编程序控制器（PLC）》GB/T 33009-2016《工业自动化和控制系统网络安全 集散控制系统（DCS） 》GB∕T 36470-2018《信息安全技术工业控制系统现场测控设备通用安全功能要求》
1.4 从微软系统蓝屏事件看工控风险
2024年7月19日，因美国网络安全企业CrowdStrike在系统更新中未进行充分测试，导致存在缺陷的更新被推入生产环境，从而触发了代码逻辑错误，导致Windows系统的自我保护机制发生蓝屏（BSOD）。此事件影响全球约850万台计算机，包括桌面终端、服务器和云节点，受影响的终端在重启后仍自动蓝屏，形成反复崩溃的闭环，给用户和企业造成了严重的运营中断和损失。
1.5 从震网时间看黑客攻击路径
针对微软系统以及西门子工业系统的危害性极大的蠕虫病毒病毒，曾导致伊朗核电站造成破坏。
1.6 从2022年工业行业安全攻击态势看风险
1.7 工控安全可能面对的挑战
工控安全风险存在人员、设备和管理三方面的安全风险。
工业企业在信息安全方面面临多重挑战。
缺乏合格的信息安全人才和安全意识，使得企业未能充分认识到网络安全的重要性。工控系统和智能设备本身存在安全缺陷，而在役的系统由于资源能力有限，难以进行有效更新和升级。许多企业依赖于国外厂商的工控系统，带来了不可预知的安全风险。行业监管机构缺乏有效的技术手段对工控系统进行安全监管，导致在信息安全、功能安全和可靠性需求之间难以取得平衡。
这些因素共同影响了工业企业的整体安全态势。
二、工业控制系统指南解读
从工业控制系统信息安全防护指南，看安全防护需求
以工业控制系统指南为需求输入，建立符合要求的工业行业安全防护体系
三、工控系统安全检查评估
3.1 风险评估框架
风险评估框架是确保企业信息安全的重要工具，涵盖多个关键环节。首先，通过业务流程调研，对企业的运作流程进行全面了解，以识别潜在的安全风险。接着，进行资产识别核查，确保所有关键资产（包括硬件、软件和数据）都得到充分记录和保护。
安全漏洞扫描是下一步，通过自动化工具识别系统中的已知漏洞，帮助企业及时修复。与此同时，人工配置检查则注重于人工审核系统配置的安全性，以发现人为疏忽或错误设置的风险。
为更深入地了解系统的脆弱性，进行远程渗透测试可以模拟攻击者的行为，评估系统的防御能力。结合IDS取样分析，可以监测异常活动，从而及时响应潜在的攻击。
网络架构分析则帮助识别网络中潜在的安全薄弱环节，通过对网络拓扑结构的全面审视，确保数据传输的安全性。随后，安全管理审计可以检视现有安全政策和管理流程的有效性，确保企业在遵循行业标准和法规的同时，具备完善的安全管理体系。
最后，通过实战攻防演练，可以模拟真实的攻击场景，检验企业的应急响应能力和安全防护措施。这一系列措施共同构成了一个全面的风险评估框架，旨在增强企业的安全意识，提升其信息安全防护水平。
3.2 风险评估流程
工业风险评估是以工业资产为核心，安全威胁场景为分析目标
3.2.1 评估方案内容—资产识别核查
3.2.2 评估方案内容—安全基线检查&安全漏洞扫描
3.2.3 评估方案内容—定制化的远程渗透测试
3.2.4 评估方案内容—IDS取样分析
3.2.5 评估方案内容—网络架构分析
3.2.6 评估方案内容—安全管理审计
四、工控系统安全能力建设
4.1 工业安全发展思路
工业安全的有效保障需要综合运用被动防御、积极防御和威胁情报三种策略。
被动防御主要关注系统的基础安全性，通过实施防火墙、入侵检测系统和访问控制等措施，构建坚固的防线，减少潜在攻击的风险。
积极防御包括主动监控、实时响应和定期的安全评估与渗透测试，旨在识别和修复安全漏洞，及时应对潜在威胁。
威胁情报通过收集和分析网络威胁情报，企业可以洞察最新的攻击手法、恶意软件变种和攻击者的动机，从而采取针对性的防护措施
4.2 工控网络安全发展阶段
在边界隔离阶段，安全防护的核心在于网络边界的分离。这一阶段通过实施防火墙、安全网关和专用网络网关等安全设备，确保生产网络、办公网络和互联网之间的有效隔离，降低潜在的安全风险。
在单点防护阶段，企业部署了专门的工控安防设施，以提升整体安全防护水平，并确保遵循相关法规要求。在这一阶段，单点防护产品的技术架构逐渐成熟，其主要功能涵盖基础设施安全、架构安全、内部系统安全及工业控制系统的安全可靠防护。
在纵深防御阶段，企业的安全体系建设向综合化和系统化发展。在业务增长和技术创新的推动下，企业在单点防护的基础上，实施系统化管理、自动化运维及智能识别，构建一个多层次的工控安全防御体系。这种纵深防御策略能够更有效地应对复杂的安全威胁，确保工业环境的安全与稳定。
4.3 生产制造工厂工业安全防护措施
终端层面：
对于CNC等老旧设备，实施轻量级的白名单防护措施，以限制系统进程的运行。
针对性能优良的生产设备，统一部署360天擎终端杀毒软件，以增强整体安全防护。
对移动存储介质（如U盘）实施集中管理和控制，以防止数据泄露或恶意软件传播。
网络层面：
进行横向分区和纵向分层，将办公网络、工控网络和生产网络有效区分，以降低风险。
在网络边界部署安全网关，以提供额外的防护层。
遵循最小权限原则，仅开放必要的端口，对接入公司网络的终端进行细致的访问控制。
监控层面：
部署安全分析系统，以可视化的方式展示公司网络的安全状态。
在总部和园区的核心交换机上安装流量探针设备，进行流量监测。
在生产网络的核心交换机上同样部署流量探针设备，以便于实时监控。
在生产区域网络内设置工业安全审计系统，确保合规性与安全性。
整个公司范围内建立工业安全运营中心，负责全面的安全管理与响应。
4.4 工业技术方面建设：工控网络安全建设-工业安全监测审计系统
4.5 工业技术方面建设：工业终端安全建设-工业安全主机建设
其他安全组件的建设就不罗列了
4.6 工业管理方面建设：工业系统安全管理体系建设
4.7 工业运营方面建设：工业安全技术运营体系
建立以协同联动安全运营为中心的工业安全防护体系，意味着将安全管理提升到一个系统化和协作化的高度。该体系应以威胁情报为驱动，确保能够实时获取、分析和响应各种潜在安全威胁。
威胁情报的整合至关重要。通过汇集来自不同来源的信息，包括网络威胁情报共享平台、行业协会和合作伙伴的反馈，企业能够形成全面的安全态势感知。这种情报不仅包括已知攻击模式和漏洞信息，还应涵盖新兴威胁和攻击者的行为特征，以便及时调整防护策略。
协同联动是体系建设的基础。各部门之间需要形成紧密的合作机制，包括IT和OT（操作技术）团队的有效协同。通过定期的沟通和信息共享，确保在面对网络安全事件时，能够快速形成合力，制定和执行应对措施。此外，组织内部应开展跨部门的演练和培训，提升整体应对能力。
安全运营中心（SOC）的建立是实现这一目标的关键。SOC负责监控网络活动、分析安全事件、调动资源进行响应，以及持续优化安全策略。通过引入先进的自动化工具和智能分析技术，SOC能够提高事件响应速度，降低人为错误的可能性。
持续的评估与改进也是必不可少的。通过定期审查和评估安全运营体系的效果，企业能够发现潜在的弱点并及时进行改进，确保防护体系始终保持高效和灵活，以应对不断变化的威胁环境。
综合以上要素，建立以协同联动安全运营为中心、以威胁情报为驱动的工业安全防护体系，将有助于提升企业整体的安全防护能力，有效抵御各种网络安全挑战。
原创 德斯克安全小课堂
