李斌 張俊杰

摘? ?要：當(dāng)前，國(guó)內(nèi)許多企業(yè)都在開(kāi)展工業(yè)互聯(lián)網(wǎng)建設(shè)。與傳統(tǒng)IT網(wǎng)絡(luò)不同，工業(yè)互聯(lián)網(wǎng)因與企業(yè)生產(chǎn)系統(tǒng)相連，無(wú)法直接照搬IT網(wǎng)絡(luò)的安全管控措施，否則企業(yè)正常生產(chǎn)將面臨嚴(yán)重威脅。文章從保證企業(yè)正常生產(chǎn)的角度出發(fā)，在安全管控建設(shè)措施上探討平衡點(diǎn)，同時(shí)易于企業(yè)部署、運(yùn)維，總結(jié)出了適合大型制造業(yè)的工業(yè)互聯(lián)網(wǎng)安全最佳實(shí)踐。

關(guān)鍵詞：工業(yè)互聯(lián)網(wǎng);IT;安全;OT;SCADA

中圖分類(lèi)號(hào)： TP393.1? ? ? ? ? 文獻(xiàn)標(biāo)識(shí)碼：B

Abstract： At present， many domestic enterprises are carrying out industrial Internet construction. Unlike the traditional IT network， the Industrial Internet cannot directly copy the security management and control measures of the IT network because it is connected to the production system of the enterprise. Otherwise， the normal production of the enterprise will face serious threats. From the perspective of ensuring the normal production of enterprises， this article discusses the balance point in the safety management and control measures， at the same time it is easy for enterprises to deploy， operate and maintain， and summarizes the best practices of industrial Internet security suitable for large manufacturing industries

Key words： industrial internet; it; security; ot; scada

1 引言

工業(yè)互聯(lián)網(wǎng)是全球工業(yè)系統(tǒng)與高級(jí)計(jì)算、分析、感應(yīng)技術(shù)以及互聯(lián)網(wǎng)連接融合的結(jié)果，中國(guó)是傳統(tǒng)的制造業(yè)大國(guó)，也是世界第二大經(jīng)濟(jì)體，其產(chǎn)業(yè)鏈的融合、創(chuàng)新等發(fā)展對(duì)國(guó)家綜合實(shí)力提高尤為重要。在全球倡導(dǎo)智能制造的大前提下，各國(guó)為了推動(dòng)制造業(yè)的改革，都提出了“發(fā)展工業(yè)制造”戰(zhàn)略，其本質(zhì)都是利用互聯(lián)網(wǎng)、物聯(lián)網(wǎng)、大數(shù)據(jù)、云計(jì)算或AI等先進(jìn)的信息技術(shù)，推動(dòng)制造業(yè)的數(shù)字化轉(zhuǎn)型。對(duì)制造業(yè)而言，轉(zhuǎn)型的方向毋庸置疑，但是在轉(zhuǎn)型過(guò)程中需要面對(duì)諸多挑戰(zhàn)，而其中安全問(wèn)題尤為突出。

轉(zhuǎn)型前生產(chǎn)網(wǎng)絡(luò)是一個(gè)孤島網(wǎng)絡(luò)，外界無(wú)法訪問(wèn)，威脅也就無(wú)法入侵。但是，轉(zhuǎn)型后生產(chǎn)網(wǎng)與互聯(lián)網(wǎng)融合，這就導(dǎo)致了生產(chǎn)網(wǎng)將面臨著來(lái)自互聯(lián)網(wǎng)上的所有威脅，像病毒、漏洞、黑客攻擊等，任何一個(gè)威脅如果控制不好，都將給生產(chǎn)網(wǎng)帶來(lái)毀滅性的打擊。歷史上也不乏這種典型的案例，如2016年烏克蘭電網(wǎng)遭受攻擊事件，伊朗核電站遭受震網(wǎng)病毒攻擊事件，這些在IT網(wǎng)絡(luò)中看似平常不過(guò)的威脅，在生產(chǎn)網(wǎng)中卻帶來(lái)了毀滅性的打擊。因此，在數(shù)字化轉(zhuǎn)型的背景下，制造業(yè)迫在眉睫地需要解決的就是工業(yè)網(wǎng)絡(luò)的安全問(wèn)題。

2 數(shù)字化轉(zhuǎn)型下工業(yè)互聯(lián)網(wǎng)的業(yè)務(wù)與技術(shù)的變革

2.1 工作負(fù)載和應(yīng)用逐漸向云端遷移

在數(shù)字轉(zhuǎn)型過(guò)程中，企業(yè)往往會(huì)把應(yīng)用、數(shù)據(jù)等遷移到云端，使用云端的SaaS服務(wù)或者IaaS、PaaS架構(gòu)，來(lái)擴(kuò)展企業(yè)物理數(shù)據(jù)中心的方式，實(shí)現(xiàn)業(yè)務(wù)快速交付、彈性增長(zhǎng)等目標(biāo)，從而實(shí)現(xiàn)業(yè)務(wù)的快速轉(zhuǎn)型。此外，許多企業(yè)還會(huì)使用私有云和公有云的混合云架構(gòu)，導(dǎo)致出現(xiàn)更大的攻擊面和維護(hù)的復(fù)雜性。

2.2 涵蓋多個(gè)環(huán)境的IoT設(shè)備的爆炸性增長(zhǎng)

物聯(lián)網(wǎng)（IoT）設(shè)備的范圍很廣，從開(kāi)關(guān)、打印機(jī)到機(jī)械臂、數(shù)控機(jī)床等，無(wú)所不包。然而，由于缺乏內(nèi)置的安全特性，這些設(shè)備將面臨著巨大的安全挑戰(zhàn)。由于IoT類(lèi)設(shè)備的資源限制、數(shù)量巨大等原因，端點(diǎn)安全解決方案對(duì)這類(lèi)設(shè)備基本無(wú)能為力，以至形成安全隱患。

2.3 業(yè)務(wù)將覆蓋多個(gè)地理分布式的區(qū)域

目前，許多企業(yè)的業(yè)務(wù)將呈現(xiàn)多地理位置的分布式增長(zhǎng)，企業(yè)分支機(jī)構(gòu)的流量因SaaS應(yīng)用、視頻、VoIP語(yǔ)音而呈指數(shù)級(jí)增長(zhǎng)。然而，地理分布式的企業(yè)網(wǎng)絡(luò)環(huán)境，常常缺乏對(duì)用戶、設(shè)備、應(yīng)用等維度的可視化。而企業(yè)分支機(jī)構(gòu)必須回連總部，進(jìn)行數(shù)據(jù)獲取、傳輸?shù)葎?dòng)作，企業(yè)分支機(jī)構(gòu)的安全隱患就有可能向整個(gè)企業(yè)擴(kuò)散。

3 工業(yè)互聯(lián)網(wǎng)面臨的安全威脅分析

3.1 攻擊面的放大

敏感數(shù)據(jù)現(xiàn)在駐留在多云甚至IoT設(shè)備上，數(shù)據(jù)在Internet而不是私有網(wǎng)絡(luò)中移動(dòng)，而且擴(kuò)展到網(wǎng)絡(luò)邊界（無(wú)線接入、移動(dòng)終端、工業(yè)OT網(wǎng)絡(luò)），這種動(dòng)態(tài)、不斷變化的攻擊。會(huì)使得企業(yè)傳統(tǒng)的基于物理邊界的安全防護(hù)模型，不再有效。為了應(yīng)對(duì)動(dòng)態(tài)攻擊面帶來(lái)的安全隱患，很多企業(yè)部署了大量分散的點(diǎn)防護(hù)安全產(chǎn)品，這些安全產(chǎn)品無(wú)法做到互聯(lián)，因?yàn)橄嗷ラg無(wú)法集成，這種分散式的安全架構(gòu)，會(huì)帶來(lái)一些低效和安全漏洞。

3.2 更加復(fù)雜的安全威脅

安全威脅的數(shù)量和速度都在快速增長(zhǎng)，黑產(chǎn)市場(chǎng)上Malware-as-Service（MaaS，惡意軟件即服務(wù)）的出現(xiàn)是重要原因之一。同時(shí)，高級(jí)威脅變得愈加復(fù)雜和精巧。許多安全威脅是同時(shí)多維度、多個(gè)點(diǎn)的并發(fā)攻擊，一次針對(duì)企業(yè)的攻擊，可以是在企業(yè)的網(wǎng)絡(luò)中心、邊界、云端全方位進(jìn)行。這些復(fù)雜的攻擊同時(shí)也變得更加難以檢測(cè)，更加難以實(shí)施滲透防御。除了檢測(cè)之外，快速移除安全威脅變得至關(guān)重要。

3.3 安全管理和運(yùn)維的難度增加

單點(diǎn)安全產(chǎn)品的增加和離散式的安全架構(gòu)，增加了企業(yè)的網(wǎng)絡(luò)安全管理的復(fù)雜度。大型企業(yè)會(huì)使用多個(gè)安全解決方案來(lái)解決一個(gè)安全防護(hù)問(wèn)題，在離散式安全架構(gòu)中，這些解決方案通常無(wú)法進(jìn)行互通互聯(lián)。復(fù)雜性的增加也加重了安全團(tuán)隊(duì)的壓力，企業(yè)無(wú)法僅僅通過(guò)增加人手通過(guò)手工的方式來(lái)管理、應(yīng)對(duì)日益復(fù)雜的安全威脅，這樣的話，建立統(tǒng)一安全監(jiān)測(cè)平臺(tái)，建立企業(yè)安全運(yùn)營(yíng)中心迫在眉睫。

3.4 與OT的融合給智能制造的安全帶來(lái)嚴(yán)峻的挑戰(zhàn)

網(wǎng)絡(luò)融合、企業(yè)OT與IT網(wǎng)互聯(lián)，采用通用Internet協(xié)議，運(yùn)行在通用硬件上，使用主流IT操作系統(tǒng)，通過(guò)標(biāo)準(zhǔn)的WiFi協(xié)議連接，這樣會(huì)誘發(fā)很多安全問(wèn)題。

（1）構(gòu)網(wǎng)兩極化。OT/IT網(wǎng)絡(luò)共用同一網(wǎng)絡(luò)設(shè)備互聯(lián)，或OT/IT網(wǎng)絡(luò)物理隔離。

（2）管控系統(tǒng)設(shè)備數(shù)量巨大，位置分散，缺少專(zhuān)業(yè)的安全設(shè)備有效地針對(duì)OT/IT網(wǎng)進(jìn)行安全區(qū)域劃分和進(jìn)行安全運(yùn)行狀態(tài)的統(tǒng)一監(jiān)控。

（3）OT網(wǎng)接入設(shè)備以有線/無(wú)線方式接入，網(wǎng)絡(luò)安全設(shè)備部署沒(méi)涉及“最后一公里”的安全體系聯(lián)動(dòng)防御。

（4）缺乏主動(dòng)阻止外部惡意攻擊和缺乏發(fā)現(xiàn)與阻擋高級(jí)可持續(xù)性攻擊的能力，安全攻擊易造成OT網(wǎng)的迅速癱瘓，給生產(chǎn)造成嚴(yán)重的影響。

（5）OT網(wǎng)設(shè)備接入缺乏必要身份或資產(chǎn)識(shí)別，定位安全威脅與取證過(guò)程低效。

（6）因?yàn)闅v史原因，OT網(wǎng)服務(wù)器存在很多安全和管理風(fēng)險(xiǎn)點(diǎn)，如老舊的操作系統(tǒng)、漏洞多、無(wú)法打補(bǔ)丁、不支持?jǐn)?shù)據(jù)加密等安全問(wèn)題。

（7）昂貴的升級(jí)費(fèi)用，設(shè)備系統(tǒng)存在非標(biāo)準(zhǔn)化，造成管理雜亂、漏洞多等安全問(wèn)題。

（8）管理人員缺乏網(wǎng)絡(luò)安全知識(shí)，終端電腦/工控機(jī)缺乏定期病毒查殺習(xí)慣與機(jī)制，感染主機(jī)處理不及時(shí)，存在安全隱患。

（9）移動(dòng)設(shè)備接入缺乏管理和制度，容易造成終端病毒感染與傳播。

4 工業(yè)互聯(lián)網(wǎng)的通用安全體系結(jié)構(gòu)

4.1 體系結(jié)構(gòu)綜述

制造型企業(yè)無(wú)論規(guī)模大小，在建設(shè)工業(yè)互聯(lián)網(wǎng)時(shí)，都應(yīng)遵循“零信任”的基本安全原則，把網(wǎng)絡(luò)隔離從邊緣的接入層開(kāi)始，融入到匯聚、核心乃至應(yīng)用層的進(jìn)程隔離，構(gòu)筑一個(gè)從監(jiān)測(cè)、檢查、防御、移除的智能聯(lián)動(dòng)，以實(shí)現(xiàn)安全閉環(huán)的工業(yè)互聯(lián)網(wǎng)的安全架構(gòu)。基于云計(jì)算、工業(yè)互聯(lián)網(wǎng)、大數(shù)據(jù)、知識(shí)圖譜、安全聯(lián)動(dòng)，以及最新的自有核心安全技術(shù)，構(gòu)建一個(gè)實(shí)時(shí)、預(yù)測(cè)性、智能化、安全協(xié)同一體化的工業(yè)互聯(lián)網(wǎng)企業(yè)級(jí)安全監(jiān)測(cè)與態(tài)勢(shì)感知平臺(tái)。

通過(guò)深度工控資產(chǎn)自動(dòng)探測(cè)技術(shù)、分布式漏洞探測(cè)技術(shù)、多類(lèi)型工業(yè)控制協(xié)議識(shí)別技術(shù)、異常流量監(jiān)測(cè)技術(shù)，實(shí)現(xiàn)工業(yè)設(shè)備安全態(tài)勢(shì)信息自動(dòng)采集、識(shí)別工控設(shè)備的漏洞與潛在威脅的能力。采用高性能的海量日志采集技術(shù)，對(duì)工控設(shè)備數(shù)據(jù)、工控安全設(shè)備數(shù)據(jù)、物聯(lián)網(wǎng)傳感器每日產(chǎn)生的海量日志數(shù)據(jù)進(jìn)行采集，為大數(shù)據(jù)分析提供基礎(chǔ)數(shù)據(jù)。

通過(guò)大數(shù)據(jù)建模分析技術(shù)與基于多源數(shù)據(jù)的工業(yè)安全態(tài)勢(shì)知識(shí)圖譜構(gòu)建技術(shù)，并結(jié)合中國(guó)國(guó)家信息安全漏洞庫(kù)及工控漏洞庫(kù)、專(zhuān)業(yè)安全廠商漏洞庫(kù)，進(jìn)行安全威脅評(píng)估、態(tài)勢(shì)感知，預(yù)測(cè)預(yù)防設(shè)備潛在風(fēng)險(xiǎn)的發(fā)生，提高安全態(tài)勢(shì)感知的智能化水平和準(zhǔn)確性。通過(guò)安全聯(lián)動(dòng)協(xié)議，實(shí)現(xiàn)企業(yè)安全態(tài)勢(shì)感知與企業(yè)網(wǎng)絡(luò)安全隔離設(shè)備之間的聯(lián)動(dòng)，及時(shí)阻斷工業(yè)互聯(lián)網(wǎng)絡(luò)中惡意程序的攻擊路徑，抑制安全威脅在網(wǎng)路中的影響范圍。

如圖1所示，建設(shè)微服務(wù)架構(gòu)安全態(tài)勢(shì)監(jiān)測(cè)與感知PaaS云平臺(tái)，實(shí)現(xiàn)國(guó)家級(jí)監(jiān)測(cè)平臺(tái)與企業(yè)級(jí)工業(yè)互聯(lián)網(wǎng)集中化安全監(jiān)測(cè)與態(tài)勢(shì)感知平臺(tái)數(shù)據(jù)對(duì)接。

4.2 安全架構(gòu)之安全分段

企業(yè)將物聯(lián)網(wǎng)設(shè)備和通信分為策略驅(qū)動(dòng)的群組，并授予特定的適合工業(yè)互聯(lián)網(wǎng)的基準(zhǔn)權(quán)限。采用內(nèi)網(wǎng)分段防火墻等設(shè)施對(duì)網(wǎng)絡(luò)和設(shè)備進(jìn)行微分段，使IT/OT系統(tǒng)能夠根據(jù)特定設(shè)備類(lèi)型和網(wǎng)絡(luò)訪問(wèn)需求，采用分層安全策略。

企業(yè)工業(yè)互聯(lián)網(wǎng)的安全分段涵蓋了三個(gè)層次。

（1）接入層

采用“安全交換機(jī)+防火墻聯(lián)動(dòng)”的解決方案，進(jìn)行終端進(jìn)入的隔離和控制。通過(guò)內(nèi)網(wǎng)分區(qū)防火墻下連安全接入交換機(jī)，再擴(kuò)展無(wú)線接入點(diǎn)的方式，構(gòu)建一個(gè)端口級(jí)隔離的接入架構(gòu)，與傳統(tǒng)IT交換網(wǎng)絡(luò)最大的不同，就是接入交換機(jī)和無(wú)線接入點(diǎn)上的任意終端之間的流量通訊，都需要經(jīng)過(guò)內(nèi)網(wǎng)分區(qū)防火墻集中轉(zhuǎn)發(fā)，即使是同一臺(tái)安全接入交換機(jī)、同一個(gè)無(wú)線接入點(diǎn)、同一個(gè)虛擬局域網(wǎng)Vlan內(nèi)，通訊都會(huì)受到內(nèi)網(wǎng)分區(qū)防火墻的集中控制，而內(nèi)網(wǎng)分區(qū)防火墻將對(duì)流量做工業(yè)應(yīng)用、協(xié)議的識(shí)別和威脅統(tǒng)一管控。

（2）匯聚/核心層

采用內(nèi)網(wǎng)分段防火墻進(jìn)行區(qū)域隔離。區(qū)域之間通過(guò)匯聚層的分段防火墻隔離接入，區(qū)域與區(qū)域之間的通訊將受到嚴(yán)格的審查。區(qū)域的劃分原則，可以基于部門(mén)、產(chǎn)線、業(yè)務(wù)歸口或者網(wǎng)絡(luò)屬性等統(tǒng)一劃分。

（3）應(yīng)用層

采用NGFW/主機(jī)安全套件/虛擬化防火墻等，實(shí)現(xiàn)直至進(jìn)程級(jí)的安全隔離。在工業(yè)互聯(lián)邊界層面，通過(guò)獨(dú)立的下一代防火墻做隔離防護(hù)，實(shí)現(xiàn)進(jìn)出工業(yè)互聯(lián)網(wǎng)流量的分析、管控。

4.3 企業(yè)網(wǎng)絡(luò)分段安全架構(gòu)實(shí)現(xiàn)的目標(biāo)

企業(yè)網(wǎng)絡(luò)分段安全架構(gòu)實(shí)現(xiàn)的五個(gè)目標(biāo)：

（1）打破傳統(tǒng)網(wǎng)絡(luò)在安全意義下的扁平架構(gòu);

（2）采用安全策略驅(qū)動(dòng)（基于用戶身份）的分段控制對(duì)關(guān)鍵設(shè)施/資源的訪問(wèn);

（3）按照業(yè)務(wù)、安全意圖靈活地構(gòu)筑安全邊界;

（4）阻斷攻擊者/入侵者在內(nèi)網(wǎng)的橫向移動(dòng);

（5）實(shí)現(xiàn)全網(wǎng)的可視化。

4.4 安全架構(gòu)之APT防御

如今，大多數(shù)復(fù)雜的網(wǎng)絡(luò)攻擊，已經(jīng)能夠從容突破傳統(tǒng)的反惡意軟件解決方案，并且在被入侵的網(wǎng)絡(luò)中實(shí)施APT攻擊。這些高度針對(duì)性的攻擊，可以逃避基于簽名的檢測(cè)方式，比如通過(guò)很多方式來(lái)掩蓋惡意屬性，壓縮、加密、多態(tài)等技術(shù)不勝枚舉;一些甚至已經(jīng)開(kāi)始突破虛擬沙盒環(huán)境、時(shí)間炸彈等。對(duì)抗如今的攻擊，需要綜合和整合的手段，不只是反惡意軟件，也不只是沙盒，更不只是分散的監(jiān)控系統(tǒng)。

企業(yè)工業(yè)互聯(lián)網(wǎng)安全架構(gòu)的APT防御方案，采用了“沙盒+NGFW+蜜罐+態(tài)勢(shì)感知”的模式，針對(duì)0day、復(fù)雜攻擊等采用多種機(jī)制來(lái)檢測(cè)。

（1）部署沙盒

基于行為檢測(cè)0day/APT攻擊，聯(lián)動(dòng)防火墻進(jìn)行阻斷。在企業(yè)數(shù)據(jù)中心部署一套沙盒系統(tǒng)，利用下一代防火墻的檢查能力，將可疑流量和數(shù)據(jù)自動(dòng)送入沙箱分析。沙箱基于行為分析手段，綜合分析給出結(jié)論，自動(dòng)定制生成病毒碼寫(xiě)入前端的下一代防火墻，實(shí)現(xiàn)聯(lián)動(dòng)阻斷。

（2）部署蜜罐

檢測(cè)內(nèi)網(wǎng)可疑的入侵行為，聯(lián)動(dòng)防火墻進(jìn)行實(shí)時(shí)阻斷。在企業(yè)數(shù)據(jù)中心部署一套蜜罐系統(tǒng)，利用蜜罐在全網(wǎng)的重要節(jié)點(diǎn)部署誘餌虛擬系統(tǒng)，主動(dòng)引誘內(nèi)網(wǎng)、外網(wǎng)的攻擊，并記錄下這些威脅的IP地址，然后聯(lián)動(dòng)同步至下一代防火墻的黑名單中，實(shí)現(xiàn)阻斷。

（3）全網(wǎng)安全態(tài)勢(shì)感知

企業(yè)級(jí)集中化安全態(tài)勢(shì)監(jiān)測(cè)與感知平臺(tái)，具備三位一體的多維安全態(tài)勢(shì)監(jiān)測(cè)能力，包括工控網(wǎng)絡(luò)入侵態(tài)勢(shì)監(jiān)測(cè)、工控漏洞態(tài)勢(shì)監(jiān)測(cè)和工控異常流量監(jiān)測(cè)。

部署態(tài)勢(shì)感知系統(tǒng)將核心資產(chǎn)、安全威脅事件和脆弱性漏洞管理相結(jié)合，利用大數(shù)據(jù)安全智能分析，迅速甄別關(guān)鍵威脅并做出智能響應(yīng)，并進(jìn)行持續(xù)的合規(guī)性掃描檢測(cè)，實(shí)現(xiàn)企業(yè)級(jí)實(shí)時(shí)安全風(fēng)險(xiǎn)感知、評(píng)估審計(jì)與合規(guī)要求的統(tǒng)一風(fēng)險(xiǎn)管理平臺(tái)。

所部署的SIEM系統(tǒng)能收集、監(jiān)視和報(bào)告防火墻、入侵防御系統(tǒng)、防病毒產(chǎn)品、數(shù)據(jù)防泄漏產(chǎn)品、VPN、訪問(wèn)控制審計(jì)產(chǎn)品等發(fā)生的行為，用于整合和收集各種安全信息，并匯總到一起進(jìn)行統(tǒng)一分析和檢測(cè)。還可以對(duì)第三方漏洞掃描工具，進(jìn)行統(tǒng)一調(diào)度和集中管理，能屏蔽不同漏掃產(chǎn)品之間的差異，實(shí)現(xiàn)企業(yè)級(jí)安全漏洞的集中標(biāo)識(shí)和管理。同時(shí)，安全漏洞會(huì)與安全事件分析相結(jié)合，實(shí)現(xiàn)全面的安全風(fēng)險(xiǎn)評(píng)估。將企業(yè)資產(chǎn)價(jià)值、安全事件和漏洞等信息，進(jìn)行基于大數(shù)據(jù)的安全智能分析，迅速識(shí)別高危風(fēng)險(xiǎn)事件。

5 工業(yè)互聯(lián)網(wǎng)的安全體系建設(shè)預(yù)期成果

企業(yè)級(jí)集中化安全監(jiān)測(cè)與態(tài)勢(shì)感知平臺(tái)的各個(gè)組件平臺(tái)，均采取旁路部署的模式，組成一個(gè)獨(dú)立的網(wǎng)絡(luò)，不與企業(yè)智能制造網(wǎng)絡(luò)產(chǎn)生交集，不影響生產(chǎn)網(wǎng)絡(luò)的正常運(yùn)行。大數(shù)據(jù)分析平臺(tái)采用在線或離線兩種模式，獲取威脅情報(bào)升級(jí)包和漏洞庫(kù)升級(jí)包，即便與互聯(lián)網(wǎng)隔離的環(huán)境下，也能實(shí)現(xiàn)工控安全威脅的智能分析，如圖2所示。

（1）企業(yè)網(wǎng)絡(luò)升級(jí)改造，實(shí)現(xiàn)企業(yè)工業(yè)網(wǎng)絡(luò)互連，形成部署、運(yùn)行安全態(tài)勢(shì)監(jiān)控的企業(yè)信息基礎(chǔ)設(shè)施。

（2）建設(shè)工控協(xié)議識(shí)別、漏洞自動(dòng)采集與分析系統(tǒng)，實(shí)現(xiàn)對(duì)工業(yè)設(shè)備及安全設(shè)備的資產(chǎn)監(jiān)控、漏洞發(fā)現(xiàn)、操作行為監(jiān)控和異常流量監(jiān)測(cè)。

（3）建設(shè)工控與工控安全設(shè)備大數(shù)據(jù)采集系統(tǒng)，支持對(duì)企業(yè)內(nèi)多類(lèi)型工業(yè)設(shè)備、多種工業(yè)協(xié)議、多類(lèi)型安全設(shè)備的日志采集與大數(shù)據(jù)存儲(chǔ)。

（4）建設(shè)安全態(tài)勢(shì)監(jiān)控與感知大數(shù)據(jù)分析系統(tǒng)，在大數(shù)據(jù)采集的基礎(chǔ)上，結(jié)合國(guó)家工控漏洞庫(kù)CNNVD、專(zhuān)業(yè)廠商漏洞庫(kù)，利用大數(shù)據(jù)分析與知識(shí)圖譜深度學(xué)習(xí)技術(shù)，實(shí)現(xiàn)未知攻擊預(yù)警、安全態(tài)勢(shì)分析與威脅等級(jí)研判。

（5）建設(shè)安全態(tài)勢(shì)感知與網(wǎng)絡(luò)隔離安全聯(lián)動(dòng)一體化平臺(tái)，實(shí)現(xiàn)安全預(yù)警與網(wǎng)絡(luò)隔離的聯(lián)動(dòng)，快速阻斷攻擊路徑，控制感染范圍。

（6）建設(shè)微服務(wù)架構(gòu)安全態(tài)勢(shì)監(jiān)測(cè)與感知PaaS云平臺(tái)，為安全態(tài)勢(shì)感知提供部署靈活、可移植、高彈性、高可擴(kuò)展性的云計(jì)算平臺(tái)。

（7）建設(shè)企業(yè)級(jí)集中化安全態(tài)勢(shì)監(jiān)測(cè)與感知平臺(tái)，實(shí)現(xiàn)全局總覽、威脅分析、攻擊事件還原，把握總體安全態(tài)勢(shì)。

（8）建設(shè)企業(yè)級(jí)監(jiān)測(cè)平臺(tái)與國(guó)家監(jiān)測(cè)平臺(tái)級(jí)聯(lián)上報(bào)與數(shù)據(jù)共享子系統(tǒng)，實(shí)現(xiàn)國(guó)家監(jiān)測(cè)平臺(tái)和企業(yè)監(jiān)測(cè)平臺(tái)之間的信息共享。

6 結(jié)束語(yǔ)

工業(yè)互聯(lián)網(wǎng)是一個(gè)長(zhǎng)期的建設(shè)過(guò)程，中國(guó)的制造業(yè)發(fā)展都在“摸著石頭過(guò)河”，對(duì)于龐大的制造業(yè)來(lái)說(shuō)，管理層能下定決心做數(shù)字化轉(zhuǎn)型，已經(jīng)是非常不容易的事情。一次成功的轉(zhuǎn)型少不了各方面的投入，變革和轉(zhuǎn)型肯定會(huì)帶來(lái)陣痛，但是陣痛之后便是發(fā)展的新階段。本文針對(duì)大企業(yè)的實(shí)際情況，并結(jié)合Fortinet提出的工業(yè)安全思路，綜合了目前學(xué)術(shù)界對(duì)工業(yè)互聯(lián)網(wǎng)的研究成果，總結(jié)出了適合中國(guó)大型制造業(yè)的工業(yè)網(wǎng)絡(luò)建設(shè)方案，對(duì)工業(yè)網(wǎng)絡(luò)的架構(gòu)模型、轉(zhuǎn)型過(guò)程中面臨的問(wèn)題、建設(shè)誤區(qū)等都有重要分析，為制造業(yè)企業(yè)建設(shè)工業(yè)互聯(lián)網(wǎng)，提供一定參考和借鑒依據(jù)。

參考文獻(xiàn)

[1] 張翀昊，唐麗萍.工業(yè)互聯(lián)網(wǎng)的安全挑戰(zhàn)及應(yīng)對(duì)策略[J].電子技術(shù)與軟件工程，2019 （14）.

[2] 張海港，歐陽(yáng)佩佩.海爾工業(yè)互聯(lián)網(wǎng)安全實(shí)踐[J].中國(guó)信息安全，2019 （06）.

[3] 何洪流，尚朝鋒.工業(yè)互聯(lián)網(wǎng)安全研究與政策探討[J].數(shù)字通信世界，2019 （04）.

[4] 杜霖.全面推進(jìn)工業(yè)互聯(lián)網(wǎng)等融合領(lǐng)域安全工作[J].現(xiàn)代電信科技，2017 （06）.

[5] 張淙哲，房育良.工業(yè)互聯(lián)網(wǎng)的現(xiàn)代概念與模型架構(gòu)剖析[J].電信網(wǎng)技術(shù)，2017 （11）.

[6] 李強(qiáng)，田慧蓉，杜霖，劉曉曼.工業(yè)互聯(lián)網(wǎng)安全發(fā)展策略研究[J].世界電信，2016 （04）.

[7] 邢黎聞.何積豐院士：工業(yè)互聯(lián)網(wǎng)安全發(fā)展趨勢(shì)與關(guān)鍵技術(shù)[J].信息化建設(shè)，2016 （11）.

[8] 中國(guó)工業(yè)互聯(lián)網(wǎng)安全態(tài)勢(shì)報(bào)告（2018年）[J].中國(guó)信息安全， 2019 （06）.

[9] 工業(yè)互聯(lián)網(wǎng)創(chuàng)新發(fā)展20問(wèn)[J].中國(guó)計(jì)量，2019 （08）.

[10] 李?；?工業(yè)互聯(lián)網(wǎng)的發(fā)展歷程及實(shí)現(xiàn)路徑[J].互聯(lián)網(wǎng)天地，2019 （08）.

[11] 黃子河.《加強(qiáng)工業(yè)互聯(lián)網(wǎng)安全工作的指導(dǎo)意見(jiàn)》系列解讀[J].網(wǎng)絡(luò)安全和信息化，2019 （10）.

[12] 工業(yè)互聯(lián)網(wǎng)發(fā)展行動(dòng)計(jì)劃（2018-2020年）[J].中國(guó)計(jì)量， 2018 （10）.

[13] 童群.工業(yè)互聯(lián)網(wǎng)發(fā)展現(xiàn)狀及對(duì)策[J].設(shè)備管理與維修， 2018 （22）.

[14] 毛華陽(yáng).基于大數(shù)據(jù)的工業(yè)互聯(lián)網(wǎng)安全初探[J].電信技術(shù)， 2018 （11）.

作者簡(jiǎn)介：

李斌（1967-），男，漢族，廣東潮州人，廣東機(jī)械學(xué)院（現(xiàn)廣東工業(yè)大學(xué)），本科，珠海格力電器股份有限公司，工程師;主要研究方向和關(guān)注領(lǐng)域：企業(yè)5G+工業(yè)互聯(lián)網(wǎng)、園區(qū)網(wǎng)絡(luò)的設(shè)計(jì)與管理、大型數(shù)據(jù)中心的設(shè)計(jì)與管理、企業(yè)信息安全管理。

張俊杰（1970-），男，漢族，河北滄州人，清華大學(xué)，本科，珠海格力電器股份有限公司，工程師;主要研究方向和關(guān)注領(lǐng)域：企業(yè)信息化建設(shè)及數(shù)字化轉(zhuǎn)型、智能制造、工業(yè)互聯(lián)網(wǎng)。