​​趋势报告 | 互联生产体系下的网络数据安全（上）
 

数字化和网络化为企业带来了巨大的增长潜力，对于未来几年的德国经济也愈发重要[1，2]。据管理和战略咨询公司麦肯锡估计，到2025年，德国公司可以通过持续的数字化额外创造1260亿欧元的附加价值[3]。从整体上看，2018年制造业创造了德国国内生产总值的四分之一以上[4]。尽管数字化能为生产带来巨大的增长潜力，但德国大公司生产中的数字化率只有不到30%--中小型企业的数字化率甚至只有20%[5]。其中最大的障碍之一就是网络安全[6]。过去生产中的重点主要是生产设备的功能安全，而现在封闭的网络物理系统（CPS）转变为开放式，所以网络安全正日益成为人们关注的焦点[7]。然而漫长的生命周期也导致了以下问题，比如系统不再更新，补丁包过时、难以使用，而且可用的网络协议不再安全[8]。

 

由于全球联网，网络犯罪不再是一个地方性问题，而是涉及所有工业国家的全球性问题。特别是对工业自动化系统的攻击，以及公开的网络安全事件数量正在迅速增加[9, 10]。比如，勒索软件勒索汽车制造商、犯罪分子利用网络对德国一家钢铁厂的高炉进行物理破坏，这些都是网络犯罪的新形式。[11, 12]。

 

因此，弗劳恩霍夫生产技术研究所（Fraunhofer Institute for Production Technology IPT）根据目前的规范和标准，开发了一个整体的生产安全性检查标准体系（Production Security Readiness Check, PSRC），向制造企业展示他们目前的安全水平以及他们面临的风险。根据公司的安全水平，"PSRC "能够通过一些操作提高公司系统的安全性。

 

保护对象

电子信息必须受到保护，这对信息技术系统提出了某些要求，即信息技术安全的保护目标[13, 14]——保密性和完整性，防止未经授权者获取机密信息或信息被未经授权的第三方改变[15,16]。同时信息技术系统最好还要实现可用性，也就是对信息的访问应该得到永久的保证[17]。因此数据保护的核心目标就是数据和系统的保密性、完整性和可用性[12, 16]。除了这些核心目标外，还有其他保护目标，包括真实性、问责制、透明度和应急性[18]。对信息技术系统的要求，也就是保护目标，可能是由公司决定的如关键数据的保密存储与处理，也可能是由法律和标准规定的。

 

以前德国没有统一的、普遍适用的信息技术安全法，与此相关的法律规定分布在众多不同的法律中[19]。2015年《信息技术安全法》的生效有针对性地提高了公司信息技术系统的安全性[20]，还能保护关键基础设施的运营商（BSIG，Gesetz über das Bundesamt für Sicherheit in der Informationstechnik）以及电信和电信媒体供应商（TKG & TMG, Telekommunikationsgesetz und Telemediengesetz）[19, 21]。德国的工业制造业及相关的价值链没有被明确地列为保护对象，因此在这个行业，除了一些设计关键基础设施的法律规定之外，没有任何信息技术安全的法律基础[12]。有大量来自不同机构的不同标准和规范涉及信息技术安全[12]。图1显示了促进信息技术安全最重要的法律、标准和机构。
 

 

信息技术视角下的工业生产

当今工业生产的一个目标是，提高生产力并降低成本，在生产中使用自动化生产设施就是为了实现这一目标。当今工业自动化的各个领域构成了自动化金字塔（参见图2，左）[23]。

自动化金字塔描绘了公司沟通关系中互相依存的六个不同层次。生产的逐步网络化意味着IT（信息技术）和OT（操作技术）网络正在慢慢合并。生产操作层面和运营管理层面的物理隔离，也就是隔离网闸（Air Gap），事实上正在逐步消解。

 

过去在IACS（工业自动化和控制系统）环境中以专有协议孤立运行的生产设备现在正在采用IT网络的开放网络协议[26]。过去通常认为生产工厂面临的威胁是可控的，因为从信息技术的角度来看这些工厂因为这些工厂建立了只能从外部进行有限攻击的孤岛[12]。而以工业4.0为基础的自动化金字塔能够使所有系统组件横向和纵向上都相互连接。这也就意味着经典的分层自动化金字塔被打破，自动化网络由此产生了（参考图2，右）。现场层的传感器和执行器不仅能与控制层（PLC/SCADA）交换数据，还可以跨层交换数据[27]。由此现场设备被直接连接到自动化网络，从信息技术安全的角度来看，这意味着现场设备现在可以通过以太网/无线局域网从互联网被直接访问，因此更容易受到攻击。来自PLC或SCADA系统的保护层不复存在。与数据载体的接口也带来了额外的攻击风险[28]。由此，我们能够从图示的自动化金字塔和自动化网络中得出它们为生产带来的风险和挑战。

 

 

生产中的风险和挑战

生产中的风险和挑战可以分为操作、技术和管理领域三类[8]。操作领域的一个挑战在于，确保运行能力的同时保持生产设施的可用性。技术方面的风险主要是嵌入式系统、不安全的网络协议以及保证实时性能的需要造成的。在大多数情况下，IACS必须实时运行以管理生产过程。通信延迟和不稳定是操作技术网络（OT-Netzwerk）实时通信的决定性因素。对低延迟的要求使其难以实施加密等耗费资源的安全机制。

 

 

从管理的角度来看，用户和操作人员的意识淡薄、对生产中的信息技术安全监管不足、以及设备较长的生命周期，都会带来额外的风险[8]。采购一个新的工业设备需要很高的投资——设备必须运行数十年以回收投资成本，设备运行寿命长达30年的情况并不罕见[29]。这样长的生命周期导致了为网络安全带来了两个方面的问题：对于新的威胁几乎没有任何保护措施；安全通常依赖于过时的、不再支持的（操作）系统[8]。如果公司没有持续解决上述风险和挑战，生产环境中就会出现漏洞。

 

生产环境中的漏洞

漏洞存在于自动化金字塔的每一个层次。图3的左边部分举例说明了每个单独层次的弱点。右边部分显示了2013年至2016年公布的IACS相关漏洞的累计数量。这个数字出自于公开报告以及ICS-CERT数据库。在724个案例中有465个的漏洞涉及过程控制层面，超过半数。[30, 31]。

信息技术安全专家认为有几个原因导致这个层面容易出现漏洞，可能的原因如下[30]：

    1.所使用的工业硬件和软件与办公室硬件和软件（如人机界面）相似，因此钻研漏洞的人较为容易。

    2.所用软件的体验版可轻松而廉价地获得。

    3.过程控制层本质上具有关键性作用，即对过程控制层的访问会自动授予对相关现场层和物理流程的访问，而无需在控制层和现场层搜索漏洞。

    4.未经认证的协议允许直接访问操作技术网络。

 

攻击方法和手段

为了采取安全措施，有必要了解攻击者的攻击方法。他们所使用的方法与安全专家的测试方法是相同的。不同类型的攻击如图4所示。

 

无论攻击的类型如何，它们都遵循类似的模式[34]。

    1.刺探系统的漏洞。

    2.利用漏洞对系统进行渗透

    3.执行恶意软件

 

该观点基于欧盟网络与信息安全机构 安全利益相关者小组（EICS）、欧洲SCADA与控制系统信息交流中心（EuroSCSIE）进行的专家访谈，是ENISA研究的一部分。其他专家来自工业界、学术界和政界[32]。

 

[1]Vereinigung der Bayerischen Wirtschaft e. V. (Hrsg.): Studie – Digitalisierung als Rahmenbedingung für Wachstum. 2017. URL: https://www.prognos.com/uploads/tx_atwpub- db/20170904_Pronos_vbw_Digitalisierungs_als_Rahmbedi- ning_update.pdf [Stand: 19.11.2020].

[2]Presse- und Informationsamt der Bundesregierung (Hrsg.): Digitalisierung gestalten – Umsetzungsstrategie der Bundes- regierung. 2018. URL: https://www.bundesfinanzministerium. de/Content/DE/Downloads/Digitalisierung/2018-11-15-Digitalisierung-gestalten.pdf? blob=publicationFile&v=2 [Stand: 19.11.2020].

[3]McKinsey & Company (Hrsg.): Digitalisierung im Mittelstand erhöht Wachstum in Deutschland um 0,3 Prozentpunkte pro Jahr. 2017. URL: https://www.mckinsey.com/de/news/presse/di- gitalisierung-im-mittelstand-erhoht-wachstum-in-deutschland- um-03-prozentpunkte-pro-jahr [Stand: 15.01.2019].

[4]Statistisches Bundesamt (Hrsg.): Bruttoinlandsprodukt 2018 für Deutschland. Begleitmaterial zur Pressekonferenz am 15. Januar 2019 in Berlin. 2019. URL: https://www.destatis.de/DE/ Presse/Pressekonferenzen/2019/BIP2018/pressebroschuere-bip. pdf? blob=publicationFile [Stand: 19.11.2020].

[5]Lichtblau, K.; Schleiermacher, T.; Goecke, H.; Schützdeller, P.: Digitalisierung der KMU in Deutschland. Konzeption und empirische Befunde. 2018. URL: https://www.iwconsult.de/ fileadmin/user_upload/projekte/2018/Digital_Atlas/Digitalisie- rung_von_KMU.pdf [Stand: 19.11.2020].

[6]Icks, A.; Schröder, C.; Brink, S.; Dienes, C.; Schneck, S.: Digitalisierungsprozesse von KMU im Verarbeitenden Gewer- be. Bonn: Institut für Mittelstandsforschung (IfM) Bonn, 2017. http://hdl.handle.net/10419/156246

[7]Deutsche Telekom AG (Hrsg.): Security on the Industrial Internet of Things. How companies can defend themselves against cyber attacks. 2016. URL: https://www.t-systems.com/ blob/269626/1c7f8ae72c3e86714a4ffc47aeaef407/DL_WP_Se- curity%20M2M.pdf [Stand: 19.11.2020].

[8]Hahn, A.: Operational Technology and Information Techno- logy in Industrial Control Systems. In: Colbert, E. J. M.; Kott, A. (Hrsg.): Cyber-security of SCADA and Other Industrial Control Systems. Cham: Springer International Publishing, 2016, S.51-68.

[9]Kaspersky Lab ICS CERT (Hrsg.): Threat Landscape for Industrial Automation Systems in H2 2017. 2018. URL: https:// ics-cert.kaspersky.com/media/KL_ICS_REPORT_H2-2017_FI- NAL_EN_22032018.pdf [Stand: 19.11.2020].

[10]Center for Strategic & International Studies (Hrsg.): Signifi- cant Cyber Incidents. o. J. URL: https://www.csis.org/programs/cybersecurity-and-governance/technology-policy-program/other-projects-cybersecurity [Stand: 15.01.2019].

[11]F-Secure GmbH (Hrsg.): Live Security Studie 2017/2018.Eine repräsentative Untersuchung von Bitkom Research im Auftrag von F-Secure. 2018. URL: https://blog.f-secure.

com/wp-content/uploads/2018/05/f-secure-live-security-stu- die-2017_2018.pdf [Stand: 19.11.2020].

[12]Bundesministerium für Wirtschaft und Energie (Hrsg.):IT-Sicherheit für die Industrie 4.0. Produktion, Produkte, Dienste von morgen im Zeichen globalisierter Wertschöpfungsketten. Studie im Auftrag des Bundesministeriums für Wirtschaft und Energie. Abschlussbericht. 2016. URL: https://www.bmwi.de/ Redaktion/DE/Publikationen/Studien/it-sicherheit-fuer-indust- rie-4-0.pdf? blob=publicationFile&v=4 [Stand: 19.11.2020].

[13]Stobitzer, C.: Schutzziele der Informationssicherheit. 2017. URL: http://www.kryptowissen.de/schutzziele.php [Stand: 27.07.2018].

[14]Eckert, C.: IT-Sicherheit. Konzepte - Verfahren - Protokolle.8. Aufl. München: De Gruyter, 2013.

[15]Holznagel, B.: Recht der IT-Sicherheit. München: Beck, 2003.

[16]Gadatsch, A.; Mangiapane, M.: IT-Sicherheit. Digitali- sierung der Geschäftsprozesse und Informationssicherheit. Wiesbaden: Springer Vieweg, 2017.

[17]Dustdar, S.; Gall, H.; Hauswirth, M.: Software-Architektu- ren für Verteilte Systeme. Prinzipien, Bausteine und Standardar- chitekturen für moderne Software. Berlin, Heidelberg: Springer, 2003.

[18]Bedner, M.; Ackermann, T.: Schutzziele der IT-Sicherheit. In: Datenschutz und Datensicherheit - DuD. 34. Jg., 2010, Nr. 5, S. 323–328. http://doi.org/10.1007/s11623-010-0096-1

[19]Schneider, F.: IT-Sicherheit 2018: Pflichten für Unterneh- men. 2018. URL: https://www.cmshs-bloggt.de/tmc/it-recht/ it-sicherheit-2018-sicherheit-fuer-unternehmen/ [Stand: 12.07.2018].

[20]TeleTrusT - Bundesverband IT-Sicherheit e.V. (Hrsg.):IT-Sicherheitsgesetz und Datenschutz-Grundverordnung: Hand- reichung zum “Stand der Technik“ technischer und organisato- rischer Maßnahmen. Revidierte und erweiterte Ausgabe 2018. 2018. URL: https://www.teletrust.de/fileadmin/docs/fachgrup- pen/ag-stand-der-technik/TeleTrusT-Handreichung_Stand_der_ Technik_-_Ausgabe_2018.pdf [Stand: 17.07.2018].

[21] Bundesamt für Sicherheit in der Informationstechnik – BSI (Hrsg.): Schutz Kritischer Infrastrukturen durch IT-Sicherheits- gesetz und UP KRITIS. 2017. URL: https://www.bsi.bund.de/

SharedDocs/Downloads/DE/BSI/Publikationen/Broschueren/ Schutz-Kritischer-Infrastrukturen-ITSig-u-UP-KRITIS.pdf? blob=publicationFile&v=7 [Stand: 19.11.2020].

[22]Bundesministerium für Wirtschaft und Energie (BMWi) (Hrsg.): IT-Security in der Industrie 4.0. Handlungsfelder für Betreiber. Leitfaden. 2016. URL: https://www.plattform-i40.de/ PI40/Redaktion/DE/Downloads/Publikation/leitfaden-it-security- i40.pdf? blob=publicationFile [Stand: 19.11.2020].

[23]Heinrich, B.; Linke, P.; Glöckler, M.: Grundlagen Automati- sierung. Sensorik, Regelung, Steuerung. 2., überarbeitete und erweiterte Auflage. Wiesbaden: Springer Vieweg, 2017.

[24]INAUT Automation GmbH (Hrsg.): Ganzheitliche Lösung.o. J. URL: http://www.invilution.com/ganzheitliche-loesung [Stand: 12.08.2018].

[25]Wiesel, C.: Was ist wo los im Netz? Permanente und passive Analyse der Kommunikationsqualität in Profinet-Netz- werken. In: messtec drives Automation. 25. Jg., 2017, Nr. 10, S. 14-16.

[26]Stouffer, K.; Pillitteri, V.; Lightman, S.; Abrams, M.; Hahn, A.: Guide to Industrial Control Systems (ICS) Security. Supervi- sory Control and Data Acquisition (SCADA) systems, Distribu- ted Control Systems (DCS), and other control system configu- rations such as Programmable Logic Controllers (PLC). 2015. http://dx.doi.org/10.6028/NIST.SP.800-82r2

[27]Vogt, M.; Sherman, A.: 3D-Snapshot-Kameradaten in der Industrie: Wie Edge-Computing die optimale Datenbereit- stellung ermöglichen kann. Sick AG Whitepaper. 2018. URL: https://cdn.sick.com/media/docs/1/41/041/Whitepaper_3D_ SNAPSHOT_CAMERA_DATA_IN_INDUSTRY_de_IM0077041. PDF [Stand: 19.11.2020].

[28]Niemann, K.-H.; Hoh, M.: Anforderungen an die IT-Sicher- heit von Feldgeräten. Schutzlösungen für hoch vernetzte Pro- duktionsanlagen In: atp edition. 59. Jg., 2017, Nr. 12, S. 42-53.

[29]Khondoker, R.; Larbig, P.; Scheuermann, D.; Weber, F.; Bayarou, K.: Addressing Industry 4.0 Security by Software- Defined Networking. In: Zhu, S.; Scott-Hayward, S.; Jacquin, L.; Hill, R. (Hrsg.): Guide to Security in SDN and NFV. Challenges, Opportunities, and Applications. Cham: Springer International Publishing, 2017, S. 229-251. https://doi.org/10.1007/978-3- 319-64653-4_9

[30]Fireeye iSight Intelligence (Hrsg.): Overload. Critical lessons from 15 years of ICS Vulnerabilities. 2016 Industrial Control Systems (ICS) Vulnerability Trend Report. 2016. URL: https:// www.tripwire.com/-/media/tripwiredotcom/files/solution-brief/ ics-vulnerability-trend-report-final.pdf?rev=f9b8f49716224a10 a1639d36582ec269 [Stand: 19.11.2020].

[31]Kaspersky Lab ICS CERT (Hrsg.): Threat Landscape for In- dustrial Automation Systems in the second half of 2016. 2017. URL: https://ics-cert.kaspersky.com/reports/2017/03/28/threat- landscape-for-industrial-automation-systems-in-the-second- half-of-2016/ [Stand: 19.11.2020].

[32] European Union Agency for Network and Information Se- curity: Communication network dependencies for ICS/SCADA Systems. 2017. https://doi.org/10.2824/397676Kaspersky Lab ICS CERT (Hrsg.): Threat Landscape for In- dustrial Automation Systems in the second half of 2016. 2017. URL: https://ics-cert.kaspersky.com/reports/2017/03/28/threat- landscape-for-industrial-automation-systems-in-the-second- half-of-2016/ [Stand: 19.11.2020].

European Union Agency for Network and Information Se- curity: Communication network dependencies for ICS/SCADA Systems. 2017. https://doi.org/10.2824/397676​​​​