构筑工业互联网安全防护体系 为推动先进制造业发展保驾护航

刘仁辉，张 尼，吴云峰

(中国电子信息产业集团有限公司第六研究所，北京 100083)

2017年11月，国务院印发《关于深化“互联网+先进制造业”发展工业互联网的指导意见》，作为今后规范和指导我国工业互联网发展的指导性文件。《指导意见》是以十九大精神为指引，全面落实习近平新时代中国特色社会主义思想，以推进供给侧结构性改革为主线，结合实施“中国制造2025”和“互联网+”，加快建设和发展工业互联网，促进新一代信息技术与制造业深度融合，这对推动实体经济转型升级，大力发展数字经济，打造制造强国、网络强国具有重要意义。《指导意见》明确了主要任务，即打造网络、平台、安全三大功能体系，推进大型企业集成创新和中小企业应用普及两类应用，构筑产业、生态、国际化三大支撑七项任务。

在工业领域中，互联网、大数据、人工智能、云计算等新兴技术与传统的工业控制系统相结合组成了工业互联网，实现了更大范围的感知和智能化的控制，形成了信息物理系统(Cyber-Physical System，CPS)，并通过IT与OT的有机融合和深度协作，使智能生产、智能运营、消费需求与生产制造精确对接，实现生产系统智能化、商业系统智能化，广泛应用于能源、化工、水利、交通、加工制造、水及污水处理等关系到国计民生的重点行业。

由于工业互联网中工业网络与基于Internet技术的商业网络打通，病毒及黑客威胁随之而来。近年来全球工业互联网安全事件频发，仅2016年就接连发生了“食尸鬼”定向网络攻击、伊朗黑客攻击美国大坝、Mirai僵尸病毒DDoS攻击、黑帽大会上公开PLC间传播的蠕虫病毒PLC-Blaster及后续的Rootkit、俄罗斯黑客公开工控设备默认口令等影响力巨大的安全事件，2017年上半年勒索病毒肆虐全球，国内部分企业也深受其害。尽管我国并非上述所有攻击的直接受害者，但以他国为镜，也充分折射出我国工业互联网的诸多问题，如国外设备后门、工控及IT设备的漏洞、黑色产业链共享协作的工业蠕虫病毒、国外势力资助的高级持续性威胁(APT)攻击等。

工业互联网一般由设备层、控制层、网络层、应用层、数据层组成，下面从这五个层次分析一下我国工业互联网面临的安全挑战。

(1)设备层安全挑战：随着具有联网通信、安装应用(APP)能力的智能工业设备不断增多，导致海量设备直接暴露在工业互联网上，木马病毒能在这些暴露的设备之间以指数级的速度感染扩散。另外，这些智能设备所用芯片、嵌入式OS、编码规范以及功能安全等也均存在后门、漏洞、缺陷等安全风险。

(2)控制层安全挑战：主要指PLC、DCS、SCADA等工业控制系统，在控制平台、控制协议、控制软件设计之初，主要考虑实时性和可靠性，一方面核心元件大都是国外厂家，存在后门、漏洞风险，另一方面诸如完整性校验、身份认证、授权、加密等信息安全功能都被忽略。IT和OT的融合，打破了传统的安全可信控制环境，网络攻击可从IT层渗透至OT层，但目前还缺乏有效应对高级持续威胁攻击检测和防护手段。

(3)网络层安全挑战：涵盖工业网络、无线网络、商业互联网。“两化融合”消除了原有的工业环境内外部安全边界，将互联网、信息系统的安全风险引入工业网络，包括网络传递过程中常见的拒绝服务(DoS)、中间人攻击等，传输链路上的软硬件安全，无线网络防护边界模糊等安全风险。

(4)应用层安全挑战：企业信息化管理涉及的门户网站、ERP、PDM、CRM以及云平台等，除面临传统IT安全挑战中的病毒、木马、漏洞等威胁外，还面临云平台服务虚拟化中的违规接入、内部入侵、多租户风险、跳板入侵等威胁。

(5)数据层安全挑战：指企业内部生产管理数据、生产操作数据以及企业外部数据，不管是大数据存储还是分布式服务器存储，都面临数据丢失、窃取、篡改等安全风险。

针对上述工业互联网安全挑战的分析，应该从以下几个方面构建可检测、可防护、可替代的工业互联网安全深度防护体系(如图1所示)。

第一，态势感知，实时威胁情报和风险通报。综合分析工业互联网安全要素，结合商业网络、企业、工业

图1 工业互联网安全主动防护体系

网络状态，评估工业互联网的安全状况，通过信息流感知、物质流感知以及能量流感知，预测攻击向量及攻击链路，并以可视化的方式展现，实现事前防御、事中控制、事后恢复的目标。态势感知和未知威胁发现是工业互联网应对安全挑战的重要策略。

第二，漏洞管理，及时补丁管理和固件升级。科学地检测各类服务器、终端和工控系统漏洞，并合理更新补丁是工业互联网防御的重要组成。研究工业互联网静态和动态安全漏洞分析挖掘技术、闭环漏洞规则情报策略管理流程以及工控漏洞载体行为管理分析研判模型，实现基于工控载体权重的多维度全生命周期的漏洞管理。漏洞扫描系统可定期和持续地进行全面可靠的安全评估，提供完整的漏洞管理机制，更大限度地保证工业互联网的安全性和稳定性。

第三，自主可信，保证工控系统免疫及本质安全。研制基于国产化处理器、嵌入式操作系统、计算机和操作系统，具有自主可控、安全可信的可编程控制器(PLC)产品、逻辑编程软件、监控组态软件，真正摆脱国外产品垄断市场的“卡脖子”、“牵鼻子”、“甩脸子”的现状。信息安全防护技术采用主动免疫可信计算3.0，以密码为基因，实施身份识别、状态度量、保密存储等功能，及时识别“自己”和“非己”成分，阻止已知、未知的病毒、木马的运行，使攻击者攻不进去，窃取保密信息看不懂，系统工作瘫不成，通过工控系统自身免疫来保证本质安全。

第四，攻防兼备，持续优化工业互联网安全防护策略。研究建立工业互联网入侵及攻击模型，构建等效于真实场景的仿真模拟环境，验证防护、攻击、对抗能力，支持与真实网络环境等效的红蓝对抗和观测评测，具有大规模网络场景逼真复现能力，有效支撑网络攻防前沿技术的研究、试验和应用，可进行工控系统安全事件分析、网络攻防实验、网络运行机理规律分析、决策支持和演练等研究。在大规模模拟

攻击情况下，实训演练防御队伍，为各行业培养储备安全人才；支持大规模攻击防御对抗演习，可以实现一个行业网络安全攻防演练，如能源、化工、水利、交通、加工制造、水及污水处理等网络的安全性防御演练，发现各行业工业互联网中的核心安全问题。

国务院印发的《指导意见》中着重强调了发展工业互联网的安全保障，“坚持工业互联网安全保障手段同步规划、同步建设、同步运行，提升工业互联网安全防护能力”，“加强工业互联网安全体系研究，技术和管理相结合，建立涵盖设备安全、控制安全、网络安全、平台安全和数据安全的工业互联网多层次安全保障体系”。

中国电子信息产业集团有限公司第六研究所(电子六所)依托工业控制系统信息安全技术国家工程实验室，一直致力于工业互联网及工业控制系统信息安全技术的研究，下设网络安全检测中心、工控系统安全研究室、网络靶场研发中心、智能制造研究室等基础研究室，同时面向行业有针对性地建设了行业安全研究室，如轨道交通行业安全研究室、电力电网行业安全研究室、石油化工行业安全研究室等。

今后电子六所将在国家部委的指导下，“联合创新，集智攻关”，研究工业互联网安全主动防御技术体系，抵御跨越信息物理空间的已知及未知威胁，从设备本质安全、通信安全、边界安全、业务安全等维度，突破本质安全与信息安全、功能安全与信息安全、OT安全与IT安全融合场景下的工业互联网安全防护难题，构建涵盖设备安全、控制安全、网络安全、平台安全和数据安全的工业互联网多层次的、自主可信的、深度安全的主动防护体系，为推动我国先进制造业的大力发展保驾护航！