1、工业互联网安全战略最佳实践技术创新，变革未来目录目录工业互联网工业互联网 IT/OT 融合的安全挑战？融合的安全挑战？工业互联网的安全应如何应对？工业互联网的安全应如何应对？在工业互联网在工业互联网IT/OT协同防护的安全实协同防护的安全实践践 工业互联网安全战略推进建议工业互联网安全战略推进建议工业互联工业互联网网 IT/OT 融合的安全挑战融合的安全挑战？SECURITY CHALLENGES FOR IT/OT INTEGRATION工业互联网工业互联网IT/OT融合的驱动力融合的驱动力有效的管理和保护工作的“物”，当应用他们产生的传感器数据进 行分析和盈利时，需要前所未有IT和和OT组
2、织合作获得竞争优势组织合作获得竞争优势 简化操作获得更大的生产率Greater productivity with streamlined operations 提高安全性与预测性维护以避免危险的环境中Improved safety with predictive maintenance to avoid dangerous environments 提高经营决策精度和速度Increased accuracy and speed in operational decisions 减少所需人力成本Cost savings with lesser manpower required 提高客户需求的
3、响应速度和服务能力Increasing responsiveness and service capabilities of customer requirementsITOT企业在管理方面采用 的手段、技术、制度、 流程、文档等对信息 流管理的统称监视、控制和保护改 变物理环境的系统工业互联网工业互联网= 工业物联网工业物联网（OT）+ 工业关工业关联联的消费性互联网的消费性互联网（IT）我国工业互联网总体架我国工业互联网总体架构构三三大智能化闭大智能化闭环环：智：智能生产控制能生产控制、智、智能运营决策优化能运营决策优化、消、消费需求与生产制造精确对费需求与生产制造精确对接接智能化生产智能
4、化生产企业内网络化协同网络化协同企业-企业个性化定制个性化定制企业-用户服务化延伸服务化延伸企业-产品物理系统（感知物理系统（感知/执行）执行）网络网络安全安全设备安全设备安全数据安全数据安全控制安全控制安全应用安应用安全全网络互联网络互联应用支撑应用支撑标识解析标识解析产业视角应用应用 互联网视角产业数据产业数据 采集采集交交换换生产生产 反馈反馈控控制制数据集成处理数据集成处理产业建模、仿真与分析产业建模、仿真与分析数据数据车间车间/工厂工厂/企企业业 运营决策运营决策优化优化网络安全网络安全总总 体体 架架 构构用户（消费者用户（消费者/企业用户）企业用户）数据数据：本质是数据智能在工本
5、质是数据智能在工业业 中的全周中的全周期期 应应用，用，包括“采集交 换-集成处理-建模分析-决策与 控制”，形成优化闭环，驱动工 业智能化。数据是核数据是核心心网络网络：本质是实现数据智能本质是实现数据智能的的 网络基础网络基础， 包括网络互联、标识 解析、应用支撑三大体 系。网络是基网络是基础础安全安全：本质是工业本质是工业/产业互联产业互联网网 各个领域各个领域和和环节的安全保障，环节的安全保障，包 括设备安全、控制安全、 网络安 全、应用安全等。安全是前安全是前提提设备层安全威设备层安全威胁胁感知设备被攻击（仪表、传感）执行设备被攻击（泵、阀.)物理攻击网关节点捕获普通节点捕获传输截获
6、、窃听传输篡改、伪造DoS攻击重放攻击完整性攻击Sinkhole黑洞攻击Wormholes虫洞攻击HelloFlood攻击Wannacry勒索 数据及工业云安全威数据及工业云安全威胁胁丢失、泄露、篡改商业数据、用户数据泄露跳板入侵、内部入侵、多租户风险智慧应用层安全威智慧应用层安全威胁胁WEB、ERP、CRM、业务软件网站被黑接入应用存在后门僵尸网络攻击木马攻击蠕虫攻击病毒攻击网络通信层安全威网络通信层安全威胁胁控制层安全威控制层安全威胁胁控制器漏洞控制协议漏洞控制软件漏洞配置错误身份鉴别弱/缺失凭证管理不足表现：攻击入口多、防御剖面大表现：攻击入口多、防御剖面大!后果：带来物理伤害、威胁生命
7、后果：带来物理伤害、威胁生命！原因：缺乏现代威胁理解和安全架原因：缺乏现代威胁理解和安全架构构安全功能安全功能ITOT防病毒和移动 代码很常见，轻松部署和更新。用户可以控制定制 可以是基于资产或基于企业的内存的限制内存的限制要求可能会影响ICS;只能通过售后解决方案保护传统系统;通常需要“排除”文件夹以避免程序隔离关键文件补丁管理容易定义; 企业范围内实施;可以远程和自动化成功的安装补丁程序需要长时间验证;定制性OEM产品难打补丁； 可能影响ICS功能； 资产所有者需要明确定义可接受的风险技术生命周期23年；大量供应商；无处不在的升级1020年；通常是单个供应商；资产分类常用，每年执行一次；结
8、果驱动支出必需时执行；资产可见性低；资产价值与适当对策 没有联系事件响应和取易于开发和部署；有明确监管规定；采用嵌入 证技术侧重于系统恢复活动；取证程序不成熟；需要良好 的IT/ICS关系物理和环境安通常对关键区域非常有用；现场设施的成熟度各不 全范围可以从差（系统）到优秀（关键的IT系统）相同安全系统开发整个开发过程的一部分长久以来，不是整个开发过程的一部分；供应商走 向成熟，但比IT慢；核心ICS解决方案在安全性方 面困难重重安全合规IT环境与环境与OT环境环境 安全功能差异安全功能差异取决于部门的监管监督根据部门（而不是所有部门）的具体监管指导IT/OT融合后带来的进一步挑融合后带来的进
9、一步挑战战OT大量采用IT设备和技术，IT安全风险随之而来，并将成为主要威胁IT和OT安全常常由两个不同团队管理，带来管理效率和 有效性的挑战案例案例1：8.3 台积电勒索停产事件台积电勒索停产事件（网络安全（网络安全+控制安全）控制安全）IT/OT状态状态 台湾三工厂直接IT、Ot融合互联，全球多工厂 IT和OT网络融合 严格网络安全管控和U盘管控 大量机台接入网络，标准SOP 与台湾以外工厂防火墙连接攻击过程攻击过程 8月3日周五，新机台安装引入病毒 数分钟内wannacry大规模攻击3个工厂停产， 机器蓝屏重启损失严重，受影响机器超万台 8月6日下午召开记者会：应对完毕，损失：近2 亿美
10、元、毛利降1%解决解决 建立防呆机制（人和技术协同） 推动网络安全保险近一年：航空界的波音公司、汽車界的近一年：航空界的波音公司、汽車界的雷雷 諾、日產與本田、諾、日產與本田、 貨運界的貨運界的 Maersk、物、物 流業的流業的 FedEx，均遭受到了勒索病毒的攻击损失巨大？均遭受到了勒索病毒的攻击损失巨大？8案例案例2：某电路板企业：某电路板企业（控制安全（控制安全）2018年年4月月3日日接到客户的应急需求应急需求：东北某电路板企业东北某电路板企业有200台左右工控机，50台 已被Wanncry感染出现反复蓝屏或重启现象，严重影响正常生产，大量订单积压工控防火墙永 恒之蓝告警进行安全服务
11、应急响应后，部署工业安全产品，进行安全防进行安全服务应急响应后，部署工业安全产品，进行安全防护护案例案例3：某装备企业上千台工程机械：某装备企业上千台工程机械“失联失联”(设备安全设备安全）事件背景事件背景2016年6月底，某装备巨头向长沙县公安局报案。 山东、 江苏、山东、福建、内蒙、辽宁、新疆、广州、 杭州等地 陆续有数十台机械失联，导致技术研发和售后服务大受影 响，更有大量客户恶意拖欠该公司 货款，失联泵车价值高 达数千万元攻击过程攻击过程内鬼张某把ECC系统中的锁机模块删除后，重新制作成刷机 镜像。就像破解后的windows系统一样，只要把这个镜 像 刷入泵机，就能实现解锁，使其“失踪
12、”，每台收取1-2万；启示：启示：1.工业互联网带来商业模式的创新工业互联网带来商业模式的创新2.安全问题也随之而来安全问题也随之而来3.工业互联网平台也为安全带来了解决方案工业互联网平台也为安全带来了解决方案未来将采用工业互联网、数字双胞胎，云制造，数字供应链等的超未来将采用工业互联网、数字双胞胎，云制造，数字供应链等的超数数字化工厂，安全问题可能产生可怕的后果字化工厂，安全问题可能产生可怕的后果!In the future, Ultra-digital factories such as the Industrial Internet, Digital Twins, Cloud Manuf
13、acturing, Digital Supply Chains, etc. will be adopted. Security problems may have disastrous consequences.AII联盟联盟Q3全会工业企业调研全会工业企业调研（100+）自我判断（自我判断（乐观了？乐观了？）：）：1、 行业内对自己单位的网络安全水平都有较高的认可2、 超过一半的企业认为自己公司不会遭受攻击趋势：趋势：1、国家政策的推动有利于工业互联网网络安全的实施2、80%企业认为安全投入应占工业互联网投入的5%-20%3. 超76.4%认为高层领导决策决定公司的网络安全重视程度 4、工业
14、网络安全最大挑战是安全人才匮乏安全建设费占工业互联网投入的比安全建设费占工业互联网投入的比例例安全费用投入趋势安全费用投入趋势现状Current state安全管理与策略不平衡 IT、OT通信信道不安全 针对OT的威胁情报缺失IT、OT安全责任划分不清IT安全控制在OT领域无效 OT资产、漏洞可见性受限 OT人员安全培训普遍缺失安全战略路线图安全和风险管理者应该在充分了解安全现状的基础上，规划与设想企业安全生产的未来安全图景，并在两 者之间寻找企业目前缺失的安全管理和控制手段，然后对症下药，找到过度至未来安全图景的方法。IT/OT一体化安全现状一体化安全现状-GAP（鸿沟）鸿沟）风险评估维护测
15、试监控 跨跨越越Migration缺乏集安安中全全安意意全识识管培培理训训与策略O缺T乏资资O产产T清清资单单产和和可评评见估估性建建缺立立乏安安正全全确管管的理理网和和络策策分略略段持持缺续续失运运业缺营营务失、连评评什续估估性么与与计维维划持持部部缺署署失安安全全灾控控难制制恢以以复减减性少少计风风划险险缺失第三方管理如缺何乏监过控度工业互联网的安全如何应对工业互联网的安全如何应对？HOW TO PROTECT INDUSTRIAL INTERNET SECURITY数量数量1nIT/OT一体化商业需求目标目标授权OT功能性需求OT方案许许命可可IT/OT一体化策一体化策略略强强制制OT
16、标标准准强强制制OT 程程序序IT/OT一体化安全发展路一体化安全发展路线线OT 指指南南月按需按需强强制制IT/OT一体化安全策略框架一体化安全策略框架（Gartner）集成的集成的IT和和OT安全性是一个业务问安全性是一个业务问题题Gartner IT-OT自适应安全架自适应安全架构构IT/OT一体化的自适应防护架构一体化的自适应防护架构策略合规预测预测-POT风险评估预估威胁 基线系统 安全态势调整态势监控态势调整态势实施态势持续监测与评估持续监测与评估 用户用户系统系统系统活动系统活动 载荷载荷 网络网络预防预防-P加固OT资产和系统 分隔IT、OT网络端点加固预防攻击响应响应-R检测
17、检测-D修复设计/模型 策略更改事件调查 回顾分析无损检测 被动漏扫风险确认和优先级排序控制事件安全的滑动演进安全的滑动演进（Sliding Scale）依依 赖赖在无人员介入的情况在无人员介入的情况 下，附加在架构安全下，附加在架构安全 之上，可提供持续的之上，可提供持续的 威胁防护及威胁洞察威胁防护及威胁洞察 力的系统力的系统被动防被动防御御架构安架构安全全强身健体在系统规划、建设、在系统规划、建设、 运维的过程中充分考运维的过程中充分考 虑安全防护的建设虑安全防护的建设纵深防御积极防积极防御御威胁情威胁情报报进攻反进攻反制制检测响应掌握敌情先发制人强调人员的参与，对强调人员的参与，对 收
18、集数据，将数据转收集数据，将数据转 对抗攻击者的法律对抗攻击者的法律 所防所防御范围内的威胁御范围内的威胁 化为有价值的信息，化为有价值的信息， 反制措施、自卫反反制措施、自卫反 进行持续进行持续的监控，学的监控，学 并将信息生产加工并将信息生产加工 击行动击行动习经验和应用知识的习经验和应用知识的过程过程IT和和OT功能安全与信息安全功能安全与信息安全一体化规划一体化规划（投入产出最高）（投入产出最高）嵌入式设备加固应用与资产加固网络分段周边防御物安全性政策程序、意识进进选择合适的选择合适的供应商和组件供应商和组件化化进行进行管理认证和访问控制管理认证和访问控制协议与遵遵传循循输最最防佳佳御
19、实践的远程访问实践的远程访问开发结构化的开发结构化的补丁管理和验证程序补丁管理和验证程序使用使用网络分段网络分段的方法隔离关键系统的方法隔离关键系统依赖进化安全的滑动演进安全的滑动演进（Sliding Scale）依 赖进 化架构安架构安全全被动防被动防御御积极防积极防御御强身健体纵深防御检测响应在系统规划、建设、在系统规划、建设、 在无人员介入的情况在无人员介入的情况 强调人员的参与，对强调人员的参与，对 运维的运维的过程中充分考过程中充分考 下，附加在架构安全下，附加在架构安全 威胁进行持续的监控威胁进行持续的监控 虑安全防护的虑安全防护的建设建设之上，可提供持续的之上，可提供持续的 学习
20、经验和应用知识学习经验和应用知识威胁防护及威胁洞察威胁防护及威胁洞察 的过程的过程 力的系统力的系统进攻反进攻反制制先发制人对抗攻击者的法律对抗攻击者的法律 反制措施、自卫反反制措施、自卫反 击行动击行动威胁情威胁情报报掌握敌情收集数据，将数据转收集数据，将数据转， 化为有价值的信息，化为有价值的信息， 并将信息生产加工并将信息生产加工威胁情报的生威胁情报的生产产威胁情报威胁情报(TI)机器学习大数据分析安全专家分析云端重沙箱运云端重沙箱运行行安全大数据恶意样本行为恶意样本行为库库 总日志18.9万亿万亿条 每天新增380亿亿恶意代码样本恶意代码样本库库 总样本145亿亿+ 每天新增900万万
21、存活网址存活网址库库 每天处理100亿亿条条 钓鱼数网站1.4亿亿/天中文漏洞中文漏洞库库 总漏洞超过47万万 每天新增500个个第三方数据第三方数据源源 100+域名解析域名解析库库 90亿亿DNS解析记录 13年年whois信息服务器超20万万台GPU并行计算平台1TB数据/秒处理能力谁攻击的？（源头谁攻击的？（源头）目标是谁？（目标目标是谁？（目标）为啥攻击？（动机为啥攻击？（动机）手段如何？（工具手段如何？（工具）程度如何？（指标程度如何？（指标）现象如何？（表象现象如何？（表象）后果怎样？（影响后果怎样？（影响）如何补救？（方案如何补救？（方案）精准威胁情精准威胁情报报Custome
22、d TI客户特性安全的滑动演进安全的滑动演进（Sliding Scale）依依 赖赖强调人员的参与，强调人员的参与， 对所防御范围内对所防御范围内 的威胁进行持续的威胁进行持续 的监控，学习经的监控，学习经 验和应用知识的验和应用知识的 过程过程积极防积极防御御架构安架构安全全被动防被动防御御强身健体纵深防御在系统规划、建在系统规划、建在无人员介入的在无人员介入的 设、运维的过程设、运维的过程情况下，附加在情况下，附加在 中充分考虑安全中充分考虑安全架构安全之上，架构安全之上， 防护的建设防护的建设可提供持续的威可提供持续的威 胁防护及威胁洞胁防护及威胁洞察力的系统察力的系统检测响应威胁情威胁
23、情报报进攻反进攻反制制掌握敌情先发制人收集数据，将数收集数据，将数 对抗攻击者的法对抗攻击者的法 据据转化为有价值转化为有价值 律反制措施、自律反制措施、自 的信的信息，并将信息，并将信 卫反击行动卫反击行动息生产加工息生产加工数据数据 + 人人 员员360在在IT/OT协同防护的安全实协同防护的安全实践践SECURITY PRACTICE数据驱动的三层安全能力构数据驱动的三层安全能力构建建威胁情报云沙箱云查杀机器学习图搜索日志关联分析网络 安全终端 安全上网 行为移动 安全虚拟化 防护云监测可视化分析3层能力高位中位 低位 云端情报与分析能力 安全分析与运营平台 传统设备/ 软件/ 管理端低
24、位能力低位能力(Field)数据的生产和采集数据的广度和深度中位能力中位能力(Middle)数据的建模与分析数据的治理与质量高位能力高位能力(High)威胁情报云端安全大数据安全大脑安全大脑城 市 本 地工业互联网安全威胁情报中心工业互联网 平台防护区域 防护云区域 云监测体 安 系 全 建 管 设 理工业互联网 企业1(IISOC）工业互联网 企业2(IISOC）360工业实验 室(IISOC）行业/区域安全监测响应平台安全运安全运维维安全响安全响应应互联网 安全中心专人家员服培务训全国工业互联网安全监测与响应中心威胁 情报安全 事件情报/服务事件情报/服务事件情报/服务事件安安全全 服服务
25、务防御技术路线：多级安全服务体防御技术路线：多级安全服务体系系协同防御：构建工业互联网企业安全共同协同防御：构建工业互联网企业安全共同体体目目 标标协同联动：建立工控安全应急响应协同机协同联动：建立工控安全应急响应协同机制制工控系统 ICS工业安全运营中心（IISOC）互联网安全厂商工业企业工业企业（Enterprise）安全监测 态势感知行业行业/区域监管部区域监管部门门（GOV）实时跟踪和研判漏洞、病毒事件大数据威胁情报应急解决方案建立应急响应机制应急解决方案实时呈现工控系统风险安全管理自动安全信息上报实时威胁情报和风 险事件通报实时威胁情报和风险事件通报信息上报数据旁路采集与分析安全应急
26、 响应服务自动化厂商 集成商SI安全应急 响应服务应急通报威胁情报驱动，协同联动响威胁情报驱动，协同联动响应应工业控制安全网关（Gate）工控协议的深度解析；IT、OT一体化安全防护； 白名单智能学习；入侵防御、病毒等威胁检测； 全面风险信息展示及分析； 高可靠的传输加密；工业安全主机防护（Endpoint Protect）智能机器匹配白名单生成多种模式一键切换；外部设备安全管控；外部设备安全管控；针对针对wannacry防御技术；防御技术；支持多种操作系统； 工业主机统一管理；资产发现及梳理（asset）安全监控与审计(Monitoring and auditing)工业安全审计系统工控网络
27、异常检测；工控关键事件检测；工控关键事件检测；工控关键业务中断检测；工控关键业务中断检测； 工控网络流量审计；工控网络流量审计；支持网络会话审计；支持网络会话审计； 支支持协议规约检测；持协议规约检测； 支持支持基线检测功能；基线检测功能；工业安全运营中心企业级工业安全运营平台企业级工业安全运营平台 应急响应平台与可视化 基于威胁情基于威胁情报的攻击发现报的攻击发现 工控关键操作监工控关键操作监测测流量监测、流量监测、异常行为监测关键资产管理、日志采集与管理 上报风险事件、响应处理工业安全管理系统工控安全设备和系统管理; 统一配置和运维;实现策略配置下发; 网络流量分析;工业控制网络运行实时掌
28、握;安全管理与运营（Management and operation）01030204安安全全隔隔离离与与防防护护(Isolation and protection)工业安全服务 services资产发现和梳理；流量分析，威胁发现； 工控安全体系化设计； 模拟环境渗透测试； 对安全事件响应演练； 安全意识培训；工业安全检查评估工具 Tools威胁情报匹配；异常行为和未知威胁检测； 工控资产发现与漏洞扫描； 工控合规检查及报告生成； 工控协议解析、流量分析； 行为日志、项目管理等；工业互联网安全工作思工业互联网安全工作思路路工业态势感知(Situation Awareness)05工业态势感知区
29、域行业威胁风险和事件感知区域行业威胁风险和事件感知 工业安全监测系统工业安全监测系统预警通报系统 事件处置系统事件处置系统 情报信息系统情报信息系统 综合管理系统综合管理系统工业互联网安全战略推进建工业互联网安全战略推进建议议PROPOSALS FOR PROMOTING INDUSTRIAL INTERNET SECURITY STRATEGY战略路线图时间战略路线图时间表表IT/OT一体化安全的战略推进时间一体化安全的战略推进时间表表20182019202020212022驱驱动动业务连续性、 安全、弹性驱驱动动打破IT、OT 间的隔阂驱驱动动新的数字 业务能力 监管一体化 操作模型一体化
30、 策略框架一体化 建设和运营 周期渗透测试 测试/部署新的OT安全工具和技术 持续评估IT/OT一体化安全等级、风险和 进程安全治理是长期且复杂的过程，难以一蹴而就，需要循序渐进 资产清单/摸清OT资产； 基于风险提供安全控制；基于OT网络架构建参考模型 将OT人员纳入安全意识培训项目近近期期中中期期远远期期战略推进节拍战略推进节拍-高优先级高优先级（意识、组织、评估、监测）（意识、组织、评估、监测）近期近期安全意识培安全意识培训训大多数安全事件是由于人为错误造成的。人仍然是网络安全环境中最脆弱的环节，IT如是，OT亦然。形成一个统一的形成一个统一的IT/OT安全治理机安全治理机构构统一的IT
31、 / OT安全治理机构，由：管理层、IT团队、OT团队成员组成，在实现安全治理时提供最全 面、代表企业最根本利益的解决方案。OT资产管资产管理理对OT资产进行充分管理，包括清点、分类、跟踪记录等。OT资产一般包括设备、过程、软件、网络 资源、人员等。根据OT资产相对应的风险等级，制定安全应对方案。对目标系统的安全评对目标系统的安全评估估确定系统中存在的安全风险。包括：远程访问、VLAN不当使用、BYOD安全控制、第三方服务水 平等利用监测工具提高利用监测工具提高OT资产可见资产可见性性- 可以有效利用资产发现工具，对OT资产进行发现和管理，提高可见性和可控性。战略推进节拍战略推进节拍-中优先级
32、中优先级（运营、流程、系统（运营、流程、系统）中期中期继续将统一的继续将统一的IT/OT安全治理工作正式安全治理工作正式化化- OT安全功能范围的准确划分、选择合适的安全模型、什么技能至关重要、哪些技术需要更改建立共同的建立共同的IT/OT安全运营模式，建立联合角色、责任、流程和系安全运营模式，建立联合角色、责任、流程和系统统-确定了OT安全运营内容。资产和系统之间的互联和关系的复杂性和指数级增长，IT、OT和安全功能 的纵向和横向集成和融合，网络威胁不断增长，需要更灵活和响应的运营模式。修订现有安全策略框修订现有安全策略框架架- 针对IT和OT的角色和责任定制安全策略或更新现有安全策略、保证
33、宣贯和落地OT网络及安全防护建网络及安全防护建设设网络分割、身份和访问控制管理、远程访问控制、无线网络安全控制等。OT网络中无线网络安全控 制要一同部署，保障OT安全使用工业防火墙、主机防护实施使用工业防火墙、主机防护实施IT/OT网络安全控网络安全控制制-OT系统中存在许多架构限制，选择合适的工业防火墙可有效解决工业网络分段和安全控制问题。 选择合适的主机防护和工业主机防护，保护端点安全问题持续持续实施安全监实施安全监测测开始并持续实施安全监测，例如实施配置管理、变更管理、定期审计等。战略推进节拍战略推进节拍-低优先级低优先级（持续运营、评估、改进（持续运营、评估、改进）远期远期定期进行测定期进行测试试定期进行外部渗透测试、漏洞扫描等安全测试工作。应用新的应用新的OT安全工具和技安全工具和技术术- 发现、引入先进的IT、OT安全工具和技术，进行的概念验证、实现、测试、部署、维护衡量和控制OT安全流程及其有效性持续评估综合IT/OT安全级别识别可能影响OT功能的基础设施和系统的潜在变化谢谢 谢谢！
