構(gòu)筑工業(yè)互聯(lián)網(wǎng)安全防護體系 為推動先進制造業(yè)發(fā)展保駕護航

劉仁輝，張 尼，吳云峰

(中國電子信息產(chǎn)業(yè)集團有限公司第六研究所，北京 100083)

2017年11月，國務(wù)院印發(fā)《關(guān)于深化“互聯(lián)網(wǎng)+先進制造業(yè)”發(fā)展工業(yè)互聯(lián)網(wǎng)的指導(dǎo)意見》，作為今后規(guī)范和指導(dǎo)我國工業(yè)互聯(lián)網(wǎng)發(fā)展的指導(dǎo)性文件。《指導(dǎo)意見》是以十九大精神為指引，全面落實習(xí)近平新時代中國特色社會主義思想，以推進供給側(cè)結(jié)構(gòu)性改革為主線，結(jié)合實施“中國制造2025”和“互聯(lián)網(wǎng)+”，加快建設(shè)和發(fā)展工業(yè)互聯(lián)網(wǎng)，促進新一代信息技術(shù)與制造業(yè)深度融合，這對推動實體經(jīng)濟轉(zhuǎn)型升級，大力發(fā)展數(shù)字經(jīng)濟，打造制造強國、網(wǎng)絡(luò)強國具有重要意義?！吨笇?dǎo)意見》明確了主要任務(wù)，即打造網(wǎng)絡(luò)、平臺、安全三大功能體系，推進大型企業(yè)集成創(chuàng)新和中小企業(yè)應(yīng)用普及兩類應(yīng)用，構(gòu)筑產(chǎn)業(yè)、生態(tài)、國際化三大支撐七項任務(wù)。

在工業(yè)領(lǐng)域中，互聯(lián)網(wǎng)、大數(shù)據(jù)、人工智能、云計算等新興技術(shù)與傳統(tǒng)的工業(yè)控制系統(tǒng)相結(jié)合組成了工業(yè)互聯(lián)網(wǎng)，實現(xiàn)了更大范圍的感知和智能化的控制，形成了信息物理系統(tǒng)(Cyber-Physical System，CPS)，并通過IT與OT的有機融合和深度協(xié)作，使智能生產(chǎn)、智能運營、消費需求與生產(chǎn)制造精確對接，實現(xiàn)生產(chǎn)系統(tǒng)智能化、商業(yè)系統(tǒng)智能化，廣泛應(yīng)用于能源、化工、水利、交通、加工制造、水及污水處理等關(guān)系到國計民生的重點行業(yè)。

由于工業(yè)互聯(lián)網(wǎng)中工業(yè)網(wǎng)絡(luò)與基于Internet技術(shù)的商業(yè)網(wǎng)絡(luò)打通，病毒及黑客威脅隨之而來。近年來全球工業(yè)互聯(lián)網(wǎng)安全事件頻發(fā)，僅2016年就接連發(fā)生了“食尸鬼”定向網(wǎng)絡(luò)攻擊、伊朗黑客攻擊美國大壩、Mirai僵尸病毒DDoS攻擊、黑帽大會上公開PLC間傳播的蠕蟲病毒PLC-Blaster及后續(xù)的Rootkit、俄羅斯黑客公開工控設(shè)備默認口令等影響力巨大的安全事件，2017年上半年勒索病毒肆虐全球，國內(nèi)部分企業(yè)也深受其害。盡管我國并非上述所有攻擊的直接受害者，但以他國為鏡，也充分折射出我國工業(yè)互聯(lián)網(wǎng)的諸多問題，如國外設(shè)備后門、工控及IT設(shè)備的漏洞、黑色產(chǎn)業(yè)鏈共享協(xié)作的工業(yè)蠕蟲病毒、國外勢力資助的高級持續(xù)性威脅(APT)攻擊等。

工業(yè)互聯(lián)網(wǎng)一般由設(shè)備層、控制層、網(wǎng)絡(luò)層、應(yīng)用層、數(shù)據(jù)層組成，下面從這五個層次分析一下我國工業(yè)互聯(lián)網(wǎng)面臨的安全挑戰(zhàn)。

(1)設(shè)備層安全挑戰(zhàn)：隨著具有聯(lián)網(wǎng)通信、安裝應(yīng)用(APP)能力的智能工業(yè)設(shè)備不斷增多，導(dǎo)致海量設(shè)備直接暴露在工業(yè)互聯(lián)網(wǎng)上，木馬病毒能在這些暴露的設(shè)備之間以指數(shù)級的速度感染擴散。另外，這些智能設(shè)備所用芯片、嵌入式OS、編碼規(guī)范以及功能安全等也均存在后門、漏洞、缺陷等安全風(fēng)險。

(2)控制層安全挑戰(zhàn)：主要指PLC、DCS、SCADA等工業(yè)控制系統(tǒng)，在控制平臺、控制協(xié)議、控制軟件設(shè)計之初，主要考慮實時性和可靠性，一方面核心元件大都是國外廠家，存在后門、漏洞風(fēng)險，另一方面諸如完整性校驗、身份認證、授權(quán)、加密等信息安全功能都被忽略。IT和OT的融合，打破了傳統(tǒng)的安全可信控制環(huán)境，網(wǎng)絡(luò)攻擊可從IT層滲透至OT層，但目前還缺乏有效應(yīng)對高級持續(xù)威脅攻擊檢測和防護手段。

(3)網(wǎng)絡(luò)層安全挑戰(zhàn)：涵蓋工業(yè)網(wǎng)絡(luò)、無線網(wǎng)絡(luò)、商業(yè)互聯(lián)網(wǎng)?！皟苫诤稀毕嗽械墓I(yè)環(huán)境內(nèi)外部安全邊界，將互聯(lián)網(wǎng)、信息系統(tǒng)的安全風(fēng)險引入工業(yè)網(wǎng)絡(luò)，包括網(wǎng)絡(luò)傳遞過程中常見的拒絕服務(wù)(DoS)、中間人攻擊等，傳輸鏈路上的軟硬件安全，無線網(wǎng)絡(luò)防護邊界模糊等安全風(fēng)險。

(4)應(yīng)用層安全挑戰(zhàn)：企業(yè)信息化管理涉及的門戶網(wǎng)站、ERP、PDM、CRM以及云平臺等，除面臨傳統(tǒng)IT安全挑戰(zhàn)中的病毒、木馬、漏洞等威脅外，還面臨云平臺服務(wù)虛擬化中的違規(guī)接入、內(nèi)部入侵、多租戶風(fēng)險、跳板入侵等威脅。

(5)數(shù)據(jù)層安全挑戰(zhàn)：指企業(yè)內(nèi)部生產(chǎn)管理數(shù)據(jù)、生產(chǎn)操作數(shù)據(jù)以及企業(yè)外部數(shù)據(jù)，不管是大數(shù)據(jù)存儲還是分布式服務(wù)器存儲，都面臨數(shù)據(jù)丟失、竊取、篡改等安全風(fēng)險。

針對上述工業(yè)互聯(lián)網(wǎng)安全挑戰(zhàn)的分析，應(yīng)該從以下幾個方面構(gòu)建可檢測、可防護、可替代的工業(yè)互聯(lián)網(wǎng)安全深度防護體系(如圖1所示)。

第一，態(tài)勢感知，實時威脅情報和風(fēng)險通報。綜合分析工業(yè)互聯(lián)網(wǎng)安全要素，結(jié)合商業(yè)網(wǎng)絡(luò)、企業(yè)、工業(yè)

圖1 工業(yè)互聯(lián)網(wǎng)安全主動防護體系

網(wǎng)絡(luò)狀態(tài)，評估工業(yè)互聯(lián)網(wǎng)的安全狀況，通過信息流感知、物質(zhì)流感知以及能量流感知，預(yù)測攻擊向量及攻擊鏈路，并以可視化的方式展現(xiàn)，實現(xiàn)事前防御、事中控制、事后恢復(fù)的目標。態(tài)勢感知和未知威脅發(fā)現(xiàn)是工業(yè)互聯(lián)網(wǎng)應(yīng)對安全挑戰(zhàn)的重要策略。

第二，漏洞管理，及時補丁管理和固件升級?？茖W(xué)地檢測各類服務(wù)器、終端和工控系統(tǒng)漏洞，并合理更新補丁是工業(yè)互聯(lián)網(wǎng)防御的重要組成。研究工業(yè)互聯(lián)網(wǎng)靜態(tài)和動態(tài)安全漏洞分析挖掘技術(shù)、閉環(huán)漏洞規(guī)則情報策略管理流程以及工控漏洞載體行為管理分析研判模型，實現(xiàn)基于工控載體權(quán)重的多維度全生命周期的漏洞管理。漏洞掃描系統(tǒng)可定期和持續(xù)地進行全面可靠的安全評估，提供完整的漏洞管理機制，更大限度地保證工業(yè)互聯(lián)網(wǎng)的安全性和穩(wěn)定性。

第三，自主可信，保證工控系統(tǒng)免疫及本質(zhì)安全。研制基于國產(chǎn)化處理器、嵌入式操作系統(tǒng)、計算機和操作系統(tǒng)，具有自主可控、安全可信的可編程控制器(PLC)產(chǎn)品、邏輯編程軟件、監(jiān)控組態(tài)軟件，真正擺脫國外產(chǎn)品壟斷市場的“卡脖子”、“牽鼻子”、“甩臉子”的現(xiàn)狀。信息安全防護技術(shù)采用主動免疫可信計算3.0，以密碼為基因，實施身份識別、狀態(tài)度量、保密存儲等功能，及時識別“自己”和“非己”成分，阻止已知、未知的病毒、木馬的運行，使攻擊者攻不進去，竊取保密信息看不懂，系統(tǒng)工作癱不成，通過工控系統(tǒng)自身免疫來保證本質(zhì)安全。

第四，攻防兼?zhèn)?，持續(xù)優(yōu)化工業(yè)互聯(lián)網(wǎng)安全防護策略。研究建立工業(yè)互聯(lián)網(wǎng)入侵及攻擊模型，構(gòu)建等效于真實場景的仿真模擬環(huán)境，驗證防護、攻擊、對抗能力，支持與真實網(wǎng)絡(luò)環(huán)境等效的紅藍對抗和觀測評測，具有大規(guī)模網(wǎng)絡(luò)場景逼真復(fù)現(xiàn)能力，有效支撐網(wǎng)絡(luò)攻防前沿技術(shù)的研究、試驗和應(yīng)用，可進行工控系統(tǒng)安全事件分析、網(wǎng)絡(luò)攻防實驗、網(wǎng)絡(luò)運行機理規(guī)律分析、決策支持和演練等研究。在大規(guī)模模擬

攻擊情況下，實訓(xùn)演練防御隊伍，為各行業(yè)培養(yǎng)儲備安全人才；支持大規(guī)模攻擊防御對抗演習(xí)，可以實現(xiàn)一個行業(yè)網(wǎng)絡(luò)安全攻防演練，如能源、化工、水利、交通、加工制造、水及污水處理等網(wǎng)絡(luò)的安全性防御演練，發(fā)現(xiàn)各行業(yè)工業(yè)互聯(lián)網(wǎng)中的核心安全問題。

國務(wù)院印發(fā)的《指導(dǎo)意見》中著重強調(diào)了發(fā)展工業(yè)互聯(lián)網(wǎng)的安全保障，“堅持工業(yè)互聯(lián)網(wǎng)安全保障手段同步規(guī)劃、同步建設(shè)、同步運行，提升工業(yè)互聯(lián)網(wǎng)安全防護能力”，“加強工業(yè)互聯(lián)網(wǎng)安全體系研究，技術(shù)和管理相結(jié)合，建立涵蓋設(shè)備安全、控制安全、網(wǎng)絡(luò)安全、平臺安全和數(shù)據(jù)安全的工業(yè)互聯(lián)網(wǎng)多層次安全保障體系”。

中國電子信息產(chǎn)業(yè)集團有限公司第六研究所(電子六所)依托工業(yè)控制系統(tǒng)信息安全技術(shù)國家工程實驗室，一直致力于工業(yè)互聯(lián)網(wǎng)及工業(yè)控制系統(tǒng)信息安全技術(shù)的研究，下設(shè)網(wǎng)絡(luò)安全檢測中心、工控系統(tǒng)安全研究室、網(wǎng)絡(luò)靶場研發(fā)中心、智能制造研究室等基礎(chǔ)研究室，同時面向行業(yè)有針對性地建設(shè)了行業(yè)安全研究室，如軌道交通行業(yè)安全研究室、電力電網(wǎng)行業(yè)安全研究室、石油化工行業(yè)安全研究室等。

今后電子六所將在國家部委的指導(dǎo)下，“聯(lián)合創(chuàng)新，集智攻關(guān)”，研究工業(yè)互聯(lián)網(wǎng)安全主動防御技術(shù)體系，抵御跨越信息物理空間的已知及未知威脅，從設(shè)備本質(zhì)安全、通信安全、邊界安全、業(yè)務(wù)安全等維度，突破本質(zhì)安全與信息安全、功能安全與信息安全、OT安全與IT安全融合場景下的工業(yè)互聯(lián)網(wǎng)安全防護難題，構(gòu)建涵蓋設(shè)備安全、控制安全、網(wǎng)絡(luò)安全、平臺安全和數(shù)據(jù)安全的工業(yè)互聯(lián)網(wǎng)多層次的、自主可信的、深度安全的主動防護體系，為推動我國先進制造業(yè)的大力發(fā)展保駕護航！