(網經社訊)1，相關背景
伴隨著互聯(lián)網信息技術、工業(yè)自動化技術的革命性突破和全球經濟一體化的發(fā)展，工業(yè)互聯(lián)網應運而生，并迅速成為熱門技術，成為國際工業(yè)界不斷研究和持續(xù)探索的熱點課題。經過近幾年的發(fā)展，工業(yè)互聯(lián)網的推廣普及為工業(yè)經濟發(fā)展提供了更多的內驅力。為更好地激發(fā)工業(yè)互聯(lián)網的技術潛能，引領工業(yè)互聯(lián)網技術實現(xiàn)技術應用開發(fā)，2014年成立了工業(yè)互聯(lián)網聯(lián)盟（IIC），致力于分享綜合利用互聯(lián)網實現(xiàn)機械設備智能化應用的改革創(chuàng)新。我國2016年也成立了工業(yè)互聯(lián)網產業(yè)聯(lián)盟，顯示了我國的工業(yè)互聯(lián)網發(fā)展的決心和巨大前景。
工業(yè)互聯(lián)網是滿足工業(yè)智能化發(fā)展需求，具有低時延、高可靠、廣覆蓋特點的關鍵網絡基礎設施，是新一代信息通信技術與先進制造業(yè)深度融合所形成的新興業(yè)態(tài)與應用模式。
其中，網絡體系是實現(xiàn)連接全工業(yè)系統(tǒng)、全價值鏈、全產業(yè)鏈的基礎，包括網絡互連、標識解析、應用支撐三大體系。數(shù)據(jù)包括“采集交換-集成處理-建模分析-決策與控制”，形成優(yōu)化閉環(huán)，驅動工業(yè)智能化。安全是工業(yè)/產業(yè)互聯(lián)網各個領域和環(huán)境的安全保障，包括設備安全、控制安全、網絡安全、應用安全和數(shù)據(jù)安全等。為加速提升工業(yè)互聯(lián)網的應用質量與效果，為我國的經濟結構調整、動能轉換貢獻力量，全面推進“中國制造2025”和“互聯(lián)網+”行動計劃，有必要圍繞國家網絡安全法和網絡安全等級保護制度加強對中央企業(yè)工業(yè)互聯(lián)網信息安全領域解決方案的研究。
2，中央企業(yè)工業(yè)互聯(lián)網安全分析
隨著工業(yè)互聯(lián)網的發(fā)展和新技術的應用，中央企業(yè)的工業(yè)網絡從生產設備、控制系統(tǒng)、網絡架構、業(yè)務應用、數(shù)據(jù)傳輸?shù)榷鄠€層面都發(fā)生了巨大的變化。在在新的變化下如何應對安全風險成為了一個至關重要又迫在眉睫的問題。
2.1.工業(yè)互聯(lián)網脆弱性分析
操作系統(tǒng)漏洞
PC+Windows的技術架構現(xiàn)已成為控制系統(tǒng)上位機/操作站的主流。而在控制網絡中，上位機/操作站是實現(xiàn)與MES通信的主要網絡結點，因此其操作系統(tǒng)的漏洞就成為了整個控制網絡信息安全中的一個短板。操作系統(tǒng)漏洞頻繁出現(xiàn)，安全事故時有發(fā)生。以Windows XP版本為例，就曾被發(fā)現(xiàn)了大量漏洞，典型的如輸入法漏洞、IPC$漏洞、RPC漏洞、Unicode漏洞、IDA&IDQ緩沖區(qū)溢出漏洞、Printer溢出漏洞、Cookie漏洞等等。這些漏洞大部分危害巨大，惡意代碼通過這些漏洞，可以獲得Windows XP操作站的完全控制權，甚至為所欲為。
工業(yè)控制系統(tǒng)漏洞
由于早期的工業(yè)控制系統(tǒng)都是在相對獨立的網絡環(huán)境下運行，在產品設計和網絡部署時，只考慮了功能性和穩(wěn)定性，對安全性考慮不足。隨著工業(yè)控制系統(tǒng)網絡之間互聯(lián)互通的不斷推進，以及工控控制系統(tǒng)和工業(yè)設備接入互聯(lián)網的數(shù)量越來越多，通過互聯(lián)網對工業(yè)控制系統(tǒng)實施攻擊的可能性越來越高，而每年新發(fā)現(xiàn)的SCADA、DCS、PLC漏洞數(shù)量也不斷增加，這些都為工業(yè)互聯(lián)網帶來巨大的安全隱患。
從2011年以后工業(yè)控制系統(tǒng)的各種漏洞每年都在高速的增加，這些漏洞將會成為攻擊工業(yè)控制網絡的一種主要途徑，通過這些漏洞攻擊可以完成獲取系統(tǒng)權限、修改工程數(shù)據(jù)和控制流程、非法關閉現(xiàn)場設備等操作，造成重大的生產事故和經濟損失。
工業(yè)控制網絡漏洞
工業(yè)控制網絡的設備分布于廠區(qū)各處，甚至是野外，由于網絡基礎設施的局限性，經常需要無線網絡、衛(wèi)星、GPRS/CDMA等通用傳輸手段來實現(xiàn)與調度中心的連接和數(shù)據(jù)交換。這些傳輸手段沒有足夠的安全保護和加密措施，很容易出現(xiàn)網絡竊聽、數(shù)據(jù)劫持、第三人攻擊等安全問題，而且攻擊者還可以利用不安全傳輸方式作為攻擊工業(yè)控制網絡的入口，實現(xiàn)對于整個工業(yè)控制網絡的滲透和控制。
云平臺安全問題
在云平臺中，作為底層支撐技術的虛擬化技術在帶來效率提升和開銷降低的同時,也帶來了一系列由于物理的共享與邏輯隔離的沖突而導致的數(shù)據(jù)安全問題。在公有云環(huán)境下，不同機構之間物理隔離的網絡被由網絡虛擬化技術構建的虛擬網絡取代。這種網絡資源復用模式雖然實現(xiàn)了網絡資源的高效利用、網絡流量的集中分發(fā)，但也帶來了諸多安全問題。
2.2.工業(yè)互聯(lián)網安全威脅分析
來自外部網絡的滲透
工業(yè)互聯(lián)網會有較多的開放服務，攻擊者可以通過掃描發(fā)現(xiàn)開放服務，并利用開放服務中的漏洞和缺陷登錄到網絡服務器獲取企業(yè)關鍵資料，同進還可以利用辦公網絡作為跳板，逐步滲透到控制網絡中。通過對于辦公網絡和控制網絡一系列的滲透和攻擊，最終獲取企業(yè)重要的生產資料、關鍵配方，嚴重的是隨意更改控制儀表的開關狀態(tài)，惡意修改其控制量，造成重大的生產事故。
帳號口令破解
由于企業(yè)有對外開放的應用系統(tǒng)（如郵件系統(tǒng)），在登錄開放應用系統(tǒng)的時候需要進行身份認證，攻擊都通過弱口令掃描、Sniffer密碼嗅探、暴力破解、信任人打探套取或社工比較合成口令等手段來獲取用戶的口令，這樣直接獲得系統(tǒng)或應用權限。獲取了用戶權限就可以調取相關資料，惡意更改相關控制設施。
利用移動介質攻擊
當帶有惡意程序的移動介質連接到工程師站或操作員站時，移動介質病毒會利用移動介質自運行功能，自動啟動對控制設備進行惡意攻擊或惡意指令下置。一方面造成網絡病毒在企業(yè)各個網絡層面自動傳播和感染，靠成業(yè)務系統(tǒng)和控制系統(tǒng)性能的下降，從而影響企業(yè)監(jiān)測、統(tǒng)籌、決策能力。另一方面會針對特定控制系統(tǒng)或設備進行惡意更改其實際控制量，造成生成事故。
PLC程序病毒的威脅
通過對工程師站及編程服務器的控制，感染（替換）其相關程序，當PLC程序的下發(fā)時，惡意程序一起被下發(fā)到PLC控制設備上。惡意程序一方面篡改PLC的實際控制流，另一方面將運算好的虛假數(shù)據(jù)發(fā)給PLC的輸出，防止報警。通過這種方式造成現(xiàn)場設備的壓力、溫度、液位失控，但監(jiān)測系統(tǒng)不能及時發(fā)現(xiàn)，造成重大的安全事故。
利用工業(yè)通信協(xié)議的缺陷
Modbus、DNP3、OPC等傳統(tǒng)工業(yè)協(xié)議缺乏身份認證、授權以及加密等安全機制，利用中間人攻擊捕獲和篡改數(shù)據(jù)，給設備下達惡意指令，影響生產調度，造成生產失控。
利用無線網絡入侵
控制網絡通過DTU無線設備通過802.11b協(xié)議連接到管理區(qū)的網絡，通過對網絡無線信息的收集，偵測WEP安全協(xié)議漏洞，破解無線存取設備與客戶之間的通訊，分析出接入密碼，從而成功接入控制網絡，控制現(xiàn)場設備，獲取機要信息，更改控制系統(tǒng)及設備的控制狀態(tài)，造成重大影響。
3，中央企業(yè)工業(yè)互聯(lián)網安全解決方案建議
工業(yè)互聯(lián)網實現(xiàn)了設備、工廠、人、產品的全方位連接，因此工業(yè)互聯(lián)網安全建設必須從綜合安全防護體系的視角對其進行統(tǒng)籌規(guī)劃。從工業(yè)互聯(lián)網的整體架構來看，應該在各個層面實施相應的安全防護措施，并通過入侵檢測、邊界防護、協(xié)議分析、行為分析、安全審計、容災備份、態(tài)勢感知等各種安全技術與安全管理相結合的方式實現(xiàn)工業(yè)互聯(lián)網的安全防護，形成對工業(yè)互聯(lián)網安全的“監(jiān)測、報警、處置、溯源、恢復、檢查”工作閉環(huán)。
3.1.智能工廠工控安全防護建議
中央企業(yè)工業(yè)互聯(lián)網架構中位于底層的是生產企業(yè)的智能制造工廠，基于現(xiàn)場數(shù)據(jù)采集的數(shù)據(jù)通信需求、網絡拓撲結構、安全性要求等因素，建議如下：
●在過程控制層和現(xiàn)場控制層之間部署工業(yè)防火墻，對網絡之間的數(shù)據(jù)訪問進行訪問控制；
●在過程控制層部署安全配置核查系統(tǒng)，對工控設備、安全設備、網絡設備的安全配置進行檢查；在過程控制層部署日志審計系統(tǒng)，全年采集和分析設備日志；
●在現(xiàn)場控制層部署工控網絡安全監(jiān)測與審計系統(tǒng)，全面監(jiān)測異常操作和違規(guī)行為；
●在現(xiàn)場控制層部署運維堡壘機、實現(xiàn)設備運維操作的全面審計和行為管控；
●在現(xiàn)場控制層操作員站部署終端安全衛(wèi)士，實現(xiàn)終端安全保護。
3.2.工業(yè)互聯(lián)網平臺安全防護建議
由于工業(yè)互聯(lián)網云平臺使用的是虛擬化技術，導致許多傳統(tǒng)的安全防護機制無法直接應用于云計算平臺。例如傳統(tǒng)防火墻無法對云平臺虛擬機間的通信進行訪問。為實現(xiàn)工業(yè)云平臺業(yè)務和服務的安全交付，用戶訪問的安全隔離和控制，對DDoS等惡意攻擊、病毒蠕蟲、惡意代碼和釣魚網站等安全威脅的防護，建議使用云安全管理平臺、旁路安全資源池、安全虛擬機等措施。
安全虛擬機是指宿主機中的安全虛擬機，與VSwitch對接，將宿主機中其他虛擬機的流量形成鏡像，并完成流量的初步整形。同時，將流量鏡像文件傳遞至旁路檢測資源池。以及云安全管理平臺。云安全管理平臺的作用是下發(fā)流量導流策略到安全虛擬機，完成旁路檢測導流，收集安全態(tài)勢信息（流量、連接數(shù)、協(xié)議、IP等）。旁路安全資源池即物理或者虛擬化的安全檢測或者審計設備，由安全虛擬機將流量導流至資源池內進行檢測與審計。
3.3.建設工業(yè)互聯(lián)網安全態(tài)勢感知平臺的建議
工業(yè)互聯(lián)網安全態(tài)勢感知平臺用來全面感知工業(yè)互聯(lián)網安全威脅態(tài)勢、洞悉網絡及應用運行健康狀態(tài)、通過全流量分析技術實現(xiàn)完整的網絡攻擊溯源取證，幫助安全人員采取針對性響應處置措施。
工業(yè)互聯(lián)網安全態(tài)勢感知系統(tǒng)應該具備網絡空間安全持續(xù)監(jiān)控能力，能夠及時發(fā)現(xiàn)各種攻擊威脅與異常；具備威脅調查分析及可視化能力，可以對威脅相關的影響范圍、攻擊路徑、目的、手段進行快速判別，從而支撐有效的安全決策和響應；能夠建立安全預警機制，來完善風險控制、應急響應和整體安全防護的水平。實現(xiàn)工業(yè)互聯(lián)網安全“監(jiān)測、分析、預測、防御”的安全功能。
3.4.建設工業(yè)互聯(lián)網安全綜合管理平臺的建議
工業(yè)互聯(lián)網安全綜合管理平臺是中央企業(yè)用于對信息系統(tǒng)等級保護、網絡安全檢查、網絡與信息安全信息通報，應急管理等進行工作部署、工作過程監(jiān)控及工作結果統(tǒng)計分析的一套網絡安全管理平臺，是央企工業(yè)互聯(lián)網安全保護工作的重要管理支撐平臺。
安全綜合管理平臺應該能夠實現(xiàn)在滿足國家安全監(jiān)管部門的要求下，實現(xiàn)對工業(yè)互聯(lián)網安全保護工作的部署、執(zhí)行、反饋的規(guī)范化、流程化，以及集中管理和應用工業(yè)互聯(lián)網安全管理工作中的信息與數(shù)據(jù)。
安全綜合管理平臺應能夠落實中央企業(yè)等級保護工作要求，實現(xiàn)企業(yè)信息系統(tǒng)的定級、備案、系統(tǒng)整改、等級測評等工作的全過程管理與指導，并實現(xiàn)工業(yè)互聯(lián)網平臺與工業(yè)控制系統(tǒng)的安全檢查與評估，能夠幫助企業(yè)進行“等?！弊栽u估。平臺能夠實現(xiàn)央企和國家安全監(jiān)管部門之間的安全通報下發(fā)、接收、上報的全過程管理，同時為企業(yè)提供應急演練預案、應急演練記錄、應急預案、應急處置等應急工作信息的采集。
4，小結
本文是以圣博潤副總經理趙宇在7月5日舉辦的2018中央企業(yè)網絡安全與工業(yè)互聯(lián)網交流研討大會“工業(yè)互聯(lián)網與安全”論壇上所作的《工業(yè)互聯(lián)網安全實踐與探索》主題報告的思路為基礎，在對中央企業(yè)工業(yè)互聯(lián)網安全分析的基礎上，圍繞數(shù)據(jù)、應用、網絡、控制、設備等多個層面，分別從智能工廠安全、工業(yè)云平臺安全、工業(yè)互聯(lián)網安全態(tài)勢感知、工業(yè)互聯(lián)網安全綜合管理等多個角度提出的中央企業(yè)工業(yè)互聯(lián)網信息安全解決方案，希望本方案能夠為中央企業(yè)工業(yè)互聯(lián)網安全建設提供一點啟發(fā)。（來源：南方網 編選：電子商務研究中心）
