霍朝賓，賀敏超，劉思洋

(中國電子信息產(chǎn)業(yè)集團(tuán)有限公司第六研究所， 北京 102209)

0 引言

工業(yè)控制系統(tǒng)在電力、能源、化工、交通等領(lǐng)域有著廣泛的應(yīng)用，是工業(yè)基礎(chǔ)設(shè)施的核心組成部分，也是國民經(jīng)濟(jì)和國家安全重要基礎(chǔ)，是推動(dòng)中國制造2025、制造業(yè)與互聯(lián)網(wǎng)融合發(fā)展的重要保障。隨著“工業(yè)4.0”時(shí)代的來臨和“兩化融合”腳步的加快，互聯(lián)網(wǎng)、云計(jì)算等新興技術(shù)與傳統(tǒng)系統(tǒng)相結(jié)合，工業(yè)由傳統(tǒng)產(chǎn)業(yè)向數(shù)字化、網(wǎng)絡(luò)化和智能化轉(zhuǎn)型升級(jí)，封閉式工控系統(tǒng)逐漸演變到開放式網(wǎng)絡(luò)系統(tǒng)，隨之而來的網(wǎng)絡(luò)安全威脅日益蔓延。國外設(shè)備后門、工控及IT設(shè)備的漏洞、黑色產(chǎn)業(yè)鏈共享協(xié)作的工業(yè)蠕蟲病毒、國外勢(shì)力資助的高級(jí)持續(xù)性攻擊愈演愈烈[1]。如何搭建工業(yè)信息安全技術(shù)試驗(yàn)、檢測(cè)、評(píng)估和攻防演練的高擬合、高仿真、高可擴(kuò)展的安全試驗(yàn)驗(yàn)證平臺(tái)，實(shí)現(xiàn)工業(yè)信息安全漏洞、后門的檢測(cè)、驗(yàn)證和及時(shí)修復(fù)，清除工業(yè)互聯(lián)網(wǎng)中存在信息安全隱患，成為目前工控系統(tǒng)信息安全測(cè)評(píng)亟需解決的問題之一。

1 工控系統(tǒng)安全試驗(yàn)平臺(tái)發(fā)展現(xiàn)狀

隨著工控安全越來越受到各國重視，美國、英國、加拿大、日本、俄羅斯等都在加強(qiáng)工控驗(yàn)證平臺(tái)的建設(shè)，如2014年6月，北大西洋公約組織在塔林建立 NATO的網(wǎng)絡(luò)靶場(chǎng)，支持工控網(wǎng)的攻防測(cè)試等。

國內(nèi)工業(yè)信息安全驗(yàn)證類的平臺(tái)建設(shè)起步較晚，主要集中在一些高校實(shí)驗(yàn)室、科研院所、工控企業(yè)及工控安全產(chǎn)品廠商。高校實(shí)驗(yàn)室主要以虛擬環(huán)境、軟件模擬為主，用于演示和研究；科研院所基于水利或電力等重點(diǎn)行業(yè)的工控安全仿真環(huán)境，以軟件模擬為主，用于工控協(xié)議的研究；工控企業(yè)主要模擬工業(yè)現(xiàn)場(chǎng)物理環(huán)境以及行業(yè)業(yè)務(wù)系統(tǒng)，用于產(chǎn)品功能驗(yàn)證；工控安全產(chǎn)品廠商，搭建小型的演示、測(cè)試工控安全實(shí)驗(yàn)平臺(tái)，對(duì)產(chǎn)品進(jìn)行兼容性以及功能測(cè)試[2]。但是，目前普遍存在如下問題：

(1)多為網(wǎng)絡(luò)拓?fù)?、操作系統(tǒng)、業(yè)務(wù)系統(tǒng)的復(fù)現(xiàn)，缺乏對(duì)用戶行為的復(fù)現(xiàn)能力，在資源受限條件下，復(fù)現(xiàn)規(guī)模、逼真度、復(fù)現(xiàn)速度難以平衡；

(2)過度強(qiáng)調(diào)真實(shí)物理場(chǎng)景，試驗(yàn)不夠靈活、高效，難以適應(yīng)分布式試驗(yàn)任務(wù)和多樣化用戶需求；

(3)測(cè)試手段單一，交互程度低，自動(dòng)化、智能化手段不足，攻防模型難以適應(yīng)攻防技術(shù)的飛速發(fā)展；

(4)難以支撐開放式、分布式試驗(yàn)任務(wù)以及資源配置[3]。

2 工業(yè)信息安全試驗(yàn)平臺(tái)設(shè)計(jì)方案

為解決目前工控系統(tǒng)安全試驗(yàn)平臺(tái)面臨的問題，本文提出了一種基于云的工業(yè)信息安全試驗(yàn)平臺(tái)架構(gòu)設(shè)計(jì)方案。針對(duì)傳統(tǒng)測(cè)試環(huán)境搭建復(fù)雜，質(zhì)量差，實(shí)時(shí)度低等問題，運(yùn)用云計(jì)算技術(shù)及模式的創(chuàng)新思路與手段，提出了測(cè)試資源在計(jì)算、存儲(chǔ)、網(wǎng)絡(luò)方面的測(cè)試環(huán)境快速定制方法，同時(shí)，針對(duì)測(cè)試效率低、測(cè)試周期長等問題，提出了知識(shí)庫管理應(yīng)用方法。

工業(yè)信息安全試驗(yàn)平臺(tái)涵蓋通用工控設(shè)備、網(wǎng)絡(luò)設(shè)備，虛擬計(jì)算、存儲(chǔ)、網(wǎng)絡(luò)資源，虛擬安全攻防資源，構(gòu)建包括現(xiàn)場(chǎng)設(shè)備、控制器、過程監(jiān)控、典型工控業(yè)務(wù)的仿真平臺(tái)，平臺(tái)系統(tǒng)架構(gòu)如圖1所示。

圖1 工業(yè)信息安全試驗(yàn)平臺(tái)系統(tǒng)架構(gòu)圖

(1)硬件資源層

硬件資源層提供工業(yè)信息安全試驗(yàn)平臺(tái)運(yùn)行的硬件資源，包括虛擬計(jì)算資源和運(yùn)維管理資源。

虛擬計(jì)算資源由經(jīng)過專業(yè)配置的服務(wù)器提供，其具有測(cè)試業(yè)務(wù)實(shí)施所需的硬件配置、操作系統(tǒng)和網(wǎng)絡(luò)配置。在云計(jì)算資源管理后臺(tái)，通?？梢栽?0～60 s的時(shí)間之內(nèi)獲得任意數(shù)量測(cè)試業(yè)務(wù)所需的主機(jī)，這一特性使得測(cè)試業(yè)務(wù)的實(shí)施可以完全動(dòng)態(tài)、按需使用計(jì)算能力。

運(yùn)維管理資源負(fù)責(zé)監(jiān)控系統(tǒng)狀態(tài)，為系統(tǒng)安全穩(wěn)定運(yùn)行提供保障。

(2)虛擬資源層

虛擬資源層包括虛擬網(wǎng)絡(luò)仿真模型資源和虛擬網(wǎng)絡(luò)資源。

虛擬網(wǎng)絡(luò)仿真模型包括網(wǎng)絡(luò)模型庫、傳感器網(wǎng)絡(luò)模型庫、無線模型庫和UMTS模型庫。網(wǎng)絡(luò)模型庫主要包括VoIP、H225、SIP等協(xié)議模型；傳感器網(wǎng)絡(luò)模型庫支持802.15.4(ZigBee)標(biāo)準(zhǔn)；無線模型庫可以用于802.11a/b無線網(wǎng)絡(luò)和MANET網(wǎng)絡(luò)的建模；UMTS模型庫支持移動(dòng)通信技術(shù)標(biāo)準(zhǔn)。

虛擬網(wǎng)絡(luò)資源包括工業(yè)以太網(wǎng)、現(xiàn)場(chǎng)總線、無線網(wǎng)絡(luò)和點(diǎn)對(duì)點(diǎn)傳輸網(wǎng)絡(luò)。云計(jì)算資源管理后臺(tái)的網(wǎng)絡(luò)系統(tǒng)以SDN方式來實(shí)現(xiàn)，具備二層網(wǎng)絡(luò)和三層網(wǎng)絡(luò)的功能，分別稱之為路由器和私有網(wǎng)絡(luò)(VxNet)。路由器用于多個(gè)受管私有網(wǎng)絡(luò)之間互聯(lián)，并提供五項(xiàng)附加服務(wù)：DHCP 服務(wù)、端口轉(zhuǎn)發(fā)、隧道服務(wù)、VPN服務(wù)、過濾控制，涵蓋了常用的網(wǎng)絡(luò)配置與管理工作。私有網(wǎng)絡(luò)(VxNet)全稱是Virtual Extensible Network，類似物理世界中使用交換機(jī)將多臺(tái)物理服務(wù)器連接在一起組成的局域網(wǎng)。虛擬網(wǎng)絡(luò)在傳統(tǒng)網(wǎng)絡(luò)的基礎(chǔ)上，還增加了工業(yè)以太網(wǎng)與現(xiàn)場(chǎng)總線網(wǎng)絡(luò)，模擬工業(yè)生產(chǎn)環(huán)境中的真實(shí)流量。

(3)虛實(shí)網(wǎng)絡(luò)互聯(lián)

實(shí)現(xiàn)虛擬網(wǎng)絡(luò)與實(shí)物網(wǎng)絡(luò)設(shè)備之間的通信，將虛擬網(wǎng)絡(luò)與實(shí)物網(wǎng)絡(luò)有機(jī)結(jié)合成一個(gè)具備統(tǒng)一網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)和邏輯視圖的目標(biāo)網(wǎng)絡(luò)，提供更加逼真的網(wǎng)絡(luò)環(huán)境。

虛擬網(wǎng)絡(luò)通過虛實(shí)互聯(lián)服務(wù)器與實(shí)物網(wǎng)絡(luò)之間建立一個(gè)中間映射層實(shí)現(xiàn)虛實(shí)網(wǎng)絡(luò)互聯(lián)，系統(tǒng)通過解析虛實(shí)網(wǎng)絡(luò)配置獲得虛實(shí)網(wǎng)絡(luò)邊界信息，根據(jù)轉(zhuǎn)發(fā)關(guān)系對(duì)相關(guān)實(shí)物網(wǎng)絡(luò)接口進(jìn)行配置，使實(shí)物網(wǎng)絡(luò)設(shè)備與虛實(shí)互聯(lián)服務(wù)器能夠正常通信。

(4)綜合管理系統(tǒng)

綜合管理系統(tǒng)負(fù)責(zé)設(shè)計(jì)和建設(shè)典型的工控系統(tǒng)試驗(yàn)場(chǎng)景，可管理典型的工控系統(tǒng)攻防試驗(yàn)任務(wù)，包括配置管理、資源管理、試驗(yàn)任務(wù)管理、量化評(píng)估、技術(shù)實(shí)訓(xùn)和知識(shí)庫。

配置管理完成進(jìn)行試驗(yàn)相關(guān)的配置工作，主要包括系統(tǒng)拓?fù)浣Y(jié)構(gòu)編輯、運(yùn)行環(huán)境配置以及軟硬件應(yīng)用配置等。

資源管理實(shí)現(xiàn)對(duì)虛擬網(wǎng)絡(luò)仿真模型資源、虛擬網(wǎng)絡(luò)資源、虛擬計(jì)算資源等進(jìn)行統(tǒng)一管理。

試驗(yàn)任務(wù)管理提供試驗(yàn)任務(wù)設(shè)計(jì)和構(gòu)建、試驗(yàn)任務(wù)進(jìn)程控制、試驗(yàn)日志保存和檢索等功能。

量化評(píng)估通過研究工業(yè)信息安全測(cè)試的各個(gè)層面、各個(gè)維度的性質(zhì)，建立涵蓋各種性質(zhì)的多維度、多層次、可配置的、全面的測(cè)試效能評(píng)估模型。包括：

1)多層次多緯度效能指數(shù)的選?。?/p>

2)多模式效能指數(shù)的計(jì)算；

3)自適應(yīng)效能指標(biāo)體系的配置；

4)自反饋的效能度量模型評(píng)估。

技術(shù)實(shí)訓(xùn)用于培訓(xùn)工控網(wǎng)絡(luò)安全防護(hù)人員的基礎(chǔ)理論和防御技能，包括課程學(xué)習(xí)、實(shí)際操作、培訓(xùn)考試、工控安全對(duì)抗場(chǎng)景搭建及訓(xùn)練等功能。

圖2 自動(dòng)化測(cè)試流程圖

知識(shí)庫集成了案例庫、用例庫、缺陷庫以及標(biāo)準(zhǔn)庫，用于收集測(cè)試信息進(jìn)行分類統(tǒng)計(jì)，積累測(cè)試經(jīng)歷，方便同類型測(cè)試參考及調(diào)用。

(5)測(cè)試環(huán)境

通過可視化方式將資源拖拽添加到系統(tǒng)界面，劃線建立設(shè)備間的連接關(guān)系，設(shè)置IP地址等網(wǎng)絡(luò)信息。系統(tǒng)將拓?fù)湫畔l(fā)送過后臺(tái)的資源管理模塊。測(cè)試網(wǎng)絡(luò)節(jié)點(diǎn)調(diào)度模塊，將根據(jù)拓?fù)湫畔ⅲ加酶黝悳y(cè)試資源，快速構(gòu)建測(cè)試環(huán)境。測(cè)試環(huán)境提供工控系統(tǒng)中常用的信息安全設(shè)備如防火墻、入侵檢測(cè)產(chǎn)品、網(wǎng)閘等[4]，以及工控設(shè)備如PLC、DCS、RTU等，用于構(gòu)建更加真實(shí)的工業(yè)網(wǎng)絡(luò)環(huán)境。

(6)測(cè)試工具集

測(cè)試工具集提供對(duì)工控系統(tǒng)進(jìn)行測(cè)試的各類工具，包括信息安全檢查工具、攻擊流量生成工具和漏洞挖掘工具。

信息安全檢查工具具備主機(jī)調(diào)查、漏洞掃描、自動(dòng)化滲透攻擊等功能，對(duì)控制系統(tǒng)的主機(jī)，web應(yīng)用進(jìn)行漏洞掃描，對(duì)主流數(shù)據(jù)庫進(jìn)行漏洞掃描，對(duì)主機(jī)操作系統(tǒng)進(jìn)行安全基線配置核查，能夠綜合利用國外多種網(wǎng)絡(luò)攻擊手段、攻擊系統(tǒng)，對(duì)信息系統(tǒng)進(jìn)行安全風(fēng)險(xiǎn)評(píng)估[5]。

攻擊流量生成工具能夠模擬高速網(wǎng)絡(luò)流量和海量客戶端行為，提供高性能測(cè)試能力；模擬數(shù)千種安全攻擊，能夠?qū)崟r(shí)加載新型攻擊手段提供攻擊模擬能力；定制專有協(xié)議和攻擊，能夠模擬各種應(yīng)用，并且能夠方便快捷地?cái)U(kuò)展對(duì)新應(yīng)用的支持[6]。

漏洞挖掘工具實(shí)現(xiàn)針對(duì)SCADA、現(xiàn)場(chǎng)總線、數(shù)字化設(shè)計(jì)制造軟件的漏洞掃描，實(shí)現(xiàn)針對(duì)Schneider、Simens、Vxworks等DCS控制器嵌入式軟件(包括PLC等)的漏洞掃描，具備發(fā)現(xiàn)漏洞、評(píng)估漏洞、展示漏洞、跟蹤漏洞等完備的漏洞管理能力[7]。

3 自動(dòng)化測(cè)試過程

試驗(yàn)平臺(tái)接收到測(cè)試任務(wù)，對(duì)測(cè)試資源統(tǒng)一調(diào)度、動(dòng)態(tài)驅(qū)動(dòng)、實(shí)時(shí)監(jiān)控、狀態(tài)檢測(cè)，通過測(cè)試執(zhí)行框架實(shí)現(xiàn)了對(duì)測(cè)試過程的自動(dòng)化、標(biāo)準(zhǔn)化管理和控制。知識(shí)庫為產(chǎn)品測(cè)試任務(wù)提供了具體檢測(cè)標(biāo)準(zhǔn)，為自動(dòng)化測(cè)試系統(tǒng)提供測(cè)試用例、測(cè)試拓?fù)洹y(cè)試腳本等測(cè)試資源[8]。

試驗(yàn)平臺(tái)依據(jù)測(cè)試大綱，自動(dòng)調(diào)度、驅(qū)動(dòng)和監(jiān)控測(cè)試資源、自動(dòng)運(yùn)行測(cè)試過程、自動(dòng)收集測(cè)試數(shù)據(jù)、自動(dòng)判定測(cè)試結(jié)果、測(cè)試過程可視化，實(shí)現(xiàn)自動(dòng)、高效的測(cè)試。測(cè)試過程如圖2所示。

準(zhǔn)備階段：向資源管理申請(qǐng)資源，資源管理檢查滿足的空閑資源池，根據(jù)最優(yōu)算法，動(dòng)態(tài)調(diào)度資源分配給自動(dòng)化系統(tǒng)，邏輯和物理資源映射，檢查資源有效性和可用性，測(cè)試腳本格式；

配置階段：根據(jù)拓?fù)湫畔?，管理網(wǎng)絡(luò)設(shè)備，包括虛擬和實(shí)體的，劃分VLAN，自動(dòng)構(gòu)建環(huán)境，配置被測(cè)設(shè)備、配置測(cè)試服務(wù)器的如IP地址網(wǎng)關(guān)、配置測(cè)試工具參數(shù)、配置測(cè)試儀表；

運(yùn)行測(cè)試：自動(dòng)過濾無效信息，多角度綜合分析測(cè)試數(shù)據(jù)，智能判定測(cè)試執(zhí)行結(jié)果，并能夠生產(chǎn)格式化測(cè)試報(bào)告；

結(jié)束階段：拆除環(huán)境，釋放資源。

4 平臺(tái)優(yōu)勢(shì)

工業(yè)信息安全試驗(yàn)平臺(tái)采用云計(jì)算技術(shù)，集成軟硬件測(cè)試工具，并通過綜合管理系統(tǒng)對(duì)知識(shí)庫進(jìn)行配置管理，優(yōu)勢(shì)主要在于：

(1)節(jié)約成本。隨著工控系統(tǒng)測(cè)試需求的頻繁變化，測(cè)試需要不斷部署新的設(shè)備，使用云的模式，提供了可在云端部署、配置的測(cè)試環(huán)境，集成大量測(cè)試工具集，極大地減少了成本投入。

(2)真實(shí)模擬。試驗(yàn)平臺(tái)通過網(wǎng)絡(luò)拓?fù)鋭澐植煌瑴y(cè)試環(huán)境，以可視化的形式去描述網(wǎng)絡(luò)態(tài)勢(shì)，實(shí)現(xiàn)真實(shí)模擬應(yīng)用場(chǎng)景，解決了實(shí)際環(huán)境中的大規(guī)模網(wǎng)絡(luò)測(cè)試；能夠更加真實(shí)地模擬分布式的虛擬用戶環(huán)境，明確需求和定位，模擬工業(yè)環(huán)境包含異構(gòu)操作系統(tǒng)，能夠滿足不同測(cè)試工具對(duì)操作系統(tǒng)的需求。

(3)按需提供。測(cè)試過程中，不了解測(cè)試需求，導(dǎo)致測(cè)試資源的極大浪費(fèi)，而基于云的試驗(yàn)平臺(tái)提供了一種按需測(cè)試的方式，可以靈活按需地部署測(cè)試資源、工業(yè)環(huán)境，當(dāng)測(cè)試完后可以釋放相關(guān)資源。

(4)早期測(cè)試。利用試驗(yàn)平臺(tái)可以實(shí)現(xiàn)研發(fā)并行測(cè)試，各種大型試驗(yàn)交叉并行開展，開發(fā)和測(cè)試并行推進(jìn)，不必最后才進(jìn)行單元、集成、系統(tǒng)及產(chǎn)品級(jí)等測(cè)試，能夠顯著提高效率。

5 結(jié)論

工業(yè)信息安全試驗(yàn)平臺(tái)通過虛實(shí)互聯(lián)技術(shù)、基于真實(shí)工控設(shè)備和通用資源，搭建重點(diǎn)行業(yè)關(guān)鍵場(chǎng)景，可用于針對(duì)工控安全領(lǐng)域前沿的相關(guān)試驗(yàn)，具備工控網(wǎng)絡(luò)安全評(píng)估、工控系統(tǒng)及安全產(chǎn)品測(cè)試、工控安全實(shí)訓(xùn)等功能。未來可通過對(duì)工業(yè)信息安全試驗(yàn)平臺(tái)的升級(jí)改造，用于打造工業(yè)內(nèi)網(wǎng)、外網(wǎng)一體化的工業(yè)互聯(lián)網(wǎng)深度安全防護(hù)體系，并實(shí)現(xiàn)各行業(yè)工控系統(tǒng)自主化替代的目標(biāo)。

[1] 陳潤瑜.云計(jì)算平臺(tái)的安全性分析[J].科技風(fēng),2016(23):117.

[2] 聶如云.云服務(wù)系統(tǒng)任務(wù)調(diào)度負(fù)載均衡的研究[D].北京：首都經(jīng)濟(jì)貿(mào)易大學(xué),2016.

[3] 劉杰,云雷，汪序培.面向第三方的云平臺(tái)可信測(cè)試方案[J].電子質(zhì)量,2015(12)：31-35.

[4] 俞優(yōu).工業(yè)控制系統(tǒng)信息安全產(chǎn)品的測(cè)試平臺(tái)開發(fā)[D].上海：華東理工大學(xué),2017.

[5] 周培源,彭凱鋒.虛擬實(shí)驗(yàn)平臺(tái)信息安全架構(gòu)設(shè)計(jì)[J].武漢科技學(xué)院學(xué)報(bào),2010,23(3):45-48.

[6] 李程遠(yuǎn)，范紅，李海濤,等.云平臺(tái)信息安全整體保護(hù)技術(shù)研究[J].信息安全與技術(shù),2011(9):65-70.

[7] 梁軍學(xué).未來護(hù)糧網(wǎng)實(shí)驗(yàn)平臺(tái)若干關(guān)鍵技術(shù)研究[D].北京：北京郵電大學(xué),2015.

[8] 曹麗，姜毅，甘春梅,等.云計(jì)算軟件測(cè)試平臺(tái)的構(gòu)建[J].現(xiàn)代圖書情報(bào)技術(shù),2012(11)：34-39.