当前课程知识点:网络安全-应用技术与工程实践 > 第8章 信息系统新形态新应用安全技术 > 8.4 工业控制系统及工业互联网安全技术 > 工业数据: 黑客盯上的又一块“肥肉”
工业数据: 黑客盯上的又一块“肥肉”
数据平台存在的漏洞是导致此次事件发生的根本原因。近年来,工业数据平台被曝出的漏洞日益增多,且大量集中在装备制造、交通、能源等重要领域。一些黑客正是利用这些漏洞,窃取了大量的工业信息。
包括克莱斯勒、福特、特斯拉等全球100家车企的超过47000个机密文件遭外泄,这一被媒体称为迄今为止最严重的工业数据“车祸”于近日发生。
据报道,数据泄露的源头指向了这些车厂共同的服务器提供商Level One Robotics and Controls(以下简称Level One),泄露的数据包括产品设计原理图、装配线原理图、工厂平面图、采购合同等敏感信息。
“这只是全球近年来频发的工业信息安全事故的缩影。”7月30日北京理工大学网络攻防对抗技术研究所所长闫怀志在接受科技日报记者采访时说,从全球发展趋势来看,工业互联网和工业数据日益成为黑客攻击的重点目标。
那么,到底谁是这次工业数据泄露事件的罪魁祸首呢?我们又该如何有效防止类似事件的发生呢?
访问不设限酿“车祸” 平台漏洞是祸首
“车祸”主角Level One是一家数据管理平台公司,它主要提供基于客户原始数据的定制化服务。
“Level One在使用远程数据同步工具rsync处理数据时,备份服务器没有限制使用者的IP地址,并且未设置身份验证等用户访问权限,因此任何人都能直接通过rsync访问备份服务器,这是导致事故发生的主要原因。”7月30日宝沃汽车(上海)有限公司总工程师刘凯在接受科技日报记者采访时说,“由于业务扩展需要,如今越来越多的第三方公司获得了车企的访问权限,车企数据泄露的风险也就随之增加。”
在闫怀志看来,数据平台存在的漏洞是导致此次事件发生的根本原因。“近年来,工业数据平台被曝出的漏洞日益增多,尤其是工业控制系统内的安全漏洞层出不穷,且大量集中在装备制造、交通、能源等重要领域,严重威胁国家信息基础设施安全。一些黑客正是利用这些漏洞,窃取了大量的工业敏感信息。”闫怀志说。
自2015年以来,全球每年发生的工业信息安全事件接近300起,工业领域已成为网络攻击“重灾区”。
国家工业信息安全发展研究中心监测数据结果显示,我国3000余个暴露在互联网上的工业控制系统,95%以上都存在漏洞,可轻易被远程控制,约20%的重要工控系统可被远程入侵并完全接管。
“目前很多工业系统和设备没有防护软件,也未安装杀毒系统,一旦上了网就基本处于‘裸奔’状态。”一位业内人士表示,目前我国一些通信、能源、水利、电力等关键基础设施存在着较大的安全风险,而入侵和控制工业信息系统也已成为商业上打压竞争对手的不法手段。
企业安全意识薄弱 相关人才储备匮乏
“目前,我国很多地区、部门、工业企业对工业数据安全重视不够,重发展轻安全,不重视漏洞、修复不及时等现象普遍存在。”闫怀志说。
据360补天漏洞响应平台统计,在其涵盖的工业相关信息系统漏洞中,25.6%的漏洞未进行修复,一些漏洞的平均修复时间长达数月之久。
我国对工业信息领域安全的认识还处在初级阶段。2017年5月“Wanna Cry”勒索病毒事件暴发,微软在当年3月就发布了相应的安全漏洞补丁,但我国很多单位一直由于未及时打补丁,导致近30万台主机和电脑被感染。
直到今年,360公司还能监测到每天有近千台电脑感染此勒索病毒。
在企业中,因私人行为导致设备感染病毒的情况也较为多见。例如,个人通过工控设备违规上网,或是厂商的维护人员电脑感染病毒后造成设备系统全网感染等。
此外,我国工业企业目前的防护技术还较为落后。国家工业信息安全发展研究中心通过安全监测发现,工业企业信息安全应急备灾手段不足,约70%的被调查企业缺少完善的应灾备灾体系。
防护技术之外,我国在工业信息领域的核心产品自主可控度也较低。
国家工业信息安全产业发展联盟发布的《2017年工业信息安全态势白皮书》显示,国产数据库仅占据7%的低端市场,大量工控系统由外国厂商提供运行维护。我国部分企业不具备自主维护能力,而且缺乏对外国产品和服务的监管。
同时,人才匮乏也是导致工业信息安全技术薄弱的原因之一。“工业信息安全人才需掌握自动化和网络安全两个学科的知识和技能,这类人才缺口巨大。但目前在高校中尚没有设立工业信息安全领域硕士、博士的培养方向,工业信息安全从业人员几乎都是在实践中学习。”闫怀志说。
筑防线需多方合力 可借鉴欧盟做法
“工业大数据的共享是工业互联网应用的基础和灵魂,而工业数据安全及隐私保护又是一切应用的前提。”闫怀志建议,要想给工业信息构筑起一道“防线”,首先企业应树立信息安全与隐私保护意识。
闫怀志介绍,传统IT网络中的隐私规范,主要应用“告知与许可”原则,由信息所有者自行决定可否、如何且由谁来处理或利用其信息,信息隐私保护的责任方为信息所有者。在工业大数据和工业互联网领域,工业数据需要被多次使用,传统的“告知与许可”隐私保护机制不具备现实可行性,工业数据信息隐私保护的责任将由数据使用方来承担。这种方式下可采用的保护手段包括数据分类分级和数据脱敏等。
此外,掌握大量工业信息的数据平台也应肩负起管理的责任。“此前我国网络安全与信息平台监管主体不清晰,多头监管问题突出,信息系统平台安全监管不力甚至监管缺失的情况时有发生,特别是在工业互联网和工业数据安全保护方面表现得更为突出。”闫怀志表示,“平台应不断完善数据隐私保护以及网络安全策略,成立数据安全与隐私保护的专门负责机构或组织。”
360集团董事长兼CEO周鸿祎也强调了漏洞管理的问题。他认为,应建立漏洞管理全流程监督处罚制度,制定覆盖网络安全漏洞的发现、审核、披露、通报、修复、追责等全流程管理细则,强制要求漏洞必须及时修复,对漏洞修复时间以及违规处罚措施予以明确规定。此外,应建立监督检查机制和力量,及时发现未及时修复漏洞,追究相关单位和责任人责任。
在政府监管方面上,闫怀志认为,我国可参考借鉴欧盟出台《通用数据保护条例》(GDPR)的做法,提高对信息非法获取的惩戒力度。
“GDPR是与当前网络空间现状最为契合的数据保护条例,要求手握数据的企业和机构设立专门的数据保护官员来负责数据管理。我国也可适当借鉴,要求企业和机构设立类似职位。此外,GDPR不仅倒逼中国企业更加重视数据安全和隐私保护,而且也为中国数据安全工作提供了一种思路——中国也可以制定类似条例来维护我国企业和公民个人的数据安全,防止国内外机构非法滥用。特别是在工业互联网和工业数据安全保护方面,有针对性的制度已成为燃眉之急。”闫怀志说。
作者知乎专栏:http://zhuanlan.zhihu.com/p/100975528
-1.1 走进网络空间安全
-1.2 信息、信息系统与网络空间
-1.3 网络空间视角下的信息安全
-1.4 信息安全属性及信息安全定义
-1.5 有关网络空间安全的若干基本观点
-同学,你薅过拼多多等电商平台的羊毛吗?这跟网络黑产有何关联?
-2.1 网络安全技术体系概述
-2.2 网络安全风险及其技术防范
-2.3 网络安全系统科学思想与系统工程方法
-2.4 网络安全防御体系能力的形成
-2.5 网络安全法律法规及标准规范(上)
-2.5 网络安全法律法规及标准规范(下)
-扩展阅读:IEEE计算机协会预测2020年12大技术发展趋势,网络安全表现如何?
- IEEE计算机协会预测2020年12大技术发展趋势,其中哪些跟网络安全有关呢?你如何理解网络安全的这些发展趋势?
-从微盟删库事件,如何认识网络安全系统工程与防御体系能力的形成,请各抒己见,畅所欲言
-请试分析你所使用的信息系统面临的安全威胁。比如,智能手机、个人计算机、邮件系统、微信系统等。
-3.1 基础架构安全概述
-3.2 物理与环境安全
-3.3 网络与主机安全
-3.4 加密与认证技术(3.4.1 密码学基础知识)
-3.4 加密与认证技术(3.4.2 对称密码与非对称密码技术)
--3.4 加密与认证技术(3.4.2 对称密码与非对称密码技术)
-3.4 加密与认证技术(3.4.3 摘要算法与加密算法的认证应用)
--3.4 加密与认证技术(3.4.3 摘要算法与加密算法的认证应用)
-3.4 加密与认证技术(3.4.4 密码学领域的中国智慧和中国贡献)
--3.4 加密与认证技术(3.4.4 密码学领域的中国智慧和中国贡献)
-3.5 安全协议与协议安全
-3.6 应用软件(系统)安全实现(上)
-3.6 应用软件(系统)安全实现(下)
--思考与讨论:微服务架构与SOA架构、巨石架构在安全性方面的优劣。提示:请提前阅读扩展阅读之《微服务架构与SOA架构、巨石型架构的比较》
--拓展讨论:你了解CMM/CMMI吗?它对软件安全性有何意义
-3.7 备份与灾难恢复技术
-扩展阅读:中华人民共和国《密码法》,2020年1月1日实施
-延伸讨论:国家对密码管理是如何分类的呢?各自应用场景是什么?
-请分别说出两种以上的常用的对称加密算法、两种以上的常用的非对称加密算法、两种以上的常用的摘要算法。
-4.2 防火墙技术(上)
-4.2 防火墙技术(下)
-4.3 脆弱性与漏洞检测及防范技术(上,漏洞分类及检测分析)
--4.3 脆弱性与漏洞检测及防范技术(上,漏洞分类及检测分析)
-4.3 脆弱性与漏洞检测及防范技术(下,脆弱性攻击防范技术)
--4.3 脆弱性与漏洞检测及防范技术(下,脆弱性攻击防范技术)
-4.4 恶意代码检测及防范技术(上,概念、分类及特征)
-4.4 恶意代码检测及防范技术(下,分析检测与防范治理)
--4.4 恶意代码检测及防范技术(下,分析检测与防范治理)
--研究型学习材料:病毒导致手机爆炸,是确有可能,还是耸人听闻?
--研究型讨论:病毒导致手机爆炸,是确有可能,还是耸人听闻?
-4.5 入侵检测技术(上)
-4.5 入侵检测技术(中)
-4.5 入侵检测技术(下)
-“IPv4+NAT”方案 与 IPv6方案各自的优缺点是什么?
-思考与讨论:伪基站是个什么鬼?它对移动互联的安全威胁是什么?
-5.1 主动防御的概念及技术体系
-5.2 入侵防御与入侵容忍技术
-5.3 蜜罐与蜜网技术
-5.4 沙箱技术
--5.4 沙箱技术
-5.5 可信计算与可信平台(上)
-5.5 可信计算与可信平台(下)
-- 讨论:综合辅助材料和你的理解,你能给可信性来一个定义吗?如果我觉得你的定义更好,那下次开课我就有可能用你的定义,并以你的名字来命名哦!!!
-5.6 移动目标防御和拟态防御技术
-6.1 网络安全智能分析的概念与技术体系
-6.2 网络安全风险评估技术
-6.3 网络安全态势感知技术
-6.4 网络安全威胁情报技术
-6.5 网络安全攻击反制技术
-7.1 网络安全度量、分析与测评概述
-7.2 网络安全指标体系(上)
-7.2 网络安全指标体系(下)
-7.3 网络安全度量技术
-7.4 网络安全分析技术
-7.5 网络安全测评技术
-思考与讨论:开源模式的大量应用,对于信息系统安全有何影响?
-8.1 云计算安全技术
-8.2 移动互联安全技术
--研究型讨论:移动优先索引的大趋势对网页安全设计有何影响?
-8.3 物联网安全技术
-8.4 工业控制系统及工业互联网安全技术
-8.5 大数据安全技术(上)
-8.5 大数据安全技术(下)
-8.6 人工智能与网络安全
--思考与讨论:人类网络安全专家会被人工智能淘汰吗?各自优劣如何?
-8.7 量子通信安全技术
-8.8 区块链安全技术
-辅助性阅读材料中给出了信息物理融合系统的简要介绍。请按照本章网络空间信息系统新形态新应用安全技术的思路,来思考一下其安全性问题。