數(shù)字孿生水利工程網(wǎng)絡(luò)安全風(fēng)險分析和保障體系

徐 波,王 昕

(漢江水利水電(集團(tuán))有限責(zé)任公司,湖北 武漢 430048)

0 引 言

建設(shè)數(shù)字孿生水網(wǎng)是建設(shè)國家水網(wǎng)的重要內(nèi)容,也是推動新階段水利高質(zhì)量發(fā)展的重要標(biāo)志[1]。數(shù)字孿生是流域建設(shè)的新發(fā)展模式和轉(zhuǎn)型路徑,其是指通過運(yùn)用物聯(lián)網(wǎng)、大數(shù)據(jù)、云計算、人工智能等新技術(shù),實(shí)現(xiàn)數(shù)字化場景、智慧化模擬、精準(zhǔn)化決策,建成具有“四預(yù)”功能的智慧水利體系,成為新階段水利高質(zhì)量發(fā)展的有力支撐和強(qiáng)力驅(qū)動[2]。

數(shù)字孿生水利工程是以物理水利工程為單元、時空數(shù)據(jù)為底座、數(shù)據(jù)模型為核心、水利知識為驅(qū)動,對物理水利工程全要素和建設(shè)運(yùn)行全過程進(jìn)行數(shù)字映射、智能模擬、前瞻預(yù)演,實(shí)現(xiàn)對物理水利工程的實(shí)時監(jiān)控,從而發(fā)現(xiàn)問題、優(yōu)化調(diào)度的新型基礎(chǔ)設(shè)施[3],是保障水利工程安全運(yùn)行、充分發(fā)揮水利工程在防洪興利、水資源調(diào)配等方面綜合效益的重要手段,是智慧水利建設(shè)的重要組成部分,是數(shù)字孿生流域建設(shè)的關(guān)鍵節(jié)點(diǎn),也是水利數(shù)字孿生建設(shè)的切入點(diǎn)和突破點(diǎn)。隨著數(shù)字孿生水利工程的推進(jìn),工程自動化程度將越來越高,風(fēng)險也將急劇增大。因此,在數(shù)字孿生水利工程建設(shè)中,要高度重視網(wǎng)絡(luò)安全,構(gòu)建完善的網(wǎng)絡(luò)安全體系架構(gòu)[4]。

本文基于漢江流域數(shù)字孿生建設(shè)實(shí)際情況,通過分析數(shù)字孿生水利工程網(wǎng)絡(luò)安全的新特點(diǎn),對風(fēng)險進(jìn)行識別,從工程管理甚至流域管理、行業(yè)管理的角度探討如何建立與之相適應(yīng)的網(wǎng)絡(luò)安全保障體系,并在安全管理、技術(shù)防護(hù)和安全運(yùn)維等方面采取切實(shí)可行的措施,有針對性地開展網(wǎng)絡(luò)安全保障體系建設(shè),為數(shù)字孿生系統(tǒng)的安全穩(wěn)定運(yùn)行提供保障。

1 數(shù)字孿生水利工程平臺建設(shè)情況

根據(jù)水利部要求,漢江流域數(shù)字孿生項(xiàng)目基于智慧水利建設(shè)總體框架開展建設(shè),建設(shè)范圍以丹江口庫區(qū)工程及中下游干流沿江區(qū)域?yàn)橹攸c(diǎn),覆蓋了漢江全流域,工程對象包括漢江上中游水庫群、引調(diào)水工程以及漢江中下游航電樞紐、分蓄洪民垸、蓄滯洪區(qū)、沿江堤防,以及防洪控制站與水量分配控制斷面等。該數(shù)字孿生工程聚焦?jié)h江流域水利業(yè)務(wù)能力提升需求,在虛擬空間再造一個與物理漢江相匹配、相對應(yīng)的數(shù)字孿生流域,提升三維數(shù)字化場景與漢江水利業(yè)務(wù)全要素的融合程度,實(shí)現(xiàn)漢江流域?qū)崟r狀態(tài)與控制管理的鏡像化描述和智能化反饋。

漢江流域數(shù)字孿生項(xiàng)目建設(shè)依托水利云、水利信息網(wǎng)及水利感知網(wǎng)等信息化基礎(chǔ)設(shè)施,統(tǒng)籌協(xié)同工控網(wǎng)與業(yè)務(wù)網(wǎng)資源,充分利用自建云、政務(wù)云及業(yè)務(wù)云等計算資源,從數(shù)據(jù)底板、模型平臺、知識平臺等方面搭建數(shù)字孿生核心框架,并支撐應(yīng)用及水利智慧業(yè)務(wù)的開發(fā)。

2 數(shù)字孿生水利工程網(wǎng)絡(luò)安全風(fēng)險分析

數(shù)字孿生水利工程總體架構(gòu)以水利信息化基礎(chǔ)設(shè)施為依托(見圖1),通過開發(fā)算法模型,使用大數(shù)據(jù)、人工智能、知識圖譜等新技術(shù),將感知、計算、通信、控制等技術(shù)與樞紐工程、引水工程、河道工程等水利工程中物理實(shí)體、運(yùn)行環(huán)境等生產(chǎn)要素深度融合并進(jìn)行數(shù)字化表達(dá),構(gòu)建具備高度智能性、系統(tǒng)性、動態(tài)性、精確性和完整性的數(shù)字孿生平臺[5]。作為智慧水利體系的“血管”,數(shù)字孿生平臺信息化基礎(chǔ)設(shè)施為整個系統(tǒng)運(yùn)行提供了數(shù)據(jù)流動安全保障,通過云服務(wù)將數(shù)據(jù)傳遞至系統(tǒng)處理層。數(shù)字孿生平臺信息化基礎(chǔ)設(shè)施主要包括云存儲、云計算、網(wǎng)絡(luò)通信、安全防護(hù)等技術(shù)設(shè)施[6]。數(shù)字孿生平臺由數(shù)據(jù)底板、模型庫和知識庫以及模擬仿真引擎構(gòu)成。數(shù)據(jù)底板是數(shù)字孿生的基礎(chǔ),模型庫和知識庫是核心,模擬仿真引擎實(shí)現(xiàn)物理實(shí)體與虛擬空間的映射[7]。根據(jù)水利工程的各自特點(diǎn)和業(yè)務(wù)重點(diǎn)不同,在數(shù)字孿生平臺上開發(fā)適應(yīng)各水管單位所需的防洪、供水、工程運(yùn)行等各類水利業(yè)務(wù)應(yīng)用系統(tǒng)。數(shù)字孿生水利工程的系統(tǒng)結(jié)構(gòu)包括了從感知層、傳輸層、數(shù)據(jù)層、平臺層到應(yīng)用層的各個組件[8]。因此,數(shù)字孿生水利工程必然存在傳統(tǒng)水利信息系統(tǒng)常見的網(wǎng)絡(luò)安全風(fēng)險。

圖1 數(shù)字孿生水利工程總體架構(gòu)Fig.1 Overall architecture of digital twin of water conservancy projects

數(shù)字孿生水利工程建設(shè)內(nèi)容如下:

(1) 基礎(chǔ)設(shè)施?；A(chǔ)設(shè)施包括水利感知網(wǎng)、工控網(wǎng)、水利信息網(wǎng)和水利云等主要內(nèi)容,在漢江試點(diǎn)建設(shè)中,主要利用長江水利委員會(以下簡稱“長江委”)和漢江集團(tuán)現(xiàn)有運(yùn)行環(huán)境提供的能力支撐。

(2) 數(shù)據(jù)底板。數(shù)據(jù)底板是智慧水利的算據(jù),主要包括基礎(chǔ)、監(jiān)測、業(yè)務(wù)管理、行業(yè)共享、地理空間等數(shù)據(jù),以及多維多時空尺度數(shù)據(jù)模型等數(shù)據(jù)資源,形成基礎(chǔ)數(shù)據(jù)統(tǒng)一、監(jiān)測數(shù)據(jù)匯集、二三維一體化、三級貫通的智慧水利數(shù)據(jù)底板。

(3) 模型平臺。模型是智慧水利的算法,數(shù)字孿生漢江模型平臺主要包括水利專業(yè)、可視化等模型,以及可視化渲染、數(shù)學(xué)模擬仿真等引擎。建設(shè)標(biāo)準(zhǔn)統(tǒng)一、接口規(guī)范、分布部署、快速組裝、敏捷復(fù)用的模型平臺,是保障智慧化模擬的前提。在數(shù)字孿生漢江建設(shè)過程中,需要深度分析模型封裝與集成所面臨的多語言編程、多類型傳輸、多目標(biāo)耦合、多形式配置等關(guān)鍵需求,在調(diào)用各種不同專業(yè)模型的情況下避免頻繁調(diào)整接口。因此,基于模型開發(fā)與集成標(biāo)準(zhǔn)規(guī)范,采用約定的模型接口形式,以保障采用不同開發(fā)手段開發(fā)的模型都能用統(tǒng)一方法接入到數(shù)字孿生漢江系統(tǒng)中。

(4) 知識平臺。知識平臺基于“微服務(wù)化、開放兼容、持續(xù)演進(jìn)、云原生”的設(shè)計理念構(gòu)建,包括水利知識、智能算法等。針對以漢江流域?yàn)槭痉兜乃R圖譜等內(nèi)容,數(shù)字孿生漢江系統(tǒng)通過提取通用服務(wù)、分模塊封裝、支撐事件正向智能推理和反向溯因等分析,提供精準(zhǔn)化決策支撐[3]。

(5) 智慧應(yīng)用。針對水旱災(zāi)害防御、水量調(diào)度及生態(tài)調(diào)度業(yè)務(wù)需求,開展以流域防洪、水資源管理與調(diào)配為主的功能應(yīng)用場景設(shè)計和精準(zhǔn)化決策支撐模型開發(fā)。通過梳理并分析業(yè)務(wù)流程,確定防洪、水量調(diào)度決策的主題要素和信息關(guān)聯(lián)方式,重現(xiàn)調(diào)度決策者對防洪和水量調(diào)度的認(rèn)知過程,實(shí)現(xiàn)調(diào)度思維的連續(xù)性。

項(xiàng)目建設(shè)中使用了物聯(lián)網(wǎng)、大數(shù)據(jù)、人工智能、移動通訊等新技術(shù),具有建設(shè)范圍廣、網(wǎng)絡(luò)結(jié)構(gòu)復(fù)雜、IT與OT結(jié)合、數(shù)據(jù)量大且敏感數(shù)據(jù)多、應(yīng)用場景多、用戶身份復(fù)雜等特點(diǎn)[9]。因此,數(shù)字孿生水利工程既面臨著傳統(tǒng)的網(wǎng)絡(luò)安全風(fēng)險,又面臨著網(wǎng)絡(luò)安全技術(shù)防護(hù)風(fēng)險。在本文研究中,數(shù)字孿生水利工程的技術(shù)風(fēng)險更多地體現(xiàn)在新技術(shù)的應(yīng)用、技術(shù)之間的相互作用和系統(tǒng)集成整合方面。

2.1 異構(gòu)網(wǎng)多網(wǎng)并發(fā)風(fēng)險

數(shù)字孿生水利工程開放共享的技術(shù)特點(diǎn)決定了其多網(wǎng)絡(luò)融合的必要需求,在多網(wǎng)融合兼容性、成熟的網(wǎng)絡(luò)可視化技術(shù)及綜合管理技術(shù)等方面,工程對異構(gòu)網(wǎng)絡(luò)技術(shù)等網(wǎng)絡(luò)服務(wù)技術(shù)提出了更高的要求[10]。從網(wǎng)絡(luò)的覆蓋范圍來看,數(shù)字孿生水利工程的網(wǎng)絡(luò)連接范圍已經(jīng)超出水利工程內(nèi)網(wǎng)。在工程管理單位內(nèi)部,數(shù)字孿生水利工程與各水文測站、水利工控系統(tǒng)等相連。在水利行業(yè)內(nèi)部,數(shù)字孿生水利工程是數(shù)字孿生流域的組成部分,既是數(shù)字孿生流域的節(jié)點(diǎn),一些具備調(diào)水功能的水利工程同時也是數(shù)字孿生水網(wǎng)的節(jié)點(diǎn),數(shù)字孿生水利工程與數(shù)字孿生流域和數(shù)字孿生水網(wǎng)互聯(lián)互通。在與水利行業(yè)外部的關(guān)系上,數(shù)字孿生水利工程也與地方相關(guān)部門的業(yè)務(wù)系統(tǒng)連接。從連接方式來看,既有IP網(wǎng)絡(luò),也有物聯(lián)網(wǎng),采用云計算方式部署的系統(tǒng)還需要與IDC數(shù)字中心連接;各類移動APP使用5G或WiFi的方式進(jìn)行連接;在大壩安全監(jiān)測、庫區(qū)巡察時還使用衛(wèi)星等方式進(jìn)行通信。數(shù)字孿生水利工程的這些特點(diǎn)給數(shù)字孿生水利工程的網(wǎng)絡(luò)通信安全帶來了挑戰(zhàn)[11]。

2.2 數(shù)據(jù)安全風(fēng)險

數(shù)字孿生水利工程最關(guān)鍵的一環(huán)就是實(shí)現(xiàn)數(shù)據(jù)資源的有序匯聚和共享,既包括靜態(tài)數(shù)據(jù),也包括實(shí)時數(shù)據(jù),既有內(nèi)部數(shù)據(jù),也包括外部的交換共享數(shù)據(jù),既包括全國水利一張圖、工程及相關(guān)區(qū)域DEM、DOM等地理信息數(shù)據(jù),也包括采用衛(wèi)星遙感、無人機(jī)傾斜攝影、激光雷達(dá)掃描建模、BIM等技術(shù)形成的地理信息數(shù)據(jù)[12]。同時,各類工程管理的基礎(chǔ)數(shù)據(jù)和水文、工程等各類監(jiān)測數(shù)據(jù)以及業(yè)務(wù)管理數(shù)據(jù)統(tǒng)一納入了數(shù)據(jù)底板。這些數(shù)據(jù)量大、種類豐富,來源多樣,實(shí)時數(shù)據(jù)的更新更是海量數(shù)據(jù),結(jié)構(gòu)化、非結(jié)構(gòu)化、時序數(shù)據(jù)等多種數(shù)據(jù)類型并存,水利數(shù)字孿生正是建立在海量數(shù)據(jù)的采集、傳輸和分析處理基礎(chǔ)之上的。隨著數(shù)字孿生水利工程的不斷推進(jìn),工程數(shù)據(jù)安全“藍(lán)海效應(yīng)”也將更加突出,關(guān)鍵信息基礎(chǔ)設(shè)施、核心數(shù)據(jù)、重要數(shù)據(jù)或大量信息將更容易受到外界關(guān)注,從而遭到惡意控制、利用[13]。這些數(shù)據(jù)既通過大數(shù)據(jù)平臺統(tǒng)一管理,同時一些基礎(chǔ)數(shù)據(jù)也分布在水利工程運(yùn)行管理的各個節(jié)點(diǎn),數(shù)字管理難度大。同時,大數(shù)據(jù)、云計算和智能應(yīng)用的融合,以及大量異構(gòu)平臺的多層次協(xié)作帶來更多的入侵方式和攻擊路徑,數(shù)據(jù)安全的風(fēng)險進(jìn)一步增加,數(shù)據(jù)存儲、處理、交換、銷毀等環(huán)節(jié)敏感數(shù)據(jù)泄露的風(fēng)險也隨之上升。

2.3 物聯(lián)網(wǎng)安全風(fēng)險

數(shù)字孿生實(shí)時性、保真性的特點(diǎn)要求按一定的頻次實(shí)時采集水利工程的狀態(tài)信息,如工程安全監(jiān)測、水文監(jiān)測、水質(zhì)監(jiān)測、水土保持監(jiān)測、地質(zhì)災(zāi)害監(jiān)測和視頻信息。這些信息實(shí)現(xiàn)了數(shù)字孿生水利工程由實(shí)到虛的仿真,在數(shù)字孿生水利工程建設(shè)中,這些信息需要各類專業(yè)傳感器按照規(guī)定的精度和頻次采集,并通過物聯(lián)網(wǎng)進(jìn)行傳輸、處理,因此物聯(lián)網(wǎng)的建設(shè)是數(shù)字孿生水利工程必不可少的基礎(chǔ)設(shè)施。在數(shù)字孿生水利工程中,各類傳感器和視頻監(jiān)控設(shè)備以及相應(yīng)的通信、處理和邊緣計算共同組成了水利物聯(lián)網(wǎng)。從網(wǎng)絡(luò)安全的角度看,工業(yè)物聯(lián)網(wǎng)設(shè)備涉及的網(wǎng)絡(luò)安全問題主要包括安全漏洞數(shù)量急劇上升、拒絕服務(wù)攻擊、信息泄露以及未授權(quán)訪問[14]。此外,由于物聯(lián)網(wǎng)的節(jié)點(diǎn)多、單節(jié)點(diǎn)功能單一、安全策略不統(tǒng)一,其還存在隱私保護(hù),異構(gòu)網(wǎng)絡(luò)的認(rèn)證與訪問控制以及信息傳輸、存儲與管理等問題,在信息安全的機(jī)密性、完整性和可用性等多方面面臨著網(wǎng)絡(luò)安全風(fēng)險。

2.4 工控系統(tǒng)風(fēng)險

數(shù)字孿生要求物理對象和數(shù)字空間能夠雙向映射、動態(tài)交互和實(shí)時連接。這種交互操作性要求數(shù)字孿生水利工程與水利工業(yè)控制系統(tǒng)之間進(jìn)行交互,數(shù)字孿生水利工程需要接入閘門開度、機(jī)組運(yùn)行等水利工程運(yùn)行狀態(tài)的信息,在條件具備的情況下,還可以實(shí)現(xiàn)對水利工程控制系統(tǒng)的遠(yuǎn)程操作。這些功能的實(shí)現(xiàn)必然要與水利工控系統(tǒng)進(jìn)行網(wǎng)絡(luò)通訊,這樣就會造成原來在物理隔離環(huán)境中運(yùn)行的水利工控系統(tǒng)不同程度地暴露在網(wǎng)絡(luò)環(huán)境中,傳統(tǒng)的封閉系統(tǒng)將向開放系統(tǒng)轉(zhuǎn)變。

水利工控系統(tǒng)承擔(dān)了防洪、灌溉、航運(yùn)、水力發(fā)電等關(guān)系到國計民生的職責(zé),極易遭受網(wǎng)絡(luò)攻擊,且受攻擊后將引起重大損失風(fēng)險[15]。另一方面,工控系統(tǒng)中的硬件芯片、軟件系統(tǒng)的版本較低,升級維護(hù)不及時,可能存在未知的安全漏洞,一旦受到網(wǎng)絡(luò)攻擊,很容易被控制,造成運(yùn)行失控、數(shù)據(jù)丟失、系統(tǒng)致癱等網(wǎng)絡(luò)安全問題,甚至閘門等設(shè)備設(shè)施被控制,造成嚴(yán)重的政治影響、社會影響和人身財產(chǎn)損失。

2.5 云計算風(fēng)險

云計算是與大數(shù)據(jù)、人工智能技術(shù)緊密相關(guān)的信息技術(shù),由于在云計算運(yùn)行環(huán)境下,用戶無法對平臺進(jìn)行直接管控,將可能帶來安全需求、設(shè)備部署、技術(shù)運(yùn)維及訪問管理等諸多網(wǎng)絡(luò)安全的風(fēng)險[16]。數(shù)字孿生水利工程中對海量數(shù)據(jù)的處理必然要使用大數(shù)據(jù)技術(shù)。在云計算環(huán)境中會有大量不同安全等級的資產(chǎn),如果云計算環(huán)境中安全域的規(guī)劃和各類系統(tǒng)的訪問控制機(jī)制不完善,將存在網(wǎng)絡(luò)安全問題擴(kuò)散的風(fēng)險,在云環(huán)境中部署的數(shù)字孿生水利工程面臨的DDos等網(wǎng)絡(luò)攻擊也非常突出。無論是IaaS層的從機(jī)房設(shè)備到硬件平臺的基礎(chǔ)設(shè)施的安全,還是PaaS層的接口安全、運(yùn)行安全,以及SaaS 層的應(yīng)用安全,都是數(shù)字孿生水利工程云計算面臨的風(fēng)險和必須解決的問題。

2.6 移動應(yīng)用風(fēng)險

移動應(yīng)用在水利業(yè)務(wù)中日益普及。水利工程中水工建筑物、閘門金結(jié)的移動巡檢、庫區(qū)岸線和消落地的巡察和水政執(zhí)法、取水口和排污口的核查、采砂管理以及水利業(yè)務(wù)管理流程的移動審批等應(yīng)用都離不開移動應(yīng)用。數(shù)字孿生水利工程桌面端的應(yīng)用一部分會同步移植到移動應(yīng)用中。數(shù)字孿生水利工程中的移動安全風(fēng)險主要體現(xiàn)在移動終端、移動接入和移動應(yīng)用3個方面。移動終端占比最大的Android和iOS操作系統(tǒng)自身存在未完全統(tǒng)一管理、缺乏普適性的審核標(biāo)準(zhǔn)及管理標(biāo)準(zhǔn)等安全風(fēng)險[17],加上各類應(yīng)用APP的不當(dāng)授權(quán),數(shù)據(jù)安全存在隱患。在網(wǎng)絡(luò)接入上,存在VPN被非法使用的風(fēng)險,水利業(yè)務(wù)的APP在開發(fā)時框架和代碼的安全漏洞可能被利用,移動安全往往被忽視。

總的看來,數(shù)字孿生水利工程中網(wǎng)絡(luò)安全技術(shù)風(fēng)險特色鮮明,操作難度大,綜合要求高,需要通過網(wǎng)絡(luò)安全保障體系的建設(shè)化解這些風(fēng)險。

3 數(shù)字孿生水利工程網(wǎng)絡(luò)安全保障體系總體框架

3.1 保障目標(biāo)

水利數(shù)字孿生網(wǎng)絡(luò)安全治理的目標(biāo)是保障業(yè)務(wù)不中斷、數(shù)據(jù)不出事、合規(guī)不踩線[18]。數(shù)字孿生水利工程信息基礎(chǔ)設(shè)施和防汛興利、工程安全、生產(chǎn)運(yùn)營、巡查管護(hù)等各類水利業(yè)務(wù)應(yīng)用的正常運(yùn)行,對確保水利數(shù)字孿生數(shù)據(jù)安全,保障水利工程發(fā)揮防洪、發(fā)電、灌溉、生態(tài)、環(huán)保等工程效益具有重要意義。

3.2 保障對象

水利數(shù)字孿生網(wǎng)絡(luò)安全的治理對象包括數(shù)字孿生水利工程的信息基礎(chǔ)設(shè)施、行業(yè)重要數(shù)據(jù)以及業(yè)務(wù)系統(tǒng)資源[19]。數(shù)字孿生水利工程的信息基礎(chǔ)設(shè)施主要包括大型水利工程、重要位置的中型水庫運(yùn)行控制和生產(chǎn)調(diào)度系統(tǒng)、水質(zhì)監(jiān)控管理系統(tǒng)、引調(diào)水工程運(yùn)行控制和生產(chǎn)調(diào)度系統(tǒng)、防汛抗旱指揮系統(tǒng)和水資源信息管理系統(tǒng)等關(guān)鍵信息基礎(chǔ)設(shè)施[20],以及水利感知網(wǎng)、水利信息網(wǎng)、水利云等信息化基礎(chǔ)設(shè)施[21]。數(shù)字孿生水利工程的重要業(yè)務(wù)系統(tǒng)包括水庫防洪調(diào)度、生產(chǎn)運(yùn)營、供水管理、工程運(yùn)維管理、工程安全監(jiān)測、庫區(qū)管理、水質(zhì)監(jiān)測等水利工程管理的業(yè)務(wù)系統(tǒng)。數(shù)字孿生水利工程的重要數(shù)據(jù)資源包括高精度的地理信息、關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)行數(shù)據(jù)、水文水資源數(shù)據(jù)、工程核心數(shù)據(jù)、個人信息及其他敏感信息。

4 數(shù)字孿生水利工程網(wǎng)絡(luò)安全技術(shù)風(fēng)險治理體系

為加強(qiáng)數(shù)字孿生水利工程網(wǎng)絡(luò)安全技術(shù)風(fēng)險的主動防護(hù),本文立足網(wǎng)絡(luò)安全應(yīng)用技術(shù),從網(wǎng)絡(luò)安全縱深防御體系建設(shè)、物聯(lián)網(wǎng)安全防護(hù)、數(shù)據(jù)安全防護(hù)、水利工業(yè)控制系統(tǒng)安全防護(hù)、云計算安全防護(hù)、移動安全防護(hù)六方面搭建了數(shù)字孿生水利工程網(wǎng)絡(luò)安全技術(shù)風(fēng)險治理體系,如圖2所示。

圖2 數(shù)字孿生水利工程網(wǎng)絡(luò)安全技術(shù)風(fēng)險治理體系Fig.2 Risk management system for network security technology of digital twin water conservancy projects

4.1 網(wǎng)絡(luò)安全縱深防御體系建設(shè)

建立網(wǎng)絡(luò)安全縱深防御體系是應(yīng)對數(shù)字孿生水利工程復(fù)雜網(wǎng)絡(luò)結(jié)構(gòu)帶來的風(fēng)險的主要途徑。

從網(wǎng)絡(luò)結(jié)構(gòu)和安全域劃分的角度,做到網(wǎng)絡(luò)安全防護(hù)的完整和細(xì)化。在分析網(wǎng)絡(luò)結(jié)構(gòu)的基礎(chǔ)上,站在全網(wǎng)的角度對網(wǎng)絡(luò)邊界進(jìn)行整合,使網(wǎng)絡(luò)邊界防護(hù)覆蓋各種訪問連接。對全網(wǎng)的資產(chǎn)進(jìn)行梳理,根據(jù)資產(chǎn)的暴露位置、業(yè)務(wù)功能和重要等級,進(jìn)行網(wǎng)絡(luò)安全域的細(xì)粒度劃分;進(jìn)一步細(xì)化數(shù)字孿生水利工程的網(wǎng)絡(luò)安全域,在網(wǎng)絡(luò)邊界實(shí)施嚴(yán)格的隔離防護(hù)措施,實(shí)現(xiàn)網(wǎng)絡(luò)訪問權(quán)限的最小化,收縮網(wǎng)絡(luò)攻擊面;建立多層次的網(wǎng)絡(luò)安全防御縱深,在一層防護(hù)措施失陷的情況下仍有下一層級的防護(hù),在下一層級措施失效的情況下還有措施予以補(bǔ)救,從而控制網(wǎng)絡(luò)安全事件的影響范圍,如圖3所示。

圖3 多層次網(wǎng)絡(luò)安全縱深防御體系Fig.3 Multi-level network security defense system

從連接方式和業(yè)務(wù)場景的角度,根據(jù)數(shù)字孿生水利工程中的物聯(lián)網(wǎng)、移動互聯(lián)網(wǎng)、廣域網(wǎng)等不同的連接方式,以及生產(chǎn)控制區(qū)、管理信息區(qū)、數(shù)據(jù)中心區(qū)、水利業(yè)務(wù)專網(wǎng)、互聯(lián)網(wǎng)應(yīng)用等業(yè)務(wù)應(yīng)用場景的不同,對相同或相似的連接方式進(jìn)行整合,收斂應(yīng)用服務(wù)及接口的協(xié)議類型,統(tǒng)籌進(jìn)行網(wǎng)絡(luò)安全防護(hù)的部署,使網(wǎng)絡(luò)邊界進(jìn)一步清晰。同時,也便于網(wǎng)絡(luò)安全設(shè)備設(shè)施的部署和管理。

從網(wǎng)絡(luò)安全接入的角度,對于內(nèi)網(wǎng)終端用戶的接入,建立終端準(zhǔn)入機(jī)制是保障數(shù)字孿生水利工程網(wǎng)絡(luò)安全的重要屏障(見圖4)。通過終端準(zhǔn)入機(jī)制,可以實(shí)現(xiàn)終端安全的檢查,對終端的補(bǔ)丁進(jìn)行升級管理,對終端運(yùn)行的應(yīng)用程序進(jìn)行控制,在發(fā)生網(wǎng)絡(luò)安全攻擊時,可以準(zhǔn)確定位受影響終端。對遠(yuǎn)程接入的終端,使用VPN或零信任技術(shù)對終端進(jìn)行管理,實(shí)現(xiàn)用戶身份的認(rèn)證和安全連接。可以設(shè)立單獨(dú)的安全接入?yún)^(qū),用于統(tǒng)一管理遠(yuǎn)程接入。

圖4 建立終端準(zhǔn)入機(jī)制Fig.4 Establishing a terminal access mechanism

4.2 物聯(lián)網(wǎng)安全防護(hù)

數(shù)字孿生水利工程物聯(lián)網(wǎng)的安全防護(hù)包括物聯(lián)網(wǎng)終端基礎(chǔ)安全、物聯(lián)網(wǎng)安全接入平臺和物聯(lián)網(wǎng)安全管理平臺,在這3個層級上建設(shè)從端到邊再到云的物聯(lián)網(wǎng)安全體系。

(1) 物聯(lián)網(wǎng)終端基礎(chǔ)安全。在終端側(cè)采用固件分析、安全測評相結(jié)合的手段,通過供應(yīng)鏈管控體系明確物聯(lián)網(wǎng)設(shè)備進(jìn)入數(shù)字孿生水利工程的安全標(biāo)準(zhǔn)。根據(jù)設(shè)備的硬件特征,對進(jìn)入數(shù)字孿生水利工程的物聯(lián)網(wǎng)設(shè)備建立唯一的標(biāo)識,對接入設(shè)備進(jìn)行合法性驗(yàn)證,建立物聯(lián)網(wǎng)資產(chǎn)、固件、漏洞的關(guān)聯(lián)關(guān)系。對于水利關(guān)鍵信息基礎(chǔ)設(shè)施使用的物聯(lián)網(wǎng)設(shè)備,可以要求供應(yīng)商在硬件設(shè)計和軟件開發(fā)時,增加相應(yīng)的安全模塊。在項(xiàng)目實(shí)施中,采用了基于驅(qū)動層安全監(jiān)控技術(shù),采用自學(xué)習(xí)的網(wǎng)絡(luò)進(jìn)程安全防護(hù)策略,監(jiān)控網(wǎng)絡(luò)、進(jìn)程和文件等類型數(shù)據(jù),包含系統(tǒng)控制的動作指令和讀寫的狀態(tài),建立進(jìn)程、網(wǎng)絡(luò)、文件關(guān)系分析模型,對終端內(nèi)部數(shù)據(jù)的關(guān)系和完整性進(jìn)行安全防護(hù)。

(2) 物聯(lián)網(wǎng)安全接入平臺。物聯(lián)網(wǎng)安全接入平臺部署在邊緣計算節(jié)點(diǎn),將網(wǎng)絡(luò)安全的關(guān)口前移到邊緣側(cè),用于識別物聯(lián)網(wǎng)設(shè)備,控制訪問權(quán)限,保障物聯(lián)網(wǎng)在數(shù)據(jù)傳輸層面可信。利用分析引擎和感知模型快速準(zhǔn)確地實(shí)現(xiàn)邊緣威脅感知,縮短安全分析的數(shù)據(jù)路徑,提高數(shù)據(jù)分析的時效性。通過物聯(lián)網(wǎng)安全接入平臺,可以對接入的設(shè)備實(shí)現(xiàn)漏洞發(fā)現(xiàn)、配置脆弱性感知,對威脅流量進(jìn)行阻斷。同時,物聯(lián)網(wǎng)安全接入平臺也可以作為固件分發(fā)、配置管理的代理,減輕云端服務(wù)的訪問壓力,提高固件分發(fā)和補(bǔ)丁更新的效率。

(3) 物聯(lián)網(wǎng)安全管理平臺。管理平臺對于安全管理區(qū)的核心交換機(jī)采用旁路部署,并與物聯(lián)網(wǎng)終端設(shè)備路由可達(dá),可感知全網(wǎng)資產(chǎn)的安全態(tài)勢;對于網(wǎng)內(nèi)物聯(lián)網(wǎng)設(shè)備采用資產(chǎn)管理的模式,以唯一性ID作為資產(chǎn)主要數(shù)據(jù)流轉(zhuǎn)憑證。采用了漏洞掃描、資產(chǎn)探測和異常檢測等方式可以及時發(fā)現(xiàn)終端資產(chǎn)中發(fā)生的突破、繞過現(xiàn)有安全防御機(jī)制的風(fēng)險行為,實(shí)時主動監(jiān)測和安全預(yù)警,及時發(fā)現(xiàn)未落實(shí)的安全防護(hù)措施與安全遺漏盲區(qū)。將物聯(lián)網(wǎng)安全管理平臺與系統(tǒng)安全平臺、數(shù)據(jù)安全平臺、態(tài)勢感知平臺等其他安全管理平臺連接,掌握物聯(lián)網(wǎng)等感知層的設(shè)備資產(chǎn)的漏洞分布情況、運(yùn)行狀態(tài)和風(fēng)險狀況,實(shí)現(xiàn)對全域物聯(lián)網(wǎng)設(shè)備的統(tǒng)一策略編排、固件分發(fā)、系統(tǒng)補(bǔ)丁等安全管理能力。結(jié)合大數(shù)據(jù)、態(tài)勢感知、機(jī)器學(xué)習(xí)、威脅情報等技術(shù),在物聯(lián)網(wǎng)設(shè)備產(chǎn)生的大量業(yè)務(wù)、行為、流量等多維數(shù)據(jù)中,對全域數(shù)據(jù)進(jìn)行持續(xù)分析、建模訓(xùn)練,實(shí)現(xiàn)設(shè)備指紋特征、網(wǎng)絡(luò)行為、威脅行為識別等感知模型的持續(xù)優(yōu)化,提高邊緣安全保障能力。

通過物聯(lián)網(wǎng)安全防護(hù)體系的建設(shè),達(dá)到了邊緣設(shè)備可查、接入可信、風(fēng)險可知、威脅可控的全生命周期安全運(yùn)營(見圖5)。

圖5 物聯(lián)網(wǎng)安全防護(hù)體系Fig.5 Internet of things security protection system

4.3 數(shù)據(jù)安全防護(hù)

數(shù)據(jù)的安全防護(hù)是數(shù)字孿生水利工程的防護(hù)重點(diǎn),需要開展數(shù)據(jù)安全治理,并在數(shù)據(jù)使用過程中嚴(yán)格權(quán)限管理,利用數(shù)據(jù)加密和脫敏技術(shù)防止數(shù)據(jù)的泄露、篡改和破壞。在系統(tǒng)運(yùn)行過程中,加強(qiáng)數(shù)據(jù)庫的運(yùn)維審計,在極端情況下采取恢復(fù)備份數(shù)據(jù)的方式恢復(fù)系統(tǒng)的運(yùn)行。

在數(shù)據(jù)安全治理方面,按照《水利數(shù)據(jù)分類分級指南(試行)》的規(guī)定,做好數(shù)據(jù)資產(chǎn)的梳理和分類分級,建立數(shù)據(jù)資產(chǎn)臺賬,識別和掌握敏感數(shù)據(jù)的分布使用情況,根據(jù)數(shù)據(jù)的分類分級不同,對數(shù)據(jù)進(jìn)行有針對性的安全管理措施,既要保證數(shù)據(jù)的安全性,又要保證數(shù)據(jù)的有效利用(見圖6)。在漢江流域數(shù)字孿生項(xiàng)目建設(shè)中,對數(shù)據(jù)集中、預(yù)處理和數(shù)據(jù)匯聚環(huán)節(jié)進(jìn)行了系統(tǒng)治理,包括數(shù)據(jù)采集和數(shù)據(jù)分層、數(shù)據(jù)整理、數(shù)據(jù)分級、元數(shù)據(jù)管理、數(shù)據(jù)質(zhì)量管理等數(shù)據(jù)治理內(nèi)容。通過數(shù)據(jù)治理將原本零散的數(shù)據(jù)變成統(tǒng)一規(guī)范的主數(shù)據(jù),使之滿足上層應(yīng)用和數(shù)據(jù)共享的需求,實(shí)現(xiàn)對數(shù)據(jù)分布和動態(tài)變更情況的追蹤,提升了數(shù)據(jù)質(zhì)量,使數(shù)據(jù)得到了全面的規(guī)范化。

圖6 數(shù)據(jù)安全防護(hù)體系Fig.6 Data security protection system

在數(shù)據(jù)安全使用方面,項(xiàng)目實(shí)施中進(jìn)行了數(shù)字資產(chǎn)盤點(diǎn),建立了數(shù)據(jù)資產(chǎn)地圖,對數(shù)據(jù)資產(chǎn)實(shí)施了細(xì)粒度的分類分級管理,同時對數(shù)據(jù)資產(chǎn)進(jìn)行掃描探測,根據(jù)敏感級別對數(shù)據(jù)進(jìn)行標(biāo)記。對運(yùn)維管理終端的安全狀態(tài)進(jìn)行監(jiān)控,防止運(yùn)維人員違規(guī)、越權(quán)或惡意進(jìn)行數(shù)據(jù)操作。在應(yīng)用系統(tǒng)開發(fā)中,嚴(yán)格控制API接口和數(shù)據(jù)層面的底層訪問權(quán)限,對應(yīng)用系統(tǒng)的使用人員權(quán)限進(jìn)行動態(tài)管理,防止業(yè)務(wù)人員利用管理漏洞對數(shù)據(jù)進(jìn)行違規(guī)、越權(quán)或惡意操作。統(tǒng)一通過數(shù)據(jù)交換平臺與外部進(jìn)行數(shù)據(jù)交換,防止數(shù)據(jù)非法泄露。

在數(shù)據(jù)加密和脫敏方面,該項(xiàng)目使用了國產(chǎn)密碼技術(shù),建立自動加解密機(jī)制。應(yīng)用SM2/SM3/SM4國密標(biāo)準(zhǔn)加密算法,對數(shù)據(jù)提供身份鑒別、隱私保護(hù)、信息校驗(yàn)、數(shù)據(jù)防偽等基于密碼技術(shù)的綜合性基礎(chǔ)服務(wù),實(shí)現(xiàn)數(shù)據(jù)在服務(wù)器端和終端之間的透明加解密,防止通過終端泄露數(shù)據(jù)。建立統(tǒng)一的數(shù)據(jù)服務(wù)平臺,實(shí)現(xiàn)對數(shù)據(jù)的統(tǒng)一管理和控制,按需提供數(shù)據(jù)服務(wù),減少敏感原始數(shù)據(jù)流出,確實(shí)需要原始數(shù)據(jù)的,輸出脫敏后的數(shù)據(jù)。對數(shù)字孿生底板中的敏感數(shù)據(jù),采用脫敏技術(shù)實(shí)現(xiàn)對數(shù)值和文本類型的數(shù)據(jù)脫敏,支持多種脫敏方式,包括不可逆加密、區(qū)間隨機(jī)、掩碼替換等。支持自動掃描發(fā)現(xiàn)敏感信息,實(shí)現(xiàn)高效、方便、準(zhǔn)確的信息脫敏。在系統(tǒng)開發(fā)調(diào)試環(huán)節(jié)使用脫敏的數(shù)據(jù)集,防止開發(fā)測試環(huán)節(jié)的數(shù)據(jù)泄露風(fēng)險。

4.4 水利工業(yè)控制系統(tǒng)安全防護(hù)

水利工業(yè)控制系統(tǒng)使用Modbus、OPC、Profinet、Ethernet/IP等工業(yè)控制協(xié)議的同時,也越來越多地采用通用協(xié)議、通用硬件和通用軟件,并以各種方式與互聯(lián)網(wǎng)等公共網(wǎng)絡(luò)連接,因此,需要對水利工業(yè)控制系統(tǒng)進(jìn)行安全防護(hù)。根據(jù)水利工業(yè)控制系統(tǒng)的特殊性,重點(diǎn)在物理安全、邊界安全、主機(jī)安全等方面進(jìn)行防護(hù)(見圖7)。

圖7 水利工業(yè)控制系統(tǒng)安全防護(hù)Fig.7 Safety protection of water conservancy industrial control system

在物理安全方面,從安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向加密等方面對工控網(wǎng)絡(luò)進(jìn)行了優(yōu)化。在電力監(jiān)控系統(tǒng)和信息管理大區(qū)之間串行部署電力專用單向隔離網(wǎng)閘,用于電力監(jiān)控系統(tǒng)到管理信息大區(qū)的單向數(shù)據(jù)傳輸。在業(yè)務(wù)分區(qū)的基礎(chǔ)上規(guī)劃網(wǎng)絡(luò)安全管理區(qū)域,使用帶外組網(wǎng)的方式與業(yè)務(wù)網(wǎng)絡(luò)隔離,根據(jù)實(shí)際情況將部署在安全Ⅰ區(qū)和安全Ⅱ區(qū)的網(wǎng)絡(luò)安全產(chǎn)品通過防火墻進(jìn)行邏輯隔離。進(jìn)一步加強(qiáng)機(jī)房規(guī)范化管理,將主要設(shè)備放置在機(jī)房進(jìn)行集中管理,控制人員進(jìn)出,在線纜敷設(shè)、消防、防水等方面滿足規(guī)范要求。建設(shè)機(jī)房環(huán)境監(jiān)控系統(tǒng),對機(jī)房環(huán)境、設(shè)備狀態(tài)、設(shè)備使用等情況進(jìn)行記錄,保障機(jī)房設(shè)備和信息系統(tǒng)的物理安全。

在邊界安全方面,在工控內(nèi)外網(wǎng)之間部署隔離設(shè)備,通過物理隔離的手段,使內(nèi)外網(wǎng)之間無法進(jìn)行基于網(wǎng)絡(luò)協(xié)議的數(shù)據(jù)交換,實(shí)現(xiàn)網(wǎng)絡(luò)安全隔離。在安全Ⅰ區(qū)與安全Ⅱ區(qū)之間串接部署工控防火墻產(chǎn)品,并按照最小化原則配置訪問控制策略,實(shí)現(xiàn)區(qū)域邏輯隔離,通過IP/MAC綁定、建立邊界訪問黑白名單等安全策略,建立不同安全域之間的訪問控制策略,確保非授權(quán)的設(shè)備不能在內(nèi)外網(wǎng)之間隨意連接,避免在一個系統(tǒng)或區(qū)域里暴發(fā)的工控安全事件擴(kuò)散到其他系統(tǒng)或區(qū)域,從而保障區(qū)域間通信網(wǎng)絡(luò)安全。通過使用工業(yè)防火墻在子網(wǎng)邊界進(jìn)行隔離,進(jìn)一步提高了工業(yè)控制系統(tǒng)的網(wǎng)絡(luò)安全防護(hù)能力,工業(yè)防火墻在傳統(tǒng)防火墻的功能基礎(chǔ)上提供多種工控協(xié)議的深度解析,支持30多種工控協(xié)議識別與深度解析,支持基于工控行為構(gòu)建白名單訪問控制策略,實(shí)現(xiàn)細(xì)粒度的安全防護(hù)。

在主機(jī)安全方面,水利工業(yè)控制系統(tǒng)往往實(shí)現(xiàn)的功能較為單一,這個特點(diǎn)非常適合采用白名單機(jī)制,只允許白名單內(nèi)受信任的程序執(zhí)行,將木馬、病毒等非法程序隔離在外。同時,通過部署主機(jī)加固系統(tǒng),針對安全策略、用戶權(quán)限、系統(tǒng)補(bǔ)丁、U盤使用、重點(diǎn)目錄、外設(shè)、網(wǎng)絡(luò)連接等多個維度進(jìn)行全方位監(jiān)控和管理,從而提升操作系統(tǒng)安全級別、確保業(yè)務(wù)連續(xù)不中斷、核心數(shù)據(jù)不丟失。項(xiàng)目實(shí)施過程中,對操作員站、工程師站、主服務(wù)器以及網(wǎng)絡(luò)邊界通信網(wǎng)關(guān)等部署了主機(jī)防護(hù)系統(tǒng)客戶端,采用白名單的主動防御機(jī)制,有效實(shí)現(xiàn)了主機(jī)防病毒、防第三方軟件的非授權(quán)安裝與使用,以及主機(jī)系統(tǒng)外接口的管控,USB外接存儲設(shè)備的認(rèn)證管控、防病毒與操作行為審計,為主機(jī)系統(tǒng)安全運(yùn)行提供必要的安全保障。對工控主機(jī)進(jìn)行了人工加固,完成所有服務(wù)器、工控機(jī)、主機(jī)未使用的USB接口、串行口、無線、藍(lán)牙、光驅(qū)等關(guān)閉工作,完善了操作系統(tǒng)、數(shù)據(jù)庫、應(yīng)用系統(tǒng)口令長度及復(fù)雜度,配置用戶登錄失敗處理機(jī)制。

4.5 云計算安全防護(hù)

云計算環(huán)境內(nèi)會有大量不同安全等級的資產(chǎn),需要對不同的資產(chǎn)、應(yīng)用類型進(jìn)行安全域劃分。合理劃分云計算環(huán)境內(nèi)不同的安全域,是保障云計算安全和正常運(yùn)維的基礎(chǔ)工作。將數(shù)字孿生水利工程劃分為水利業(yè)務(wù)域、水利管理域、數(shù)據(jù)庫域等不同的安全域,在不同安全域間采用訪問控制、病毒檢測、攻擊行為防御、協(xié)議類型限制等策略,保護(hù)各安全域間的內(nèi)網(wǎng)安全。

云平臺基礎(chǔ)環(huán)境安全檢查方面,在云平臺部署完成后,需要對云平臺的基礎(chǔ)環(huán)境進(jìn)行安全檢查,具體包括安全掃描、基線檢查等工作,確保云平臺的基礎(chǔ)安全。

在云平臺邊界防護(hù)方面,在云出口處部署抗DDoS系統(tǒng)和防火墻?？笵DoS系統(tǒng)可有效防護(hù)來自互聯(lián)網(wǎng)的各種DDoS攻擊,防護(hù)類型包括CC、SYN flood、UDP flood、DNS Query Flood以及NTP Reply Flood等所有DDoS攻擊方式,保障云平臺出口免遭各類大流量攻擊的流量資源擠占,防護(hù)云內(nèi)各類系統(tǒng)應(yīng)用免于遭受拒絕服務(wù)攻擊。防火墻可以對網(wǎng)絡(luò)中的各類異常行為、網(wǎng)絡(luò)攻擊、協(xié)議攻擊、應(yīng)用攻擊等行為進(jìn)行識別、防御以及第一層網(wǎng)絡(luò)訪問控制,保護(hù)云內(nèi)網(wǎng)絡(luò)與系統(tǒng)安全。

在訪問控制方面,部署安全網(wǎng)關(guān),對云邊界進(jìn)行各類會話、服務(wù)的訪問控制,其能夠?qū)TP、HTTP、P2P應(yīng)用、IM以及VoIP語音數(shù)據(jù)等應(yīng)用進(jìn)行識別,并根據(jù)安全策略配置規(guī)則,保證應(yīng)用的正常通信或?qū)ζ溥M(jìn)行指定的操作,如監(jiān)控、流量統(tǒng)計、流量控制和阻斷等,有效控制訪問云中應(yīng)用的會話類型。對云內(nèi)的一些高保密性在線應(yīng)用系統(tǒng)在維護(hù)或者日常使用中,需要采用數(shù)據(jù)安全傳輸策略,加密保護(hù)通信會話數(shù)據(jù)。在云出口處需要采用VPN網(wǎng)關(guān),滿足各類云內(nèi)系統(tǒng)訪問、維護(hù)等會話加密需求,保障會話的機(jī)密性、完整性、抗抵賴性。采用IDS類產(chǎn)品對網(wǎng)絡(luò)出口中的各類異常應(yīng)用進(jìn)行檢測和告警,或采用IPS產(chǎn)品攻擊進(jìn)行有效防御。

在云計算安全管理方面,應(yīng)通過云堡壘機(jī)進(jìn)行日常運(yùn)維工作,為云內(nèi)部運(yùn)維提供完全的審計信息,通過賬號管理、身份認(rèn)證、資源授權(quán)、實(shí)時監(jiān)控、操作還原、自定義策略、日志等操作增強(qiáng)審計信息的粒度。通過云日志審計系統(tǒng),采集各類日志,進(jìn)行集中存儲、分析、安全風(fēng)險審計,實(shí)現(xiàn)所監(jiān)控的信息資產(chǎn)的實(shí)時監(jiān)控、快速檢索與分析。

4.6 移動安全防護(hù)

在應(yīng)對移動安全中的終端安全、接入安全和應(yīng)用安全等幾個主要風(fēng)險時,終端安全和接入安全是基礎(chǔ)。在此基礎(chǔ)上,水利業(yè)務(wù)應(yīng)用應(yīng)針對移動業(yè)務(wù)的特點(diǎn),采取不同于桌面端的防護(hù)技術(shù)進(jìn)行開發(fā)部署。

移動終端作為移動業(yè)務(wù)運(yùn)行和存儲信息的載體,需要確保移動終端的硬件安全。及時升級移動端操作系統(tǒng),特別是操作系統(tǒng)的安全升級,強(qiáng)化終端用戶的認(rèn)證方式和認(rèn)證密碼的管理,保證用戶個人信息的機(jī)密性,防范非授權(quán)使用和非法接入,實(shí)現(xiàn)移動網(wǎng)絡(luò)與移動終端之間通信通道的安全可靠。

應(yīng)用安全是數(shù)字孿生水利工程移動安全的重點(diǎn)。選擇安全的開發(fā)架構(gòu),對軟件包進(jìn)行加密處理,完善簽名認(rèn)證機(jī)制是保障移動應(yīng)用安全的必要技術(shù)手段。

在移動應(yīng)用開發(fā)時,選擇同類產(chǎn)品中排名靠前且有團(tuán)隊持續(xù)支持的代碼庫或框架,優(yōu)先選用知名廠家的代碼庫或框架,在開發(fā)過程中嚴(yán)格遵守代碼庫、框架的安全規(guī)范,有效防范網(wǎng)絡(luò)安全攻擊。對移動應(yīng)用的軟件包進(jìn)行安全加固,采取防逆向、防篡改、防調(diào)試和防竊取等措施,防范破解、篡改、盜版、調(diào)試、數(shù)據(jù)竊取等各類安全風(fēng)險。嚴(yán)禁發(fā)布測試版本,發(fā)布的軟件包不能包含測試代碼信息,重要操作在服務(wù)器端進(jìn)行日志記錄,便于網(wǎng)絡(luò)安全事件分析處理。

在認(rèn)證方面,設(shè)計有效的身份驗(yàn)證機(jī)制,服務(wù)端的證書必須由權(quán)威的CA機(jī)關(guān)提供,明確認(rèn)證使用者的身份而不是設(shè)備的身份,會話管理階段的所有請求都需要對用戶的合法身份進(jìn)行鑒別,重要操作實(shí)行二次認(rèn)證。同時,認(rèn)證邏輯盡量放在服務(wù)器端完成,不在客戶端完成。登錄、注冊、密碼找回等屬于認(rèn)證授權(quán)環(huán)節(jié)的網(wǎng)絡(luò)傳輸使用https協(xié)議傳輸。

5 應(yīng)用成果及工作建議

數(shù)字孿生水利工程建設(shè)已取得階段性成果,實(shí)現(xiàn)了基于調(diào)度規(guī)則庫的水工程聯(lián)合自動調(diào)度,初步實(shí)現(xiàn)了漢江流域水情預(yù)報及防洪形勢預(yù)警和漢江流域行蓄洪工程調(diào)度運(yùn)用與效果評估。項(xiàng)目成果已成功應(yīng)用于2022年漢江流域水量調(diào)度管理業(yè)務(wù),支撐了2023年度南水北調(diào)中線一期工程年度水量調(diào)度計劃編制和漢江流域年度水量調(diào)度計劃編制。由于系統(tǒng)涵蓋的地理空間尺度大,覆蓋了漢江流域的丹江口水庫等骨干水利工程,數(shù)據(jù)匯集和共建共享程度高,對網(wǎng)絡(luò)安全防護(hù)提出了嚴(yán)格要求。本次研究通過構(gòu)建數(shù)字孿生水利工程網(wǎng)絡(luò)安全防護(hù)體系,在漢江流域數(shù)字孿生水利工程建設(shè)中取得了良好防護(hù)效果,也為水利行業(yè)其他數(shù)字孿生水利工程的網(wǎng)絡(luò)安全工作提供了借鑒。

(1) 在管理指導(dǎo)方面,針對數(shù)字孿生水利工程的網(wǎng)絡(luò)安全工作提出了明確的要求和管理指導(dǎo)意見,指導(dǎo)了各工程管理單位數(shù)字孿生水利工程的網(wǎng)絡(luò)安全建設(shè)。

(2) 在標(biāo)準(zhǔn)規(guī)范方面,編制了針對數(shù)字孿生水利工程特點(diǎn)的網(wǎng)絡(luò)安全標(biāo)準(zhǔn)規(guī)范,如包括數(shù)據(jù)安全規(guī)范、物聯(lián)網(wǎng)安全規(guī)范、工控安全防護(hù)規(guī)范等技術(shù)標(biāo)準(zhǔn)。

(3) 在網(wǎng)絡(luò)安全資源整合方面,充分整合已有的網(wǎng)絡(luò)安全軟硬件資源和信息資源,建立統(tǒng)一的漏洞管理平臺和威脅情報庫,整合態(tài)勢感知平臺資源,及時全面掌握數(shù)字孿生水利工程的網(wǎng)絡(luò)安全運(yùn)行情況。

(4) 在網(wǎng)絡(luò)安全專業(yè)隊伍建設(shè)方面,加強(qiáng)了網(wǎng)絡(luò)安全人才隊伍的培養(yǎng)和儲備。各工程管理單位的力量有限,網(wǎng)絡(luò)安全專業(yè)人員缺乏,可以以流域?yàn)閱挝?采取一定的組織形式,把工程管理單位和流域管理部門的專業(yè)人才組織起來,建立網(wǎng)絡(luò)安全專業(yè)隊伍,開展預(yù)警分析、應(yīng)急處置等技術(shù)支持工作。

(5) 在安全評價方面,建立了數(shù)字孿生水利工程網(wǎng)絡(luò)安全評價指標(biāo)體系,該體系的建立有助于全面準(zhǔn)確地掌握水利行業(yè)網(wǎng)絡(luò)安全的總體情況和發(fā)展變化趨勢,并對照評價指標(biāo)中的弱項(xiàng),有針對性地進(jìn)行改進(jìn),對共性的問題開展研究,提供更精準(zhǔn)的指導(dǎo)。

6 結(jié) 語

數(shù)字孿生水利工程的網(wǎng)絡(luò)安全關(guān)系到系統(tǒng)的安全運(yùn)行,本身也是水利工程安全的一部分,數(shù)字孿生水利工程的網(wǎng)絡(luò)安全建設(shè)是體系化的建設(shè),管理、技術(shù)和運(yùn)維是有機(jī)的整體。本文對數(shù)字孿生水利工程的網(wǎng)絡(luò)安全風(fēng)險的幾個方面進(jìn)行了分析,重點(diǎn)對技術(shù)方面的風(fēng)險和防護(hù)進(jìn)行了分析。在具體的數(shù)字孿生水利工程建設(shè)中,各個水利工程具有自身的特點(diǎn)和重點(diǎn),在工作實(shí)踐中還需要結(jié)合自身實(shí)際,開展數(shù)字孿生水利工程網(wǎng)絡(luò)安全保障體系建設(shè),在實(shí)踐中進(jìn)行迭代提升。對數(shù)字孿生水利工程網(wǎng)絡(luò)安全管理的相關(guān)建議僅供網(wǎng)絡(luò)安全管理部門和單位參考。