工業(yè)互聯(lián)網(wǎng)安全態(tài)勢計算方法研究

◆鄭忠斌 王瀟瀟 鄭 重 嚴三霞

(工業(yè)互聯(lián)網(wǎng)創(chuàng)新中心(上海)有限公司 上海 200232)

工業(yè)互聯(lián)網(wǎng)是工業(yè)控制系統(tǒng)的核心，其安全性是保障工業(yè)控制系統(tǒng)正常運行的關(guān)鍵，一旦出現(xiàn)問題，后果不堪設(shè)想。目前，針對工業(yè)互聯(lián)網(wǎng)的網(wǎng)絡(luò)威脅數(shù)量正在迅速增加，能夠繞過傳統(tǒng)安全防御機制的網(wǎng)絡(luò)攻擊越來越多[1-2]。由于對工業(yè)互聯(lián)網(wǎng)所面臨的網(wǎng)絡(luò)風險監(jiān)控和評估的不足，大部分的工業(yè)互聯(lián)網(wǎng)基礎(chǔ)設(shè)施只能通過事后通報或出現(xiàn)顯著損失后，才能發(fā)現(xiàn)其網(wǎng)絡(luò)中存在的攻擊行為。近年來，由于攻擊手段和攻擊方式的不斷升級，以及工業(yè)互聯(lián)網(wǎng)企業(yè)網(wǎng)絡(luò)防御水平的滯后[3]，工業(yè)互聯(lián)網(wǎng)的安全形勢變得愈加嚴峻。雖然目前已有一些面向互聯(lián)網(wǎng)的脆弱性檢測、入侵檢測等技術(shù)，但由于工業(yè)互聯(lián)網(wǎng)自身的特殊性，及時、準確、全面地感知系統(tǒng)中存在的網(wǎng)絡(luò)安全威脅對指導網(wǎng)絡(luò)安全防御系統(tǒng)做出最佳響應(yīng)決策至關(guān)重要。網(wǎng)絡(luò)安全態(tài)勢感知技術(shù)具備宏觀把握整個網(wǎng)絡(luò)的安全風險的能力，可以很好地滿足工業(yè)互聯(lián)網(wǎng)快速、準確的網(wǎng)絡(luò)威脅發(fā)現(xiàn)需求。其中，網(wǎng)絡(luò)安全態(tài)勢的計算方法是實現(xiàn)工業(yè)互聯(lián)網(wǎng)安全態(tài)勢感知的核心任務(wù)，近年來引起了學術(shù)界和工業(yè)界的極大關(guān)注。

1 工業(yè)互聯(lián)網(wǎng)及網(wǎng)絡(luò)安全態(tài)勢感知概念分析

2019年2 月由工業(yè)和信息化部指導，中國信息通信研究院、工業(yè)互聯(lián)網(wǎng)產(chǎn)業(yè)聯(lián)盟、中國通信學會聯(lián)合主辦的2019工業(yè)互聯(lián)網(wǎng)峰會在北京國家會議中心舉行。會上發(fā)布了《工業(yè)互聯(lián)網(wǎng)術(shù)語和定義（版本1.0）》白皮書，其中對工業(yè)互聯(lián)網(wǎng)給出了明確定義：工業(yè)互聯(lián)網(wǎng)是滿足工業(yè)智能化發(fā)展需求，具有低時延、高可靠、廣覆蓋特點的關(guān)鍵網(wǎng)絡(luò)基礎(chǔ)設(shè)施，是新一代信息通信技術(shù)與先進制造業(yè)深度融合所形成的新興業(yè)態(tài)與應(yīng)用模式。工業(yè)互聯(lián)網(wǎng)中存在網(wǎng)絡(luò)流量、網(wǎng)絡(luò)資產(chǎn)等高度敏感數(shù)據(jù)，一旦遭受網(wǎng)絡(luò)攻擊后果不堪設(shè)想[4]。

網(wǎng)絡(luò)安全態(tài)勢感知（Network Security Situation Awareness，簡稱NSSA）是將態(tài)勢感知技術(shù)應(yīng)用于網(wǎng)絡(luò)安全領(lǐng)域，網(wǎng)絡(luò)安全態(tài)勢感知模型包括態(tài)勢要素提取、態(tài)勢理解及態(tài)勢預測，態(tài)勢要素提取過程主要負責抓取網(wǎng)絡(luò)設(shè)備上的數(shù)據(jù)并進行規(guī)范化處理，態(tài)勢理解通過數(shù)學方法和模型分析出異常的網(wǎng)絡(luò)數(shù)據(jù)、系統(tǒng)所受的攻擊類型及攻擊源，態(tài)勢預測則是通過分析當前主機和網(wǎng)絡(luò)環(huán)境，判斷系統(tǒng)當前風險等級，進而預測下一步網(wǎng)絡(luò)的變化情況[5]。

2 工業(yè)互聯(lián)網(wǎng)安全態(tài)勢計算方法

工業(yè)互聯(lián)網(wǎng)具有覆蓋廣、結(jié)構(gòu)復雜等特點，其基本網(wǎng)絡(luò)架構(gòu)如圖1所示，網(wǎng)絡(luò)中存在眾多子網(wǎng)，且不同子網(wǎng)可能存在異構(gòu)、安全防護等級不同等問題，當出現(xiàn)網(wǎng)絡(luò)攻擊時，單依靠人工的方式不能有效對當前的網(wǎng)絡(luò)態(tài)勢進行有效感知預測，要想判斷網(wǎng)絡(luò)入侵的發(fā)展情況、破壞程度，必須由工業(yè)互聯(lián)網(wǎng)安全態(tài)勢感知平臺提供一種對網(wǎng)絡(luò)態(tài)勢的計算方法以了解系統(tǒng)當前風險等級[6]，從而輔助系統(tǒng)或操作人員快速、準確和實時地對網(wǎng)絡(luò)異常情況做出響應(yīng)。

本文提出一種針對工業(yè)互聯(lián)網(wǎng)安全態(tài)勢的計算方法，該方法包含兩個方面：網(wǎng)絡(luò)安全態(tài)勢評價指標體系建立和網(wǎng)絡(luò)安全態(tài)勢評估計算方法，方法流程如圖2所示，首先根據(jù)工業(yè)互聯(lián)網(wǎng)特點選取對應(yīng)的安全評價指標[6]，建立針對工業(yè)互聯(lián)網(wǎng)的網(wǎng)絡(luò)安全態(tài)勢評價指標體系，并將單個子網(wǎng)指標數(shù)據(jù)作為計算方法的輸入，然后將指標數(shù)據(jù)進行數(shù)值化、歸一化處理，綜合計算出各個子網(wǎng)的安全態(tài)勢值，基于子網(wǎng)安全態(tài)勢評估值對網(wǎng)絡(luò)整體安全態(tài)勢進行評估，最終給出當前網(wǎng)絡(luò)的風險等級供工業(yè)控制系統(tǒng)或操作人員參考。

圖1 工業(yè)互聯(lián)網(wǎng)基本體系架構(gòu)

圖2 工業(yè)互聯(lián)網(wǎng)安全態(tài)勢計算方法

2.1 工業(yè)互聯(lián)網(wǎng)安全態(tài)勢評價指標體系

工業(yè)互聯(lián)網(wǎng)安全態(tài)勢感知是對工業(yè)互聯(lián)網(wǎng)運行軌跡判斷預測的重要技術(shù)手段，首先要提取對網(wǎng)絡(luò)運行軌跡產(chǎn)生影響的重要元素，然后在此基礎(chǔ)上對網(wǎng)絡(luò)運行軌跡進行表征和判斷。

工業(yè)互聯(lián)網(wǎng)包含眾多子網(wǎng)，而各個子網(wǎng)的規(guī)模、結(jié)構(gòu)存在差異，用單一指標表征判斷各子網(wǎng)運行軌跡幾乎是不可能的，需要相對完整的評價指標體系，為此，本文從靜態(tài)安全性和動態(tài)安全性兩個方面構(gòu)建了一套針對單個子網(wǎng)的安全態(tài)勢評價指標體系，指標內(nèi)容如表1所示，其中靜態(tài)安全性包括網(wǎng)絡(luò)拓撲復雜程度、網(wǎng)絡(luò)攻擊歷史發(fā)生頻率、歷史報警數(shù)量、子網(wǎng)中關(guān)鍵節(jié)點設(shè)備開放端口的總量四個方面，動態(tài)安全性包括網(wǎng)絡(luò)數(shù)據(jù)流入量、網(wǎng)絡(luò)帶寬使用率、網(wǎng)絡(luò)流量變化率、當前網(wǎng)絡(luò)漏洞數(shù)目及等級四個方面，這些指標構(gòu)成一套較完整的工業(yè)互聯(lián)網(wǎng)安全態(tài)勢評價指標體系，可以全面有效地評價工業(yè)互聯(lián)網(wǎng)當前網(wǎng)絡(luò)風險情況。

表1 網(wǎng)絡(luò)安全態(tài)勢評價指標

2.2 工業(yè)互聯(lián)網(wǎng)安全態(tài)勢評估方法

首先對工業(yè)互聯(lián)網(wǎng)中的單個子網(wǎng)進行安全態(tài)勢評估，由于各項指標存在著單位和類型不統(tǒng)一數(shù)值及數(shù)量級不一致等問題，直接用于態(tài)勢評估可能會造成評估結(jié)果不準確，因此還需要對各指標的數(shù)據(jù)進行數(shù)值化、歸一化等預處理，處理算法如算法1所示。

預處理完成后，通過綜合分析各項安全性指標數(shù)據(jù)，實現(xiàn)對單個子網(wǎng)的安全態(tài)勢評估，評估算法如算法2所示。

計算出網(wǎng)絡(luò)中所有子網(wǎng)的安全態(tài)勢評估值后，以單個子網(wǎng)安全態(tài)勢評估值為基礎(chǔ)對整個網(wǎng)絡(luò)安全態(tài)勢值P進行評估，其計算方法如下式所示：

其中Wi為第i個子網(wǎng)對應(yīng)的權(quán)重，n為子網(wǎng)個數(shù)。

基于工業(yè)互聯(lián)網(wǎng)安全態(tài)勢評估值P，將安全態(tài)勢風險等級劃分為4個等級，不同風險等級對應(yīng)的數(shù)值如表2所示。技術(shù)人員或安全處理模塊可根據(jù)風險等級有效判斷網(wǎng)絡(luò)環(huán)境，以便高效、準確采取下一步措施。

表2 工業(yè)互聯(lián)網(wǎng)安全態(tài)勢風險等級

3 結(jié)束語

工業(yè)控制系統(tǒng)的全面信息化、自動化、智能化是我國實現(xiàn)從“制造強國”到“智造強國”轉(zhuǎn)變的核心。在這個過程中，工業(yè)互聯(lián)網(wǎng)的安全和穩(wěn)定運行將起到關(guān)鍵的支撐作用。然而，近年來日益嚴峻的工業(yè)互聯(lián)網(wǎng)安全問題嚴重制約了我國“智造強國”的發(fā)展進程，亟待妥善解決。網(wǎng)絡(luò)安全態(tài)勢感知，是實現(xiàn)網(wǎng)絡(luò)安全防御的首要任務(wù)，對此，本文分析了工業(yè)互聯(lián)網(wǎng)的特性及其安全需求，討論了面向工業(yè)互聯(lián)網(wǎng)的網(wǎng)絡(luò)安全態(tài)勢感知概念，在此基礎(chǔ)上創(chuàng)新性地提出了一種工業(yè)互聯(lián)網(wǎng)安全態(tài)勢計算方法，該方法可實現(xiàn)對工業(yè)互聯(lián)網(wǎng)網(wǎng)絡(luò)安全態(tài)勢及時、準確、全面的判斷，對有效防范工業(yè)互聯(lián)網(wǎng)重大安全事件具有十分重要的理論和實際意義。