工控系統(tǒng)安全培訓(xùn).ppt
《工控系統(tǒng)安全培訓(xùn).ppt》由會員分享,可在線閱讀,更多相關(guān)《工控系統(tǒng)安全培訓(xùn).ppt(22頁珍藏版)》請在裝配圖網(wǎng)上搜索。
伊朗核電站“震網(wǎng)”病毒事件,發(fā)生事件:2010年7月 攻擊目標(biāo):伊朗核電站(物理隔離網(wǎng)絡(luò)) 入侵方式: 收集核電站工作人員和其家庭成員信息 針對家用電腦發(fā)起攻擊,成功控制家用電腦 并感染所有接入的USB移動介質(zhì)通過U盤將 病毒擺渡核電站內(nèi)部網(wǎng)絡(luò) 利用西門子的0DAY漏洞,成功控制離心機 的控制系統(tǒng),修改了離心機參數(shù),讓其生產(chǎn) 不出制造核武器的物質(zhì),但在人工檢測顯示端正常 利用漏洞: MS10-046、西門子SIMATIC WinCC系統(tǒng)0 Day漏洞 滲透手段: U盤 損失:美國利用“震網(wǎng)”蠕蟲病毒攻擊伊朗的軸濃縮設(shè)備,造成伊朗核 電站離心機損壞,推遲發(fā)電達兩年之久。 影響面:感染全球超過45000個網(wǎng)絡(luò),5,,,,,烏克蘭電網(wǎng)遭受病毒攻擊事件,,2,,2015年的最后一周,烏克蘭至少有三個區(qū)域的電力系統(tǒng)被具有高度破壞性的惡意軟件攻擊并導(dǎo)致大規(guī)模的停電,,,12月23日,伊萬諾-弗蘭科夫斯克地區(qū),有超過一半的家庭(約140萬人)遭受了停電的困擾。,,擴大影響,,刪除關(guān)鍵系統(tǒng)數(shù)據(jù),監(jiān)控系統(tǒng)無法啟動,,洪范攻擊電網(wǎng)的客服電話,導(dǎo)致技術(shù)部分處于癱瘓狀態(tài)。,延長供電恢復(fù)的時間,,整個停電事件持續(xù)了數(shù)小時之久,病毒關(guān)閉生產(chǎn)控制大區(qū)的控制服務(wù)器,使得二次信息系統(tǒng)喪失對物理設(shè)備的 感知和控制力,導(dǎo)致部分設(shè)備運行中斷而大面積停電。,釣魚郵件,潛伏到特地時間,查找HIM設(shè)備,滲透擴散到生產(chǎn)網(wǎng),點擊office郵件,感染辦公電腦,執(zhí)行關(guān)機,,,,,,智能制造 數(shù)控機床關(guān)鍵數(shù)據(jù)被竊,損失難以估量,工控網(wǎng)絡(luò)安全危及國家安全,高新技術(shù) 黑客遠程入侵智能汽車,汽車也可能隨時遭遇恐怖襲擊,工控系統(tǒng)安全,電力 電廠遭USB病毒攻擊,大量機密數(shù)據(jù)泄露,水處理 污水處理廠遭非法入侵,污水直接排入自然水系,軍事 代碼及武器,美國直接控制漏洞市場,制藥 黑客入侵藥泵,輸入致命劑量,危害人身安全,冶金 德國鋼廠熔爐控制系統(tǒng)受攻擊,導(dǎo)致熔爐無法正常關(guān)閉,,工業(yè)控制系統(tǒng)網(wǎng)絡(luò)威脅來源,4,,現(xiàn)有防護手段已經(jīng)無法防御不斷升級的網(wǎng)絡(luò)攻擊,5,IT防火墻,病毒查殺,單向安全隔離,“物理隔離“,網(wǎng)關(guān)網(wǎng)閘,工業(yè)防火墻,邊界防火墻,,工控網(wǎng)絡(luò)APT2.0時代攻擊手段,基于信息網(wǎng)絡(luò)安全的防護手段以及現(xiàn)有的工控網(wǎng)絡(luò)防護手段在APT2.0時代的攻擊前面已經(jīng)成為“皇帝的新衣”,工業(yè)控制網(wǎng)絡(luò),國內(nèi)工控系統(tǒng)面臨高危風(fēng)險,6,暴露在互聯(lián)網(wǎng)上的西門子PLC設(shè)備分布,中高危數(shù)據(jù)漏洞居高不下,暴露在互聯(lián)網(wǎng)上的VxWorks系統(tǒng)主機有16202個,漏洞補丁不及時,數(shù)據(jù)來源:CNVD2015年新增工控漏洞,數(shù)據(jù)來源:CNVD2015年新增工控漏洞,數(shù)據(jù)來源:匡恩網(wǎng)絡(luò)2015年統(tǒng)計數(shù)據(jù),其中1130個運行FTP服務(wù),占 總數(shù)的70% 其中4291個運行SNMP服務(wù),占總數(shù)的26%,,,數(shù)據(jù)來源:匡恩網(wǎng)絡(luò)2015年統(tǒng)計數(shù)據(jù),工程控制系統(tǒng)名詞解釋,工業(yè)控制系統(tǒng) (Industrial Control Systems簡稱:ICS) 是指由各種自動化控制組件以及對實時數(shù) 據(jù)進行采集、監(jiān)測的過程控制組件,構(gòu)成的確保工業(yè) 基礎(chǔ)設(shè)施自動化運行、過程控制與監(jiān)控的業(yè)務(wù)流程管控系統(tǒng)。 可編程邏輯控制器(Programmable Logic Controller簡稱 : PLC) 是一種可以被編程,并通過數(shù)字或模擬式輸入/輸出控制各種類型的機械或生產(chǎn)過程。 分布式控制系統(tǒng) (Distributed Control System簡稱:DCS) 在國內(nèi)自控行業(yè)又稱之為集散控制系統(tǒng)。是相對于集中式控制系統(tǒng)而言的一種新型 計算機控制系統(tǒng),它是在集中式控制系統(tǒng)的基礎(chǔ)上發(fā)展、演變而來的。 數(shù)據(jù)采集和監(jiān)視控制系統(tǒng)(Supervisory Control And Data Acquisition簡稱:SCADA) SCADA系統(tǒng)是以計算機為基礎(chǔ)的DCS與電力自動化監(jiān)控系統(tǒng);它應(yīng)用領(lǐng)域很廣,可以 應(yīng)用于電力、冶金、石油、化工、燃氣、鐵路等領(lǐng)域的數(shù)據(jù)采集與監(jiān)視控制以及過程控制 等諸多領(lǐng)域。 遠程終端單元(Remote Terminal Unit 簡稱RTU) 負責(zé)對現(xiàn)場信號、工業(yè)設(shè)備的監(jiān)測和控制。RTU(RemoteTerminalUnit)是構(gòu)成企業(yè)綜合自動化 系統(tǒng)的核心裝置,通常由信號輸入/出模塊、微處理器、有線/無線通訊設(shè)備、電源及外殼等組成,由 微處理器控制,并支持網(wǎng)絡(luò)系統(tǒng)。它通過自身的軟件(或智能軟件)系統(tǒng),可理想地實現(xiàn)企業(yè)中央監(jiān) 控與調(diào)度系統(tǒng)對生產(chǎn)現(xiàn)場一次儀表的遙測、遙控、遙信和遙調(diào)等功能。,1,,,,,,工控系統(tǒng)網(wǎng)絡(luò)涵蓋范圍,Level 4 戰(zhàn)略決策層: 商業(yè)計劃和物流管理/ 工程系統(tǒng) Level 3 經(jīng)營管理層: 系統(tǒng)管理/監(jiān)視控制 Level 2 生產(chǎn)控制層: 監(jiān)控功能/現(xiàn)場檢測 和現(xiàn)場顯示 Level 1 現(xiàn)場控制層: 保護和現(xiàn)場控制設(shè)備 Level 0 現(xiàn)場執(zhí)行層: 傳感器和制動器,8,工控安全對抗形勢及發(fā)展,工控系統(tǒng)防御必須具有全球性視角,1 、各國網(wǎng)軍不斷擴大,對抗升級,2、明間黑客組織水平的不斷提升,3、背后巨大的商業(yè)利益驅(qū)動,4、針對工業(yè)控制網(wǎng)絡(luò)的恐怖襲擊,國內(nèi)外工控網(wǎng)絡(luò)安全防護理念的演變歷程,強調(diào),,,,強調(diào)隔離 物理隔離的變種, 網(wǎng)關(guān)、網(wǎng)閘、單向隔離,隔離背后是脆弱的,現(xiàn)代高端持續(xù)性攻擊都是針對隔離系統(tǒng)的,縱深防御體系 由傳統(tǒng)信息安全廠商提出的,大多數(shù)項目演變?yōu)樾畔踩a(chǎn)品的簡單堆砌,不能完全適應(yīng)工業(yè)網(wǎng)絡(luò)安全的特點,由工業(yè)控制系統(tǒng)內(nèi)部生長的持續(xù)性防御體系 適應(yīng)工業(yè)控制網(wǎng)絡(luò)的特點,通過基礎(chǔ)硬件創(chuàng)新來實現(xiàn),低延時,高可靠,可定制化,持續(xù)更新,簡單化的實施和操作等,以功為守的國家戰(zhàn)略 以美國、以色列為代表,在國家層面注重攻擊技術(shù)的研究、實驗、突破和攻防演示實驗的建設(shè),以攻擊技術(shù)的提高,帶動防御技術(shù)的提高,以攻擊威懾力換取安全性,網(wǎng)絡(luò)安全立法頂層設(shè)計,在《反恐怖主義法》和《刑法》修正案九的制修訂工作中納入網(wǎng)絡(luò)安全監(jiān)管有關(guān)規(guī)定,大力推進依法治網(wǎng)。 2014年全國人大法工委組織國信辦、工信部、公安部等有關(guān)部門大力加強我國網(wǎng)絡(luò)安全立法頂層設(shè)計,開展《網(wǎng)絡(luò)安全法》制定。 《網(wǎng)絡(luò)安全法》立法納入全國人大2015年立法年度工作計劃,7月6日,十二屆全國人大常委會第十五次會議對網(wǎng)絡(luò)安全法草案進行了分組審議,現(xiàn)面向社會公開征集意見,有望年底正式通過。,,,,,,,,網(wǎng)絡(luò)安全立法頂層設(shè)計,《網(wǎng)絡(luò)安全法》(草案)重要規(guī)定:,部署方式,PLC,,,,,重點行業(yè)、企業(yè),煙草: 煙廠 煙商,,,,,重點行業(yè)、企業(yè),水利: 航運 發(fā)電,“兩化”深度融合的趨勢,決策管理層 利用數(shù)據(jù)倉庫技術(shù)整合公司全產(chǎn)業(yè)鏈的關(guān)鍵數(shù)據(jù) 和生產(chǎn)經(jīng)營信息,實現(xiàn)數(shù)據(jù)挖掘、監(jiān)控分析、統(tǒng)計 查詢和可視化展示,輔助高層科學(xué)決策和戰(zhàn)略管理。 經(jīng)營管理層 以ERP系統(tǒng)為核心整合各專業(yè)應(yīng)用系統(tǒng)和綜合管理 系統(tǒng)關(guān)鍵信息,形成公司級的經(jīng)營管理信息平臺。 生產(chǎn)運行層 以供應(yīng)鏈管理為核心,建立一體化完整的生產(chǎn)運行 管理平臺。 操作執(zhí)行層 以生產(chǎn)物聯(lián)網(wǎng)系統(tǒng)為基礎(chǔ),實現(xiàn)數(shù)據(jù)采集、傳輸、 處理一體化,現(xiàn)場數(shù)據(jù)自動采集率大幅度提高。,3,,,,,ERP (Enterprise Resource Planning),MES (Manufacturing Execution System),PCS (Process Control System),工控網(wǎng)絡(luò)與互聯(lián)網(wǎng)和辦公網(wǎng)有本質(zhì)的區(qū)別,工控網(wǎng)絡(luò)的特點決定了基于辦公網(wǎng)和互聯(lián)網(wǎng)設(shè)計的信息安全防護手段 (如防火墻、病毒查殺等)無法有效地保護工控網(wǎng)絡(luò)的安全 網(wǎng)絡(luò)通訊協(xié)議不同 對系統(tǒng)穩(wěn)定性要求高 系統(tǒng)運行環(huán)境不同 大量的工控系統(tǒng)采用私有協(xié)議 網(wǎng)絡(luò)安全造成誤報等同于攻擊 工控系統(tǒng)運行環(huán)境相對落后 更新代價高 網(wǎng)絡(luò)結(jié)構(gòu)和行為穩(wěn)定性高 無法像辦公網(wǎng)絡(luò)或互聯(lián)網(wǎng)那樣 不同于互聯(lián)網(wǎng)和辦公網(wǎng)絡(luò)的頻繁變動 通過補丁來解決安全問題,4,工業(yè)控制網(wǎng)絡(luò),工程網(wǎng)絡(luò)安全體系,18,,工程安全的多面性;動靜合一,內(nèi)外兼修,,,,,動,靜,,外,內(nèi),基因性,行為性,結(jié)構(gòu)性,本體性,持續(xù)性,,基因安全,,,可信,硬件,操作系統(tǒng),協(xié)議,,,免疫,排除惡意代碼執(zhí)行,植入,,,完整性檢測恢復(fù),程序,參數(shù),,基因安全,,,植根于工控系統(tǒng)的生命周期解決方案,,,持續(xù)安全,,,防護原則,管理持續(xù)化,防護手段,安全管理,安全運營,,,,本體安全,,,防護原則,防護手段,,設(shè)備加固,,,基因全安,行為安全,,,,,,,,設(shè)備加固,白名單,設(shè)備安全,介質(zhì)安全,漏挖漏歸,防護原則,防護手段,防護手段,防護原則,,,,,,,,,安全可控,白名單,自主可控,可信計算,免疫,完整性,監(jiān)測審計,威脅評估,,結(jié)安構(gòu)全,,,防護原則,防護手段,,設(shè)備加固,,,區(qū)域劃分,邊界防護,工業(yè)控制系統(tǒng) 全生命周期安全防護能力,,設(shè)備加固,,設(shè)備加固,采取適合的評估手段,資產(chǎn)分析,流量分析,威脅分析,在設(shè)備接入的過程中需要向工控系統(tǒng)責(zé)任單位確認(rèn)如下條件,,,,,在檢查前,要求工控系統(tǒng)責(zé)任單位閱讀《現(xiàn)場接入工控系統(tǒng)安全檢查工具須知》并在《工控系統(tǒng)安全檢查入場確認(rèn)表》簽字。,,設(shè)備的流量分析接入點一般選擇在工控系統(tǒng)信息系統(tǒng)邊界區(qū)域的交換機,請確認(rèn)該接入交換機具備鏡像端口功能并要求工控系統(tǒng)責(zé)任單位配置完成,,設(shè)備的資產(chǎn)識別接入點原則上接入工控系統(tǒng)網(wǎng)絡(luò),要求工控系統(tǒng)責(zé)任單位提供該工程控制網(wǎng)絡(luò)的網(wǎng)段地址和IP地址數(shù)量,并提供該網(wǎng)段的一個空閑IP地址,,在設(shè)備接入前請確認(rèn)被接的交換機負荷小于10%,,對于現(xiàn)場設(shè)備存在嚴(yán)重老化(大于15年)和超期服役的情況,原則上不建議接入設(shè)備。,,在設(shè)備的接入過程中必須由工控系統(tǒng)責(zé)任單位相關(guān)的技術(shù)人員全程陪同,,明確工控系統(tǒng)責(zé)任單位應(yīng)急響應(yīng)聯(lián)系人,,在檢查結(jié)束,要求工控系統(tǒng)責(zé)任單位在《工控系統(tǒng)安全檢查完成確認(rèn)表》上簽字。,,必須充分考慮工控系統(tǒng)責(zé)任單位網(wǎng)絡(luò)架構(gòu)及要求,結(jié)構(gòu)安全,22,,,,,,,Level 4: 戰(zhàn)略決策層 商業(yè)計劃和物流管理 /工程系統(tǒng),Level 3: 經(jīng)營管理層 系統(tǒng)管理和/監(jiān)控控制,Level 2: 生產(chǎn)控制層 監(jiān)控功能/現(xiàn)場檢測和現(xiàn)場檢測,Level 1: 現(xiàn)場控制層 保護盒現(xiàn)場控制設(shè)備,Level 0: 現(xiàn)場執(zhí)行層 傳感器和制動器,- 1.請仔細閱讀文檔,確保文檔完整性,對于不預(yù)覽、不比對內(nèi)容而直接下載帶來的問題本站不予受理。
- 2.下載的文檔,不會出現(xiàn)我們的網(wǎng)址水印。
- 3、該文檔所得收入(下載+內(nèi)容+預(yù)覽)歸上傳者、原創(chuàng)作者;如果您是本文檔原作者,請點此認(rèn)領(lǐng)!既往收益都歸您。
下載文檔到電腦,查找使用更方便
9.9 積分
下載 |
- 配套講稿:
如PPT文件的首頁顯示word圖標(biāo),表示該PPT已包含配套word講稿。雙擊word圖標(biāo)可打開word文檔。
- 特殊限制:
部分文檔作品中含有的國旗、國徽等圖片,僅作為作品整體效果示例展示,禁止商用。設(shè)計者僅對作品中獨創(chuàng)性部分享有著作權(quán)。
- 關(guān) 鍵 詞:
- 系統(tǒng)安全 培訓(xùn)
鏈接地址:http://kudomayuko.com/p-1796849.html