工業(yè)互聯(lián)網(wǎng)環(huán)境下IT/OT融合的安全防御技術(shù)的研究

安啟玲　鄭通

【摘要】? ? 在工業(yè)互聯(lián)網(wǎng)飛速發(fā)展下，IT（信息技術(shù)）與OT（操作技術(shù)）間的融合日益緊密，網(wǎng)絡攻擊逐漸侵入OT環(huán)境中，提高OT系統(tǒng)安全與威脅預警能力顯得十分重要。對此，本文首先闡述工業(yè)互聯(lián)網(wǎng)發(fā)展中面臨的安全風險，包括設備、系統(tǒng)與網(wǎng)絡等方面，然后指出工業(yè)互聯(lián)網(wǎng)IT/OT一體化安全防御技術(shù)要點，最后提出安全防御技術(shù)的應用措施。力求通過本文研究，使OT安全防御技術(shù)框架得以完善，促進我國工業(yè)信息安全能力的全面提升。

【關(guān)鍵詞】? ? 工業(yè)互聯(lián)網(wǎng)? ? IT/OT融合? ? 安全防御技術(shù)

引言：

在計算機技術(shù)、工業(yè)技術(shù)、網(wǎng)絡通信技術(shù)飛速發(fā)展下，IT與OT技術(shù)的融合程度日益加深，為工業(yè)互聯(lián)網(wǎng)的形成提供諸多助力。該網(wǎng)絡包括工業(yè)控制系統(tǒng)、云計算、大數(shù)據(jù)與客戶網(wǎng)絡等內(nèi)容，可為工業(yè)系統(tǒng)內(nèi)數(shù)據(jù)傳輸提供重要支撐。但是，二者融合也為網(wǎng)絡安全帶來嚴峻挑戰(zhàn)，應創(chuàng)建完善的工業(yè)網(wǎng)安全防護體系，使設備風險、系統(tǒng)風險、網(wǎng)絡風險等得到有效預防，充分發(fā)揮安全防御技術(shù)優(yōu)勢，為工業(yè)網(wǎng)安全運行打下堅實基礎。

一、工業(yè)互聯(lián)網(wǎng)發(fā)展面臨的安全風險

在工業(yè)互聯(lián)網(wǎng)運行中，主要面臨的安全問題包括以下幾種。在IT安全需求中，級別由高到低依次為保密性、完整性、及時性，但OT安全需求與之不同，更注重設備有效性和可靠性。因兩個系統(tǒng)在需求、功能層面有所區(qū)別，在融合時為網(wǎng)絡安全運行帶來較大挑戰(zhàn)。

（一）設備風險

該風險主要是接入系統(tǒng)的工業(yè)設備因本身較為脆弱，很容易受到網(wǎng)絡攻擊，為安全管理帶來更多困難，通常體現(xiàn)在嵌入式系統(tǒng)安全、芯片安全、第三方應用軟件安全性等方面，如若上述安全隱患發(fā)生，勢必會影響整個網(wǎng)絡的正常運行。在智能工廠的推廣應用下，以往相對封閉的設備或者系統(tǒng)大量接入網(wǎng)絡，使工業(yè)設備分布和使用被暴露在網(wǎng)絡內(nèi)，這些單純?yōu)橥瓿勺鳂I(yè)而生產(chǎn)的設備十分脆弱，在提升生產(chǎn)效率的同時，也可能受到不法分子的操控，使工業(yè)網(wǎng)絡內(nèi)設備或系統(tǒng)安全受到極大威脅。[1]

（二）系統(tǒng)風險

通過工業(yè)網(wǎng)絡參考體系架構(gòu)可知，當下的生產(chǎn)設備將具備更高的聯(lián)網(wǎng)程度，控制器和嵌入式系統(tǒng)之間更加頻繁和自主進行通信;更高程度的聯(lián)網(wǎng)以及開放的生產(chǎn)制造網(wǎng)絡很自然會引起人們對網(wǎng)絡攻擊安全性的擔憂。管控系統(tǒng)安全構(gòu)成強大威脅，主要體現(xiàn)在協(xié)議、平臺與軟件等方面。主要因控制系統(tǒng)設計階段，工業(yè)互聯(lián)網(wǎng)信息安全需求不到位，使訪問控制系統(tǒng)出現(xiàn)安全缺口，為黑客入侵制造了機會;還可能在工業(yè)網(wǎng)使用期間，因忽視網(wǎng)絡安全維護，忽視OT與IT間的憑證管理，導致系統(tǒng)風險發(fā)生概率提高。

（三）網(wǎng)絡風險

工業(yè)互聯(lián)網(wǎng)的核心在于網(wǎng)絡安全，同時也是多種安全風險中最具危險性的一種，該項風險幾乎涉及工業(yè)網(wǎng)的方方面面，尤其是系統(tǒng)作業(yè)期間的網(wǎng)絡數(shù)據(jù)傳輸風險。究其原因，一是因工業(yè)無線網(wǎng)技術(shù)的應用打破了網(wǎng)絡防護邊界，工業(yè)網(wǎng)組網(wǎng)的開放性使網(wǎng)絡拓撲結(jié)構(gòu)更加復雜，傳統(tǒng)靜態(tài)防護策略不適用于新情況;二是在IT與OT融合期間，使網(wǎng)絡攻擊范圍擴大，加上當前尚未研制出有效的APT攻擊檢測與防護方式，使網(wǎng)絡安全受到極大威脅。[2]

二、工業(yè)互聯(lián)網(wǎng)IT/OT一體化安全防御技術(shù)要點

工業(yè)互聯(lián)網(wǎng)以技術(shù)信息、企業(yè)產(chǎn)品為主，打造產(chǎn)業(yè)網(wǎng)絡交易大廳，提供產(chǎn)業(yè)鏈需求撮合服務，創(chuàng)建數(shù)據(jù)最為全面的工業(yè)基礎信息數(shù)據(jù)庫，與高含量工業(yè)軟件集散地，使用戶創(chuàng)建高端裝備制造業(yè)網(wǎng)絡平臺的需求得到滿足，與企業(yè)機器設備相互連接，在網(wǎng)絡安全和工業(yè)控制系統(tǒng)安全方面深入研究，制定完善的工業(yè)互聯(lián)網(wǎng)防護方案，明確IT和OT一體化的安全防御技術(shù)要點，具體如下。

（一）準確尋找安全缺口

根據(jù)動態(tài)安全模型，創(chuàng)建安全框架相關(guān)系統(tǒng)，使企業(yè)在IT和OT融合下的工業(yè)網(wǎng)安全性得到進一步提升。一是確保構(gòu)架安全，在工業(yè)網(wǎng)設計階段加強安全防護，避免設備或者系統(tǒng)被隨意調(diào)用;二是強化被動防御，研制無人值班的持續(xù)威脅防御系統(tǒng)，如建設工業(yè)網(wǎng)絡防火墻、清點硬件設備與軟件、梳理網(wǎng)絡拓撲等;三是及時更新服務器，以免受到非法入侵，依靠蜜罐系統(tǒng)變被動防御為主動，及時捕獲非法行為，實施合理的安全策略等等。四是加強設備安全防護。設備安全是工業(yè)安全生產(chǎn)的前提所在，在實際生產(chǎn)期間，工業(yè)企業(yè)應根據(jù)實際情況，對內(nèi)部設備進行安全加固，根據(jù)設備自身實際進行措施調(diào)整。此外，還應從設備、操作系統(tǒng)、用戶層用戶認證、用戶授權(quán)等多方面創(chuàng)建安全防范機制，如補丁更新、漏洞防范等等，該法可有效預防部分安全問題產(chǎn)生，為后續(xù)安全管理減輕壓力。為提高設備安全性，在必要的情況下還可采用驗證技術(shù)，為設備啟動和實施提供周期性安全防護。[3]

（二）實施網(wǎng)絡分區(qū)防護

根據(jù)國際工控領域提出的安全防御架構(gòu)，可將工業(yè)網(wǎng)分成生產(chǎn)現(xiàn)場、功能區(qū)兩個方面。以往防護策略是在不同功能區(qū)設立防火墻，避免受到外部攻擊，將控制網(wǎng)絡、遠程訪問區(qū)、企業(yè)網(wǎng)絡等相互隔離，使生產(chǎn)、控制網(wǎng)絡得以區(qū)分。為提高工業(yè)網(wǎng)的防護作用，對網(wǎng)絡分區(qū)防火墻進行積極優(yōu)化，結(jié)合深度防護體系設立防火墻，具體措施為：在第一階段，創(chuàng)建雙宿主機防火墻，如圖1所示;第二階段，創(chuàng)建企業(yè)網(wǎng)絡、控制網(wǎng)絡防火墻;第三階段，制定完善的防火墻應用措施;第四階段，創(chuàng)建非軍事區(qū)防火墻，通過特殊分區(qū)、動態(tài)分區(qū)信息傳輸技術(shù)的應用，使工業(yè)網(wǎng)安全得到切實保障。此外，網(wǎng)絡時代為工業(yè)企業(yè)帶來便利的同時，也因網(wǎng)絡融合產(chǎn)生了新的風險。對此，企業(yè)應針對業(yè)務風險進行綜合評估，在運營期間不斷改善網(wǎng)絡結(jié)構(gòu)設計，提早發(fā)現(xiàn)并解決網(wǎng)絡結(jié)構(gòu)上的問題。此外，還應合理調(diào)整網(wǎng)絡安全區(qū)域，對網(wǎng)絡邊界、防護策略重新定義，使其更好地適應結(jié)構(gòu)變化，最終在網(wǎng)絡環(huán)境下實現(xiàn)穩(wěn)健發(fā)展。為確保網(wǎng)絡安全，企業(yè)應格外注重網(wǎng)絡相關(guān)內(nèi)容，如接入認證、數(shù)據(jù)傳輸加密等，并增加資金投入，加速安全防御技術(shù)研發(fā)與革新，使網(wǎng)絡安全得到切實保障。

（三）確保遠程訪問安全

工業(yè)網(wǎng)應用的基礎在于設備與工業(yè)系統(tǒng)，通過保障遠程訪問安全，可使網(wǎng)絡運營狀態(tài)得到保障。在實際應用中，一方面，應健全設備遠程訪問安全政策，只開放必要端口，實施精細化訪問與監(jiān)管，例如員工禁止利用公共網(wǎng)絡進行遠程訪問，而是要采用VPN進行系統(tǒng)訪問，并增設強口令，對重要文件加密傳輸，并堅持最小權(quán)限原則，禁止外部用戶遠程訪問;另一方面，重視終端設備安全管理，派遣專人對老舊設備進行定期檢查，做好漏洞排查與備份工作，并配備專門的生產(chǎn)、辦公電腦，在終端自動備份信息。更重要的是加強數(shù)據(jù)保護，數(shù)據(jù)在工業(yè)生產(chǎn)中的重要性不言而喻，應對數(shù)據(jù)產(chǎn)生、傳輸和存儲等環(huán)節(jié)的安全性給予保障。在數(shù)據(jù)安全防護方面，企業(yè)可根據(jù)數(shù)據(jù)運作的多個環(huán)節(jié)設計多種安全防護措施。例如，在數(shù)據(jù)應用前，可設置訪問控制、身份檢驗等，對關(guān)鍵數(shù)據(jù)進行隔離防護，使數(shù)據(jù)安全得到切實保障。從整體來看，數(shù)據(jù)安全防護應覆蓋采集、傳輸、脫敏、銷毀等全過程，才可確保其整體安全。[4]

三、工業(yè)互聯(lián)網(wǎng)IT/OT一體化安全防御技術(shù)的應用措施

（一）基本情況

近年來，對OT環(huán)境下的網(wǎng)絡攻擊事件不斷增加，一些重要生產(chǎn)基地因病毒入侵導致全線停產(chǎn)。不單單是我國受到影響，2019年委內(nèi)瑞拉曾因電力控制系統(tǒng)受到三次連續(xù)攻擊，使當?shù)仉娏ο到y(tǒng)全部癱瘓，并對事后應急工作產(chǎn)生極大干擾。與IT網(wǎng)絡安全事故不同，OT環(huán)境短暫停機便會帶來不可估測的損失和極大的社會負面影響。因此，OT網(wǎng)絡攻擊成為對手的首選攻擊目標。在進入工業(yè)時代后，隨著互聯(lián)網(wǎng)技術(shù)的不斷發(fā)展，網(wǎng)絡安全不但涉及到數(shù)據(jù)信息，還要確保業(yè)務流程穩(wěn)定、持續(xù)、安全地開展。這就要求在工業(yè)網(wǎng)背景下，應嚴格遵循GB22239-2019的相關(guān)要求，特別是在工業(yè)控制系統(tǒng)安全框架下，與安全防護指南相結(jié)合，有的放矢的采取安全防御技術(shù)，使OT環(huán)境安全得到切實保障。

（二）關(guān)鍵技術(shù)

1.攻防靶場技術(shù)

在網(wǎng)絡技術(shù)發(fā)展下，黑客技術(shù)也在不斷升級，在無形中增加了網(wǎng)絡安全防御成本。在IT與OT融合背景下，防御技術(shù)的關(guān)鍵在于結(jié)合工業(yè)網(wǎng)絡環(huán)境、網(wǎng)絡攻防特點、主體特點、技術(shù)與成本等因素進行綜合分析，特別是特洛伊木馬、蠕蟲等病毒的侵入方式進行研究，明確病毒在工業(yè)網(wǎng)內(nèi)的傳播途徑與方法，才可研制出更具針對性的安全防御技術(shù)。工業(yè)互聯(lián)網(wǎng)安全靶場作為安全測試驗證、攻防演練的關(guān)鍵載體，國內(nèi)關(guān)鍵信息基礎設施架構(gòu)不盡相同，面臨的安全風險也有所區(qū)別，與之相應的安全防護技術(shù)也有所區(qū)別。但對于不同行業(yè)來說，一些漏洞具有共性特點，甚至一些控制組件也相同。對此，工業(yè)互聯(lián)網(wǎng)安全靶場系統(tǒng)的創(chuàng)建可實現(xiàn)共性組件、資源調(diào)度、攻防演練等目標。在實際應用中，靶場系統(tǒng)應對實物工控設備、安全設備集成起來，并通過虛實結(jié)合快速實現(xiàn)工控仿真分析。在此基礎上，該系統(tǒng)還支持接入全系列檢測工具，在特定檢測環(huán)境下進行評估、驗證，有效解決真實環(huán)境中異構(gòu)網(wǎng)絡、用戶模擬等問題，促進國內(nèi)工業(yè)信息安全防護能力的顯著提升。[5]

2.風險監(jiān)測與預警技術(shù)

針對工業(yè)互聯(lián)網(wǎng)內(nèi)的設備安全進行監(jiān)控，形成風險預警監(jiān)測和定位，主體架構(gòu)包括數(shù)據(jù)采集層、功能層與展示層三個方面，具體如下：

1.采集層

該層針對全部被保護對象進行信息采集，包括網(wǎng)絡內(nèi)所屬的各類安全設備事件、告警信息?？商峁┒鄠€數(shù)據(jù)接口，采集信息包括拓撲、資產(chǎn)、漏洞、工控指令等多項內(nèi)容。信息采集裝置可在復雜網(wǎng)絡內(nèi)分布，且對網(wǎng)絡性能不會產(chǎn)生過大影響;采集的信息先進行預處理，變?yōu)榻y(tǒng)一格式后提交給上層，由處理層對組件進行處理與分析。

2.功能層

該層由設備安全管理、工控安全分析、輔助安全管理與系統(tǒng)運維管理四個模塊構(gòu)成。在設備安全管理模塊中，提供安全漏洞管理、設備配置核查、性能監(jiān)控等功能;在工控安全分析模塊中，具有業(yè)務流量異常分析、安全事件管理與風險監(jiān)控服務;在輔助安全管理方面，可為用戶提供告警管理、知識管理、報表管理等內(nèi)容;在系統(tǒng)運維管理方面，具有級聯(lián)管理、采集器管理、權(quán)限與系統(tǒng)管理等內(nèi)容，可使網(wǎng)絡安全得到進一步維護。

3.展示層

該層包括設備監(jiān)控、安全管理、工控威脅等內(nèi)容。監(jiān)控模塊可為被監(jiān)控主體提供基礎信息支持，包括設備管理、鏈路狀態(tài)監(jiān)控、工控拓撲構(gòu)建等內(nèi)容;安全信息管理模塊可為工控網(wǎng)提供安全事件信息、漏洞信息等功能，包括信息查詢、集中管理、漏洞修復等功能;工控威脅管理具有鏈路監(jiān)控、安全信息威脅等功能，為用戶提供風險管理、工控業(yè)務健康情況分析、關(guān)聯(lián)分析、KPI威脅等功能，為企業(yè)集中監(jiān)控提供告警接口、第三方防護產(chǎn)品采集、監(jiān)控系統(tǒng)探針管理等服務。

（三）安全防御系統(tǒng)構(gòu)建

該系統(tǒng)包括安全運營、主動掃描與監(jiān)測、威脅情報、主動檢測與掃描等內(nèi)容，可在IT/OT運行環(huán)境下運行，包括工控流量引擎、探測引擎、工業(yè)蜜罐網(wǎng)絡等內(nèi)容。通過該系統(tǒng)建設，可對網(wǎng)絡安全態(tài)勢進行動態(tài)監(jiān)測與精準感知，使網(wǎng)絡安全由被動變?yōu)橹鲃?，為后期安全事件處理提供強大的技術(shù)支持。

1.信息共享與預警通報平臺

該平臺可將分散的安全設備與信息匯總起來，打破原本安全防御孤島，針對各類網(wǎng)絡安全攻擊行為進行統(tǒng)一監(jiān)控、調(diào)研與分析，并發(fā)布網(wǎng)絡安全預警，形成安全態(tài)勢感知共享機制，為網(wǎng)絡安全在集團內(nèi)外信息交流提供參考依據(jù)。同時，與企業(yè)整體安全感知系統(tǒng)相連接，對各項安全數(shù)據(jù)進行通告和預警，上報和反饋各類事件信息。

2.安全應急指揮系統(tǒng)

包含應急調(diào)度平臺、指揮流程等，可在信息共享、安全態(tài)勢、預警通報等平臺中，對工業(yè)生產(chǎn)網(wǎng)內(nèi)的基礎設施網(wǎng)進行攻擊，使安全事件得到綜合研究與處置，迅速準確的向外傳遞信息。結(jié)合應急方案指揮調(diào)度，對相關(guān)應急力量進行整合，并動態(tài)跟蹤事態(tài)發(fā)展，創(chuàng)建網(wǎng)絡安全應急指揮體系，促進工業(yè)網(wǎng)安全處置與指揮能力提升。

3.綜合分析平臺

以工控系統(tǒng)與生產(chǎn)信息系統(tǒng)等展現(xiàn)網(wǎng)絡安全整體形態(tài)，該平臺可同時展現(xiàn)關(guān)鍵基礎信息，并提供標準接口，對第三方態(tài)勢感知系統(tǒng)進行集成，如工信部、集團態(tài)勢等感知系統(tǒng)。為了確保平臺內(nèi)數(shù)據(jù)安全，還可應用第二代防火墻，并在各廠布設安全檢測探針，對企業(yè)網(wǎng)絡安全態(tài)勢進行全局掌控，及時發(fā)現(xiàn)潛在威脅并進行處理，使工廠網(wǎng)絡安全水平得到全面提升。在生產(chǎn)控制網(wǎng)中，利用工控流量監(jiān)測引擎，與工業(yè)蜜罐、云端探測等相結(jié)合，以現(xiàn)有核心平臺為對象進行在線監(jiān)測，提供OT安全風險預警，使OT運行環(huán)境得到切實保護。在OT系統(tǒng)中，各設備之間的訪問關(guān)系確定，根據(jù)異常訪問量分析定位潛在的問題，在流量分析的基礎上進行工況系統(tǒng)檢測。

四、結(jié)束語

綜上所述，在工業(yè)互聯(lián)網(wǎng)飛速發(fā)展下，IT與OT間的融合日益加深，工業(yè)控制系統(tǒng)作為國內(nèi)關(guān)鍵信息基礎設施運行的重心，應積極開展控制系統(tǒng)安全防御工作，使OT運行環(huán)境得以保護。在此背景下，本文在IT和OT一體化基礎上創(chuàng)建網(wǎng)絡安全防御技術(shù)體系，通過準確尋找安全缺口、實施網(wǎng)絡分區(qū)防護、確保遠程訪問安全等方式，使系統(tǒng)、設備與網(wǎng)絡安全面臨的威脅得到有效預防，全面提高威脅事件的監(jiān)控和預警能力，為工業(yè)生產(chǎn)營造良好的環(huán)境。

作者單位：安啟玲? ? 鄭通? ? 杭州佐帕斯工業(yè)有限公司

參? 考? 文? 獻

[1]霍光耀.IT和OT融合趨勢下的工業(yè)互聯(lián)網(wǎng)安全研究[J].數(shù)字化用戶，2019（06）：012-014.

[2]葛小青.IT和OT融合趨勢下的財務系統(tǒng)互聯(lián)網(wǎng)安全研究[J].信息記錄材料，2021，22（4）：2.

[3]楊睿超，岳劍暉，杭肖.淺談工業(yè)互聯(lián)網(wǎng)環(huán)境下的工業(yè)控制系統(tǒng)安全防護[J].網(wǎng)絡安全技術(shù)與應用，2020（5）：2.

[4]尚文利.功能安全與信息安全相結(jié)合，實現(xiàn)工業(yè)系統(tǒng)的兩安融合[J].自動化博覽，2020，320（02）：22-23.

[5]韓毅平，徐偉杰，林鴻，等.電力企業(yè)IT與OT融合的業(yè)務需求和技術(shù)架構(gòu)分析研究[J].電氣應用，2019（S2）：5.