工業(yè)互聯(lián)網(wǎng)的安全挑戰(zhàn)及應(yīng)對(duì)策略工業(yè)互聯(lián)網(wǎng)的安全挑戰(zhàn)及應(yīng)對(duì)策略全文共8頁(yè)，當(dāng)前為第1頁(yè)。工業(yè)互聯(lián)網(wǎng)的安全挑戰(zhàn)及應(yīng)對(duì)策略

工業(yè)互聯(lián)網(wǎng)的安全挑戰(zhàn)及應(yīng)對(duì)策略全文共8頁(yè)，當(dāng)前為第1頁(yè)。1工業(yè)互聯(lián)網(wǎng)概況

工業(yè)互聯(lián)網(wǎng)是互聯(lián)網(wǎng)和新一代信息技術(shù)與工業(yè)系統(tǒng)全方位深度融合所形成的產(chǎn)業(yè)和應(yīng)用生態(tài)，中國(guó)工業(yè)互聯(lián)網(wǎng)產(chǎn)業(yè)聯(lián)盟(AII)提出的工業(yè)互聯(lián)網(wǎng)參考體系架構(gòu)。其中，網(wǎng)絡(luò)是工業(yè)數(shù)據(jù)傳輸交換的支撐基礎(chǔ);數(shù)據(jù)是工業(yè)智能化的核心驅(qū)動(dòng);保障網(wǎng)絡(luò)與數(shù)據(jù)的安全是工業(yè)互聯(lián)網(wǎng)穩(wěn)定運(yùn)行、創(chuàng)造價(jià)值的前提。工業(yè)互聯(lián)網(wǎng)的安全可以分為：設(shè)備安全、網(wǎng)絡(luò)安全、控制安全、數(shù)據(jù)安全、應(yīng)用安全和參與全程的人員安全。

工業(yè)互聯(lián)網(wǎng)包含了工業(yè)控制系統(tǒng)、工業(yè)網(wǎng)絡(luò)，同時(shí)也包含了大數(shù)據(jù)存儲(chǔ)分析、云計(jì)算、商業(yè)系統(tǒng)、客戶網(wǎng)絡(luò)等商業(yè)網(wǎng)絡(luò)基礎(chǔ)設(shè)施。其中，工業(yè)控制系統(tǒng)(ICS)是指用于操作、控制、輔助自動(dòng)化工業(yè)生產(chǎn)過(guò)程的設(shè)備、系統(tǒng)、網(wǎng)絡(luò)以及控制器的集合，包括：數(shù)據(jù)監(jiān)控與采集系統(tǒng)(SCADA)、分布式控制系統(tǒng)(DCS)、可編程邏輯控制器(PLC)、智能終端、人機(jī)交互接口(HMI)等系統(tǒng)。文章中，我們將分析工業(yè)互聯(lián)網(wǎng)的安全挑戰(zhàn)，并提出應(yīng)對(duì)措施、整體防御建議。

APC：先進(jìn)過(guò)程控制Bumer：燃燒器ERP：企業(yè)資源計(jì)劃HMI：人機(jī)交互接口ICS：工業(yè)控制系統(tǒng)MES：制造執(zhí)行系統(tǒng)OPC：向過(guò)程控制的對(duì)象鏈接與嵌入PLC：可編程邏輯控制器

2工業(yè)互聯(lián)網(wǎng)的安全挑戰(zhàn)

2.1工業(yè)互聯(lián)網(wǎng)的安全現(xiàn)狀

在國(guó)家提出《中國(guó)制造2025》行動(dòng)綱要后，工業(yè)互聯(lián)網(wǎng)已經(jīng)是國(guó)家工業(yè)互聯(lián)網(wǎng)的安全挑戰(zhàn)及應(yīng)對(duì)策略全文共8頁(yè)，當(dāng)前為第2頁(yè)。戰(zhàn)略組成，工業(yè)互聯(lián)網(wǎng)安全關(guān)系國(guó)家戰(zhàn)略安全。工業(yè)互聯(lián)網(wǎng)中工業(yè)網(wǎng)絡(luò)與采用Internet技術(shù)的商業(yè)網(wǎng)絡(luò)的打通，標(biāo)準(zhǔn)Internet的威脅也隨之而來(lái)病毒和黑客。原本認(rèn)為不容易被攻擊的工業(yè)網(wǎng)絡(luò)，也因存在設(shè)備同時(shí)連接到企業(yè)網(wǎng)絡(luò)，而使該設(shè)備成為攻擊跳板，最后工業(yè)網(wǎng)絡(luò)受到攻擊。近年來(lái)全球工業(yè)互聯(lián)網(wǎng)安全事件頻發(fā)，如：2006年8月，美國(guó)BrownsFerry核電站受到網(wǎng)絡(luò)攻擊事件;2011年5月，Duqu病毒(Stuxnet變種)出現(xiàn);2012年12月，震網(wǎng)病毒攻擊美國(guó)ChevronStuxnet等4家石油公司。根據(jù)RISI數(shù)據(jù)庫(kù)統(tǒng)計(jì)，發(fā)生在工控領(lǐng)域的安全事件與涉及的工業(yè)行業(yè)，數(shù)量明顯增多[4]Mining:礦業(yè)PHARMACEUTICAL:醫(yī)藥業(yè)Electronicmanufacturing:電子制造業(yè)Automotive:汽車(chē)業(yè)Metals:金屬業(yè)GeneralManufacturing:一般制造業(yè)Pulpandpaper:紙漿與紙張制造Unknown:行業(yè)未知Chemical:化學(xué)制造業(yè)FoodandBeverage:餐飲業(yè)Other:其他行業(yè)Water/wasterwater:水/廢水處理業(yè)Petrolleum:石油開(kāi)采業(yè)PowerandUtilities:電力和公用事業(yè)Transporation:運(yùn)輸業(yè)

2.2工業(yè)互聯(lián)網(wǎng)的各層次安全挑戰(zhàn)

工業(yè)互聯(lián)網(wǎng)安全主要受到來(lái)自5個(gè)層次安全挑戰(zhàn)，同時(shí)也包括可能參與到各個(gè)層面的人員因素，以及覆蓋多個(gè)層面的高級(jí)持續(xù)性威脅(APT)。

(1)設(shè)備層安全挑戰(zhàn)，指工業(yè)互聯(lián)網(wǎng)中工業(yè)智能設(shè)備和智能產(chǎn)品的安全挑戰(zhàn)，包括所用芯片安全、嵌入式操作系統(tǒng)安全、編碼規(guī)范安全、第三方應(yīng)用軟件安全以及功能安全等，均存在漏洞、缺陷、規(guī)范使用、工業(yè)互聯(lián)網(wǎng)的安全挑戰(zhàn)及應(yīng)對(duì)策略全文共8頁(yè)，當(dāng)前為第3頁(yè)。后門(mén)等安全挑戰(zhàn)。

(2)網(wǎng)絡(luò)層安全挑戰(zhàn)，主要來(lái)自3方面：工業(yè)網(wǎng)絡(luò)、無(wú)線網(wǎng)絡(luò)、商業(yè)網(wǎng)絡(luò)。主要挑戰(zhàn)包括：網(wǎng)絡(luò)數(shù)據(jù)傳遞過(guò)程的常見(jiàn)網(wǎng)絡(luò)威脅(如拒絕服務(wù)、中間人攻擊等)，網(wǎng)絡(luò)傳輸鏈路上的硬件和軟件安全(如軟件漏洞、配置不合理等)，無(wú)線網(wǎng)絡(luò)技術(shù)使用帶來(lái)的網(wǎng)絡(luò)防護(hù)邊界模糊等。

(3)控制層安全挑戰(zhàn)，主要來(lái)自控制協(xié)議、控制平臺(tái)、控制軟件等方面，其在設(shè)計(jì)之初可能未考慮完整性、身份校驗(yàn)等安全需求，存在輸入驗(yàn)證，許可、授權(quán)與訪問(wèn)控制不嚴(yán)格，不當(dāng)身份驗(yàn)證，配置維護(hù)不足，憑證管理不嚴(yán)，加密算法過(guò)時(shí)等安全挑戰(zhàn)

(4)應(yīng)用層安全挑戰(zhàn)，指支撐工業(yè)互聯(lián)網(wǎng)業(yè)務(wù)運(yùn)行的應(yīng)用軟件及平臺(tái)的安全，如：WEB、企業(yè)資源計(jì)劃(ERP)、產(chǎn)品數(shù)據(jù)管理(PDM)、客戶關(guān)系管理(CRM)以及正越來(lái)越多企業(yè)使用的云平臺(tái)及服務(wù)等。應(yīng)用軟件將持續(xù)面臨病毒、木馬、漏洞等傳統(tǒng)安全挑戰(zhàn);云平臺(tái)及服務(wù)也面臨著虛擬化中常見(jiàn)的違規(guī)接入、內(nèi)部入侵、多租戶風(fēng)險(xiǎn)、跳板入侵、內(nèi)部外聯(lián)、社工攻擊等內(nèi)外部安全挑戰(zhàn)。

(5)數(shù)據(jù)層安全挑戰(zhàn)，是指工廠內(nèi)部生產(chǎn)管理數(shù)據(jù)、生產(chǎn)操作數(shù)據(jù)以及工廠外部數(shù)據(jù)等各類(lèi)數(shù)據(jù)的安全問(wèn)題，不管數(shù)據(jù)是通過(guò)大數(shù)據(jù)平臺(tái)存儲(chǔ)、還是分布在用戶、生產(chǎn)終端、設(shè)計(jì)服務(wù)器等多種設(shè)備上，海量數(shù)據(jù)都將面臨數(shù)據(jù)丟失、泄露、篡改等安全威脅。

(6)人員管理的挑戰(zhàn)，隨著工業(yè)與IT的融合，企業(yè)內(nèi)部人員，如：工程師、管理人員、現(xiàn)場(chǎng)操作員、企業(yè)高層管理人員等，其有意識(shí)或無(wú)意識(shí)的行為，可能破壞工業(yè)系統(tǒng)、傳播惡意軟件、忽略工作異常等，工業(yè)互聯(lián)網(wǎng)的安全挑戰(zhàn)及應(yīng)對(duì)策略全文共8頁(yè)，當(dāng)前為第4頁(yè)。而針對(duì)人的社會(huì)工程學(xué)、釣魚(yú)攻擊、郵件掃描攻擊等大量攻擊都利用了員工無(wú)意泄露的敏感信息。因此，在工業(yè)互聯(lián)網(wǎng)中，人員管理的也面臨過(guò)巨大安全挑戰(zhàn)。

(7)APT，工業(yè)互聯(lián)網(wǎng)中的APT是以上6個(gè)方面各種挑戰(zhàn)組合，是最難應(yīng)對(duì)、后果最嚴(yán)重的威脅。攻擊者精心策劃，為了達(dá)成既定目標(biāo)，所長(zhǎng)期持續(xù)地進(jìn)行攻擊，其攻擊過(guò)程包括收集各類(lèi)信息收集、入侵技術(shù)準(zhǔn)備、滲透準(zhǔn)備、入侵攻擊、長(zhǎng)期潛伏和等待、深度滲透、痕跡消除等一系列精密攻擊環(huán)節(jié)。

3工業(yè)互聯(lián)網(wǎng)安全的應(yīng)對(duì)措施

針對(duì)第2節(jié)提到了工業(yè)互聯(lián)網(wǎng)所面臨過(guò)的威脅，我們可從以下幾方面進(jìn)行系統(tǒng)應(yīng)對(duì)。

3.1知己知彼

(1)知己安全的前提

制作工業(yè)互聯(lián)網(wǎng)中企業(yè)內(nèi)網(wǎng)的設(shè)備清單，保證任何一件設(shè)備都處在安全的狀態(tài)。理解并且登記在企業(yè)網(wǎng)絡(luò)環(huán)境中的工控系統(tǒng)設(shè)備及其安全狀態(tài)，是工控安全管理的基礎(chǔ)。工控資產(chǎn)清單包括硬件清單、軟件清單、軟硬件配置清單、網(wǎng)絡(luò)拓?fù)鋱D等。

(2)知彼主動(dòng)防御

采用蜜罐系統(tǒng)對(duì)入侵行為進(jìn)行捕獲，分析相關(guān)行為后，并采取更新防火墻、服務(wù)器、工作站等安全略策，進(jìn)行主動(dòng)防御，使得入侵無(wú)功而返。如Conpot在GitHub發(fā)布開(kāi)源工控蜜罐系統(tǒng)Conpot，該系統(tǒng)是工業(yè)控制系統(tǒng)服務(wù)器端的低交互的蜜罐技術(shù)，設(shè)計(jì)易于布置、修改工業(yè)互聯(lián)網(wǎng)的安全挑戰(zhàn)及應(yīng)對(duì)策略全文共8頁(yè)，當(dāng)前為第5頁(yè)。和擴(kuò)展，通過(guò)提供各種通用的工業(yè)控制協(xié)議，可以構(gòu)建需要的系統(tǒng)，能夠模擬構(gòu)建基礎(chǔ)設(shè)施。目前，其他一些國(guó)家將蜜罐技術(shù)用于研究工業(yè)互聯(lián)網(wǎng)的威脅源，攻擊途徑以及探索防御手段，技術(shù)應(yīng)用成熟，取得了很多成功，中國(guó)部分企業(yè)已開(kāi)始嘗試使用。

3.2網(wǎng)絡(luò)分區(qū)防護(hù)

PLC：可編程邏輯控制器SCADA：數(shù)據(jù)監(jiān)控與采集系統(tǒng)RTU：遠(yuǎn)程終端單元HMI：人機(jī)交互接口深度防御架構(gòu)

參考NISTSP800-82、IEC62443等國(guó)際工控領(lǐng)域指導(dǎo)性文獻(xiàn)的深度防御架構(gòu)，該架構(gòu)將工業(yè)互聯(lián)網(wǎng)劃分為外部區(qū)域集合、控制網(wǎng)絡(luò)區(qū)、企業(yè)網(wǎng)絡(luò)區(qū)、遠(yuǎn)程訪問(wèn)區(qū)與生產(chǎn)現(xiàn)場(chǎng)。在相應(yīng)邊界設(shè)置防火墻，可保護(hù)整個(gè)的內(nèi)部系統(tǒng)免受外部的攻擊，隔離企業(yè)網(wǎng)絡(luò)與遠(yuǎn)程訪問(wèn)區(qū)，

4工業(yè)互聯(lián)網(wǎng)安全挑戰(zhàn)的整體防御建議

4.1整體防御建議

(1)從應(yīng)急響應(yīng)轉(zhuǎn)變?yōu)槌掷m(xù)響應(yīng)。假定工業(yè)互聯(lián)網(wǎng)系統(tǒng)受到破壞并需要不斷監(jiān)控和修復(fù)，則需要建立多點(diǎn)防御、聯(lián)合防御，與產(chǎn)業(yè)界合作開(kāi)展防御響應(yīng)。

(2)以數(shù)據(jù)驅(qū)動(dòng)安全。對(duì)工業(yè)互聯(lián)網(wǎng)中的所有層面構(gòu)建進(jìn)行全面持續(xù)的監(jiān)控，通過(guò)全面的數(shù)據(jù)感知和分析，建立企業(yè)安全數(shù)據(jù)倉(cāng)庫(kù)，并結(jié)合云端威脅情報(bào)，實(shí)現(xiàn)對(duì)已知威脅、高級(jí)威脅、APT攻擊的有效預(yù)防、發(fā)現(xiàn)、防御和過(guò)程回溯。

(3)開(kāi)發(fā)安全運(yùn)維中心，構(gòu)建組織流程和人員團(tuán)隊(duì)，支持持續(xù)監(jiān)控并負(fù)責(zé)持續(xù)的威脅防護(hù)流程，規(guī)劃好外部安全服務(wù)合作伙伴，保證人在工業(yè)互聯(lián)網(wǎng)的安全挑戰(zhàn)及應(yīng)對(duì)策略全文共8頁(yè)，當(dāng)前為第6頁(yè)?；芈?，應(yīng)對(duì)各類(lèi)安全事件。

4.2工業(yè)互聯(lián)網(wǎng)的PC4R自適應(yīng)防護(hù)架構(gòu)

為幫助工業(yè)互聯(lián)網(wǎng)用戶應(yīng)對(duì)工業(yè)物聯(lián)網(wǎng)所面臨的各種挑戰(zhàn)，結(jié)合整體防御的3點(diǎn)建議，我們提出了可以工業(yè)互聯(lián)網(wǎng)信息安全日常運(yùn)作的自適應(yīng)防護(hù)架構(gòu)PC4R，其由6個(gè)過(guò)程閉環(huán)組成，該6個(gè)過(guò)程均需要人在回路，全程參與，

(1)信息感知

工業(yè)互聯(lián)網(wǎng)中，實(shí)現(xiàn)對(duì)工業(yè)網(wǎng)絡(luò)中工業(yè)現(xiàn)場(chǎng)(壓力、摩擦、振動(dòng)、溫度、電流等)關(guān)鍵物理量數(shù)字化感知、存儲(chǔ)，為工業(yè)現(xiàn)場(chǎng)異常分析、預(yù)防性健康監(jiān)測(cè)分析提供物理信息來(lái)源。

(2)數(shù)據(jù)匯集

對(duì)數(shù)控系統(tǒng)(CNC)/PLC、分布式數(shù)控(DNC)、SCADA、制造執(zhí)行系統(tǒng)(MES)、ERP等工業(yè)控制系統(tǒng)及應(yīng)用系統(tǒng)所運(yùn)行的關(guān)鍵工業(yè)數(shù)據(jù)進(jìn)行匯聚，該過(guò)程不是簡(jiǎn)單的數(shù)據(jù)采集，是產(chǎn)品全生命周期的各類(lèi)要素信息的同步采集、管理、存儲(chǔ)、查詢，為后續(xù)過(guò)程提供控制信息來(lái)源。在網(wǎng)絡(luò)方面，進(jìn)行全網(wǎng)流量的被動(dòng)監(jiān)聽(tīng)和存儲(chǔ)，為工業(yè)互聯(lián)網(wǎng)企業(yè)建立安全數(shù)據(jù)倉(cāng)庫(kù)。

(3)轉(zhuǎn)化分析

數(shù)據(jù)特征提取、篩選、分類(lèi)、優(yōu)先級(jí)排序、可讀，可以實(shí)現(xiàn)從數(shù)據(jù)到信息的過(guò)程，使得數(shù)據(jù)具有信息安全意義。信息主要包括內(nèi)容和情景兩方面，內(nèi)容指工業(yè)互聯(lián)網(wǎng)中的設(shè)備信號(hào)處理結(jié)果、監(jiān)控傳輸特性、性能曲線、健康狀況、報(bào)警信息、DNC及SCADA網(wǎng)絡(luò)流量等;情景指工業(yè)互聯(lián)網(wǎng)的安全挑戰(zhàn)及應(yīng)對(duì)策略全文共8頁(yè)，當(dāng)前為第7頁(yè)。設(shè)備的運(yùn)行工況、維護(hù)保養(yǎng)記錄、人員操作指令、人員訪問(wèn)狀態(tài)、生產(chǎn)商務(wù)任務(wù)目標(biāo)、生產(chǎn)銷(xiāo)售機(jī)理等;該過(guò)程針對(duì)單個(gè)設(shè)備或單個(gè)網(wǎng)絡(luò)縱向數(shù)據(jù)分析，計(jì)算相對(duì)簡(jiǎn)單。

(4)網(wǎng)絡(luò)融合

該過(guò)程面向工業(yè)互聯(lián)網(wǎng)中的設(shè)備集群和企業(yè)跨域運(yùn)維和經(jīng)營(yíng)活動(dòng)的關(guān)聯(lián)，將機(jī)理、環(huán)境、群體、操作、外部威脅情報(bào)有機(jī)結(jié)合，基于大數(shù)據(jù)進(jìn)行橫向大數(shù)據(jù)分析和多維分析，利用群體經(jīng)驗(yàn)預(yù)測(cè)單個(gè)設(shè)備的安全情況;并建立虛擬網(wǎng)絡(luò)與實(shí)體系統(tǒng)相互映射，實(shí)現(xiàn)綜合模型的應(yīng)用，如蜜罐、入侵檢測(cè)等;也可以根據(jù)歷史狀況和當(dāng)前狀態(tài)差異化的發(fā)現(xiàn)網(wǎng)絡(luò)及工控系統(tǒng)異常。

(5)認(rèn)知預(yù)測(cè)

該過(guò)程在網(wǎng)絡(luò)層的基礎(chǔ)上，加入人的職責(zé)，人在回路，對(duì)企業(yè)的工業(yè)互聯(lián)網(wǎng)規(guī)律、異常、目標(biāo)、態(tài)勢(shì)、背景等完成認(rèn)知，確定安全基線，結(jié)合大數(shù)據(jù)可視化平臺(tái)，發(fā)現(xiàn)看不見(jiàn)的威脅，預(yù)測(cè)黑客攻擊。

(6)響應(yīng)決策

根據(jù)認(rèn)知預(yù)測(cè)的結(jié)果，一旦完成了對(duì)事件的識(shí)別并確認(rèn)優(yōu)先級(jí)排序后，人在回路的決策、部署、優(yōu)化、響應(yīng)，可實(shí)現(xiàn)安全價(jià)值，而啟動(dòng)相關(guān)響應(yīng)策略，如隔離受損系統(tǒng)或賬戶，使其無(wú)法訪問(wèn)其他系統(tǒng)，從而遏制威脅。同理，人在回路也可以在決策之后，形成團(tuán)隊(duì)，一旦受損系統(tǒng)或賬戶得以遏制，并利用持續(xù)監(jiān)控所收集的數(shù)據(jù)來(lái)源確定根本原因和所有違規(guī)行為。

5結(jié)束語(yǔ)

工業(yè)互聯(lián)網(wǎng)的安全挑戰(zhàn)及應(yīng)對(duì)策略全文共8頁(yè)，當(dāng)前為第8頁(yè)。工業(yè)互聯(lián)網(wǎng)打通了商業(yè)網(wǎng)絡(luò)與工業(yè)網(wǎng)絡(luò)的邊界，傳統(tǒng)的網(wǎng)絡(luò)邊界概念正在逐漸模糊，網(wǎng)絡(luò)環(huán)境的復(fù)雜性、多變性、信息系統(tǒng)和工業(yè)控制系統(tǒng)的脆弱性，給工業(yè)互聯(lián)網(wǎng)帶來(lái)了設(shè)備、網(wǎng)絡(luò)、控制、應(yīng)用、數(shù)據(jù)、人員等多方面安全挑戰(zhàn)。工業(yè)互聯(lián)網(wǎng)應(yīng)用企業(yè)、安全服務(wù)企業(yè)、監(jiān)管部門(mén)，需要采取文章所提出的應(yīng)對(duì)措施，形成聯(lián)動(dòng)的機(jī)制，從體制改革、管理流程優(yōu)化、人員意識(shí)培養(yǎng)、技術(shù)創(chuàng)新著手，構(gòu)建PC4R的自適應(yīng)防御架構(gòu)，并通過(guò)內(nèi)外部大數(shù)據(jù)、威脅情報(bào)驅(qū)動(dòng)安全防御，全程人在回路，利用用戶本身、專(zhuān)業(yè)安全服務(wù)機(jī)構(gòu)的力量，進(jìn)行預(yù)測(cè)、