學(xué)兩會(huì)?話安全|加速提升關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全防護(hù)水平勢(shì)在必行

2021年全國兩會(huì)上，代表委員就網(wǎng)絡(luò)安全提出了很多提案與建議，聚焦數(shù)據(jù)安全、個(gè)人信息保護(hù)、網(wǎng)絡(luò)安全基礎(chǔ)設(shè)施、網(wǎng)絡(luò)安全人才培養(yǎng)、網(wǎng)絡(luò)安全學(xué)科發(fā)展、物聯(lián)網(wǎng)安全、關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)等領(lǐng)域，引發(fā)熱議。工信部長(zhǎng)肖亞慶在接受媒體采訪時(shí)稱，要平衡好發(fā)展和安全的關(guān)系，一手堅(jiān)定不移地抓發(fā)展，一手堅(jiān)定不移保證安全?？梢姡踩钱?dāng)前數(shù)字經(jīng)濟(jì)發(fā)展的重要保障，是不可或缺的基礎(chǔ)設(shè)施。特別是政協(xié)委員、安天創(chuàng)始人肖新光及360集團(tuán)創(chuàng)始人周鴻祎都提出了建設(shè)新基建的安全基礎(chǔ)設(shè)施，聚焦構(gòu)建新基建安全防能力的建議。其宏觀視野和創(chuàng)新思路，引發(fā)了工業(yè)網(wǎng)絡(luò)安全行業(yè)的強(qiáng)烈共鳴和熱烈討論。作為耕耘電力行業(yè)多年的工業(yè)網(wǎng)絡(luò)安全企業(yè)，安帝科技深切感受到關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全保障的嚴(yán)峻性和復(fù)雜性，地區(qū)之間、行業(yè)之間、不同企業(yè)之間、IT與OT之間，在經(jīng)費(fèi)資源投入上、知識(shí)儲(chǔ)備上、人才隊(duì)伍上甚至文化建設(shè)上，都存在極大的差異，而這種現(xiàn)實(shí)的盲區(qū)、短板或不平衡正是攻擊者的絕佳機(jī)會(huì)。圍繞關(guān)鍵信息基礎(chǔ)設(shè)施的網(wǎng)絡(luò)安全保障，以總體國家安全觀和“大安全”為指引，結(jié)合企業(yè)戰(zhàn)略發(fā)展方向，安帝科技先后組織多次學(xué)習(xí)討論，形成了初步共識(shí)?，F(xiàn)將兩會(huì)精神和關(guān)基防護(hù)專題討論的認(rèn)識(shí)和思考總結(jié)為風(fēng)險(xiǎn)剖析及防護(hù)思考兩部分，梳理如下。

一、關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全風(fēng)險(xiǎn)呈惡化之勢(shì)

據(jù)國家工業(yè)信息安全發(fā)展研究中心《2020年工業(yè)信息安全態(tài)勢(shì)報(bào)告》顯示，隨著工業(yè)互聯(lián)網(wǎng)、智能制造加速發(fā)展，海量工業(yè)設(shè)備泛在互聯(lián)，工業(yè)信息安全呈現(xiàn)風(fēng)險(xiǎn)威脅擴(kuò)散化、攻擊手段智能化等特點(diǎn)，針對(duì)工業(yè)領(lǐng)域的網(wǎng)絡(luò)攻擊事件、工業(yè)設(shè)備、系統(tǒng)的安全漏洞數(shù)量逐年遞增。專門攻擊工業(yè)企業(yè)OT域的APT組織數(shù)量也在增加。綜合來看，我國關(guān)鍵信息基礎(chǔ)設(shè)施面臨的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)呈惡化之勢(shì)，安全防護(hù)能力水平形勢(shì)緊迫。

一是工業(yè)領(lǐng)域的勒索攻擊成為頭號(hào)威脅。2020年，國家工業(yè)信息安全發(fā)展研究中心共跟蹤公開發(fā)布的工業(yè)信息安全事件 274件，其中勒索軟件攻擊共 92件，占比 33.6%，涉及 20余個(gè)國家的多個(gè)重點(diǎn)行業(yè)。在新冠疫情全球大流行的背景下，新冠疫情相關(guān)內(nèi)容作為釣魚誘餌對(duì)醫(yī)療衛(wèi)生、政府、教育、制造等行業(yè)的網(wǎng)絡(luò)攻擊高發(fā)。物聯(lián)網(wǎng)設(shè)備、智能聯(lián)網(wǎng)設(shè)備成為攻擊的重要目標(biāo)。

二是工業(yè)信息安全漏洞數(shù)量持續(xù)走高；2020 年，國家工業(yè)信息安全漏洞庫（CICSVD）共收集整理工業(yè)信息安全漏洞 2138 個(gè)，環(huán)比上升 22.2%。其中，通用型漏洞 2045 個(gè)，事件型漏洞 93 個(gè)，涉及 335 家廠商。在收錄的通用型漏洞中，超危漏洞 379 個(gè)，高危漏洞 899 個(gè)，高危及以上漏洞占比 62.5%。

三是專門攻擊ICS/OT的APT組織數(shù)量增加；美國知名工業(yè)網(wǎng)絡(luò)安全公司Dragos在2月25日發(fā)布的工業(yè)控制系統(tǒng)網(wǎng)絡(luò)安全年度2020總結(jié)報(bào)告顯示，在整個(gè)2020年，該公司在之前確定的11個(gè)威脅行為組織仍然積極地針對(duì)工業(yè)組織開展活動(dòng)。此外，該公司又發(fā)現(xiàn)了4個(gè)新的威脅行為組織，其動(dòng)機(jī)是確定是瞄準(zhǔn)了ICS/OT。

四是攻擊組織TTPs不斷推陳出新；工業(yè)企業(yè)的網(wǎng)絡(luò)風(fēng)險(xiǎn)急劇增長(zhǎng)和加速，首當(dāng)其沖的是影響工業(yè)流程的勒索軟件、使信息收集和過程信息盜竊成為可能的入侵，以及來自針對(duì)ICS的攻擊對(duì)手的新活動(dòng)，像EKANS（SNAKE）這類專門針對(duì)ICS的勒索軟件出現(xiàn)。另外，由于OT環(huán)境可見性的嚴(yán)重缺失，供應(yīng)鏈的風(fēng)險(xiǎn)愈發(fā)嚴(yán)峻。攻擊對(duì)手通常會(huì)慢慢地建立入侵基礎(chǔ)設(shè)施和行動(dòng)，之后的行動(dòng)往往由于之前的工作而更加成功和具有破壞性。類似SolarWinds這類史上最先進(jìn)、最復(fù)雜的供應(yīng)鏈攻擊，對(duì)工業(yè)控制系統(tǒng)的威脅尚未可知。

二、關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的主要特點(diǎn)

2020年7月公安部發(fā)布了《貫徹落實(shí)網(wǎng)絡(luò)安全等級(jí)保護(hù)制度和關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)制度的指導(dǎo)意見》，進(jìn)一步明確了加強(qiáng)等級(jí)保護(hù)和關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)的基本原則、工作目標(biāo)和具體措施。在保護(hù)工作的具體推動(dòng)過程中，因關(guān)鍵信息基礎(chǔ)設(shè)施行業(yè)，特別是能源、電力、交通、制造等領(lǐng)域，因其自身特性而面臨不小的挑戰(zhàn)。除了識(shí)別定級(jí)、主體責(zé)任、監(jiān)管制度等體制機(jī)制性挑戰(zhàn)外，還面臨OT側(cè)的歷史原因和新興技術(shù)應(yīng)用、數(shù)字空間的安全風(fēng)險(xiǎn)與實(shí)體空間安全風(fēng)險(xiǎn)交織、疊加的復(fù)雜挑戰(zhàn)。

一是存量風(fēng)險(xiǎn)與增量風(fēng)險(xiǎn)疊加；一方面，新基建背景下，5G、大數(shù)據(jù)、云計(jì)算、人工智能等大量新技術(shù)，推動(dòng)遠(yuǎn)程醫(yī)療、智慧城市、工業(yè)互聯(lián)網(wǎng)、物聯(lián)網(wǎng)等領(lǐng)域大量創(chuàng)新應(yīng)用，全新安全挑戰(zhàn)撲面而來。另一方面，能源、電力、交通、制造等行業(yè)存在大量的老舊系統(tǒng)、設(shè)備，使用傳統(tǒng)ICS系統(tǒng)的專用協(xié)議，計(jì)算資源受限、可靠性要求高、使用壽命較長(zhǎng)，設(shè)計(jì)之初就缺乏通信保護(hù)、數(shù)據(jù)加密等安全考量，導(dǎo)致在連接泛在、環(huán)境開放、應(yīng)用復(fù)雜性激增時(shí)，暴露出大量安全風(fēng)險(xiǎn)。消解存量風(fēng)險(xiǎn)、防范增量風(fēng)險(xiǎn)，在關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)中同樣突出。

二是傳統(tǒng)風(fēng)險(xiǎn)與網(wǎng)絡(luò)風(fēng)險(xiǎn)交織；2020年針對(duì)工業(yè)網(wǎng)絡(luò)的攻擊事件幾乎占據(jù)網(wǎng)絡(luò)安全新聞的頭條。航空、能源、電力、制造等眾多企業(yè)在勒索攻擊面前紛紛淪陷，以色列水務(wù)攻擊、伊朗港口攻擊等工業(yè)安全事件再次突顯網(wǎng)絡(luò)攻擊的背后地緣政治的爭(zhēng)奪。美國佛羅里達(dá)州小鎮(zhèn)Oldsmar供水系統(tǒng)的網(wǎng)絡(luò)攻擊讓美國的監(jiān)管機(jī)構(gòu)和情報(bào)機(jī)構(gòu)驚出一身冷汗。當(dāng)前新冠疫情對(duì)全球政治、經(jīng)濟(jì)、文化、社會(huì)等領(lǐng)域產(chǎn)生了深刻影響，工業(yè)網(wǎng)絡(luò)正在成為地緣政治爭(zhēng)斗的主戰(zhàn)場(chǎng)，地緣政治競(jìng)合加劇，網(wǎng)絡(luò)安全形勢(shì)愈加復(fù)雜，傳統(tǒng)地緣政治風(fēng)險(xiǎn)、社會(huì)風(fēng)險(xiǎn)與網(wǎng)絡(luò)安全風(fēng)險(xiǎn)交織輝映互相滲透。

三是IT風(fēng)險(xiǎn)與OT風(fēng)險(xiǎn)互為影響；IT、OT、CT、云和第三方系統(tǒng)之間日益增強(qiáng)的連接性為攻擊者提供了更多進(jìn)入關(guān)鍵系統(tǒng)的方式。抵御這些新漏洞至關(guān)重要，也充滿了挑戰(zhàn)，這導(dǎo)致探測(cè)、調(diào)查和補(bǔ)救網(wǎng)絡(luò)安全威脅和事件變得更加困難。傳統(tǒng)上由IT網(wǎng)絡(luò)進(jìn)行突破，形成據(jù)點(diǎn)，進(jìn)而攻陷OT網(wǎng)絡(luò)的案例已不新鮮，未來由OT網(wǎng)絡(luò)進(jìn)行突破而攻陷IT網(wǎng)絡(luò)的情況也會(huì)大概率發(fā)生。特別是數(shù)字化、網(wǎng)絡(luò)化、智能化加速發(fā)展，企業(yè)紛紛采用標(biāo)準(zhǔn)化的通用IT技術(shù)、統(tǒng)一的工業(yè)協(xié)議和開放的應(yīng)用界面，工業(yè)控制網(wǎng)絡(luò)的隔離邊界恐被打破，讓OT安全防護(hù)面臨新的考驗(yàn)。

三、加速提升關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全防護(hù)水平的思考

在不確定性和風(fēng)險(xiǎn)挑戰(zhàn)劇增的“新常態(tài)”下，關(guān)鍵信息基礎(chǔ)設(shè)施相關(guān)的運(yùn)營方、監(jiān)管方、安全能力供給方如何轉(zhuǎn)“?！睘椤皺C(jī)”？需要各方認(rèn)真思考，系統(tǒng)謀劃。

1、加快出臺(tái)《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》及相關(guān)標(biāo)準(zhǔn)

目前我國在關(guān)鍵信息基礎(chǔ)設(shè)施的網(wǎng)絡(luò)安全保護(hù)標(biāo)準(zhǔn)方面相比發(fā)達(dá)國家比較滯后，相關(guān)識(shí)別、保護(hù)、控制、評(píng)估的標(biāo)準(zhǔn)如《關(guān)鍵信息基礎(chǔ)設(shè)施邊界確定方法》、《關(guān)鍵信息基礎(chǔ)設(shè)施安全保障指標(biāo)體系》、《關(guān)鍵信息基礎(chǔ)設(shè)施安全防護(hù)能力評(píng)價(jià)方法》、《關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全保護(hù)基本要求》、《關(guān)鍵信息基礎(chǔ)設(shè)施安全控制措施》、《關(guān)鍵信息基礎(chǔ)設(shè)施安全檢查評(píng)估指南》、《關(guān)鍵信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全框架》尚未正式發(fā)布。《關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)條例》擬對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施的范圍、運(yùn)營者安全保護(hù)、產(chǎn)品和服務(wù)安全、監(jiān)測(cè)預(yù)警、應(yīng)急處置和檢測(cè)評(píng)估以及法律責(zé)任等進(jìn)行明確，但仍未發(fā)布。在關(guān)基保護(hù)的實(shí)踐中，僅以網(wǎng)絡(luò)安全法和等級(jí)保護(hù)2.0還不足以形成細(xì)粒度落實(shí)和切實(shí)有力的抓手。

2、夯實(shí)基礎(chǔ)安全根基

目前關(guān)基網(wǎng)絡(luò)安全防護(hù)存在的主要問題中，操作系統(tǒng)老舊、明文口令橫行、遠(yuǎn)程訪問寬松、網(wǎng)絡(luò)隔離不足、反AV自動(dòng)更新不力，均屬于網(wǎng)絡(luò)安全滑動(dòng)標(biāo)尺模型中基礎(chǔ)結(jié)構(gòu)安全的內(nèi)容，也是其反復(fù)強(qiáng)調(diào)需要持續(xù)的安全監(jiān)控以使資產(chǎn)、威脅、風(fēng)險(xiǎn)可見的原因。在工業(yè)領(lǐng)域，資產(chǎn)可見、配置可靠、漏洞可管、補(bǔ)丁可用，是工業(yè)網(wǎng)絡(luò)信息系統(tǒng)可管理的基礎(chǔ)，也成為工業(yè)網(wǎng)絡(luò)可防御的堅(jiān)實(shí)基礎(chǔ)。正如疫情防控所需要的良好衛(wèi)生習(xí)慣，網(wǎng)絡(luò)運(yùn)營也需要持續(xù)的網(wǎng)絡(luò)衛(wèi)生。

3、建強(qiáng)威脅情報(bào)能力

無論是戰(zhàn)略級(jí)、戰(zhàn)術(shù)級(jí)或運(yùn)營級(jí)威脅情報(bào)，其在網(wǎng)絡(luò)安全防護(hù)中都起到指導(dǎo)、影響、制約決策的任用。網(wǎng)絡(luò)安全事件發(fā)生前的預(yù)警、事中的協(xié)同響應(yīng)、事后的取證溯源，無不依賴網(wǎng)絡(luò)威脅情報(bào)平臺(tái)的支撐。在建強(qiáng)國家級(jí)、區(qū)域級(jí)、行業(yè)級(jí)、企業(yè)級(jí)網(wǎng)絡(luò)威脅情報(bào)平臺(tái)的能力基礎(chǔ)上，應(yīng)把握總體國家安全觀的戰(zhàn)略指引，把威脅情報(bào)共享、高效利用作為優(yōu)先建設(shè)重點(diǎn)，以期在關(guān)鍵時(shí)刻頂用、管用。加強(qiáng)對(duì)敵手、敵情的研究，利用相對(duì)成熟的網(wǎng)絡(luò)威脅建模方法，如NSA/CSS威脅框架、MITRE的ATT@CK威脅框架，充分理解敵手的TTPs，掌握相應(yīng)緩解措施，了解敵手、敬畏敵手，方可打敗敵手。

4、加強(qiáng)供應(yīng)鏈安全保障

SolarWinds供應(yīng)鏈攻擊事件再次敲響警鐘，高能力的攻擊組織有充足的資源、高級(jí)的能力和足夠的耐心攻陷其瞄準(zhǔn)的目標(biāo)。這也不是一個(gè)純粹的技術(shù)問題或單純的網(wǎng)絡(luò)安全問題，是系統(tǒng)性的國家安全問題。ICT供應(yīng)鏈已經(jīng)與產(chǎn)品供應(yīng)鏈與服務(wù)供應(yīng)鏈，甚至與物流、信息流和資金流融為一體。毫無疑問，為關(guān)基所有方/運(yùn)營方提供任何產(chǎn)品、服務(wù)的供應(yīng)商，都天然成為其供應(yīng)鏈的關(guān)鍵環(huán)節(jié)，也必然成為威脅行為體的攻擊目標(biāo)。各類安全廠商在參與構(gòu)建關(guān)基防御體系中，亦然成為關(guān)基運(yùn)營方的供應(yīng)鏈中重要的一環(huán)，確保其不能成為供應(yīng)鏈的薄弱點(diǎn)或攻擊入口點(diǎn)。

5、完善應(yīng)急響應(yīng)體系

網(wǎng)絡(luò)安全事件響應(yīng)能力能否有效應(yīng)對(duì)新常態(tài)下的復(fù)雜局面？應(yīng)急響應(yīng)團(tuán)隊(duì)可能無法消除網(wǎng)絡(luò)安全事件帶來的所有負(fù)面影響，那能否抑制安全事件不要上升到“危機(jī)”的程度。危機(jī)造成的聲譽(yù)、品牌、運(yùn)營、客戶和供應(yīng)商關(guān)系風(fēng)險(xiǎn)持續(xù)增加，相關(guān)法律和財(cái)務(wù)風(fēng)險(xiǎn)也在所難勉。盡管任何組織的網(wǎng)絡(luò)安全危機(jī)管理生命周期都強(qiáng)調(diào)完備的預(yù)案、協(xié)同的響應(yīng)和高效的恢復(fù)，但這仍然是一項(xiàng)涉及多個(gè)部門、多種能力、多個(gè)利益相關(guān)方的工作，更加需要全局的視野和全域的管理。比如協(xié)同響應(yīng)需要組織在治理、戰(zhàn)略、技術(shù)、商業(yè)運(yùn)作、風(fēng)險(xiǎn)和合規(guī)以及糾正與改進(jìn)方面充分協(xié)調(diào)、共同推進(jìn)。此次我國政府應(yīng)對(duì)新冠病毒疫情的舉措，也對(duì)網(wǎng)絡(luò)安全危機(jī)的響應(yīng)提供了有益的借鑒和指導(dǎo)。

6、深入推進(jìn)實(shí)戰(zhàn)攻防演練

關(guān)鍵信息基礎(chǔ)設(shè)施需要實(shí)戰(zhàn)化、體系化、常態(tài)化的安全防護(hù)業(yè)已成為共識(shí)。基于網(wǎng)絡(luò)攻防對(duì)抗不宣而戰(zhàn)、無平戰(zhàn)之分的特點(diǎn)，在構(gòu)建防御體系和安全運(yùn)營過程中必須堅(jiān)持持續(xù)對(duì)抗思維。關(guān)基防御體系的有效性最終要靠高能力攻擊組織的能力來檢驗(yàn)。而在這種攻擊發(fā)生之前，能否感知預(yù)警，發(fā)生之后能否抗得住過得去，都需要用我們持續(xù)以實(shí)戰(zhàn)的理念、方法和手段來先行檢驗(yàn)。鑒于此，當(dāng)前仍要持續(xù)鞏固近年來實(shí)戰(zhàn)化攻防演練的成果，真正來檢驗(yàn)防護(hù)能力，檢驗(yàn)應(yīng)急響應(yīng)機(jī)制，深入推進(jìn)實(shí)戰(zhàn)、實(shí)效的達(dá)成，敢于暴露真問題，真正解決深層次問題，謹(jǐn)防走過場(chǎng)、圖過關(guān)、甚至成為安全廠商的秀場(chǎng)和背書！

7、培育網(wǎng)絡(luò)安全文化

人的因素、人性的弱點(diǎn)是網(wǎng)絡(luò)安全最大的挑戰(zhàn)和不確定性。網(wǎng)絡(luò)攻防對(duì)抗，本質(zhì)上是攻防兩端人力的較量。大多數(shù)安全事件都是人為因素造成的。網(wǎng)絡(luò)安全文化是人們對(duì)網(wǎng)絡(luò)安全的認(rèn)識(shí)、信仰、態(tài)度、規(guī)范和價(jià)值觀，以及這些知識(shí)在與信息技術(shù)交互中的表現(xiàn)方式。網(wǎng)絡(luò)安全文化是組織文化的重要組成部分。關(guān)基行業(yè)在推動(dòng)網(wǎng)絡(luò)安全防御體系（技術(shù)、管理、控制）的過程中，相關(guān)監(jiān)管方、安全能力供給方、用戶方都是組織網(wǎng)絡(luò)安全文化的參與者、推動(dòng)者、建設(shè)者。真正使網(wǎng)絡(luò)安全意識(shí)、網(wǎng)絡(luò)衛(wèi)生習(xí)慣內(nèi)化于心外化于行。