莫讓安全成為工業互聯網發展的“攔路虎”
隨著萬物互聯技術和制造業的不斷融合，工業互聯網平臺正成為全球新一輪產業變革的重要方向。安全問題作為工業互聯網發展的重中之重，接下來它將如何乘風破浪？
近期，綠盟科技發布《工業互聯網安全防護白皮書》，對工業互聯網的安全挑戰及應對策略進行了研究，希望通過本白皮書，幫助用戶解決工業互聯網中存在的安全問題，以推動我國工業的不斷發展。
白皮書下載鏈接：
1. 我國工業互聯網安全功能框架，為發展指路
為解決工業互聯網面臨的網絡攻擊等新型風險，確保工業互聯網健康有序發展，我國工業互聯網安全功能框架2.0充分考慮了信息安全、功能安全和物理安全，聚焦工業互聯網安全所具備的主要特征，包括可靠性、保密性、完整性、可用性、隱私和數據保護，如圖 1所示。
2. 破解工業互聯網安全防護困境，綠盟科技正式發布“綠盟工業互聯網安全能力框架”
綠盟科技采用“平臺+服務”的業務模式，建設工業互聯網安全體系，產品包括工業互聯網安全監測、主機安全防護、蜜網、工控安全工具（漏洞掃描、網站篡改、資產探測、高危漏洞驗證等）、工業威脅情報、移動APP評估檢測、安全服務等，可直接服務電力、軌道交通、化工、汽車、生物醫療行業等。
根據工信部等十部委聯合發布的《加強工業互聯網安全工作的指導意見》的相關指導規范要求，綠盟科技整合公司現有技術構建工業互聯網安全管理體系，建設并完善工業互聯網平臺安全保障體系。針對工業互聯網：邊緣層、工業IaaS層、工業PaaS層、工業SaaS層進行分層部署安全防護措施，健全工業互聯網平臺和工業APP應用前的安全風險監測機制，強化平臺和APP應用過程中的用戶信息、網絡和數據安全防護能力。
綠盟工業互聯網安全體系能力框架由安全基礎設施、安全運營、安全管理和政府/行業安全監管四個組成部分構建一體化動態綜合防御體系，總體安全體系架構如圖所示。
總體安全體系架構
通過工業互聯網網絡安全防護體系，圍繞工業互聯網平臺、網絡、數據、主機、接入等方面構建工業互聯網整體安全防護保障體系。從工業互聯網平臺邊緣層、工業IaaS層、工業PaaS層、工業SaaS層面臨的突出安全風險進行深度分析，應用工業互聯網平臺安全防護核心技術，形成抗DDoS、虛擬機逃逸、鏡像篡改、數據竊取與篡改等安全防護手段。利用縱深防御安全能力模型，形成邊界安全、業務和應用安全、數據安全的工業互聯網平臺整體解決方案，從形成一套完整的工業互聯網安全方案：防攻擊、防病毒、防入侵、防竊密、防控制等綜合安全防御能力；同時，通過實現對工業互聯網平臺流量、主機、設備等進行全面、可靠的網絡安全監測分析，形成對工業互聯網的綜合安全態勢監管能力保障，從威脅識別、通報預警、風險評估、應急響應、溯源分析等方面對工業互聯網平臺各類威脅進行研判分析和處置，構建工業互聯網企業對其安全的可視化監管、風險管控、處置和分析的全方位安全運營體系，為工業互聯網平臺可持續運營提供先導性的安全決策與分析手段；另外，通過完善對工業物聯網設備的安全接入和認證能力，借鑒“零信任”網絡安全防護體系建設思想，從平臺邊緣層用戶、設備和數據接入層面，有效提升工業互聯網平臺的接入安全保障水平。
2.1. 綠盟工業互聯網安全體系設計原則
綠盟工業互聯網安全體系能力架構設計遵循以下原則：
a. 體系化縱深防御原則
在工業互聯網環境中，OT與IT相融合，原有的可信邊界日益削弱，它本身在物理上、操作上和管理上的種種漏洞構成了系統的安全脆弱性，需要從預防、防護、檢測、響應等方面多維度考慮安全防護設計，構建縱深防御體系。
b. 動態防護原則
除考慮靜態的安全防護措施外，還要考慮動態、閉環的安全防護部署機制。需要結合工業互聯網安全防護的特殊要求，采取靜態防護與動態防護措施相結合的方式，及時發現并加以有效處置安全事件。
c. 最小特權
泛在聯接是工業互聯網的重要特征，它要實現人、機、物的全面聯接，在工業互聯網平臺環境中，最小特權原則尤為重要，可以減少各對象之間潛在的相互影響，從而減少、消除對特權無意的、不必要的或者不適當的使用。
d. 平衡性原則
對任何網絡，絕對安全難以達到，所以需要建立合理的實用安全性與用戶需求評價與平衡體系。安全體系設計要正確處理需求、風險與代價的關系，做到安全性與可用性相容，做到組織上可執行。
e. 遵從性原則
工業互聯網系統是一個龐大的系統工程，其安全體系的設計必須遵循一系列的標準，這樣才能確保各個分系統的一致性，使整個系統安全地互聯互通、信息共享。
f. 技術與管理并重原則
安全體系是一個復雜的系統工程，涉及人、技術、操作等要素，單靠技術或單靠管理都不可能實現。因此，必須將各種安全技術與運行管理機制、人員思想教育與技術培訓、安全規章制度建設相結合。
2.2. 工業互聯網平臺安全防護體系構建
安全技術架構如下圖所示：
安全技術架構
安全基礎設施：
工業互聯網平臺安全基礎設施的防護可劃分為邊緣、網絡、平臺IaaS、平臺PaaS層及平臺SaaS層五個層面。
1). 邊緣層安全
為了工業互聯網場景中各類設備安全可信接入，采用安全網關接入的形式實現數據采集安全和傳輸安全。
2). 網絡安全
通過采用劃分隔離、訪問控制、機密性與完整性保護、異常監測、入侵防范、安全審計和單向隔離等技術手段實現云平臺的網絡架構安全、網絡傳輸過程中的機密性和完整性防護，以及通信環境的可信驗證。實現對來自云平臺內外部的雙向網絡攻擊的檢測、告警、阻斷和審計。
3). 平臺IaaS層安全
IaaS層包括支撐工業互聯網平臺運行的各類物理及虛擬資源，如服務器、存儲、網絡、虛擬化等。
通過虛擬化安全、主機安全、虛擬化網絡安全和存儲安全設計解決因資源虛擬化、多租戶服務引發的信息安全問題。
4). 平臺PaaS層
PaaS層包括數據分析服務、平臺微組件應用開發環境等。通過容器安全、微服務安全和數據安全設計為PaaS服務提供安全防護。
5). 平臺SaaS層
SaaS層包括面向各類工業應用場景的應用等，是平臺的門戶，通過身份認證、數據加密、漏洞檢測、WEB防護等技術對SaaS層提供安全防護。
6). 智能安全運營體系
通過安全信息感知系統、安全資源管控系統對安全基礎資源的數據采集與管控。通過大數據分析平臺進行多維度安全風險關聯分析支撐安全運營決策。智能安全運營平臺具有資產管理、基線配置、策略控制、態勢感知、風險評估、零信任服務和應急響應能力。
2.3. 綠盟工業互聯網安全能力體系
綠盟科技基于工業互聯網安全建設迫切性分析，總結概括工業互聯網的安全能力主要為：
數據接入安全：防止數據泄漏、被偵聽或篡改，保障數據在源頭和傳輸過程中安全。
平臺安全：確保工業互聯網平臺的代碼安全、業務和應用安全、數據安全、網站安全。
訪問安全：通過建立統一的訪問機制，限制用戶的訪問權限和所能使用的計算資源和網絡資源實現對工業互聯網平臺重要資源的訪問控制和管理，防止非法訪問。
2.4. 綠盟工業互聯網安全體系能力框架實施對象
針對工業互聯網安全體系能力的實施對象，進行如下劃分：
安全基礎設施：面向工業設備、控制、網絡、數據和應用五個對象在平臺側提供安全防護能力，并為安全運營提供技術支撐。
安全運營：可信管理模塊對接入訪問進行風險匯聚、信任評估、聯動響應和分析決策，為企業提供可信接入能力，動態避免對資源的非授權訪問。而態勢感知、資產管理、事件管理、威脅管理、脆弱性管理、安全評估、重要保障、應急響應和安全值守模塊則基于安全運營平臺為安全預警、安全監測、安全響應處置提供支撐。如有政府/行業監管要求，安全運營平臺可與監管平臺對接。
安全管理：在網絡安全防護領域有“三分技術、七分管理”的傳統。有效的安全防護體系架構必須將管理與技術相結合。企業需要注重安全能力培養，包括安全靶場建設、定期攻防演練、安全測試、開發安全、人員培訓和設備安全準入機制的不斷完善。企業在制度、機構、人員、建設與運維管理方面需要不斷持續改進，做到目標明確、責權清晰，保障企業業務的健康發展。
3.工業互聯網安全防護之路“任重道遠”
工業互聯網是互聯網和新型工業制造業全方位的深度融合所形成的新型產業和應用生態體系。工業互聯網的建設需要有較為成熟的工控業務背景，能夠從業務場景的角度切入，從而對工業互聯網進行全方位的安全規劃。由于安全企業對工控業務的理解不足，現今更多的工控廠商或者工業制造廠商與安全廠商深度合作，建設安全實驗室、學校等來進行安全人才的培養。
在工業信息安全保障方面，制定工業數據安全規范，研制工業互聯網大數據分級分類、工業APP管理、工業互聯網建設評價等關鍵標準，圍繞平臺數據收集、存儲、傳輸、共享等各個環節，明確差異化安全機制和策略。
建設工業互聯網大數據中心，建立中央、地方、行業企業多層次數據管理機制，打破數據孤島和基礎設施捆綁。
強化平臺安全監測預警能力，搭建國家、地方、企業多級協同聯動的態勢感知網絡，實現對重要和關鍵平臺接入設備、控制系統、運行數據的風險實時監測，感知邊緣層、IaaS層、PaaS層和SaaS層等的安全狀態，切實提升工業互聯網安全防護水平。
