基于云計算的工業互聯網平臺安全體系設計*

林南南，曹紫薇，劉志鋼

(上海工程技術大學 城市軌道交通學院，上海201600)

0 引言

5G、AI等先進科技已逐步應用于各類工業制造，前沿技術的加入即使能幫助企業有效提升產量，但也帶給企業一定的數據安全危險。由于企業內部信息系統與其外部互聯網的聯通，工業互聯網一旦遭到攻擊并出現安全問題，會極大威脅到企業的整體安全和效益。

隨著工業互聯網邊界不斷擴大，世界各國對于工業互聯網安全方面的問題關注度越來越高。周昊和BORANGIU T等總結了該方面的發展趨勢和關鍵技術，并給出策略與措施[1-2]；李陽春等分析國內外發展現狀與面臨的安全風險[3]；GURJANOV A等說明了新一代信息技術在工業互聯網平臺安全方面的發展前景可觀[4]；王秋華和石永杰等人指出要加快互聯網平臺的安全保障體系建設，就必須不斷加強互聯網平臺中的數據安全的保護能力[5-6]。在企業工業設備這方面也有了一定的研究，馬娟和李客等提出應注重保障工業設備的安全性能[7-8]，TOPP M等也給出了一定的方法解決[9]；祝雅杰和張賢根等積極開展新技術在設備安全上的應用[10-11]，SALHAOUI M和易芳等將其應用在某應用領域[12-13]。石永杰等人從威脅方面進行技術研究，建立了防御系統并予以實踐[14]。劉金龍等人則是以Snort為其研究基礎，設計出檢測系統能夠實現從大量信息中發現攻擊與入侵數據流之間的隱藏關系[15]。王曄等人則是結合建設信號系統的網絡安全環節所需和行業標準要求，從而提出網絡安全防護方面的新想法[16]。然而，工業互聯網還在面臨著各類安全問題，雖然部分企業采用了云服務解決問題，但是不同云服務模式下遇到的各種問題仍待解決。

當下，傳統安全防護技術不再能更好地適應云環境的變化。云計算邊界的不清晰，云平臺內部“東西向”危險逐步成為目前的安全問題，與此同時，因為傳統安全設備更注重的是“南北向”方面的防護，未能保障云計算環境內部的安全。此外，目前還存在在不同云服務模式下，該怎樣通過科學方法來滿足差異化的安全需求等一些問題。

針對這一問題，本文提出基于云計算的工業互聯網平臺安全運營體系，旨在為工業互聯網平臺提供安全可靠的保障以及全棧的安全能力。

1 建設背景及功能需求

1.1 政策驅動

2017年，國務院發布了《關于深化“互聯網+先進制造業”發展工業互聯網的指導意見》，提出要加強安全防護能力，重點突破工業互聯網平臺安全等產品研發，構建與工業互聯網的發展相適應的保障能力。

2018年，工信部印發了《工業互聯網發展行動計劃(2018-2020年)》，提出到2020年底中國將實現“初步建成工業互聯網基礎設施和產業體系”的發展目標。

2021年1月，工信部再次印發《工業互聯網創新發展行動計劃(2021-2023年)》，提出到2023年，我國工業互聯網新型基礎設施建設量質齊進，新模式、新業態將大范圍推廣；新型基礎設施進一步完善、安全保障能力進一步增強。

1.2 發展態勢

AI、區塊鏈、5G、大數據等新技術發展導致新應用場景不斷涌現，新型安全威脅層見疊出，給安全保障帶來極大的挑戰，安全體系必須要快速發展和變化才能有效應對：

(1)融合安全技術成為OT與IT融合趨勢下的必然選擇；

(2)云平臺成為工業互聯網安全防護的重要環節；

(3)內生安全防御和補償式安全防御將長期并存；

(4)工業互聯網安全態勢監測與感知將成為重要技術手段；

(5)工業互聯網安全防護自動化與智能化將不斷發展。

總體趨勢：現有的安全防御技術開始不能更好地抗衡新的威脅，防護理念會從被動防護轉變到體系化和主動防御。

1.3 安全能力需求

平臺主要安全功能需求如圖1所示。

圖1 平臺安全能力需求

具體而言，可以概括為五個方面：

(1)網絡安全：DDoS高防IP、抗DDoS、云防火墻；

(2)主機安全：入侵檢測、漏洞管理、基線檢查；

(3)應用安全：應用漏洞掃描、WAF；

(4)數據安全：數據加密、數據脫敏、數據庫安全、數據庫審計；

(5)安全管理：風險預警、證書管理、堡壘機。

另外，云平臺自身安全也需要加強，主要包括：

(1)訪問控制：應實現不同云服務客戶虛擬網絡之間的隔離；應在虛擬化網絡邊界部署訪問控制機制，并設置訪問控制規則；當遠程管理云計算平臺中設備時，管理終端和云計算平臺之間應建立雙向身份驗證機制。

(2)鏡像和快照保護：應提供虛擬機鏡像、快照完整性校驗功能，防止虛擬機鏡像被惡意篡改；應采取密碼技術或其他技術手段防止虛擬機鏡像、快照中可能存在的敏感資源被非法訪問，應針對重要業務系統提供加固的操作系統鏡像或操作系統安全加固服務。

(3)數據完整性和保密性：應確保只有在云服務客戶授權下，云服務商或第三方才具有云服務客戶數據的管理權限；應使用校驗碼或密碼技術確保虛擬機遷移過程中重要數據的完整性，并在檢測到完整性受到破壞時采取必要的恢復措施。

2 智能安全運營平臺設計

為滿足用戶個性化需求，本文擬建立一個智能安全運營平臺，該平臺通過云計算虛擬技術的應用，把物理安全資源虛擬為安全資源池，從而為用戶提供覆蓋全生命周期的云安全服務。實現工業互聯網傳統網絡環境、公有云環境、私有云環境、混合云環境的多場景綜合防護，建立基于云計算的工業互聯網智能安全運營平臺。

2.1 智能安全運營平臺架構

(1)統一安全運營

在網絡安全方面，對工業互聯網云環境的運營日常進行監控，從監控、感知到應急方面，形成一套全流程的監管機制，以云平臺的安全數據分析為主，來形成云安全運營中心。

該中心避免發生大型安全事件通過即時感知云平臺的安全狀況，更好地建立對安全事件的有效監控和對其的應急處理。

(2)安全能力彈性擴展

為了橫向地更快增加安全資源池的各項性能，可以通過擴充節點到集群中來使安全資源池具有可彈性的擴展。通過一鍵來增加其性能在其中安全服務的性能出現不足時。

(3)安全資源統一管理

云平臺的安全資源池也可以采用頁面配置，來實現云安全的統一管理。為更好地在管理平臺上對不同的資源池節點進行開放、監管、清除，需要對多區域資源池中的節點進行增添。

(4)安全資源自動化部署

安全能力將會采用服務的方式進行，這樣可以簡化應用流程，節省人力成本，用戶可以完成安全服務的隨開隨用，通過借用總平臺來打開或進行安排。

根據以上設計思路，搭建基于云計算的工業互聯網智能安全運營平臺。平臺架構如圖2所示。

2.2 平臺安全能力實現路徑

按照安全能力建設規劃，逐步完善和提升安全能力至主動防御級。具體實現路徑如圖3所示。

平臺安全能力實現路徑方向推進如圖4所示。

3 工業互聯網智能安全運營平臺評估

3.1 平臺能力實現

(1)安全技術能力

結合現有軟硬件技術的發展水平，平臺目前可實現的安全防護能力主要包括網站安全、主機安全、應用安全、綜合安全4大類，具體安全防護能力見表1。

表1 平臺安全技術能力

(2)平臺安全危險檢測與處置

平臺針對威脅檢測，部署了一系列的安全產品，確保威脅能夠及時被發現并被處理。具體安全產品類別包括應用防火墻WAF、主機安全、網絡防火墻、SIEM、大數據安全防護、漏洞掃描以及堡壘機等。

一旦以上產品出現威脅告警，平臺安全團隊會進行人工核查，判斷是否是產品誤報：如果確實屬于威脅告警，則進行記錄上報，并根據告警類型、威脅對象，通知相關人員，進行處置；如果告警是產品誤報，則對產品的策略規則進行優化，避免此類情況再次發生。

(3)業務支撐能力

為了保證系統能運行穩定且安全可靠，需要考慮系統的應變、容錯和糾錯能力，平臺也應使用可靠性較高的產品與技術。系統應具備統一的平臺維護或用戶界面，各安全功能通過單點登錄統一管理。

3.2 平臺運行效果測評

將初步搭建的平臺進行試運營，對其網絡安全態勢進行分析，測評結果如下。

(1)安全威脅情況統計分析

平臺2020年4～6月份受到的高發威脅主要包括：弱口令、越權訪問、SQL注入等，具體數量見表2。

表2 平臺安全威脅情況統計

可以看出，高發威脅數量呈現出較明顯的上升趨勢。其中，5月份比4月份環比增長73.1%，6月份比5月份環比增長135.0%。通過上表數據可以看出，4～6月份網絡安全態勢愈發嚴峻，平臺感知到系統受到的安全威脅較大，應及時上報企業管理層及各系統負責人，引起重視，加強各方面的網絡安全防范。

(2)安全事件處置

圖2工業互聯網智能安全運營平臺架構

圖3平臺安全能力實現路徑

圖4平臺安全能力實現路徑方向推進

2020年上半年，平臺發生了1起信息安全事件：平臺內1臺計算機中了挖礦病毒。發生該事件后，安全團隊根據實際情況和規章制度，判斷事件類型及事件等級，將事件相關信息進行記錄并上報。同時，對中病毒計算機進行處置，處置手段包括安裝系統重要安全補丁、安裝防病毒軟件、重置系統密碼等。處置完成后，形成信息安全事件報告。

4 結論

本文采用云計算虛擬技術，針對工業互聯網行業中存在的安全問題，首先分析了國家政策驅動和市場功能需求，在此基礎上提出了基于云計算的工業互聯網平臺安全運營體系，搭建了智能運營平臺架構及實現路徑，并將建立的智能平臺應用于某公司的安全防控工作中，以檢驗平臺的實際應用效果。平臺測評結果表明，本文搭建的工業互聯網智能安全運營平臺可以有效發現并防御企業面臨的網絡威脅，并及時采取應對措施避免損失，為企業提供堅實的網絡安全屏障。但是平臺仍存在一些漏洞，比如賬號弱口令、訪問控制漏洞、應用代碼漏洞等，需要防范黑客利用漏洞對平臺進行攻擊。同時除了日常性的安全監控以外，未來的研究中可增加安全事件應急演練模塊。