工业互联网核心安全问题、安全需求及国内外所采用先进技术路线详细分析

发布时间 2020-05-21

工业互联网是互联网和新一代信息技术与工业系统全方位深度融合所形成的产业和应用生态,也是工业智能化发展的关键综合信息基础设施。本文通过对工业互联网所面临的核心安全问题、安全需求及国内外所采用先进的技术路线的详细分析,提出针对工业互联网安全防护整体解决方案,帮助客户完善工业互联网安全体系建设。



工业互联网面临的安全问题


▶ 设备安全问题

智能化使海量生产装备和产品直接暴露在网络攻击之下,木马病毒在设备之间的传播扩散速度将呈指数级增长,智能设备的信息安全问题亟待解决。


▶ 网络安全问题

攻击门槛大大的降低,针对TCP、IP协议的攻击方法和手段日渐成熟且可被直接利用,而现有工业的以太网交换机性能低,难以抵抗广播风暴等 DoS(Denial of Service,拒绝服务)攻击。


▶ 控制安全问题

IT和OT的融合打破了传统安全可信的控制环境,网络攻击从IT层渗透到OT层,从工厂外渗透到工厂内,工厂控制面临极大的安全风险。


▶ 数据安全问题

数据保护难度增大,工业领域业务复杂,数据种类和保护需求多样,数据流动方向和路径复杂。


▶ 应用安全问题

工业应用复杂,安全需求多样,因此对网络安全隔离能力、网络安全保障能力要求都将提高。


▶ 云计算安全问题

根据云安全联盟(CSA)于2018年1月发布的最新版本《12大顶级云安全威胁:行业见解报告》,该报告重点聚焦了12个最严重的涉及云计算共享和按需特性方面的威胁;云计算建设以及使用过程中的安全风险、传统信息安全风险、云计算平台安全风险、用户访问安全风险、安全管理体系风险等。



工业互联网的核心安全需求


▶ 设备安全

包括操作系统以及应用软件的安全防护,在固件安全增强、补丁升级管理以及漏洞修复加固方面都需要专业的安全防护。


▶ 硬件安全

硬件设备的安全防护较为困难,尤其是在后期运行维护管控方面。


▶ 控制安全

控制设备自带协议较多,在出厂时安全就不可控,具体包括控制协议安全、控制软件安全以及控制功能安全三个方面。


▶ 网络安全

优化网络设计、网络接入认证、网络设备保护、安全监测审计和通信与传输保护之外,还应注意网络边界安全问题、OT与IT的边界、内网与外网的边界。


▶ 应用安全

不仅包括基于安全审计、认证授权、DDOS防护、补丁升级、安全隔离和安全监测的工业互联网平台安全,还包括工业应用程序安全。


▶ 数据安全

对数据进行加密、访问控制。对于不同类型的业务要对数据进行隔离,在使用数据中要对数据进行脱敏。


▶ 监测感知

包含数据的采集,即提取有用有效的数据;提取特征,即提取目标的特殊特征以及进行统一的关联分析等。


▶ 处置恢复

主要体现在响应决策、备份恢复和分析评估。



国内外技术路线分析


✦ 国外典型平台的安全建设

1、GE在2016年发布的《Predix:工业互联网平台》报告中,描述了从隔离用户环境、操作系统安全等方面加强工业互联网平台安全。

2、PTC在ThingWorx平台采用端到端的安全策略,加强网络应用程序、用户和数据安全防护。

3、ABB Ability平台与微软合作,通过安全基线、代码审计保证平台设计开发过程中的网络安全,并与安全研究机构合作对平台开展测试、评估和验证,提高平台安全水平。

4、西门子MindSphere平台在数据传输过程中严格遵守高标准的安全传输协议HTTPS,确保端到端的数据安全,并有相关工业APP帮助用户发现潜在威胁、安全漏洞和异常情况,提供安全补丁的应对方案。

5、菲尼克斯电气ProfiCloud平台中设备之间的通信均采用TLS(安全传输层协议)方式加密,保证通信安全。

……


✦ 国内目前采取的技术路线

1、海尔COSMO平台将安全保护、安全检测、安全管理可视化、运营化、体系化,形成面向全流程安全威胁点的防护方案,日常安全运营管理、外部威胁情报和态势感知中心三位一体的安全平台。

2、树根互联RootCloud平台尤为重视数据安全,从展示层、数据层、服务层三方面出发,采用安全探针监控操作与访问行为,通过对文件系统、数据库和应用层加密,保证数据安全可控。

3、石化盈科ProMACE平台通过串接工业防火墙和安全数采网关进行两网隔离防护,保证设备安全接入和安全通信。

……



技术路线总结分析


▶ 加强安全顶层设计

尽快制定出台工业互联网安全相关指导性文件,明确行业、企业、平台提供商等产业链各环节不同主体的安全责任和义务,规范和指引工业互联网安全发展。


▶ 加快标准研究制定

围绕工业互联网设备、平台、控制、数据等 层面的安全需求,加快研制安全防护、测试、评估等方面的国家标准。


▶ 推动技术和产品研发攻关

推动产学研用合作,研究提出适合当前我国工业互联网发展的安全防护解决方案,加强工业互联网设备层、平台层、控制层等安全防护关键技术攻关,重点突破攻击防护、漏洞挖掘、入侵发现、态势感知、安全审计、可信芯片等相关产品和服务的研发。


▶ 促进工业互联网安全产业发展

推动设立工业互联网安全专项资金,鼓励股权投资基金、创业投资基金等社会资本参与,支持工业互联网安全产业集聚发展,以试点示范为抓手,选取重点领域、遴选最佳实践并促进安全技术推广与应用,引导高端市场降低对国产化安全防护设备、产品和服务的准入门槛。依托产业联盟等力量,推动产学研用联合攻关与供需对接,培育一批具有产业整合能力的龙头企业,发挥主泵作用,做大做强工业互联网安全产业。


启明星辰整体解决方案设计


启明星辰通过对多个典型行业、企业及工业互联网的应用架构分析,参考国内外工业互联网安全研究成果,从平台安全、网络安全、数据安全、设备安全和安全运营等多个维度和视角,整理和挖掘工业互联网在宏观运营和微观防护方面的安全需求,致力于为国家、行业和用户提供完整的、高细粒度的工业互联网网络安全解决方案。


启明星辰工业互联网网络安全架构设计


安全防护层


▶ 统一安全管理层

核心功能包括整体安全态势感知、统一安全管理、应急指挥调度和数据安全交换地图。它是整个工业互联网网络安全的集中管理、运维、调度和应急指挥的核心,也是解决工业互联网宏观安全运营需求的重要基础及实现工业互联网安全运营高效率运作、精细化管理的关键措施。


▶ 平台安全层

在典型云环境下(OpenStack、VMware等),云计算安全是工业互联网网络安全建设的重点,主要涵盖工业互联网云计算平台及其承载和运行的各类业务系统、虚拟化资源等。


▶ 数据安全交换层

工业互联网的建设基本都是在原有信息系统、网络和工控网络架构的基础上完成改造和建设的,每个系统间的业务及数据都是独立的,而不同系统间异构数据如何实现安全共享,这就需要通过数据安全交换层来实现。


▶ 基础网络防护层

基础网络防护层是工业互联网网络安全的最基本要求,其建设内容参考遵循国家等级保护标准(GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求),符合相关安全等级的具体要求。


▶ 安全汇聚与接入层

工业互联网融合了包括工业控制网络、工业物联网、移动互联网在内的多种类型的网络。各类工业生产设备、工业物联网终端设备、移动设备均通过汇聚和接入节点连接到工业互联网中,而随着工业智能化设备、物联网终端设备的安全问题不断出现,如何确保这些接入设备的安全性,是需要在安全汇聚与接入层具备的主要能力。


▶ 现场设备防护层

主要包括工业现场和物联网现场的各类上位机、操作员站、物联网终端设备的安全防护。


安全管理轴


“三分技术,七分管理”。随着工业互联网网络安全作为独立的建设内容,安全管理工作的重要性不言而喻,其内容不仅涵盖管理制度、流程等基本要素,还包括安全建设、运营、维护、应急、指挥等多个方面的内容。


因此,在工业互联网网络安全架构设计中,如果将工业互联网比作一台正在高速运转的发动机,我们将安全管理称之为“轴”,贯穿每一个安全层次的各个安全要素和节点,连接各类安全技术措施,发挥安全防护体系效能的核心纽带。


启明星辰在工业互联网领域已经形成了完善的整体解决方案和专业的安全服务能力,并推出了云、网、端针对工业互联网安全防护体系,实现云平台安全防护、移动智能终端安全加固、物联网终端安全感知、全网设备安全统一监测和防护、安全风险集中分析和展现,帮助用户建立全生命周期安全管理,实现物联网安全可知、可防、可测,打造协同共生时代的工业互联网安全。