工業(yè)互聯(lián)網(wǎng)環(huán)境下IT/OT融合的安全防御技術(shù)研究

摘要：傳統(tǒng)IT/OT融合的安全防御技術(shù)只能儲存IT/OT融合數(shù)據(jù)，不能進(jìn)行加密，導(dǎo)致數(shù)據(jù)出現(xiàn)泄露、完整性受損以及真實(shí)性問題。為此，文章研究工業(yè)互聯(lián)網(wǎng)環(huán)境下IT/OT融合安全防御技術(shù)。首先，文章通過風(fēng)險評估、漏洞掃描、網(wǎng)絡(luò)監(jiān)控和日志分析等方法，尋找并確定安全缺口，構(gòu)建安全架構(gòu)關(guān)聯(lián)體系；其次，建立防火墻體系，對網(wǎng)絡(luò)進(jìn)行主動優(yōu)化和保護(hù)，確保不同區(qū)域的安全隔離；最后，采用加密技術(shù)對IT/OT融合數(shù)據(jù)進(jìn)行加密處理，確保數(shù)據(jù)來源的真實(shí)可信性。實(shí)驗(yàn)結(jié)果表明，文章設(shè)計的安全防御技術(shù)攻擊成功率最高僅為2%，具備更好的防御性能。

關(guān)鍵詞：工業(yè)互聯(lián)網(wǎng)；IT/OT融合；安全防御技術(shù)；分區(qū)防護(hù)

中圖分類號：TN929 "文獻(xiàn)標(biāo)志碼：A

0 引言

隨著工業(yè)互聯(lián)網(wǎng)快速發(fā)展，信息技術(shù)（Information Technology，IT）和運(yùn)營技術(shù)（Operation Technology，OT）的融合變得越來越重要。由于IT和OT領(lǐng)域的傳統(tǒng)安全策略和防御手段各有側(cè)重，兩者之間的差異和鴻溝逐漸凸顯，因此研究IT/OT融合的安全防御技術(shù)有重要意義。在工業(yè)互聯(lián)網(wǎng)環(huán)境下，IT/OT融合的安全防御技術(shù)需要綜合考慮IT和OT這2個方面的因素。冷煒鑭［1］以交換技術(shù)與安全技術(shù)相融的安全型三層交換機(jī)技術(shù)為突破，建立了安全型三層交換機(jī)動態(tài)防御模型。羅奇［2］提出了一種基于數(shù)據(jù)驅(qū)動的網(wǎng)絡(luò)捕獲模型，并將其與相關(guān)規(guī)則相結(jié)合，實(shí)現(xiàn)了數(shù)據(jù)驅(qū)動的入侵檢測，利用女巫的入侵檢測技術(shù)，對以數(shù)據(jù)為基礎(chǔ)的網(wǎng)絡(luò)進(jìn)行攻擊，建立以數(shù)據(jù)為基礎(chǔ)的網(wǎng)絡(luò)安全防御體系。

在上述研究的基礎(chǔ)上，本文進(jìn)一步研究工業(yè)互聯(lián)網(wǎng)環(huán)境下IT/OT融合的安全防御技術(shù)，以期為工業(yè)互聯(lián)網(wǎng)中IT/OT的融合提供更完整、更高效的安全防護(hù)方法，確保工控系統(tǒng)的穩(wěn)定與安全。

1 工業(yè)互聯(lián)網(wǎng)環(huán)境下IT/OT融合的安全防御方法設(shè)計

1.1 尋找安全缺口

安全性缺口通常是由各種因素造成的。為了有效尋找安全缺口，研究人員通常采用以下方式。

（1）執(zhí)行漏洞掃描：該方式使用專業(yè)的漏洞掃描工具，定期對系統(tǒng)和應(yīng)用程序進(jìn)行掃描。

（2）監(jiān)控網(wǎng)絡(luò)流量：該方式通過監(jiān)控網(wǎng)絡(luò)流量，可以發(fā)現(xiàn)異?；顒雍蜐撛诘墓簦豢梢酝ㄟ^使用網(wǎng)絡(luò)監(jiān)控工具和入侵檢測系統(tǒng)（Intrusion Detection System，IDS）來實(shí)現(xiàn)。

（3）分析日志文件：該方式分析系統(tǒng)、應(yīng)用程序和安全設(shè)備的日志文件，發(fā)現(xiàn)異常行為和潛在的攻擊。

（4）進(jìn)行滲透測試：該方式邀請專業(yè)的滲透測試團(tuán)隊(duì)模擬惡意攻擊者，以測試系統(tǒng)的防御能力，這將識別出潛在的安全弱點(diǎn)，提供改進(jìn)建議?；谏鲜龇绞綄ふ野踩笨诘姆椒ㄈ绫?所示。

表1 尋找安全缺口方法

方法描述示例

風(fēng)險評估對系統(tǒng)和應(yīng)用程序進(jìn)行全面的風(fēng)險評估發(fā)現(xiàn)數(shù)據(jù)庫存在未打補(bǔ)丁的安全漏洞

漏洞掃描使用專業(yè)的漏洞掃描工具，定期對系統(tǒng)和應(yīng)用程序進(jìn)行掃描檢測到Web應(yīng)用程序存在SQL注入漏洞

網(wǎng)絡(luò)監(jiān)控通過監(jiān)控網(wǎng)絡(luò)流量，可以發(fā)現(xiàn)異?；顒雍蜐撛诘墓舭l(fā)現(xiàn)異常的網(wǎng)絡(luò)流量，可能是DDoS攻擊的前兆

日志分析分析系統(tǒng)、應(yīng)用程序和安全設(shè)備的日志文件，以發(fā)現(xiàn)異常行為和潛在的攻擊識別出服務(wù)器上的異常登錄行為，可能是惡意軟件活動

滲透測試請專業(yè)的滲透測試團(tuán)隊(duì)模擬惡意攻擊者，以測試系統(tǒng)的防御能力發(fā)現(xiàn)系統(tǒng)存在未受保護(hù)的遠(yuǎn)程桌面協(xié)議連接

尋找安全缺口是指通過各種方法和技術(shù)來發(fā)現(xiàn)系統(tǒng)和應(yīng)用程序中存在的安全漏洞和潛在的攻擊面。其對構(gòu)建安全架構(gòu)關(guān)聯(lián)體系，提高工業(yè)互聯(lián)網(wǎng)中IT與OT融合的安全性非常重要。具體要素如下。

（1）確保構(gòu)架安全：在工業(yè)互聯(lián)網(wǎng)的設(shè)計中，系統(tǒng)需要加強(qiáng)安全保護(hù)以防止設(shè)備被任意調(diào)用。

（2）強(qiáng)化被動防御：研究人員須建立工業(yè)互聯(lián)網(wǎng)防火墻，通過限制網(wǎng)絡(luò)流量和阻止惡意訪問，實(shí)施被動防御策略；同時，建立硬件設(shè)備和軟件清單，對網(wǎng)絡(luò)拓?fù)溥M(jìn)行梳理，確保設(shè)備和系統(tǒng)的安全運(yùn)行。

（3）及時更新服務(wù)器：研究人員須持續(xù)更新服務(wù)器軟件和系統(tǒng)補(bǔ)丁，并及時修復(fù)已知的安全漏洞，從而抵御非法侵入和減少被攻擊的風(fēng)險。

（4）加強(qiáng)設(shè)備安全防護(hù)：在工業(yè)互聯(lián)網(wǎng)環(huán)境中，設(shè)備的安全是整體安全的基礎(chǔ)。因此，研究人員應(yīng)根據(jù)企業(yè)的實(shí)際狀況，對內(nèi)部設(shè)備進(jìn)行安全加固，確保其具備足夠的防護(hù)能力。

1.2 實(shí)施分區(qū)防護(hù)

統(tǒng)一管理和協(xié)調(diào)有助于提高整體安全性，并確保分區(qū)防護(hù)能夠協(xié)同工作，形成一個更加強(qiáng)大和有效的網(wǎng)絡(luò)安全體系。第1個階段是對網(wǎng)絡(luò)劃分的防火墻進(jìn)行主動優(yōu)化，并與深層保護(hù)系統(tǒng)共同建立1個防火墻；第2個階段是建立企業(yè)內(nèi)部的網(wǎng)絡(luò)防火墻，對網(wǎng)絡(luò)進(jìn)行控制；第3個階段是建立健全的防火墻實(shí)施方案；第4個階段是建立“非軍事區(qū)域”的防火墻［3］。防火墻結(jié)構(gòu)如圖1所示。

分區(qū)保護(hù)是把整個網(wǎng)絡(luò)分成若干個部分，在各個部分執(zhí)行相應(yīng)的安全策略和保護(hù)措施，達(dá)到對整個網(wǎng)絡(luò)進(jìn)行安全管理與防御的目的［4］。具體步驟如下。

（1）實(shí)施分區(qū)防護(hù)須根據(jù)工業(yè)互聯(lián)網(wǎng)環(huán)境的需求和特點(diǎn)，將網(wǎng)絡(luò)劃分為不同的區(qū)域。

（2）研究人員須對每個區(qū)域?qū)嵤┫鄳?yīng)的安全防護(hù)措施。對于核心網(wǎng)絡(luò)，研究人員須加強(qiáng)訪問控制和加密傳輸，防止未經(jīng)授權(quán)的訪問和數(shù)據(jù)泄露。

（3）研究人員還須建立完善的安全管理制度和流程，通過建立完善的安全管理制度和流程，可以及時發(fā)現(xiàn)和處理安全事件，減少安全風(fēng)險和損失。

（4）實(shí)施分區(qū)防護(hù)須綜合考慮整個網(wǎng)絡(luò)的安全性和性能。在實(shí)施分區(qū)防護(hù)時，研究人員須充分考慮各個區(qū)域之間的聯(lián)系和交互，避免因分區(qū)防護(hù)而導(dǎo)致的網(wǎng)絡(luò)瓶頸和性能下降。

通過將網(wǎng)絡(luò)劃分為不同的區(qū)域，并針對每個區(qū)域?qū)嵤┎煌陌踩呗院头雷o(hù)措施，實(shí)現(xiàn)對整個網(wǎng)絡(luò)的安全管理和防御，提高工業(yè)互聯(lián)網(wǎng)環(huán)境的安全性和可靠性。

1.3 加密IT/OT融合數(shù)據(jù)

在IT/OT融合環(huán)境中，確保數(shù)據(jù)來源的真實(shí)可信性是至關(guān)重要的。將傳輸?shù)腎T/OT融合數(shù)據(jù)變成密文（加密）。加密的目標(biāo)是存儲在服務(wù)供應(yīng)商服務(wù)器的IT/OT融合數(shù)據(jù)以及傳輸?shù)浇K端用戶的IT/OT融合數(shù)據(jù)，將加密技術(shù)引入上述數(shù)據(jù)［5］，以解決數(shù)據(jù)的傳輸和存儲件安全問題。IT/OT融合數(shù)據(jù)加密流程如圖2所示。

針對數(shù)據(jù)驅(qū)動的網(wǎng)絡(luò)數(shù)據(jù)傳輸特性，本文利用動態(tài)密碼技術(shù)實(shí)現(xiàn)IT/OT融合數(shù)據(jù)加密，構(gòu)造了一套完整的云同步啟動程序。假定α代表全同態(tài)處理流程的一個環(huán)節(jié)，μ代表明文空間K的輸入閾值。α是數(shù)據(jù)加密程序的起始程序，要使這個啟動程序在一個數(shù)據(jù)驅(qū)動的網(wǎng)絡(luò)中發(fā)揮作用，需要對Iα的特定數(shù)值范圍進(jìn)行計算。其中，明文空間為明文，μ為解密程序的閾值。本文使用云計算技術(shù)來進(jìn)行資料分享，資料的加密處理方法如下所述。

對于任何I閾值，本文將數(shù)據(jù)的加密處理表達(dá)為：

其中，C代表密文，E（）代表加密算法，P表示待加密的數(shù)據(jù)，表示異或運(yùn)算符，K表示用于加密的動態(tài)生成密鑰。

則IT/OT融合數(shù)據(jù)加密過程為：

（Dα（Iα（μ）））=α（h）（2）

其中，Dα是對完全同態(tài)加密α進(jìn)行解密處理的操作，Iα（μ）是對閾值μ進(jìn)行加密處理的操作，α（h）是具有h的啟動程序處理結(jié)果。

本文使用動態(tài)密碼技術(shù)對明文空間K中的數(shù)據(jù)進(jìn)行加密處理，得到加密后的密文；使用解密處理操作Dα對加密后的數(shù)據(jù)進(jìn)行解密，得到原始的明文數(shù)據(jù)。

2 工業(yè)互聯(lián)網(wǎng)環(huán)境下IT/OT融合的安全防御實(shí)驗(yàn)

2.1 實(shí)驗(yàn)準(zhǔn)備

本文針對工業(yè)互聯(lián)網(wǎng)中IT/OT融合的安全防護(hù)問題展開研究。選擇GE Predix工業(yè)互聯(lián)網(wǎng)平臺。在實(shí)驗(yàn)網(wǎng)絡(luò)中安裝安全防御軟件（防火墻、IDS、殺毒軟件），以保護(hù)工業(yè)設(shè)備和控制系統(tǒng)的安全。根據(jù)實(shí)驗(yàn)需求，本文搭建了實(shí)驗(yàn)環(huán)境，以確保實(shí)驗(yàn)順利進(jìn)行。攻擊信息類型如表2所示。

2.2 實(shí)驗(yàn)說明

根據(jù)表2中設(shè)定的內(nèi)容對工業(yè)互聯(lián)網(wǎng)進(jìn)行攻擊實(shí)驗(yàn)，實(shí)驗(yàn)中搭建工業(yè)互聯(lián)網(wǎng)，將本文所提方法與基于P2DR模型的信息安全防御技術(shù)探討（方法1）、基于云計算的數(shù)據(jù)驅(qū)動網(wǎng)絡(luò)安全防御技術(shù)（方法2）進(jìn)行對比。

2.3 實(shí)驗(yàn)結(jié)果分析

3種方法下的攻擊成功率結(jié)果如表3所示。

由表3可知，方法1和方法2的攻擊成功率均超過20%，而本文方法的攻擊成功率最高僅為2%。這表明2種對比方法的安全防御技術(shù)明顯低于本文方法。

3 結(jié)語

通過對IT/OT融合的深入理解，針對其特點(diǎn)和發(fā)展趨勢，本文提出了有效的安全防御策略和措施。結(jié)合機(jī)器學(xué)習(xí)和人工智能的安全監(jiān)控和分析、基于區(qū)塊鏈技術(shù)的數(shù)據(jù)安全保護(hù)等新方法可能成為IT/OT融合安全防御技術(shù)的重要研究方向。因此，研究人員需要不斷關(guān)注工業(yè)互聯(lián)網(wǎng)環(huán)境的變化和發(fā)展趨勢，以適應(yīng)新的安全挑戰(zhàn)并推動工業(yè)互聯(lián)網(wǎng)的健康發(fā)展。

參考文獻(xiàn)

［1］冷煒鑭.基于P2DR模型的信息安全防御技術(shù)探討［J］.信息系統(tǒng)工程，2023（7）：103-105.

［2］羅奇.基于云計算的數(shù)據(jù)驅(qū)動網(wǎng)絡(luò)安全防御技術(shù)［J］.數(shù)據(jù)，2023（3）：25-26.

［3］張鳳霞.地鐵信號系統(tǒng)信息安全防御技術(shù)研究［J］.都市快軌交通，2023（1）：168-173.

［4］安啟玲，鄭通.工業(yè)互聯(lián)網(wǎng)環(huán)境下IT/OT融合的安全防御技術(shù)的研究［J］.中國新通信，2022（6）：131-133.

［5］曹祖軍.計算機(jī)網(wǎng)絡(luò)技術(shù)的應(yīng)用及安全防御技術(shù)［J］.中國新通信，2022（4）：110-112.

（編輯 沈 強(qiáng)編輯）

Research on security defense technology of IT/OT integration in industrial Internet environment

CHEN" Zan， CHEN" Xingyuan， ZHU" Zhiyue

（Hubei Qingjiang Hydropower Development Co.， Ltd.， Yichang 443000， China）

Abstract： The traditional security defense technology for IT/OT fusion can only store IT/OT fusion data and cannot be encrypted， resulting in data leakage， integrity damage， and authenticity issues. Therefore， this paper studies the security defense technology for IT/OT fusion in the industrial internet environment. Firstly， through methods such as risk assessment， vulnerability scanning， network monitoring， and log analysis， this paper searches and determines security gaps， and constructs a security architecture correlation system. Secondly， a firewall system to actively optimize and protect the network is established， ensuring secure isolation in different areas. Finally， the encryption technology is used to encrypt the IT/OT fusion data， ensuring the authenticity and credibility of the data source. The experimental results show that the highest success rate of the security defense technology designed in this article is only 2%，which has better defense performance.

Key words： industrial internet; IT/OT integration; security defense technology; zone protection