工業(yè)互聯(lián)網(wǎng)安全技術(shù)及標準化探究
前言：想要寫出一篇引人入勝的文章？我們特意為您整理了工業(yè)互聯(lián)網(wǎng)安全技術(shù)及標準化探究范文，希望能給你帶來靈感和參考，敬請閱讀。
【摘要】工業(yè)互聯(lián)網(wǎng)推動了工業(yè)控制系統(tǒng)的升級和工業(yè)智能化的發(fā)展，但也面臨著一系列安全風(fēng)險，研究安全技術(shù)能力已成為工業(yè)互聯(lián)網(wǎng)背景下的一項關(guān)鍵任務(wù)。本文從五個維度分析了工業(yè)互聯(lián)網(wǎng)安全風(fēng)險并給出了相應(yīng)對策，描述了工業(yè)互聯(lián)網(wǎng)安全關(guān)鍵技術(shù)，提出了一種工業(yè)互聯(lián)網(wǎng)生態(tài)安全防御機制，介紹了工業(yè)互聯(lián)網(wǎng)安全領(lǐng)域的標準化進展。
【關(guān)鍵詞】工業(yè)互聯(lián)網(wǎng)設(shè)備安全工業(yè)控制系統(tǒng)態(tài)勢感知技術(shù)
引言
隨著新一代信息技術(shù)、工業(yè)系統(tǒng)和互聯(lián)網(wǎng)的一體化發(fā)展，生產(chǎn)模式、生產(chǎn)要素發(fā)生重大變革，推動著智能化制造、平臺化設(shè)計和數(shù)字化管理等新模式涌現(xiàn)，催生出了信息化和工業(yè)化融合的工業(yè)新業(yè)態(tài)。在工業(yè)互聯(lián)網(wǎng)時代，IT和OT融合不斷加深，形成了相互開放的工業(yè)設(shè)施環(huán)境和互聯(lián)網(wǎng)設(shè)施環(huán)境，互聯(lián)網(wǎng)安全風(fēng)險與工業(yè)安全風(fēng)險相互滲透，工業(yè)互聯(lián)網(wǎng)安全面臨著眾多挑戰(zhàn)[1]。工業(yè)互聯(lián)網(wǎng)安全風(fēng)險形式復(fù)雜，如果未能及時做好防范和應(yīng)對，將會給制造、裝備、能源等傳統(tǒng)工業(yè)領(lǐng)域帶來嚴重沖擊，乃至影響國民經(jīng)濟。近年來工業(yè)互聯(lián)網(wǎng)安全態(tài)勢始終嚴峻，工業(yè)互聯(lián)網(wǎng)安全事件不斷發(fā)生，如圖1所示[2]。2010年的伊朗核設(shè)施“震網(wǎng)”事件、2011年的美國停水事件、2015年的烏克蘭停電事件、2016年的美國斷網(wǎng)事件、2017年的沙特天然氣事件、2017年的全球“永恒之藍”事件和2019年的挪威鋁業(yè)事件，都是由于工業(yè)設(shè)備、工業(yè)系統(tǒng)或者工業(yè)網(wǎng)絡(luò)遭受了相關(guān)病毒攻擊，嚴重影響了不同工業(yè)企業(yè)的經(jīng)濟效益，也給社會帶來了惡劣影響。因此，研究和推廣工業(yè)互聯(lián)網(wǎng)安全關(guān)鍵技術(shù)，推進工業(yè)互聯(lián)網(wǎng)安全標準化發(fā)展是重中之重。
1工業(yè)互聯(lián)網(wǎng)安全風(fēng)險分析及對策
工業(yè)互聯(lián)網(wǎng)安全風(fēng)險分析需要綜合考慮工業(yè)領(lǐng)域和互聯(lián)網(wǎng)領(lǐng)域。在工業(yè)領(lǐng)域，期望防范對工業(yè)設(shè)備和工業(yè)控制系統(tǒng)的威脅，以保障工業(yè)生產(chǎn)的持續(xù)性和穩(wěn)定性；在互聯(lián)網(wǎng)領(lǐng)域，期望工業(yè)網(wǎng)絡(luò)、工業(yè)應(yīng)用和工業(yè)數(shù)據(jù)的安全，以保障工業(yè)互聯(lián)網(wǎng)的服務(wù)能力和應(yīng)用價值。因此從整體考慮工業(yè)互聯(lián)網(wǎng)安全風(fēng)險，主要包括五大維度：設(shè)備安全、控制安全、網(wǎng)絡(luò)安全、應(yīng)用安全和數(shù)據(jù)安全[3]，如圖2所示。
1.1設(shè)備安全
設(shè)備安全指工業(yè)儀表、工業(yè)機床、工業(yè)傳感器和工業(yè)產(chǎn)品等工業(yè)設(shè)備的安全，主要包括設(shè)備的線路安全、操作安全及功能安全等。傳統(tǒng)工業(yè)設(shè)備注重物理安全和功能安全，在工業(yè)互聯(lián)網(wǎng)環(huán)境下大量工業(yè)設(shè)備集成了嵌入式操作系統(tǒng)和功能軟件，導(dǎo)致設(shè)備自身安全漏洞被暴露在網(wǎng)絡(luò)環(huán)境中，容易遭受病毒攻擊。對于設(shè)備安全風(fēng)險，可以引入設(shè)備內(nèi)生防御機制進行防范。工業(yè)設(shè)備智能化水平不斷提高，為設(shè)備內(nèi)生防御機制提供了軟硬件基礎(chǔ)，通過植入防御芯片、安全證書、安全模組及可信驗證等機制，降低設(shè)備遭受網(wǎng)絡(luò)病毒攻擊或非法訪問的風(fēng)險。
1.2控制安全
控制安全指數(shù)據(jù)采集與監(jiān)視控制系統(tǒng)、分布式控制系統(tǒng)和可編程邏輯控制器等工業(yè)控制系統(tǒng)的安全，其中包括工控協(xié)議和控制程序的安全。工控協(xié)議、控制程序主要依托封閉工業(yè)控制系統(tǒng)之間安全可信的環(huán)境進行布置，缺乏安全防護機制，然而在IT和OT融合發(fā)展的情況下，IT層的網(wǎng)絡(luò)攻擊進入OT層，工控協(xié)議、控制程序風(fēng)險加劇。對于控制安全風(fēng)險，可以通過安全監(jiān)測審計技術(shù)進行抵御[4]。對工業(yè)控制系統(tǒng)部署授權(quán)、認證和監(jiān)聽等信息安全功能，對工業(yè)控制系統(tǒng)的數(shù)據(jù)傳輸過程進行審計，有效檢測網(wǎng)絡(luò)陷阱和隱藏風(fēng)險，規(guī)避第三方網(wǎng)絡(luò)攻擊。
1.3網(wǎng)絡(luò)安全
網(wǎng)絡(luò)安全指工廠內(nèi)部和外部網(wǎng)絡(luò)以及標識網(wǎng)絡(luò)的安全，包括工廠網(wǎng)絡(luò)的通信主體、通信路徑和傳輸介質(zhì)，以及標識身份、標識數(shù)據(jù)和標識行為的安全。一方面，工廠網(wǎng)絡(luò)容易被基于TCP/IP協(xié)議的手段攻擊，傳統(tǒng)靜態(tài)防護機制無法靈活、動態(tài)地保護組網(wǎng)后的復(fù)雜網(wǎng)絡(luò)結(jié)構(gòu)。同時，標識解析系統(tǒng)在標識注冊、標識解析等過程中存在著身份失信、非法操作和信息泄露的風(fēng)險。對于網(wǎng)絡(luò)安全風(fēng)險，考慮簡化網(wǎng)絡(luò)結(jié)構(gòu)、通信協(xié)議加密和網(wǎng)絡(luò)設(shè)備認證等方案。在標識解析系統(tǒng)方面，可以引入標識身份認證，以保證標識身份的真實性；通過標識數(shù)據(jù)加密來防止數(shù)據(jù)傳輸時暴露；借助標識行為授權(quán)機制防范異常的解析行為或篡改行為。
1.4應(yīng)用安全
應(yīng)用安全指實現(xiàn)工業(yè)互聯(lián)網(wǎng)業(yè)務(wù)價值的平臺和工業(yè)APP的安全。智能化制造、平臺化設(shè)計和數(shù)字化管理等新模式的涌現(xiàn)進一步打破了傳統(tǒng)工業(yè)環(huán)境的封閉性，需要OT層具備更高的安全防護水平。工業(yè)APP使用需求多樣，應(yīng)用環(huán)境復(fù)雜，要求網(wǎng)絡(luò)具備較強的安全隔離能力。對于應(yīng)用安全風(fēng)險，考慮實施面向工業(yè)互聯(lián)網(wǎng)應(yīng)用的安全防護策略。通過提供統(tǒng)一的身份認證、業(yè)務(wù)授權(quán)和行為審計等安全保障機制，實現(xiàn)工業(yè)互聯(lián)網(wǎng)應(yīng)用的虛擬化安全和服務(wù)安全。
1.5數(shù)據(jù)安全
數(shù)據(jù)安全指研發(fā)設(shè)計、工業(yè)生產(chǎn)、營銷銷售、物流發(fā)貨等各環(huán)節(jié)數(shù)據(jù)的安全。工業(yè)互聯(lián)網(wǎng)環(huán)境下的工業(yè)數(shù)據(jù)展現(xiàn)出容量大、來源廣和格式不統(tǒng)一的特征，并在工廠內(nèi)外以及工業(yè)領(lǐng)域和互聯(lián)網(wǎng)領(lǐng)域間雙向傳遞和流通。加之工業(yè)領(lǐng)域流程繁雜，業(yè)務(wù)壁壘多，不同信息化系統(tǒng)之間的數(shù)據(jù)難以兼容，且數(shù)據(jù)的流動方向不易追蹤，導(dǎo)致數(shù)據(jù)保護困難，存在被泄露、截獲和篡改的風(fēng)險[5]。對于數(shù)據(jù)安全風(fēng)險，在數(shù)據(jù)采集時進行識別、解析和清洗，在數(shù)據(jù)存儲時判別數(shù)據(jù)敏感等級并實施一定程度的加密，在數(shù)據(jù)傳輸時對數(shù)據(jù)進行簽名和驗證，實現(xiàn)對數(shù)據(jù)流向的動態(tài)管控，保障數(shù)據(jù)全生命周期安全。
2工業(yè)互聯(lián)網(wǎng)安全技術(shù)
在工業(yè)互聯(lián)網(wǎng)的演進過程中，常規(guī)安全防御手段面對層出不窮的安全風(fēng)險逐漸落伍，工業(yè)互聯(lián)網(wǎng)安全受到嚴重威脅，急需發(fā)展相關(guān)安全技術(shù)。下面主要介紹白名單技術(shù)、網(wǎng)絡(luò)邊界防護技術(shù)、工業(yè)主機防護技術(shù)和態(tài)勢感知技術(shù)等工業(yè)互聯(lián)網(wǎng)安全技術(shù)[6]，如圖3所示。
2.1白名單技術(shù)
在傳統(tǒng)互聯(lián)網(wǎng)中，一般使用黑名單技術(shù)來阻隔安全威脅，但無法防止突發(fā)的未知攻擊手段。在傳統(tǒng)工業(yè)領(lǐng)域，工藝流程、生產(chǎn)設(shè)施和業(yè)務(wù)環(huán)節(jié)相對固定，相關(guān)軟件和工具的更新頻率低，通過白名單技術(shù)允許可信的對象通過，可以有效防范惡意攻擊行為。如果可信對象有變更，可以重新設(shè)置白名單。在工業(yè)互聯(lián)網(wǎng)中，通過將白名單技術(shù)和黑名單技術(shù)結(jié)合使用，把白名單技術(shù)作為主要防護手段、黑名單技術(shù)作為輔助防護手段，既可以保障業(yè)務(wù)對象的安全，也能滿足業(yè)務(wù)對象的實時性和高效性需求。
2.2網(wǎng)絡(luò)邊界防護技術(shù)
在互聯(lián)網(wǎng)領(lǐng)域通常采用IT防火墻作為邊界防護手段，但IT防火墻只支持少量通信協(xié)議，無法滿足工業(yè)領(lǐng)域OPCUA和Modbus等工業(yè)通信協(xié)議的協(xié)議解析和低時延通信要求。在工業(yè)互聯(lián)網(wǎng)網(wǎng)絡(luò)邊界防護中，根據(jù)網(wǎng)絡(luò)邊界的性質(zhì)配置滿足工業(yè)通信協(xié)議要求的特定工業(yè)防火墻，以便在抵御網(wǎng)絡(luò)攻擊的同時，可以確保通信端口與通信服務(wù)器的穩(wěn)定連接，保障不同工業(yè)通信協(xié)議的深度解析和低時延通信。另外，工業(yè)防火墻將實時監(jiān)測各種工業(yè)通信指令，阻隔不安全的通信服務(wù)。
2.3工業(yè)主機防護技術(shù)
在互聯(lián)網(wǎng)領(lǐng)域，采用防病毒技術(shù)保護傳統(tǒng)IT主機，依托互聯(lián)網(wǎng)自主升級病毒庫，高效地識別和查殺網(wǎng)絡(luò)病毒。在工業(yè)領(lǐng)域，通過關(guān)閉不需要的配置端口、用戶賬號的基本權(quán)限認證、訪問進程的監(jiān)控審計等措施加固工業(yè)主機，降低網(wǎng)絡(luò)攻擊風(fēng)險，保障工業(yè)主機的安全性。在工業(yè)互聯(lián)網(wǎng)環(huán)境下同時采取工業(yè)主機加固技術(shù)和防病毒技術(shù)，形成雙重保障，可以有效防止工業(yè)主機受到惡意網(wǎng)絡(luò)和勒索病毒的攻擊。2.4態(tài)勢感知技術(shù)態(tài)勢感知是以不同態(tài)勢為基礎(chǔ)的識別和洞悉安全威脅的技術(shù)。通過態(tài)勢感知技術(shù)，對工業(yè)生產(chǎn)過程的業(yè)務(wù)數(shù)據(jù)、質(zhì)量數(shù)據(jù)和安全數(shù)據(jù)進行采集和分析，對各種工業(yè)設(shè)備、工業(yè)控制系統(tǒng)、工業(yè)網(wǎng)絡(luò)和工業(yè)APP的工作情況進行實時地跟蹤和監(jiān)測，同時基于工業(yè)互聯(lián)網(wǎng)不同態(tài)勢的安全數(shù)據(jù)分析和預(yù)測工業(yè)互聯(lián)網(wǎng)安全風(fēng)險，實現(xiàn)安全風(fēng)險的感知和預(yù)警[7]。
3工業(yè)互聯(lián)網(wǎng)生態(tài)安全防御機制
基于工業(yè)互聯(lián)網(wǎng)相關(guān)安全風(fēng)險，本文提出一種工業(yè)互聯(lián)網(wǎng)生態(tài)安全防御機制，如圖4所示。安全防御機制分為系統(tǒng)接入、威脅識別和安全防御三個層級。在系統(tǒng)接入層，工業(yè)企業(yè)通常會在生產(chǎn)現(xiàn)場或者后臺接入傳感器和終端計算等終端設(shè)施，傳輸工業(yè)數(shù)據(jù)的網(wǎng)絡(luò)，云數(shù)據(jù)和云應(yīng)用等云基礎(chǔ)設(shè)施，以及移動APP。在工業(yè)互聯(lián)網(wǎng)中接入眾多系統(tǒng)，必然會帶來各種工業(yè)互聯(lián)網(wǎng)安全風(fēng)險，威脅識別層對此進行探測和識別?？勺R別的終端威脅包括篡改、仿冒和拒絕服務(wù)等，網(wǎng)絡(luò)威脅包括竊聽和橫向滲透等，云威脅包括權(quán)限繞過、數(shù)據(jù)泄露和DDoS等，移動APP威脅包括篡改和盜用等，這些工業(yè)互聯(lián)網(wǎng)安全風(fēng)險會對工業(yè)生產(chǎn)和互聯(lián)網(wǎng)運營造成劇烈沖擊。安全防御層針對性地提出防御策略，防御策略總體上基于安全態(tài)勢感知技術(shù)圖4工業(yè)互聯(lián)網(wǎng)生態(tài)安全防御機制和從芯片到云端的端到端可信機制。對于終端威脅，實施傳感器過濾、身份標識和終端系統(tǒng)加固等手段。對于網(wǎng)絡(luò)威脅，實施流量感知、隔離和通信加密等手段。對于云威脅，實施數(shù)據(jù)防護、應(yīng)用防護和虛擬化防護等手段。對于移動APP威脅，實施相應(yīng)的應(yīng)用防護手段。通過建立工業(yè)互聯(lián)網(wǎng)生態(tài)安全防御機制，可以有效保障工業(yè)互聯(lián)網(wǎng)安全。
4工業(yè)互聯(lián)網(wǎng)安全標準化進展
工業(yè)互聯(lián)網(wǎng)安全標準化工作是提升工業(yè)互聯(lián)網(wǎng)安全水平的重要保障，我國高度重視工業(yè)互聯(lián)網(wǎng)安全國家標準的制定和實施。目前SAC/TC124和SAC/TC260等標委會正在著手研制相關(guān)標準，已經(jīng)涉及到工業(yè)控制系統(tǒng)和工業(yè)網(wǎng)絡(luò)等部分工業(yè)互聯(lián)網(wǎng)領(lǐng)域。部分已發(fā)布的工業(yè)互聯(lián)網(wǎng)安全國家標準如表1[8]。工業(yè)控制系統(tǒng)信息安全評估和驗收系列標準[9]提出了工業(yè)控制系統(tǒng)的規(guī)劃、設(shè)計、實施、運行和廢棄等生命周期信息安全評估和驗收的方法和要求，以降低信息安全風(fēng)險。工業(yè)自動化和控制系統(tǒng)網(wǎng)絡(luò)安全系列標準提供了DCS和PLC在不同控制層級的網(wǎng)絡(luò)安全要求，對于網(wǎng)絡(luò)風(fēng)險的防護、管理和評估具有重要意義。信息安全技術(shù)系列標準旨在指導(dǎo)建設(shè)自主的工業(yè)控制標準體系，規(guī)范產(chǎn)業(yè)的安全發(fā)展，保障工控領(lǐng)域信息環(huán)境的安全?；谀壳肮I(yè)互聯(lián)網(wǎng)發(fā)展的整體態(tài)勢，應(yīng)加速制定重點領(lǐng)域的安全標準，對工業(yè)互聯(lián)網(wǎng)各方面安全風(fēng)險的管理和防護工作提供標準化指導(dǎo)。
5結(jié)束語
工業(yè)互聯(lián)網(wǎng)作為新基建的關(guān)鍵領(lǐng)域之一，引領(lǐng)著傳統(tǒng)工業(yè)生產(chǎn)邁向智能化。在工業(yè)互聯(lián)網(wǎng)助力工業(yè)智能化發(fā)展的過程中，也造成了設(shè)備安全、應(yīng)用安全和數(shù)據(jù)安全等各種安全風(fēng)險。工業(yè)互聯(lián)網(wǎng)相關(guān)方應(yīng)著重研究工業(yè)互聯(lián)網(wǎng)安全相關(guān)技術(shù)和標準，充分發(fā)揮安全技術(shù)和安全標準的應(yīng)用價值，保障工業(yè)互聯(lián)網(wǎng)健康發(fā)展。
作者:任濤林 周志勇 孫明 張成龍 王勇 辛學(xué)祥 單位:青島海爾工業(yè)智能研究院有限公司
