威努特-工控安全你还在等什么？
“白猫”更比“黑猫”好 ---工业主机安全防护浅析威努特工控安全
导语本文对工业主机的安全防护现状做了简单的梳理，并对其中的两大主流技术思路做了分析。
通过对比，我们认为安全防护的一个重要思路就是：最先进的并不一定是最好的，但最好的一定是最能贴合用户实际的。
1、前言工业主机是工业控制系统的重要组成部分，用于对生产过程中使用的机器设备、生产流程、数据参数等进行监测与控制，本文中所说的工业主机也泛指工业控制系统中的上位机。
从小威多年的工控安全项目实施经验来看，工业主机的安全防护现状参差不齐，安全防护的技术思路也泾渭分明，究竟什么样的安全防护手段更适合工业主机？今天小威就从实际应用的角度，给大家做一个简单的分析。
图1 工业主机现场示意图二、政策依据工信部于2016年10月17日发布了《工业控制系统信息安全防护指南》，其中第一项针对安全软件选择与管理有明确规定：“在工业主机上采用经过离线环境中充分验证测试的防病毒软件或应用程序白名单软件，只允许经过工业企业自身授权和安全评估的软件运行。
”工业控制系统对可用性和实时性要求非常高，任何未经验证测试的软件都可能影响控制系统的稳定性，应该对防病毒软件或应用程序白名单软件进行离线测试，测试无风险后，方可在工业主机上部署。
目前工业主机的安全防护主流思想是黑名单机制或白名单机制，从技术角度分析，可以说是各有千秋，但是从应用角度分析，却可谓是一目了然。
三、安全现状根据小威在众多工业现场采集的大量数据进行分析总结，当前工业主机主要存在以下的安全隐患：系统老旧、性能低下：工业现场主机处在相对封闭的网络中，操作系统漏洞更新对于现场维护工程师来说是一项繁重的工作内容，因此大部分工业现场的主机操作系统的漏洞未能及时更新，也就在操作系统层面留下重大安全隐患。
某燃气公司监控中心的操作员站、工程师站以及各分场站的操作员站仍有部分主机使用Windows XP系统（微软已经停止对XP服务），主机2012年在线使用后就没有做过系统漏洞更新。
系统内存偏小，性能处理能力低，当遭遇DOS类似攻击时系统极易瘫痪。
威努特工控安全---电力36号文解读连载1-V4
生产控制区——系统间隔离
36 号文要求（章节 4.1.3）
发电厂内同属安全区Ⅰ的各机 组监控系统之间、 · · · · · ·根 据需要可以采取一定强度的逻 辑访问控制措施，如防火墙、 VLAN 等· · · · · ·
锅炉DCS控制系统
汽轮机DCS控制系统
解决方案
在包含主控、辅控的所有业务 系统之间部署工控防火墙，智 能学习工控操作指令和参数建 立网络和通讯“白环境”。
计算和监控 服务器
操作员站
操作员站 组态服务器 打印机
打印机
管理信息大区
安全机构 环保机构
SIS系统
OPC Server
电量采集
故障录波
电力市场报价终端
OPC Server
SIS系统
专网前置机 生产控制大区——安全接入区
补给水设备间
励磁系统&AVC系统
锅炉DCS控制系统
操作员站
补给水系统 补给水系统
旁路部署数据库审计设备，对应用系 统的访问进行审计。
安全收益
通过堡垒机进行权限分配，操作审计。 审计数据库活动，进行合规性管理，对
风险行为进行告警。
专用安全产品——备用与冗余
36 号文要求（章节 5.6）
生产控制大区的监控系统应当具备安全审计功能，能够对数据库、操作系统、业务 应用的重要操作进行记录、分析及时发现各种违规行为及病毒和黑客的攻击行为， 对远程登陆应当严格审计。
操作员站
锅炉DCS 锅炉DCS
系统
系统
操作员站 1#DCS系统 N#DCS系统
安全收益
阻止来自区域之间的越权访 问，入侵攻击和非法访问等，实 现横向逻辑隔离，将危险源控 制在区域内。
威努特工控安全---浅谈工业控制系统信息安全运维
浅谈工业控制系统信息安全运维随着工控行业信息化建设的不断推进及信息技术的广泛应用，随之而来的信息安全问题也愈发突出，各工控行业在系统的安全建设方面也做出了很大的投入。
同时以风险管控为主线、以安全效益为导向、以风险相关法律、法规和理论方法为依据，以安全信息化、自动化技术为手段，建立起工控安全安全运维体系，前期安全建设工作将更行之有效！1、工控现场安全运维现状根据小威在各工控行业安全调研中发现，目前在工控系统安全运维方面普遍存在以下问题。
（1）工控安全审计建设不完善。
目前工控安全建设的重点工作在安全防护方面（如增加工控防火墙、主机加固软件、网络隔离装置），在安全运维审计方面建设内容相对投入较少，使得运维手段缺失。
（2）安全运维体系不完善。
小威在配合某市经信委对全市的工控系统进行安全检查的过程中发现，工控运维体系建设的重心都侧重在业务系统的可用性上，在网络安全性和保密性层面没有建立相关的运维指导体系。
（3）安全层面运维能力不足。
大部分工业现场的运维工作由自动化部门负责，运维的内容主要是自动化设备的日常巡检。
运维工程师大部分缺少信息安全专业技能，因此在工控系统安全运维方面工作相对缺失。
2、安全运维及安全整改实例近段时间，小威对某新能源电厂的电力监控系统开展网络健康检查运维服务工作，包括基础设施物理安全、体系结构安全、系统本体安全、全方位安全管理及安全应急措施等五个方面的安全防护情况，五大类38小类101要点，涵盖新能源场站电力监控系统安全防护的全部要求。
通过排查发现各电场普遍存在以下问题：（1）电力监控系统安全防护普遍存在的问题。
●基础设施物理安全薄弱；●工业主机存在大量漏洞；●网络设备和安全设备安全策略设置不合理等。
（2）安全制度体系缺乏。
缺少应急管理制度、介质使用管理制度等。
现场一旦网络或业务系统发生异常，必将严重影响调度生产的正常进行。
因此急需对上述问题进行整改完善，满足电力监控系统安全防护的基本要求。
威努特工控安全----大话工控安全“白环境”.v.1.5
大话工控安全“白环境”编者按：本文的目的是尽量通俗的让那些对工控安全感兴趣，但对如何做安全防护却不甚了解的读者理解工控安全的技术特点。
工控安全这个安全的细分领域现如今也是流派纷呈、百家争鸣、欣欣向荣的景象。
概括来讲，厂商可以分成三个大类：自动化背景的厂商、传统IT安全厂商和专业工控安全厂商（对这部分详情感兴趣的读者可以参考我司公众号上的相关文章，这里不再细表）。
北京威努特技术有限公司属于第三种类型-专业工控安全厂商，因为专业，所以专注，因为专注，所以创新。
小威在客户现场经常会被人问到如下一些问题：我们的方案是如何设计定的？产品是如何工作的？防护的效果是怎么样的？小威是一个专业的技术人员，于是乎会不厌其烦、滔滔不绝的给客户讲方案、讲技术……，但面对的听众其技术基础不尽相同，琴瑟和鸣的情况也有，但曲高和寡的情形更多。
今天我们就大话一下小威公司在业界首创的工控安全“白环境”解决方案。
开讲之前，上个图先，正所谓有图有真相。
工业控制系统的安全问题有别于传统IT网络安全问题，因此在技术理念和产品实现上也完全不同。
威努特创新性的提出了建立工控系统的可信任网络白环境和工控软件白名单理念，为客户构筑工控系统“安全白环境”整体防护体系，保护国家基础工业设施安全。
•只有可信任的设备，才能接入控制网络；•只有可信任的消息，才能在网络上传输；•只有可信任的软件，才允许被执行。
我们的防护理念:从“黑”到“白”,从“被动防御”到“主动防护”。
理念过于技术化，大家会表示看不懂，那么让我们一一解惑。
这是如何做到的呢?网络分层、区域隔离,只有可信任的主机间才能通信,主机上只有可信任的软件才能运行,只有可信任软件发送的工控消息才能在监控网与控制网传输。
何为可信任的主机?经过技术检测及处理过并安装了可信卫士的主机。
何为可信任的软件?经过技术鉴定完整可用的业务相关软件(存在于可信卫士白名单中的软件)。
什么样的工控消息是可信任的?由可信任的业务软件发出的到另一台可信设备之间的且额定参数在合理区间的数据消息。
工控网络安全——威努特可信边界网关产品彩页
产品概述客户价值Product Overview Customer Values威努特可信边界网关（TEG）是威努特公司全新推出的工业控制可信网关系列产品，保护工业控制网与管理信息网之间的边界，支持对OPC等数采协议的深度解析，阻止来自管理信息网的安全威胁，自主知识产权杜绝后门隐患完全自主的知识产权，能够帮助涉密单位、关系国计民生的大型工业企业对工控网络进行安全防护和安全加固，杜绝安全后门隐患，响应国家信息安全国产化政策及号召。
提高工控系统稳定性减少系统停车时间能够有效检测到工控网络中的通信异常和协议异常并加以阻止，进而避免工控系统的意外停车事故。
同时，基于“白环境”理念的解决方案无需对工控网络结构进行改造，避免频繁升级工控系统，减少系统维护停车时间。
提高运维效率降低维护成本帮助用户建立统一的工控安全防护、威胁预警、故障排查平台。
具有丰富的管理功能，友好的用户界面，人性化的统计报表，极大的提高了企业工控安全管理的效率。
使企业工控安全管理简单易行，安全信息和日志再也不会如天书般难懂。
OPCModbusDNP3 IEC104Profinet层三层网络协议进行解析，更进一步解析到工控网络包的应用层，对OPC等协议进行深度分析，防止应用层协议被篡改或破坏。
利用威努特可信边界网关可以建立可信任的数采通信的模型，采用黑白名单互补的安全策略，过滤一切非法访问，保证只有可信任的设备才可以接入工控网络，只有可信任的流量才可以在网间传输。
为控制网与管理信息网的连接提供安全保障，在电力、石油、石化、烟草及工业制造等多行业得到广泛应用。
威努特可信边界网关提供工控协议深度解析、工控指令访问控制、日志审计等综合安全功能。
可信网关采用了高性能、高稳定性的多核硬件架构，为用户提供高效、稳定的安全保障。
产品优势Product Advantages支持私有协议的开发平台接口威努特可信边界网关提供SDK，开放的平台接口可以方便客户自行扩展支持私有协议，以及做定制化的二次开发。
威努特工控安全---工控系统安全威胁建模入门
工控系统安全威胁建模入门安全开发生命周期近来工控安全日益受到大家的重视，但是大部分时间大家谈论的主要还是边界安全、网络安全、主机安全、日志审计等，今天我们换个话题，聊一聊工控系统（产品）开发过程中的安全设计。
工控系统（产品）开发和传统的软件过程一样，也可以大致分为需求、设计、编码、测试、发布维护等几个阶段。
要实现一款安全的工控（系统）产品，安全必须从需求开始就被考虑进去，否则很难保证最终版本的安全。
ISASecure是国际最权威的工控系统（产品）安全认证机构，其对工控系统（产品）的安全认证要求就包括安全开发过程的评估，要求安全必须是在开始就被正确的设计（审核安全开发生命周期相关文档），并最终落实到产品中（审核设计的安全属性是否正确落实到产品中，可以在产品中验证）。
所以，安全开发是贯穿工控系统（产品）的整个生命周期的事情。
一个完整的工控系统（产品）开发生命周期如下图：在该图中，上半部分是业务开发生命周期，下半部分是安全开发生命周期，两者融合在一起形成完整的系统（产品）开发生命周期。
我们今天主要讲讲安全设计阶段的威胁建模。
威胁建模威胁建模是安全设计的一部分，目的是识别系统里的安全风险，确保系统被安全的设计。
风险，指没有发生的，可能带来损失或伤害的危险。
要识别没有发生的事情，就需要使用抽象的方法和概念来思考问题，也就是安全威胁建模方法。
使用安全威胁建模的方法，可以更全面的识别出系统的安全威胁，有利于设计更安全的系统。
一个可靠安全的系统一般都需要做两种模型分析：系统业务模型、安全威胁模型。
安全威胁建模有多种方法，我们今天讲的是来自微软的STRIDE建模方法，这个方法被广泛应用于微软的各个产品。
STRIDE 是5个英文单词的缩写，包括：●Spoofing 假冒：伪装成非自己真实身份的人或物。
●Tampering 篡改：修改自己不应该修改的东西。
●Repudiation 否认：宣称自己没做某事（不管是否做了）。
威努特工控安全---轨道交通信号系统网络安全防护方案
轨道交通信号系统网络安全防护方案建设背景城市轨道交通信号系统是保证列车运行安全，实现行车指挥和列车运行现代化，提高运输效率的关键系统设备。
目前城市轨道交通信号系统大多数采用基于无线局域网的CBTC系统，CBTC系统的可用性、可靠性等均能满足当前城市轨道交通安全高效运营的需要，是实现轨道交通高安全、高速度和高密度的最佳技术之一。
随着计算机和网络技术的发展，特别是信息化与信号系统深度融合，CBTC系统产品越来越多地采用通用协议、通用硬件和通用软件，以各种方式与PIS网络、语音广播、ISCS系统等网络互联互通，有可能造成病毒、木马等威胁向CBTC系统扩散，信号系统安全问题日益突出。
特别是车地无线通信的应用，攻击者可以通过无线方式进行入侵和攻击。
一旦CBTC 系统的信息安全出现漏洞，将对城市轨道交通的生产运行和国家安全造成重大隐患。
建设目标针对轨道交通信号系统存在的安全问题，依据工信部《工业控制系统信息安全防护指南》指导要求，结合信息安全等级保护（三级）符合性要求，轨道交通信号系统安全防护建设目标如下：●完善轨道交通信号系统安全防护技术体系：梳理、分析轨道网络整体情况，从网络层次划分、网络分区分域、网络边界划分、纵深防御等方面提供适用于轨道交通信号系统的网络规划思路；●完善轨道交通信号系统安全防护管理体系：梳理轨道交通信号系统安全防护方面的组织机构、管理制度、人员管理、系统建设管理、资源保障、监督检查等方面的信息，进行需求分析并提出解决思路，为轨道交通信号系统管理体系建设及整改工作提供参考；●完善轨道交通信号系统安全防护运维体系：梳理、分析轨道交通信号系统的运维体系，从运维管理制度、操作流程的规范化、关键技术控制点等方面提供运维体系建设及完善思路，挖掘运维平台潜在风险和盲区，为完善轨道交通运维平台提供解决思路。
解决方案威努特以实时高效为前提、安全可靠为目标、主动防御为手段，为城市轨道交通信息系统的安全防护提供完整解决方案，从网络边界防护、主机安全加固、操作安全审计、入侵检测防范、安全运维管理等方面建设安全防护体系，全面覆盖轨道交通信号系统各个环节。
威努特工控安全---电力系统工控安全威胁浅析
电力系统工控安全威胁浅析北京威努特技术有限公司2017年7月3日星期一摘要：本文将电力工控系统分为一次系统和二次系统，直观地展示电力系统架构，并结合电力系统架构分析和探讨信息安全风险对电力生产环境的影响。
一、电力系统概述电力系统横向来看是一个有机整体，通过参与电能分配的一次设备将整个电力系统串接在一起，电力系统按照业务来分，一般分为发、输、变、配、用、调度，发电厂发出的电能需要经过高压变电后由输电线路进行远距离输送，包含了从发电厂到供电公司配电系统的转移过程，配电通过将电力送达消费者完成电力系统的全部功能。
此过程分一次、二次系统，一次系统直接参与电能的发输、分配、使用，二次系统对一次系统进行测控、保护、调节，而电力调度一定层度上保证电力系统的安全稳定运行，对外可靠供电，使电力生产有序进行采取的管理手段。
2009年5月21日，我国公布了“坚强智能电网”计划，随着新技术的应用和更容易获取的能源数据及设备的使用，越来越多的互通设备，电力系统面临的信息和生产安全威胁和影响也日益扩大。
下面分别从电力系统安全威胁与影响，电力系统攻击场景分析，第三方服务给电力系统带来的安全隐患以及移动应用程序和移动设备在电力系统中安全说明。
二、电力系统安全威胁与影响(一)面向消费者的安全威胁与影响威胁：消费者可能成为电力公司的威胁来源，也可能是威胁的受害者。
1.个人和组织的威胁盗窃：智能跟踪者能够利用电力公司对智能终端的访问监测信息完成恶意的行为，智能跟踪者能够根据电能的使用情况，分析出用户的行为，生活习惯等。
黑客：出于智力挑战、安全测试、恶作剧、好奇心、金钱交易、权利、恐怖主义等动机入侵电力系统。
金钱交易：出于金钱利益，利用恶意程序隐蔽植入电力系统，进行赎回勒索。
恐怖主义：通过攻击电力系统，恐怖分子能够利用物理攻击，如爆炸，也可以利用智能控制的数字化方式攻击，以此来引起关注或达到他们攻击的目的。
电力公司：来自电力公司内部员工造成的电力干扰、隐私泄露、错误账单等。
威努特工控安全---浅谈工业控制系统信息安全运维
浅谈工业控制系统信息安全运维随着工控行业信息化建设的不断推进及信息技术的广泛应用，随之而来的信息安全问题也愈发突出，各工控行业在系统的安全建设方面也做出了很大的投入同时以风险管控为主线、以安全效益为导向、以风险相关法律、法规和理论方法为依据，以安全信息化、自动化技术为手段，建立起工控安全安全运维体系，前期安全建设工作将更行之有效！1、工控现场安全运维现状根据小威在各工控行业安全调研中发现，目前在工控系统安全运维方面普遍存在以下问题。
（1）工控安全审计建设不完善。
目前工控安全建设的重点工作在安全防护方面（如增加工控防火墙、主机加固软件、网络隔离装置），在安全运维审计方面建设内容相对投入较少，使得运维手段缺失。
（2）安全运维体系不完善。
小威在配合某市经信委对全市的工控系统进行安全检查的过程中发现，工控运维体系建设的重心都侧重在业务系统的可用性上在网络安全性和保密性层面没有建立相关的运维指导体系。
（3）安全层面运维能力不足。
大部分工业现场的运维工作由自动化部门负责，运维的内容主要是自动化设备的日常巡检。
运维工程师大部分缺少信息安全专业技能，因此在工控系统安全运维方面工作相对缺失。
2、安全运维及安全整改实例近段时间，小威对某新能源电厂的电力监控系统开展网络健康检查运维服务工作，包括基础设施物理安全、体系结构安全、系统本体安全、全方位安全管理及安全应急措施等五个方面的安全防护情况，五大类38小类101要点，涵盖新能源场站电力监控系统安全防护的全部要求。
通过排查发现各电场普遍存在以下问题：1）电力监控系统安全防护普遍存在的问题。
•基础设施物理安全薄弱；•工业主机存在大量漏洞；•网络设备和安全设备安全策略设置不合理等。
（2）安全制度体系缺乏。
缺少应急管理制度、介质使用管理制度等。
现场一旦网络或业务系统发生异常，必将严重影响调度生产的正常进行。
因此急需对上述问题进行整改完善，满足电力监控系统安全防护的基本要求。
威努特工控安全---工业控制系统信息安全风险评估浅谈
工业控制系统信息安全风险评估浅谈一、工业控制系统信息安全风险评估的目的随着“两化融合”的进程日益推进，企业的业务需求和商业模式也在经历深刻的变革，传统意义上相对封闭的工控系统，正在逐步打破“信息孤岛”的局面，随之而来的一个负面影响就是其不可避免的暴露在各种网络攻击、安全威胁之下。
2017年6月1日，《中华人民共和国网络安全法》（以下简称《网络安全法》）正式实施，网络安全已经提高到了一个前所未有的高度。
在“第三章网络运行安全”的“第二节关键信息基础设施的运行安全”中明确说明：“国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。
”由此可见，作为关键信息基础设施的一部分，工业控制系统信息安全需要重点关注及重点保护。
不同行业的工业控制系统差异较大，有其各自的特殊性，如何贯彻习总书记的“要全面加强网络安全检查，摸清家底，认清风险，找出漏洞，通报结果，督促整改”的要求是每一个工控安全从业者需要深入思考的问题。
从风险评估入手，使用符合工控系统特点的理论、方法和工具，准确发现工控系统存在的主要问题和潜在风险，才能更好的指导工控系统的安全防护，才能建立满足生产需要的工控系统信息安全纵深防御体系。
二、如何开展工控系统信息安全风险评估评估流程图：风险评估流程●评估范围工控系统风险评估的范围概括讲包含如下三个大的方面：物理安全、技术安全和管理安全，其中每部分又可以划分为许多小的方面。
物理安全包含防雷、防火、防盗、温湿度控制等方面；技术安全包括工控网络安全、工控设备安全、工控主机的安全等，在具体的评估过程中，还要再具体细分，如边界防护安全、工控协议安全、工控数据安全等不同的内容；管理安全通常涉及机构、制度、流程、安全意识等。
●评估方法经验分析：又称为基于知识的分析方法，可以采用该方法找出当前工控系统的安全现状和安全基线之间的差距。
工控系统常见安全问题-浅析 威努特工控安全
1.1 工控系统简介工控系统（ICS）自问世以来，多采用专用的硬件、软件和通信协议。
工控系统大多是封闭的系统，具有较强的专用性，受外来影响较小，导致工控系统安全未受到足够重视。
随着信息技术的迅猛发展，信息技术在工控系统中的应用取得了飞工控系统的信息技术来源于传统信息技术，但是又不同于传统信息技术，这是因为传统信息技术是以传递信息为最终目的，而工控系统网络传递信息时以引起物质或能量的转移为最终目标。
众所周知，在办公应用环境中，计算机病毒和蠕虫往往会导致公司网络故障，因而办公网络的信息安全越来越受到重视，通常采用杀毒软件和防火墙等软件方案解决安全问题。
在工控系统中，恶意入侵软件，将会造成生产线停顿，导致严重后果。
因此，工控系统安全有更高的要求，传统信息技术的解决方案已不能满足这些需求。
工控系统与传统信息技术系统在系统结构及其它方面存在明显差工控系统的安全问题大致可划分为以下几个方面：1、工控系统本质问题：（1）安全设计不足：在设计之初，由于资源受限，未面向互联网等原因，为保证实时性和可用性，工控系统各层普遍缺乏安全性设计。
在缺乏安全架构顶层设计的情况下，无法形成有效技术研究的体系，产品形态多集中在网络安全防护的层面，工控系统自身的安全性能提升缺乏长远的规划。
（2）核心技术落后：CPU作为硬件基础平台的核心，技术掌握在国外厂商手中，“后门”漏洞的隐患始终存在；目前国内研究和生产CPU的品牌主要包括龙芯、众志、多思等，在通用处理器、嵌入式处理器、专用处理器等方面都有了相应的产品，但是否符合工控系统性能要求和安全要求，能否在我国工控领域广泛应用，有待进一步研究和验证。
（3）缺乏动力：尽管目前已有工控产品提供商开始对旧系统进行加固升级，研发新一代的安全工控产品，但是由于市场、技术、使用环境等方面的制约，工控产品生产上普遍缺乏主动进行安全加固的动力。
2、安全策略与管理流程问题：工控系统从业人员的安全意识欠缺，并缺少培训；相关企业缺少规范的安全流程、安全策略，缺少业务连续性与灾难恢复计划、安全审计机制等。
威努特工控安全---工控漏洞挖掘,和漏洞扫描有什么区别？V3
工控漏洞挖掘？和漏洞扫描有什么区别？当前，工业控制系统中广泛使用的嵌入式或单片机设备大量采用通用硬件芯片、通用/开源操作系统、通用协议进行开发，各大厂商在追求设备功能、性能及易用性的同时，忽略了设备自身的信息安全设计与实现。
随着黑客攻击技术的发展及信息安全关注点的转移，越来越多的工控系统漏洞被发现，如：“震网病毒”它利用了微软操作系统和西门子控制系统及控制设备一系列漏洞，突破工业专用局域网的物理限制，对核设施开展破坏性攻击导致国家基础设施遭受严重破坏，危及国家和平发展。
既然工控漏洞如此可怕，我们有没有什么办法提前发现它们呢？漏洞是指一个系统存在的弱点或缺陷，系统对特定威胁攻击或危险事件的敏感性，或进行攻击的威胁作用的可能性。
漏洞可能来自应用软件或操作系统设计时的缺陷或编码时产生的错误，也可能来自业务在交互处理过程中的设计缺陷或逻辑流程上的不合理之处。
下图为中国国家信息安全漏洞库关于工控漏洞的截图，可以发现目前已经存在大量工控信息安全漏洞，整体工控安全形势不容乐观。
那我们怎么才能知道当前工控系统有多少漏洞呢？从理论上讲你永远都不会知道，因为漏洞的数量=已知漏洞数量+未知漏洞数量这不是废话嘛！当然不是。
人类对未知事物的探索是永恒的话题，而对未知工控漏洞的发现刚好也是我们今天的主角——工控漏洞挖掘平台最最擅长的事情。
工控漏洞挖掘：通过模糊测试（Fuzz Testing）的方法，构造一系列无规则的“坏”数据“插入”工业控制设备，观察其运行状态，以发现潜在的bug。
如果此Bug可被重复利用并能导致控制设备的宕机、拒绝服务等异常现象，则推断这是一个漏洞，也就是我们常常闻之色变的0-Day漏洞。
那漏洞扫描又是怎么一回事呢？漏洞扫描是漏洞挖掘“最亲密的好兄弟”，它负责把已经公开的漏洞通过已知确定的方法展现出来。
在不同的场景下会分别采用漏洞挖掘和漏洞扫描：⏹研究所、监管机构、攻防研究小组等科研型组织会更关注漏洞的发现，倾向于采用漏洞挖掘设备。
威努特工控安全---浅谈工控网络如何防范U盘病毒
浅谈工控网络如何防范U盘病毒1 工控网络安全现状在工控网络病毒越来越引起人们的的关注，工控网络常见的病毒来源包括系统或工控软件自带病毒、下载携带病毒第三方程序、用户使用了带病毒的U盘，由于工控网络相对隔离，所以U盘等移动存储介质使用的越来越广泛，它已经成为木马、病毒等传播的主要途径之一。
通过U盘传播病毒的案例非常多，在工业控制系统中最知名的攻击“震网”蠕虫就是通过U盘侵入控制网络，更改PLC中的程序和数据，然后对伊朗的核设施造成了严重的破坏。
本文将详细介绍U盘病毒是如何在工控网络传播以及如何对它进行防范的。
2 U盘病毒传播方式所说的U盘病毒，并不是单指某一种病毒，也不是说只是通过U盘传播的病毒，而是泛指所有通过U盘介质进行传播的病毒。
目前U盘病毒传播的方式主要有以下几种：1）通过autorun.inf文件进行传播的，这是U盘病毒传播最普遍的方式；2）伪装成其他的文件，病毒把U盘下所有文件夹隐藏，并把自己复制成与原文件夹名称相同的具有文件夹图标的文件，当你点击时病毒会执行自身并且打开隐藏的该名称的文件夹；3）通过可执行文件感染传播，是一种传统但非常有效的传播手段。
3 U盘病毒传播防范技术3.1 传统的防范方法一般的情况下通过修改操作系统相关安全配置来达到U盘病毒的基本防范能力，同时增加专业的病毒软件可以达到U盘病毒防范功能，操作系统本身提供以下途径进行U盘病毒防护。
1）关闭自动播放功能，关闭windows系统的U盘自动运行功能，U盘插入到电脑后就不会自动运行从而防止防毒入侵；2）修改注册表让U盘病毒禁止双击盘符自动运行；3）打开U盘时请选择右键打开，使用U盘的时候通过右键单击U盘盘符选择“打开”命令或者通过“资源管理器”窗口进入，因为双击实际上是立刻激活了病毒，这样做可以避免中毒；4）创建Autorun.inf文件夹。
在所有磁盘中创建名为“Autorun.inf”的文件夹，如果有病毒要侵入时，这样病毒就无法自动创建再创建同名的Autorun.inf 文件了，即使你双击盘符也不会运行病毒，从而控制了U盘病毒的传播；3.2 终端防护软件和安全U盘结合管理中心是集中策略和日志查看中心，终端防护软件是采用白名单方式的终端防护软件被安装在内网主机上。
威努特：工控信息安全市场的特种部队
释 ，对 于 其他 企 ＼ ｌ Ｊ ， 来 讲 ，工 控 信 息 安全 或 许 是 他 们 的 一部 分 业 务 但 对于 威 努特 而 言 ，是 将 １ （ １ （ ］ ％的
精 力 投 入 到 工 控 息 安 全市 场 ，这 让 我 们 挖 掘 到 了
一
刚 络 匝 注重 防 护 的 高 可用 性 和 岛 呵 性 。曾经 有 一
上宾 ” ，这颗 “ 白色炸弹 ”逐渐 现 出它 的威 力。 所谓 “ 白”是指 好的 、 信 的 ，即 只 有 可 信
仟的 、 殳备 、软 件和 数 据 ，才允 许 工 控 网络 内 部 流
通，
他 恶意 的 、不 明 确 的战 旨 定 不允 许的 东 西
昔 ｌ ５ 不 允 许流 通 使 用 。 这 有别 于 “ 黑名单 “ 的 处 理方 式 ，即 通 过 建 立 病 毒 库 、逐 条 匹 配 查 杀 ，只 要 设 钎 、软件 和 数 据 被 识别 为 “ 黑 的 ” ，就 会 被 阻止 运 行。 “ 由此 可 见 ， ‘ 名 单 ’的 防护 方 式 明显 不 适 用 于 工业 环 境 ” ，龙 围东 进 一 步 解释 ： “ 因为 工控
、
发 、销售 、售 前 支 持 等 内 的 １ ０ ０余人 团队 ． ．与 麒 人 员 规 模 同步 增 长 的 还 有 威 努 特 ２０１ ６年 的 营 业 收 入 ，较 ２ ０１ ５ 年 有 了５ 似 的 增 长 。 威 努 特创 人 兼 ＣＥＯ龙 圄 东 做 了 一个 卡 ７ Ｊ 步的估 汁 ： “ 按 照 伞 网 工 业 现场 实 施 的 工 控 安全 项 目数 爿 ∈ 悦 。威 努 特 ｒ 与据 了其 中 ６ ０ ％～７ ０％的 份 额 ，并 同 时 存 八 九个 ｛ 彳业 中 都 已 形 成 成 功 案 例 ” 。 这 威 努 特 当 之 尢 愧 地 成
不能用传统信息安全思路解决工控安全问题——专访北京威努特技术
黄敏分析 ， “ 震 网” 病 毒 的 攻 击
目标 非 常精 确 或 者说 单 一 ， “ 震 网” 病 毒 并 不 以 刺 探 情 报 为 目 的 ， 而 是 按 照 设 计 者 的 设 想 ， 定 向 破 坏 离 心
担 负 起 工 业 系 统 安 全 保 障 的重 任 。
机 等 要 害 目标 。目前 ， 这 种 病 毒 已 经 感染 了超 过 １ ０万 台 个 人 电 脑 和 “ 光
２ ０ ２ ５、 制 造 业 与 互 联 网 融 合 发 展
计划。
据 北 京 威 努 特 技 术 有 限 公 司 首 席 技 术 官 兼 研 发 副 总 经 理 黄 敏 介 绍 说 ， “ 震 网” 病 毒 采 取 的 就 是 通 过 移
于是 ， ２ ０ １ １年 工 信 设 备 进 行 传 播 的 方 式 。 该 病 毒 首 先 在 互 联 网 上 进 行 传 播 ， 大 量
感 染 的 主 机 也 就 成 为 潜 在 的 向 内 部
的通 知 》 （ 简称 “ ４ ５ １号 文 件 ” ） ， 拉 开
了 中 国重 新 审 视 与 解 决 工 控 安 全 的
严 峻 的 工 控 安 全 形 势
伊 朗“ 震 网” 病毒事件的发生 ， 引 起 了全 世 界 对 于 工 业 控 制 系 统 信 息 安 全 的重 视 。
制 和 自动化 网络 与 系 统 信 息 安全 》 （ Ｉ Ｅ Ｃ ６ ２ ４ ４ ３） 中， 针 对 工 控 系 统 信 息
和 展 望 了 当 前 中 国 工 控 安 全 的
装 有 目标 软 件 的 主 机 后 展 开 攻 击 。
这使 得在 Ｕ盘内的“ 震 网” 病 毒 只 需要所 在 Ｕ盘插入 主机的 Ｕ Ｓ Ｂ 接
威努特工控安全 典型SCADA系统安全防护案例分享
威努特工控安全典型SCADA系统安全防护案例分享威努特工控安全-典型scada系统安全防护案例分享共享典型SCADA系统安全保护案例一、前言工业控制系统已广泛应用于电力、轨道交通、石油化工、航空航天等工业领域。
目前，一大批关系国计民生的关键基础设施依靠工业控制系统实现自动化运行。
工业控制系统已成为国家重点基础设施的重要组成部分。
随着工业化与信息化进程的不断交叉融合，越来越多的信息技术应用到了工业领域。
由于工业控制系统广泛采用通用网络设备和it设施，以及与企业信息管理系统的集成，传统信息网络所面临的病毒、木马、入侵攻击、拒绝服务等安全威胁也正在向工业控制系统扩散。
二、项目背景国内某知名油田分公司下属采气厂所辖探区范围广阔，天然气探明储量具有举足轻重的战略地位，是油田最具开发潜力的区块之一。
该采气厂同时负责多个气田及其他探区的开发建设和管理，承担着部分气量转输以及向华北地区及周边城市供气的艰巨任务。
2022年8月和2022年5月，煤气生产厂相继发生两起异常停机事件，造成了不良影响，直接造成了巨大的经济损失。
然而，事故原因无法核实。
该事件引起了公司管理层对工业控制系统安全的高度重视，并将工业控制系统的安全防护提升到战略层面。
三、需求分析北京威努特科技有限公司（以下简称威努特）从接到客户需求的那一刻起，在实时高效、安全可靠、主动防御的前提下，努力为采气厂工业控制系统的安全防护创造准确的解决方案。
工控系统安全防护区别于信息系统安全防护的一个重要特征就是：防护的方案一定是基于对客户生产工艺流程的了解。
从大的方面讲，工控安全是生产安全的一部分，所有安全防护的目标就是保证生产的安全稳定运行，因此工控系统的实地调研和风险评估是一个非常重要的环节，通过该环节，才可以真正让安全需求落地。
经过调查和评估，winut总结了以下主要安全缺陷：?管理网与外网连接，生产网与管理网互通，生产网与管理网边界存在重重大安全隐患。
?作为数据采集及存储的关键部分，opc服务器存在诸多安全隐患。
威努特工控安全考试题目
威努特工控安全考试题目
第一部分：选择题
1.工控系统的安全漏洞主要包括哪些方面？
A.计算机病毒攻击
B.物理破坏
C.远程攻击
D.人为失误
2.哪种密码方式是最不安全的？
A.对称加密
B.非对称加密
C.单向散列
D.明文传输
3.工控系统的漏洞利用可能导致的后果包括哪些？
A.生产中断
B.安全事故
C.数据泄露
D.设备损坏
E.以上都是
第二部分：判断题
1.工控系统的物理破坏是指攻击者通过网络远程操作破坏系统设备。
()
2.工控系统的安全防范措施只需在软件层面进行，不需要考虑物理安全。
()
3.工控系统的安全策略不需要和企业整体的信息安全策略相协调。
()
第三部分：简答题
1.请简要描述工控系统的三个主要特点，以及针对这些特点需要采取的安全防范措施。
2.请简要说明工控系统在安全防范中需要考虑的两个主要方面。
第四部分：应用题
1.请列举出工控系统可能存在的安全隐患，并提出相应的安全措施。
2.请设计一套完整的工控系统安全方案，包括硬件、软件、网络和人员培训等方面。
考试时间：90分钟
注意事项：
1.答题前请仔细阅读题目，确保理解清楚；
2.请在规定的时间内完成试卷，并在规定的地点交卷；
3.请认真作答，不要抄袭，不要作弊；
4.如有问题，请举手向监考人员求助。
工控视点 ｜工控安全 “山雨欲来”,自动化小屋如何防护？
“信息安全必将成为一个社会公众普遍关注的问题，正所谓工控安全，‘山雨欲来’”，在4·29首都网络安全日上威努特技术有限公司创始人兼CEO龙国东特别强调道。
“因此我觉得应该未雨绸缪，在工控安全没有大规模地成为社会问题之前，我们要有足够的技术储备，足够的实战经验，以便较好地应对即将来临的问题。
”有过自动化学业背景和行业工作经历的龙国东，在以往DCS组态、PLC编程等具体项目的实施工程中深感工业设备安全方面的脆弱性，意识到内中存在的诸多现实隐患。
为此他找到志同道合的商业伙伴及创业伙伴创立了威努特，开启了工控安全方面的创业之路。
初出茅庐的威努特主打工控安全“白环境”解决方案。
这是一种基于“白名单”机制的解决方案，通过对工控网络流量工程师站工作状态等进行监控，收集并分析工控网络数据及软件运行状态，建立工控系统正常工作环境下的安全状态基线和模型，进而构筑工控安全的“白环境”。
同时确保三个“只有”：只有可信任的设备才能接入工控网络；只有可信任的消息才能在工控网络上传输；只有可信任的软件才能被允许执行。
威努特工控安全解决方案据龙国东介绍，威努特的产品可以分为两大类——防护和检测。
“这两大类产品是一个相辅相成的关系，想要去卖防护类产品，就需要检测类产品来做一些调研评估或分析研究”，他进一步解释道。
“因为首先是要发现问题，才能解决问题。
”龙国东表示，检测类产品是在2015年6月份面市的，在将近一年的时间里，该公司已经实施了将近十个工控安全的现场实施项目，分别应用在石油、电力、煤炭、化工等过程自动化行业，以及市政燃气领域；在防护类产品应用方面，威努特已经在现场应用了100台左右的工控防火墙，在现场应用部署了两百多个点的白名单，主要应用领域是电力和石油。
在威努特的检测产品中，有一款名叫“谛听”（DITECTING）的产品，其定位为工业网络空间安全态势感知系统，是由威努特联合东北大学共同开发的。
谛听意在表示暴露在工业网络空间里的工业控制系统联网设备，帮助安全厂家维护工控系统安全、循迹恶意企图人士。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
工控安全，你还在等什么?
∙关键词：威努特工控安全白环境
∙摘要：随着一系列针对工控系统的网络攻击事件的不断发生，最典型的就是2010年针对伊朗核工厂的Stuxnet病毒，以及2014年席卷欧洲众多能源设施的Havex病毒。
针对工业控制系统的网络攻击越演越烈，业界对于工控安全的重要性认识越来越高，国家也陆续出台了一系列有关工控安全的标准及规范。
随着一系列针对工控系统的网络攻击事件的不断发生，最典型的就是2010年针对伊朗核工厂的Stuxnet病毒，以及2014年席卷欧洲众多能源设施的Havex 病毒。
针对工业控制系统的网络攻击越演越烈，业界对于工控安全的重要性认识越来越高，国家也陆续出台了一系列有关工控安全的标准及规范。
但是，客观来看，国内工控安全市场还远没有形成真正的产业化，工控网最新调查数据显示，2014年，国内工控安全市场总额才不到2亿元！
这对于中国这样一个制造大国来说，工控安全的投资跟整个国家工业自动化设备的投资比例是严重失衡的，我国一年的工业自动化投资总额超过3500亿，而工控安全的投资才2亿，占比还不到千分之一！对比传统IT安全的投资比例来看，一般安全设备的投资最少应该占到设备投资总额的5%，国外最高可能到10%。
另外，我国工控安全市场从2012年开始发展，历经三年，整个市场还是非常小，离规模化、产业化的目标仍相差甚远！
究竟是什么原因，导致工控安全的理念无法在工控界获得广泛认识？
究竟是什么原因，导致工控安全市场长期处于不温不火的状态？
究竟是什么原因，导致工控安全产品和方案无法实施落地？
作为工控安全的从业人员，结合多年的工作经验，笔者认为主要有以下几个原因：
第一，在互联网大行其道的今天，工控行业已经成为传统行业，越来越远离大众的视线；另外，工业控制系统以其独立于IT网络的特点，其封闭性也是与生俱来的。
所以，在这个封闭系统里面发生的各种问题，包括安全问题，都只有管理这套系统的人知道，外人无从得知。
第二，工业控制系统以“可用性”为第一要求，数据的机密性被明显忽视。
在工业控制设备研发过程中，就有很多数据机密性要求让步于可用性要求；更不用提在工控现场，为了数据采集等操作方便，就动辄将防火墙、隔离设备旁路bypass，甚至放在仓库里蒙尘。
第三，目前市面上的工控安全产品，基本都是传统IT安全产品在工业领域的二次包装，更多的是传统IT安全防护的理念和方法，而这些理念和方法在工业控制领域是不适用的。
有关这个论点笔者在另外一篇文章《为什么传统信息安全产品不能解决工控安全问题》中有详细阐述，有兴趣的同学可以百度一下。
面对这些阻挠工控安全发展的大问题，作为工控安全从业人员，我们该如何应对：
如何让全产业认识到工控安全的问题？
如何做出更符合客户要求的工控安全产品？
如何在“高可用性”要求的工控网里部署安全设备？
笔者认为，这些问题并非无解，只要我们工控安全业界各位同仁做到以下几点，这些问题将迎刃而解！
首先，要在全行业深入调研工控安全的实际情况。
只有了解到工控安全的实际情况，才有可能提出有针对性的、对症下药的安全解决方案。
目前，在工控安全行业，各厂商都提出了自己的安全解决方案，如三零卫士的“固.隔.监”，海天炜业的“可信计算”，中科网威的“时空防御模型”以及威努特的“安全白环境”等。
笔者在此不评价各厂商的方案的优劣，作为工控安全的专业厂商，我们欢迎各位同仁广泛交流，深入挖掘真实需求，让我们的解决方案更加贴近客户的需求。
第二，结合各行业特点，做好各行业的试点。
工控行业范围广泛，石油石化、冶金钢铁、电力能源等，不要妄图一家通吃，应该是各家利用现有资源优势，在各自有一定优势的行业里面深耕细作，先做好几家敢第一个吃螃蟹的客户的试点，充分测试验证之后，再向全行业推广。
这种单点突破、小规模试用、全行业推广的路子是最符合客观规律，也能最大程度契合大型工业企业对稳定性、可靠性的要求。
第三，要广泛吸取各方面的优秀实践经验，包括传统IT安全的防护理念，国内外专业的工控安全研究机构以及工控安全标准组织的最新成果，以及类似多芬诺、Wurldtech等国外先进厂商的成功经验。
单打独斗，闭门造车是做不出好产品的。
总之，工控安全市场无法真正规模化的原因很多，限于篇幅，本文不做过多阐述。
但笔者认为，只要业界各位同仁真正做到了文中所提到的三点，中国的工控安全市场肯定会在现有基础上有较大的提升。
让我们共同努力，期待这一天早日到来！
(威努特原创，欢迎转载，转载请注明出处)。