保護?業控制系統的安全●?業控制●安全實踐●未來發展AgendaAgenda工業控制系統的特點工業安全事件回顧解決方案簡介安全典型用例分享網絡安全建設最佳實踐OperationsOperationsOT生命周期10~15年IT生命周期12~18月網絡面臨的三類威脅網絡面臨的三類威脅 網絡攻擊（外部威脅） 惡意人員（內部威脅） 人為過失或疏忽目標攻擊間接傷害

心懷不滿的員工受感染的IT設備

不經意的配置失誤供應商攜帶了不安全的設備進入廠區安全現狀我能多快發現故障？

$1000萬+一天內由工廠關停引發的停機成本91%的工業企業在過去24次網絡安全事件<5%的OT運維人員表示，對自己公司保護工控設備和系統的能力充滿信心因為他們認為是正常的工作狀態外部控制可導致物理設備損壞（渦輪過載、太陽板燃燒、6 統 攻擊典型模式攻擊典型模式

設置RPM=3000

接收指令，執行邏輯：IfState=redIgnorenewstateElseIfRPM<2000SetRPM=valueElseIgnoreSendErrorMessage改變控制邏輯ICS/OT的設計沒有從一開始就考慮到安全性7 PLC沒有充分的認證、授權和加密保護以及標準的安全監控

接收指令，執行邏輯：IfState=redIgnorenewstateElseIfRPM<2000SetRPM=valueElseIgnoreSendErrorMessageSetState=GreenIncreaseRPMto5000工業4.0工業4.0存在的風險沒有配置追蹤不明確的資產列表不常見的協議沒有配置追蹤不明確的資產列表不常見的協議過期的系統IT/OT融合OT網絡內沒有可視化安全保護從哪里開始？安全保護從哪里開始？12341234清楚需要保護的對象 持續監控對其的訪問和改動 評估風險 獲取實時告警識別在網絡中通訊識別在網絡中通訊的資產發現不活躍的設備分類HMI,Historian,PLC,Switch...收集補丁,Hotfix等級,固件,用戶,PLC背板追蹤資產狀態、配置變化安全需要持續安全風險可視安全需要持續安全風險可視 第三方訪問

內部威脅

勒索軟件

可被利用的漏洞統一安全風險可視化平臺統一安全風險可視化平臺APT攻擊

惡意軟件

訪問溯源 非法設備風險評估風險評估與資產相關的事件嚴重程度資產上發現的漏洞信息開放的端口、使用的通訊協議資產的重要程度資產上安裝的模塊實時告警實時告警告警發生在資產上的高風險事件（諸如配置變化、代碼上傳、狀態變化、指令下發、惡意軟件傳輸）結合郵件系統，接收告警郵件結合SIEM系統，整合分析IT與態勢調取告警上下文，分析問題根源主動詢問與被動偵聽主動詢問與被動偵聽深度信息詢問 實時流量分析PLC/RTU PLC/RTU僅被動監聽的局限性僅被動監聽的局限性無法準確識別全量資產信息無法準確識別全量漏洞信息無法對流量中的行為審計報警PLC01 PLC02 PLC03主動詢問+被動監聽混合檢測的優勢主動詢問+被動監聽混合檢測的優勢對資產信息識別內容更豐富對漏洞風險識別更全面準確對配置修改進行實時追蹤報警PLC01 PLC02 PLC03 無需安裝Agent,部署無需安裝Agent,部署簡單Tenable.otSecurityPlatform Tenable.otSecurityPlatform Sensor

Sensor

Sensor

SensorUseCase1–工控資產發現及風險評估UseCase1–工控資產發現及風險評估等一系列工控資產綜合與資產相關的高危事件、開放端口、CVE漏洞等信息給出資產風險評分自動顯示工控設備上插入的板卡信息獲取工控設備上的更多深層次信息（號/固件版本/運行狀態等等）UseCase2-資產地圖UseCase2-資產地圖生成每條連線都會自動標示出資產類型、IP地址、流量大小、通訊協議以及源目資產信息產之間的通訊UseCase3–靈活的告警策略制定UseCase3–靈活的告警策略制定內置眾多開箱即用工控安全策略包含控制器異常指令告警、控制網絡活動告警、SCADA事件告警等可自定義不同的源目地址、協議或指令集的策略告警信息可與SIEM對接或發送EmailUseCase4-安全事件審計和回溯UseCase4-安全事件審計和回溯控制器配置事件告警PLC啟停固件版本上傳下載I/O設備指令下發邏輯控制代碼變化等等SCADA事件異常指令下發啟停數據傳輸非法函數等等

網絡威脅網絡攻擊惡意軟件勒索病毒木馬等等網絡事件開放的高危端口端口掃描IP地址沖突等等UseCase5–攻擊事件自動關聯分析UseCase5–攻擊事件自動關聯分析常事件關聯起來呈現攻擊上下文挖掘出攻擊路徑更加快速的溯源更加快速的事件響應安全最佳實踐終端防病毒軟件應用白名單系統

SOC

OT信息傳輸工業防火墻SCADA、HMI以及工程師站LevelSCADA、HMI以及工程師站Level控制層HistorianDNSPLCProgramRepoServerLevel3云容器云容器員工PC應用程序互聯網服務Level5企業網絡排班資產IT服務SIEMLevel4Web和App服務器 IT網絡U盤殺毒系統

工廠入口

機器人馬達機器人馬達水泵傳感器Level0現場設備層

主動詢問被動偵聽PLCPLC、RTUDCSLevel1控制器層如何選擇如何選擇