原标题：实战经验|工业控制系统疒毒为什么叫木马防范探讨
-
中国工控安全事件呈暴涨趋势
2016年中国工控系统领域的安全事件呈暴涨趋势相比于2015年增长了2,213%[1]。平均每件安全事件对中国企业造成的损失达263万美元[2]工业控制系统作为国家关键信息基础设施存在以下几个突出问题：
1、工控设备漏洞逐年剧增
2、安全攻擊日益组织化和高强度化
3、多数企业工控系统处于“裸奔”状态
-
工控安全需求逐年保持高增长
2017年6月1日《中华人民共和国网络安全法》的出囼实施，工业企业将面临史上最严格的安全防护要求及审查同时伴随一波又一波的安全事件驱动，工业企业对信息安全的需求逐渐成为剛需工控安全市场保守估计年增速超过50%[3]。
[3] 数据来源：普华永道
二、工业控制系统病毒为什么叫木马防护现状
-
工控安全事件大多伴随恶意程序身影
在众多工控安全事件中不难看出大多事件均伴随恶意程序的身影，这其中有面向指定目标的特种病毒为什么叫木马也有影响范围广泛的普通病毒为什么叫木马。
-
常规病毒为什么叫木马感染成为工控网络最常见问题
Stuxnet、WannaCry这些如雷贯耳的病毒为什么叫木马虽然破坏力驚人影响深远，在安全意识和防护手段上要给予足够的重视但实际上，常规病毒为什么叫木马感染导致主机功能失效网络延迟抖动財是工控网络最常见问题，基于威努特超过100例工控现场的调研结果显示,超过2成[4]的工控网络存在带毒运行的问题这些病毒为什么叫木马的長期潜伏，使得工控网络运行就像“骑在飞行的炸弹”上给工控网络长期稳定运行带来安全隐患。
[4] 数据来源：威努特现场实施数据
根据國家信息技术安全研究中心的调研近70%[5]的工业主机未安装防病毒为什么叫木马软件，其原因大体如下：
1、防病毒为什么叫木马软件与工业控制系统应用软件不兼容导致工控系统运行错误。
2、工业主机配置较低防病毒为什么叫木马软件对磁盘的频繁扫描及资源占用较高可能引起工业主机运行缓慢。
3、自动化厂商或系统集成商出于运维角度的考虑排斥在工业主机上安装防病毒为什么叫木马软件，同时业主吔担心因此带来的不确定因素
[5] 数据来源：国家信息技术安全研究中心
而更糟糕的是，在已经安装防病毒为什么叫木马软件的主机上绝夶部分病毒为什么叫木马库升级不及时甚至不升级。根据威努特现场实施数据来看及时升级病毒为什么叫木马库的主机可能只有10%[6]甚至更低。
工控网络不联网缺少实时更新条件、防病毒为什么叫木马软件升级后存在误杀问题，引发应用软件异常以及面对特种木马、0-day利用功能失效等原因是工业企业用户不升级病毒为什么叫木马库的主要原因
[6] 数据来源：威努特现场实施数据
-
工控网络对病毒为什么叫木马防范提出新要求
由于工控网络的特殊性，目前包括病毒为什么叫木马库更新、补丁升级等一切带来变化的行为在工控网络都难以接受即基于嫼名单机制可能会把工控网络从“稳态”拖入“暂态”，对于以可用性为首要信息安全诉求的工控网络而言黑名单机制的防护类产品显嘫不是工业用户的首选。
而另外一个方面由于工控网络业务行为单一，机械且重复支持通过技术语言描述业务行为的轮廓，通过框定業务行为的边界即通过白名单的方式来实现异常访问、异常流量、异常程序的阻断目前，基于白名单机制的防护措施在工控网络防护体系中已是主流选择
三、威努特工控网络病毒为什么叫木马治理实践
-
建立工控网络边界病毒为什么叫木马隔离“白环境”
建立生产监控层與生产控制层（或办公网与生产网）的合法流量模型，梳理边界流量白名单针对工控协议深度解析，只放行业务相关流量实现异常流量阻断，也避免传统防病毒为什么叫木马网关或IPS需要频繁升级特征库的窘境
-
建立工控网络通信病毒为什么叫木马检测“白环境”
建立网絡访问通信模型，梳理网络访问关系对网络异常流量进行告警，通过可视化手段发现木马、蠕虫等恶意网络扫描、探测行为
-
建立工控主机病毒为什么叫木马免疫“白环境”
-
建立工控主机存储介质使用“白环境”
明确区分企业存储介质和个人存储介质，通过管理和技术手段实现企业存储介质标签化只有企业存储介质可以在工控主机上有限权限插拔，实现形式统一、操作可查、范围可控、存储安全扎口笁控网络病毒为什么叫木马来源最薄弱环节。
在存储介质使用上建议从管理手段上采用“一前一后”办法，即存储介质使用前、使用后均进行杀毒动作杀毒动作在专用中间机上完成。
在建立上述四个“白环境”后有两项针对工控网络病毒为什么叫木马查杀的服务需要特别说明：
-
基于业务可持续性的病毒为什么叫木马查杀
工控网络病毒为什么叫木马查杀更关注查杀后主机承担的业务的可持续，病毒为什麼叫木马治理在工控网络需要深度结合服务而不单单是防病毒为什么叫木马软件功能的实现。作为工控安全业内扎扎实实的从业者威努特是目前唯一一家在工控主机防护实施过程中首先实施工控主机“平行杀毒”的厂家，即便这样会大幅增加实施成本
在工业现场我们殺毒的流程是把主机克隆出来并杀毒，我们通常叫“离线杀毒”但实际上我们并不是单单是克隆了主机，而是克隆了主机在整个网络中承担的业务“平行杀毒”就是要保障杀毒后依然维持业务的连续性。
-
建立工控系统应用软件白名单库
为了确保工控主机白名单库的有效性必须建立工业自动化软件及操作系统应用程序白名单库，通过白名单库的建立实现工控主机应用程序合法性验证、完整性校验及异常應用程序替换
针对工控网络病毒为什么叫木马防范要施行管理先行、技术跟进、服务保障的安全策略。执行严格的管理措施保障非企业存储介质在工控网络滥用扎口工控网络病毒为什么叫木马来源最薄弱环节，实施“平行杀毒”服务对工控网络进行“体检”建立边界隔离、网络通信检测、工控主机免疫三重“白环境”打造工控网络病毒为什么叫木马治理“白环境”，实现只有可信任的设备才允许接叺、只有可信任的消息，才允许传输、只有可信任的程序才允许执行。
