工業(yè)互聯(lián)網(wǎng)安全建設的探討

宋振鵬

摘要：伴隨著新一代信息技術(shù)與工業(yè)領(lǐng)域加速滲透融合，工業(yè)企業(yè)經(jīng)歷了從單臺制造、機電一體化、產(chǎn)供銷信息化、MES、ERP等數(shù)字化的多個關(guān)鍵階段，部分企業(yè)工業(yè)轉(zhuǎn)型征途已進入智能化時代。近幾年，物聯(lián)網(wǎng)、5G技術(shù)飛速發(fā)展，推動按需制造、社會化協(xié)作為目標的工業(yè)互聯(lián)網(wǎng)成為行業(yè)方向和焦點。

關(guān)鍵詞：工業(yè)互聯(lián)網(wǎng);安全;建設

引言

隨著新一代信息技術(shù)、工業(yè)系統(tǒng)和互聯(lián)網(wǎng)的一體化發(fā)展，生產(chǎn)模式、生產(chǎn)要素發(fā)生重大變革，推動著智能化制造、平臺化設計和數(shù)字化管理等新模式涌現(xiàn)，催生出了信息化和工業(yè)化融合的工業(yè)新業(yè)態(tài)。在工業(yè)互聯(lián)網(wǎng)時代，IT和OT融合不斷加深，形成了相互開放的工業(yè)設施環(huán)境和互聯(lián)網(wǎng)設施環(huán)境，互聯(lián)網(wǎng)安全風險與工業(yè)安全風險相互滲透，工業(yè)互聯(lián)網(wǎng)安全面臨著眾多挑戰(zhàn)。工業(yè)互聯(lián)網(wǎng)安全風險形式復雜，如果未能及時做好防范和應對，將會給制造、裝備、能源等傳統(tǒng)工業(yè)領(lǐng)域帶來嚴重沖擊，乃至影響國民經(jīng)濟。

1工業(yè)互聯(lián)網(wǎng)安全建設價值

工業(yè)互聯(lián)網(wǎng)應用新一代信息通信技術(shù)，建設連接工業(yè)全要素全產(chǎn)業(yè)鏈的網(wǎng)絡，實現(xiàn)海量工業(yè)數(shù)據(jù)的實時采集、廣泛流轉(zhuǎn)和精準分析，支撐業(yè)務科學決策，高效配置制造資源，推動上下游產(chǎn)業(yè)聯(lián)動。工業(yè)互聯(lián)網(wǎng)平臺提供數(shù)據(jù)存儲、管理、呈現(xiàn)、分析、建模及應用開發(fā)環(huán)境，匯聚生產(chǎn)制造企業(yè)、產(chǎn)業(yè)鏈上下游以及第三方設計開發(fā)單位。工業(yè)互聯(lián)網(wǎng)的健康發(fā)展，對我國制造業(yè)數(shù)字化轉(zhuǎn)型升級，提升國際競爭力極具戰(zhàn)略意義，將極大賦能產(chǎn)業(yè)融合和經(jīng)濟結(jié)構(gòu)優(yōu)化，提升資源配置效率，助推我國從制造業(yè)大國向制造業(yè)強國邁進。工業(yè)互聯(lián)網(wǎng)網(wǎng)絡基礎、平臺中樞、數(shù)據(jù)要素的安全保障要求更高，是需要更加體系化、系統(tǒng)化、全局化推進的復雜系統(tǒng)工程。工業(yè)互聯(lián)網(wǎng)平臺為數(shù)據(jù)提供自由流轉(zhuǎn)支撐，是鏈接工業(yè)全要素、全產(chǎn)業(yè)鏈的樞紐，是推動制造資源高效配置的核心。

2工業(yè)互聯(lián)網(wǎng)信息安全所面臨的挑戰(zhàn)

2.1風險蔓延快

在工業(yè)互聯(lián)網(wǎng)中，產(chǎn)品全生命周期和產(chǎn)業(yè)鏈的各個環(huán)節(jié)都是緊密相連，一環(huán)扣一環(huán)的。并且其中的數(shù)據(jù)信息也都是基于互聯(lián)網(wǎng)下的互聯(lián)互通，信息高度滲透融合。因此一旦產(chǎn)品全生命周期和產(chǎn)業(yè)鏈中某一個環(huán)節(jié)被攻破或某個設備攜帶了病毒，會導致風險迅速蔓延至整個工廠，甚至產(chǎn)業(yè)鏈，造成工業(yè)互聯(lián)網(wǎng)處于易受攻擊的高風險狀態(tài)。同時設備/系統(tǒng)間的互聯(lián)使大量生產(chǎn)裝備和產(chǎn)品直接暴露在網(wǎng)絡攻擊之下，這給互聯(lián)網(wǎng)黑客提供了更多可以攻擊的機會。

2.2網(wǎng)絡安全

網(wǎng)絡安全指工廠內(nèi)部和外部網(wǎng)絡以及標識網(wǎng)絡的安全，包括工廠網(wǎng)絡的通信主體、通信路徑和傳輸介質(zhì)，以及標識身份、標識數(shù)據(jù)和標識行為的安全。一方面，工廠網(wǎng)絡容易被基于TCP/IP協(xié)議的手段攻擊，傳統(tǒng)靜態(tài)防護機制無法靈活、動態(tài)地保護組網(wǎng)后的復雜網(wǎng)絡結(jié)構(gòu)。同時，標識解析系統(tǒng)在標識注冊、標識解析等過程中存在著身份失信、非法操作和信息泄露的風險。對于網(wǎng)絡安全風險，考慮簡化網(wǎng)絡結(jié)構(gòu)、通信協(xié)議加密和網(wǎng)絡設備認證等方案。在標識解析系統(tǒng)方面，可以引入標識身份認證，以保證標識身份的真實性;通過標識數(shù)據(jù)加密來防止數(shù)據(jù)傳輸時暴露;借助標識行為授權(quán)機制防范異常的解析行為或篡改行為。

2.3控制安全問題

工業(yè)企業(yè)有2種途徑來實現(xiàn)統(tǒng)一生產(chǎn)設備控制，以提高工業(yè)生產(chǎn)效率。一是通過私有云平臺。二是通過第三方提供輔助系統(tǒng)。并且，智能制造、智能生產(chǎn)、智能工廠和智能電網(wǎng)等場景應用的廣泛使用，也體現(xiàn)了控制功能在工業(yè)互聯(lián)網(wǎng)中的重要程度。但統(tǒng)一控制生產(chǎn)設備的同時也會帶來很多信息安全風險。例如操作不當導致的信息泄露和丟失。

3工業(yè)互聯(lián)網(wǎng)安全建設思路

3.1終端設備的管理

對于工業(yè)互聯(lián)網(wǎng)終端設備的管理，?被授權(quán)的管理員使用自己的數(shù)字證書進行身份驗證，?然后管理員可以修改對被授權(quán)的特定設備或設備組在區(qū)塊鏈網(wǎng)絡中的設備配置文件，?最后管理員使用自己的數(shù)字證書對修改的配置文件進行簽名，?以便標識和安全審計.?修改后的配置文件經(jīng)過語法驗證來驗證新配置文件的正確性，?以此盡量減少因為人為因素導致終端設備宕機故障的發(fā)生.?通過語義驗證后，?新的設備配置文件信息經(jīng)過加密會被分發(fā)到區(qū)塊鏈網(wǎng)絡中各個peer節(jié)點，并通知所有被管理的終端設備，?終端設備檢查新的配置文件更改是否影響其配置，?對產(chǎn)生影響的設備，?通過設備自身私鑰下載區(qū)塊鏈網(wǎng)絡中新的設備配置文件進行更新，?并應用修改后的配置文件.

3.2嚴格控制上網(wǎng)行為

對上網(wǎng)行為進行嚴格控制可以有效降低網(wǎng)絡危害，保證信息資源安全。具體來說需要對網(wǎng)絡訪問權(quán)限進行明確和限制，對信息資源進行分級，不同等級職工賦予不同的訪問權(quán)限，越重要的信息資源訪問權(quán)限相對較高，訪問人數(shù)相對較少;訪問信息資源庫時，除用戶名和密碼外，還需要在電腦中插入物理密鑰，從而有效提升信息資源的網(wǎng)絡安全性。對網(wǎng)絡資源訪問信息，如訪問人、時間、內(nèi)容、權(quán)限等進行記錄并不容如何人修改，設置網(wǎng)絡服務器緊急關(guān)閉保護措施，做到全流程留痕，避免非法人員的惡意訪問。

3.3訪問控制

在工業(yè)互聯(lián)網(wǎng)平臺中，應對共享資源擬定訪問控制機制，可采用URL訪問控制策略和ABE技術(shù)等。應依據(jù)強制訪問控制策略為各個應用分配不同的安全等級，根據(jù)不同的等級制定不同層次的安全控制機制，防止越權(quán)訪問。通過防火墻把外網(wǎng)與工業(yè)應用系統(tǒng)服務器隔離開來，只開放工業(yè)應用需要的幾個業(yè)務端口，任何客戶端在請求工業(yè)應用服務之前必須出示登錄用戶的授權(quán)憑據(jù)給服務器模塊，授權(quán)憑據(jù)通過PKI來管理。在平臺中部署訪問控制信息完整性保護系統(tǒng)，搜集平臺網(wǎng)絡邊界的訪問控制信息，調(diào)用服務器密碼機使用SM3算法對訪問控制信息進行完整性計算，并將計算的值導入完整性保護系統(tǒng)，實現(xiàn)對邊界訪問控制信息的完整性保護。

3.4數(shù)據(jù)安全管理

數(shù)據(jù)安全指研發(fā)設計、工業(yè)生產(chǎn)、營銷銷售、物流發(fā)貨等各環(huán)節(jié)數(shù)據(jù)的安全。工業(yè)互聯(lián)網(wǎng)環(huán)境下的工業(yè)數(shù)據(jù)展現(xiàn)出容量大、來源廣和格式不統(tǒng)一的特征，并在工廠內(nèi)外以及工業(yè)領(lǐng)域和互聯(lián)網(wǎng)領(lǐng)域間雙向傳遞和流通。加之工業(yè)領(lǐng)域流程繁雜，業(yè)務壁壘多，不同信息化系統(tǒng)之間的數(shù)據(jù)難以兼容，且數(shù)據(jù)的流動方向不易追蹤，導致數(shù)據(jù)保護困難，存在被泄露、截獲和篡改的風險。對于數(shù)據(jù)安全風險，在數(shù)據(jù)采集時進行識別、解析和清洗，在數(shù)據(jù)存儲時判別數(shù)據(jù)敏感等級并實施一定程度的加密，在數(shù)據(jù)傳輸時對數(shù)據(jù)進行簽名和驗證，實現(xiàn)對數(shù)據(jù)流向的動態(tài)管控，保障數(shù)據(jù)全生命周期安全。

3.5認證服務

為了實現(xiàn)工業(yè)互聯(lián)網(wǎng)平臺的真實性，在平臺中可部署智能密碼鑰匙、動態(tài)令牌卡等密碼產(chǎn)品，并配置用戶在遠程登錄設備時使用國產(chǎn)密碼算法作為傳輸協(xié)議。結(jié)合用戶口令、生物特征等技術(shù)對用戶遠程登錄進行身份鑒別，防止非法訪問和中間人攻擊。用戶可通過https登錄工業(yè)互聯(lián)網(wǎng)平臺管理虛擬資源，用戶與工業(yè)互聯(lián)網(wǎng)平臺基于證書進行雙向的身份鑒別。應對用戶設置鎖定機制，當用戶連續(xù)嘗試認證失敗次數(shù)累計達到上限時，則鎖定其帳號。

結(jié)束語

在未來的工作中，?我們將繼續(xù)通過區(qū)塊鏈技術(shù)進行訪問控制管理的研究來集成邏輯和物理的訪問控制，并采用可靠的方法分析安全方面的問題以及使用新技術(shù)來消除可能會被利用的漏洞。

參考文獻

[1]鄧聰.工業(yè)互聯(lián)網(wǎng)發(fā)展步入快車道[N].人民郵電，2019-12-22（001）.

[2].統(tǒng)籌發(fā)展監(jiān)管安全促進通信業(yè)高質(zhì)量發(fā)展[N].人民郵電，2019-12-22（010）.

[3].著力構(gòu)建高速安全的信息網(wǎng)絡體系[N].人民郵電，2019-12-22（014）.

[4].我國工業(yè)互聯(lián)網(wǎng)亟需突破十大關(guān)鍵核心技術(shù)[J].現(xiàn)代制造技術(shù)與裝備，2019（12）：3.

[5]王晟，趙建福，喬辰龍.從傳統(tǒng)企業(yè)網(wǎng)到工業(yè)互聯(lián)網(wǎng)的安全防護研究[J].電信工程技術(shù)與標準化，2019，32（12）：65-69.