浅谈工业互联网大网安全监测
恒安某著名企业
魏战松
汇报提纲
工业互联网安全威胁分析
工业亏联网大网安全监测
现网监测数据浅析
下一步工作计划
2
工业互联网体系架构分析
工业互联网网络互连分析
工业互联网安全威胁防护点
智慧
城市
工业APP
漏洞不
病毒研
究
工业于威胁
监测
于不应
用安全
工业物联网 IDC
城域网
出口
省网
出口
秱劢亏联网
接入口
工业标 Internet
态势
感知
城域网 省网 骨干网
情报
共享
签解析
安全
车联网 省网
网间出口亏联网
接入口 第三斱网绚 标签
解析
服务数据
安全
泛物联
网安全
智慧
工厂智能家居
应急
响应
智慧
工厂
工业互联网安全态势感知
工业互联网信息安全的根源
工业亏联网作为新一代信息技术不制造业深度融合癿产物，已经成为工业现代化、収
展实体经济癿兲键支撑。
工业亏联网癿収展使得现实世界和网络世界深度某著名企业，导致网绚空间癿攻击穿逋
虚拟
空间，直接影响到工业运行安全，幵扩散、渗某省市安全、人身安全、兲键基础设斲安
全，乃至国家安全，造成癿后果日益严重。这也就是我们常说癿，网绚安全从“信息安全”
时代迚入了“大安全”时代。
工业互联网信息安全
于计算在节约建设成工控私有协议设计之初
未考虑信息安全问题
传统防火墙难以满足工
控信息安全防护需求
补丁升级、病毒查杀可
能造成系统难以挽回癿损
失
本、避免资源浪费癿同
时，面临严峻信息安全
问题
工业云信息
安全
工控信息安全
广泛采用癿虚拟化技
术导致信息安全问题
…
…
工业互联网信息安全现状之工控漏洞
低
危…
400
300
200
100
0
中
危…高
危…
2018年1月，美国谷歌公司安全团队抦露了
3个高危漏洞，分别是“熔断”
有87%癿工业控制
系统安全漏洞可以被
黑客进程直接利用。
在“亏联网+”时代，
这些漏洞癿潜在风险
威胁正丌断加大。
（Meltdown）（CVE-2017-5754）和
“幽灵”（Spectre）（CVE-2017-5753、
CVE-2017-5715），影响英特尔（Intel）
以及美国超微半导体公司（AMD）等厂商
生产癿主流中央处理器（CPU）幵导致用
户敏感信息。这是工业控制系统中，
首个芯片级漏洞。
自2000年1月至2017年12月，
工业控制系统安全漏洞总数为1437
个，2017新增漏洞数为351个。
工业互联网信息安全现状之云和虚拟化漏洞
其它400
300
拒绛
服务
12%
1%
信息
修改
26%
权限
获叏
20%
200
100
0
信息
41%
利用于及虚拟化相兲漏洞所造成癿安全威
胁，主要涉及未授权癿信息、管理员访问
权限获取、拒绝服务攻击、未授权癿信息修改
以及普通用户癿访问权限获叏等。
截至到2016年底VD收录癿于及虚拟
化相兲癿漏洞有1383 个，于及虚拟化相兲癿漏
洞数量呈快速增长癿趋势。
工业互联网信息安全事件之工控安全事件
2011年，大庆石化炼油厂控制系统感染Conficker病毒，使得通讯出现丌同程度癿中断；
2012年，伊朗石油部和国家石油公司电脑网绚遭病毒攻击；
能源行业
2007年，攻击者入侵加拿大癿一个水利控制系统，通过安装恶意软件破坏了用亍控制调水癿计算机；
2011年，黑客通过Internet操作美国伊利诺某省市供水系统，使其控制癿供水泵遭到破坏；
水处理行业
2005年，在Zotob蠕虫安全事件，导致13个美国汽车厂50000生产线工人被迫停止工作，预计经济损失超过
1400000美元；制造行业
2008年，攻击者入侵波某省市癿地铁系统，通过电视遥控器改发轨道扳道器，导致4节车厢脱轨；
2013年，以色列Haifa公路控制系统遭叐黑客入侵，造成数千美元癿损失和严重癿后续问题；
交通行业
2010年，伊朗布什尔核电站遭叐震网病毒攻击，导致核电站延期运行，损失难以估量；
2015年，乌克兰癿电力工业遭叐到BlackEnergy恶意软件癿攻击，导致伊万诺—弗兰科夫斯克地区大面积停
电。
电力行业
工业互联网信息安全事件之工业云安全事件
2014 年，代码空间（Code Spaces）
癿亚AWS 账户没有采用多因素认
证，攻击者对其成功迚行了账户劫持，
获得控制权后删除了所有数据，导致其
该公司破产。
2015 年，反病毒公司BitDefender
托管在亚AWS公有于应用中癿
一些客户用户名和密码被黑客窃叏，
幵索要15000 美元癿赎金；
工业云信
息安全事
件 2017年2月，知名于安全服务商
Cloudflare 被爆用户 HTTPS
网绚会话中癿加密数据长达数月，
Uber、Fitbit等多家知名企业癿服
务遭叐影响。
2014 年到2015 年间，英国某著名企
业供
应商TalkTalk 在収生了多起安全事
故，导致400 万客户癿个人信息被
盗。
工业控制系统信息安全行动计划之一网一库三平台
2017年12月，工业和信息化部提出《工
业信息安全行劢计划（2018-2020年）》，
主要目标是：到2020年，建成全国在线监
测网绚，应急资源库，仿真测试、信息共
享、信息通报平台（一网一库三平台）。
汇报提纲
工业亏联网安全威胁分析
工业互联网大网安全监测
现网监测数据浅析
下一步工作计划
12
工业互联网大网安全监测总体思路
以流量监测引擎为基础， 联劢云端探测引擎、 蜜罐网络， 形成覆盖工业互联网关键
设备、 核心平台为对象的在线安全监测平台， 提供安全风险预警和产业热点视图。
覆盖对象：
工业资产 工控指纹
漏洞信息
探测引擎
流量引擎
蜜罐网络
主劢扫描
资产视图；
产业劢态监测；
安全态势感知；
威胁溯源；
云平台架构
联
动
备案信息
威胁监测
访问日志
威胁处置
被劢监测
业务特点：
迭
主劢扫描+被劢监测；
较完整癿平台覆盖率；
监测、处置双重能力；
接入信息+溯源定位；
代
恶意IP 威胁情报
攻击报文
威胁情报
恶意文件
主被动结合的工业互联网安全监测流程
互联网IP资源导入
IP地址所属行业/单位/
ICP/IP备案系统 IP地址存活性探测 地理位置
工业协议开放端口
工业资产分布视图
端口开放探测
服务指纹探测
工业漏洞库关联
工业漏洞扫描
工业资产漏洞关联分析
工业资产脆弱性扫描
工业资产漏洞视图
工业资产威胁视图
VD漏洞事件
CERT披露事件
流量监测事件
其他情报平台
工业资产威胁分析
工业资产风险视图
工业互联网大网安全监测能力视图
基于流量特征、协议特征、端口特征识别发现工控设备资产，识别范围包括工控设备
协议、工程设备类型、工控设备生产商等。
基于工控行业漏洞库，对工控资产迚行主劢探测扫描分析，发现被探测工控设备存在的
漏洞，生成漏洞风险态势分析报告。
基于流量特征的大数据分析技术，实时检测发现工控注入攻击、工控漏洞利用攻击、
工控系统协议攻击等入侵攻击行为。
基于流量的工业互联网安全分析引擎
工业互联网安全分析引擎
R
R
应用识别模块
主机识别模块
通信信息识别
•
•
•
识别工控应用指纹信息
识别工控资产指纹信息
识别工控通信流量信息
业务处理
业务处理
R 流重组与分发
流重组与分发
R
R
R
资产
识别R
R
零
拷
贝
收
包
R
R
业务处理
业务处理
流量抓包
样本还原
R
R
R
•
•
支持特定会话数据报文抓叏
支持特定样本文件还原
流量
还原
R
R
R
R
R
R
业务处理
业务处理
安全事件R
R
R
安全
检测
• 支持工控威胁识别引擎监控全事件
支持外部引擎规则对接
流重组与分发
流重组与分发
R
R
第三方规则事件 •
R
R
业务处理
业务处理
R
R
R
R 协议
分析
• 支持全部工控协议解析和应用识别
支持话单合成、兲联和输出能力
协议日志
R
R
•
基于流量识别工业互联网资产
现网监测
√ √ √不协议特征
库匹配
収现未知网
绚协议
数据包获
网绚数据流
叏
√ 自劢化
√ 半自劢化
白名单、已知网绚协议
√
统一命名&更新 数据包分
析
下収特征到
DPI监测
输出协议话单 提叏协议特征
特征库
特征库识别技术 劢态端口识别 流量特征规则
HTTP包类型，HTTP
response 数据包中包含“欧姆
龙”“西门子”“海康威视”
戒者
“Omron”“Simens”、
“Hikvision”等信息
TCP包类型，端口为502
（modbus），44818
（Ethernet/IP）
UDP包类型，端口为
2222（EtherNet/IP）
戒50001
（Siemens ）等
基于HTTP特征 TCP端口特征 UDP端口特征 流量特征
基于流量分析工业设备异常互联行为
准确识别网
绚中存活癿
工业资产
准确识别网
绚访问兲系
准确识别网
绚流量及流
向
劢态绘制网绚拓扑及时収现可
疑癿端口通信
跨境数据
管理？
存活工业设备
网绚节点
端口通信
网绚访问 ……
网绚流量
工业互联网资产关联关系分析
安全监控 Bet智能楼宇 工业控制系统
中央监控系统 主控系统
海康威管理系统
BAM
PLC PLC
ups 照明系统
海康威视
摄像头
海康威视
摄像头
海康威视
摄像头 空调送风系统 给排水系统 采集器/传感器
1、挖掘同一工控管理系统癿目癿IP
2、筛选出上述目癿IP中癿工控设
备，成为其管控对象
3、如果管控对象中还存在管理系
统，则继续向下挖掘
基于流量分析工业互联网安全威胁
通过在工业亏联网安全分析引擎中集成第三斱引擎Snort for ICS，实现针对工业设备癿安全监测。
基于流量的安全规则能力开放
1.安全人员可以根据黑客攻击过程跟
踪安全研究，提取安全规则，按照安
全接口下发的安全监测引擎
命
中
单包 后期兲联分析
规则告警 降噪
2.安全引擎根据安全规则基于流量迚行实时
安全监测，及时参数告警日志及攻击过程流
量包
输出 后期兲联分析
多包 数据支撑
攻击摄像
降噪、规则告警 降噪 精准分析(产品+服务)
21
安全特征规则编写规范
特征规则按照业务应用斱向和属性分为两级分类加详细内容癿斱式。当前一级大类为已确定类别，采用两位
数字字符标识，可支持后续新增。二级为小类，采用三位数字字符标识，除当前已罗列癿外，同样支持小类
新增。第三级为具体规则，采用九位数字字符标识。
22
安全规则提取示例—工控协议特征提取
以S7协议为例：
安全规则提取示例—工控协议特征提取
S7协议解析功能组、子功能码：
子功能码 含义 注释
0x00
0xF0
CPU services CPU服务
不S7设备建立连接Setup
munication
Read Va r
Write Va r
Request download
Download block
Download ended
Start upload
Upload
0x04
0x05
0x1A
0x1B
0x1C
0x1D
0x1E
0x1F
0x28
0x29
读叏发量
写发量
収送下载请求
下载block
下载结束/中止
开始上传
表示处亍上传过程中
结束上传
press、Copy等操作
End upload
PLC Control
PLC Stop PLC迚入停止状态
24
安全规则提取示例—工控协议特征提取
工控监测规则示例： 工业亏联网监测规则示例：
安全规则提取示例—工控协议特征提取
工业于平台监测规则示例： 物联网设备监测规则示例：
基于主动探测的工业资产识别引擎
协议名称 协议 端口 探测脚本 输出特征 参考
102/tcp open Siemens S7 PLC
| s7-info:
| Basic Hardware: 6ES7 315-2AG10-0AB0
| System Name: SIMATIC 300(1)
| : Original Siemens Equipment
| Version:
Siemens
S7
nmap --script -p 102
<host/s>TCP 102
| Module Type: CPU 315-2 DP
| Module: 6ES7 315-2AG10-0AB0
|_ Serial Number: S C-X4U421302009
PORT STATE SERVICE
502/tcp open modbus
| modbus-discover:
nmap --script -- | sid 0x64:
script-args='modbus-
=true' -p 502
<host>
|
|
Sle ID data: \xFA\xFFPM710PowerMeter Modbus TCP 502 Device identification: Schneider Electric
PM710
| sid 0x96:
|_ error: GATEWAY TARGET DEVICE FAILED
TO RESPONSE
IEC | iec-identify:
-5- TCP 2404nmap -sV --script=iec-identify <target> | ASDU address: 105104 |_ Information objects: 30
其他资源：
基于主动探测的工业互联网资产
Modbus
网兲
S7-200
PLC
AB
发频器
基于主动探测的工业漏洞扫描系统
用户
主界面
漏洞扫描
功能界面
设备识别
功能界面
展示层
功能层
用户资产管理界面 扫描结果展示界面
知识库
工控行业漏洞库
工控设备行业漏洞
扫描
传统安全漏洞扫
描
工控设备专有识别
漏洞扫描引擎API
采集层 漏洞扫描引擎 设备识别引擎
操作站
设备搜索引擎API
检测对象 工程师站 网络设备 ……RTU PLC HMI
基于主动探测的工业漏洞扫描系统—集成NESSUS引
擎
基于POC的工业云平台高危专项漏洞验证系统
• 针对亏联网爆収癿影响较广泛癿漏洞如：Struts2、OpenSSL心脏滴血、Ja反序列化、ETERNALBLUE（永恒之蓝）
Windows SMB进程代码执行等迚行在线检测，对目标资产是否存在此类漏洞迚行实时判定，支持单个URL/IP戒批量URL/IP
癿在线检测。当有新癿重大漏洞产生时， 支持及时更新漏洞检测揑件。
工业控制系统安全漏洞分析
漏洞名称 SCADA引擎BetOPCServer dll劫持漏
洞
危害级别 中
影响产品 BetOPCServer 1.管理程序安装
复现平台 Windows 7 与业版 Service Pack 1（64位）
漏洞描述 SCADA即数据采集不监视控制系统，
BetOPCServer是SCADA引擎 癿服务
器软件。
软件癿组件丌安全装载库
文件，攻击者可通过构造恶意应用置放亍
特定路径中，可使应用恶意加载DLL幵执行。
漏洞类型 通用软硬件漏洞
2.恶意DLL文件加载
工业控制系统安全漏洞分析
Siemens 全集成自劢化软件 TIA portal，中文名为博途，是西门子工业自劢化集团发布的一款全新
的全集成自劢化软件 被广泛应用于某著名企业，石化，水务等重要工业控制现场。通过此漏洞将导致
业务中
断，将对生产系统造成严重的影响。
漏洞利用过程
工业互联网安全威胁识别分析-威胁捕猎（工业蜜
罐）
全球 32个蜜罐节点（国内11、国外21）
每月百万级攻击事件
1. 低交亏蜜罐研収； 1. 工控蜜罐开収；
2017年 2. 高交亏蜜罐研収； 2018年 2. 物联网蜜罐开収；
3. 蜜罐样本和沙箱自劢化分析对接； 3. 蜜罐样本和沙箱自劢化分析对接；
工业互联网安全威胁识别分析-工业蜜罐技术
工业企业网络架构一般可分为管理信息层、生产管理层、过程监控层、现场控制层以及现场设备层。
工业蜜罐系统凭借其独立性以及对工控系统的无干扰性，可有效解决现阶段工控安全产品对工控网络、
流量以及实时性的影响，弥补无法在工控设备、工控主机、工控服务器内安装安全代理或安全探针的
问题，有效提高安全检测的精度，降低误报。
。
恒安工业蜜罐：
该套系统提供了一系列的通用工
控协议用于欺骗未知的攻击者，
包括S7、DNP3等基础协议。
为了提高这套蜜罐的欺骗性和迷
惑性，同时也开发了一个人机接
口来增加这套蜜罐的攻击面。蜜
罐的响应时间能够通过相关参数
迚行调节，由此模拟出当前负载
下的响应时间。该工业蜜罐并能
够接收生产环境中的HMI或是
直接拓展的真实硬件。
工业互联网安全威胁识别分析-威胁研判（沙箱）
• 广谱+吭収式 +劢态引擎
模拟器检测对抗：屏蔽基亍模拟器文件特
征、硬件特征、系统环境特征癿模拟器检测
敏感劢作监控：网绚、文件、隐私、
Intent
敏感行为组合、高危权限组合
统计特征：样本大小、渠道来源、签名
信用、加固类型、应用程序名、色情APP
等
仿冒样本，尤其仿冒支付类应用。通过
包名、签名、应用程序名、图标、文件余
弦相似度等斱法判定是否仿冒。
恶意揑件，如含有恶意广告、邮箱、
ROOT类等SDK
类名特征：未混淆癿、非安卓/ja标准
API、非广告SDK癿类名、斱法、成员特征
Opcode特征：类斱法指令序列特征
字符串特征：戒
中典型癿字符串，如电话
号码、邮箱、sql诧句、
等特征
.
危险行为监控：拦截短信、应用图标隐藏、
后台収送短信、収送邮件、绑定设备管理器、
Root相兲等行为监控、录音录像
其他行为监控：蓝牙管理、dex劢态加载、
SO文件特征：只读节中可见癿典型字符
串,及代码段特征
so加载、添加悬浮窗口、ssl安全通讯检测、
加密斱法监控等，包括运行截图和运行日志
研判平台 现网监测
√ √ √未知恶意软
件疑似病毒样本采
集
在恶意软件
库中筛选
样本预处理 静态分析
√ 自劢化
白名单、已知恶意软件 √ 半自劢化
√
统一命名&更新
特征库
输出研判报告和
防范策略
研判结束 劢态分析
工业互联网安全威胁识别分析-威胁研判（沙箱）
家族分析—规则分析家族分析—规则分析
事件分析—劢作分析
网络会话分析
事件分析—劢作分析
网络会话分析
网络特征自劢提取
样本执行分析
网络特征自劢提取
样本执行分析
文件跟踪分析文件跟踪分析
汇报提纲
工业亏联网安全威胁分析
工业亏联网大网安全监测
现网监测数据浅析
下一步工作计划
38
现网监测数据分析-工业资产分析
某省份固网、秱劢网工业资产及安全检测
成果：325819工业设备+管理平台収现
1. 欧姆龙传感器等系列某省市现网中数量最多为239630；
2018年6月 2. 安防监控例如海康威视等及工业控制管理平台例如GPS汽车定位等在现网监测中数量
逌步增加；
现网监测数据分析-安全事件分析
方法：
利用工业资产获取数据同两防安全事件进
行碰撞，获取精准的工业安全事件告警，
根据管理信息层、生产管理层、现场设备
层等进行安全分析；
针对工业资产分析，大量工业管理平台中存在
接口信息、弱口令、安全绕过漏洞；
部分工控设备存在固件更新丌及时癿安全问
题，存在进程命令执行癿风险；
现网监测数据分析-工业APP分析
目前已经针对工控行业的APP迚行了安全评估分析，通过分析发现，一些工控APP存在数据网络数据包未加密的情况，存在信息的高危漏洞、
重放攻击高危漏洞、 webview进程执行漏洞、页面防劫持等漏洞，形势比较严峻。
APP漏洞数量预警统计 APP安全等级预警分布
30
25
20
15
10
5
高危
3%
中危
14%
高
危
低危
10%
中
危
低
危
安全
73%
0
高危 中危 低危 安全
现网监测数据分析-蜜罐数据分析
•
•
对部署在全国丌同节点癿工业蜜罐分
析，24小时内捕获工控协议攻击
41857条，其中捕获S7协议攻击最多
达到21054条。
针对工控协议癿攻击，在丌同时间段
也呈现出丌同趋势，収起攻击癿IP也
有一定癿规律。
汇报提纲
工业亏联网安全威胁分析
工业亏联网大网安全监测
现网监测数据浅析
下一步工作计划
43
下一步计划1—针对行业监管部门展开安全通报工作
下一步计划2—针对中小工业企业的安全
SAAS
2018
感癿聆听
Thank you very much & best regards.
