「报告」工业互联网信息安全厂商报告-01

360

一、重磅|||2017数博会推出工业互联网安全一体化解决方案

基于轨道交通的沙盘，模拟实际的运行设备，包括屏蔽门系统、乘客信息系统、环控系统、防灾报警系统、调度系统等。
通过沙盘模拟还原视频监控失效、闸门无法关闭、闸门乱关乱开等现象，最为严重的情况下，甚至可能引发列车相撞。

继而引出360的「工业互联网安全一体化解决方案」，基于“数据驱动安全”的理念，提出工业互联网自适应防护架构“PC4R模型”，其中：P信息感知（Perception），C数据汇集（Connection）、C转化分析(Conversion)、C网络融合(Cyber)、C认知预测(Cognition)，R：响应/决策(Response)，重点关注物理量与数字量的感知汇聚，以数据驱动的方式解决工业安全攻防不对称的问题，结合威胁情报、工业大数据融合、进行认知预测和响应决策，保证工业现场的异常情况发现和及时处理。

在理念和框架提出的前提下，阐释了「360工业互联网安全解决方案如何保护轨道交通系统」

涉及产品：360工业安全控制网关（工业防火墙），360工业安全审计系统（流量审计），360工控主机防护终端（主机卫士），360工业安全管理系统（统一管理平台），360工业安全运营中心（态势感知）。

亮点分析：

1. 第一次在新闻上出现了360的各个工控安全产品的介绍，但再官网上还没有正式发布；
2. 360工业安全运营中心（态势感知）声称能够结合云端威胁情报，在本地进行安全数据分析和威胁溯源，该中心有一定数据分析的能力，有待考证；
3. PC4R模型听上去并不是很有特色，也是通用的思路吧，360通过威胁情报分析、工业安全技术（产品）、工业安全服务三方面能力形成了他的工业互联网安全体系，本次方案是下图的细化。
   

4. 目前360的工控安全能力如下图，其中“工业云与大数据防护”、”体系赋能”、“威胁情报”蛮有特色。：
   

   二、 “永恒之蓝”已平息？工控系统仍面临重大威胁

   • 可能性：本文从wannacry病毒讲起，说明工控系统存在被其感染的可能性（大量使用IT通用产品）；
   • 仿真验证：再通过360工业互联网安全实验室的仿真系统上试验该病毒，成功干扰工控系统正常运行；
   • 说明针对IT系统的紧急处理措施不适用于工控系统（立刻进行操作系统升级，打补丁、立刻关闭445等端口、安装杀毒软件进行病毒查杀）；
   • 给出工业控制系统可采用的应对措施，包括宣传自己的产品（流量审计、结合威胁情报的NGSOC）；
   • 最后就如何系统化处理好工业安全问题，呼吁国家高度重视，并进行顶层设计、系统实施、加强监管，工业企业、工控系统厂商、安全厂商共同努力。
     

   增强行业影响力

匡恩

一、匡恩工控卫士

• 伏笔：除了有大量办公网络被攻击和感染外，还有多个全球知名的工业设施由于遭受WannaCry感染而出现故障或遭受干扰，其中包括法国汽车制造商雷诺、德国联邦铁路系统、俄罗斯内政部、美国联邦快递。国内包括交通运输、医疗服务、高校、银行、和加油系统都遭受了WannaCry病毒袭击。
• 工业环境该如何应对WannaCry：
  1、首先在主机上安装工控卫士软件，并对操作系统做白名单扫描，将白名单部署下去，并开启工控卫士的保护模式。
  2、开始运行勒索病毒“WannaCry”样本，在工控卫士保护模式下拦截病毒，并产生拦截日志信息。
• 原理：工控卫士通过监控工控主机的进程状态、网络端口状态、USB端口状态，以白名单的技术方式，全方位地保护主机的资源使用。根据白名单策略，工控卫士会禁止非法进程的运行，非法网络端口的打开与服务、非法USB设备的接入，从而切断病毒和木马的传播与破坏路径。

二、车联网安全检测平台

• 匡恩网络车联网安全检测平台从接入安全、通讯安全、总线安全和车载系统安全四个方面的安全性（4S）进行全方位检测，第一时间发现汽车及车联网中存在的各类安全风险，并根据检测结果提供安全风险建议。

三、智能制造安全防护

• 方案可以对智能制造生产中的工控行为进行合规性检查，异常行为监测、审计与阻断，保护核心数据与控制器安全运行，并利用人工智能学习技术和黑白名单防护技术，自动收集、分析和学习数据行为，智能提取行为特征，并生成容易理解的操作规则与白名单，便于安全策略部署与调整，提高产品的细粒度安全防护能力。
• 从网络层面、主机层面、应用层面、数据层面与安全管理层面进行安全防护系统设计，提升智能制造行业网络整体的安全防护水平（套用等保思路）。
• 基于“4+1”安全防护体系的设计思想，从结构安全、行为安全、本体安全、基因安全，加时间持续性五个维度构建安全防护体系，以专网专用、安全分区、纵深防御、综合审计、动态监控为设计思想，实现事前预防、事中防护、事后追溯、持续安全运营的整体防御思路，为用户打造智能、可信、敏捷、可持续运营的全生命周期安全防御体系。
• 匡恩网络工控安全解决方案在智能制造行业已经成功打造标杆案例—中车戚墅堰数控机床安全防护项目。该项目用到匡恩国内首创数控机床及DNC联网专用安全防护产品-数控审计保护平台，可实现对数控加工代码进行合规性检查与审计，可实现对加工数据泄密、误操作、恶意篡改NC代码等事件进行溯源（可以理解为只部署了数控审计产品）。

四、物联网威胁探知及主动防御平台（简称主动防御平台）

物联网是继移动互联网之后的新产业生态， 据Gartnert发布的数据显示，到2020年全球联网设备数量将达250亿台，物联网市场规模将达1.9万亿美元。物联网市场呈现出一片蓝海。
该平台能够高效及时的发现物联网设备所存在的安全隐患并进行预警，同时提供多种主动防御手段， 从根本上改变了识别病毒的方式，将特征识别转换为行为识别。这种方式可以形象地比喻为警察抓小偷，“特征识别”就是以小偷的外部特征为识别标志，“行为识别”就是以是否有偷盗行为为识别标志。小偷的外部特征可以千变万化，但行为却只有一种，变化不了。
- 1）主动探知物联网设备漏洞：通过主动探知物联网设备漏洞，能够提前发现设备弱点，在采取相应的补救措施后，可有效防止该漏洞被黑客利用。除了有公开的物联网设备漏洞，匡恩网络还拥有自主研发未公开的物联网设备漏洞库，从而最大化的发现设备漏洞信息。
- 2）实时感知异常行为：通过部署物联网安全探针，有效识别网络中存在的物联网病毒木马，实时检测密码暴力破解等行为，并及时阻止或以预警方式上报给主动防御平台
- 3）入侵诱捕取证（蜜罐）：通过部署入侵诱捕设备，仿真物联网设备和客户业务系统，除了隐藏真实的设备，还可以诱捕攻击者入侵该设备，并将入侵者的攻击过程全部记录下来，提取攻击数据进行取证，必要时候根据收集的证据来起诉入侵者。
- 4）主动防御：主动防御平台在发现物联网设备漏洞的同时，能够主动对设备进行升级、打补丁，提高设备安全性；一旦发现威胁行为，主动防御平台能够快速阻止正在发生的行为；如果发现设备已被感染，且具有传染给其它设备的能力，可对设备进行流量反制，阻止该设备对其它设备的进一步感染。
- 5）大屏展示：结合地图和定位技术将威胁可视化。大屏上动态展示物联网设备的威胁事件和入侵诱捕事件，为监管人员提供实时的安全预警，同时对当前物联网的整体安全态势给出量化评分和安全评级。

特点：

• 
  
• 该主动防护平台可以说是集合了：漏洞扫描、蜜罐系统（包括行为分析和取证）、升级系统三个模块，加上展示界面。
• 蜜罐系统的产品化还是挺有创意的。
• 该平台的可靠性待进一步了解。
  

全新产品，该产品能主动升级、打补丁？流量反制？

威努特

一、针对“WannaCry”勒索病毒免费提供为期三个月的工控主机卫士试用版

• 针对当前的现状，提出如下解决方案：
  已感染病毒用户：…..
  未感染病毒用户：…..

• 威努特免费提供为期三个月的工控主机卫士试用版；

二、现场成功拦截Wannacry勒索病毒

• XX油田采气厂调度中心安装有两台计算机（一主一备），每台计算机都安装两张网卡，一张与采气厂控制网络、服务器通信，另外一张与西安总部通信，总部办公网有多台计算机感染WannaCry病毒。
• 通过对现场情况的分析，我们认为调度中心的WannaCry病毒是通过和总部的信息网连接被感染的，由于工控网和信息网连接在同一台主机的两张网卡上，网卡隔离不但没有起到安全隔离作用，反而成了攻击的跳板。幸运的是，调度中心的主用计算机安装了工控主机卫士，阻止了病毒的执行，并进一步阻止了病毒向控制网的扩散，不然一旦控制网络中的主机被感染损失将急剧扩大。

• 工控主机卫士是目前国内白名单软件的优秀代表，但是要想良好的发展，需要其他的安全厂家也参与进来，一起推动此类产品的良性发展，和监管部门、用户紧密沟通合作，尽快成为国家标准。

  三、威努特工控安全公开培训

• 2017年5月5日，威努特在官方微信和网站上正式发布《2017年威努特工控安全公开培训邀请函》，面向社会公开提供免费培训。

• 这是第一次工控安全业内企业面向社会提供免费培训，充分彰显了威努特的社会责任感和为建设网络强国出力的使命担当。