工业控制系统信息安全管理、入侵工业控制系统讨论

admin 2021年4月3日19:59:44评论40 views字数 2839阅读9分27秒阅读模式

有价值的内容,转载,留作参考资料……


工业控制系统信息安全事数据采集与监控(SCADA)、分布式控制系统(DCS)、过程控制系统(PCS)、可编程逻辑控制器(PLC)等工业控制系统广泛运用于工业、能源、交通、水利以及市政等领域,用于控制生产设备的运行。一旦工业控制系统信息安全出现漏洞,将对工业生产运行和国家经济安全造成重大隐患。随着计算机和网络技术的发展,特别是信息化与工业化深度融合以及物联网的快速发展,工业控制系统产品越来越多地采用通用协议、通用硬件和通用软件,以各种方式与互联网等公共网络连接,病毒、木马等威胁正在向工业控制系统扩散,工业控制系统信息安全问题日益突出。2010年发生的“震网”病毒事件,充分反映出工业控制系统信息安全面临着严峻的形势。与此同时,我国工业控制系统信息安全管理工作中仍存在不少问题,主要是对工业控制系统信息安全问题重视不够,管理制度不健全,相关标准规范缺失,技术防护措施不到位,安全防护能力和应急处置能力不高等,威胁着工业生产安全和社会正常运转。对此,各地区、各部门、各单位务必高度重视,增强风险意识、责任意识和紧迫感,切实加强工业控制系统信息安全管理。

加强工业控制系统信息安全管理的重点领域包括核设施、钢铁、有色、化工、石油石化、电力、天然气、先进制造、水利枢纽、环境保护、铁路、城市轨道交通、民航、城市供水供气供热以及其他与国计民生紧密相关的领域。关工业生产运行、国家经济安全和人民生命财产安全。

大家如何看待这些问题?

From:http://zone.wooyun.org/content/213

xsser (十根阳具有长短,世上人多心不齐) | 2012-05-13 15:02

"随着计算机和网络技术的发展,特别是信息化与工业化深度融合以及物联网的快速发展,工业控制系统产品越来越多地采用通用协议、通用硬件和通用软件,以各种方式与互联网等公共网络连接,病毒、木马等威胁正在向工业控制系统扩散,工业控制系统信息安全问题日益突出" 我觉得这句话是关键

zeracker (玫瑰不叫玫瑰,芳香依旧!) | 2012-05-13 15:07

@xsser 我感觉太不安全了。太恐怖了 银行押钞车存在监控管理系统,我们的手机时时刻刻被监控着,恐怖。不敢看下去了。

horseluke (微碌) | 2012-05-13 21:21

其实之前也讨论过:http://zone.wooyun.org/content/106

但也许真正涉及工控生产的人并不多,以及可能的相关行规和气氛不同,所以没多少人提交也是不奇怪的。


xsser (十根阳具有长短,世上人多心不齐) | 2012-04-27 16:49

为毛我看到什么信息安全标准规范cissp之类的就想吐呢

太恶心了,我觉得这些东西太死板了,没有生命,天天忽悠老板往上忽悠有意思么?

shine (shield) | 2012-04-27 17:30

哈哈!标准都是限制思想自由的,都想一劳永逸嘛!

xsser (十根阳具有长短,世上人多心不齐) | 2012-04-27 17:31

@shine 精辟

_Evil (性趣是最好的老师.) | 2012-04-27 18:08

中国是什么地方呢?官腔.应试教育.拼爹,黑暗.........

horseluke (微碌) | 2012-04-27 22:47

安全不是都得要有些标准可循么?不过不知道这个标准是啥东西

kamatyo | 2012-04-28 07:33

标准一般都很粗啊,只有指导性质,同样遵循某个标准不同的人做的事可能很有区别,这是体现能力所在。

况且标准会根据实际修订,虽然往往滞后,但对规范群体行为很有裨益,极大提高整体效率。当然牛人应该为制定好的规范标准贡献力量。

kamatyo | 2012-04-28 07:36

我很少看到国内有完整的针对信息安全测试方面的标准,一方面这个真的很难写,另一方面可能牛人往往有lz的这种思想。但OWASP确实做了不少这样的事情。

p.z (卖了菜刀去换药) | 2012-04-28 10:16

所以说你还没悟道

xsser (十根阳具有长短,世上人多心不齐) | 2012-04-28 10:28

@kamatyo 从实际出发而不是从想象出发,就这一点很多人就没有做到,规范自然有他的好处和想表达的东西,第一个去归纳出来的人是值得敬佩的,但是互联网发展这么快,不能体会里面真正的思路和含义而照搬的人是可悲的

kamatyo | 2012-04-28 11:28

@xsser 恩,可能我们视角不同,在国企供职多年,充分感受到规范和标准对国企相关行业的重要性,面对这些行业的信息安全,在某些方面可能遵循比创新更重要些。

@p.z 我不知道何为道,从现状看,更多行业中,如传统行业,需要更好的规范去指导他们,这是亟需的。

我其实看到这些标准也头痛,例如等保,一千个人眼里有一千种等保,行业信息安全工作者们应该为建立行业信息安全标准规范而努力。

xsser (十根阳具有长短,世上人多心不齐) | 2012-04-28 11:43

@kamatyo 对的,可能是我互联网行业出身的缘故

horseluke (微碌) | 2012-04-28 12:43

@kamatyo 国企,或者更通用点讲,传统企业,貌似都存在有规范却不执行的问题吧?wooyun上存在的这类漏洞不少,搞到CNVD现在貌似都不收录地方类别的了。

horseluke (微碌) | 2012-04-28 13:51

也顺带问问@kamatyo 对此文的看法:2010-05-08 《刚刚写好的有关工业控制安全现状的一篇文章,希望大家能够一起来讨论工业控制系统安全这个话题》:http://bbs.cisps.org/viewtopic.php?p=163725

kamatyo | 2012-04-28 14:04

@horseluke 你说的和这篇文中提到的情况确实存在,包括重要大型企业。这里面跟现存制度有很大关系,包括部门之间的隔阂(工控系统管理部门往往不是信息安全管理部门,而且比信息部门地位高),这些比技术问题复杂多了。另一个问题就是不敢随意动,越不敢动越不动,安于现状,只要不出事就好,所以造成现在的局面,并且暂时很难打破。

工控系统很脆弱,如果不是物理隔离,老早被搞成马蜂窝了。也就是震网以后关注的人开始多了,所以威胁越来越大。

如果某关键行业的工控系统需要评估和加固,我估计除了国家队,没有哪个企业敢接这种活。

iucker | 2012-04-28 19:28

大家何必这么鄙视这个标准呢,这个标准可是养活了不少人呐,哈哈

文章来源于lcx.cc:工业控制系统信息安全管理、入侵工业控制系统讨论

相关推荐: Heartbleed 蜜罐脚本,OpenSSL 心脏出血漏洞蜜罐脚本,抓exp代码

这个Perl脚本侦听TCP端口443,并响应完全伪造的SSL的心跳反应,除非它检测到类似于贾里德斯塔福德([email protected])演示中使用了CVE-2014-0160“Heartbleed'一个字节模式的开始。 以root权限端口运行…

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2021年4月3日19:59:44
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   工业控制系统信息安全管理、入侵工业控制系统讨论http://cn-sec.com/archives/324779.html

发表评论

匿名网友 填写信息