工控安全从入门到实战——概述（二）
字数 2219 2025-08-18 11:38:23

工控安全从入门到实战教学文档

第一部分 概述

工控系统概念与特点

工业控制系统(ICS)是几种类型控制系统的总称，包括：

  • 数据采集与监视控制系统(SCADA)系统
  • 集散控制系统(DCS)
  • 可编程逻辑控制器(PLC)

与传统IT系统的不同：

  1. 实时性要求高：工业控制系统对响应时间有严格要求
  2. 可靠性优先：通常以可用性为最高优先级，安全性次之
  3. 生命周期长：工业设备使用周期可达10-20年
  4. 协议特殊性：使用专用工业协议而非通用网络协议

工控系统分层模型

参考IEC 62264-1的层次结构模型：

  1. 企业资源层：ERP系统，为企业决策层提供支持
  2. 生产管理层：MES系统，生产过程管理
  3. 过程监控层：监控服务器与HMI系统，数据采集与人机交互
  4. 现场控制层：PLC、DCS控制器等执行控制
  5. 现场设备层：过程传感设备与执行设备

第二部分 工控安全标准体系

国际标准

  1. IEC 62443：工业自动化和控制系统信息安全系列标准
  2. NIST SP 800-82：工业控制系统安全指南

国家标准

  1. 《工业控制系统信息安全防护指南》（2016年）

    • 管理、技术、业务相结合的综合防护体系
    • 为工业企业提供工控安全建设指导

  2. 《工业控制系统信息安全行动计划(2018-2020)》

    • 目标：建成工控安全管理工作体系
    • 建设"一网一库三平台"（监测网络、应急资源库、仿真测试/信息共享/信息通报平台）

  3. GB/T 32919-2016《信息安全技术工业控制系统安全控制应用指南》

    • 适用于工控系统拥有者、使用者、设计实现者
    • 为安全设计、实现、整改提供指导

  4. 等保2.0工业控制系统安全扩展要求

    • 新增对室外控制设备的安全防护要求
    • 增加工业网络架构安全防护要求
    • 强化控制设备(PLC、DCS控制器等)安全要求

行业标准

电力行业

  1. 《电力监控系统安全防护规定》（发改委14号令）
    • "安全分区、网络专用、横向隔离、纵向认证"原则
  2. 《电力监控系统安全防护总体方案》（国能安全[2015]36号）
    • 省级以上调度中心、地县级调度中心、发电厂、变电站、配电的二次系统防护方案

石化行业

  1. GB/T 50609-2010《石油化工工厂信息系统设计规范》
    • 要求网络之间采用安全隔离

核电行业

  1. GB/T 13284.1-2008《核电厂安全系统 第1部分 设计准则》
  2. GB/T 13629-2008《核电厂安全系统中数字计算机的适用准则》

烟草行业

  1. YC/T 494-2014《烟草工业企业生产网与管理网网络互联安全规范》

第三部分 工控系统安全风险

通用风险

  1. 设备漏洞：大量使用国外工控设备，存在已知漏洞
  2. 协议漏洞：ModBus、ProfiBus、OPC等工业协议设计时未考虑安全性
  3. 系统老旧：Windows XP等老旧系统普遍存在且无法打补丁
  4. 管理薄弱：重可用轻安全，缺乏有效安全策略
  5. 外设风险：USB等移动存储设备使用缺乏管控

行业特定风险

电力行业

  1. 安全设备配置不合理，防火墙规则设置不当
  2. 系统时序要求严格，易出现传输延迟问题
  3. 应用程序缺乏验证机制，默认凭证普遍存在
  4. 管理信息大区数据泄露风险

石油化工行业

  1. 生产过程涉及易燃易爆物质，安全事件后果严重
  2. 系统品牌众多，难以统一防护
  3. 网络分层间缺乏隔离防护
  4. APC系统(先进控制系统)无安全防护

燃气行业

  1. SCADA系统核心设备存在漏洞
  2. 操作站Windows系统长期不打补丁
  3. 通信协议(如ModBus)易受攻击

第四部分 工控安全防护技术

防护原则

  1. 分区防护：不同安全区域实施不同防护策略
  2. 网络专用：工控网络与办公网络物理隔离
  3. 横向隔离：同层级系统间访问控制
  4. 纵向认证：跨层级通信需身份认证

关键技术

  1. 工业防火墙：支持工控协议深度解析
  2. 主机加固：白名单机制、外设管控
  3. 安全审计：操作行为记录与分析
  4. 入侵检测：工控协议异常检测
  5. 安全运维：漏洞管理、补丁策略

等保2.0工控扩展要求实施要点

  1. 物理和环境安全：增加室外控制设备防护
  2. 网络和通信安全：
    • 工业网络架构安全
    • 拨号和无线使用控制
  3. 设备和计算安全：强化PLC、DCS等控制设备安全
  4. 安全建设管理：工控设备采购安全要求
  5. 安全运维管理：适配工业场景的漏洞管理

第五部分 典型工控安全事件分析

  1. 震网病毒(Stuxnet)：针对伊朗核设施的定向攻击
  2. Flame病毒：中东地区石油部门情报窃取
  3. Havex病毒：能源行业工控系统攻击
  4. 土耳其石油管道爆炸：2014年通过网络攻击导致物理破坏
  5. 石化企业Conficker病毒感染：导致控制系统通信中断

第六部分 工控安全发展趋势

  1. 工业互联网安全：IT与OT融合带来的新挑战
  2. 5G+工业互联网：无线网络在工业场景的应用安全
  3. 人工智能安全：AI在工业场景的安全应用与风险
  4. 供应链安全：工控设备供应链安全管控
  5. 国产化替代：自主可控工控产品发展

附录：学习资源

  1. 标准文档：

    • GB/T 32919-2016《工业控制系统安全控制应用指南》
    • GB/T 30976.1-2014《工业控制系统信息安全 第1部分：评估规范》

  2. 技术网站：

    • ICS-CERT（工业控制系统应急响应团队）
    • 工业控制系统信息安全产业联盟

  3. 实践平台：

    • 工控蜜罐技术
    • 工控协议仿真环境

  4. 专业工具：

    • Wireshark（工控协议分析）
    • PLCscan（PLC设备探测）
    • Metasploit（工控漏洞利用框架）
工控安全从入门到实战教学文档 第一部分 概述 工控系统概念与特点 工业控制系统(ICS)是几种类型控制系统的总称，包括： 数据采集与监视控制系统(SCADA)系统 集散控制系统(DCS) 可编程逻辑控制器(PLC) 与传统IT系统的不同： 实时性要求高 ：工业控制系统对响应时间有严格要求 可靠性优先 ：通常以可用性为最高优先级，安全性次之 生命周期长 ：工业设备使用周期可达10-20年 协议特殊性 ：使用专用工业协议而非通用网络协议 工控系统分层模型 参考IEC 62264-1的层次结构模型： 企业资源层 ：ERP系统，为企业决策层提供支持 生产管理层 ：MES系统，生产过程管理 过程监控层 ：监控服务器与HMI系统，数据采集与人机交互 现场控制层 ：PLC、DCS控制器等执行控制 现场设备层 ：过程传感设备与执行设备 第二部分 工控安全标准体系 国际标准 IEC 62443 ：工业自动化和控制系统信息安全系列标准 NIST SP 800-82 ：工业控制系统安全指南 国家标准 《工业控制系统信息安全防护指南》 （2016年） 管理、技术、业务相结合的综合防护体系 为工业企业提供工控安全建设指导 《工业控制系统信息安全行动计划(2018-2020)》 目标：建成工控安全管理工作体系 建设"一网一库三平台"（监测网络、应急资源库、仿真测试/信息共享/信息通报平台） GB/T 32919-2016 《信息安全技术工业控制系统安全控制应用指南》 适用于工控系统拥有者、使用者、设计实现者 为安全设计、实现、整改提供指导 等保2.0工业控制系统安全扩展要求 新增对室外控制设备的安全防护要求 增加工业网络架构安全防护要求 强化控制设备(PLC、DCS控制器等)安全要求 行业标准 电力行业 《电力监控系统安全防护规定》 （发改委14号令） "安全分区、网络专用、横向隔离、纵向认证"原则 《电力监控系统安全防护总体方案》 （国能安全[ 2015 ]36号） 省级以上调度中心、地县级调度中心、发电厂、变电站、配电的二次系统防护方案 石化行业 GB/T 50609-2010 《石油化工工厂信息系统设计规范》 要求网络之间采用安全隔离 核电行业 GB/T 13284.1-2008 《核电厂安全系统 第1部分 设计准则》 GB/T 13629-2008 《核电厂安全系统中数字计算机的适用准则》 烟草行业 YC/T 494-2014 《烟草工业企业生产网与管理网网络互联安全规范》 第三部分 工控系统安全风险 通用风险 设备漏洞 ：大量使用国外工控设备，存在已知漏洞 协议漏洞 ：ModBus、ProfiBus、OPC等工业协议设计时未考虑安全性 系统老旧 ：Windows XP等老旧系统普遍存在且无法打补丁 管理薄弱 ：重可用轻安全，缺乏有效安全策略 外设风险 ：USB等移动存储设备使用缺乏管控 行业特定风险 电力行业 安全设备配置不合理，防火墙规则设置不当 系统时序要求严格，易出现传输延迟问题 应用程序缺乏验证机制，默认凭证普遍存在 管理信息大区数据泄露风险 石油化工行业 生产过程涉及易燃易爆物质，安全事件后果严重 系统品牌众多，难以统一防护 网络分层间缺乏隔离防护 APC系统(先进控制系统)无安全防护 燃气行业 SCADA系统核心设备存在漏洞 操作站Windows系统长期不打补丁 通信协议(如ModBus)易受攻击 第四部分 工控安全防护技术 防护原则 分区防护 ：不同安全区域实施不同防护策略 网络专用 ：工控网络与办公网络物理隔离 横向隔离 ：同层级系统间访问控制 纵向认证 ：跨层级通信需身份认证 关键技术 工业防火墙 ：支持工控协议深度解析 主机加固 ：白名单机制、外设管控 安全审计 ：操作行为记录与分析 入侵检测 ：工控协议异常检测 安全运维 ：漏洞管理、补丁策略 等保2.0工控扩展要求实施要点 物理和环境安全 ：增加室外控制设备防护 网络和通信安全 ： 工业网络架构安全 拨号和无线使用控制 设备和计算安全 ：强化PLC、DCS等控制设备安全 安全建设管理 ：工控设备采购安全要求 安全运维管理 ：适配工业场景的漏洞管理 第五部分 典型工控安全事件分析 震网病毒(Stuxnet) ：针对伊朗核设施的定向攻击 Flame病毒 ：中东地区石油部门情报窃取 Havex病毒 ：能源行业工控系统攻击 土耳其石油管道爆炸 ：2014年通过网络攻击导致物理破坏 石化企业Conficker病毒感染 ：导致控制系统通信中断 第六部分 工控安全发展趋势 工业互联网安全 ：IT与OT融合带来的新挑战 5G+工业互联网 ：无线网络在工业场景的应用安全 人工智能安全 ：AI在工业场景的安全应用与风险 供应链安全 ：工控设备供应链安全管控 国产化替代 ：自主可控工控产品发展 附录：学习资源 标准文档 ： GB/T 32919-2016《工业控制系统安全控制应用指南》 GB/T 30976.1-2014《工业控制系统信息安全 第1部分：评估规范》 技术网站 ： ICS-CERT（工业控制系统应急响应团队） 工业控制系统信息安全产业联盟 实践平台 ： 工控蜜罐技术 工控协议仿真环境 专业工具 ： Wireshark（工控协议分析） PLCscan（PLC设备探测） Metasploit（工控漏洞利用框架）