可编程逻辑控制器（Programmable Logic Controller简称 : PLC）
是一种可以被编程，并通过数字或模拟式输入/输出控制各种类型的机械或生产过程。
分布式控制系统 （Distributed Control System简称：DCS）
在国内自控行业又称之为集散控制系统。是相对于集中式控制系统而言的一种新型 计算机控制系统，它是在集中式控制系统的基础上发展、演变而来的。
数据采集和监视控制系统（Supervisory Control And Data Acquisition简称：SCADA）
SCADA系统是以计算机为基础的DCS与电力自动化监控系统；它应用领域很广，可以 应用于电力、冶金、石油、化工、燃气、铁路等领域的数据采集与监视控制以及过程控制 等诸多领域。
远程终端单元（Remote Terminal Unit 简称RTU）
4
现有防护手段已经无法防御不断升级的网
络攻击
基于信息网络安全的防护手段以及现有的工控网络防护手段在APT2.0时代的攻击前面已 经成为“皇帝的新衣”
工业控制网络
IT防火墙 病毒查杀 单向安全隔离
“物理隔离“
网关网闸 工业防火墙 边界防火墙
5
工控网络APT2.0时代攻击手段
国内工控系统面临高危风险
负责对现场信号、工业设备的监测和控制。RTU（RemoteTerminalUnit）是构成企业综合自动化 系统的核心装置，通常由信号输入/出模块、微处理器、有线/无线通讯设备、电源及外壳等组成，由 微处理器控制，并支持网络系统。它通过自身的软件（或智能软件）系统，可理想地实现企业中央监
控与调度系统对生产现场一次仪表的遥测、遥控、1 遥信和遥调等功能。
远程接入和工 程访问
Level 2
生产控制层： 监控功能/现场检测 和现场显示
Level 1
现场控制层： 保护和现场控制设备
历史数据库
监控网络
监视控制
显示系统
实时数据库
通信处理
过程控制层
远程终端设备RIU
分数控制器DCS
可编程控制器PLC
输入/输出网络
Level 0
现场执行层： 传感器和制动器
压力
传感
12月23日，伊万诺-弗兰科夫斯克地区，有 超过一半的家庭（约140万人）遭受了停电 的困扰。
整个停电事件持续了数小时之久
扩大影响
删除关键系统数据，监控系 统无法启动 洪范攻击电网的客服电话， 导致技术部分处于瘫痪状态。
延长供电恢复的时间
病毒关闭生产控制大区的控制服务器，使得二次信息系统丧失对物理设备的 感知和控制力，导致部分设备运行中断而大面积停电。
冶金
德国钢厂熔炉控 制系统受攻击， 导致熔炉无法正 常关闭
智能制造
数控机床关键 数据被窃，损 失难以估量
军事
代码及武器，美
3
国直接控制漏洞
市场
制药
黑客入侵药泵， 输入致命剂量， 危害人身安全
国外设备 预留后门
工业控制系统网络威胁来源
高级持续性 威胁
工业网络 病毒
工控设备 高危漏洞
无线技术 应用风险
暴露在互联网上的西门子PLC设备分布
中高危数据漏洞居高不下
低危： 10.90%
高危： 33.3网上的VxWorks系统主机有 16202个
其中1130个运行FTP服务，占 总数的70%
其中4291个运行SNMP服务，占总 数的26%
数据来源：匡恩网络2015年统计数据
钓鱼邮件
点击 office邮
件
感染办公 电脑
查找HIM
设备，渗 透扩散到
生产网
2
潜伏到特 地时间
执行关机
高新技术
黑客远程入侵智 能汽车，汽车也 可能随时遭遇恐 怖袭击
电力
电厂遭USB病 毒攻击，大量 机密数据泄露
水处理
污水处理厂遭非 法入侵，污水直 接排入自然水系
工控网络安全危及国家安全
工控系统安全
温度传感器
器
8
继电器
工控安全对抗形势及发展
1 、各国网军不断 扩大，对抗升级
2、明间黑客组织 3、背后巨大的商 水平的不断提升 业利益驱动
4、针对工业控制 网络的恐怖袭击
工控系统防御必须具有全球性视角
9
国内外工控网络安全防护理念的演变历 程
强调隔离
物理隔离的变种，
网关、网闸、单 向隔离，隔离背 后是脆弱的，现 代高端强持调续性攻 击都是针对隔离 系统的
中危： 65.60%
高危 中危 低危
数据来源：CNVD2015年新增工控漏洞
漏洞补丁不及时
无补丁： 32.30%
有补丁： 76.70%
无补丁 有补丁
数据来源：CNVD2015年新增工控漏洞
6
工程控制系统名词解释
工业控制系统 （Industrial Control Systems简称：ICS）
是指由各种自动化控制组件以及对实时数 据进行采集、监测的过程控制组件，构成的确保工业 基础设施自动化运行、过程控制与监控的业务流程管控系统。
工控系统网络涵盖范围
Level 4
战略决策层：
商业计划和物流管理/ 工业控制系统web
工程系统
应用客户端
工业控制系统 商业应用客户
端
公司办公网络
公司主机
商用服务 器
Level 3
经营管理层： 系统管理/监视控制
冗余数据 库
服务器
局域网/广域网/非军事区
ICCP服务器 OPC服务器 信息数据库 应用服务器
伊朗核电站“震网”病毒事件
发生事件：2010年7月 攻击目标：伊朗核电站（物理隔离网络） 入侵方式：
收集核电站工作人员和其家庭成员信息 针对家用电脑发起攻击，成功控制家用电脑 并感染所有接入的USB移动介质通过U盘将 病毒摆渡核电站内部网络
利用西门子的0DAY漏洞，成功控制离心机 的控制系统，修改了离心机参数，让其生产 不出制造核武器的物质，但在人工检测显示端正常
利用漏洞： MS10-046、西门子SIMATIC WinCC系统0 Day漏洞 渗透手段： U盘 损失：美国利用“震网”蠕虫病毒攻击伊朗的轴浓缩设备，造成伊朗核
电站离心机损坏，推迟发电达两年之久。
影响面：感染全球超过45000个网络
5
乌克兰电网遭受病毒攻击事件
2015年的最后一周，乌克兰至少有三个区域 的电力系统被具有高度破坏性的恶意软件攻 击并导致大规模的停电
纵深防御体系 由工业控制系
由传统信息安全 统内部生长的
厂商提出的，大 多数项目演变为 信息安全产品的 简单堆砌，不能 完全适应工业网 络安全的特点
持续性防御体 系
适应工业控制网 络的特点，通过 基础硬件创新来 实现，低延时，