IT-OT融合的安全挑戰與應對.pdf

1、IT/OT融合的安全挑戰與應對目錄工業互聯網 IT/OT 融合的驅動力工業互聯網 IT/OT的融合趨勢是什么?IT/OT融合后的安全挑戰是什么？IT/OT融合后的安全如何應對？360在工業互聯網IT/OT協同防護的安全實踐工業互聯網 IT/OT 融合的驅動力？效率 盈利我國工業互聯網總體架構三大智能化閉環：智能生產控制、智能運營決策優化、消費需求與生產制造精確對接智能化生產企業內網絡化協同企業-企業個性化定制企業-用戶服務化延伸企業-產品應用物理系統（感知/執行）數據網絡安全設備安全數據安全控制安全應用安全網絡互聯應用支撐標識解析產業視角互聯網視角產業數據采集交換生產反饋控制數據集成處理產業建

2、模、仿真與分析車間/工廠/企業 運營決策優化網絡安全數據：本質是數據智能在工業 中的全周期應用，包括“采集交 換-集成處理-建模分析-決策與 控制”，形成優化閉環，驅動工 業智能化。網絡：本質是實現數據智能的 網絡基礎，包括網絡互聯、標識 解析、應用支撐三大體系。安全：本質是工業/產業互聯網 各個領域和環節的安全保障，包 括設備安全、控制安全、網絡安 全、應用安全等?？傮w架構用戶（消費者/企業用戶）中國的工業互聯網=工業物聯網（OT）+工業關聯的消費性互聯網（IT）數據是核心數據是核心網絡是基礎網絡是基礎安全是前提安全是前提IT/OT融合的驅動力有效的管理和保護工作的“物”，當應用他們產生的傳

3、感器數據進行分析和盈利時，需要前所未有IT和OT組織合作獲得競爭優勢簡化操作獲得更大的生產率Greater productivity with streamlined operations提高安全性與預測性維護以避免危險的環境中Improved safety with predictive maintenance to avoid dangerous environments 提高經營決策精度和速度Increased accuracy and speed in operational decisions減少所需人力成本Cost savings with lesser manpower requ

4、ired提高客戶需求的響應速度和服務能力Increasing responsiveness and service capabilities of customer requirementsI TI TOTOT我國工業互聯網的特點：兩大視角工業企業：漸進、改良、升級互聯網企業：變革、顛覆、重構2大視角：工業企業：由內及外，漸進、改良、升級，生產系統的智能化互聯網企業：由外及內，變革、顛覆、重構，商業系統的智能化工業互聯網 IT/OT 融合的方向？效率 盈利IT/OT融合的發展趨勢到2020年底，物聯網的全球經濟影響將達到2兆美元，其中有超過210億個聯網的“物聯網”IT和OT分離管理的情況將會

5、打破基于以太網的盡力交付模型將不再適用開始考慮時間敏感網絡（TSN）自底向上打通數字孿生IT/OT一體化實現更直接控制和更完整監控，更容易地分析來自世界任何地方復雜系統的數據政策市場技術數 據通 信I TOT感知分析IT/OT 融合帶來的安全挑戰？效率 盈利IT/OT安全收斂，對齊，整合OTEngineerCSO可靠性Reliability安全Safety物理變化的數據Data for Physical ChangesSecurity安保Privacy隱私商業決策的數據Data for Business DecisionsMission任務http:/ growth in complexity

6、 increases the“attack surface”in industrial settings,such as ICS,SCADA，manufacturing,smart grids,oil and gas,utilities,and transportation.與IT相比，IIoT系統安全問題，可以造成物理傷害，生命和社會損失IIoT systems have different attack vectors and threats associated with them,as compared with their IT counterparts,which can caus

7、e physical harm,loss of life and major societal disruption.安全態勢和資產可視性不足，無效的安全對策及合規性和互操作性減緩了在IOT中的使用安全措施Lack of security posture and asset visibility,ineffective security countermeasures,and compliance and interoperability issues are key concerns slowing security adoption in IIoT.許多舊的工業協議都是專有的，未考慮到現代

8、威脅和安全架構，帶來互操作性和安全挑戰Many older industrial protocols are proprietary and are not designed with modern-day threats and secure architectures in mind,creating both interoperability and security challengesGartner G00317591“Pragmatic Strategies to Improve Industrial IoT Security”分類IT系統OT系統可用性需求可重啟、熱切換高可用（不

9、能重啟）、計劃性中斷、重要系統冗余管理需求保密性、完整性、有效性、隱私人身安全、有效性、完整性、保密性、隱私體系安全焦點IT資產及信息、中央服務器更重要邊緣設備與中央設備一樣重要未預期的后果安全解決方案圍繞典型的IT系統進行設計安全工具必須先測試以確保不會影響ICS的正常運作時間緊迫的交互交互時效可有彈性可實施嚴格限制的訪問控制實時性、緊急響應訪問控制不能妨礙必要人機交互系統操作典型的操作系統、自動部署、持續升級專有的操作系統，無安全功能、軟件變更須驗證資源限制近3-5年主流硬件，有性能冗余按需設計，可能10-20年前設備，剛好夠用通信標準通信協議、有線、無線專有標準、異構、難互操作IT/OT

10、系統主要差異IT/OT融合后帶來的進一步挑戰OT大量采用IT設備和技術，IT安全風險隨之而來，并將成為主要威脅IT和OT安全常常由兩個不同團隊管理，帶來管理效率和 有效性的挑戰案例1：KWC水廠SCADA受到攻擊IT/OT狀態IBM AS/400小型機系統成為SCADA平臺系統通直接連接到多個網絡中，包括：地區稅務（向外）、流量控制應用程序、幾百個PLC、安置客戶的相關計費信息等攻擊發現為期60天的評估期間，專家們發現了四個可疑的對外連接可以被用來竊取其中的250萬條記錄，包括客戶數據和付款信息通過訪問AS/400系統，攻擊可完全控制水流和用于凈化水的化學物質案例2：烏克蘭停電（Industr

11、oyer/Crashoverride)攻擊過程2016年12月17日影響了烏克蘭的變電站黑客使用Industroyer無限循環打開關閉的斷路器，使斷路器持續打開、關閉，這可能會觸發保護，并導致變電站斷電，并組織HMI上發出的關閉命令攻擊發現Industroyer是模塊化惡意程序利用的四種工業協議：IEC 60870-5-101/5-104、IEC 61850、OPC DA還可用于對美國的基礎設施硬件發動攻勢清理器模塊擦除關鍵性注冊表項并覆蓋相關文件，導致系統無法啟動提升恢復難度案例3 3：一些公網上工業應用站點IT-OT融合后的安全如何應對？效率 盈利滑動標尺模型（Sliding ScaleS

12、liding Scale）依賴進化在系統規劃、建設、運維的過程中充分考慮安全防護的建設在無人員介入的情況下，附加在架構安全之上，可提供持續的威脅防護及威脅洞察力的系統收集數據，將數據轉化為有價值的信息，并將信息生產加工強調人員的參與，對所防御范圍內的威脅進行持續的監控，學習經驗和應用知識的過程對抗攻擊者的法律反制措施、自衛反擊行動架構安全被動防御積極防御威脅情報進攻反制強身健體縱深防御檢測響應掌握敵情先發制人IT/OTIT/OT一體化架構安全規劃和建設階段，建立與組織機構實際需求相適應的架構安全體系，可以使其他類別的措施變得更有效且成本更低IT和OT功能安全與信息安全一體化規劃開發結構化的補丁

13、管理和驗證程序使用網絡分段的方法隔離關鍵系統進行管理認證和訪問控制實施主機加固和白名單，只允許部分軟件運行遵循最佳實踐的遠程訪問選擇合適的供應商和組件業務應用軟件的供應鏈安全19缺陷檢測檢測編寫的代碼是否存在常見的安全缺陷合規檢測檢測代碼的編寫是否遵循了安全編程標準溯源檢測檢測開發中是否使用了不安全的第三方組件最大的風險來自這里供應鏈的選擇規劃供應鏈暴露情況 Map the chain to understandexposures識別風險的切入點 Identify risk entry points列舉的風險 Address the risks協調與供應商和合作伙伴的合作（Coordinate

14、 and collaborate with suppliers and partners）供應鏈供應鏈Supply Chain供應鏈組件Supply chain component數字安全管理Digital security managementSupply chain Partner供應鏈伙伴滑動標尺模型（Sliding ScaleSliding Scale）依賴進化在系統規劃、建設、運維的過程中充分考慮安全防護的建設在無人員介入的情況下，附加在架構安全之上，可提供持續的威脅防護及威脅洞察力的系統強調人員的參與，對威脅進行持續的監控，學習經驗和應用知識的過程收集數據，將數據轉化為有價值的信息

15、，并將信息生產加工對抗攻擊者的法律反制措施、自衛反擊行動架構安全被動防御積極防御威脅情報進攻反制強身健體縱深防御檢測響應掌握敵情先發制人縱深防御：“零信任網絡”下的“巷戰塔防”移動辦公用戶業務部財務部DMZ研發部數據中心vNGFWvNGFW1.終端防御（殺毒、審計、白名單等）2.縱深防御-安全分區、網絡專用-橫向隔離、縱向認證-審計、蜜罐等3.邊界防御-工業防火墻、網閘等4.安全遠程訪問（VPN等）5.漏洞和補丁管理-漏洞掃描-部分補丁滑動標尺模型（Sliding ScaleSliding Scale）依賴進化在系統規劃、建設、運維的過程中充分考慮安全防護的建設在無人員介入的情況下，附加在架構

16、安全之上，可提供持續的威脅防護及威脅洞察力的系統強調人員的參與，對所防御范圍內的威脅進行持續的監控，學習經驗和應用知識的過程收集數據，將數據轉化為有價值的信息，并將信息生產加工對抗攻擊者的法律反制措施、自衛反擊行動架構安全被動防御積極防御威脅情報進攻反制強身健體縱深防御檢測響應掌握敵情先發制人威脅情報的生產威脅情報機器學習大數據分析安全專家分析云端重沙箱運行安全大數據惡意樣本行為庫 總日志18.9萬億條 每天新增380億惡意代碼樣本庫 總樣本145億+每天新增900萬存活網址庫 每天處理100億條 釣魚數網站1.4億/天中文漏洞庫 總漏洞超過47萬 每天新增500個第三方數據源100+域名解析

17、庫 90億DNS解析記錄 13年whois信息服務器超20萬臺GPU并行計算平臺1TB數據/秒處理能力 誰攻擊的？（源頭）目標是誰？（目標）為啥攻擊？（動機）手段如何？（工具）程度如何？（指標）現象如何？（表象）后果怎樣？（影響）如何補救？（方案）滑動標尺模型（Sliding ScaleSliding Scale）依賴進化在系統規劃、建設、運維的過程中充分考慮安全防護的建設在無人員介入的情況下，附加在架構安全之上，可提供持續的威脅防護及威脅洞察力的系統強調人員的參與，對所防御范圍內的威脅進行持續的監控，學習經驗和應用知識的過程收集數據，將數據轉化為有價值的信息，并將信息生產加工對抗攻擊者的法律

18、反制措施、自衛反擊行動架構安全被動防御積極防御威脅情報進攻反制強身健體縱深防御檢測響應掌握敵情先發制人工業互聯網自適應防護架構（PC4RPC4R）信息感知信息感知（Perception）數據匯集數據匯集（Connection)轉化分析轉化分析(C Conversion)網絡融合網絡融合(Cyber)認知預測認知預測(C Cognition)響應響應/決策決策(Response)打通打通IT&OTIT&OT人在回路、數據驅動人在回路、數據驅動PC4R感知工業現場（壓力、摩擦、振動、溫度、電流等）物理量數字化、資產CNC/PLC、DNC、SCADA、MES、ERP工業數據跨層匯集建立（安全數據倉庫

19、）數據特征提取、篩選、分類、優先，可讀機理、環境、群體、操作、威脅情報有機結合內容化（Content）和情景化（Context）人在回路對規律、異常、目標、態勢、背景等完成認知，發現看不見威脅人在回路的回溯、決策、部署、優化、響應，實現安全防護管理與控制（Management&Control）IT/OT安全問題的管理應對管理總體思路1.建立IT和OT統一的安全團隊2.規劃IIoT架構，進行IIoT資產清查3.使用并維護準確和良好的記錄庫，用于進行風險分析4.集中化跟蹤用戶配置和資產信息、建立所有工業控制系統的資產和配置數據庫5.采購過程對供應商提安全需求6.通過安全運營中心進行管理，實現自動化

20、和可擴展，減少人員需求7.采購一個支持異構系統、支持多供應商的網絡安全工具8.利用深度包檢測，監測協議和控制系統漏洞Gartner G00317591“Pragmatic Strategies to Improve Industrial IoT Security”Level 1起步Level 2發展Level 3定義Level 4管理Level 5優化確定特定于OT安全需求與通過IT交付的安全需求構建IT/OT安全組織和管理流程協調OT、IT、物理設備和物聯網安全管理，使其相互支撐在需要的環節集成數字安全系統和基礎設施整合數字安全生態系統以實現持續改進60%30%10%企業分布360進行的安全

21、實踐效率 盈利防御技術路線：建立企業工業安全運營中心云+端 縱深防御的自動響應目 標大數據存儲/分析平臺搜索篩選關聯檢測評估任務處置威脅情報、安全通報、自定義IOC實時信息物理量、進程、網絡連接、執行的文件 歷史信息OS、軟件、漏洞、文件、日志、工況漏洞掃描更新補丁結束進程隔離文件取證保存隔離終端訪問策略企業工業安全運營中心（企業工業安全運營中心（IISOC）安全安全技術技術PerceptionConnectionC ConversionCyberC CognitionResponsePC4R工業安全運營中心（IISOC）建立以安全運營為中心，以威脅情報為驅動，以協同聯動為基礎的IT-OT融合

22、的安全防護體系工業網絡OT工業安全運營中心（IISOC)工控系統集成商或原廠安全企業態勢感知工業企業政府主管部門實時跟蹤和研判漏洞、病毒事件大數據威脅情報應急解決方案建立應急響應機制應急解決方案實時呈現工控系統風險安全管理自動安全信息上報實時威脅情報和風險通報實時威脅情報和風險通報，解決方案合作實時威脅情報和風險通報信息上報旁路數據，分析比對安全服務安全服務應急通報商業網絡IT防御技術路線：構建工控系統安全白環境云端+本地，獲得“可信網絡白環境可信網絡白環境”和“工業互聯網軟件白名單工業互聯網軟件白名單”可信任的設備才能接入控制網絡可信任的信息才能在網絡上傳輸可信任的軟件才允許被執行基于大數據

23、，構筑工業互聯網系統“安全白環境”整體防護體系目 標持續監控收集，實時探測，云端判斷、取證、溯源、修復；被動解決方案，不影響工控系統的“可用性”和“穩定性”工控協議深度解析技術，具備高安全性，低時延影響；惡意進程應用進程系統進程應用服務器收集數據收集數據構建白名單構建白名單安全安全技術技術城市本地工業互聯網安全威脅情報中心區域/行業安全監測與響應中心全國工業互聯網安全監測與響應中心工業云防護區域云防護區域云監測安全管理體系建設專家服務工業互聯網企業1(IISOC）工業互聯網企業2(IISOC）工業互聯網企業n(IISOC）安全安全運運維維安全響應安全響應互聯網安全中心人員培訓威脅情報安全事件情報/服務事件情報/服務事件情報/服務事件安全安全服務服務防御技術路線：多級安全服務體系協同防御：構建工業互聯網企業安全共同體目 標具體案例1 1：永恒之藍處理專項態勢感知永恒之藍傳播態勢監控：中國威脅威脅情報情報安全安全技術技術安全安全服務服務工業互工業互聯網安聯網安全全數據驅動工業安全謝謝