《国内外工业控制系统信息安全标准及政策法规介绍》由会员分享，可在线阅读，更多相关《国内外工业控制系统信息安全标准及政策法规介绍（28页珍藏版）》请在金锄头文库上搜索。
1、国内外工业控制系统国内外工业控制系统 信息安全标准及政策法规介绍信息安全标准及政策法规介绍 全国信息安全标准化技术委员会秘书处（TC260） 2012年11月 提纲提纲 工业控制系统概述工业控制系统概述 国外工业控制系统信息安全标准国外工业控制系统信息安全标准 我国工业控制系统信息安全标准我国工业控制系统信息安全标准 结论与展望结论与展望 相关政策法规相关政策法规 标准分享网 w w w .b z f x w .c o m 免费下载工控系统概述工控系统概述 工业控制系统(ICS)是对多种控制系统的总称，典型 形态包括 监控和数据采集(SCADA)系统、分布式控制系统（DCS)，以及可 编程逻辑
2、控制器(PLC)之类的小型的控制系统装置。ICS普遍应用于电力、水 处理、石油、天然气、化工、交通运输、制造业。 ICS SCADA系统 DCS系统 PLC 工业控制系统与IT系统的差别 ： 工业控制系统与IT系统的差别 ： 网络边缘不同网络边缘不同 网络边缘不同 网络边缘不同 工控系统在地域上分布广阔，其边缘部分是智能程度不高 的含传感和控制功能的远动装置，而不是IT系统边缘的通 用计算机，两者之间在物理安全需求上差异很大。 体系结构不同体系结构不同 体系结构不同 体系结构不同 工控系统结构纵向高度集成，主站节点和终端节点之间是 主从关系，IT系统则是扁平的对等关系，两者之间在脆弱 节点分布
3、上差异很大。 传输内容不同传输内容不同 传输内容不同 传输内容不同 工控系统传输的是工业设备的“四遥信息”，安全问题大 多集中于物理层面，安全防护要延伸到物理层并防止复杂 的控制关系所产生的骨牌效应。 工控系统概述工控系统概述 标准分享网 w w w .b z f x w .c o m 免费下载工控系统面临的威胁工控系统面临的威胁 工控系统概述工控系统概述 敌对政府、恐怖主义组织敌对政府、恐怖主义组织 偶然事件偶然事件 恶意入侵恶意入侵 自然灾害自然灾害 内部人员的恶意或无意内部人员的恶意或无意 行为行为 策略和程序漏洞策略和程序漏洞 工控系统存在的漏洞工控系统存在的漏洞 平台漏洞平台漏洞 网
4、络漏洞网络漏洞 Cyber Storm Cyber Storm 美国国土安全部分别在2006年2月6日、2008年3 月10日和2010年9月27日共举办了三次网络风暴演 习。三次演习都涉及多个政府部门、私人企业和厂 商。演习目的在于检验包括电力、水源和银行在内 的美国重要部门遭大规模网络攻击时的协同应对能 力。 美国国土安全部分别在2006年2月6日、2008年3 月10日和2010年9月27日共举办了三次网络风暴演 习。三次演习都涉及多个政府部门、私人企业和厂 商。演习目的在于检验包括电力、水源和银行在内 的美国重要部门遭大规模网络攻击时的协同应对能 力。 Aurora 测试 Aurora
5、 测试 美国国家能源实验室于2007年3月进行了“极光发 电机测试”，摄制的视频录像中显示了黑客通过攻 击汽轮机导致汽轮机失控和电力中断。 “极光” 事件之后，美国政府全面加大了针对工业控制系统 信息安全防护的力度，国会在2008年5月举办了电 网安全听证会。 美国国家能源实验室于2007年3月进行了“极光发 电机测试”，摄制的视频录像中显示了黑客通过攻 击汽轮机导致汽轮机失控和电力中断。 “极光” 事件之后，美国政府全面加大了针对工业控制系统 信息安全防护的力度，国会在2008年5月举办了电 网安全听证会。 污水 泄漏 污水 泄漏 2001年，在澳大利亚昆士兰，一名被解雇的工程 师通过无线网
6、络侵入水厂控制系统，造成水处理厂 发生46次控制设备功能异常事件，导致数百万公 升污水进入地区供水系统。 2001年，在澳大利亚昆士兰，一名被解雇的工程 师通过无线网络侵入水厂控制系统，造成水处理厂 发生46次控制设备功能异常事件，导致数百万公 升污水进入地区供水系统。 天然气 爆炸 天然气 爆炸 1982年6月，美国中央情报局通过利用SCADA 系统的缺陷，对前苏联天然气管线进行了远 程攻击，导致了有史以来最大的非核爆炸。 1982年6月，美国中央情报局通过利用SCADA 系统的缺陷，对前苏联天然气管线进行了远 程攻击，导致了有史以来最大的非核爆炸。 工控系统相关安全事件工控系统相关安全事件
7、 标准分享网 w w w .b z f x w .c o m 免费下载Luigi Luigi AuriemmaAuriemma 20112011年年3 3月月2121日意大利黑客在主页上披露日意大利黑客在主页上披露SiemensSiemens、IconicsIconics、7 7- -TechnologiesTechnologies、RealFlex RealFlex TechnologiesTechnologies等公司产品存在等公司产品存在3434个漏洞，个漏洞， 3 3月月2323日披露日披露BroadWinBroadWin公司产品存在公司产品存在2 2个漏洞。个漏洞。 DuquDuqu
8、 蠕虫蠕虫 20112011年年9 9月，一种与月，一种与StuxnetStuxnet具有相似结构的恶具有相似结构的恶 意代码意代码DuquDuqu出现在欧洲多个国家。出现在欧洲多个国家。DuquDuqu的主的主 要作用是要作用是 侦查和搜集资料。虽然侦查和搜集资料。虽然DuquDuqu不像不像 StuxnetStuxnet一样直接攻击现场设备，但是可以随一样直接攻击现场设备，但是可以随 时根据攻击对象安装不同的攻击工具包，时根据攻击对象安装不同的攻击工具包， DuquDuqu可能会成为寄居在基础设施内的定时炸可能会成为寄居在基础设施内的定时炸 弹。弹。 DillonDillon Beresf
9、ordBeresford 20112011年年5 5月开始，美国月开始，美国NSSNSS实验室持续报告出大量工控系统的安全漏洞，包括中国的力控软实验室持续报告出大量工控系统的安全漏洞，包括中国的力控软 件和国外的件和国外的SiemensSiemens在内。在内。8 8月份的黑帽大会上，他为大家演示了如何入侵一台西门子月份的黑帽大会上，他为大家演示了如何入侵一台西门子S7S7 PLCPLC， 包括获取内存读写权限、盗取数据、运行指令以及关闭整台计算机。包括获取内存读写权限、盗取数据、运行指令以及关闭整台计算机。 McCorkleMcCorkle &Rios&Rios 20112011年年1010
10、月，美国月，美国DerbyConDerbyCon会议上，会议上，TeryyTeryy McCorkleMcCorkle和和BillyBilly RiosRios在报告中提到他们发现在报告中提到他们发现 了存在于工控系统中的了存在于工控系统中的665665个漏洞，其中个漏洞，其中7575个漏洞位于网上可以免费下载的工控系统软件和个漏洞位于网上可以免费下载的工控系统软件和 HMIHMI中。中。 工控系统相关安全事件工控系统相关安全事件 提纲提纲 工业控制系统概述工业控制系统概述 国外工业控制系统信息安全标准国外工业控制系统信息安全标准 我国工业控制系统信息安全标准我国工业控制系统信息安全标准 结论
11、与展望结论与展望 相关政策法规相关政策法规 1. 1. 国际电工委员会国际电工委员会 （IECIEC，International Electro Technical CommissionInternational Electro Technical Commission） 2. 2. 国际自动化协会国际自动化协会 （ISAISA，the International Society of Automationthe International Society of Automation） 3. 3. 美国国家标准技术研究院美国国家标准技术研究院 （ NIST NIST ， National In
12、stitute of Standards and Technology National Institute of Standards and Technology ） 国际上，研究工控系统安全的标准化组织如下：国际上，研究工控系统安全的标准化组织如下： 国外工业控制系统信息安全标准国外工业控制系统信息安全标准 IEC 62443IEC 62443标准标准 国外工业控制系统信息安全标准国外工业控制系统信息安全标准 IEC/TCIEC/TC6565（工业过程测量工业过程测量、控制和自动化控制和自动化）下的网络和系统信息安全下的网络和系统信息安全 工作组工作组WGWG1010与国际自动化协会与国际
13、自动化协会ISAISA 9999委员会的专家成立联合工作组委员会的专家成立联合工作组，共共 同制定同制定IECIEC 6244362443工业过程测量工业过程测量、控制和自动化控制和自动化 网络与系统信息安全网络与系统信息安全 系列标准系列标准。 目标是定义一个通用的目标是定义一个通用的、最小要求集以达到各级最小要求集以达到各级SALSSALS（SecuritySecurity AssurancesAssurances LevelsLevels，SALSAL）的安全保障需求的安全保障需求。 IECIEC 6244362443一共分为了四个部分一共分为了四个部分，第一部分是通用标准第一部分是通用
14、标准，第二部分是策第二部分是策 略和规程略和规程，第三部分提出系统级的措施第三部分提出系统级的措施，第四部分提出组件级的措施第四部分提出组件级的措施。 SP800SP800- -8282工业控制系统工业控制系统(ICS)(ICS)安全指南安全指南 国外工业控制系统信息安全标准国外工业控制系统信息安全标准 SPSP800800- -8282于于20102010年年1010月发布月发布，是是NISTNIST依据依据20022002年年联邦信息安全管联邦信息安全管 理法理法、20032003年国土安全总统令年国土安全总统令HSPDHSPD- -7 7等编制而成等编制而成。它遵循它遵循OMBOMB手册
15、手册 的要求的要求“保障机构信息系统保障机构信息系统”，为联邦机构使用为联邦机构使用，同时允许非政府组同时允许非政府组 织资源使用织资源使用。 该指南概述了该指南概述了ICSICS和典型的系统拓扑结构和典型的系统拓扑结构，指出了对于这些系统的典指出了对于这些系统的典 型威胁和脆弱点所在型威胁和脆弱点所在，为消减相关风险提供了建议性的安全对策为消减相关风险提供了建议性的安全对策。同同 时时，根据根据ICSICS的潜在风险和影响水平的不同的潜在风险和影响水平的不同，指出了保障的不同方法和指出了保障的不同方法和 技术手段技术手段。 该指南适用于电力该指南适用于电力、水利水利、石化石化、交通交通、化工
16、化工、制药等行业的制药等行业的ICSICS系系 统统。 我国工业控制系统信息安全标准我国工业控制系统信息安全标准 组织名称组织名称 国际对口国际对口 挂靠单位挂靠单位 1 1 全国信息安全标准化技术委员全国信息安全标准化技术委员 会（会（TC260TC260） ISO/IEC JTC1ISO/IEC JTC1 SC27SC27 中国电子技术标中国电子技术标 准化研究院准化研究院 2 2 全国电力系统管理及其信息交全国电力系统管理及其信息交 换标准化技术委员会换标准化技术委员会（TC82TC82） IEC TC 57IEC TC 57 （电力系统管理与相电力系统管理与相 关信息交换委员会关信息交换委员会） 国网电力科学
