態勢感知平臺在智能制造領域的解決方案研究

閆懷超，徐 超

(上海工業自動化儀表研究院有限公司，上海 200233)

0 引言

中國智能制造處于初級的發展階段，特別是在智能化方面，相比在20世紀70年代就已經發力智能制造的西方發達國家，中國智能制造發展起步已經晚了幾十年[1]。智能制造發展經歷了機械代替人工，到人力輔助的半自動化，再到初步智能化。隨著信息技術和自動化技術的高速發展，未來會由初步智能化向個性化、定制化的智能制造方向發展。在我國“互聯網+”、“中國制造2025”戰略部署和“兩化深度融合”的大趨勢下，發展智能制造產業已是必然的趨勢。但是，智能制造系統在開發設計、部署實施及運行維護階段對安全尤其是信息安全考慮甚少。在系統運行過程中，控制系統運行失效、系統宕機、信息泄露、感染蠕蟲病毒等安全事件時有發生。智能制造企業在安全防護方面大多面臨著以下問題。第一，檢測能力不足。對于安全威脅無法做到及時發現，也會出現誤報甚至可能帶來重大損失。第二，響應能力不足。對于大型企業來說，網絡邊界的不斷擴大與安全人員的缺乏一直成反比例關系，應急響應能力也是差強人意。第三，應用安全不足。 智能控制系統復雜，如果不及時更新，應用的漏洞得不到及時修補，留下了極大的安全隱患。保障智能制造系統安全運行，減少系統在計劃以外的停機時間，建立更穩定、更高效、更安全的工業體系，已成為當下研究的重要議題。

本文以國內某電氣設備公司建立的智能工廠為例，基于智能工廠已采取的信息安全防護工作的現狀，采用態勢感知技術，構建了企業級的態勢感知平臺。該平臺對現有的信息安全防護體系進行了優化，加強了智能工廠在安全預警、漏洞檢測、應急響應等方面的能力，保障了業務的連續性。

1 態勢感知平臺簡介

“態勢感知”作為近年來的新興詞匯，逐漸展露出其技術的優勢。態勢感知是以信息安全系統收集到的海量數據為基礎，從整體的角度提升業務系統對安全威脅的發現與識別、理解與分析、響應與處置等能力的一種方式。對于智能制造企業而言，建設企業級安全態勢感知平臺非常重要[2]。平臺的建立可以解決企業內典型網絡安全設備的安全日志等信息的實時集中匯集、綜合分析、態勢感知、實時異常報警、人員安全培訓等問題，可有效提升智能制造行業網絡安全監測和態勢感知能力，實現網絡安全事件和風險的監測、分析、審計、追蹤溯源和風險可視化；增強工控網絡安全情報共享和預警通報能力，實現跨部門之間信息共享和預警通報的通道，做到信息共享和預警通報及時、客觀、準確、完整，切實提升智能制造企業網絡安全的應急指揮和處置能力。

企業級態勢感知平臺是一款面向汽車電子、智能制造、石油石化、能源等行業等客戶，專注于系統風險的分析、發現、評估、可視化的平臺。企業級態勢感知平臺功能如圖1所示。平臺專注于從網絡入侵預警、流量檢測、設備漏洞、高危行為、安全策略優化五大部分進行安全態勢感知，能夠覆蓋各種安全運營場景。

圖1 企業級態勢感知平臺功能示意圖Fig.1 Enterprise-level security situational awareness platform capabilities

企業級態勢感知平臺邏輯架構如圖2所示。

圖2 企業級態勢感知平臺邏輯架構圖Fig.2 Enterprise-level security situational awareness platform logical architecture

平臺采用數據采集、數據存儲、大數據分析和應用服務四層邏輯架構設計[3]，以自動化平臺運維系統和安全技術服務體系為保障。

①數據采集層。

為實現監測平臺的價值，首先需要對安全相關數據做到全網采集，形成統一的數據池，為應用系統開發提供基礎支撐。采集數據包括安全設備數據、資產數據、安全事件等信息。

②數據存儲層。

數據存儲層為整個系統提供了底層的數據存儲服務，工業信息安全集中化監測平臺需要采集存儲分析海量數據。因此，為了支持本地海量數據的存儲與快速查詢，數據中心采用Logstash & ElasticSearch(NoSql)的智能檢索引擎，支持大量的數據搜索請求和數據存儲等需求，從而獲得更高的查詢性能。

③大數據分析層。

大數據分析層為上層應用系統提供數據加工、統計、計算等相關能力[4]。該層根據數據處理方式的不同，又分為實時計算與離線計算兩部分模塊。其中，實時計算主要用于處理大量告警以實現對高價值告警信息的篩選和過濾。同時，該層可以針對這類告警輸出實時的統計分析結論，進行告警歸并處理；并在上層提供多種查詢、分析及計算引擎以支撐不同的應用子系統，為上層應用系統提供數據支撐。

④應用服務層。

根據平臺建設目標和實際業務需求，應用服務層提供包括工業安全監測、態勢感知呈現、資產管理、預警通報處理、資產分析管理、情報信息管理、應急資源管理、應急協調調度等業務應用模塊[5]。

⑤安全技術服務保障體系。

工控安全綜合管理平臺綜合了本地和云端的安全服務專業技術人員，需要根據實際需求對相關服務內容進行選擇，各崗位之間緊密配合。

企業級態勢感知平臺可以收集各種安全數據，利用大數據技術結合威脅情報進行集中處理、關聯分析，再利用可視化技術，將各種安全事件進行可視化呈現，為安全運營提供可靠的信息數據支撐[6]。平臺專注于從網絡入侵、流量檢測、設備漏洞、高危行為、安全策略優化五大部分進行安全態勢感知，能夠覆蓋各種安全運營場景。

2 項目簡介及問題分析

2.1 項目背景

北京某電氣設備公司(以下簡稱“公司”)的智能工廠骨干網是工廠的核心網絡系統。加固后的網絡架構如圖3所示。

圖3 加固后的網絡架構圖Fig.3 Reinforced network architecture diagram

核心網絡系統的基本業務包括：Internet接入及基本的DNS、Mail等基本網絡服務；對TC卷、TCweb、MES、EP、文件、SVN服務等其他業務系統的互聯、承載和傳輸。

根據業務類型，可以把該核心網絡的功能分為以下三個部分。

①互聯網接入服務：通過電信專線接入方式，向移動接入用戶提供訪問互聯網接入服務，向內部員工提供Internet接入服務，并為集團用戶提供VPN接入服務[7]。另外，為了配合接入業務的需要，網絡還提供了DNS、Mail等基本服務。

②業務承載服務：提供內部業務系統之間的互聯互通。目前，核心網絡上承載的業務系統主要包括：TeamCenter、ERP、MES、WMS、OA、CRM、SVN、IP-GUARD、FTP、FAB等系統不同網元的互聯互通[8]。

③網絡互聯：該層網絡作為集團網絡的一部分，提供了與集團下游公司、其他系統的互聯。

通過對公司信息安全基本現狀放進行科學、全面的調研分析，準確了解了各單位各信息系統的功能作用、系統架構以及在安全方面存在的隱患和弱點[9]；按照“分區分域、邊界防護”的原則，最終完成了頂層信息安全設計和基礎安全加固工作。現有網絡架構主要實現以下功能。

①按照不同區域，劃分VLAN，實現辦公網和服務器區之間的邏輯隔離。

②在外網和辦公網之間增設邊界防護，包括防火墻、上網行為管理。

③移動用戶如需接入公司WiFi熱點，需要先通過身份認證后，才可連入。

2.2 問題分析

雖然公司對信息安全基本現狀進行了科學、全面的調研分析，并針對安全方面存在的隱患和弱點作了相應的信息安全加固，但經過對資產、脆弱性和威脅進行識別，重新進行信息安全風險評估，發現公司智能制造系統仍存在以下問題。

①應用系統對安全控制措施的要求不明確。

②業務連續性層面的制度不完備。

③部分服務器有管理員密碼一致的情況。

④缺乏手段對監控人員進行行為審計。

⑤對日志中的異常行為的跟蹤和分析不完善。

⑥缺乏對應急預案的定期演練和測試。

⑦IPS等網關型設備缺乏有效的配置、管理和維護，導致鏈路中斷。

⑧服務器和終端都直接連接核心H3C交換機上，存在比較大的安全風險。

⑨在內部核心系統，沒有網絡入侵監控措施，對內外網非法用戶的入侵行為以及蠕蟲感染活動不能及時檢測和控制。

此外，各集團系統各子系統的安全控制與措施大多獨立考慮，部分系統甚至缺少基本的安全策略。安全主線和安全規劃只解決了局部問題，而未能從整體解決安全問題，從而降低了整體的安全效率，造成多個信息安全孤島的出現。

由以上總結可看出，目前公司的安全技術架構、安全技術手段的使用效率、管理和運維體系的完備性和執行程度上都還有很大的改進、提升、完善空間。

3 解決方案設計

根據公司風險評估發現的問題，提出以態勢感知系統為核心，安全策略、管理體系、技術體系和運維體系共同支撐公司信息安全保障體系框架。

在安全策略方面，應用態勢感知平臺的監測信息庫、現場環境庫與威脅情報庫的信息資源，結合自身的安全環境，制訂完善的信息安全策略體系文件，解決公司應用系統對安全控制措施、安全主線和安全規劃不足的問題。

在管理體系方面，將“安全策略方面”提出的目標和原則形成具體的、可操作的信息安全管理制度，組建信息安全組織機構；結合態勢感知平臺在應用服務層中部署的態勢感知呈現、資產管理的功能，加強對人員安全的管理，提高全行業的信息安全意識和人員的安全防護能力，解決運維人員操作不規范、信息安全意識不足的問題。

態勢感知平臺解決方案如圖4所示。態勢感知平臺將在互聯網接入服務、業務承載服務以及網絡互聯等關鍵節點處部署采集服務器，對核心交換設備、服務器進行數據采集并上傳至數據處理庫。經過數據的預處理、數據格式化、數據過濾、數據歸并操作，進入大數據分析層，經過大數據的分析，最終通過態勢感知呈現功能，展示給用戶。用戶基于本平臺，可高效地實現資產安全狀況的統一管理和安全風險的智能分析，使工業企業的利益受損風險降低，從而有效解決公司因缺乏相關信息安全預警與防護設備帶來的風險和問題。

在運維體系方面，制訂和完善各種流程規范，制訂階段性工作計劃，結合態勢感知平臺應用服務層的檢測評估、預警通報處理、應急協調調度、應急資源管理等功能，開展信息安全風險評估，規范產品與服務采購流程；同時，堅持做好日常維護管理、應急計劃和事件響應等方面的工作，以保證安全管理措施和安全技術措施的有效執行。

公司建成的態勢感知平臺包含了以下三方面：第一，態勢感知平臺安全設備運維模塊，實現對所屬工控安全設備的統一集中管理，提升運維人員工作效率，降低出錯風險；第二，態勢感知平臺智能分析模塊，實現對企業或行業的工業信息安全整體安全感知；第三，態勢感知平臺可視化監管模塊，實現了安全風險從發現到預警到處置的流程閉環，通過貼近用戶場景的顯示屏，能夠全方位地了解當前網絡的資產分布和威脅態勢[9-10]。

圖4 態勢感知平臺解決方案Fig.4 Situational awareness platform solution

4 結論

企業級態勢感知平臺采用安全可控的技術，對生產系統、設備、平臺的安全狀況、風險隱患及企業安全管理運行情況等信息進行實時監測與安全趨勢預測，實現對網絡安全監測信息的分類匯聚、精準研判。平臺能有效幫助公司提高對自己業務系統的安全監測能力，切實保障智能制造過程的連續性和可靠性。對于中小企業來說，網絡安全需求主要還是運行可靠性和對降本增效、節能環保方面帶來的影響。企業級態勢感知平臺讓企業在少投入，甚至不投入的情況下，就可以對自身業務系統有一定安全風險認識。在發生工業信息安全問題或事件時，該平臺能對企業進行及時和正確的安全引導，從而避免因為信息安全而導致的生產、運營事故的發生，降低對企業自身的經濟損失和社會影響，確保企業的品牌和聲譽。未來可通過開展智能制造網絡安全試點示范，不斷提煉和總結有效的經驗和模式，形成行業的最佳實踐經驗，保障智能制造的安全發展。