靶向式虛擬補丁：解鎖工業安全漏洞防護新“姿勢”
自2002年“新型工業化”在我國首次被提出
到明確“2025年將大力推進新型工業化”
這期間的二十余年里
我國新型工業化的發展之路并非一帆風順
特別是在工業漏洞方面遭遇了多重挑戰
?工業漏洞現狀?
近年來，我國工業互聯網產業蓬勃發展，應用領域不斷拓展，越來越多的工業控制系統暴露在互聯網上，利用工業漏洞的攻擊行為日益突出，嚴重影響著工業企業的生產運營。
工業互聯網是新型工業化的戰略性基礎設施和發展新質生產力的重要驅動力量。根據國家信息安全漏洞共享平臺（CNVD）收錄漏洞數據顯示，自2021年開始，新增工業漏洞數量總體雖呈下降的趨勢，但高危漏洞占比在近兩年仍然很高，漏洞所蘊含的安全風險不能忽視。
CNVD收錄新增工業漏洞數量年度統計
工業漏洞痛點
研究表明，工業漏洞利用可能引發工業主機死機、工業主機藍屏、組態監控畫面失效、通信網絡中斷、控制器宕機等安全事件，給工業生產帶來安全隱患。
當前，部分工業控制器與操作系統因廠商停止技術支持而陷入無補丁可用的困境，且補丁升級與修復過程可能與現有系統、軟件及配置產生不兼容，導致系統穩定性受損或功能部分失效。為降低工業漏洞對工業生產造成的安全威脅，多數網絡安全廠商傾向于采用傳統的虛擬補丁方案來應對工業漏洞帶來的安全隱患，但這種方式存在延遲高、誤判、運維成本高等一系列問題。
01 虛擬補丁采用全量級黑名單規則庫檢測機制，在實際應用中會大量消耗安全設備資源，導致通信網絡延遲高，容易對工業生產業務運行造成影響。
02 虛擬補丁雖然提供了一種較為廣泛的防護手段，但缺乏靶向式的精確性。面對復雜多變的工業網絡攻擊時，為保證安全策略不對工業生產的正常運行造成影響，容易產生較多誤判問題。
03 虛擬補丁的更新升級通常需要依賴外部互聯網連接，這一機制并不適用于工業現場。此外，頻繁地更新虛擬補丁無疑會加重運維工作的負擔，導致運維成本顯著提升。
基于上述原因，多數企業無法有效落實工業漏洞利用防護措施，漏洞防護已成為工業企業網絡安全防護體系中的薄弱環節。在此背景下，天融信提出了基于靶向式虛擬補丁的工業漏洞安全防護新思路。
基于靶向式虛擬補丁的
工業漏洞安全防護新思路
靶向式虛擬補丁的顯著優勢在于其采用靶向式、輕量級的規則庫，可根據控制器品牌、型號、版本，操作系統版本，數據庫版本以及組態軟件版本等漏洞利用特征和CVE編號信息，對工業現場存在的漏洞進行針對性的防護，有效解決全規則庫造成的高延遲問題。具體可參考下述步驟展開。
1、考慮工業環境通信資源受限的特殊性，主動探測掃描易引發DDoS攻擊，導致通信中斷、控制器宕機。天融信工業漏洞掃描系統采用靜態掃描方式，將需要掃描的工業資產進行梳理和信息收集后，靜態導入設備進行精細化漏洞匹配。在不影響工業生產業務的同時，準確識別系統存在的漏洞信息，為靶向式虛擬補丁防御規則配置提供依據。
2、以現場識別的工業控制系統漏洞為依據，配置工業防火墻靶向式虛擬補丁策略，迅速識別并響應潛在攻擊。在工業控制系統邊界檢測網絡數據包、監控應用層協議，精準捕捉數據包中潛藏的漏洞特征和攻擊行為，匹配到對應攻擊規則后便會對數據包采取阻斷、放行、告警等操作，對工業漏洞利用攻擊行為進行精準、高效的靶向管控。
3、在工業控制系統邊界部署工業入侵檢測系統，形成“工業入侵檢測+工業防火墻”聯動防御策略。工業入侵檢測實時監測網絡流量，運用“靶向式虛擬補丁防護規則+常規規則庫”，精準識別漏洞利用及網絡攻擊行為，一旦發現異常或潛在攻擊，即刻向工業防火墻發送告警。工業防火墻依此動態調整策略，快速阻斷惡意流量。此聯動機制彌補了工業防火墻檢測短板，降低威脅響應時間，提升防御精準度，減少誤報漏報情況，實現智能安全防御。
4、在工業主機終端上部署工業主機衛士，在不需要重啟操作系統的情況下，基于操作系統、數據庫、組態軟件等漏洞特征，通過配置該軟件的靶向式安全防護策略，實現漏洞及時“修復”，構建從網絡到終端層面上工業漏洞威脅的閉環精準防御能力。
靶向式虛擬補丁應用案例
某制造企業為提升生產管理效率和降低成本，建設了MES系統。由于MES系統與企業信息網絡互聯且需要從不同車間采集現場生產數據，導致工業控制系統暴露在互聯網上，極易被攻擊者利用工業漏洞發起網絡攻擊。此外，現場的老舊工業控制器和工業主機系統在補丁升級方面存在兼容性問題，修復漏洞需在停產或檢修期間進行，不可控風險加大。
為應對控制器固件版本漏洞、操作系統漏洞等潛在的網絡安全威脅，天融信在企業生產網核心交換機上部署工業入侵檢測、生產車間邊界部署工業防火墻、工業主機終端上部署工業主機衛士，結合靶向式虛擬補丁防護技術手段，對企業存在的工業漏洞進行靶向安全防御，確保企業業務不受影響的同時，強化企業漏洞安全防護、邊界安全防護及終端安全防護能力。
近期，在全國工業和信息化工作會議上，工業和信息化部表示，2025年將大力推進新型工業化，以進一步全面深化改革為動力，深入實施制造業重點產業鏈高質量發展行動，提升產業科技創新能力，改造升級傳統產業，鞏固提升優勢產業，培育壯大新興產業，前瞻布局未來產業。
作為網絡安全行業領軍企業，天融信在工業信息安全領域砥礪深耕，緊密結合工業實際場景，已推出5大類共14款工業安全產品，廣泛應用于電力、石油、軌道交通、冶金、煤炭、煙草、制造等30余行業的80個細分業務場景，積累了豐富的實踐經驗。
相關閱讀
