多位專家探討工業安全新挑戰
http://www.gjzbw99.com 2020-04-24 11:17 來源：《自動化博覽》
工業控制系統是國家關鍵基礎設施的重要組成部分，其安全關系到國家的戰略安全。隨著《中國制造2025》和“互聯網+”等國家戰略的實施，工業控制系統逐步實現人、機、物、環境、信息的智能化感知、互聯、協同和處理，使我國工業行業自動化、網絡化、智能化水平得到快速發展的同時，也引入了諸多互聯網信息安全威脅，工業安全隱患日益嚴峻。尤其近年來，作為信息技術與工業深度融合發展的產物，發展工業互聯網、推進智能制造，已經成為當前各發達國家重塑工業發展新優勢、搶占競爭制高點的戰略選擇。在此趨勢下，工業安全又將迎來哪些全新挑戰？本期專題特邀請來自研究院所和企業的專家帶來獨到見解。
尚文利：功能安全與信息安全相結合，實現工業系統的兩安融合
中國科學院沈陽自動化研究所研究員尚文利
以移動互聯網、物聯網、云計算、大數據、人工智能等為代表的新一代信息技術風起云涌，加速了IT和OT技術全方位的深度融合發展。與此同時，工業互聯網等新興業態的安全環境復雜多樣，導致了工業安全問題日益凸顯。
工業互聯網是IT和OT技術融合的結果，目前還處于起步階段，云計算與邊緣計算正逐漸成為支撐工業互聯網的兩大支柱。針對工業系統而言，對應云計算和邊緣計算，可以從工業互聯網平臺安全和邊緣安全角度分析工業安全的未來發展趨勢。
從工業互聯網平臺安全角度來看，國內工業互聯網平臺廠商的信息安全架構、體系較全面，與國外差別不大；SaaS層較完善的廠商考慮了與業務系統相結合的信息安全機制，但PaaS層較完善的廠商則結合較少；國內在SaaS層、PaaS層、IaaS層自主可控軟件較少，無法解決后門等問題，這也是重要的信息安全隱患之一；國內信息安全總體技術水平上與國外發達國家還存在差距。同時國內工業物聯網本身安全問題的安全測評、風險評估、風險設施保護等尚未落地，急需解決。
從邊緣安全角度來看，國內邊緣計算產業聯盟（Edge ComputingConsortium，縮寫為ECC）與工業互聯網產業聯盟（AllianceofIndustrialInternet，縮寫為AII）共同研究編寫并發布了《邊緣計算安全白皮書》，這也是全球首個系統性研究邊緣計算安全領域的研究報告。白皮書梳理了邊緣安全面臨的12大挑戰、5大需求特征，并制定了包含3大價值場景、4種安全類型、5+1層次及29個安全能力模塊的邊緣安全參考框架，總結了邊緣安全涉及的十大關鍵技術。該白皮書也是對工業系統邊緣計算安全技術的發展趨勢展望。
針對企業內部而言，工業安全主要包括設備安全、網絡安全、數據安全、業務安全等幾個層面。現有工業安全多從信息安全角度出發，沒有與業務系統結合，隨著信息物理融合系統（CyberPhysical System, CPS）的發展，未來發展趨勢是將功能安全與信息安全相結合，以業務系統功能安全（safety）的可用性為目標和約束，再考慮信息安全，通過迭代優化設計，消除沖突，實現工業系統的兩安融合，降低信息物理融合帶來的信息安全風險。目前國內外已經開始從設備、網絡、數據、應用等層面上考慮兩安融合問題，從標準制定、建模方法、體系結構、任務調度等角度開展相關研究工作。
從工業安全產品角度來看，目前國內外工業控制系統信息安全產品種類多、覆蓋面廣，包括內生安全工控設備類、工控檢測防御類、工控安全監管類、工控安全平臺類、工控安全評估類、工控安全實訓類、工控攻防演練類等，存在的主要問題包括各家產品功能相近，區分度不大；通用類產品多，行業專用類產品少；OPC、Modbus等以太網協議層工控產品應用多，總線控制、實時控制環節工控產品應用少；與工藝數據結合工控產品更少；深度檢測與防護能力和技術指標仍需提升；與5G/6G、TSN、SDN、人工智能等新技術融合的信息安全機制、產品和解決方案還需加強完善。
胡建鈞：工業安全戰場的制勝關鍵取決于態勢感知能力的建設
西門子（中國）有限公司副總裁兼首席網絡與信息安全官胡建鈞
工業基礎設施安全是一個全新的戰場
隨著智能制造全面推進，工業數字化、網絡化、智能化加快發展，工控安全面臨安全漏洞不斷增多、安全威脅加速滲透、攻擊手段復雜多樣等新挑戰。近年來，工業信息安全事件頻繁爆發。從2010年“震網”病毒爆發到2017年WannaCry、Petya勒索病毒連續爆發等，冶金、能源、電力、天然氣、通信、交通、制藥等眾多工業領域不斷遭受安全攻擊。
傳統工業基礎設施在維護自身安全上存在先天性的不足。與互聯網和移動互聯網相比，建立在同樣協議基礎上的工業體系的運行環境通常極為確定。最初的設計完成后，這套體系在接下來幾年中運行的程序、承擔的職責就都已經確定。這套系統的計算資源、存儲資源和網絡帶寬資源都非常有限，留給未知元素的系統預留冗余非常少。由于與互聯網絡分開，而且每個操作都可能具有全局影響，這些系統也很少升級軟件，很多對IT設備已經構不成威脅的攻擊反而會威脅到工業體系的安全。
而新興的數字工業，工業互聯網的安全問題同樣突出。因為大量采用標準化，通用IT技術，實現互聯互通，工業系統天然的免疫力降低了，也使得病毒等攻擊變得暢通無阻。而且多數數字化升級通常是分步驟進行的，不可避免地會出現新舊系統共生的情況，這更提高了工業安全防護的復雜程度。
人作為最重要的因素也不可忽視，如在工控系統上使用不安全的U盤；工業操作系統基本上不更新，病毒進入工業設施的內部網絡之后簡直如入無人之境；工業系統在運營一段時間之后需要設備調試，調試工程師習慣把個人電腦接入工業系統，但沒人可以保證這些便攜設備的安全。
更讓人擔憂的是黑色產業鏈的發展，鏈條上的人分工明確，配合專業，利用他們有機會利用的所有漏洞幾乎無孔不入；龐大的現代工業控制系統中恰恰遍布著這類漏洞。如果說伊朗和隨后烏克蘭出現的工業安全事件是政治驅動的攻擊行為不可能成為主流，那轉瞬之間，黑客就將勒索軟件、比特幣和匿名技術結合在了一起，其速度之快、效率之高、效果之好簡直令人咂舌。
所有這些挑戰都值得我們認真思考，而工業安全在較長的時期內都將是一場場硬仗，這將決定我們是否能夠成功構建未來數字工業體系和踐行工業4.0理念。
態勢感知—知己知彼，百戰不殆
未來工業安全戰場的制勝關鍵取決于態勢感知能力的建設。在于是否能夠快速獲取外部的攻擊威脅情報，更重要的是能否實時動態地掌握自身的情況，并結合兩者及時做出最恰當的決策與響應。
對內的感知首先要解決目前工業企業很多存在數字資產家底不清，情況不明的現狀。通常第一步需要對于目前的設備、系統、應用以及網絡資產等宏觀進行數字化建模。進一步的，需要捕捉網絡連接、協議流量、用戶行為等微觀動態信息并進行實時分析，實現內部態勢的數字可視化呈現。要構建感知外部威脅的能力，需要擴寬安全威脅情報來源，特別是外部專業安全機構及渠道的信息通報。再進一步的，需要能夠在自身運營中總結提煉情報。好的態勢感知系統，不僅是情報的消費者，同時也是情報的生產者。
工業信息安全運營中心則是制勝的關鍵，它將實現工業控制網絡安全態勢感知，做到對工控系統的全面監測。面向運營技術（OperationTechnology）領域，對各種工控數據進行全面、深入的安全智能分析，以多視圖、多角度、多尺度的方式展現工控網絡的安全態勢。通過實現虛擬安全態勢和現實安全的連接，實現現場數字設備安全和云端大數據安全分析及應用互聯；通過數據的采集、可視化、分析和對標實現以數據驅動安全分析的轉變。
工業信息安全運營中心的使命是保護客戶的數字化資產和基礎設施。其服務包括持續工業安全監控、安全評估與咨詢、事件應急以及安全托管等。基于平臺服務技術，提供可管理的工業信息安全領域的威脅情報分析、智能化安全監測和安全預警服務，并結合工業信息安全運營中心的安全應急響應服務，為中小企業的數字化升級提供低成本的高效安全保障。同時基于安全大數據形成的安全分析能力，為大中型企業提供本地化的基于AI技術的工業安全態勢感知平臺，從而實現全方位的工業安全態勢感知能力，提供可管理、可控制的安全保障能力。
工業信息安全運營中心通過與安全服務的結合，進一步加強了安全中心對安全管理的支撐，構建了監控服務中心、自評估服務中心、企業自服務體系以及知識管理系統等，能夠為客戶提供信息安全風險管理、事件管理、網絡管理、實時關聯分析、實時事件監測、安全預警管理、安全告警與響應、用戶管理、安全策略管理、知識庫管理、輔助決策管理等相關信息安全策略。
西門子工業信息安全運營中心在建設運維中秉承了嚴格的安全標準，目前已經通過了ISO27001認證，獲得中國信息安全等級保護3級認證，達到了西門子HSC（Holistic SecurityConcept）的第3等級。從而達到了為關鍵基礎設施提供安全服務的自身安全等級。運營中心的多數專家均持有CISP、CISAW、CISSP、CCIE，CISA、ISO27001LA等信息安全專業資質證書。該中心及其衍生解決方案不僅應用于西門子自身的數字化產線，也廣泛應用于在鋼鐵、石油煉化、汽車等領域。
郭志民：以數據可編程為方向，以去中心為思想審視工業物聯網安全
國網河南電科院設備狀態評價中心副主任郭志民
展望2020年，全球網絡安全形勢仍然嚴峻，個人信息與商業數據遭遇大規模泄露與違規利用，針對關鍵信息基礎設施的惡意網絡攻擊頻發，各國在網絡空間對抗態勢進一步加劇。世界經濟論壇《2019年全球風險報告》中指出，網絡攻擊已成為全球五大風險之一。關鍵基礎設施，無論是發電廠，國家鐵路和地方地下系統，還是其他形式的公共交通工具，都越來越受到關注。網絡攻擊可能會切斷醫院、家庭、學校和工廠的電力供應。
隨著工業物聯網的普及，大量的物理機器與網絡傳感器和軟件進行集成，IT和OT之間的界限越來越模糊。越來越多的對象相互連接、通信和交互，網絡犯罪分子控制的端點數量激增，使用的攻擊方式愈發多樣化，自動控制系統越來越容易受到網絡攻擊，特別是那些涉及國家基礎支持設施的工業控制系統的網絡攻擊。
工業物聯網的變革性力量正在塑造一個工業互聯自治的新時代，特別是全球“黑天鵝”事件的不斷上演，也將推動工業物聯網安全進入一個飛速發展階段，越來越多的資源將投入其中加快變革進程。我認為當下要關注以下幾個方向：
分布式認知體系：傳統的工業自動化是建立在對工業過程、現場設備和網絡進行集中監督管理的基礎上的。軟件定義技術和廣泛互聯，正在快速改變這一集中式模型。在時間敏感網絡環境中，靠近與現場的各端點將共同協商各自的執行策略。這種具有自主認知模式，解決了人工建立、推進、解除等操作所帶來的復雜性和低效性。安全端點、協議和連接，對于在分布式認知體系中確保安全性和可靠性是至關重要的。
邊緣終端安全：為了確保一個超連通和分布式自主認知體系的可靠性，充分的安全控制手段應內植在每一個終端。安全必須擴展到從邊界到云端的各個部分，這需要在不同工業利益相關方之間進行組織協調。在傳統的數字證書或密鑰實現的安全標識之外，基于區塊鏈技術在終端安全接入、數據交互及數據防篡改等正應用在邊緣安全防護中，并且在構建設備和網絡端點的內置安全的過程中發揮作用。
自動化互操作與運維：隨著工業互聯場景促使基于訂閱的業務模型發展完善，現在數據能夠跨越多個組織和區域邊界進行傳輸。在這一背景下，安全責任、數據所有權、數據治理和數據管理尤為重要。安全性必須存在于軟件、系統、邊緣及云端部署方案的架構設計中。這就需要促使物聯網各組織相互協作、統一標準、數據共享及減少人為干預，從而進一步推進自動化體系的建設。通過構建統一的數據化、標準化、統一化的互操作框架來支持通信和端到端信息交換的IP網絡、IoT消息協議以及標準化語言模型。
前沿技術廣泛運用：區塊鏈的分布式決策模型與一個自主認知的生態系統相關。同時區塊鏈還提供了一個可用于防篡改的固定分類賬本。作為一種成熟技術，區塊鏈將在工業物聯網與計算資源、可擴展性和數據私密性等方面得到長足發展。基于安全監控和異常檢測應用的深度學習，作為一個不斷發展的領域，也將在技術層面得到大量投入，來開發自動化且具有自適應性的安全解決方案。同時，同態加密將會被用于云計算、邊緣計算中來對密文進行困難計算。
可以看到，工業物理網安全方面的研究將進一步推動工業物聯網的實現進程。需要跳出傳統安全思維來審視工業物聯網安全，以數據可編程為方向，以去中心為思想將成為發展的必然。
何有明：工業信息安全市場發展將呈現六大趨勢
浙江中控技術股份有限公司系統安全運行技術部經理何有明
影響工業安全未來發展趨勢的兩大行業背景：
一是新型冠狀病毒肺炎疫情將間接提速工業信息化技術的全面普及和應用進程。
二是等保2.0的正式實施，為工業信息安全提供了“合規”依據。
基于行業背景，工業信息安全的市場發展將呈現六大明顯趨勢：
（1）以滿足等保2.0為目標的解決方案的提供將逐漸成為工業信息安全市場主流
等保2.0“對標”參考系統的出現，讓工業企業信息系統的安全性得到保障，從而“單點”采購/工業防火墻/安全網關、主機安全、防病毒軟件等細分市場將會被等保2.0整體解決方案逐步替換。這種趨勢將帶來一次大的工業信息安全行業的洗牌，從而使整個行業逐步進入“正軌”。
（2） “實質符合”的需求產生的市場將進一步擴大
“形式符合”需求在很長一段時間內是工業信息安全行業的重要驅動力，但在兩化推進背景下，用戶的關注點將更多聚焦于“實質符合”，也就是要求供應商提供的產品和服務必須是以“解決工業信息安全問題”為目標，而非單個產品的參數指標。中控推出的以主機安全衛士Vxdefender、工業防火墻GW031、工業安全網關GW033、工業安全管理平臺GW033、全網診斷軟件Vxnetsight等全系列的工業信息安全產品就是基于這種考慮研發而成的。
（3）以“內建安全”為代表的控制系統工業信息安全加固產品將產生巨大的市場空間
“安全、可控”一直是工業信息安全追求的目標，尤其在國際形勢異常復雜的情況下，對于關系國計民生的基礎性行業企業等來說，將成為一種現實的技術性選擇。以“內建安全”為代表的控制系統工業信息安全加固產品，可緩解工業信息安全領域存在的突出問題。中控于2019年發布的“內建安全增強控制系統”系列產品，則填補了國內DCS工業信息安全的空白。
（4）工業信息安全專業服務將得到更多的重視
工業信息安全專業服務是完全可以獨立于產品提供而獨立存在的重要細分市場，包括典型的“安全評估”、“安全培訓”、“應急響應”、“安全運維”等在傳統IT領域內已經成熟的安全服務，將逐漸被移植到工業信息安全服務市場中。就像中控在縱深防御整體解決方案的基礎上提出的以“安全評估”、“安全運維”、“等保建設咨詢”為核心的網絡安全專業服務解決方案，已在很多工業企業中進行了深度應用。
（5）白名單技術將成為工業信息安全的基礎，甚至成為共識或行業標準
工業信息安全需求的技術特點主要是簡單、有效，而白名單技術恰好可以滿足這兩個要求，且在主機安全、網絡安全和邊界安全上均有重要作用。因此，基于白名單的主機保護軟件、網絡安全設施、邊界防御設施將迅速成為工業信息安全市場的主流。
（6）以物聯網技術為基礎的工業信息安全態勢感知平臺將得到更多應用
網絡安全一般是全面的，因為攻擊/滲透方式的復制幾乎是零成本。因此建立全網的安全態勢感知平臺，可以給網絡安全的運營者和管理者帶來一個全局和可視化的重要工具和手段，從而利于及時處理威脅和化減影響。隨著兩化技術的推進，安全態勢感知平臺應用一直存在的各種技術問題也將逐步得到解決，從而使這項技術得到更多應用。在平臺建設趨勢下，中控也希望能夠盡己之力，賦能用戶和社會。預計將在2020年建成“網絡安全運維服務中心SSOC”，通過該中心可以提供“事故”前風險管理、“事故”中應急響應處置、“事故”后網絡安全事件分析與朔源等全天候、全生命周期的工業信息安全服務。
馬霄：工業網絡安全行業需要進行對應能力的整合
北京天融信網絡安全技術有限公司工業網絡安全解決方案總監馬霄
工業網絡安全目前在國內仍處于探索階段，其關鍵因素在于相較于傳統網絡安全，安全對象存在較大的差異化，其脆弱性、適應性與傳統信息系統存在較大差距；同時目前國內工業控制領域相對封閉的市場合作環境也造成了工業網絡安全目前更多手段與能力更多體現在對網絡層面、即對報文（行為）的解析與還原分析方面；結合自動化領域的發展，工業網絡安全行業也需要進行對應能力的整合。
首先是內生安全這一層面，前面提及，自動化領域目前仍處于閉環生態，其管理協議、API接口、SDK等均不對第三方開放，所以信息化與自動化在研發層面的合作就至關重要，內生安全的應用有利于安全防護與檢測手段最大量的獲取有效分析數據源，從而擴大分析基礎、強化分析模型，最終提高對安全事件或動作的判定準確度。如當前工業網絡對行為分析多為控制協議解析還原，即對操作執行的過程分析，但缺少對運維階段的實時行為分析，其根本原因在于缺少解析運維協議的能力，通過深度內生安全合作，可有效解決上述問題。
其次是工業網絡安全能力的云化、池化，當前我國控制云相對較少，但伴隨著Microsoft對win7、win-XP相繼停止運維，新生代工控機對上述操作系統的不兼容，自動化用戶不得不面對系統升級或系統云化的艱難抉擇，考慮到系統升級的經濟成本及時間成本（系統升級往往伴隨著的工程升級），當前國際領域工業控制系統中上位系統虛擬化、云化已經成為普遍現象，在未來的3-5年我國工業也將面臨同樣的問題，如此具備工業網絡安全能力及特點的技術云化，也必將成為未來可期的發展方向。
再次是技術專業化，由于目前我國工業網絡安全人才缺口較大，且人員技術能力良莠不齊，存在將傳統網絡安全技術照搬至自動化領域的現象，不可否認該行為是可起到一定作用，但其產生的負面效應（誤報、漏報）以及經濟投入無疑對工業企業造成了新的負擔。考慮到自動化領域高可用性、高實時性的特點，在網絡安全技術設計、工程建設的工程中，與生產過程的深度整合將在未來更多地體現在用戶需求層面，如行為判定條件不僅依靠實際寄存器設定的閾值，還需要針對寄存器實際數值變化進行判定，這就要求安全策略需要建立在生產過程的基礎上，伴隨著我國技術領域能力的提升，這一層面將越來越多的體現。
除上述之外，技術的行業化、反制能力的構建、自動化領域敏感信息安全等均會在基礎技術成熟應用后蓬勃發展。
編輯精選
