工業互聯網當前的安全現狀如何

工業互聯網還處在發展初期，安全管理水平和安全防護水平相對較弱，安全事件頻發，主要體現在以下幾方面。

1. 攻擊頻繁影響大、手段專業方法多

   工業互聯網安全涉及工業控制、互聯網、信息安全三個交叉領域，面臨傳統網絡安全和工業控制安全雙重挑戰。自從震網病毒被發現至今，針對工業控制系統進行破壞活動的網絡攻擊頻發。

2. 工業控制系統廣暴露，安全漏洞多難補

   工業控制系統在互聯網上的暴露問題是工業互聯網安全的一個基本問題。所謂“暴露”，是指我們可以通過互聯網直接對某些與工業控制系統相關的工業組件，如工業控制設備、協議、軟件、系統等，進行遠程訪問或查詢。根據PositiveTechnologies 2019年4月發布的研究數據顯示：2018年全球工業控制系統聯網暴露組件總數量約為22.4萬個。

   造成工業控制系統暴露的主要原因之一是“商業網絡”與“工業網絡”的不斷融合。商業網絡與工業網絡的連通在拓展了工業控制系統發展空間的同時，也帶來了工業控制系統的網絡安全問題。近年來，企業為了管理與控制的一體化，實現生產和管理的高效率、高效益，普遍推進生產執行系統，實現管理信息網絡與控制網絡之間的數據交換，實現工業控制系統和管理信息系統的集成。但是，如果未能做好必要的分隔管控工作，就會導致原本封閉的工業控制系統，通過管理信息系統與互聯網互通、互聯后，直接面臨互聯網側的各類網絡攻擊風險。

3. 病毒木馬不敢殺，應對策略受局限

   基于Windows操作系統的個人計算機被廣泛應用于工業互聯網系統，因此易遭受病毒困擾。全球范圍內，每年都會發生數次大規模的病毒爆發事件。

   有些蠕蟲病毒隨著第三方補丁工具和安全軟件的普及，近些年來本已幾乎絕跡。但隨著永恒之藍、永恒之石等網絡攻擊武器的泄露，蠕蟲病毒又重新獲得了生存空間，其代表就是WannaCry病毒。由于對工業控制軟件與殺毒軟件兼容性的擔心，在操作站（HMI）中通常不安裝殺毒軟件，即使是有防病毒產品，其基于病毒庫查殺的機制在工業互聯網領域使用也有局限性。網絡的隔離性和保證系統的穩定性要求導致病毒庫升級總是滯后。因此，工業互聯網系統每年都會爆發病毒，出現大量新增病毒。在操作站中，U盤等即插即用存儲設備的隨意使用，使病毒更易傳播。

   針對工業互聯網存在的安全問題，業界也早已提出了一些安全防護架構和管理策略，其中典型的代表是NIST SP 800-82、IEC62443等國際工業互聯網領域指導性文獻的縱深防御架構。我國電網和少部分工業企業在安全防護上已經基本按照該原則進行部署并創新，如電網提出的“十六字方針”：安全分區、網絡專用、橫向隔離、縱向認證。

但是，上述原則在實踐中卻充滿了挑戰與局限。例如，在工業互聯網中，由于網絡邊界模糊，有時需要動態地在不同區域使用同一設備，會用到軟件定義網絡的高級功能，靜態分區存在難度；虛擬區域邊界部署防御，如防火墻、網閘、安全遠程訪問VPN等，這些設備只能做到對部分已知規則的防御，要進行及時動態更新難度較大。

在常見防御手段中，還包括在終端加入審計和應用程序白名單；在運營過程中的防御是進行漏洞掃描，并打補丁。但是，在工業互聯網中，為保證可用性、穩定性，很難做到在線掃描或實時掃描。而且即使掃描到了漏洞，企業也可能會因為擔心系統的可用性和穩定性被破壞，而最終選擇放棄補丁升級，或者干脆不升級。此外，在工業控制系統中，也確實有大量的漏洞難以找到合適的升級補丁。

其一，這些策略一般都屬于預置策略，然后防御，是一種被動的方式，類似“守株待兔”，而現今安全防御技術的主流思想是主動防御。其二，商業網絡與工業網絡被打通后，工業控制系統也將面臨海量商業網絡攻擊樣本的沖擊，而前述各種策略則沒有考慮到海量樣本帶來的安全大數據收集問題。其三，即便有了海量樣本和安全大數據，這些策略中也沒有系統考慮樣本分析的問題。對于工業企業來說，一般沒有經費和人力去構建強大的分析能力系統。其四，這些策略中也沒有考慮在多個工業企業之間建立安全信息分享機制，無法形成協同防御的能力。最后，這些策略沒有系統地考慮未知威脅檢測的問題。因此，工業互聯網實際上需要建立一種能夠跨越物理世界（包括直接可觀測性）、網絡世界（包括保留數據的使用權）和商業世界（包括產權和訂立合同的權利）的一體化安全手段，并且可以對攻擊進行追蹤和溯源。

工業互聯網安全現狀較差存在以下風險：

• 通用脆弱性：為推動互聯互通，工業互聯網往往采用公開協議及通用操作系統，但這種兼容性降低了攻擊門檻。通信和計算資源受限，技術措施難以疊加。產業生態尚未建立，安全責任主體難以明確。

• 平臺脆弱性：多數工業互聯網平臺缺乏安全框架，安全策略不明確，權限控制難以有效實施。從各層來看，如IaaS層的脆弱性在于虛擬機逃逸、跨虛擬機側信道攻擊、鏡像篡改等。PaaS層的脆弱性在于敏感信息泄露等威脅。SaaS層的脆弱性在于App漏洞、API通信安全、用戶權限管控、開發者惡意代碼植入等。

• 隔離策略局限性：傳統以隔離和訪問控制為主的被動防御策略并不適合工業互聯網開放互聯環境下動態、主動的防御策略需求，邊界模糊、海量設備及異構網絡互聯會帶來隔離策略實施的不確定性。

• 本體脆弱性：設備與系統漏洞眾多，缺乏有效補丁或難以實施補丁修復，且國外設備和系統眾多，未知后門與漏洞難以有效管控。

• 數據脆弱性：數據流動方向和路徑復雜，防護難度較大，竊聽、攔截、篡改、丟失、惡意加密勒索時有發生，且數據存取的及時性和安全性也面臨較大挑戰。

• 管理脆弱性：熟悉工業控制和信息安全的復合型人才嚴重缺乏、培訓不充分、安全意識不足、技術能力不足、有效監測度量缺乏等。

• 物理脆弱性：機房、設備、辦公區域缺乏有效的物理保護，供電不穩定，以及自然災害，電磁干擾等。

工業互聯網安全防護要點有以下這些：

• 調整優化工控網絡架構：合理劃分網絡區域，建立進出工業控制生產網的安全控制點。在控制網與IT網之間進行安全邏輯隔離或者單向物理隔離；建立控制網與IT網之間可控的應用與數據交換區（視業務特點與數據重要程度）；在控制網內進行無線局域網（WLAN）安全組網與嚴格訪問權限控制；對現場控制設備與非現場控制設備分離組網，通過獨立管理區進行現場設備的控制管理（視網絡規模與管理復雜度而定）。

• 建立工控網絡縱深防御體系：對進出控制網的網絡流量進行白名單控制，部署威脅檢測、行為監測、訪問控制以及安全審計設備，阻擋外網與控制網絡的不安全通信。完整審計通信記錄，實現對控制系統的安全防護與異常追溯。

• 加強工控主機安全防護：對工程師站、操作站（HMI）、SCADA服務器、MES服務器、實時數據庫服務器等工業主機實施病毒查殺、白名單管控、系統加固、U盤與外設管控等安全措施，確保工業主機與服務器設備的穩定運行。

• 建設工控網絡遠程訪問安全接入點：在安全接入點對進出控制網的流量進行身份認證、數據加解密、訪問控制以及威脅檢測。若遠端設備通過有線或無線撥號連接控制網，則建立VPN隧道，實現對遠程運維接入和遠程終端單元（RTU）數據傳輸的風險控制。

• 建設工業互聯網安全接入點在接入點：對企業網與工業互聯網平臺之間的流量進行身份認證、數據加密、訪問控制以及威脅檢測。控制網內通過無線（WLAN、4G/5G）發送的數據，則統一導流至邊緣計算安全網關，保障聯網的工業設備、工業應用免受互聯網威脅，保障工業數據的安全傳輸與使用。

• 建立工控網絡安全監測體系：在控制網部署工業安全流量探針、日志探針，實時監測網絡攻擊行為，采集設備安全日志，獲取工控資產、系統漏洞信息，監測非法設備接入（如非受控U盤、第三方運維設備）以及控制網設備非法外聯。所有監測數據匯總至工業安全態勢感知平臺，實現工控網絡安全可視，滿足法律合規要求。

• 建設工業安全態勢感知平臺：采集工控網絡的資產、漏洞、威脅、行為等數據，統一匯總至工業安全態勢感知平臺集中分析，并進行可視化呈現，實現對控制網的整體安全監控；對工業互聯網安全態勢監管平臺開放接口，實現與行業監管機構的事件通報和處置聯動。

• 建立邊緣計算云平臺安全防護體系：在邊緣計算中心搭建可持續運營的彈性的云安全管理與服務平臺，覆蓋云外南北向訪問控制、云內東西向訪問控制、主機防護、漏洞管理、Web安全防護以及流量與行為審計，通過虛擬安全資源池的方式為不同應用按需提供安全防護能力。在云平臺部署零信任身份認證管理系統，嚴格控制用戶訪問云平臺應用權限；部署數據泄露防護系統，保護工業大數據安全。

• 建設工控安全仿真驗證平臺：按照生產場景等比例搭建仿真環境，模擬實際生產控制過程，對工控網絡安全進行全面滲透評估，對安全防護方案進行可行性研究與充分測試驗證。除了評估現網系統的安全，仿真平臺還可以進行核心控制設備（PLC、DCS）的可靠性研究，以及工藝安全研究。