工業(yè)互聯(lián)網(wǎng)安全態(tài)勢(shì)及防護(hù)對(duì)策研究*

張君 朱晨鳴 魏珂悅

(浙江省電子信息產(chǎn)品檢驗(yàn)研究院,浙江杭州 310007)

0 引言

《中國(guó)制造2025》中明確提出要在未來一段時(shí)間內(nèi)大力發(fā)展信息技術(shù)產(chǎn)業(yè)中的操作系統(tǒng)與工業(yè)軟件,在安全領(lǐng)域操作系統(tǒng)等基礎(chǔ)軟件的研發(fā)中實(shí)現(xiàn)突破,創(chuàng)建完善的安全測(cè)評(píng)體系[1]。現(xiàn)階段來看,我國(guó)的工業(yè)互聯(lián)網(wǎng)安全態(tài)勢(shì)現(xiàn)狀不容樂觀。據(jù)國(guó)家信息安全漏洞共享平臺(tái)調(diào)查,截止到2020年上半年我國(guó)工控系統(tǒng)內(nèi)的行業(yè)漏洞數(shù)量已經(jīng)達(dá)到2743個(gè),處于高危等級(jí)的漏洞907個(gè),占比33.07%,施耐德電、羅克韋爾等廠商的產(chǎn)品中均發(fā)現(xiàn)有安全漏洞的存在[2]。上述調(diào)查說明我國(guó)在工業(yè)互聯(lián)網(wǎng)的建設(shè)進(jìn)程中,遭受到較大的安全風(fēng)險(xiǎn)威脅,對(duì)風(fēng)險(xiǎn)的感知比較遲鈍。處于這樣的背景之下,工業(yè)互聯(lián)網(wǎng)的發(fā)展勢(shì)必會(huì)遭受阻礙與困境,因此針對(duì)工業(yè)互聯(lián)網(wǎng)安全態(tài)勢(shì)及防護(hù)對(duì)策的有關(guān)情況加以分析勢(shì)在必行,通過對(duì)安全態(tài)勢(shì)相關(guān)問題的分析與探索后,能對(duì)當(dāng)前現(xiàn)狀作出客觀評(píng)價(jià),繼而也就為工業(yè)互聯(lián)網(wǎng)安全系數(shù)的提升尋找可行性路線。

1 工業(yè)互聯(lián)網(wǎng)內(nèi)涵

工業(yè)互聯(lián)網(wǎng)指的是在智能化需求的驅(qū)動(dòng)之下的關(guān)鍵網(wǎng)絡(luò)基礎(chǔ)設(shè)施,以延時(shí)性低、可靠性高、覆蓋性廣泛為基本特征,在前沿信息通信技術(shù)、先進(jìn)制造業(yè)有機(jī)融合之后所形成的新興業(yè)態(tài)[3]。工業(yè)互聯(lián)網(wǎng)對(duì)于傳統(tǒng)工業(yè)造成巨大沖擊,扭轉(zhuǎn)了傳統(tǒng)工作的生產(chǎn)理念與管理機(jī)制,在技術(shù)、業(yè)態(tài)、產(chǎn)業(yè)以及服務(wù)等多個(gè)層面均實(shí)現(xiàn)了巨大的技術(shù)突破與創(chuàng)新,順應(yīng)了數(shù)字經(jīng)濟(jì)的發(fā)展趨勢(shì),是國(guó)家現(xiàn)代工業(yè)化轉(zhuǎn)型的基石。工業(yè)互聯(lián)網(wǎng)由平臺(tái)、網(wǎng)絡(luò)以及安全三個(gè)體系所構(gòu)成,其中,網(wǎng)絡(luò)屬于基礎(chǔ)條件,利用互聯(lián)網(wǎng)將工業(yè)系統(tǒng)、產(chǎn)業(yè)鏈條以及價(jià)值鏈條相連接到一起;平臺(tái)占據(jù)核心位置,是實(shí)現(xiàn)工業(yè)智能的載體,肩負(fù)著數(shù)據(jù)儲(chǔ)存、建模、工作標(biāo)準(zhǔn)化與模塊化等方面的重任;安全起到保障作用,在安全技術(shù)、安全管理的支持下,識(shí)別威脅網(wǎng)絡(luò)與平臺(tái)安全的潛在風(fēng)險(xiǎn)因素[4]。工業(yè)互聯(lián)網(wǎng)網(wǎng)絡(luò)是基礎(chǔ),平臺(tái)是核心,安全是保障。安全體系在工業(yè)互聯(lián)網(wǎng)體系中占據(jù)著不可缺少的位置,如果缺乏安全體系所提供的保障,平臺(tái)將暴露于風(fēng)險(xiǎn)之中,工業(yè)互聯(lián)網(wǎng)也就無法繼續(xù)運(yùn)行。

2 工業(yè)互聯(lián)網(wǎng)安全態(tài)勢(shì)分析

2.1 物理環(huán)節(jié)的漏洞暴露明顯

工業(yè)互聯(lián)網(wǎng)安全暴露出的某些安全問題可能會(huì)阻礙整個(gè)工業(yè)互聯(lián)網(wǎng)的穩(wěn)定發(fā)展,威脅到工業(yè)行業(yè)企業(yè)內(nèi)的安全和利益,其中在物理環(huán)節(jié)內(nèi)的漏洞暴露問題尤為明顯。傳統(tǒng)的工業(yè)生產(chǎn)鏈條內(nèi)形成了具有閉環(huán)特點(diǎn)的生產(chǎn)網(wǎng)絡(luò),整個(gè)生產(chǎn)過程都是置于監(jiān)控、安保、門禁等防護(hù)措施之下,而工業(yè)互聯(lián)網(wǎng)的出現(xiàn)則徹底改變了以往的格局,創(chuàng)造了全新的生產(chǎn)鏈條,傳統(tǒng)的監(jiān)控設(shè)備、控制系統(tǒng)等物理環(huán)節(jié)紛紛接入互聯(lián)網(wǎng),進(jìn)入到互聯(lián)網(wǎng)的開放環(huán)境之中。處于這樣的情況下,物理環(huán)節(jié)中原本存在的安全硬件弱點(diǎn)、安全管理漏洞將毫無保留地公開在互聯(lián)網(wǎng)環(huán)境之中,物理環(huán)節(jié)下的安全防護(hù)無法持續(xù)發(fā)揮安全保障作用,但同時(shí)基于工業(yè)互聯(lián)網(wǎng)的全新安全管理體系卻沒有及時(shí)就位,因此對(duì)潛在風(fēng)險(xiǎn)不能及時(shí)察覺,感知風(fēng)險(xiǎn)的速度嚴(yán)重滯后。

2.2 設(shè)備后門安全隱患嚴(yán)重

工業(yè)互聯(lián)網(wǎng)安全態(tài)勢(shì)中的問題表現(xiàn)在,行業(yè)內(nèi)的設(shè)備后門安全隱患嚴(yán)重。受技術(shù)水平有限的客觀條件限制,當(dāng)前我國(guó)工業(yè)互聯(lián)網(wǎng)建設(shè)中的很多關(guān)鍵設(shè)備仍然要依賴于進(jìn)口,包括傳感器、MCU等,而這些來自于進(jìn)口廠商的設(shè)備可信賴性有待商榷,很多廠商以品質(zhì)維護(hù)或其他因素為理由,在產(chǎn)品中安裝后門,因此在使用過程中,這些設(shè)備后門便成為薄弱環(huán)節(jié)。根據(jù)國(guó)家信息安全漏洞共享平臺(tái)調(diào)查結(jié)果顯示,截止到2019年底,包括施耐德電、通用電氣、研華科技、羅克韋爾在內(nèi)的我國(guó)工業(yè)控制系統(tǒng)主要供應(yīng)商,均有產(chǎn)品信息安全漏洞的披露記錄,這表明工業(yè)互聯(lián)網(wǎng)所依賴的工業(yè)控制系統(tǒng)或其他設(shè)備,都不能排除信息泄露的安全風(fēng)險(xiǎn)。設(shè)備安全后門為不法分子提供了可乘之機(jī),成為不法分子偷竊機(jī)密數(shù)據(jù)的窗口,而對(duì)于設(shè)備使用者本身而言,無疑是一個(gè)高風(fēng)險(xiǎn),但是卻未能及時(shí)發(fā)現(xiàn)和感知風(fēng)險(xiǎn),對(duì)風(fēng)險(xiǎn)的預(yù)知和判斷不足。

2.3 工業(yè)信息安全技術(shù)水平偏低

現(xiàn)階段的工業(yè)信息安全技術(shù)防護(hù)水平普遍偏低。由于我國(guó)在工業(yè)互聯(lián)網(wǎng)方面的建設(shè)時(shí)間尚短,發(fā)展時(shí)間不長(zhǎng),因此在工業(yè)信息安全管理中所掌握的技術(shù)水平相對(duì)較低,安全管理的技術(shù)方法與手段不夠成熟。受發(fā)展時(shí)間不足的先天條件限制,當(dāng)前我國(guó)在工業(yè)互聯(lián)網(wǎng)安全管理方面的整體發(fā)展速度比較滯后,網(wǎng)絡(luò)及信息安全管理缺失是一個(gè)比較普遍的現(xiàn)象,具體表現(xiàn)在工業(yè)信息的安全管理方法比較傳統(tǒng)和保守,仍然沿用傳統(tǒng)的安全管理技術(shù)手段,沒有根據(jù)當(dāng)前的實(shí)際情況引入全新的安全技術(shù)體系,缺乏強(qiáng)勁的安全信息管理基礎(chǔ),對(duì)風(fēng)險(xiǎn)的感知和響應(yīng)速度遲緩。同時(shí),很大一部分工業(yè)企業(yè)尚且未能認(rèn)識(shí)到工業(yè)互聯(lián)網(wǎng)建設(shè)進(jìn)程中信息安全管理的必要性及其價(jià)值,沒有體現(xiàn)出對(duì)信息安全管理的足夠重視,工業(yè)信息安全技術(shù)的水平也無從提高。

2.4 高水平網(wǎng)絡(luò)安全人才缺口大

工業(yè)互聯(lián)網(wǎng)安全態(tài)勢(shì)的問題在于,到目前為止我國(guó)仍然沒有建立起一支高水平的工業(yè)互聯(lián)網(wǎng)安全專業(yè)人才隊(duì)伍,對(duì)于高精尖既懂工業(yè)又懂網(wǎng)絡(luò)安全的復(fù)合型工業(yè)互聯(lián)網(wǎng)安全人才的需求缺口較大。任何行業(yè)領(lǐng)域的發(fā)展都離不開人才的支撐,甚至可以說人才配備是否足夠,將會(huì)直接影響到一個(gè)行業(yè)的發(fā)展進(jìn)程,因此當(dāng)前工業(yè)互聯(lián)網(wǎng)安全態(tài)勢(shì)防護(hù)工作便陷入了人才極度欠缺的困境之中。工業(yè)互聯(lián)網(wǎng)在國(guó)內(nèi)的起步時(shí)間不久,現(xiàn)有人才很多是從互聯(lián)網(wǎng)技術(shù)、網(wǎng)絡(luò)安全、物聯(lián)網(wǎng)等相關(guān)行業(yè)轉(zhuǎn)型而來,但是真正以工業(yè)互聯(lián)網(wǎng)安全防護(hù)、安全管理等為專業(yè)的人才數(shù)量相對(duì)有限;高校在人才培養(yǎng)方面的速度比較滯后,因此便產(chǎn)生了工業(yè)互聯(lián)網(wǎng)安全防護(hù)領(lǐng)域內(nèi)人才缺口較大的現(xiàn)象,尤其工業(yè)互聯(lián)網(wǎng)安全防護(hù)對(duì)于高精尖人才的需求較高,在風(fēng)險(xiǎn)感知方面具備敏銳的洞察力、準(zhǔn)確的預(yù)判力,但這些人才處于更加緊缺的局面中。基于工業(yè)互聯(lián)網(wǎng)態(tài)勢(shì)的分析可以發(fā)現(xiàn),現(xiàn)階段對(duì)于潛在安全漏洞、安全風(fēng)險(xiǎn)與威脅的感知不及時(shí),甚至可以說是完全空缺的狀態(tài),無法做到在第一時(shí)間內(nèi)對(duì)風(fēng)險(xiǎn)進(jìn)行預(yù)警,這使得工業(yè)互聯(lián)網(wǎng)的安全得不到全面的保障,甚至?xí)墒芫薮蟮膿p失。

3 工業(yè)互聯(lián)網(wǎng)安全態(tài)勢(shì)防護(hù)對(duì)策

3.1 加快安全保障體系建設(shè)進(jìn)程

基于現(xiàn)階段我國(guó)工業(yè)互聯(lián)網(wǎng)安全態(tài)勢(shì)防護(hù)方面所產(chǎn)生的種種問題,加快對(duì)安全保障體系的建設(shè)進(jìn)程已然成為當(dāng)務(wù)之急。隨著工業(yè)互聯(lián)網(wǎng)建設(shè)的全面推進(jìn),工業(yè)企業(yè)必須要緊跟發(fā)展步伐,及時(shí)完成網(wǎng)絡(luò)態(tài)勢(shì)防護(hù)的轉(zhuǎn)型、升級(jí)工作,加快對(duì)安全態(tài)勢(shì)系統(tǒng)的建設(shè)過程,搭建全面的安全技術(shù)保障、技術(shù)支持以及信息安全防護(hù)機(jī)制。在此過程中必須要充分認(rèn)識(shí)到,處于互聯(lián)網(wǎng)開放環(huán)境之中遭受到惡意攻擊是無法徹底規(guī)避的,從企業(yè)的角度來看,只能積極迎接挑戰(zhàn),面對(duì)來自互聯(lián)網(wǎng)的惡意攻擊,要及時(shí)察覺和發(fā)現(xiàn),盡快做出相應(yīng)和有效的抵御,從而降低風(fēng)險(xiǎn)系數(shù)。此外,工業(yè)互聯(lián)網(wǎng)安全態(tài)勢(shì)防護(hù)需要對(duì)工業(yè)網(wǎng)絡(luò)入侵加以檢測(cè),在平臺(tái)內(nèi)設(shè)置工業(yè)互聯(lián)網(wǎng)入侵檢測(cè)模塊,結(jié)合數(shù)據(jù)采集與分析的基礎(chǔ)上,對(duì)可能產(chǎn)生安全威脅的入侵提出警告,并給出安全策略;隨后,對(duì)工業(yè)互聯(lián)網(wǎng)安全的重大漏洞僵木蠕展開安全態(tài)勢(shì)感知,經(jīng)過識(shí)別、追蹤溯源的過程,發(fā)現(xiàn)并定位命令控制服務(wù)器,對(duì)受控制主機(jī)進(jìn)行反查,以此達(dá)到感知僵木蠕安全態(tài)勢(shì)的目標(biāo)。例如,引入多元化的檢測(cè)模型,創(chuàng)建異常檢測(cè)體系;定期補(bǔ)充、升級(jí)防火墻;及時(shí)更新病毒查殺及異常入侵的檢測(cè)軟件等;建立緊急突發(fā)事件的相應(yīng)制度,在工業(yè)互聯(lián)網(wǎng)遭受非法入侵后及時(shí)啟動(dòng),盡可能將非法入侵所造成的破壞縮減到最低,減少損失。

3.2 構(gòu)建聯(lián)動(dòng)機(jī)制,實(shí)施整體防御

針對(duì)目前我國(guó)在工業(yè)互聯(lián)網(wǎng)安全態(tài)勢(shì)防護(hù)中所面臨的困境,應(yīng)當(dāng)構(gòu)建聯(lián)動(dòng)機(jī)制,實(shí)施整體防御。工業(yè)互聯(lián)網(wǎng)安全態(tài)勢(shì)防護(hù)工作需要多方的共同參與,包括政府主管部門、工業(yè)企業(yè)、工業(yè)互聯(lián)網(wǎng)供應(yīng)商、系統(tǒng)服務(wù)商、網(wǎng)絡(luò)安全服務(wù)商等均在此范圍之中,只有在多方的共同配合,才能夠?yàn)楣I(yè)互聯(lián)網(wǎng)安全態(tài)勢(shì)防護(hù)工作的有序開展奠定扎實(shí)基礎(chǔ)。因此,上述與工業(yè)互聯(lián)網(wǎng)相關(guān)的部門、單位應(yīng)當(dāng)建立起彼此相聯(lián)系的聯(lián)通機(jī)制,形成整體防御的完整鏈條,提高對(duì)安全態(tài)勢(shì)的相應(yīng)速度。同時(shí),創(chuàng)建工業(yè)互聯(lián)網(wǎng)之下的風(fēng)險(xiǎn)信息共享平臺(tái),專門面向工業(yè)互聯(lián)網(wǎng)安全態(tài)勢(shì)提供服務(wù),設(shè)置信息上傳、信息發(fā)布、信息共享等功能,為安全態(tài)勢(shì)的感知及安全風(fēng)險(xiǎn)的預(yù)測(cè)提供大數(shù)據(jù)支撐,將工業(yè)企業(yè)從信息孤島之中拯救出來。例如,基于運(yùn)營(yíng)商核心路由器的規(guī)則過濾,對(duì)工業(yè)專線流量加以選擇,以鏡像方式將流量與工業(yè)互聯(lián)網(wǎng)探針相連接,利用工業(yè)互聯(lián)網(wǎng)探針為工業(yè)協(xié)議的解析和設(shè)備指紋的提取提供支持等,同時(shí)生成全息日志,從而對(duì)實(shí)現(xiàn)全程的監(jiān)測(cè)。

3.3 提升安全防護(hù)的技術(shù)能力

為解決現(xiàn)存問題,在工業(yè)互聯(lián)網(wǎng)安全態(tài)勢(shì)防護(hù)中,應(yīng)當(dāng)要提高安全防護(hù)方法與技術(shù)手段實(shí)踐應(yīng)用的水平與成熟度。工業(yè)互聯(lián)網(wǎng)從互聯(lián)網(wǎng)之中衍生而來,因此,盡管兩者對(duì)于安全防護(hù)的需求并不完全一致,但必然也存在一些共通之處,這代表著工業(yè)互聯(lián)網(wǎng)在探索自身安全防護(hù)技術(shù)方法時(shí),可以適當(dāng)?shù)慕梃b引用互聯(lián)網(wǎng)的成功經(jīng)驗(yàn),學(xué)習(xí)互聯(lián)網(wǎng)在安全防護(hù)領(lǐng)域內(nèi)的成功案例,為工業(yè)互聯(lián)網(wǎng)安全方法技術(shù)與方法的提高尋找可能的路徑。例如,通過網(wǎng)絡(luò)審計(jì)技術(shù)的提升,及時(shí)發(fā)現(xiàn)異常流量的潛在威脅,第一時(shí)間展開對(duì)病毒等惡意軟件的感知與防護(hù);對(duì)于網(wǎng)絡(luò)邊界模糊的問題,采取終端違規(guī)接入的控制措施;加快在模型入侵檢測(cè)技術(shù)、ICS場(chǎng)景指紋異常檢測(cè)技術(shù)、模型入侵檢測(cè)技術(shù)等方面的技術(shù)研發(fā)力度。基于安全防護(hù)方法和技術(shù)水平的提升,工業(yè)互聯(lián)網(wǎng)安全態(tài)勢(shì)防護(hù)工作的整體實(shí)力才有可能加強(qiáng)并不斷進(jìn)步。例如,工業(yè)控制系統(tǒng)漏洞掃描的完善中,主要是負(fù)責(zé)系統(tǒng)漏洞的掃描以及配置的檢查,如FTP服務(wù)、TELNET服務(wù)、郵件服務(wù)等均在此范疇之內(nèi),對(duì)Oracle、MSsql、Mysql主流數(shù)據(jù)庫(kù)也可實(shí)現(xiàn)漏洞掃描,通過掃描的過程及時(shí)發(fā)現(xiàn)并排查風(fēng)險(xiǎn)。

3.4 培養(yǎng)復(fù)合型的工業(yè)互聯(lián)網(wǎng)網(wǎng)絡(luò)安全人才

針對(duì)現(xiàn)存問題,工業(yè)互聯(lián)網(wǎng)安全態(tài)勢(shì)防護(hù)工作中,應(yīng)當(dāng)要把培養(yǎng)高水平的網(wǎng)絡(luò)安全人才提上日程,盡快建立專業(yè)化網(wǎng)絡(luò)安全人才隊(duì)伍,為網(wǎng)絡(luò)安全防護(hù)提供強(qiáng)有力的保障。高校肩負(fù)著向社會(huì)輸送人才的重?fù)?dān),當(dāng)社會(huì)對(duì)人才的需求產(chǎn)生變化后,高校便需要做出預(yù)判,結(jié)合各個(gè)行業(yè)內(nèi)未來一段時(shí)間內(nèi)對(duì)人才技能的需求情況,來對(duì)教學(xué)活動(dòng)做出適當(dāng)?shù)恼{(diào)整,為社會(huì)培養(yǎng)更多有潛力的優(yōu)秀人才。因此,處于當(dāng)前工業(yè)互聯(lián)網(wǎng)安全防護(hù)人才緊缺的局面中,高校也必須要加快人才培養(yǎng)步伐,根據(jù)現(xiàn)階段我國(guó)的工業(yè)互聯(lián)網(wǎng)安全態(tài)勢(shì)現(xiàn)狀,培養(yǎng)大量的網(wǎng)絡(luò)安全人才,滿足行業(yè)內(nèi)對(duì)人才的需求,填滿人才缺口。同時(shí),從人才成長(zhǎng)速度及實(shí)踐能力的需求考慮,引入產(chǎn)教融合與校企聯(lián)合的培養(yǎng)機(jī)制,為學(xué)生提供更多參與實(shí)踐鍛煉的機(jī)會(huì),讓學(xué)生進(jìn)入工作崗位后,能盡快適應(yīng)工作環(huán)境,快速成長(zhǎng)。

4 結(jié)語(yǔ)

綜上所述,在現(xiàn)代化、智能化、信息化工業(yè)轉(zhuǎn)型的進(jìn)程中,安全問題始終不容忽視,同樣這也是工業(yè)互聯(lián)網(wǎng)進(jìn)程中所不能繞開的話題。在工業(yè)互聯(lián)網(wǎng)安全態(tài)勢(shì)防護(hù)中,應(yīng)當(dāng)要加快安全保障體系建設(shè)進(jìn)程,提高安全防護(hù)方法的技術(shù)水平,搭建聯(lián)動(dòng)機(jī)制,實(shí)施整體防御,加快培養(yǎng)復(fù)合型的工業(yè)互聯(lián)網(wǎng)網(wǎng)絡(luò)安全人才隊(duì)伍。希望能夠?yàn)槲覈?guó)工業(yè)互聯(lián)網(wǎng)的安全體系創(chuàng)建和完善搭建橋梁,及時(shí)察覺、判斷和感知風(fēng)險(xiǎn),利用現(xiàn)代化的風(fēng)險(xiǎn)預(yù)警技術(shù),為工業(yè)互聯(lián)網(wǎng)的平臺(tái)與網(wǎng)絡(luò)提供保證與支持。