?摘要：?

工業(yè)互聯(lián)網(wǎng)的連接逐步打破了傳統(tǒng)工業(yè)相對(duì)封閉可信的生產(chǎn)環(huán)境，針對(duì)近年工業(yè)互聯(lián)網(wǎng)安全事件頻發(fā)的嚴(yán)峻形態(tài)，對(duì)工業(yè)互聯(lián)網(wǎng)的相關(guān)網(wǎng)絡(luò)安全技術(shù)進(jìn)行分析研究。從工業(yè)互聯(lián)網(wǎng)的安全體系架構(gòu)出發(fā)，針對(duì)工業(yè)互聯(lián)網(wǎng)安全架構(gòu)中網(wǎng)絡(luò)安全的模塊，識(shí)別出相關(guān)的安全風(fēng)險(xiǎn)，并針對(duì)識(shí)別出的風(fēng)險(xiǎn)進(jìn)行分析研究，依靠現(xiàn)有的安全技術(shù)提出了相應(yīng)的解決方案與規(guī)避措施，并對(duì)落地實(shí)施方案做了簡要介紹；同時(shí)對(duì)于工業(yè)互聯(lián)網(wǎng)的安全技術(shù)發(fā)展趨勢做了簡要分析。

?前? 言?

在“新基建”背景下，數(shù)字化驅(qū)動(dòng)的工業(yè)互聯(lián)網(wǎng)技術(shù)加速了信息空間與物理空間的融合， “鍵盤鼠標(biāo)”與“大國重器”之間界面的逐步打破將導(dǎo)致工業(yè)互聯(lián)網(wǎng)暴露在互聯(lián)網(wǎng)“炮火”攻擊之下，不可避免地成為惡意勢力攻擊破壞的首要目標(biāo)。近年來，工業(yè)互聯(lián)網(wǎng)安全形勢嚴(yán)峻，工業(yè)安全事件頻發(fā)。 ? 自2010年伊朗核電站Stuxnet震網(wǎng)病毒攻擊事件起，針對(duì)工業(yè)互聯(lián)網(wǎng)的攻擊事件愈發(fā)頻繁，如2015年烏克蘭電力公司遭到黑客攻擊，導(dǎo)致大規(guī)模停電；2017年美國水務(wù)公司遭受黑客入侵，導(dǎo)致大量用戶信息泄露；2017年的“魔窟”勒索病毒感染全球百余個(gè)國家和地區(qū)；近日委內(nèi)瑞拉一大型水電站系統(tǒng)遭“黑客攻擊”，影響 21個(gè)州的供電事件。工業(yè)互聯(lián)網(wǎng)安全已經(jīng)成為了世界性難題，沒有安全保障的工業(yè)互聯(lián)網(wǎng)，其后續(xù)的發(fā)展將寸步難行。加強(qiáng)工業(yè)互聯(lián)網(wǎng)安全關(guān)鍵技術(shù)研究，推進(jìn)工業(yè)互聯(lián)網(wǎng)安全技術(shù)發(fā)展已經(jīng)刻不容緩。 ?

01 、工業(yè)互聯(lián)網(wǎng)體系結(jié)構(gòu)

工業(yè)互聯(lián)網(wǎng)體系包含網(wǎng)絡(luò)、平臺(tái)、安全三大功能體系，實(shí)現(xiàn)人、機(jī)、物全面互聯(lián)的新型網(wǎng)絡(luò)，圖1所示為工業(yè)互聯(lián)網(wǎng)體系結(jié)構(gòu)示意。

圖1 工業(yè)互聯(lián)網(wǎng)體系結(jié)構(gòu) ? a）網(wǎng)絡(luò)。網(wǎng)絡(luò)是工業(yè)互聯(lián)網(wǎng)的基礎(chǔ)，實(shí)現(xiàn)工業(yè)體系內(nèi)各系統(tǒng)、產(chǎn)業(yè)鏈、價(jià)值鏈泛在互聯(lián)。 b）平臺(tái)。平臺(tái)是工業(yè)互聯(lián)網(wǎng)的核心，構(gòu)建基于海量數(shù)據(jù)采集、匯聚、分析的平臺(tái)能力。 c）安全。安全是工業(yè)互聯(lián)網(wǎng)的保障，通過構(gòu)建涵蓋工業(yè)全系統(tǒng)的安全防護(hù)體系，增強(qiáng)設(shè)備、網(wǎng)絡(luò)、控制、應(yīng)用和數(shù)據(jù)的安全保障能力，識(shí)別和抵御安全威脅，化解各種安全風(fēng)險(xiǎn)，構(gòu)建工業(yè)智能化發(fā)展的安全可信環(huán)境。 ?

02、工業(yè)互聯(lián)網(wǎng)的安全體系架構(gòu)

工業(yè)互聯(lián)網(wǎng)的安全與傳統(tǒng)信息安全及生產(chǎn)物理安全有根本性的區(qū)別，工業(yè)互聯(lián)網(wǎng)所面臨的復(fù)雜安全挑戰(zhàn)，需要一套體系化的安全方案來應(yīng)對(duì)，圖2所示為我國當(dāng)前主流的工業(yè)互聯(lián)網(wǎng)安全體系架構(gòu)示意。

圖2 工業(yè)互聯(lián)網(wǎng)安全框架示意圖 安全框架充分借鑒傳統(tǒng)網(wǎng)絡(luò)安全框架和國外成功實(shí)踐，包含了防護(hù)對(duì)象、防護(hù)措施及防護(hù)管理3個(gè)部分，3個(gè)部分相輔相成、互為補(bǔ)充，形成一個(gè)完整、動(dòng)態(tài)、持續(xù)的防護(hù)體系。 ?

03、工業(yè)互聯(lián)網(wǎng)的網(wǎng)絡(luò)安全隱患分析

工業(yè)互聯(lián)網(wǎng)子系統(tǒng)按照功能分為車間、企業(yè)、產(chǎn)業(yè)、平臺(tái)等模塊。各模塊具有大規(guī)模連接、設(shè)備多樣性、系統(tǒng)接口多等特征，其安全風(fēng)險(xiǎn)隱患主要表現(xiàn)在威脅對(duì)象廣、危險(xiǎn)類型多、安全風(fēng)險(xiǎn)因素多、攻擊模式復(fù)雜幾個(gè)方面。 按照安全框架的防護(hù)對(duì)象，工業(yè)互聯(lián)網(wǎng)的安全工作主要聚焦在設(shè)備、控制、網(wǎng)絡(luò)、應(yīng)用和數(shù)據(jù)五大領(lǐng)域，本文主要對(duì)工業(yè)互聯(lián)網(wǎng)中的網(wǎng)絡(luò)安全領(lǐng)域的關(guān)鍵技術(shù)進(jìn)行研究。 工業(yè)互聯(lián)網(wǎng)領(lǐng)域中的網(wǎng)絡(luò)安全主要指工廠內(nèi)部網(wǎng)絡(luò)和工廠外部網(wǎng)絡(luò)的安全，其網(wǎng)絡(luò)示意如圖3所示。

圖3 工業(yè)互聯(lián)網(wǎng)網(wǎng)絡(luò)示意圖

根據(jù)對(duì)工業(yè)互聯(lián)網(wǎng)的網(wǎng)絡(luò)架構(gòu)及網(wǎng)絡(luò)安全相關(guān)工作內(nèi)容的分解與分析，工業(yè)互聯(lián)網(wǎng)網(wǎng)絡(luò)主要存在如下安全風(fēng)險(xiǎn)。 a）工廠原有的內(nèi)部網(wǎng)絡(luò)為封閉網(wǎng)絡(luò)，原生產(chǎn)區(qū)域及各個(gè)設(shè)備之間未做嚴(yán)格的權(quán)限管控及區(qū)域隔離，在接入互聯(lián)網(wǎng)后，帶來攻擊風(fēng)險(xiǎn)。 b）工業(yè)互聯(lián)網(wǎng)包含了IT、CT、OT相關(guān)技術(shù)，其安全體系所涉及到工業(yè)互聯(lián)網(wǎng)的攻擊形態(tài)、攻擊手段還未被完全掌握，基于現(xiàn)有的防火墻技術(shù)很難精確地定位與應(yīng)對(duì)。 c）目前部分工控系統(tǒng)仍然使用微軟 Windows系統(tǒng)，由于原有的封閉網(wǎng)絡(luò)特性導(dǎo)致其部分系統(tǒng)存在長期未升級(jí)、版本停止服務(wù)、安全漏洞無法修復(fù)等風(fēng)險(xiǎn)。 d）工業(yè)互聯(lián)網(wǎng)的網(wǎng)絡(luò)中傳輸大量的OT側(cè)的控制數(shù)據(jù)，如果該類數(shù)據(jù)被劫持或者破解，將會(huì)給生產(chǎn)帶來極大破壞的風(fēng)險(xiǎn)。 ?

04、工業(yè)互聯(lián)網(wǎng)網(wǎng)絡(luò)安全防護(hù)技術(shù)

根據(jù)對(duì)工業(yè)互聯(lián)網(wǎng)面臨的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的分析，建議將網(wǎng)絡(luò)隔離技術(shù)、入侵檢測技術(shù)、網(wǎng)關(guān)防病毒技術(shù)、數(shù)據(jù)加密技術(shù)應(yīng)用于工業(yè)互聯(lián)網(wǎng)的網(wǎng)絡(luò)安全管控工作中，應(yīng)對(duì)其安全風(fēng)險(xiǎn)，技術(shù)應(yīng)用示意如圖4所示。

圖4 工業(yè)互聯(lián)網(wǎng)網(wǎng)絡(luò)安全技術(shù)應(yīng)用示意圖

4.1 網(wǎng)絡(luò)隔離技術(shù)

網(wǎng)絡(luò)隔離可以有效防止網(wǎng)絡(luò)信息無序流轉(zhuǎn)，根據(jù)系統(tǒng)安全等級(jí)的不同，分區(qū)域、分設(shè)備、分用戶多維度隔離，當(dāng)前主要有物理隔離、協(xié)議隔離和應(yīng)用隔離3種隔離技術(shù)。 a）物理隔離。物理隔離技術(shù)主要在 OT 區(qū)域?qū)嵤?，可以通過網(wǎng)絡(luò)規(guī)劃進(jìn)行完全的物理隔離，也可以使用網(wǎng)閘技術(shù)來完成物理隔離。 b）協(xié)議隔離。該類隔離技術(shù)依靠TCP/IP協(xié)議原理實(shí)現(xiàn)，如基于二層的MAC地址訪問控制技術(shù)，基于VLAN的廣播域控制技術(shù)，基于隧道協(xié)議（IPSec、GRE等）的VPN技術(shù)。 c）應(yīng)用隔離。該技術(shù)主要指在工業(yè)互聯(lián)網(wǎng)的云平臺(tái)的SDN的網(wǎng)絡(luò)環(huán)境中，如容器、虛擬機(jī)、沙箱虛擬化隔離技術(shù)等。 ?

4.2 入侵檢測技術(shù)

入侵檢測技術(shù)（IDS）相對(duì)于防火墻的靜態(tài)防御技術(shù)，是一種主動(dòng)保護(hù)自己免受攻擊的一種網(wǎng)絡(luò)安全技術(shù)，其提供了動(dòng)態(tài)防御能力，整體提升了網(wǎng)絡(luò)安全防護(hù)體系的防御能力。 在工業(yè)互聯(lián)網(wǎng)中，很多工業(yè)控制設(shè)備在設(shè)計(jì)之初就未考慮過自己會(huì)暴露在工業(yè)互聯(lián)網(wǎng)上，缺乏防護(hù)設(shè)計(jì)，存在很大的漏洞隱患，一旦在線運(yùn)行極易被攻擊，直接威脅網(wǎng)絡(luò)安全。同時(shí)數(shù)據(jù)安全方面，因工業(yè)互聯(lián)網(wǎng)發(fā)展產(chǎn)生的數(shù)據(jù)采集、匯聚，也會(huì)增加數(shù)據(jù)被泄露、被勒索攻擊和被濫用的風(fēng)險(xiǎn)。工業(yè)互聯(lián)網(wǎng)中設(shè)備眾多、網(wǎng)絡(luò)通信復(fù)雜，很難全面掌握網(wǎng)絡(luò)中所必須的業(yè)務(wù)通信需求，防火墻的靜態(tài)配置技術(shù)無法全面解決其安全風(fēng)險(xiǎn)，入侵檢測技術(shù)將作為防火墻技術(shù)的有效補(bǔ)充，整體提升工業(yè)互聯(lián)網(wǎng)的安全。 入侵檢測技術(shù)對(duì)網(wǎng)絡(luò)進(jìn)行檢測，提供對(duì)內(nèi)部攻擊、外部攻擊和誤操作的實(shí)時(shí)監(jiān)控，對(duì)網(wǎng)絡(luò)安全提供動(dòng)態(tài)保護(hù)，其具有事前警告、事中防御、事后取證的特點(diǎn)，很好地彌補(bǔ)了防火墻只能作為靜態(tài)防御的不足。對(duì)緩沖區(qū)溢出、SQL 注入、暴力猜測、DOS 攻擊、掃描探測、木馬后門等各類黑客攻擊和惡意流量進(jìn)行實(shí)時(shí)檢測及報(bào)警。 入侵檢測系統(tǒng)的部署示意如圖5所示

圖5 入侵檢測部署示意圖 部署方式采用旁路方式，從防火墻上將流量鏡像到IDS設(shè)備，這樣可以使用防火墻與IDS進(jìn)行聯(lián)動(dòng)配置，提高系統(tǒng)整體安全。

? 4.3 網(wǎng)關(guān)式防病毒技術(shù)

傳統(tǒng)的主機(jī)側(cè)的防病毒系統(tǒng)如果在工業(yè)互聯(lián)網(wǎng)上實(shí)施需要部署在每一臺(tái)工控設(shè)備即服務(wù)器上，由于工業(yè)系統(tǒng)對(duì)軟件的兼容性、可靠性、穩(wěn)定性要求非常高，其防病毒產(chǎn)品必須經(jīng)過嚴(yán)格的測試后才能安裝，因此帶來適配周期長、測試樣例復(fù)雜、改造成本高等諸多難以短時(shí)解決的困難，如果采用網(wǎng)關(guān)式防病毒技術(shù)就能夠很好地規(guī)避工業(yè)互聯(lián)網(wǎng)中防病毒軟件部署困難的問題，網(wǎng)關(guān)防病毒示意如圖6所示。

圖6 網(wǎng)關(guān)防病毒示意圖

網(wǎng)關(guān)防病毒技術(shù)依靠病毒特征碼匹配，在網(wǎng)關(guān)處將數(shù)據(jù)包還原成文件進(jìn)行病毒處理。該種方案將原有的分布式的主機(jī)查殺毒方式轉(zhuǎn)變?yōu)榧惺降木W(wǎng)關(guān)病毒防范，對(duì)于原有工業(yè)互聯(lián)網(wǎng)因設(shè)備老舊，系統(tǒng)版本廠家已經(jīng)停止服務(wù)無法適配病毒軟件，軟件因病毒軟件兼容性帶來的附加改造成本均能得到很好的改善，既降低了防病毒方案的技術(shù)實(shí)現(xiàn)，同時(shí)也降低了防病毒系統(tǒng)實(shí)施的成本。 在工業(yè)互聯(lián)網(wǎng)的系統(tǒng)中，防病毒網(wǎng)關(guān)的部署方式主要有如下3種。 a）透明模式。該模式部署簡單，所有流量均進(jìn)行病毒查殺，但存在單點(diǎn)隱患。 b）旁路代理模式。只針對(duì)引入特定協(xié)議的流量進(jìn)行病毒查殺，合理配置下，成本與收益最佳。 c）旁路模式。與旁路代理模式一致，該模式只做檢測，不做病毒查收，該模式更多作為已有的主機(jī)側(cè)病毒的補(bǔ)充方式。

? 4.4 數(shù)據(jù)安全傳輸技術(shù)

工業(yè)互聯(lián)網(wǎng)的網(wǎng)絡(luò)中會(huì)傳遞大量OT側(cè)控制數(shù)據(jù)，數(shù)據(jù)的密級(jí)很高，數(shù)據(jù)安全傳輸是非常重要的需求，可采用隧道技術(shù)方案來解決數(shù)據(jù)安全傳輸問題。 根據(jù)技術(shù)特點(diǎn)、應(yīng)用場景、安全特性和工作原理對(duì)隧道技術(shù)進(jìn)行分類及對(duì)比，如表1所示。 表1 隧道協(xié)議對(duì)比表

考慮到各個(gè)企業(yè)內(nèi)部、外部的安全傳輸需求，推薦使用 IPSec技術(shù)作為工業(yè)互聯(lián)網(wǎng)的安全傳輸解決方案，既提供了身份認(rèn)證功能，又提供了數(shù)據(jù)加密功能。 ?

05、工業(yè)互聯(lián)網(wǎng)的網(wǎng)絡(luò)安全技術(shù)趨勢

5.1 原生安全的持續(xù)完善

在現(xiàn)有的工業(yè)互聯(lián)網(wǎng)的安全實(shí)踐中，由于OT網(wǎng)絡(luò)從原有的封閉特性向開放型網(wǎng)絡(luò)演進(jìn)，其原生的網(wǎng)絡(luò)安全設(shè)計(jì)不足的缺陷會(huì)被逐步放大，要從根本上提高工業(yè)互聯(lián)網(wǎng)的安全基礎(chǔ)，需要從系統(tǒng)的設(shè)計(jì)階段就將系統(tǒng)安全性、網(wǎng)絡(luò)安全性等綜合考慮進(jìn)去。

5.2 智能動(dòng)態(tài)防護(hù)

工業(yè)互聯(lián)網(wǎng)的防護(hù)對(duì)象多，防護(hù)環(huán)節(jié)長，如果整個(gè)安全體系都是依靠被動(dòng)的響應(yīng)防守，整個(gè)安全體系設(shè)計(jì)將龐大而冗雜，且無法做到安全事件的精準(zhǔn)防控，因此，對(duì)于工業(yè)互聯(lián)網(wǎng)的防護(hù)體系，未來目標(biāo)需要向動(dòng)態(tài)均衡、自我學(xué)習(xí)的智能動(dòng)態(tài)防護(hù)體系發(fā)展，從而保障工業(yè)互聯(lián)網(wǎng)的安全運(yùn)行。 ?

參考文獻(xiàn)

［1］ 陳禮波，宋明澤. 面向工業(yè)互聯(lián)網(wǎng)的傳輸網(wǎng)絡(luò)安全研究［J］. 網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2021（8）：114-116. ［2］ 魏強(qiáng)，王文海，程鵬. 工業(yè)互聯(lián)網(wǎng)安全［M］. 北京：機(jī)械工業(yè)出版社，2021. ［3］ 田竹娟. 探析工業(yè)互聯(lián)網(wǎng)設(shè)備的網(wǎng)絡(luò)安全管理與防護(hù)［J］. 互聯(lián)網(wǎng)周刊，2021（19）：40-42. ［4］ 賈玉雷，韋盛中. 工業(yè)互聯(lián)網(wǎng)下的智慧電廠網(wǎng)絡(luò)安全［J］. 消費(fèi)導(dǎo)刊，2021（26）：296-297. ［5］ 胡佳杰. 工業(yè)互聯(lián)網(wǎng)領(lǐng)域網(wǎng)絡(luò)安全服務(wù)的思考［J］. IT經(jīng)理世界，2019，22（12）：90，92. ［6］ 李崇漢，張恒. 工業(yè)互聯(lián)網(wǎng)時(shí)代的網(wǎng)絡(luò)安全［J］. 現(xiàn)代制造，2018（27）：52-53. ? ?

作者簡介：

吳濤，畢業(yè)于天津大學(xué)，學(xué)士，主要從事IT運(yùn)維安全管理工作；

黃健，畢業(yè)于武漢理工大學(xué)，高級(jí)工程師，碩士，主要從事網(wǎng)絡(luò)安全相關(guān)工作；

郭鈺璐，畢業(yè)于大連海事大學(xué)，助理工程師，碩士，主要從事網(wǎng)絡(luò)安全技術(shù)需求分析與安全產(chǎn)品運(yùn)營工作；

楊飛，畢業(yè)于合肥學(xué)院，高級(jí)工程師，學(xué)士，主要從事網(wǎng)絡(luò)安全技術(shù)的研究工作；

趙通，畢業(yè)于中國農(nóng)業(yè)大學(xué)，碩士，主要從事網(wǎng)絡(luò)安全產(chǎn)品及安全技術(shù)方向的研究工作。

編輯：黃飛

?