2016年3月22日，全球工業(yè)控制信息安全權(quán)威機(jī)構(gòu)——美國(guó)工業(yè)控制系統(tǒng)網(wǎng)絡(luò)應(yīng)急響應(yīng)小組（The Industrial Control Systems Cyber Emergency Response Team ，以下簡(jiǎn)稱ICS-CERT）官網(wǎng)公示了中國(guó)電科網(wǎng)絡(luò)信息安全有限公司（以下簡(jiǎn)稱：中國(guó)網(wǎng)安）工業(yè)控制安全事業(yè)部漏洞挖掘團(tuán)隊(duì)發(fā)現(xiàn)的“Siemens APOGEE Insight Database Conversion Tool DLL劫持漏洞”。

事件始末

2015年，中國(guó)網(wǎng)安工業(yè)控制安全事業(yè)部協(xié)助地方主管部門對(duì)湖南智慧城市關(guān)鍵基礎(chǔ)設(shè)施領(lǐng)域進(jìn)行工控信息安全質(zhì)量評(píng)估指標(biāo)及方法研究項(xiàng)目攻關(guān)，在項(xiàng)目實(shí)施過(guò)程中,中國(guó)網(wǎng)安工控團(tuán)隊(duì)以逾10年的工控信息安全專業(yè)經(jīng)驗(yàn)、自主知識(shí)產(chǎn)權(quán)研發(fā)的工控信息安全產(chǎn)品，幫助業(yè)主檢測(cè)到目標(biāo)環(huán)境中諸多嚴(yán)峻的工控信息安全問(wèn)題。

中國(guó)網(wǎng)安工控信息安全專家在對(duì)工控系統(tǒng)進(jìn)行評(píng)估研究的過(guò)程中，發(fā)現(xiàn)西門子PLC及監(jiān)控軟件APOGEE Insight存在隱患，憑借功底深厚的漏洞挖掘技術(shù)及自主漏洞掃描產(chǎn)品，對(duì)該軟件一系列的解析、測(cè)試后，確認(rèn)系統(tǒng)存在“劫持漏洞”，并上報(bào)至國(guó)家計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心下屬國(guó)家信息安全漏洞共享平臺(tái)（China National Vulnerability Database，簡(jiǎn)稱CNVD）。CNVD接到上報(bào)后立即響應(yīng)，經(jīng)過(guò)三級(jí)審核程序后，將該問(wèn)題通報(bào)西門子德國(guó)研發(fā)部門；西門子專家經(jīng)過(guò)各項(xiàng)嚴(yán)謹(jǐn)?shù)尿?yàn)證程序后，最終技術(shù)重現(xiàn)并確認(rèn)了該劫持漏洞，回復(fù)CNVD；CNVD經(jīng)過(guò)終審程序后將該漏洞確認(rèn)為 “原創(chuàng)漏洞”。2015年12月25日，CNVD在其官網(wǎng)工控漏洞版面對(duì)該漏洞予以公示，并向中國(guó)網(wǎng)安頒發(fā)“原創(chuàng)漏洞證明”證書(shū)。該漏洞正式被CVE收錄，編號(hào)：CVE-2016-3155。此次被發(fā)現(xiàn)帶有該“劫持漏洞”的APOGEE Insight被廣泛應(yīng)用于大眾交通、工廠、學(xué)校、商業(yè)大樓，以及醫(yī)療院所等相關(guān)特殊產(chǎn)業(yè)。它將樓宇中各式各樣的系統(tǒng)設(shè)備整合在共同的人機(jī)管理系統(tǒng)上，并且能通過(guò)以太網(wǎng)方式連接到其它的Insight基本工作站,一旦被利用會(huì)造成更多的隱患。

2016年3月18日，西門子以其一貫嚴(yán)謹(jǐn)科學(xué)的名企風(fēng)范，對(duì)該漏洞予以官方公示，并第一時(shí)間給出了相應(yīng)的緩解方案，同時(shí)對(duì)中國(guó)網(wǎng)安發(fā)現(xiàn)該漏洞助力西門子改進(jìn)產(chǎn)品信息安全問(wèn)題表示感謝。

產(chǎn)品發(fā)現(xiàn)信息安全問(wèn)題，設(shè)備原廠反應(yīng)迅速、及時(shí)公布緩解方案，自此，問(wèn)題似乎得到圓滿解決。但大量數(shù)據(jù)表明，目前暴漏出來(lái)的工控信息安全問(wèn)題只是偌大冰山一角，深水處暗流攢動(dòng)、危險(xiǎn)一觸待發(fā)。2016年伊始烏克蘭大面積停電事件，就再一次讓人們深刻體會(huì)到關(guān)鍵行業(yè)工業(yè)控制系統(tǒng)一旦遭受信息安全攻擊所引發(fā)的巨大災(zāi)害效果。

中國(guó)力量蓄勢(shì)而發(fā)

中國(guó)電子科技網(wǎng)絡(luò)信息安全有限公司（以下簡(jiǎn)稱中國(guó)網(wǎng)安），于2015年5月經(jīng)國(guó)務(wù)院批準(zhǔn)成立，在黨政系統(tǒng)和國(guó)家重大關(guān)鍵基礎(chǔ)設(shè)施信息安全服務(wù)領(lǐng)域，市場(chǎng)份額居全國(guó)第一。這家“中”字頭的公司，是中國(guó)電子科技集團(tuán)公司（CETC）舉集團(tuán)之力，以中國(guó)電科三十所、三十三所為核心，匯聚中國(guó)電科內(nèi)部?jī)?yōu)勢(shì)資源重點(diǎn)打造的子集團(tuán)。

作為“信息安全國(guó)家隊(duì)”，中國(guó)網(wǎng)安對(duì)信息安全領(lǐng)域一直保持著敏銳的洞察力和前瞻的安全意識(shí)，早在2004年,中國(guó)網(wǎng)安工業(yè)控制安全事業(yè)部前身——中國(guó)電科三十所某部就開(kāi)始開(kāi)展電力SCADA的主動(dòng)防御技術(shù)研究。作為國(guó)內(nèi)最早進(jìn)行工控信息安全攻關(guān)的排頭兵，歷經(jīng)十多年的發(fā)展，中國(guó)網(wǎng)安目前已經(jīng)成為國(guó)內(nèi)同類廠商的領(lǐng)軍者。此次“劫持漏洞”被美國(guó)ICS-CERT官方公示，更是佐證了中國(guó)網(wǎng)安在工控信息安全業(yè)界的絕對(duì)實(shí)力，自此，全球工控信息安全業(yè)界也開(kāi)始有了來(lái)自中國(guó)工控信息安全廠商的聲音!在未來(lái)，中國(guó)網(wǎng)安工業(yè)控制安全事業(yè)部將持續(xù)定位打造“信息安全國(guó)家隊(duì)、行業(yè)融合專家團(tuán)、工控系統(tǒng)守衛(wèi)者”領(lǐng)導(dǎo)品牌，致力通過(guò)十三五期間的全面發(fā)展，成為中國(guó)工業(yè)控制系統(tǒng)信息安全領(lǐng)域最具創(chuàng)新能力和影響力的標(biāo)桿團(tuán)隊(duì)！

背靠百億投入體量母體

中國(guó)網(wǎng)安工業(yè)控制安全事業(yè)部的母體——中國(guó)網(wǎng)安，目前擁有國(guó)內(nèi)最頂級(jí)的網(wǎng)絡(luò)信息安全資質(zhì)與最強(qiáng)的研究和產(chǎn)業(yè)發(fā)展團(tuán)隊(duì)，構(gòu)建了完善的研發(fā)、生產(chǎn)、測(cè)試和服務(wù)質(zhì)量體系，形成了包括理論、算法、芯片、產(chǎn)品、系統(tǒng)、服務(wù)在內(nèi)的完整的信息安全產(chǎn)業(yè)鏈。中國(guó)網(wǎng)安將在中國(guó)電科集團(tuán)公司持續(xù)100億的投資下，集合原有技術(shù)優(yōu)勢(shì)，按照軍民融合產(chǎn)業(yè)發(fā)展思路，聚焦網(wǎng)絡(luò)信息安全，建立軍民產(chǎn)業(yè)互動(dòng)一體化運(yùn)作機(jī)制，布局關(guān)系國(guó)家戰(zhàn)略安全的核心領(lǐng)域，關(guān)系國(guó)家經(jīng)濟(jì)命脈的重要行業(yè)，關(guān)系社會(huì)穩(wěn)定和經(jīng)濟(jì)發(fā)展的企業(yè)和公眾行業(yè)。

工業(yè)控制系統(tǒng)安全是中國(guó)網(wǎng)安重點(diǎn)發(fā)展的七大戰(zhàn)略業(yè)務(wù)版塊之一。工業(yè)控制系統(tǒng)信息安全業(yè)務(wù)領(lǐng)域因其技術(shù)門檻高、社會(huì)影響巨大，對(duì)市場(chǎng)準(zhǔn)入者要求甚高。中國(guó)網(wǎng)安工業(yè)控制安全事業(yè)部在中國(guó)網(wǎng)安母體的強(qiáng)大支撐下，其技術(shù)創(chuàng)新、開(kāi)發(fā)投入、人才建設(shè)，這些對(duì)于信息安全技術(shù)密集型行業(yè)必不可少的靈魂要素，皆會(huì)得到持續(xù)、強(qiáng)勁的投入保障，工控事業(yè)部的科技創(chuàng)新、服務(wù)質(zhì)量將始終保持全國(guó)的領(lǐng)先水平。

典型工控實(shí)驗(yàn)環(huán)境全面支撐

工控信息安全是全新的跨界學(xué)科。自動(dòng)化系統(tǒng)生產(chǎn)工藝精細(xì)、生產(chǎn)過(guò)程危險(xiǎn)、網(wǎng)絡(luò)結(jié)構(gòu)多樣，對(duì)工控信息安全的攻關(guān)研究是個(gè)系統(tǒng)工程。中國(guó)網(wǎng)安在科學(xué)分析匹配路徑后，布局長(zhǎng)遠(yuǎn)、系統(tǒng)投入，高屋建瓴地建設(shè)了“行業(yè)高仿真實(shí)驗(yàn)環(huán)境”、“工控漏洞挖掘?qū)嶒?yàn)環(huán)境”、“工業(yè)協(xié)議分析實(shí)驗(yàn)環(huán)境”、“軍工數(shù)控機(jī)床研究實(shí)驗(yàn)環(huán)境”、“智能制造與工業(yè)物聯(lián)網(wǎng)攻防實(shí)驗(yàn)環(huán)境”、“安全設(shè)備及儀表研究實(shí)驗(yàn)環(huán)境”等多個(gè)工業(yè)控制安全技術(shù)實(shí)驗(yàn)環(huán)境，全面開(kāi)展科技攻關(guān)。拿工控漏洞挖掘?yàn)槔刂?015年12月，中國(guó)網(wǎng)安工業(yè)控制安全事業(yè)部已經(jīng)自主發(fā)現(xiàn)工控漏洞300個(gè)（與CVE、國(guó)家漏洞庫(kù)的漏洞不重復(fù)），其中，高危漏洞125個(gè)，中危漏洞97個(gè)，低危漏洞78個(gè)，工控漏洞挖掘能力可謂國(guó)內(nèi)同類廠商之首。目前，“工控漏洞挖掘?qū)嶒?yàn)室”自建的漏洞庫(kù)覆蓋了西門子、施耐德、GE、ABB、和利時(shí)和浙大中控等業(yè)內(nèi)各主流工控廠商。

國(guó)內(nèi)創(chuàng)新工控防護(hù)技術(shù)理念

工業(yè)控制系統(tǒng)體系化非常強(qiáng)，需要系統(tǒng)級(jí)防護(hù)，目前國(guó)外對(duì)于工控信息安全有“縱深防御”技術(shù)理論作為指導(dǎo)。中國(guó)網(wǎng)安工控事業(yè)部憑借密碼技術(shù)的雄厚實(shí)力，結(jié)合逾10年的工業(yè)控制系統(tǒng)漏洞挖掘與攻防技術(shù)，在國(guó)內(nèi)創(chuàng)新地提出工控信息安全“監(jiān)·評(píng)·防·融”的技術(shù)理念體系，從頂層設(shè)計(jì)及系統(tǒng)性防護(hù)切入問(wèn)題，并在“監(jiān)·評(píng)·防·融”的技術(shù)理念指導(dǎo)下，形成 “以密碼為基礎(chǔ)、攻防兼?zhèn)洹⒁怨ゴ俜馈奔夹g(shù)特色分明的工控信息安全解決方案與產(chǎn)品。

安全威脅全生命周期解決方案及產(chǎn)品

在“監(jiān)·評(píng)·防·融”工控信息安全技術(shù)發(fā)展理念基礎(chǔ)上，中國(guó)網(wǎng)安工控安全事業(yè)部圍繞事前防御、事中響應(yīng)、事后取證的防護(hù)思路，針對(duì)工控系統(tǒng)安全威脅全生命周期開(kāi)發(fā)產(chǎn)品。繼2014年成功推出了獲全國(guó)兩會(huì)點(diǎn)贊的工業(yè)防火墻、工控監(jiān)控系統(tǒng)后，2015年又推出了四款新型工控信息安全產(chǎn)品——工業(yè)控制系統(tǒng)接入互聯(lián)網(wǎng)威脅感知系統(tǒng)、工控漏洞掃描系統(tǒng)、工業(yè)集中管理平臺(tái)、儀表探針。工業(yè)防火墻、工控信息安全監(jiān)控系統(tǒng)名列前茅地通過(guò)了國(guó)家發(fā)改委的測(cè)試專項(xiàng)，并在2015年形成了一定規(guī)模的銷售；工控系統(tǒng)接入互聯(lián)網(wǎng)系統(tǒng)威脅態(tài)勢(shì)感知系統(tǒng)及漏洞掃描系統(tǒng)也已經(jīng)在客戶端顯露威力。

密碼應(yīng)用國(guó)內(nèi)領(lǐng)先

2015年3月，中央辦公廳和國(guó)務(wù)院辦公廳聯(lián)合印發(fā)《關(guān)于加強(qiáng)重要領(lǐng)域密碼應(yīng)用的指導(dǎo)意見(jiàn)》的通知。為基于商密算法的信息安全技術(shù)通過(guò)外部接入、模塊集成、國(guó)產(chǎn)化替代等方式進(jìn)入重要行業(yè)控制系統(tǒng)提供了依據(jù)和指導(dǎo)。中國(guó)網(wǎng)安充分發(fā)揮在國(guó)內(nèi)密碼領(lǐng)域的技術(shù)領(lǐng)先優(yōu)勢(shì)，正在積極地進(jìn)行相關(guān)技術(shù)攻關(guān)與布局。    中國(guó)網(wǎng)安將圍繞重點(diǎn)領(lǐng)域、重點(diǎn)行業(yè)、重點(diǎn)系統(tǒng)與重點(diǎn)配件四個(gè)層面，通過(guò)信息加密、身份認(rèn)證、流量監(jiān)控和安全管理等綜合防護(hù)措施，提升控制系統(tǒng)的信息安全防護(hù)能力，提供安全可靠的安全保障手段，防止敏感數(shù)據(jù)泄露及篡改，保障工業(yè)控制系統(tǒng)安全運(yùn)行。

中國(guó)力量已經(jīng)崛起，中國(guó)聲音蓄勢(shì)待發(fā)。中國(guó)網(wǎng)安將以“高舉旗幟、建設(shè)高地、打造平臺(tái)”的宏偉戰(zhàn)略，聚焦網(wǎng)絡(luò)信息安全；做強(qiáng)信息安全產(chǎn)品，安全信息系統(tǒng)，信息安全服務(wù)與測(cè)評(píng)，安全運(yùn)營(yíng)和系統(tǒng)安全集成等五大業(yè)務(wù)板塊，致力于成為中國(guó)網(wǎng)絡(luò)信息安全的旗艦企業(yè)，國(guó)際知名的全生命期高安全級(jí)信息系統(tǒng)供應(yīng)商。

中國(guó)網(wǎng)安工業(yè)控制安全事業(yè)部將在中國(guó)網(wǎng)安的宏偉戰(zhàn)略下，秉承國(guó)家利益高于一切的忠誠(chéng)與信仰，以嚴(yán)謹(jǐn)求實(shí)的技術(shù)實(shí)力，與各位行業(yè)伙伴精誠(chéng)合作，為我國(guó)工業(yè)控制系統(tǒng)悉心披上信息安全的鎧甲，為中國(guó)智能制造的騰飛提供強(qiáng)大助力，支撐國(guó)家網(wǎng)絡(luò)信息安全戰(zhàn)略實(shí)施，捍衛(wèi)國(guó)家安全！