2020 工业互联网安全发展与实践 分析报告 m o c . 5 b u h t i g 工业控制系统安全国家地方联合工程实验室 奇安信行业安全研究中心 2021.1 主要观点  2020 年，工业互联网安全漏洞持续高发，CNVD 全年收录漏洞数量较 2019 年增长了 43.6%。其中，施耐德、西门子、研华等公司的设备被报告漏洞的数量最多；而制造业、 能源和税务行业受到的影响最大。约 88.1%新增漏洞，都与制造业有关。  国内工业企业在工业互联网安全方面的投入总体规模仍然较小，年投入超过 100 万元 的企业不足三成，且仅有四成左右的企业表示未来两年会明显增加投入。造成这种情况 的主要原因是：绝大多数工业企业仍然不太相信自己的企业会遭到网络攻击，因此对相 关安全工作也不太重视。  m o c . 5 调研显示，推动当前国内工业互联网安全投资建设的三大因素分别是：合规性要求、频 发的工业安全事件和政策的支持。而阻碍当前国内工业互联网安全投资建设的三大因素 分别是：看不到收效、缺少预算和担心影响正常生产。同时，安全人才匮乏是近半数工 业企业进行工业互联网安全建设过程中的最大痛点。  b u 综合能力强的安全大厂商将在工业互联网安全市场竞争中优势明显。半数以上的工业企 h t i g 业倾向于通过与安全厂商深度合作加强自身安全能力，而当发生重大网络安全事件时， 也有超过半数的工业企业会首选向综合能力强的安全大厂商求助，而非信息化厂商、工 控厂商或专业工业安全厂商。  “工业互联网安全托管”服务将成为重要发展趋势。调研显示，约 93.9%的工业企业对 此很有兴趣。其中，最受欢迎的是远程安全运维服务，其次是定期上门服务，再次是驻 厂服务。  勒索病毒仍然是 2020 年全球工业企业面临的最大挑战，这些安全事件均不同程度地造 成了工业企业的生产异常，甚至停工停产。  工业企业应从以下几个方面进一步做好工业互联网安全工作：设置网络分段，做好安全 隔离；缩小网络攻击面，最大限度减少网络攻击风险；采用身份认证、安全加密的方式 进行远程访问；加强行业合作，推出具有内生安全框架的工业互联网安全特色产品等。 摘  要 截至 2020 年 12 月，CNVD 收录的与工业控制系统相关的漏洞高达 2945 个，2020 年新 增的工业控制系统漏洞数量达到 593 个，工业控制系统漏洞数据再创历史新高，安全漏 洞数量快速增长，整体形势严峻。  在 CVE、NVD、CNVD、CNNVD 四大漏洞平台收录的工业控制系统漏洞中，拒绝服务 漏洞最多，数量达到 111 个。  在收录的工业控制系统安全漏洞中，高危漏洞占比 56.6%，中危漏洞占比为 35.8%，中 高危漏洞占比高达 92.4%。  m o c . 5 在收录的工业控制系统漏洞中，涉及到的前八大工控厂商分别为施耐德（Schneider） 、 西门子（Siemens） 、研华（Advantech）、三菱（Mitsubishi）、摩莎（Moxa）、万可（WAGO） 、 思科（Cisco）和 ABB。  b u 在收录的工业控制系统安全漏洞中，涉及行业多分布在制造业、能源等关键基础设施领 域。 h t i g  制造业安全漏洞涉及的工业控制系统设备中，PLC 设备漏洞最多。  2020 年以来，工业企业遭受勒索病毒的事件依然高频发生，奇安信工业安全应急响应 中心和安全服务团队共同为全国工业企业提供应急求助 140 起，勒索病毒仍然是工业 互联网安全的最大挑战。  根据工业互联网相关企业调研问卷填写结果显示，约 42.0%的受访工业企业表示，其在 过去 3 年间遭遇过工业网络安全事件，约 17.7%的企业遭遇过 3 次以上的工业网络安全 事件。工业安全问题，已经成为困扰部分工业企业发展的关键问题。  对于工业网络安全事件造成的后果，企业最为担心的是产品质量受损，设备损坏和商业 声誉受损，投票支持率分别为 35.9%、34.3%、和 28.7%。  调研显示，表示本单位非常重视工业互联网安全的企业，仅为 40.9%。近六成的企业表 示较少重视或完全不关心。  超过四成的受调研企业网络安全投入占工业互联网总投入比例超过 10%。从目前国际 平均水平来看，安全投入占信息化投入的 10%以上，属于比较适中的投入水平。  超过三成的企业认为，本单位的工业互联网安全建设水平仅为初级甚至裸奔。  被问及未来的工业互联网安全建设将会面临的最大挑战或难点是什么，44.8%的受调研 企业认为是安全人才匮乏，20.4%的企业担心影响工控系统可靠性；15.5%的人认为是安 全合规。  仅有 40.3%的企业设置了专职的工业网络安全部门或岗位；21.0%的企业表示正在规划， 但现在没有专职负责人员；38.7%的企业即没有专职人员，也没有相关的安全规划。  常规网络安全产品在工业控制系统中的部署率平均只有三成左右。 m o c . 5 关键词：工业互联网、安全漏洞、安全威胁、工业控制系统、网络安全投入、推进建议 h t i g b u 目 录 研究背景 ........................................................................................................................................... 1 第一章 工业互联网安全风险态势分析 ......................................................................................... 2 一、 工业互联网安全漏洞总体态势.............................................................................................. 2 二、 制造业安全漏洞总体态势 ..................................................................................................... 5 三、 2020 年新公开工业互联网严重漏洞 ..................................................................................... 7 第二章 工业互联网安全建设调研分析 ....................................................................................... 13 一、 调研背景 ............................................................................................................................... 13 二、 工业互联网安全风险 ........................................................................................................... 15 三、 工业互联网安全投入 ........................................................................................................... 16 四、 工业互联网安全建设 ........................................................................................................... 19 五、 工业互联网安全运行 ........................................................................................................... 21 第三章 工业安全应急响应典型案例 ........................................................................................... 24 一、 某化工集团遭受勒索病毒攻击............................................................................................ 24 二、 某汽车制造企业遭勒索病毒攻击........................................................................................ 24 三、 某大型食品制造企业遭受挖矿木马攻击 ............................................................................ 25 四、 某煤矿集团遭受挖矿木马攻击............................................................................................ 26 第四章 工业网络安全建设典型案例 ........................................................................................... 28 一、 钢铁制造企业安全建设方案................................................................................................ 28 二、 智慧矿山工业互联网安全纵深防御体系建设 .................................................................... 29 三、 电厂工业安全监测与态势感知平台建设 ...................................