工業(yè)互聯(lián)網(wǎng)安全防護(hù)整體方案

工業(yè)互聯(lián)網(wǎng)是以數(shù)字化、網(wǎng)絡(luò)化、智能化為主要特征，通過(guò)系統(tǒng)構(gòu)建網(wǎng)絡(luò)、平臺(tái)、安全三大功能體系，打造人、機(jī)、物全面互聯(lián)的新型網(wǎng)絡(luò)基礎(chǔ)設(shè)施。應(yīng)堅(jiān)持國(guó)家總體安全觀(guān)，從國(guó)家安全戰(zhàn)略全局出發(fā)，認(rèn)識(shí)理解工業(yè)互聯(lián)網(wǎng)安全的重大意義，強(qiáng)化頂層設(shè)計(jì)和統(tǒng)籌管理，加快構(gòu)建符合我國(guó)國(guó)情、滿(mǎn)足工業(yè)互聯(lián)網(wǎng)發(fā)展需要的安全保障體系，如圖所示。

工業(yè)互聯(lián)網(wǎng)實(shí)現(xiàn)了全系統(tǒng)、全產(chǎn)業(yè)鏈和全生命周期的互聯(lián)互通，而與此同時(shí)，互聯(lián)互通的實(shí)現(xiàn)也打破傳統(tǒng)工業(yè)相對(duì)封閉可信的生產(chǎn)環(huán)境，導(dǎo)致攻擊路徑大大增加。

現(xiàn)場(chǎng)控制層、集中調(diào)度層、企業(yè)管理層之間直接通過(guò)以太網(wǎng)甚至是互聯(lián)網(wǎng)承載數(shù)據(jù)通信，越來(lái)越多的生產(chǎn)組件和服務(wù)直接或間接與互聯(lián)網(wǎng)連接，攻擊者從研發(fā)端、管理端、消費(fèi)端、生產(chǎn)端都有可能實(shí)現(xiàn)對(duì)工業(yè)互聯(lián)網(wǎng)的攻擊或病毒傳播。

這也直接導(dǎo)致工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)保護(hù)難度加大。工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)種類(lèi)和保護(hù)需求多樣，數(shù)據(jù)流動(dòng)方向和路徑復(fù)雜，研發(fā)設(shè)計(jì)數(shù)據(jù)、內(nèi)部生產(chǎn)管理數(shù)據(jù)、操作控制數(shù)據(jù)以及企業(yè)外部數(shù)據(jù)等，可能分布在大數(shù)據(jù)平臺(tái)、用戶(hù)端、生產(chǎn)終端、設(shè)計(jì)服務(wù)器等多種設(shè)施上，僅依托單點(diǎn)、離散的數(shù)據(jù)保護(hù)措施難以有效保護(hù)工業(yè)互聯(lián)網(wǎng)中流動(dòng)的工業(yè)數(shù)據(jù)安全。

從現(xiàn)實(shí)來(lái)看，下層工業(yè)控制網(wǎng)絡(luò)安全性考慮也還不充分。

傳統(tǒng)模式下，工業(yè)控制網(wǎng)絡(luò)未與外部互聯(lián)網(wǎng)直接聯(lián)通，安全認(rèn)證機(jī)制，訪(fǎng)問(wèn)控制手段需求并不迫切。然而，在工業(yè)互聯(lián)網(wǎng)環(huán)境下，攻擊者一旦通過(guò)互聯(lián)網(wǎng)通道進(jìn)入下層工業(yè)控制網(wǎng)，只需掌握通信協(xié)議就可以很容易對(duì)工業(yè)控制網(wǎng)絡(luò)實(shí)現(xiàn)常見(jiàn)的拒絕服務(wù)攻擊、中間人攻擊等，輕則影響生產(chǎn)數(shù)據(jù)采集和控制指令的及時(shí)性和正確性，重則造成物理設(shè)施被破壞。

從平臺(tái)建設(shè)來(lái)看，虛擬化等平臺(tái)技術(shù)成為趨勢(shì)，這也加大了工業(yè)數(shù)據(jù)保護(hù)難度。工業(yè)互聯(lián)網(wǎng)平臺(tái)中多個(gè)客戶(hù)共享計(jì)算資源，虛擬機(jī)之間的隔離和防護(hù)容易受到攻擊，跨虛擬機(jī)的非授權(quán)訪(fǎng)問(wèn)風(fēng)險(xiǎn)突出。而且目前多數(shù)集團(tuán)或工業(yè)企業(yè)內(nèi)部的生產(chǎn)業(yè)務(wù)平臺(tái)安全設(shè)計(jì)不足。

工業(yè)企業(yè)往往更加注重業(yè)務(wù)平臺(tái)的功能性，在設(shè)計(jì)之初很少考慮安全架構(gòu)，可能存在權(quán)限繞過(guò)、緩沖區(qū)溢出等安全設(shè)計(jì)缺陷，為網(wǎng)絡(luò)攻擊提供路徑。

工業(yè)互聯(lián)網(wǎng)的相關(guān)定義和技術(shù)架構(gòu)尚未在國(guó)際范圍內(nèi)得到充分統(tǒng)一，工業(yè)互聯(lián)網(wǎng)在我國(guó)的提出和推進(jìn)也仍然處于初級(jí)階段。

與傳統(tǒng)消費(fèi)互聯(lián)網(wǎng)和商業(yè)互聯(lián)網(wǎng)相比，作為新生事物的工業(yè)互聯(lián)網(wǎng)需要更高標(biāo)準(zhǔn)的信息安全要求；與傳統(tǒng)工業(yè)控制系統(tǒng)相比，工業(yè)互聯(lián)網(wǎng)的安全覆蓋面更為復(fù)雜。

當(dāng)前，我國(guó)僅從工業(yè)互聯(lián)網(wǎng)的某些局部元素層面開(kāi)展了相關(guān)安全保障工作，且工業(yè)互聯(lián)網(wǎng)安全保障可能涉及多個(gè)責(zé)任部門(mén)，需要充分協(xié)作、形成合力，打造針對(duì)我國(guó)工業(yè)互聯(lián)網(wǎng)的整體安全保障工作機(jī)制。

安全是工業(yè)互聯(lián)網(wǎng)的三大核心內(nèi)容之一。在工業(yè)互聯(lián)網(wǎng)總體框架下，安全既是一套獨(dú)立功能體系，又滲透融合在網(wǎng)絡(luò)和平臺(tái)建設(shè)使用的全過(guò)程，為網(wǎng)絡(luò)、平臺(tái)提供安全保障。

構(gòu)建工業(yè)互聯(lián)網(wǎng)安全保障體系可從平臺(tái)、網(wǎng)絡(luò)、終端、數(shù)據(jù)四個(gè)方面考慮，涉及工業(yè)控制系統(tǒng)安全、企業(yè)信息管理系統(tǒng)安全、企業(yè)控制網(wǎng)絡(luò)及管理網(wǎng)安全、互聯(lián)網(wǎng)寬帶網(wǎng)絡(luò)安全、工業(yè)云安全和工業(yè)大數(shù)據(jù)安全等內(nèi)容。

1. 責(zé)任主體

在傳統(tǒng)工業(yè)制造階段，工業(yè)信息安全作為生產(chǎn)安全的重要組成部分，由工業(yè)企業(yè)作為其安全責(zé)任主體，責(zé)任邊界較為清晰。

當(dāng)前工業(yè)互聯(lián)互通階段，工業(yè)信息安全主要表征為工業(yè)互聯(lián)網(wǎng)安全，工業(yè)互聯(lián)網(wǎng)業(yè)務(wù)和數(shù)據(jù)在設(shè)備層、數(shù)據(jù)采集層、基礎(chǔ)網(wǎng)絡(luò)層、IaaS層、工業(yè)互聯(lián)網(wǎng)平臺(tái)層、工業(yè)應(yīng)用層等多個(gè)層級(jí)間流轉(zhuǎn)，安全責(zé)任主體涉及工業(yè)企業(yè)、設(shè)備供應(yīng)商、基礎(chǔ)電信運(yùn)營(yíng)商、IaaS網(wǎng)絡(luò)服務(wù)商、工業(yè)互聯(lián)網(wǎng)平臺(tái)運(yùn)營(yíng)商、工業(yè)應(yīng)用提供商等，安全責(zé)任界定和安全監(jiān)管難度加大。

2. 平臺(tái)安全

工業(yè)互聯(lián)網(wǎng)平臺(tái)是工業(yè)互聯(lián)網(wǎng)實(shí)施落地與生態(tài)構(gòu)建的關(guān)鍵載體，其安全是工業(yè)互聯(lián)網(wǎng)安全的核心和關(guān)鍵。

目前，工業(yè)互聯(lián)網(wǎng)平臺(tái)安全問(wèn)題主要包括：

一是海量設(shè)備和系統(tǒng)的接入加大平臺(tái)安全防護(hù)難度；

二是云及虛擬化平臺(tái)自身的安全脆弱性日益凸顯；

三是API接口開(kāi)放加大了工業(yè)互聯(lián)網(wǎng)平臺(tái)面臨的安全風(fēng)險(xiǎn)；

四是云環(huán)境下安全風(fēng)險(xiǎn)跨域傳播的級(jí)聯(lián)效應(yīng)愈發(fā)明顯；

五是云服務(wù)模式導(dǎo)致安全主體責(zé)任不清晰；

六是集團(tuán)或工業(yè)企業(yè)內(nèi)部的生產(chǎn)業(yè)務(wù)平臺(tái)安全設(shè)計(jì)不足。

3. 網(wǎng)絡(luò)安全

工業(yè)互聯(lián)網(wǎng)的網(wǎng)絡(luò)從建設(shè)和管理邊界上可以劃分成企業(yè)內(nèi)網(wǎng)和企業(yè)外網(wǎng)。

其中，企業(yè)內(nèi)網(wǎng)包含有生產(chǎn)網(wǎng)、控制網(wǎng)、企業(yè)管理網(wǎng)及集團(tuán)專(zhuān)用網(wǎng)；企業(yè)外網(wǎng)主要指基于國(guó)家骨干網(wǎng)、接入網(wǎng)和城域網(wǎng)建立的互聯(lián)網(wǎng)寬帶網(wǎng)絡(luò)。

在內(nèi)網(wǎng)側(cè)，安全問(wèn)題主要包括：

一是傳統(tǒng)靜態(tài)防護(hù)策略和安全域劃分方法不能滿(mǎn)足工業(yè)企業(yè)網(wǎng)絡(luò)復(fù)雜多變、靈活組網(wǎng)的需求；

二是工業(yè)互聯(lián)網(wǎng)涉及不同網(wǎng)絡(luò)在通信協(xié)議、數(shù)據(jù)格式、傳輸速率等方面的差異性，異構(gòu)網(wǎng)絡(luò)的融合面臨極大挑戰(zhàn)；

三是工業(yè)領(lǐng)域傳統(tǒng)協(xié)議和網(wǎng)絡(luò)體系結(jié)構(gòu)設(shè)計(jì)之初基本沒(méi)有考慮安全性，安全認(rèn)證機(jī)制和訪(fǎng)問(wèn)控制手段缺失。

在外網(wǎng)側(cè)，需要在傳統(tǒng)互聯(lián)網(wǎng)安全的基礎(chǔ)上，進(jìn)一步強(qiáng)化面向工業(yè)互聯(lián)網(wǎng)的IPv6安全、軟件定義網(wǎng)絡(luò)（SDN）安全、工業(yè)互聯(lián)網(wǎng)標(biāo)識(shí)解析安全、5G等新型蜂窩移動(dòng)通信技術(shù)安全等。

4. 終端安全

工業(yè)互聯(lián)網(wǎng)中的終端是指工業(yè)領(lǐng)域應(yīng)用的產(chǎn)品、系統(tǒng)、設(shè)備，包含工業(yè)生產(chǎn)控制設(shè)備、工業(yè)網(wǎng)絡(luò)通信設(shè)備、工業(yè)主機(jī)設(shè)備、工業(yè)生產(chǎn)信息系統(tǒng)、工業(yè)網(wǎng)絡(luò)安全設(shè)備和其他工業(yè)設(shè)備/系統(tǒng)。

終端安全問(wèn)題形勢(shì)嚴(yán)峻，主要表現(xiàn)在以下方面：

一是傳統(tǒng)工業(yè)環(huán)境中海量工業(yè)軟硬件在生產(chǎn)設(shè)計(jì)時(shí)并未過(guò)多地考慮安全問(wèn)題，可能存在大量安全漏洞；

二是由于我國(guó)工業(yè)設(shè)備自主可控仍處于較低水平，大部分核心設(shè)備以國(guó)外設(shè)備為主；

三是我國(guó)大部分重要工業(yè)設(shè)備日常運(yùn)維和設(shè)備維修也嚴(yán)重依賴(lài)國(guó)外廠(chǎng)商，存在被境外機(jī)構(gòu)操控的風(fēng)險(xiǎn)。

5. 數(shù)據(jù)安全

工業(yè)數(shù)據(jù)是指工業(yè)領(lǐng)域中，在業(yè)務(wù)活動(dòng)和過(guò)程中所產(chǎn)生、采集、處理、存儲(chǔ)、傳輸和使用的數(shù)據(jù)的綜合。

目前，企業(yè)通過(guò)工業(yè)數(shù)據(jù)的分析和應(yīng)用可以去預(yù)測(cè)需求、預(yù)測(cè)制造，整合產(chǎn)業(yè)鏈和價(jià)值鏈，發(fā)現(xiàn)用戶(hù)的價(jià)值缺口，發(fā)現(xiàn)和管理不可見(jiàn)的問(wèn)題，實(shí)現(xiàn)為用戶(hù)提供定制化的產(chǎn)品和服務(wù)，是企業(yè)獲取持續(xù)競(jìng)爭(zhēng)優(yōu)勢(shì)的核心要素。

工業(yè)互聯(lián)網(wǎng)使數(shù)據(jù)存在的范圍和邊界發(fā)生了根本變化，給數(shù)據(jù)安全帶來(lái)巨大挑戰(zhàn)。

工業(yè)互聯(lián)網(wǎng)安全防護(hù)整體方案

做好工業(yè)互聯(lián)網(wǎng)安全的整體保障，才能為工業(yè)互聯(lián)網(wǎng)提供一個(gè)安全可靠的發(fā)展環(huán)境。

當(dāng)前，應(yīng)牢牢把握工業(yè)互聯(lián)網(wǎng)發(fā)展的關(guān)鍵窗口期，堅(jiān)持以“本質(zhì)安全、內(nèi)外兼顧、業(yè)務(wù)優(yōu)先、隱私可控”為安全保障原則，從加強(qiáng)政策規(guī)劃指引、夯實(shí)基礎(chǔ)性工作、打造公共服務(wù)平臺(tái)、促進(jìn)產(chǎn)業(yè)發(fā)展等多方面入手，建立全面保障工業(yè)互聯(lián)網(wǎng)設(shè)備安全、網(wǎng)絡(luò)安全、平臺(tái)安全和數(shù)據(jù)安全的新型縱深防御安全架構(gòu)，從整體上強(qiáng)化我國(guó)工業(yè)互聯(lián)網(wǎng)安全防護(hù)水平。

1. 以頂層設(shè)計(jì)為基礎(chǔ)

2017年12月，工業(yè)和信息化部發(fā)布了《工業(yè)控制系統(tǒng)信息安全行動(dòng)計(jì)劃（2018—2020年）》，從國(guó)家層面對(duì)工控系統(tǒng)信息安全保障體系建設(shè)做出規(guī)劃。

2. 以態(tài)勢(shì)感知為條件

在已形成的工業(yè)控制系統(tǒng)在線(xiàn)監(jiān)測(cè)預(yù)警能力基礎(chǔ)上，建設(shè)面向公共互聯(lián)網(wǎng)、企業(yè)內(nèi)網(wǎng)/專(zhuān)網(wǎng)和工業(yè)控制網(wǎng)絡(luò)的國(guó)家級(jí)工業(yè)互聯(lián)網(wǎng)監(jiān)測(cè)預(yù)警與態(tài)勢(shì)感知平臺(tái)，結(jié)合在線(xiàn)監(jiān)測(cè)、誘捕探測(cè)、結(jié)構(gòu)化/非結(jié)構(gòu)化威脅數(shù)據(jù)感知等手段，通過(guò)大數(shù)據(jù)分析技術(shù)，形成全天候、全方位感知工業(yè)互聯(lián)網(wǎng)安全態(tài)勢(shì)的能力。

3. 以檢查評(píng)估為抓手

健全工業(yè)互聯(lián)網(wǎng)安全防護(hù)體系，檢查評(píng)估必不可少：

首先，建立面向工業(yè)企業(yè)的工業(yè)互聯(lián)網(wǎng)安全檢查和安全評(píng)估常態(tài)化工作機(jī)制，通過(guò)檢查評(píng)估及時(shí)發(fā)現(xiàn)工業(yè)互聯(lián)網(wǎng)的設(shè)備、網(wǎng)絡(luò)、平臺(tái)和數(shù)據(jù)安全問(wèn)題，指導(dǎo)工業(yè)企業(yè)提升工業(yè)互聯(lián)網(wǎng)安全防護(hù)水平。

同時(shí)，探索開(kāi)展工業(yè)互聯(lián)網(wǎng)平臺(tái)第三方安全審查，確保工業(yè)互聯(lián)網(wǎng)平臺(tái)產(chǎn)品和服務(wù)的安全性、可控性。研究工業(yè)互聯(lián)網(wǎng)平臺(tái)上線(xiàn)前安全測(cè)試制度，及時(shí)發(fā)現(xiàn)平臺(tái)安全漏洞、配置不合理、非授權(quán)訪(fǎng)問(wèn)、身份冒用、不必要網(wǎng)絡(luò)服務(wù)開(kāi)放等安全隱患，確保平臺(tái)上線(xiàn)后運(yùn)行安全。

4. 以通報(bào)應(yīng)急為重點(diǎn)

建設(shè)工業(yè)互聯(lián)網(wǎng)風(fēng)險(xiǎn)信息通報(bào)與應(yīng)急處置工作體系，建設(shè)工業(yè)互聯(lián)網(wǎng)安全應(yīng)急專(zhuān)業(yè)技術(shù)隊(duì)伍，提高應(yīng)對(duì)工業(yè)互聯(lián)網(wǎng)安全事件和重大風(fēng)險(xiǎn)的組織協(xié)調(diào)與應(yīng)急處置水平，預(yù)防和減少安全事件造成的損失和危害，形成集工業(yè)互聯(lián)網(wǎng)安全風(fēng)險(xiǎn)信息的收集、匯總、核查研判、通報(bào)發(fā)布、消減處置、跟蹤復(fù)查等于一體的閉環(huán)應(yīng)急處置工作機(jī)制。