工控系统安全培训课件

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,万州区互联网信息管理平台,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,万州区互联网信息管理平台,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,万州区互联网信息管理平台,*,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,万州区互联网信息管理平台,单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,伊朗核电站,“,震网,”,病毒事件,发生事件：,2010,年,7,月,攻击目标：伊朗核电站（物理隔离网络）,入侵方式：,收集核电站工作人员和其家庭成员信息,针对家用电脑发起攻击，成功控制家用电脑,并感染所有接入的,USB,移动介质通过,U,盘将,病毒摆渡核电站内部网络,利用西门子的0DAY漏洞，成功控制离心机,的控制系统，修改了离心机参数，让其生产,不出制造核武器的物质，但在人工检测显示端正常,利用漏洞：,MS10-046,、西门子,SIMATIC WinCC,系统,0 Day,漏洞,渗透手段：,U,盘,损失：,美国利用,“,震网,”,蠕虫病毒攻击伊朗的轴浓缩设备，造成伊朗核,电站离心机损坏，推迟发电达两年之久。,影响面：,感染全球超过,45000,个网络,5,伊朗核电站“震网”病毒事件 5,乌克兰电网遭受病毒攻击事件,2,2015,年的最后一周，乌克兰至少有三个区域的电力系统被具有高度破坏性的恶意软件攻击并导致大规模的停电,12,月,23,日，伊万诺,-,弗兰科夫斯克地区，有超过一半的家庭（约,140,万人）遭受了停电的困扰。,扩大影响,删除关键系统数据，监控系统无法启动,洪范攻击电网的客服电话，导致技术部分处于瘫痪状态。,延长供电恢复的时间,整个停电事件持续了数小时之久,病毒关闭生产控制大区的控制服务器，使得二次信息系统丧失对物理设备的,感知和控制力，导致部分设备运行中断而大面积停电。,钓鱼邮件,潜伏到特地时间,查找,HIM,设备，渗透扩散到生产网,点击,office,邮,件,感染办公电脑,执行关机,乌克兰电网遭受病毒攻击事件22015年的最后一周，乌克兰至少,智能制造,数控机床,关键数据被窃，损失难以估量,工控网络安全危及国家安全,高新技术,黑客远程入侵智能汽车，,汽车,也可能随时遭遇恐怖袭击,工控系统安全,电力,电厂,遭,USB,病毒攻击，大量机密数据泄露,水处理,污水,处理厂遭非法入侵，污水直接排入自然水系,军事,代码及武器，,美国,直接控制漏洞市场,制药,黑客入侵,药泵,，输入致命剂量，危害人身安全,冶金,德国钢厂熔炉,控制系统,受攻击，导致熔炉无法正常关闭,智能制造工控网络安全危及国家安全高新技术工控系统安全电力水处,工业控制系统网络威胁来源,4,工控设备,高危漏洞,工业网络,病毒,高级持续性,威胁,国外设备,预留后门,无线技术,应用风险,工业控制系统网络威胁来源4工控设备工业网络高级持续性国外设备,现有防护手段已经无法防御不断升级的网络攻击,5,IT,防火墙,病毒查杀,单向安全隔离,“,物理隔离,“,网关网闸,工业防火墙,边界防火墙,工控网络,APT2.0,时代攻击手段,基于信息网络安全的防护手段以及现有的工控网络防护手段在,APT2.0,时代的攻击前面已经成为,“,皇帝的新衣,”,工业控制网络,现有防护手段已经无法防御不断升级的网络攻击5IT防火墙病毒查,国内工控系统面临高危风险,6,暴露在互联网上的西门子,PLC,设备分布,中高危数据漏洞居高不下,暴露在互联网上的,VxWorks,系统主机有,16202,个,漏洞补丁不及时,数据来源：,CNVD2015,年新增工控漏洞,数据来源：,CNVD2015,年新增工控漏洞,数据来源：匡恩网络,2015,年统计数据,其中,1130,个运行,FTP,服务，占 总数的,70%,其中,4291,个运行,SNMP,服务，占总数的,26%,数据来源：匡恩网络,2015,年统计数据,国内工控系统面临高危风险6暴露在互联网上的西门子PLC设备分,工程控制系统名词解释,工业控制系统（,Industrial,Control Systems,简称：,ICS,）,是指由各种自动化控制组件以及对实时数 据进行采集、监测的过程控制组件，构成的确保工业,基础设施自动化运行、过程控制与监控的业务流程管控系统。,可编程逻辑控制器（,Programmable Logic Controller,简称,:PLC,）,是一种可以被编程，并通过数字或模拟式输入/输出控制各种类型的机械或生产过程。,分布式控制系统（Distributed Control System简称：DCS）,在国内自控行业又称之为集散控制系统。是相对于集中式控制系统而言的一种新型,计算机控制系统，它是在集中式控制系统的基础上发展、演变而来的。,数据采集和监视控制系统（Supervisory Control And Data,Acquisition简称：SCADA）,SCADA系统是以计算机为基础的DCS与电力自动化监控系统；它应用领域很广，可以,应用于电力、冶金、石油、化工、燃气、铁路等领域的数据采集与监视控制以及过程控制,等诸多领域。,远程终端单元（Remote Terminal Unit 简称RTU）,负责对现场信号、工业设备的监测和控制。RTU（RemoteTerminalUnit）是构成企业综合自动化,系统的核心装置，通常由信号输入/出模块、微处理器、有线/无线通讯设备、电源及外壳等组成，由,微处理器控制，并支持网络系统。它通过自身的软件（或智能软件）系统，可理想地实现企业中央监,控与调度系统对生产现场一次仪表的遥测、遥控、遥信和遥调等功能,。,1,工程控制系统名词解释 工业控制系统（Indus,工控系统网络涵盖范围,Level 4,战略决策层：,商业计划和物流管理,/,工程系统,Level 3,经营管理层：,系统管理/监视控制,Level 2,生产控制层：,监控功能/现场检测,和现场显示,Level 1,现场控制层：,保护和现场控制设备,Level 0,现场执行层：,传感器和制动器,8,工控系统网络涵盖范围 Level 48,工控安全对抗形势及发展,工控系统防御必须具有全球性视角,1,、各国网军不断扩大，对抗升级,2,、明间黑客组织水平的不断提升,3,、背后巨大的商业利益驱动,4,、针对工业控制网络的恐怖袭击,工控安全对抗形势及发展工控系统防御必须具有全球性视角1、各,国内外工控网络安全防护理念的演变历程,强调,强调隔离,物理隔离的变种，,网关、网闸、单向隔离，隔离背后是脆弱的，现代高端持续性攻击都是针对隔离系统的,纵深防御体系,由传统信息安全厂商提出的，大多数项目演变为信息安全产品的简单堆砌，不能完全适应工业网络安全的特点,由工业控制系统内部生长的持续性防御体系,适应工业控制网络的特点，通过基础硬件创新来实现，低延时，高可靠，可定制化，持续更新，简单化的实施和操作等,以功为守的国家战略,以美国、以色列为代表，在国家层面注重攻击技术的研究、实验、突破和攻防演示实验的建设，以攻击技术的提高，带动防御技术的提高，以攻击威慑力换取安全性,国内外工控网络安全防护理念的演变历程强调强调隔离纵深防御体,网络安全立法顶层设计,在,反恐怖主义法,和,刑法,修正案九的制修订工作中纳入网络安全监管有关规定，大力推进依法治网。,2014,年全国人大法工委组织国信办、工信部、公安部等有关部门大力加强我国网络安全立法顶层设计，开展,网络安全法,制定。,网络安全法,立法纳入全国人大,2015,年立法年度工作计划，,7,月,6,日，十二届全国人大常委会第十五次会议对网络安全法草案进行了分组审议，现面向社会公开征集意见，有望年底正式通过。,网络安全立法顶层设计在反恐怖主义法和刑法修正案九的制,网络安全立法顶层设计,网络安全法,（草案）重要规定：,网络安全立法顶层设计网络安全法（草案）重要规定：,部署方式,管理口,工程师站,操作员站,应用站,检查工具,检查客户端,业务口,业务口,PLC,部署方式管理口工程师站操作员站应用站检查工具检查客户端业务口,重点行业、企业,电力：,电厂、电网,冶金：,钢铁、铝业,石化：,石化、化工、化肥,农药、橡胶、油漆,石油：,采油、输油,交通：,物流、港口、轨道,交通、公交,市政：,污水、供热、燃气,自来水,烟草：,烟厂,烟商,重点行业、企业电力：冶金：石化：石油：交通：市政：烟草：,重点行业、企业,制造：,酿酒、饮料、食品,家电、汽车、造船,铁路：,火车、高铁,矿山：,煤矿、开采,通信：,电信、邮政,航空：,机场、航空港,航空航天,医疗：,医院、制药、研究所,水利：,航运,发电,重点行业、企业制造：铁路：矿山：通信：航空：医疗：水利：,“,两化,”,深度融合的趋势,决策管理层,利用数据仓库技术整合公司全产业链的关键数据,和生产经营信息，实现数据挖掘、监控分析、统计,查询和可视化展示，辅助高层科学决策和战略管理。,经营管理层,以,ERP,系统为核心整合各专业应用系统和综合管理,系统关键信息，形成公司级的经营管理信息平台。,生产运行层,以供应链管理为核心，建立一体化完整的生产运行,管理平台。,操作执行层,以生产物联网系统为基础，实现数据采集、传输、,处理一体化，现场数据自动采集率大幅度提高。,3,ERP,(Enterprise Resource Planning),MES,(Manufacturing Execution System),PCS,(Process Control System),“两化”深度融合的趋势 3ERPMESPCS,工控网络与互联网和办公网有本质的区别,工控网络的特点决定了基于办公网和互联网设计的信息安全防护手段,（如防火墙、病毒查杀等）无法有效地保护工控网络的安全,网络通讯协议不同,对系统稳定性要求高 系统运行环境不同,大量的工控系统采用私有协议 网络安全造成误报等同于攻击 工控系统运行环境相对落后,更新代价高 网络结构和行为稳定性高,无法像办公网络或互联网那样 不同于互联网和办公网络的频繁变动,通过补丁来解决安全问题,4,工业控制网络,工控网络与互联网和办公网有本质的区别 4工业控制网络,工程网络安全体系,18,工程安全的多面性；动静合一，内外兼修,动,静,外,内,基因性,行为性,结构性,本体性,持续性,工程网络安全体系18工程安全的多面性；动静合一，内外兼修动静,基因安全,可信,硬件,操作系统,协议,免疫,排除恶意代码执行，植入,完整性检测恢复,程序,参数,基因安全,基因安全可信硬件操作系统协议免疫排除恶意代码执行，植入完整性,植根于工控系统的生命周期解决方案,持续安全,防护原则,管理持续化,防护手段,安全管理,安全运营,本体安全,防护原则,防护手段,设备加固,基因,全,安,行为安全,设备加固,白名单,设备安全,介质安全,漏挖漏归,防护原则,防护手段,防护手段,防护原则,安全可控,白名单,自主可控,可信计算,免疫,完整性,监测审计,威胁评估,结,安,构全,防护原则,防护手段,设备加固,区域划分,边界防护,工业控制系统,全生命周期安全防护能力,设备加固,设备加固,植根于工控系统的生命周期解决方案持续安全防护原则管理持续化防,采取适合的评估手段,资产分析,流量分析,威胁分析,在设备接入的过程中需要向工控系统责任单位确认如下条件,在检查前，要求工控系统责任单位阅读现场接入工控系统安全检查工具须知并在工控系统安全检查入场确认表签字。,设备的流量分析接入点一般选择在工控系统信息系统边界区域的交换机，请确认该接入交换机具备镜像端口功能并要求工控系统责任单位配置完成,设备的资产识别接入点原则上接入工控系统网络，要求工控系统责任单位提供该工程控制网络的网段地址和,IP,地址数量，并提供