2023年中国网络安全行业《物联网产品及服务购买决策参考》发布

2023年12月5日作者：编辑

前言

如何选择下一代工业物联网安全解决方案

2023年，全球工业物联网安全市场迎来全面升级和转型的拐点。

在工业4.0、智能制造、数字孪生、万物互联、基础设施自动化的推动下，全球工业物联网市场迎来了十年高速增长期。根据Polaris Market Research的报告，2023-2032年全球工业物联网市场规模将保持23.5%的高增长率，2026年全球工业物联网市场规模将达到7717.2亿美元，包括中国、日本在内的亚太地区的工业物联网市场增速高于全球其他地区。

重新定义工业物联网安全

工业物联网的高速增长加速了IT与传统工业网络的融合进程。在云计算和人工智能技术的推动下，工业物联/互联网络的OT与IT系统的交互更加频繁。工业物联网可以收集传感器数据并控制物理过程，当工业物联网被连接到基于云的解决方案，不断推送、拉取、分析数据，就构成了所谓的网络物理系统（CPS）。

Gartner对网络物理系统的定义是：协调传感、计算、控制、网络和分析，与物理世界（包括人类）交互的系统。网络物理系统涵盖了互联的 IT、OT和IoT（物联网）。

来源：Gartner

本报告所指的“工业物联网”对应Gartner定义的工控系统发展的第三阶段（上图），是涵盖物联网（云、管、边、端/传感器）、IT/OT融合系统及行业资产的网络物理系统。其中OT涵盖了所有与实体资产操作相关的技术，包括ICS工控系统和非工业控制系统。（ICS专注于工业流程的控制和自动化，非工业控制系统包括电力线路的自动化控制、水务系统、交通控制系统、视频监控系统、车联网等。）

GoUpSec认为，无论从技术堆栈、应用场景还是威胁趋势来看，工业物联网安全（网络物理系统的初级阶段）是比工控安全（OT/ICS）覆盖范围更广，更贴合IT+OT融合的新安全态势，以及中美两国对关键基础设施范围界定的市场概念。

下一代工业物联网安全解决方案需要综合考虑IT、OT、IoT网络和物理世界的新威胁，覆盖资产密集型组织、关键基础设施以及制造、医疗等行业应用场景，呈现以下三大趋势：

管理融合。工业物联网安全管理权移交给CISO统一管理。
技术融合。工业物联网安全方案拥有类似IT系统的的完整安全基础模块：统一管理平台、网络分段隔离、数字身份、身份验证和访问控制、漏洞管理、加密、监测和检测工程等。工业物联网安全与IT安全厂商基于技术集成（例如API）和市场驱动建立深入的合作伙伴关系。
市场融合。单点解决方案叠加将无法适应IT/OT融合趋势，传统的OT安全和IT安全正基于新的风险管理方法快速整合，形成能够识别所有类别协议和环境的统一的端到端网络安全管理方案。

重新评估工业物联网安全态势

与IT融合的OT系统能够实现更高级的数据分析和远程控制，大幅提高生产效率和运营效果。例如，通过实时数据分析，可以优化生产流程、预测维护需求。

但是，工业物联网为工业网络带来效率和功能提升的同时，也导致攻击面快速扩大，安全威胁日益增长。根据Zscaler的企业物联网安全报告，2023年上半年物联网恶意软件攻击同比暴增了400%。根据SANS的调查，2023年38%的ICS/OT网络攻击初始媒介来自IT网络。根据Gartner的预测，2023年网络物理系统攻击导致的重大事故损失将高达500亿美元。

随着IT与OT进一步融合，工业物联网资产与漏洞管理、威胁检测与事件响应难度不断加大，勒索软件、供应链攻击、地缘政治冲突、国家黑客与APT组织针对工业物联网和关键基础设施的威胁不断增长。

2022至2023年，全球工业物联网领域发生了多起重大安全事件。根据Waterfall Security Solutions的工业物联网安全报告，2022年共发生了218起工业网络攻击，其中57起对实体工业系统造成了物理影响。这些事件包括针对交通、制造和食品饮料行业的攻击，且许多攻击高度依赖IT系统。

根据公开数据统计，近年来全球制造业、医疗、车联网、通信、电力遭受的工业物联网攻击占比较高，核设施、石油天然气、水利、航空、铁路、航运、航天、市政基础设施安全威胁呈上升趋势。波及多个行业的重大安全事件层出不穷，导致全行业开始重新评估其工业物联网安全态势和防御能力。

2023年，一系列重大安全事件标志着工业物联网和关键基础设施的安全风险已经全面升级，例如：

武汉地震数据采集设备被植入后门程序。2023年7月，武汉市应急管理局地震监测中心的部分地震速报数据前端台站采集点网络设备被植入后门程序，能够远程操控设备，窃取设备上采集的地震烈度数据。研究人员初步判定此事件伪境外政府背景黑客组织发起的网络攻击行为。
日本名古屋港口遭受勒索软件攻击。2023年7月4日，日本名古屋港口控制系统遭受勒索软件攻击，导致港口内所有码头的集装箱运营受到影响，甚至影响了全球最大汽车制造商丰田公司的零件进口。
以色列最大炼油厂遭黑客攻击。2023年8月，伊朗黑客组织CyberAvengers宣称攻击了以色列最大炼油厂BAZAN的网络，并泄露了BAZAN的SCADA系统的屏幕截图图和PLC代码。
美国能源巨头BHI Energy遭勒索软件攻击。2023年10月，美国能源巨头BHI Energy披露遭遇Akira勒索软件攻击，泄露了690GB数据。
美国核物理实验室发生数据泄漏。2023年11月，美国爱达荷国家实验室（INL）披露遭黑客攻击，数十万个人数据遭泄露。
大巴黎废水处理机构网络攻击。2023年11月大巴黎废水处理机构遭遇重大网络攻击，被迫断开所有连接以保护工业系统。
迪拜环球港务集团遭勒索软件攻击。2023年11月迪拜环球港务集团遭勒索软件攻击，导致港口停摆，数以万计的集装箱滞留，造成数百万美元经济损失。
美国供水系统PLC遭遇黑客攻击。2023年11月，黑客通过暴露的Unitronics PLC入侵美国宾夕法尼亚州阿利基帕市的供水设施，导致该市水务部门被迫关闭系统，断开PLC的互联网连接，切换为手动操作。

根据Fortinet的报告，2023年认为自身OT网络安全成熟度达到4级（高度成熟）的组织数量锐减（从21%降至13%），这表明即便是自认为安全成熟度很高的关键基础设施行业，OT专业人员也开始重新审视和评估自身的安全能力（下图）：

工业物联网普遍存在的“安全债”

工业物联网攻击进入高峰期，一方面是因为黑客攻击（尤其是勒索软件）重点开始转向工业系统（受害者对停机容忍度低，更容易支付赎金），另外一方面是因为工业物联网普遍存在严重的安全债：

资产可见度低。工业物联网的特点是资产规模庞大、增长快速，监控和管理难度大。
物联网终端的硬件配置通常较低，安全防护能力有限，安全更新和漏洞修补困难（不及时），遭受网络攻击和数据泄露的风险远超IT安全。
物联网，包括工业物联网设备往往存在先天安全设计缺陷，根据Unit 42的物联网安全报告，“57% 的物联网设备容易受到中度或高度严重性攻击”，并且“98% 的物联网设备流量是未加密的”。
物联网和OT网络资产的漏洞严重性更高。根据Forescout 2023年上半年物联网安全调查，虽然IT系统漏洞占比（78%）高于物联网（14%）和OT网络（5%），但是物联网和OT网络的高危漏洞占比（接近60%）远高于IT系统（20%左右）。医疗、零售和制造业的物联网漏洞严重性问题尤为突出。
工业物联网设备普遍缺乏身份管理、访问控制、数据保护、和威胁防控的体系化解决方案。
工业物联网安全人才和技能的短缺情况比IT安全领域更为严重。

与物联网类似，OT网络的安全性同样不容乐观。根据Dragos的《2022年工控安全年度回顾报告》和SANS今年11月发布的《2023年ICS/OT安全现状调查报告》，ICS/OT系统普遍存在八大安全隐患：

资产可见性差。资产可见性是ICS/OT最重要的安全能力，有助于观察预攻击技术，并为事故响应提供关键数据。但现实中很多公司对OT环境中的设备、配置文件和流量了解有限，使得威胁检测和响应变得极为困难。根据Ponemon Institute的数据，只有45%的组织能够有效发现和维护OT网络的设备资产清单。
缺乏事故响应计划：只有52%的ICS设施有面向OT/ICS的事故响应计划。这一发现凸显了ICS网络安全事件准备工作中的重大差距。
网络隔离控制不力：尽管大多数工业物联网安全主管认为他们的ICS网络与IT网络和互联网做好了隔离，但仍有高达38%的ICS/OT攻击来自IT网络，这表明需要加强IT与OT之间的用户管理分离。
渗透测试存在风险：特别是针对普渡模型第二层设备的渗透测试，在ICS环境中存在安全和运营风险。建议在考虑此类测试之前，首先完善基本网络安全控制。
缺乏主动防御能力：只有22%的ICS设施利用MITRE ATT&CK ICS框架来了解现代ICS特定威胁检测能力，这表明在主动防御策略方面存在差距。
人为错误。工业物联网安全人才匮乏，从业人员往往缺乏有效的安全意识培训，错误信息、错误判断或者无意错误也都都可能导致人为错误，从而对OT系统的安全性、可用性产生重大影响。近年来一些重大的工业物联网安全事件中，因人员错误、疏忽或者社交工程攻击导致的凭证泄漏屡见不鲜。
合规难度。近年来各国陆续出台的工控安全和关键基础设施法规和标准对工业物联网安全能力提出了更高要求，例如即将推出的NIS2和网络弹性法案（CRA）则对供应链安全提出了明确要求。
操作系统过时。OT环境的一个独特挑战是无处不在的过时操作系统。OT环境的操作系统生命周期最长可达20年，远长于IT环境的4-6年。系统普遍失去安全更新和补丁等技术支持。

工业物联网安全的五大新威胁

根据Dragos的工控安全报告，2022年全球工控系统相关硬件和软件漏洞数量比2021年增加了27%，针对工业组织的勒索软件攻击增加了87%。针对工业基础设施的攻击的复杂性和数量也有所增加，遭受攻击的工控系统（ICS）中80%缺乏对ICS流量的可见性，一半存在网络分段问题和不受控制的OT网络连接。根据SANS的报告，2023年工控系统的风险持续上升，有44%的受访者认为ICS面临的安全威胁“很高”。

新的攻击技术。工业物联网威胁上升可部分归因于针对关键基础设施的勒索软件活动增加，以及像CRASHOVERRIDE和PIPEDREAM这样的可扩展ICS针对性攻击框架的流行。此外，对手越来越多地使用“本地技术”攻击，这种攻击“就地取材”，将工程系统变成了自己的横向移动和通信工具，减少了对恶意软件的依赖，因此更难以检测。
另一个值得关注的攻击趋势是会话劫持的增加。越来越多的攻击者开始利用远程会话协议的合法功能进行攻击，这可能对工业厂房的OT和ICS造成物理影响。
地缘政治与黑客活动主义。俄乌战争和巴以冲突中，全球上百个黑客组织围绕不同的意识形态和政治立场划分阵营，对“敌方”国家的关键基础设施展开有组织大规模攻击，标志着过去以经济为主要目的的黑客活动正大规模卷入网络犯罪、网络战争与地缘政治冲突的混战。根据SecurityWeek的《Cyber Insights 2023》报告，全球地缘政治形势对ICS/OT的影响正在不断扩大，表明国家级黑客组织更有动机针对关键行业的工业物联网设施，同时网络犯罪分子的“道德”约束也在减少。该报告提到，IT与OT的融合是OT面临的最大威胁之一。当这两个网络合并时，如果没有适当的安全措施，攻击者可以通过利用IT访问点或云端攻击来瘫痪OT网络。
供应链攻击。供应链攻击也日益成为关注焦点。工业物联网供应链攻击正在进化，不仅针对IT，也直接针对OT。同时，越来越多的漏洞直接影响PLC、物联网设备，这些设备往往是网络犯罪分子最容易访问的目标。根据“冰瀑漏洞报告”，工业物联网供应链中存在大量设计不安全的供应链组件，很多受影响制造商并未报告漏洞，这导致了风险管理的困难。
勒索软件。勒索软件对工业基础设施环境构成的威胁也日益增长，制造业企业仍是勒索软件的主要目标。而Pipedream这类工具集还对整个ICS社区构成严重威胁，能够跨行业造成破坏。
国家APT组织。针对关键国家基础设施的攻击往往是由国家APT（高级持续性威胁）组织执行的，这些攻击受到当前地缘政治状态的影响。Kaspersky的专家预测，APT活动将针对新的行业和地点展开，包括农业、物流、交通、替代能源领域、高科技、制药和医疗设备生产领域。

趋势：以资产为中心的一体化端到端主动安全防御体系

在OT/IT融合的大背景下，“以资产为中心”的工业物联网安全的关键业绩指标是“运营弹性”，最终目标是将网络物理系统安全与IT安全纳入统一的，以零信任为关键方法的治理模型中。

因此，工业物联网安全市场的技术和解决方案也随之快速分化、重组和升级，行业和细分领域的专精特深正在向一体化融合解决方案升级，目标是提供端到端的，能够识别、解析、检测所有IT/OT融合环境和协议类型的一体化安全管理解决方案。

围绕新一代工业物联网SOC（安全运营平台），工业物联网解决方案可分为九大类：

运营平台（监测、巡检、运维、风险量化、统一安全管理平台；密码管理；漏洞管理；SIEM）
物联网安全（泛终端身份管理和访问控制、接入网关、网络分段、工业防火墙、基于零信任框架的SSE边缘计算安全、监测审计系统）
终端安全（EDR、主机安全、资产管理、防病毒软件、U盘管理）
工控系统安全（OT防火墙、主机防护系统、漏洞管理、身份管理和验证、零信任、IAM）
数据安全（DLP、安全硬件、数据加密、数据库审计与防护、备份和灾难恢复）
威胁检测与响应（态势感知、IDS、蜜罐、威胁情报）
供应链安全（SBOM、更新管理、基于上下文的风险分析）
物理安全（视频监控和人员物理访问控制、环境监测）
安全服务（意识培训、安全审计、渗透测试、风险评估、应急响应）

此外，面对IT（包括云）与OT融合产生的巨大攻击面和新兴威胁，以及工业物联网在事件响应（不能轻易断网隔离）、漏洞扫描和管理（往往无法承受主动扫描）方面的先天局限，工业物联网安全更为依赖主动安全方法，这一趋势推动了工业物联网安全市场的八大新兴热点：

基于风险的暴露管理（攻击面管理、资产与漏洞的发现与管理）
零信任（机器身份与访问控制）
安全意识培训
欺骗技术（蜜罐）
入侵与攻击模拟（靶场）
自主安全技术（固件/嵌入式系统安全、安全芯片、CPU、存储系统、国密算法、工业无线通信安全、arm架构设计、后量子加密算法、ML/安全大语言模型）
人工智能安全技术
工业物联网安全审计、综合检测平台

工业物联网安全解决方案的关键能力和创新点

以下，是GoUpSec行业CISO调查总结的工业物联网安全解决方案十大关键能力和创新点：

机器学习与人工智能（威胁情报、威胁检测、事件响应）
自动化资产发现和管理
持续的网络威胁（被动）监控
物联网终端和二级设备（控制器）的完整性验证、访问控制
漏洞评估和风险管理
与SIEM和SOC的平台化集成（面向IT/OT融合的一体化安全管理平台）
业务连续性（故障诊断与恢复，ByPass功能，减少误报，提高安全运维效率）
可信计算与合规性（满足相关国家标准和等保要求）及相关行业规范
零信任方法（强化机器与人的身份和权限管理、重视内部威胁）
物理安全（生产环境监控、安全培训、无人机防御）

工业物联网安全解决方案选型的优先考虑因素：

面对“以资产为中心”的工业物联网安全升级转型阶段面临的挑战、痛点和趋势，行业客户在选择工业物联网安全解决方案时可能需要与厂商沟通确认以下基准问题：

是否支持与客户现有网络安全产品（例如 SIEM、SOAR、配置管理数据库、SOC、NAC、防火墙等）快速集成？
有哪些资产发现能力（除了被动端口镜像和深度包检测以外）？
支持哪些工业通信协议，数量、范围？
是否提供以资产发现、可见性和网络拓扑为中心的统一安全管理平台功能？
是否易于部署（本地、云、混合）？
资产发现和威胁检测方案是连续的还是基于时间点的？
提供哪些资产拓扑和数据流映射和可视化方式（从基本的普渡模型、VLAN试图到自定义映射甚至创建数字孪生）？
漏洞管理是否支持情景化风险评分，能否防止IT扫描器直接接触和影响OT网络？
定价模型（通常较为复杂）是否存在成本陷阱？
监控工具如何降低误报和标记优先级？
是否提供测试平台、仿真或以安全为中心的数字孪生解决方案？
是否提供硬件/固件/软件供应链安全解决方案？
是否提供针对垂直行业（例如医疗、国防、交通运输）的定制安全解决方案/案例？
与工控设备厂商、其他相关安全厂商和机构存在何种股权、（潜在）收购、合作关系。
是否有预防勒索软件、DDoS、中间人攻击、内部威胁、APT的针对性方案？
是否提供免费测试？（由于工业物联网部署的独特性，不存在所谓通用的工业物联网安全解决方案，因此在企业环境中对方案进行选型测试很有必要）

正如前文所述，新一代工业物联网安全解决方案是涉及物理安全、网络安全、设备安全、系统安全、供应链安全、生产安全的高度复杂的跨行业、跨领域综合项目，面临着独特而严峻的挑战。

在OT/IT融合的大背景下，“以资产为中心”的工控物联网的核心目标和锚定的关键业绩指标是“运营弹性”，最终目标是将工控环境的网络物理安全与IT安全纳入统一的治理模型中。

在这一重大范型转移的历史性阶段，如何重新认识工业物联网安全的新定义、新威胁和新趋势，决定了企业和关键基础设施行业能否正确甄别并选择合适的解决方案和战略合作伙伴来打造面向未来的安全智能工业网络。

为了帮助CISO拨开营销迷雾，提高市场能见度，全面了解潜在物联网战略合作伙伴，GoUpSec深入调研了13家国内物联网“酷厂商”（包括专业厂商和综合安全厂商），从产品功能、应用行业、成功案例、安全策略等维度对各厂商物联网产品及服务进行调研了解，整理形成了2023年中国网络安全行业《物联网产品及服务购买决策参考》。