第1章 绪论 1
1.1 全书概述和学习重点 1
1.2 本书读者 1
1.3 图表 2
1.4 智能电网 2
1.5 本书章节组织 3
1.5.1 第2章工业网络概述 3
1.5.2 第3章工业网络安全导论 4
1.5.3 第4章工业网络协议 4
1.5.4 第5章工业网络的运行机制 4
1.5.5 第6章脆弱性与风险评估 4
1.5.6 第7章建立安全区域 4
1.5.7 第8章异常与威胁检测 5
1.5.8 第9章监控区域 5
1.5.9 第10章标准规约 5
1.5.10 第11章常见陷阱与误区 5
1.6 结论 5
第2章 工业网络概述 7
2.1 工业网络和关键基础设施 7
2.1.1 关键基础设施 8
2.1.2 关键与非关键工业网络的比较 11
2.2 相关标准和组织 12
2.2.1 国土安全第7号总统令（HSPD-7） 12
2.2.2 NIST特别出版物（800系列） 13
2.2.3 NERC CIP 13
2.2.4 核监管委员会 13
2.2.5 联邦信息安全管理条例 15
2.2.6 化工设施反恐怖标准 16
2.2.7 ISA-99 17
2.2.8 ISO 27002 18
2.3 常见工业安全建议 19
2.3.1 关键系统识别 19
2.3.2 网络划分／系统隔离 20
2.3.3 深度防御 23
2.3.4 访问控制 24
2.4 本书中术语的用法 24
2.4.1 可路由和不可路由网络 25
2.4.2 资产 25
2.4.3 区域 26
2.4.4 电子安全边界 27
2.5 本章小结 28
参考文献 28
第3章 工业网络安全导论 31
3.1 工业网络安全的重要性 31
3.2 工业网络事故的影响 34
3.2.1 安全控制 34
3.2.2 网络攻击的后果 35
3.3 工业网络事故案例 36
3.3.1 检查Stuxnet 38
3.3.2 Night Dragon 41
3.4 APT与网络战 41
3.4.1 高级持续性威胁 42
3.4.2 网络战 44
3.4.3 APT与网络战的趋势 45
3.4.4 将要到来的APT攻击 48
3.4.5 防御APT 49
3.4.6 响应APT 50
3.5 本章小结 51
参考文献 52
第4章 工业网络协议 56
4.1 工业网络协议概述 56
4.2 Modbus 57
4.2.1 功能用途 58
4.2.2 工作机理 58
4.2.3 衍生变种 59
4.2.4 适用范围 60
4.2.5 安全问题 60
4.2.6 安全建议 61
4.3 ICCP/TASE.2协议 62
4.3.1 功能用途 63
4.3.2 工作机理 63
4.3.3 适应范围 64
4.3.4 安全问题 64
4.3.5 相对于Modbus的安全改进 65
4.3.6 安全建议 66
4.4 DNP3协议 67
4.4.1 功能用途 67
4.4.2 工作机理 68
4.4.3 安全DNP3 70
4.4.4 适用范围 72
4.4.5 安全问题 72
4.4.6 安全建议 73
4.5 面向过程控制的对象链接与嵌入技术 74
4.5.1 功能用途 74
4.5.2 工作机理 74
4.5.3 OPC-UA与OPC-Ⅺ 75
4.5.4 适用范围 76
4.5.5 安全问题 76
4.5.6 安全建议 78
4.6 其他工业网络协议 78
4.6.1 Ethernet/IP协议 79
4.6.2 Profibus协议 80
4.6.3 EtherCAT协议 81
4.6.4 Ethernet Powerlink协议 82
4.6.5 SERCOSⅢ协议 83
4.7 AMI与智能电网 83
4.7.1 安全问题 85
4.7.2 安全建议 85
4.8 本章小结 85
参考文献 86
第5章 工业网络运行机制 90
5.1 控制系统资产 90
5.1.1 智能电子设备 90
5.1.2 远程终端单元 91
5.1.3 可编程逻辑控制器 91
5.1.4 人机接口 94
5.1.5 监管工作站 95
5.1.6 历史数据库 95
5.1.7 业务信息控制台和仪表板 96
5.1.8 其他资产 97
5.2 网络架构 97
5.3 控制系统的运行 101
5.3.1 控制回路 101
5.3.2 控制过程 103
5.3.3 反馈回路 103
5.3.4 业务信息管理 104
5.4 控制过程管理 106
5.5 智能电网运行 107
5.6 本章小结 108
参考文献 109
第6章 脆弱性与风险评估 111
6.1 基本黑客技术 111
6.1.1 攻击过程 112
6.1.2 针对工业网络的攻击 115
6.1.3 威胁代理 122
6.2 接入工业网络 123
6.2.1 业务网络 124
6.2.2 SCADA DMZ 126
6.2.3 控制系统 127
6.2.4 常见漏洞 128
6.2.5 智能电网 132
6.3 确定漏洞 132
6.3.1 漏洞评估的重要性 136
6.3.2 工业网络的漏洞评估 137
6.3.3 配置正确的漏洞扫描 138
6.3.4 在何处执行VA扫描 139
6.3.5 网络安全评估工具 139
6.4 漏洞管理 140
6.4.1 补丁管理 141
6.4.2 配置管理 143
6.4.3 设备移除和隔离检疫 143
6.5 本章小结 144
参考文献 144
第7章 建立安全区域 148
7.1 识别功能组 149
7.1.1 网络连接 150
7.1.2 控制回路 150
7.1.3 监控系统 151
7.1.4 控制流程 152
7.1.5 控制数据存储 153
7.1.6 交易通信 153
7.1.7 远程访问 154
7.1.8 用户和角色 155
7.1.9 协议 157
7.1.10 重要级别 158
7.1.11 使用功能组识别区域 159
7.2 建立区域 161
7.2.1 确定区域边界 161
7.2.2 网络变更 164
7.2.3 区域及其安全策略设计 164
7.2.4 区域及其安全设备配置 164
7.3 区域边界安全防护 166
7.3.1 边界安全设备的选择 166
7.3.2 边界安全设备的部署 168
7.3.3 入侵检测与防御系统配置指南 172
7.4 区域内部安全防护 181
7.5 本章小结 185
参考文献 185
第8章 异常与威胁检测 188
8.1 异常报告 189
8.2 行为异常检测 191
8.2.1 衡量基准 191
8.2.2 异常检测 194
8.3 行为白名单 197
8.3.1 用户白名单 198
8.3.2 资产白名单 198
8.3.3 应用程序行为白名单 200
8.4 威胁检测 203
8.4.1 事件关联 204
8.4.2 IT和OT系统之间的关联 209
8.5 本章小结 210
参考文献 211
第9章 监控区域 212
9.1 监控对象的选择 213
9.1.1 安全事件 214
9.1.2 资产 215
9.1.3 配置 218
9.1.4 应用程序 219
9.1.5 网络 220
9.1.6 用户身份认证 221
9.1.7 其他上下文信息 224
9.1.8 行为 225
9.2 区域的有效监控 225
9.2.1 日志收集 226
9.2.2 直接监控 227
9.2.3 推断监控 227
9.2.4 信息收集和管理工具 230
9.2.5 跨安全边界的监控 233
9.3 信息管理 233
9.3.1 查询 234
9.3.2 报告 236
9.3.3 警报 236
9.3.4 事故调查与响应 238
9.4 日志存储和保留 238
9.4.1 抗否认性 239
9.4.2 数据保留和存储 239
9.4.3 数据可用性 240
9.5 本章小结 241
参考文献 242
第10章 标准规约 244
10.1 通用标准规约 245
10.1.1 NERC CIP 245
10.1.2 CFATS 246
10.1.3 ISO/IEC 27002:2005 247
10.1.4 NRC规约5.71 248
10.1.5 NIST SP 800-82 248
10.2 建立工业网络安全到合规的映射 248
10.2.1 边界安全控制 249
10.2.2 主机安全控制 261
10.2.3 安全监控控制 271
10.3 建立合规控制到网络安全的映射 285
10.4 CC标准与FIPS标准 289
10.4.1 CC标准 289
10.4.2 FIPS 140-2 290
10.5 本章小结 290
参考文献 291
第11章 常见陷阱与误区 294
11.1 自满 294
11.1.1 脆弱性评估与零日攻击 295
11.1.2 真正的安全与策略和感知 295
11.1.3 过于迷信物理隔离 296
11.2 错误配置 296
11.2.1 默认账户与密码 297
11.2.2 出站安全与监控的缺失 298
11.2.3 执行重载 298
11.2.4 Ronco边界 299
11.3 合规与安全 299
11.3.1 审计材料 300
11.3.2 “一周合规窗口” 300
11.4 范围和规模 301
11.4.1 工程限制的思考 302
11.4.2 安全控制的局限性 302
11.5 本章小结 303
参考文献 303
术语表 305
附录A 协议资源 315
附录B 标准化组织 317
附录C NIST安全指南 320