莫讓安全成為工業網際網路發展的“攔路虎”

隨著萬物互聯技術和製造業的不斷融合，工業網際網路平臺正成為全球新一輪產業變革的重要方向。安全問題作為工業網際網路發展的重中之重，接下來它將如何乘風破浪？

近期，綠盟科技釋出《工業網際網路安全防護白皮書》，對工業網際網路的安全挑戰及應對策略進行了研究，希望透過本白皮書，幫助使用者解決工業網際網路中存在的安全問題，以推動我國工業的不斷髮展。 

白皮書下載連結：

http://blog.nsfocus.net/wp-content/uploads/2020/08/Industrial_Internet_Security_White_Paper_202008.pdf

我國工業網際網路安全功能框架，為發展指路

為解決工業網際網路面臨的網路攻擊等新型風險，確保工業網際網路健康有序發展，我國工業網際網路安全功能框架2.0充分考慮了資訊保安、功能安全和物理安全，聚焦工業網際網路安全所具備的主要特徵，包括可靠性、保密性、完整性、可用性、隱私和資料保護，如圖 1所示。

圖1. 工業網際網路功能檢視安全體系框架

破解工業網際網路安全防護困境，綠盟科技正式釋出“綠盟工業網際網路安全能力框架”

綠盟科技採用“平臺+服務”的業務模式，建設工業網際網路安全體系，產品包括工業網際網路安全監測、主機安全防護、蜜網、工控安全工具（漏洞掃描、網站篡改、資產探測、高危漏洞驗證等）、工業威脅情報、移動APP評估檢測、安全服務等，可直接服務電力、軌道交通、化工、汽車、生物醫療行業等。

根據工信部等十部委聯合釋出的《加強工業網際網路安全工作的指導意見》的相關指導規範要求，綠盟科技整合公司現有技術構建工業網際網路安全管理體系，建設並完善工業網際網路平臺安全保障體系。針對工業網際網路：邊緣層、工業IaaS層、工業PaaS層、工業SaaS層進行分層部署安全防護措施，健全工業網際網路平臺和工業APP應用前的安全風險監測機制，強化平臺和APP應用過程中的使用者資訊、網路和資料安全防護能力。

綠盟工業網際網路安全體系能力框架由安全基礎設施、安全運營、安全管理和政府/行業安全監管四個組成部分構建一體化動態綜合防禦體系，總體安全體系架構如圖2所示。 

圖2. 總體安全體系架構

透過工業網際網路網路安全防護體系，圍繞工業網際網路平臺、網路、資料、主機、接入等方面構建工業網際網路整體安全防護保障體系。從工業網際網路平臺邊緣層、工業IaaS層、工業PaaS層、工業SaaS層面臨的突出安全風險進行深度分析，應用工業網際網路平臺安全防護核心技術，形成抗DDoS、虛擬機器逃逸、映象篡改、資料竊取與篡改等安全防護手段。利用縱深防禦安全能力模型，形成邊界安全、業務和應用安全、資料安全的工業網際網路平臺整體解決方案，從形成一套完整的工業網際網路安全方案：防攻擊、防病毒、防入侵、防竊密、防控制等綜合安全防禦能力；同時，透過實現對工業網際網路平臺流量、主機、裝置等進行全面、可靠的網路安全監測分析，形成對工業網際網路的綜合安全態勢監管能力保障，從威脅識別、通報預警、風險評估、應急響應、溯源分析等方面對工業網際網路平臺各類威脅進行研判分析和處置，構建工業網際網路企業對其安全的視覺化監管、風險管控、處置和分析的全方位安全運營體系，為工業網際網路平臺可持續運營提供先導性的安全決策與分析手段；另外，透過完善對工業物聯網裝置的安全接入和認證能力，借鑑“零信任”網路安全防護體系建設思想，從平臺邊緣層使用者、裝置和資料接入層面，有效提升工業網際網路平臺的接入安全保障水平。

2.1. 綠盟工業網際網路安全體系設計原則

綠盟工業網際網路安全體系能力架構設計遵循以下原則：

1. 體系化縱深防禦原則

在工業網際網路環境中，OT與IT相融合，原有的可信邊界日益削弱，它本身在物理上、操作上和管理上的種種漏洞構成了系統的安全脆弱性，需要從預防、防護、檢測、響應等方面多維度考慮安全防護設計，構建縱深防禦體系。

2. 動態防護原則

除考慮靜態的安全防護措施外，還要考慮動態、閉環的安全防護部署機制。需要結合工業網際網路安全防護的特殊要求，採取靜態防護與動態防護措施相結合的方式，及時發現並加以有效處置安全事件。

3. 最小特權

泛在聯接是工業網際網路的重要特徵，它要實現人、機、物的全面聯接，在工業網際網路平臺環境中，最小特權原則尤為重要，可以減少各物件之間潛在的相互影響，從而減少、消除對特權無意的、不必要的或者不適當的使用。

4. 平衡性原則

對任何網路，絕對安全難以達到，所以需要建立合理的實用安全性與使用者需求評價與平衡體系。安全體系設計要正確處理需求、風險與代價的關係，做到安全性與可用性相容，做到組織上可執行。

5. 遵從性原則

工業網際網路系統是一個龐大的系統工程，其安全體系的設計必須遵循一系列的標準，這樣才能確保各個分系統的一致性，使整個系統安全地互聯互通、資訊共享。

6. 技術與管理並重原則

安全體系是一個複雜的系統工程，涉及人、技術、操作等要素，單靠技術或單靠管理都不可能實現。因此，必須將各種安全技術與執行管理機制、人員思想教育與技術培訓、安全規章制度建設相結合。

2.2. 工業網際網路平臺安全防護體系構建

安全技術架構如下圖3所示：

圖3. 安全技術架構

安全基礎設施：

工業網際網路平臺安全基礎設施的防護可劃分為邊緣、網路、平臺IaaS、平臺PaaS層及平臺SaaS層五個層面。

1. 邊緣層安全

為了工業網際網路場景中各類裝置安全可信接入，採用安全閘道器接入的形式實現資料採集安全和傳輸安全。

2. 網路安全

透過採用劃分隔離、訪問控制、機密性與完整性保護、異常監測、入侵防範、安全審計和單向隔離等技術手段實現雲平臺的網路架構安全、網路傳輸過程中的機密性和完整性防護，以及通訊環境的可信驗證。實現對來自雲平臺內外部的雙向網路攻擊的檢測、告警、阻斷和審計。

3. 平臺IaaS層安全

IaaS層包括支撐工業網際網路平臺執行的各類物理及虛擬資源，如伺服器、儲存、網路、虛擬化等。

透過虛擬化安全、主機安全、虛擬化網路安全和儲存安全設計解決因資源虛擬化、多租戶服務引發的資訊保安問題。

4. 平臺PaaS層

PaaS層包括資料分析服務、平臺微元件應用開發環境等。透過容器安全、微服務安全和資料安全設計為PaaS服務提供安全防護。

5. 平臺SaaS層

SaaS層包括面向各類工業應用場景的應用等，是平臺的門戶，透過身份認證、資料加密、漏洞檢測、WEB防護等技術對SaaS層提供安全防護。

6. 智慧安全運營體系

透過安全資訊感知系統、安全資源管控系統對安全基礎資源的資料採集與管控。透過大資料分析平臺進行多維度安全風險關聯分析支撐安全運營決策。

智慧安全運營平臺具有資產管理、基線配置、策略控制、態勢感知、風險評估、零信任服務和應急響應能力。

2.3. 綠盟工業網際網路安全能力體系

綠盟科技基於工業網際網路安全建設迫切性分析，總結概括工業網際網路的安全能力主要為：

資料接入安全：防止資料洩漏、被偵聽或篡改，保障資料在源頭和傳輸過程中安全。

平臺安全：確保工業網際網路平臺的程式碼安全、業務和應用安全、資料安全、網站安全。

訪問安全：透過建立統一的訪問機制，限制使用者的訪問許可權和所能使用的計算資源和網路資源實現對工業網際網路平臺重要資源的訪問控制和管理，防止非法訪問。

2.4. 綠盟工業網際網路安全體系能力框架實施物件

針對工業網際網路安全體系能力的實施物件，進行如下劃分：

安全基礎設施：面向工業裝置、控制、網路、資料和應用五個物件在平臺側提供安全防護能力，併為安全運營提供技術支撐。

安全運營：可信管理模組對接入訪問進行風險匯聚、信任評估、聯動響應和分析決策，為企業提供可信接入能力，動態避免對資源的非授權訪問。而態勢感知、資產管理、事件管理、威脅管理、脆弱性管理、安全評估、重要保障、應急響應和安全值守模組則基於安全運營平臺為安全預警、安全監測、安全響應處置提供支撐。如有政府/行業監管要求，安全運營平臺可與監管平臺對接。

安全管理：在網路安全防護領域有“三分技術、七分管理”的傳統。有效的安全防護體系架構必須將管理與技術相結合。企業需要注重安全能力培養，包括安全靶場建設、定期攻防演練、安全測試、開發安全、人員培訓和裝置安全准入機制的不斷完善。企業在制度、機構、人員、建設與運維管理方面需要不斷持續改進，做到目標明確、責權清晰，保障企業業務的健康發展。

工業網際網路安全防護之路“任重道遠”

工業網際網路是網際網路和新型工業製造業全方位的深度融合所形成的新型產業和應用生態體系。工業網際網路的建設需要有較為成熟的工控業務背景，能夠從業務場景的角度切入，從而對工業網際網路進行全方位的安全規劃。由於安全企業對工控業務的理解不足，現今更多的工控廠商或者工業製造廠商與安全廠商深度合作，建設安全實驗室、學校等來進行安全人才的培養。

在工業資訊保安保障方面，制定工業資料安全規範，研製工業網際網路大資料分級分類、工業APP管理、工業網際網路建設評價等關鍵標準，圍繞平臺資料收集、儲存、傳輸、共享等各個環節，明確差異化安全機制和策略。

建設工業網際網路大資料中心，建立中央、地方、行業企業多層次資料管理機制，打破資料孤島和基礎設施捆綁。

強化平臺安全監測預警能力，搭建國家、地方、企業多級協同聯動的態勢感知網路，實現對重要和關鍵平臺接入裝置、控制系統、執行資料的風險實時監測，感知邊緣層、IaaS層、PaaS層和SaaS層等的安全狀態，切實提升工業網際網路安全防護水平。