2024年工业控制网络安全态势白皮书

21.前言 42.2024年工控安全相关政策法规标准 5 5 5 2.5《网络安全标准实践指南——网络安全产品 7 7 8 2.14《关于提升新能源和新型并网主体涉网安全能力服 3.2024年典型工控安全事件 12 13 13 14 14 153 15 16 16 4.工控系统安全漏洞概况 5.联网工控设备分布 23 33 356.工控蜜罐数据分析 7.工业互联网安全发展现状及未来展望 578.总结 参考文献 604《2024年工业控制网络安全态势白皮书》，读者可以通过报告了解2024年工5工业互联网的安全体系建设，为工业互联网的通过对2024年度发布的一系列政策法规标准进行梳理，并整合各大工业信息安全指南从安全管理、技术防护、安全运营和责任落实四个方面提出33项基线要求，重点推动解决走好新型工业化道路过程中工业控制系统网络62.3《工业互联网标识解析体系“贯通”行动计划系“贯通”行动计划（2024-2026年）》（以下简称《行动计划》）。《行动计划》明确总体目标为“到2026年，建成自主可控的标识解析体系，在制造业及经济社会重点2.4《工业领域数据安全能力提升实施方案工业和信息化部发布《工业领域数据安全能力提升实施方案（2024-2026年）》（以下监管能力、提升数据安全产业支撑能力。《实施方案》明确提出到2026年底工业领域2.5《网络安全标准实践指南——网络安全产——网络安全产品互联互通资产信息格式》。《网络安全标准实践指南》聚焦网络安7准《数据安全技术数据分类分级规则》（以下简称《规则》），以推动国家数据分类大学等36家单位共同研制，并在国家数据安全工作协调机制的指导下编制完成。《规2.7《工业和信息化领域数据安全风险评估实施细则（试行和信息化领域数据处理者规范开展数据安全风险评估工作，提8《工业网络安全态势感知技术规范》（以下简称《规范》）正式获批，于2024年9月9互联网安全分类分级管理提供指导，助力企业网络安全2.14《关于提升新能源和新型并网主体涉网安全能力2.15《工业和信息化领域数据安全事件应急预案（序号月份出台政策法规标准1《铁路关键信息基础设施安全保护管理办法》2《工业控制系统网络安全防护指南》3《工业互联网标识解析体系“贯通”行动计划（2024-2026年）》4《基于隐私计算的电力数据共享业务互联互通接口规范（征求意见稿）》52月《2024年电力安全监管重点任务》 《工业领域数据安全能力提升实施方案（2024-2026年）》《网络安全标准实践指南——网络安全产品互联互通资产信息格式》《数据安全技术数据分类分级规则》3部分:采用非对称技术的机制》、《信息技术安全技术实体鉴别第4部分:采用密码校验函数的机制》、《信息技术安全技术信息安全管理监视、测量、分析和评价》《全国网络安全标准化技术委员会2024年度工作要点》《工业和信息化领域数据安全风险评估实施细则（试行）》《电力网络安全事件应急预案》《网络安全物联网安全与隐私家庭物联网指南》《工业领域云安全实践指南》《人工智能安全治理框架》《网络安全标准实践指南——敏感个人信息识别指南》《网络数据安全管理条例》《工业网络安全态势感知技术规范》《工业互联网企业网络安全第1部分：应用工业互联网的工业企业防护要求》《工业互联网企业网络安全第2部分：平台企业防护要求》《工业互联网企业网络安全第3部分：标识解析企业防护要求》《工业互联网与电力行业融合应用参考指南（2024年）》《关于提升新能源和新型并网主体涉网安全能力服务新型电力系统高质量发展》《工业和信息化领域数据安全事件应急预案（试行）》《工业和信息化领域数据安全合规指引》《新型工业控制蓝皮书》《电力监控系统安全防护规定》《保护关键基础设施(计算机系统)条例草案》以下将介绍2024年发生的一些典型工控安全事件，通过这些案例，可以更清晰地蒂尼海事集团（FincantieriMarineGroup，FMG）向缅因州监管机构提交了一封违规通国海军学院在2023年4月的报道称，该造船厂建造了美国海军的自由级濒海战斗舰和实施网络攻击，导致沃洛格达地区38个村庄陷入黑暗，将面临最长达8年的监禁。该“我们已经完成对黑客切断沃洛格达地区38个定居点电力供应一事的刑事调查。”俄营，这类攻击在过去是十分罕见的。去年11月，宾夕法尼亚州也遭到了类似的网络攻击，当时美国官员指责伊朗是幕后黑手。缪尔舒镇城市经理RamonSanchez告诉CNN统操作水罐的权限。Sanchez在一封电子邮件中表示，被攻击的水罐溢出了大约30-45政府建议各州官员制定安全计划，保护他们的水坏了乌克兰10个地区的能源、水务、供暖供应商的信息和通信系统。在某些情况下，Sandworm会通过操纵软件供应链或者利用软件提供商的权限来进入目标网络，也可能部署被篡改的软件或者利用软件漏洞，成功渗透到系统中。CERT-UA对受影响实体的LOADGRIP、GOSSIPFLOW等恶意软件对乌克兰公共事业供应商进行攻击。乌克兰机构认为，这些攻击的目的是增强俄罗斯导弹对目标基础设施中，该小组利用了主要的入侵向量，从漏洞的Web服务到可信赖的关系。HellHounds攻破之后。迄今为止，已确认其入侵了48个俄罗斯受害者，包工业公司和电信供应商。有证据表明，自2021年以来，该威胁行为者一直在针对俄罗运营商最新消息，“西雅图港，包括西雅图-塔科马机场的系统中断仍在继续。港口团3.11勒索组织利用Veeam软件漏洞攻击尼日利亚的关键基础设施2024年9月13日，尼日利亚计算机应急响应中心（警告勒索组织正在攻击尼日利亚的关键系统。攻击者利用VeeamBackupandReplication（VBR）软件中的一个高危漏洞（CVE-2023-27532，CVSSv3：7.5分）进行攻击，并且此次事件涉及Phobos勒索组织。CVE-2023-27532击者未经授权访问敏感数据，包括存储在Veeam配置数据库中的加密和明文凭据。攻勒索组织利用此Veeam漏洞攻击尼日利亚的云基础设施。成功入侵网络后，攻击者部量寻呼机（BP机）爆炸事件。黎巴嫩真主党第一时间发布消息称，爆炸发生在当地时4000人受伤，其中约500人双目失明前对以色列的导弹袭击。美国试图通过制裁阻止伊朗为其核计划和导弹计划提供资金。序号时间国家/地区行业方式影响1美国制造业未知安全设备的远程命令注入漏洞被放在暗网出售2美国制造业勒索软件海军造船厂遭泄露近17000人信息32月德国制造业配置错误公司密钥等敏感数据遭暴露42月法国制造业勒索软件1.5TB数据遭泄露52月俄罗斯能源业木马攻击地方电网遭攻击，38个定居点大停电6制造业勒索软件公司遭索要高额赎金，并被威胁泄露数据7俄罗斯基础设施勒索软件87000个传感器遭到禁用84月美国基础设备漏洞水处理设施遭攻击，水罐溢出设施设施94月202122232425乌克兰俄罗斯美国乌克兰英国美国美国美国美国尼日利亚黎巴嫩英国美国海湾地区伊朗法国基础设施能源业能源业多行业制造业制造业能源业能源业能源业制造业能源业能源业制造业物流业物流业基础设施通信业通信业交通业水利业水利业基础设施能源业能源业制造业恶意软件漏洞攻击木马攻击恶意软件恶意软件失误勒索软件勒索软件恶意软件恶意软件勒索软件后门程序恶意软件勒索软件勒索软件未知勒索软件多处关键基础设施被破坏800台远程监控设备被劫持，用于银行账户盗窃IT公司、政府、航天工业公司等48个组织遭攻击。工厂生产被迫中断市部分供暖停止两天核设施长期暴露关键安全信息240G敏感信息遭泄露油田服务商运营停止生产能力受损超级机场瘫痪、航班延误云基础设施遭攻击并被索要赎金寻呼机爆炸造成大量人员伤亡19个火车站遭到网络攻击1400多万人用水受到影响大海湾地区关键基础设施遭到攻击核设施等多部门遭网络攻击75000个电子邮件地址和400000行用户数据遭泄露随着工业互联网、工业4.0及5G网络的蓬勃兴起，传统工业生产模式正加速向智成为常态，无论是PLC（ProgrammableLogicController，可编程逻辑控制器）、DCSAcquisition，数据采集与监视控制系统），还是各类工自动化公司（mySCADA）、施耐德（Schneider）等工业控制系统厂商均被发现包含各种信息安全漏洞。谛听团队采集到的工控漏洞数据显示，2024年工控安全漏洞数量较漏洞走势如图4-1所示。根据图表显示，2015年至2020年间，工控领域的漏洞数量呈统进行攻击，从而导致工控漏洞的不断增加。自2021年起，工控漏洞数量迎来了一个转折点，从上年的568条下降至152条，之后漏洞数量总体呈出V字形的走势，2022现的漏洞数量达到了207条，显著高于2023年的119条。我们的团队推测这一变化的原因是多方面的。首先，不同于日新月异的IT行业，工业控制领域较为成熟，相关产手段的影响下，2015-2020期间发现的新增漏洞中，多年长期运行在工控系统中的“存量”漏洞具有很大占比，到了2020年，这类“存量”漏洞的挖掘达到顶峰，而随着新洞7个。相较于去年，漏洞数量增加了88个，各种危险级别的漏洞数量都有所增长。其中，低危漏洞相较于去年依然维持约3%的总数占比，没有较大变化。高危漏洞数量2023年的71%下降到了59%。2024年的中危漏洞相较于去年的数量出现了大幅度的增加，并且在2024年的整体工控漏洞数量中占据较大的比例。由此可见，2024年工如图4-3是2024年工控系统行业厂商漏洞数量柱状图，图中数据显示，西门子38个漏洞。此外，台达电子工业（DeltaElectronics）、研华科技（Advantech）、捷克工业自动化公司（mySCADA）、施耐德（Schneider）等厂商也存在着一定数量的工控全漏洞。虽然相较于前两年来看，近几年的安全漏洞数量维持在较低水平，但是2023年、2024年的安全漏洞数量呈现显著的上升趋势。各厂商应当密切关注工控行业漏洞，济发展的基本要求，也是社会稳定运行的重要基础。根据2024年工业和信息化部印发“谛听”网络空间工控设备搜索引擎共支持31种服务的协议识别，表5-1展示了工控协议概述端口工控协议概述502/5034911502/503491147808100014800ModbusTridiumNiagaraFoxSSL/NiagaraFoxBACnetATGsDevicesMoxaNPortTridium公司专用协议，用于智能电网等领域智能建筑、基础设置管理、安防系统的网络协议智能建筑的通信协议工控协议虚拟串口协议EtherNet/IP44818以太网协议SiemensS7西门子通信协议DNP320000分布式网络协议Codesys2455PLC协议ilonSmartserver1628/1629智能服务器协议RedlionCrimson3789工控协议IEC60870-5-1042404IEC系列协议OMRONFINS9600欧姆龙工业控制协议CSPV42222工控协议GESRTP18245美国通用电器产品协议PCWorx菲尼克斯电气产品协议ProConOs20547科维公司操作系统协议MELSEC-Q5006/5007三菱通信协议opc-ua4840OPCUA接口协议DDP5002用于数据的传输和DTU管理Profinet基于工业以太网技术的自动化总线标准IEC61850-8-1IEC系列协议Lantronix30718专为工业应用而设计，解决串口和以太网通信问题物联网协议端口概述AMQP5672提供统一消息服务的应用层标准高级消息队列协议XMPP5222基于XML的可扩展通讯和表示协议SOAP8089基于XML简单对象访问协议MQTT基于客户端-服务器的消息发布/订阅传输协议摄像头协议端口概述DahuaDvr37777大华摄像头与服务器通信协议hikvision81-90海康威视摄像头与服务器通信协议ONVIF3702开放型网络视频接口标准协议“谛听”官方网站（）公布的数据为2017年以前的历史数据，若需要最新版的数据请与东北大学“谛听”网络安全团队直接联系获取。根据“谛听”图5-1显示了2024年全球工控+物联网设备暴露Top-10国家/地区可知，国家排名与2023年的排名相比基本保持不变，排名前三的国家依然是相同的。机械领域表现突出，其排名与2023年相比保持不变，仍然位列第三。本章节着重介绍图5-1全球工控+物联网设备暴露To图5-1显示了2024年全球工控+物联网设备暴露Top-10国家/地区可知，国家排名与2023年的排名相比基本保持不变，排名前三的国家依然是相同的。机械领域表现突出，其排名与2023年相比保持不变，仍然位列第三。本章节着重介绍工业互联网中设备之间的高效、可靠互联和数据交换。图5-2和图5-3露排名中，美国、加拿大、中国分别位列前三。美国的漏洞数量远超其他国家，达到143,999个。加拿大以22,427个漏洞排在第二，和美国相比，数量差距很大西班牙（10,462）、英国（7,186）、意大利（7,034）和瑞典（7,026）的漏洞数量相对图5-2全球工控设备暴露Top10柱美国是世界上工业化程度最高的国家之一，同时也是2024年全球工控设备暴露最产效率。图5-5为美国2024年暴露工控协议数量及占比。少至143998台。这一变化不仅反映了美国在工业互联网安全问题上的高度重视，也体2024年，加拿大的工控设备和物联网设备暴露数量位居全球第三，与2023年术和自动化系统，推动数字化转型。通过图5-6可以看到，在加拿大暴露的工业协议数综合来看，2024年相较于2023年，伴随工业控制互联入越来越多。加拿大工控协议设备暴露数量相比2023年略微降低。美国和加拿大作为2024年，中国暴露的工控设备数量在全球范围内依旧位居第二，相比于2023合应用，为推动经济高质量发展提供强劲动能。工信部印发《打造“5G+工业互联网”2023年，台湾在工控领域暴露的设备数量为15366台，而到了2024年，设备数量化协同、数字化管理、绿色化生产等方面的19个典型案例，充分展示了工业互联网推成热烈反响[9]。此次会议为进一步促进两岸工业互联网的也为两岸产业在全球产业链中的升级与发展与2023年相比较，北京市工控设备暴露数量排名小幅度下降，位列第三名，“十全市规模以上工业增加值同比增长6.9%，居近年来的高位，对北京经济增长的贡献率的发展，努力实现经济重振，为国家“振兴东北”的战略目标贡献了重要力量。2024《辽宁省工业领域数据安全能力提升实施方案(2024-2026年)》[12]，该文件中提到要以Modbus协议是一种被广泛应用于工业领域的通信协议，它是由Modicon公司（现施耐德电气SchneiderElect的ModbusTCP/IP。Modbus协议具有开放性、易实现等特点，被广泛应用于工业自动化、过程控制、监测管理等领域。尽管Modbus存在着安全性低、实时性弱等局限性，MoxaNPort协议是由Moxa公司开发，专为MoxaNPort串口设备联网服务器设计Association）推广和维护，用于工业控制系统中的设备数据交换。EhterNet/IP支持显示协议。NiagaraFramework是一个基于Web的开放的集成平台，能够连接和协同与Niagara生态系统紧密集成，提供了设备管理、数据采集、数据集成等功能，用于在Niagara节点之间进行高效的数据交换。OMRONFINS协议是由OMRON公司开发的一种通信协议，用于OMRO动化设备之间的数据交换，特别是用于PLC通信。该协议能够提供高效可靠的通信，间，网络战已然成为现代战争中不可或缺的一部分。网络战以其低成本高效能的特点，探测发现协议探测端口协议概述SiemensS7西门子通信协议Modbus502应用于电子控制器上的一种通用语言ilonSmartserver智能服务器协议MoxaNPort4800Moxa专用的虚拟串口协议XMPP5222基于XML的可扩展通讯和表示协议AMQP5672提供统一消息服务的应用层标准高级消息队列协议IEC60870-5-1042404IEC系列协议图5-9展示了2024年乌克兰各协议暴露设备的数量，可以看出AMQP协议暴露的设备数量总体从冲突前到24年1月下降幅度较大，后续随小有波动，但总体呈现缓慢下降趋势；Modbus协议协议在24年基本呈现平稳下降趋势；Moxa初小幅度上升，随后趋于平稳；其他协议呈现波动），“谛听”工控蜜罐在原10种协议基础上，于2022年新增了EGD协议，2023年进一些数据统计和分析后的结果。下面将对各个图且受攻击量遥遥领先其他协议，这表明Modbus协议受到的关注大幅度增加。此外，除OMRONFINs和Modbus/UDP协议外，其他协议40图6-3对中国国内流量来源的IP地址进行分析，列出了IP流量排名前十的省份。位列第二。虽然较2023年有所下降，并被北京超越，但其依然是国内流量的主要来源位。除此以外，江苏和上海的流量占比也较高，分别为13%和11%，其余各省都低于41两个地区，分别对其部署的蜜罐所捕获的攻击流量数对于Modbus协议，我们选择了部署在中国华东地区和美攻击源攻击总量攻击IP数量IP平均攻击数UnitedStates6097553UnitedKingdom2373.742Italy11562.0China9645.6Germany4812024.1Canada4683.0Spain3223Belgium2782.0Greece437.8Russia734.6表6-2美国东海岸地区Modbus蜜罐捕获攻击总量来源TOP10（数据来源“谛听”）攻击源攻击总量攻击IP数量IP平均攻击数UnitedStates30958143.8China7005.7Belgium3242.3Canada307UnitedKingdom236653.6Italy1Germany413.4Netherlands225.0Japan3374.7India2847.0根据表6-1、6-2可知，在攻击总量来源方面，中国华东地区和美国东海岸地区Modbus协议蜜罐捕获的攻击总量中，来自美国的攻击总量均显著高于其他国家，且高于去年同期数据。在攻击IP数量方面，美国仍在两个地区中均排名第一且远超于其他43国家。以表6-2为例，美国在美国东海岸地区的攻击IP数量约是排名第二的比利时的攻击源攻击总量攻击IP数量IP平均攻击数UnitedStates9123342.7China344.0Canada3835Belgium3433Netherlands52.8UnitedStates53Germany55Seychelles32UnitedKingdom32France212.0表6-4美国西海岸地区Ethernet/IP蜜罐捕获攻击总量来源TOP5（数据来源“谛听”）攻击源攻击总量攻击IP数量IP平均攻击数UnitedStates3903.0China303545.6Canada5046Belgium3735Netherlands292.144Modbus协议在工业自动化领域的广泛和长期应用，使其潜在攻击面更大，且协议的复杂度和已知安全漏洞可能吸引了更多攻击者。同时，网络中Modbus协议设备的数量和暴露程度可能也高于Ethernet/IP协议设备，从而增加了Modbus协议蜜罐受到攻击的概率。因此，虽然Modbus协议在工控系统中应用广泛，为了发现系统漏洞、测试防御机制，可能会进行大量的网络扫描和攻击模拟。“谛听”和图6-5分别展示了对Ethernet/IP和结果。其中，“E”代表Ethernet/IP协议，“M”代表Modbus协议。由也表示不同的攻击类型。环形图中的各个部45图6-4Ethernet/IP协议攻击类型占比图（数据部署蜜罐，可以收集到更全面的攻击信息，也易于发现新型攻击手段。由图6-4可知，击流量的主要攻击类型。美国西海岸地区的Ethernet/IP协议蜜罐捕获的攻击流量采用此可见以上攻击类型是对Ethernet/IP46这两个地区的工业控制设备数量庞大，将Modbus协议蜜罐部署议蜜罐捕获的攻击流量主要采用的攻击类型为M'-1仍有一些未知的攻击类型尚未被完全识别。针对这些未知攻击，仍需深入研究和47现潜在的威胁趋势和攻击模式，从而提前采取防范措施。我们的团队对2024年全年采由“谛听”网络安全团队开发并于2021年2月上线的威胁情报搜索引擎48的IP地址确实发生了工控攻击，这可以让系统更有针对性的对攻击进行防御。下面对攻击、垃圾邮件和洋葱路由攻击的IP地址，在主观判断上均可被归类为“恶意IP”，今年“命令执行与控制攻击”关联占比出现了小幅度的下降。“命令执行与控制攻击”49理过程，如电力系统、制造过程、水处理等，此类攻击所构成IP作为一种特殊的资源，其使用常常受到严格管理。这些IP会由专门的管理人员进行监管，一旦发现某用户频繁通过特定的代理IP发起攻击行为，管理人员会迅速回收该得攻击者更趋向于采用多样化的手段对工控系统进为支撑高精度数据采集，“谛听”团队同步研发了Hon种专为工业控制系统设计的网络数据捕获与协议式转换。Honeyeye不仅能够高效捕获原始网络流量，还可以将网络流量数据转换为更未来，Honeyeye将持续优化其性能，扩展对更多工控协议的支持，并计划加入对业经济发展报告（2024年）》显示，2023年我国包括安全在内的工业互联网核心产业产、确保系统与业务流程符合安全规范，从根本上降名称名称一级分类安全产品二级分类防护类产品管理类产品典型产品或服务工业防火墙、网络隔离设备、入侵检测与防御系统、防病毒软件、应用白名单、工业安全审计等态势感知、安全合规管理、身份认证管理、资产管理、补丁管理等工业互联网安全产业结构安全服务实施类服务运营类服务管理类服务咨询类服务安全集成、安全加固等安全运维管理、身份认证管理、安全结构管理等安全评估、安全咨询等技术深度融合，成为了增强工业互联网安全发现和处理潜在的安全威胁，实现边缘设备、云端和本地系统之间的安全协同与联动，信等通信运营商积极推进“5G+工业互联网”的融合应用，通过构建高可靠性的5G专国电信合作实现了5G专网全覆盖，打造了智能制造工厂，即所谓的“无人车间”。天网这种依赖于局域网的快速交换网络中更容易迅速扩散。例如，Egregor是一种专门针对企业和工业控制系统的高危勒索软件，一旦Egregor病毒侵入工控网络，就会迅速加密系统中的关键数据和文件，导致生产流程中断，严重威胁工控系统安全。5G网络与工控网络的深度融合也给工控网络安全带来了新的挑战。5G网络使得更多的物联网设强的情况下，攻击者有更多的机会找到并利用漏洞进行入侵。另外，5G技术的低延迟特性也使得攻击者能够更快地发动攻击，并在更短的时间内造成更大的破坏。面对5G会（简称“网安标委”）发布了《人工智能安全治理框架》1.0版（简称《必须考虑其对社会和环境的影响，确保技术应一、构建“工业互联网+安全生产”支撑体系，提升工业企业安全生产水平。持续建设“工业互联网+安全生产”数据平台，推动民爆行业的工业互联网融合应用。指导地方相关部门及企业加大“工业互联网+安全生产”数据平台建设力度，在确保安全生断优化，工业互联网将深入融入各个行业，推动生产方式的变革和效率的提升。未来，部门、跨平台的联合协同，不仅是大势所趋，更是保障产业安制造业与信息技术、人工智能、5G通信等新兴产业的结合，将极大地推动“智能制造”需要政府与企业之间建立更加紧密的合作关系，随着如ChatGPT、DeepSeek等大模型的问世，人工智能进入了新的发展阶段，大缘计算等技术与区块链技术相结合以提供更强大的安全保障障网络的安全，是当前研究的热点。将边缘计算与AI驱动的安全分析技术相结合，边[1]国家信息安全漏洞共享平台工业控制系统漏洞列表[EB/OL].ht