(網(wǎng)經(jīng)社訊)1，相關(guān)背景
伴隨著互聯(lián)網(wǎng)信息技術(shù)、工業(yè)自動(dòng)化技術(shù)的革命性突破和全球經(jīng)濟(jì)一體化的發(fā)展，工業(yè)互聯(lián)網(wǎng)應(yīng)運(yùn)而生，并迅速成為熱門技術(shù)，成為國際工業(yè)界不斷研究和持續(xù)探索的熱點(diǎn)課題。經(jīng)過近幾年的發(fā)展，工業(yè)互聯(lián)網(wǎng)的推廣普及為工業(yè)經(jīng)濟(jì)發(fā)展提供了更多的內(nèi)驅(qū)力。為更好地激發(fā)工業(yè)互聯(lián)網(wǎng)的技術(shù)潛能，引領(lǐng)工業(yè)互聯(lián)網(wǎng)技術(shù)實(shí)現(xiàn)技術(shù)應(yīng)用開發(fā)，2014年成立了工業(yè)互聯(lián)網(wǎng)聯(lián)盟（IIC），致力于分享綜合利用互聯(lián)網(wǎng)實(shí)現(xiàn)機(jī)械設(shè)備智能化應(yīng)用的改革創(chuàng)新。我國2016年也成立了工業(yè)互聯(lián)網(wǎng)產(chǎn)業(yè)聯(lián)盟，顯示了我國的工業(yè)互聯(lián)網(wǎng)發(fā)展的決心和巨大前景。
工業(yè)互聯(lián)網(wǎng)是滿足工業(yè)智能化發(fā)展需求，具有低時(shí)延、高可靠、廣覆蓋特點(diǎn)的關(guān)鍵網(wǎng)絡(luò)基礎(chǔ)設(shè)施，是新一代信息通信技術(shù)與先進(jìn)制造業(yè)深度融合所形成的新興業(yè)態(tài)與應(yīng)用模式。
其中，網(wǎng)絡(luò)體系是實(shí)現(xiàn)連接全工業(yè)系統(tǒng)、全價(jià)值鏈、全產(chǎn)業(yè)鏈的基礎(chǔ)，包括網(wǎng)絡(luò)互連、標(biāo)識(shí)解析、應(yīng)用支撐三大體系。數(shù)據(jù)包括“采集交換-集成處理-建模分析-決策與控制”，形成優(yōu)化閉環(huán)，驅(qū)動(dòng)工業(yè)智能化。安全是工業(yè)/產(chǎn)業(yè)互聯(lián)網(wǎng)各個(gè)領(lǐng)域和環(huán)境的安全保障，包括設(shè)備安全、控制安全、網(wǎng)絡(luò)安全、應(yīng)用安全和數(shù)據(jù)安全等。為加速提升工業(yè)互聯(lián)網(wǎng)的應(yīng)用質(zhì)量與效果，為我國的經(jīng)濟(jì)結(jié)構(gòu)調(diào)整、動(dòng)能轉(zhuǎn)換貢獻(xiàn)力量，全面推進(jìn)“中國制造2025”和“互聯(lián)網(wǎng)+”行動(dòng)計(jì)劃，有必要圍繞國家網(wǎng)絡(luò)安全法和網(wǎng)絡(luò)安全等級(jí)保護(hù)制度加強(qiáng)對(duì)中央企業(yè)工業(yè)互聯(lián)網(wǎng)信息安全領(lǐng)域解決方案的研究。
2，中央企業(yè)工業(yè)互聯(lián)網(wǎng)安全分析
隨著工業(yè)互聯(lián)網(wǎng)的發(fā)展和新技術(shù)的應(yīng)用，中央企業(yè)的工業(yè)網(wǎng)絡(luò)從生產(chǎn)設(shè)備、控制系統(tǒng)、網(wǎng)絡(luò)架構(gòu)、業(yè)務(wù)應(yīng)用、數(shù)據(jù)傳輸?shù)榷鄠€(gè)層面都發(fā)生了巨大的變化。在在新的變化下如何應(yīng)對(duì)安全風(fēng)險(xiǎn)成為了一個(gè)至關(guān)重要又迫在眉睫的問題。
2.1.工業(yè)互聯(lián)網(wǎng)脆弱性分析
操作系統(tǒng)漏洞
PC+Windows的技術(shù)架構(gòu)現(xiàn)已成為控制系統(tǒng)上位機(jī)/操作站的主流。而在控制網(wǎng)絡(luò)中，上位機(jī)/操作站是實(shí)現(xiàn)與MES通信的主要網(wǎng)絡(luò)結(jié)點(diǎn)，因此其操作系統(tǒng)的漏洞就成為了整個(gè)控制網(wǎng)絡(luò)信息安全中的一個(gè)短板。操作系統(tǒng)漏洞頻繁出現(xiàn)，安全事故時(shí)有發(fā)生。以Windows XP版本為例，就曾被發(fā)現(xiàn)了大量漏洞，典型的如輸入法漏洞、IPC$漏洞、RPC漏洞、Unicode漏洞、IDA&IDQ緩沖區(qū)溢出漏洞、Printer溢出漏洞、Cookie漏洞等等。這些漏洞大部分危害巨大，惡意代碼通過這些漏洞，可以獲得Windows XP操作站的完全控制權(quán)，甚至為所欲為。
工業(yè)控制系統(tǒng)漏洞
由于早期的工業(yè)控制系統(tǒng)都是在相對(duì)獨(dú)立的網(wǎng)絡(luò)環(huán)境下運(yùn)行，在產(chǎn)品設(shè)計(jì)和網(wǎng)絡(luò)部署時(shí)，只考慮了功能性和穩(wěn)定性，對(duì)安全性考慮不足。隨著工業(yè)控制系統(tǒng)網(wǎng)絡(luò)之間互聯(lián)互通的不斷推進(jìn)，以及工控控制系統(tǒng)和工業(yè)設(shè)備接入互聯(lián)網(wǎng)的數(shù)量越來越多，通過互聯(lián)網(wǎng)對(duì)工業(yè)控制系統(tǒng)實(shí)施攻擊的可能性越來越高，而每年新發(fā)現(xiàn)的SCADA、DCS、PLC漏洞數(shù)量也不斷增加，這些都為工業(yè)互聯(lián)網(wǎng)帶來巨大的安全隱患。
從2011年以后工業(yè)控制系統(tǒng)的各種漏洞每年都在高速的增加，這些漏洞將會(huì)成為攻擊工業(yè)控制網(wǎng)絡(luò)的一種主要途徑，通過這些漏洞攻擊可以完成獲取系統(tǒng)權(quán)限、修改工程數(shù)據(jù)和控制流程、非法關(guān)閉現(xiàn)場(chǎng)設(shè)備等操作，造成重大的生產(chǎn)事故和經(jīng)濟(jì)損失。
工業(yè)控制網(wǎng)絡(luò)漏洞
工業(yè)控制網(wǎng)絡(luò)的設(shè)備分布于廠區(qū)各處，甚至是野外，由于網(wǎng)絡(luò)基礎(chǔ)設(shè)施的局限性，經(jīng)常需要無線網(wǎng)絡(luò)、衛(wèi)星、GPRS/CDMA等通用傳輸手段來實(shí)現(xiàn)與調(diào)度中心的連接和數(shù)據(jù)交換。這些傳輸手段沒有足夠的安全保護(hù)和加密措施，很容易出現(xiàn)網(wǎng)絡(luò)竊聽、數(shù)據(jù)劫持、第三人攻擊等安全問題，而且攻擊者還可以利用不安全傳輸方式作為攻擊工業(yè)控制網(wǎng)絡(luò)的入口，實(shí)現(xiàn)對(duì)于整個(gè)工業(yè)控制網(wǎng)絡(luò)的滲透和控制。
云平臺(tái)安全問題
在云平臺(tái)中，作為底層支撐技術(shù)的虛擬化技術(shù)在帶來效率提升和開銷降低的同時(shí),也帶來了一系列由于物理的共享與邏輯隔離的沖突而導(dǎo)致的數(shù)據(jù)安全問題。在公有云環(huán)境下，不同機(jī)構(gòu)之間物理隔離的網(wǎng)絡(luò)被由網(wǎng)絡(luò)虛擬化技術(shù)構(gòu)建的虛擬網(wǎng)絡(luò)取代。這種網(wǎng)絡(luò)資源復(fù)用模式雖然實(shí)現(xiàn)了網(wǎng)絡(luò)資源的高效利用、網(wǎng)絡(luò)流量的集中分發(fā)，但也帶來了諸多安全問題。
2.2.工業(yè)互聯(lián)網(wǎng)安全威脅分析
來自外部網(wǎng)絡(luò)的滲透
工業(yè)互聯(lián)網(wǎng)會(huì)有較多的開放服務(wù)，攻擊者可以通過掃描發(fā)現(xiàn)開放服務(wù)，并利用開放服務(wù)中的漏洞和缺陷登錄到網(wǎng)絡(luò)服務(wù)器獲取企業(yè)關(guān)鍵資料，同進(jìn)還可以利用辦公網(wǎng)絡(luò)作為跳板，逐步滲透到控制網(wǎng)絡(luò)中。通過對(duì)于辦公網(wǎng)絡(luò)和控制網(wǎng)絡(luò)一系列的滲透和攻擊，最終獲取企業(yè)重要的生產(chǎn)資料、關(guān)鍵配方，嚴(yán)重的是隨意更改控制儀表的開關(guān)狀態(tài)，惡意修改其控制量，造成重大的生產(chǎn)事故。
帳號(hào)口令破解
由于企業(yè)有對(duì)外開放的應(yīng)用系統(tǒng)（如郵件系統(tǒng)），在登錄開放應(yīng)用系統(tǒng)的時(shí)候需要進(jìn)行身份認(rèn)證，攻擊都通過弱口令掃描、Sniffer密碼嗅探、暴力破解、信任人打探套取或社工比較合成口令等手段來獲取用戶的口令，這樣直接獲得系統(tǒng)或應(yīng)用權(quán)限。獲取了用戶權(quán)限就可以調(diào)取相關(guān)資料，惡意更改相關(guān)控制設(shè)施。
利用移動(dòng)介質(zhì)攻擊
當(dāng)帶有惡意程序的移動(dòng)介質(zhì)連接到工程師站或操作員站時(shí)，移動(dòng)介質(zhì)病毒會(huì)利用移動(dòng)介質(zhì)自運(yùn)行功能，自動(dòng)啟動(dòng)對(duì)控制設(shè)備進(jìn)行惡意攻擊或惡意指令下置。一方面造成網(wǎng)絡(luò)病毒在企業(yè)各個(gè)網(wǎng)絡(luò)層面自動(dòng)傳播和感染，靠成業(yè)務(wù)系統(tǒng)和控制系統(tǒng)性能的下降，從而影響企業(yè)監(jiān)測(cè)、統(tǒng)籌、決策能力。另一方面會(huì)針對(duì)特定控制系統(tǒng)或設(shè)備進(jìn)行惡意更改其實(shí)際控制量，造成生成事故。
PLC程序病毒的威脅
通過對(duì)工程師站及編程服務(wù)器的控制，感染（替換）其相關(guān)程序，當(dāng)PLC程序的下發(fā)時(shí)，惡意程序一起被下發(fā)到PLC控制設(shè)備上。惡意程序一方面篡改PLC的實(shí)際控制流，另一方面將運(yùn)算好的虛假數(shù)據(jù)發(fā)給PLC的輸出，防止報(bào)警。通過這種方式造成現(xiàn)場(chǎng)設(shè)備的壓力、溫度、液位失控，但監(jiān)測(cè)系統(tǒng)不能及時(shí)發(fā)現(xiàn)，造成重大的安全事故。
利用工業(yè)通信協(xié)議的缺陷
Modbus、DNP3、OPC等傳統(tǒng)工業(yè)協(xié)議缺乏身份認(rèn)證、授權(quán)以及加密等安全機(jī)制，利用中間人攻擊捕獲和篡改數(shù)據(jù)，給設(shè)備下達(dá)惡意指令，影響生產(chǎn)調(diào)度，造成生產(chǎn)失控。
利用無線網(wǎng)絡(luò)入侵
控制網(wǎng)絡(luò)通過DTU無線設(shè)備通過802.11b協(xié)議連接到管理區(qū)的網(wǎng)絡(luò)，通過對(duì)網(wǎng)絡(luò)無線信息的收集，偵測(cè)WEP安全協(xié)議漏洞，破解無線存取設(shè)備與客戶之間的通訊，分析出接入密碼，從而成功接入控制網(wǎng)絡(luò)，控制現(xiàn)場(chǎng)設(shè)備，獲取機(jī)要信息，更改控制系統(tǒng)及設(shè)備的控制狀態(tài)，造成重大影響。
3，中央企業(yè)工業(yè)互聯(lián)網(wǎng)安全解決方案建議
工業(yè)互聯(lián)網(wǎng)實(shí)現(xiàn)了設(shè)備、工廠、人、產(chǎn)品的全方位連接，因此工業(yè)互聯(lián)網(wǎng)安全建設(shè)必須從綜合安全防護(hù)體系的視角對(duì)其進(jìn)行統(tǒng)籌規(guī)劃。從工業(yè)互聯(lián)網(wǎng)的整體架構(gòu)來看，應(yīng)該在各個(gè)層面實(shí)施相應(yīng)的安全防護(hù)措施，并通過入侵檢測(cè)、邊界防護(hù)、協(xié)議分析、行為分析、安全審計(jì)、容災(zāi)備份、態(tài)勢(shì)感知等各種安全技術(shù)與安全管理相結(jié)合的方式實(shí)現(xiàn)工業(yè)互聯(lián)網(wǎng)的安全防護(hù)，形成對(duì)工業(yè)互聯(lián)網(wǎng)安全的“監(jiān)測(cè)、報(bào)警、處置、溯源、恢復(fù)、檢查”工作閉環(huán)。
3.1.智能工廠工控安全防護(hù)建議
中央企業(yè)工業(yè)互聯(lián)網(wǎng)架構(gòu)中位于底層的是生產(chǎn)企業(yè)的智能制造工廠，基于現(xiàn)場(chǎng)數(shù)據(jù)采集的數(shù)據(jù)通信需求、網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、安全性要求等因素，建議如下：
●在過程控制層和現(xiàn)場(chǎng)控制層之間部署工業(yè)防火墻，對(duì)網(wǎng)絡(luò)之間的數(shù)據(jù)訪問進(jìn)行訪問控制；
●在過程控制層部署安全配置核查系統(tǒng)，對(duì)工控設(shè)備、安全設(shè)備、網(wǎng)絡(luò)設(shè)備的安全配置進(jìn)行檢查；在過程控制層部署日志審計(jì)系統(tǒng)，全年采集和分析設(shè)備日志；
●在現(xiàn)場(chǎng)控制層部署工控網(wǎng)絡(luò)安全監(jiān)測(cè)與審計(jì)系統(tǒng)，全面監(jiān)測(cè)異常操作和違規(guī)行為；
●在現(xiàn)場(chǎng)控制層部署運(yùn)維堡壘機(jī)、實(shí)現(xiàn)設(shè)備運(yùn)維操作的全面審計(jì)和行為管控；
●在現(xiàn)場(chǎng)控制層操作員站部署終端安全衛(wèi)士，實(shí)現(xiàn)終端安全保護(hù)。
3.2.工業(yè)互聯(lián)網(wǎng)平臺(tái)安全防護(hù)建議
由于工業(yè)互聯(lián)網(wǎng)云平臺(tái)使用的是虛擬化技術(shù)，導(dǎo)致許多傳統(tǒng)的安全防護(hù)機(jī)制無法直接應(yīng)用于云計(jì)算平臺(tái)。例如傳統(tǒng)防火墻無法對(duì)云平臺(tái)虛擬機(jī)間的通信進(jìn)行訪問。為實(shí)現(xiàn)工業(yè)云平臺(tái)業(yè)務(wù)和服務(wù)的安全交付，用戶訪問的安全隔離和控制，對(duì)DDoS等惡意攻擊、病毒蠕蟲、惡意代碼和釣魚網(wǎng)站等安全威脅的防護(hù)，建議使用云安全管理平臺(tái)、旁路安全資源池、安全虛擬機(jī)等措施。
安全虛擬機(jī)是指宿主機(jī)中的安全虛擬機(jī)，與VSwitch對(duì)接，將宿主機(jī)中其他虛擬機(jī)的流量形成鏡像，并完成流量的初步整形。同時(shí)，將流量鏡像文件傳遞至旁路檢測(cè)資源池。以及云安全管理平臺(tái)。云安全管理平臺(tái)的作用是下發(fā)流量導(dǎo)流策略到安全虛擬機(jī)，完成旁路檢測(cè)導(dǎo)流，收集安全態(tài)勢(shì)信息（流量、連接數(shù)、協(xié)議、IP等）。旁路安全資源池即物理或者虛擬化的安全檢測(cè)或者審計(jì)設(shè)備，由安全虛擬機(jī)將流量導(dǎo)流至資源池內(nèi)進(jìn)行檢測(cè)與審計(jì)。
3.3.建設(shè)工業(yè)互聯(lián)網(wǎng)安全態(tài)勢(shì)感知平臺(tái)的建議
工業(yè)互聯(lián)網(wǎng)安全態(tài)勢(shì)感知平臺(tái)用來全面感知工業(yè)互聯(lián)網(wǎng)安全威脅態(tài)勢(shì)、洞悉網(wǎng)絡(luò)及應(yīng)用運(yùn)行健康狀態(tài)、通過全流量分析技術(shù)實(shí)現(xiàn)完整的網(wǎng)絡(luò)攻擊溯源取證，幫助安全人員采取針對(duì)性響應(yīng)處置措施。
工業(yè)互聯(lián)網(wǎng)安全態(tài)勢(shì)感知系統(tǒng)應(yīng)該具備網(wǎng)絡(luò)空間安全持續(xù)監(jiān)控能力，能夠及時(shí)發(fā)現(xiàn)各種攻擊威脅與異常；具備威脅調(diào)查分析及可視化能力，可以對(duì)威脅相關(guān)的影響范圍、攻擊路徑、目的、手段進(jìn)行快速判別，從而支撐有效的安全決策和響應(yīng)；能夠建立安全預(yù)警機(jī)制，來完善風(fēng)險(xiǎn)控制、應(yīng)急響應(yīng)和整體安全防護(hù)的水平。實(shí)現(xiàn)工業(yè)互聯(lián)網(wǎng)安全“監(jiān)測(cè)、分析、預(yù)測(cè)、防御”的安全功能。
3.4.建設(shè)工業(yè)互聯(lián)網(wǎng)安全綜合管理平臺(tái)的建議
工業(yè)互聯(lián)網(wǎng)安全綜合管理平臺(tái)是中央企業(yè)用于對(duì)信息系統(tǒng)等級(jí)保護(hù)、網(wǎng)絡(luò)安全檢查、網(wǎng)絡(luò)與信息安全信息通報(bào)，應(yīng)急管理等進(jìn)行工作部署、工作過程監(jiān)控及工作結(jié)果統(tǒng)計(jì)分析的一套網(wǎng)絡(luò)安全管理平臺(tái)，是央企工業(yè)互聯(lián)網(wǎng)安全保護(hù)工作的重要管理支撐平臺(tái)。
安全綜合管理平臺(tái)應(yīng)該能夠?qū)崿F(xiàn)在滿足國家安全監(jiān)管部門的要求下，實(shí)現(xiàn)對(duì)工業(yè)互聯(lián)網(wǎng)安全保護(hù)工作的部署、執(zhí)行、反饋的規(guī)范化、流程化，以及集中管理和應(yīng)用工業(yè)互聯(lián)網(wǎng)安全管理工作中的信息與數(shù)據(jù)。
安全綜合管理平臺(tái)應(yīng)能夠落實(shí)中央企業(yè)等級(jí)保護(hù)工作要求，實(shí)現(xiàn)企業(yè)信息系統(tǒng)的定級(jí)、備案、系統(tǒng)整改、等級(jí)測(cè)評(píng)等工作的全過程管理與指導(dǎo)，并實(shí)現(xiàn)工業(yè)互聯(lián)網(wǎng)平臺(tái)與工業(yè)控制系統(tǒng)的安全檢查與評(píng)估，能夠幫助企業(yè)進(jìn)行“等?！弊栽u(píng)估。平臺(tái)能夠?qū)崿F(xiàn)央企和國家安全監(jiān)管部門之間的安全通報(bào)下發(fā)、接收、上報(bào)的全過程管理，同時(shí)為企業(yè)提供應(yīng)急演練預(yù)案、應(yīng)急演練記錄、應(yīng)急預(yù)案、應(yīng)急處置等應(yīng)急工作信息的采集。
4，小結(jié)
本文是以圣博潤副總經(jīng)理趙宇在7月5日舉辦的2018中央企業(yè)網(wǎng)絡(luò)安全與工業(yè)互聯(lián)網(wǎng)交流研討大會(huì)“工業(yè)互聯(lián)網(wǎng)與安全”論壇上所作的《工業(yè)互聯(lián)網(wǎng)安全實(shí)踐與探索》主題報(bào)告的思路為基礎(chǔ)，在對(duì)中央企業(yè)工業(yè)互聯(lián)網(wǎng)安全分析的基礎(chǔ)上，圍繞數(shù)據(jù)、應(yīng)用、網(wǎng)絡(luò)、控制、設(shè)備等多個(gè)層面，分別從智能工廠安全、工業(yè)云平臺(tái)安全、工業(yè)互聯(lián)網(wǎng)安全態(tài)勢(shì)感知、工業(yè)互聯(lián)網(wǎng)安全綜合管理等多個(gè)角度提出的中央企業(yè)工業(yè)互聯(lián)網(wǎng)信息安全解決方案，希望本方案能夠?yàn)橹醒肫髽I(yè)工業(yè)互聯(lián)網(wǎng)安全建設(shè)提供一點(diǎn)啟發(fā)。（來源：南方網(wǎng) 編選：電子商務(wù)研究中心）
