工業(yè)控制系統(tǒng)安全

《工業(yè)控制系統(tǒng)安全》由會員分享，可在線閱讀，更多相關《工業(yè)控制系統(tǒng)安全（70頁珍藏版）》請在裝配圖網(wǎng)上搜索。

1、SIEMENS Corporate Technology 工業(yè)基礎設施信息安全 西門子中國研究院 信息安全部 Prof. Dr.唐文 Copyright Siemens Ltd. China, Cooperate Technology 2011. All rights reserved. SIEMENS Page 3 Dr. Wen Tang IT-Security, CT China SIEMENS 內容 信息安全的新戰(zhàn)場-工業(yè)基礎設施 工業(yè)基礎設施安全分析 Siemens Answers 四 總結

2、 Page 4 Dr. Wen Tang IT-Security, CT China SIEMENS 工業(yè)自動化技術 工業(yè)自動化系統(tǒng)構成了工業(yè)基礎設施的核心 工業(yè)自動化是在產(chǎn)品制造與服務提供中 采用控制系統(tǒng)與信息技術。目前，工業(yè) 自動化在世界經(jīng)濟與日常生活中起到了 越來越重要的作用。 目前，工業(yè)自動化控制系統(tǒng)的作用已經(jīng) 遠遠超出了傳統(tǒng)的制造領域，例如 ■曾非常普遍的接線員被電話交換機所 替代 ■現(xiàn)在，借助于自動化系統(tǒng)能夠更快速、 更精準地執(zhí)行篩選試驗與實驗分析等 操作 ■自動應答系統(tǒng)大大減少了客戶親自到 銀行

3、取款與辦理業(yè)務的需要 信息安全的新戰(zhàn)場-工業(yè)基礎設施 工業(yè)基礎設施構成了我國國民經(jīng)濟、現(xiàn)代 社會以及國家安全的重要基礎 與傳統(tǒng)的IT信息安全不同，工業(yè)基礎設施中 關鍵ICS系統(tǒng)的安全事件會導致： ■系統(tǒng)性能下降，影響系統(tǒng)可用性 ■關鍵控制數(shù)據(jù)被篡改或喪失 ■失去控制 ■環(huán)境災難 ■人員傷亡 ■公司聲譽受損 ■危及公眾生活及國家安全 ■破壞基礎設施 ■嚴重的經(jīng)濟損失等 Page 8 Dr. Wen Tang IT-Security, CT China SIEMENS 工業(yè)基礎設施面臨安全威脅 工業(yè)信息安全就是要為制造工廠與 自動化系統(tǒng)提供安全防護 目前

4、，工業(yè)基礎設施面臨的安全威脅 包括： ■竊取數(shù)據(jù)、配方等 ■破壞制造工廠 ■由于病毒、惡意軟件等導致的工廠停產(chǎn) ■操縱數(shù)據(jù)或應用軟件 ■對系統(tǒng)功能的未經(jīng)授權的訪問 近年來，各種安全事件已經(jīng)充分說明 當前工業(yè)自動化控制系統(tǒng)存在著安全 脆弱性 工業(yè)信息安全事件(1)-能源 ■ 1994年,美國亞利桑那州Salt River Project (SRP)被黑客 入侵 ■ 2000年，俄羅斯政府聲稱黑客成功控制了世界上最大的天 然氣輸送管道網(wǎng)絡(屬于GAzprom公司) ■ 2001年，黑客侵入了監(jiān)管加州多數(shù)電力傳輸系統(tǒng)的獨立運 營商 ■ 2003年,美國俄亥俄州Davis-Be

5、sse的核電廠控制網(wǎng)絡內的 一臺計算機被微軟的SQL Server蠕蟲所感染，導致其安全 監(jiān)控系統(tǒng)停機將近5小時 ■ 2003年，龍泉、政平、鵝城換流站控制系統(tǒng)發(fā)現(xiàn)病毒，外 國工程師在系統(tǒng)調試中用筆記本電腦上網(wǎng)所致。 ■ 2008年，黑客劫持了南美洲某國的電網(wǎng)控制系統(tǒng)，敲詐該 國政府，在遭到拒絕后，攻擊并導致電力中斷幾分鐘 ■ 2008年，在美國國土安全局的一次針對電力系統(tǒng)的滲透測 試中，一臺發(fā)電機在其控制系統(tǒng)收到攻擊后菠物理損壞 (video ) 工業(yè)信息安全事件（2） ■水利與水處理 ■ 2000年，一個工程師在應聘澳大利亞的一家污水處理廠被 多次拒絕后，遠程侵入該廠的污水處

6、理控制系統(tǒng)，惡意造 成污水處理泵站的故障，導致超過1000立方米的污水被直 接排入河流，導致嚴重的環(huán)境災難 ■ 2006年，黑客從Internet攻破了美國哈里斯堡的一家污水處 理廠的采全措施，在其系統(tǒng)內植入了能夠影響污水操作的 惡意程序。 ■ 2007年，攻擊者侵入加拿大的一個水利SCADA控制系統(tǒng)， 通過安裝惡意軟件破壞了用于控制從Sacrmento河調水的 控制計算機。 工業(yè)信息安全事件（3） ■交通 -1997年，一個十幾歲的少年侵入（紐約）NYNES系統(tǒng)， 干擾了航空與地面通信，導致馬薩諸塞州的Worcester機場 關閉6個小時 ■ 2003年，CSX運輸公司的計算機系

7、統(tǒng)被病毒感染，導致華 盛頓特區(qū)的客貨運輸中斷 ■ 2003年，19歲的Aaron Caffrey侵入Houston渡口的計算機 系統(tǒng)，導致該系統(tǒng)停機 2008年，一少年攻擊了波蘭Lodz的城鐵系統(tǒng)，用一個電 視遙控器改變軌道扳道器，導致4節(jié)車廂出軌 Page 13 Dr. Wen Tang IT-Security, CT China SIEMENS 工業(yè)信息安全事件（4 ） ■制造行業(yè) -1992年，一前雇員關閉了雪佛龍位于22個州的應急警報系 統(tǒng)，直到一次緊急事件發(fā)生之后才被發(fā)現(xiàn) ■ 2005年，在Zotob蠕蟲安全事件中，盡管在Internet與企 業(yè)網(wǎng).控制網(wǎng)

8、之間部署了防火墻，還是有13個美國汽車廠 由于被蠕蟲感染而被迫關閉，50,000生產(chǎn)線工人被迫停止 工作，預計經(jīng)濟損失超過1,400,000美元 ■在2005年的InfraGard大會上，BCIT科學家Eric Byres聲稱 在用普通的掃描器掃描某著名品牌PLC時導致其崩潰 Page 14 Dr. Wen Tang IT-Security, CT China SIEMENS Case Study: Stuxnet “震網(wǎng)，， 1 分析過程 客戶信息收集與解決措施發(fā)布 Q07.15.西門子收到首個Stuxnet扌艮告，并立即啟 ▼ 動 Industry Task

9、Force <2|07.19.西門子CERT成立應急響應小組，并開始 分析病毒樣本 ③ 07.25.解密并提取病毒的PLC負載代碼 ④ 08.16.掌握病毒的感染和傳播機制、觸發(fā)條件 以及主要的PLC負載代碼；結束初步分 析階段 （5）09.16.公開發(fā)布首個關于PLC負載代碼的分析 報告 ① 07.19.西門子官方發(fā)布關于木馬的事故信息 ② 07.21.發(fā)布關于病毒的FAQ以及快速防范措施 的建議 ③ 07.22.發(fā)布木馬檢測工具以及SIMATIC系列產(chǎn) 品的安全更新補丁 ④ 08.02.微軟發(fā)布更新補丁，修補了安全漏洞 09.17.公開發(fā)布完整的病毒分析報告 ⑤ 至

10、今仍在及時更新產(chǎn)品信息以及病毒感染狀態(tài)  Stuxnet原理與影響 SIEMENS SIEMENS Stuxnet 分析 ■ Stuxnet具有異常精巧的傳播與感染機制 ?借助了 4個O-day windows漏洞 ?竊取了 2個有效的軟件證書 ? 60000余行代碼 ■制作該病毒需要非常豐富的SIMATIC編程 及工業(yè)現(xiàn)場的專家知識  影響 陽染普通PC數(shù) >10000 被感染的安裝SIMATIC的PC數(shù) 24 形響的西門子合法渠道客戶數(shù) 0 SIEMENS SIEMENS Stuxnet攻擊目

11、標: WinCC服務器 Page 11 Source: SCiddeutsche Zeitung Online, 22.9.2010 Cyberkrieg: Sabotageziel Iran Ein hochkomplexes Schadprogramm infiziert Computer in Industrianlagen weltweit Nun iiuBem Experten oinen brisanten Verdacht; Solltn Irans Atomanlagen sabotiert werden? IT-Security, CT China *) BSI:

12、 Bundesamt fur Sicherheit in der Informationstechnik Dr. Wen Tang SIEMENS Dr. Wen Tang IT-Security, CT China SIEMENS Stuxnet 概述 Stuxnet編譯模塊 傳播 病毒載體 傳播 目標選擇 感染 基于手工.人工 可移動USB設備 U盤 被感染的SIMAIC Step7 項目文件 負載：木馬試圖下載PLC代 碼模塊 Windows PC 支撐功能 駐

13、留 偽裝隱藏 與C&C服務器通訊 基于局域網(wǎng)的匿名網(wǎng)絡 Windows共享功能 P2P協(xié)議 WinCC SQL數(shù)據(jù)庫 S7-DOS （通訊層） 病毒負載 由木馬打包 貝篡改PLC 417 315?2的代碼 下就代碼模塊 PLC 代碼模塊 Source: CERT. Dr. Heiko Patzlaff Page 12 Dr. Wen Tang IT-Security, CT China SIEMENS 示例：具備安全防范機制的工業(yè)控制網(wǎng)絡布局 St

14、uxnet 9 標： WinCC服務器  Stuxnet:成功篡改PLC代碼的條件 10.01.2011 /12:00 progress of analysis Active MC7 Code 100% Payload-DLL 100% Page 22 Dr. Wen Tang IT-Security, CT China SIEMENS Page # Dr. Wen Tang IT-Security, CT China SIEMENS CPU 315 成功篡改的必要條件 40%ofMC7 Code CPU 417 紐態(tài)CPU （

15、 SDBO, SDB4, SDB7存在于加載內存中） 60% of MC7 Code inactive Page # Dr. Wen Tang IT-Security, CT China SIEMENS Page # Dr. Wen Tang IT-Security, CT China SIEMENS s7blk_write hook（）（下載程序塊） SZL 0x111 包含“6ES7 417"字符串 無法從CPU讀取SDB7 無法從CPU讀取SDB0 0B1存在且可以從CPU讀取 0B1尚未被感染 無法從CPU讀?。ǖ诙螄L試） 1.

16、DB8061 is In 2. successful u| change, dow activation of —> SDB7 Is unchai DB8061 is cha』 Typ OB, DB, FC Oder FB i ? udi is avaJiaDie in ur 2. OB1 not manipulated 3. Upload of SDB7 suca 4. Exception In DLL: manipulation Is canc without conditions I SDBO 1. Upload of SDBO successful 2. Man

17、ipulation-Check of SDBO (pwfield) 3. Abort, because CPU is not manipulated up to now SDB7 無條件的取消篡改流＜1 不能篡改CPU 417的 用戶代碼 1.SZL0X111 包含 “6ES7 315-2” 字符串 2. CCRtsLoader.exe處于運彳亍狀態(tài) （說明WinCC已啟動） 3?計時19分鐘后，觸發(fā)篡改操作 4. CPU中存在OB1程序模塊 5. 最少有一臺CP342-5被組態(tài)為Central Rack 6. 我少有一臺CP卡的工作模式為DP-Slave,其余

18、CP卡的 工作模式為DP-Master 7. 掃描所有類型為2000的SDB模塊，查找slave ident lumbers 為 0x7050或0x9500 的 模塊 B.最少找到33個滿足要求的模塊（也就是我少需要有34個 DP-Slaves） 9. CPU中存在名字為“DP RECV“的FC2程序決 — 10.檢查CPU中MC7-blocks木馬的數(shù)字完全不受約束 篡改CPU 315-2的用戶代碼  |調用s7blk_write_hook（）（下載程序塊） ||321_型1亍包昏盼17”字符串 Page 23 Dr. Wen Tang IT-Securi

19、ty, CT China SIEMENS Stuxnet分析-加載動態(tài)鏈接庫 Page 24 Dr. Wen Tang IT-Security, CT China SIEMENS Page # Dr. Wen Tang IT-Security, CT China SIEMENS 16個回調函數(shù)： (s7db_open, s7blk_read,...) ?被動偵察Passive reconnaissance ?隱藏惡意代碼塊 ?隱藏篡改過程 |40% Code 麗勿 時長為5秒的線程： ?實現(xiàn)狀態(tài)機 ?協(xié)調運行在PLC上的惡意代碼

20、狀態(tài)機 不活躍 S7-315-2 S7-417 Page 25 Dr. Wen Tang IT-Security, CT China SIEMENS Page 26 Dr. Wen Tang IT-Security, CT China SIEMENS Stuxnet分析-破壞操作 感染線程運行在Step7 DLL 中，并上傳MC7惡意代碼到 其他相鄰PLC上 ■I WinCC服務器 5 MC7狀態(tài)機篡改控制 頻率轉換器的代碼 Q?| DB890 P

21、LC中的狀態(tài)機通過 DB890數(shù)據(jù)模塊與 Step7 DLL通訊 315-2 PLC 運行在315PLC上的 MC7惡意代碼實現(xiàn)狀態(tài) 機 WinCC 客戶端 WinCC 客戶端 控制線程里的狀態(tài)機通過恢 復預先記錄的頻率值來隱藏 自己的篡改操作 在一個時長為5秒的控制線程里 狀態(tài)機負責同步相鄰PLC的操作 3 □ DB890 315-2 PLC Page 27 Dr. Wen Tang IT-Security, CT China SIEMENS

22、注： 1. Page 28 Dr. Wen Tang IT-Security, CT China SIEMENS Page 29 Dr. Wen Tang IT-Security, CT China SIEMENS 內容 信息安全的新戰(zhàn)場-工業(yè)基礎設施 工業(yè)基礎設施安全分析 Siemens Answers 總結 Page 30 Dr. Wen Tang IT-Security, CT China SIEMENS 從而，越來越多的工業(yè)控制

23、網(wǎng)絡正由封閉、私 有轉向開放、互聯(lián) 工業(yè)基礎設施領域面臨全新的安全挑戰(zhàn) 新技術 越來越多的基礎設施工業(yè)領域開始采用最 新的IT技術 ?將TCP/IP作為網(wǎng)絡基礎設施，將工業(yè)控制協(xié) 議遷移到應用層 ?提供各種無線網(wǎng)絡 ?廣泛采用標準的商用操作系統(tǒng)、設備、中間 件與各種應用 新安全挑戰(zhàn) 在享受IT技術帶來的益處的同時，針對工業(yè)控 制網(wǎng)絡的安全威脅也在與日俱增 ?設備/軟件/應用的互聯(lián)使得攻擊能夠很容易地 借助于TCP/IP網(wǎng)擴展到其他系統(tǒng) ?應用層安全成為了 ICS系統(tǒng)的關鍵 ?傳統(tǒng)的IT安全解決方案不足以應對工業(yè)基礎 設施領域的全新安全需求 Page 32 Dr. W

24、en Tang IT-Security, CT China SIEMENS Page 33 Dr. Wen Tang IT-Security, CT China SIEMENS 工業(yè)控制系統(tǒng)(Industrial Control System) Industrial Control System SCADA DCS 應用 刪刪 ICS的特點 ?特定的控制應用：集散 控制、過程控制、監(jiān)控 與采集等 通信 Modbus ?特有的控制協(xié)議： OPC, Modbus, Prof i Net/ ProfiBus, MMS, DNP3,等等 設備

25、 ?特有的現(xiàn)場設備：PLC, RTU, IED,等等 Page 34 Dr. Wen Tang IT-Security, CT China SIEMENS Page 35 Dr. Wen Tang IT-Security, CT China SIEMENS 安全解決方案應當充分考慮工業(yè)應 用場景的特點 工業(yè)安全vs. IT安全 必須優(yōu)先保障24/7/365的可用性 不間斷的可操作性，并確保系統(tǒng)可 訪問 系統(tǒng)性能 防止誤操作與蓄意破壞 保護專有技術 系統(tǒng)與

26、數(shù)據(jù)的完整性 數(shù)據(jù)的實時傳輸 對工廠全生命周期的支持 安全日志與變更管理 ICS的安全脆弱性：策略與流程 ■缺乏ICS的安全策略 ■缺乏ICS的安全培訓與意識培養(yǎng) ■缺乏安全架構與設計 ■缺乏根據(jù)安全策略制定的，正規(guī)、可備 案的安全流程 ■缺乏ICS設備安全部署的實施指南 ■缺乏ICS的安全審計 ■缺乏針對ICS的業(yè)務連續(xù)性與災難恢復計 劃 ■缺乏針對ICS配置變更管理 工業(yè)信息安全是一個復雜的系統(tǒng)工程，不僅涉及到技術、產(chǎn)品、系統(tǒng)，更 取決于企業(yè)的安全管理的水平 Case Study: USB and Surfing DHCP Remote OPC WEB V

27、ideo Office DNS Maintain Client Client Client PC Data Maintain Engineer WinCC Historian Station Station Station Supervisory Stations Internet Redundant SIEM Control Server U 亠 Mobile Eng. Primary Station Control Server S7-400 缺乏根據(jù)安全策略制定的，正規(guī)、可備案的 安全流程 ■移動存儲設備安全使用流程與規(guī)章制度 ■互聯(lián)網(wǎng)安全訪問流程與規(guī)章制度 缺

28、乏人事安全策略與流程 ■人事（招聘、離職）安全流程與規(guī)章制度  ICS的安全脆弱性：平臺（1 ） ics平臺的脆弱性 平臺配置的脆弱性 -對已知的OS、軟件漏洞未提供相應補丁 -OS與應用補丁缺乏維護 ■ OS與應用補丁未經(jīng)過徹底的測試 -采用了默認配置 -關鍵配置未備份 ■數(shù)據(jù)未受保護地存儲在移動設備中 ■缺乏充分的口令策略，沒有采用口令， 口令泄露，或者口令易猜測 -采用不充分的訪問控制 平臺硬件的脆弱性 ■安全變更的測試不充分 口關鍵系統(tǒng)缺乏物理防護 -未授權的人員能夠物理訪問設備 -對ICS組建的不安全的遠程訪問 ■采用雙網(wǎng)絡接口卡連接多個網(wǎng)絡

29、 -未備案的資產(chǎn) -無線與電磁干擾 ■缺乏備份電源 ■缺乏環(huán)境控制 口關鍵組建缺乏備份 長期以來，信息安全不是工業(yè)控制系統(tǒng)的主要設計目標 ICS的安全脆弱性：平臺（2） ics平臺的脆弱性 平臺軟件的脆弱性 ■緩沖區(qū)溢出 -已安裝的安全功能未被默認啟用 -拒絕服務攻擊（DoS ） -對未定義/定義不清/非法的輸入處理不當 -OPC依賴于RPC與DCOM -采用不安全的ICS協(xié)議 -采用明文 -啟用不需要的服務 ■采用其資料能夠公開獲得的私有軟件 ■針對配置與編程軟件缺乏有效的認證與 訪問控制 ■未安裝入侵檢測與防護軟件 ■未維護安全日志 ■未檢測到安

30、全事件 惡意軟件的脆弱性 -未安裝惡意軟件防護程序 ■惡意軟件防護軟件及其病毒庫未更新 ■惡意軟件防護系統(tǒng)未充分測試 長期以來，信息安全不是工業(yè)控制系統(tǒng)的主要設計目標 Case Study: Virus/Mal-ware, Patch Management Printer 0A「— SAPi DHCP Remote OPC WEB Video Office DNS Maintain Client Client Client PC Data Maintain Engineer Historian Station Station WinCC Station Supe

31、rvisory OPC Stations Server WEB App Internet Redundant SIEM Control Server Mobile Eng. Primary Station Control Server 缺乏病毒及惡意代碼的防護機制 ■未安裝病毒防護軟件及惡意代碼防護程序 ■沒有及時更祈病毒庫以及惡意代碼庫 ■病毒及惡意代碼防護系統(tǒng)未得到充分測試 缺乏操作系統(tǒng)等軟件補丁的管理機制 ■沒有獲得針對已知的操作系統(tǒng)或軟件漏洞的 補丁或者更新 ■缺乏對系統(tǒng)補丁或者軟件更新的有效管理 ■系統(tǒng)補丁或者軟件更新未得到徹底測試 S7-400 

32、ICS的安全脆弱性：網(wǎng)絡（1） ICS網(wǎng)絡的脆弱性 網(wǎng)絡配置的脆弱性 ■有缺陷的網(wǎng)絡安全架構 ■未部署數(shù)據(jù)流控制 -安全設備配置不當 ■網(wǎng)絡設備的配置未存儲或備份 ■口令在傳輸過程中未加密 -網(wǎng)絡設備采用永久性的口令 -采用的訪問控制不充分 網(wǎng)絡硬件的脆弱性 ■網(wǎng)絡設備的物理防護不充分 ■未保護的物理端口 -喪失環(huán)境控制 -非關鍵人員能夠訪問設備或網(wǎng)絡連接 -關鍵網(wǎng)絡缺乏冗余備份 網(wǎng)絡邊界的脆弱性 ■未定義安全邊界 -未部署防火墻或配置不當 H用控制網(wǎng)絡傳輸非控制流量 ■控制相關的服務未部署在控制網(wǎng)絡內 工業(yè)控制網(wǎng)絡越來越多得采用開放、互聯(lián)技術，使得安

33、全攻擊成為可能 ICS的安全脆弱性：網(wǎng)絡（2） ICS網(wǎng)絡的脆弱性 網(wǎng)絡監(jiān)控與日志的脆弱性 ■防火墻、路由器日志記錄不充分 ■ ics網(wǎng)絡缺乏安全監(jiān)控 無線連接的脆弱性 -客戶端與AP之間的認證不充分 -客戶端與AP之間的 網(wǎng)絡通信的脆弱性 ■未標識出關鍵的監(jiān)控與控制路徑 ■以明文方式采用標準的或文檔公開的通 信協(xié)議 -用戶、數(shù)據(jù)與設備的認證是非標準的， 或不存在 ■通信缺乏完整性檢查 工業(yè)控制網(wǎng)絡越來越多得采用開放、互聯(lián)技術，使得安全攻擊成為可能 Page 47 Dr. Wen Tang IT-Security, CT China SIEMENS

34、 Page 48 Dr. Wen Tang IT-Security, CT China SIEMENS Case Study: Wireless Access Internet Printer SAP DHCP Remote OPC WEB Video Office DNS Maintain Client Client Client PC Data Maintain Engineer WinCC Supervisory OPC WEB Historian Station Station Station Stations Server Server Se

35、rver 早皐皐沁 mi. 多 Redundant SIEM「 Control Server 1 /麵盤 S7-400 ET200-- ■ N O 1 Mobile Eng. Primary Station Control Server scalanceGi r W780 s7-3o^ii-| S7-300 Motion Control 側1 |^[1|||U1| | LANCE proFINET 1000M Industrial Ethernet SCALA )) 客戶端與AP之間的認證不充分 ■無任何認證機制 ■使用脆弱的認證機制，如WEP,容易

36、被黑 客破解而入侵網(wǎng)絡 客戶端與AP之間的數(shù)據(jù)缺乏保護 ■無任何數(shù)據(jù)加密機制 ■使用脆弱的數(shù)據(jù)加密機制，如TKIP,容易 被黑客破解而監(jiān)聽、篡改數(shù)據(jù) Page 49 Dr. Wen Tang IT-Security, CT China SIEMENS Page 50 Dr. Wen Tang IT-Security, CT China SIEMENS 內容 信息安全的新戰(zhàn)場-工業(yè)基礎設施 工業(yè)基礎設施安全分析 Siemens Answers

37、 總結 Page 51 Dr. Wen Tang IT-Security, CT China SIEMENS Plant security Plant IT security Access protection 工業(yè)安全：基本的工業(yè)安全防護層次 工廠安全 ■對未經(jīng)授權的人員阻止其訪問 ■物理上防止對關鍵部件的訪問 工廠IT安全 ■采用防火墻等技術對辦公網(wǎng)與自動化控 制網(wǎng)絡之間的接口進行控制 ■進一步對自動化控制網(wǎng)絡進行分區(qū)與隔 離 ■部署反病毒措施，并在軟件中采用白名

38、單機制 ■定義維護與更新的流程 訪問控制 ■對自動化控制設備與網(wǎng)絡操作員進行認 證 在自動化控制組件中集成訪問控制機制 工業(yè)場景下的安全解決方案必須考慮所有層次的安全防護 Page 53 Dr. Wen Tang IT-Security, CT China SIEMENS Page 54 Dr. Wen Tang IT-Security, CT China SIEMENS 工業(yè)信息安全關鍵需求 開展工業(yè)安全風險評估，建設全面的信息 安全管理 工業(yè)信息安全關鍵需求 Plant security PC的 Plant IT securit

39、y Access pTotetticni 安全 實現(xiàn)ICS信的 與 關鍵需求域, 工業(yè) 實現(xiàn)安全域的劃分與隔離，網(wǎng)絡接口遵從 清晰的安全規(guī)范 安全 的 ICS Page 55 Dr. Wen Tang IT-Security, CT China SIEMENS 防護自動化單元 0=自動化單元之間的安全通信 工業(yè)安全：確保高效生產(chǎn).滿足安全需求 ■對不同的防護層次，才艮據(jù)全面的安 全方案，采取系統(tǒng)的安全措施 ■工業(yè)安全的重要安全措施是對工業(yè) 網(wǎng)絡進行隔離，創(chuàng)建安

40、全自動化單 元，并限制單元之間的通信 ■同一安全自動化單元內的組件間的 開放通信是由當前技術現(xiàn)狀與標準 所決定的（例如，常見的基于OPC 的生產(chǎn)） Page 58 Dr. Wen Tang IT-Security, CT China SIEMENS SIEMENS 愿景：工業(yè)網(wǎng)絡縱深防雀卩 Office Zone DM Nos Monitor

41、M Industrial Ethernet SCALAM Primaril Control Server Maintain Engineer Station Station Supervisory Mobile Eng Stations Station _ 2 3 rr DHCP Remote OPC WEB Video Office DNS Maintain Client Client Client PC Laptop 3 □ 3 Data Historian OPC Server OAi jzi H i i 5:皋阜皐皐星 WEB Server A

42、pp Server I Control Cell Coniro 一 Zone 風險評估與工業(yè)自動化控制安全管理咨詢 第一道防線 第三方商用（IT）防火墻 ； 「 第二道防線 抵御多種威脅的聯(lián)合安全網(wǎng)關 ■ 第三道防線 工業(yè)PC的安全防護，如病毒■掃描 、配置安全、RBAC等 第四道防線 現(xiàn)場設備的近身防護，例如 SCALANCE S. CP Advanced 第五道防線 安全可靠的現(xiàn)場設備 ■簡易的配置與無堆透明的部署 ■全面的防護與持續(xù)改進的管理 安全事故和亭件監(jiān)測SEM

43、 SIEMENS Page 61 Dr. Wen Tang IT-Security, CT China SIEMENS 內容 信息安全的新戰(zhàn)場-工業(yè)基礎設施 工業(yè)基礎設施安全分析 Siemens Answers 總結 Page 62 Dr. Wen Tang IT-Security, CT China SIEMENS 工業(yè)信息安全 隨著越來越多的安全事件的發(fā)生，我國的工業(yè)基礎設施面臨著 前所未有的

44、安全挑戰(zhàn) 工業(yè) 信息 安全 工業(yè)信息安全不是一個單純的技術問題，而是一個從意識培養(yǎng) 開始，涉及到管理、流程、架構、技術、產(chǎn)品等各方面的系統(tǒng) 工程 目前，部署縱深防御是工業(yè)領域應對安全挑戰(zhàn)的現(xiàn)實方法 工業(yè)信息安全是一個動態(tài)過程，需要在整個工業(yè)基礎設施生命 周期的各個階段中持續(xù)實施，不斷改進 西門子向客戶提供全面的工業(yè)信息安全支持，包括產(chǎn)品、系統(tǒng)、 解決方案，以及專業(yè)的咨詢服務 工業(yè)信息安全在西門子中國研究院 Page 65 Dr. Wen Tang IT-Security, CT China SIEMENS Page # Dr. Wen Tang

45、 IT-Security, CT China SIEMENS 開始研發(fā)工業(yè)安全測 評系統(tǒng)Styx ITS對我國電力、水利、 交通等行業(yè)的安全需求、 研究現(xiàn)狀、國際標準等 進行了系統(tǒng)的調研 Styx被用于改進西門子工 業(yè)產(chǎn)品的安全質量 ISBC、Janus相繼研制 成功 Page # Dr. Wen Tang IT-Security, CT China SIEMENS Page # Dr. Wen Tang IT-Security, CT China SIEMENS 2005 2006 2007 2008 2009 2010

46、 Page # Dr. Wen Tang IT-Security, CT China SIEMENS Page # Dr. Wen Tang IT-Security, CT China SIEMENS 西門子中國研究院 (CT)開始開展工 業(yè)信息安全研究 ITS設立工業(yè)安全 實驗室，制定研究 路線圖 Styx研制成功，開展工業(yè) 西門在開始向全球的工 安全服務與安全解決方案 業(yè)行業(yè)用戶提供安全解 的研究工作 決方案 Page 66 Dr. Wen Tang IT-Security, CT China SIEMENS

47、 Page 67 Dr. Wen Tang IT-Security, CT China SIEMENS 工業(yè)安全實驗室@CT China 獲得安全證書與資質 ?信息安全服務資質 ?惡意軟件控制產(chǎn)品銷售資質 ?反網(wǎng)絡病毒聯(lián)盟 Industry Security Lab 檢測安全問題，提高西門子產(chǎn)品安全品質 Styx _ Security Testing System for Protocol X Expert Knowledge Testing Toolbox Methodology & Process 開展針對中國本地需求的創(chuàng)新研發(fā) 實驗、演示與培訓

48、Cont⑹ wh& 曲, Applications Industry Infrastructure Middleware SQLServer Admin Ut osl4w^|^IIIHIll 如ware Platform \ NW、勰 1 Analysis Module j Traffic CipimEngifw | 2 廠 1 ■ | HTDW怕護 | 阿伽 OlPCDWC] Page 68 Dr. Wen Tang IT-Security, CT Chin

49、a SIEMENS Page 69 Dr. Wen Tang IT-Security, CT China SIEMENS Q&A 謝謝! SIEMENS Corporate Tech no logy IT Security Phone: (+86)-10 6476 6526 唐文 Fax : (+86)-10 6476 4814 Mobile: (+86)1391 011 5182 E-Mail: wen.ta ng@sieme Page 70 Dr. Wen Tang IT-Security, CT China