林南南，曹紫薇，劉志鋼

(上海工程技術(shù)大學(xué) 城市軌道交通學(xué)院，上海201600)

0 引言

5G、AI等先進(jìn)科技已逐步應(yīng)用于各類工業(yè)制造，前沿技術(shù)的加入即使能幫助企業(yè)有效提升產(chǎn)量，但也帶給企業(yè)一定的數(shù)據(jù)安全危險(xiǎn)。由于企業(yè)內(nèi)部信息系統(tǒng)與其外部互聯(lián)網(wǎng)的聯(lián)通，工業(yè)互聯(lián)網(wǎng)一旦遭到攻擊并出現(xiàn)安全問題，會(huì)極大威脅到企業(yè)的整體安全和效益。

隨著工業(yè)互聯(lián)網(wǎng)邊界不斷擴(kuò)大，世界各國(guó)對(duì)于工業(yè)互聯(lián)網(wǎng)安全方面的問題關(guān)注度越來越高。周昊和BORANGIU T等總結(jié)了該方面的發(fā)展趨勢(shì)和關(guān)鍵技術(shù)，并給出策略與措施[1-2]；李陽(yáng)春等分析國(guó)內(nèi)外發(fā)展現(xiàn)狀與面臨的安全風(fēng)險(xiǎn)[3]；GURJANOV A等說明了新一代信息技術(shù)在工業(yè)互聯(lián)網(wǎng)平臺(tái)安全方面的發(fā)展前景可觀[4]；王秋華和石永杰等人指出要加快互聯(lián)網(wǎng)平臺(tái)的安全保障體系建設(shè)，就必須不斷加強(qiáng)互聯(lián)網(wǎng)平臺(tái)中的數(shù)據(jù)安全的保護(hù)能力[5-6]。在企業(yè)工業(yè)設(shè)備這方面也有了一定的研究，馬娟和李客等提出應(yīng)注重保障工業(yè)設(shè)備的安全性能[7-8]，TOPP M等也給出了一定的方法解決[9]；祝雅杰和張賢根等積極開展新技術(shù)在設(shè)備安全上的應(yīng)用[10-11]，SALHAOUI M和易芳等將其應(yīng)用在某應(yīng)用領(lǐng)域[12-13]。石永杰等人從威脅方面進(jìn)行技術(shù)研究，建立了防御系統(tǒng)并予以實(shí)踐[14]。劉金龍等人則是以Snort為其研究基礎(chǔ)，設(shè)計(jì)出檢測(cè)系統(tǒng)能夠?qū)崿F(xiàn)從大量信息中發(fā)現(xiàn)攻擊與入侵?jǐn)?shù)據(jù)流之間的隱藏關(guān)系[15]。王曄等人則是結(jié)合建設(shè)信號(hào)系統(tǒng)的網(wǎng)絡(luò)安全環(huán)節(jié)所需和行業(yè)標(biāo)準(zhǔn)要求，從而提出網(wǎng)絡(luò)安全防護(hù)方面的新想法[16]。然而，工業(yè)互聯(lián)網(wǎng)還在面臨著各類安全問題，雖然部分企業(yè)采用了云服務(wù)解決問題，但是不同云服務(wù)模式下遇到的各種問題仍待解決。

當(dāng)下，傳統(tǒng)安全防護(hù)技術(shù)不再能更好地適應(yīng)云環(huán)境的變化。云計(jì)算邊界的不清晰，云平臺(tái)內(nèi)部“東西向”危險(xiǎn)逐步成為目前的安全問題，與此同時(shí)，因?yàn)閭鹘y(tǒng)安全設(shè)備更注重的是“南北向”方面的防護(hù)，未能保障云計(jì)算環(huán)境內(nèi)部的安全。此外，目前還存在在不同云服務(wù)模式下，該怎樣通過科學(xué)方法來滿足差異化的安全需求等一些問題。

針對(duì)這一問題，本文提出基于云計(jì)算的工業(yè)互聯(lián)網(wǎng)平臺(tái)安全運(yùn)營(yíng)體系，旨在為工業(yè)互聯(lián)網(wǎng)平臺(tái)提供安全可靠的保障以及全棧的安全能力。

1 建設(shè)背景及功能需求

1.1 政策驅(qū)動(dòng)

2017年，國(guó)務(wù)院發(fā)布了《關(guān)于深化“互聯(lián)網(wǎng)+先進(jìn)制造業(yè)”發(fā)展工業(yè)互聯(lián)網(wǎng)的指導(dǎo)意見》，提出要加強(qiáng)安全防護(hù)能力，重點(diǎn)突破工業(yè)互聯(lián)網(wǎng)平臺(tái)安全等產(chǎn)品研發(fā)，構(gòu)建與工業(yè)互聯(lián)網(wǎng)的發(fā)展相適應(yīng)的保障能力。

2018年，工信部印發(fā)了《工業(yè)互聯(lián)網(wǎng)發(fā)展行動(dòng)計(jì)劃(2018-2020年)》，提出到2020年底中國(guó)將實(shí)現(xiàn)“初步建成工業(yè)互聯(lián)網(wǎng)基礎(chǔ)設(shè)施和產(chǎn)業(yè)體系”的發(fā)展目標(biāo)。

2021年1月，工信部再次印發(fā)《工業(yè)互聯(lián)網(wǎng)創(chuàng)新發(fā)展行動(dòng)計(jì)劃(2021-2023年)》，提出到2023年，我國(guó)工業(yè)互聯(lián)網(wǎng)新型基礎(chǔ)設(shè)施建設(shè)量質(zhì)齊進(jìn)，新模式、新業(yè)態(tài)將大范圍推廣；新型基礎(chǔ)設(shè)施進(jìn)一步完善、安全保障能力進(jìn)一步增強(qiáng)。

1.2 發(fā)展態(tài)勢(shì)

AI、區(qū)塊鏈、5G、大數(shù)據(jù)等新技術(shù)發(fā)展導(dǎo)致新應(yīng)用場(chǎng)景不斷涌現(xiàn)，新型安全威脅層見疊出，給安全保障帶來極大的挑戰(zhàn)，安全體系必須要快速發(fā)展和變化才能有效應(yīng)對(duì)：

(1)融合安全技術(shù)成為OT與IT融合趨勢(shì)下的必然選擇；

(2)云平臺(tái)成為工業(yè)互聯(lián)網(wǎng)安全防護(hù)的重要環(huán)節(jié)；

(3)內(nèi)生安全防御和補(bǔ)償式安全防御將長(zhǎng)期并存；

(4)工業(yè)互聯(lián)網(wǎng)安全態(tài)勢(shì)監(jiān)測(cè)與感知將成為重要技術(shù)手段；

(5)工業(yè)互聯(lián)網(wǎng)安全防護(hù)自動(dòng)化與智能化將不斷發(fā)展。

總體趨勢(shì)：現(xiàn)有的安全防御技術(shù)開始不能更好地抗衡新的威脅，防護(hù)理念會(huì)從被動(dòng)防護(hù)轉(zhuǎn)變到體系化和主動(dòng)防御。

1.3 安全能力需求

平臺(tái)主要安全功能需求如圖1所示。

圖1 平臺(tái)安全能力需求

具體而言，可以概括為五個(gè)方面：

(1)網(wǎng)絡(luò)安全：DDoS高防IP、抗DDoS、云防火墻；

(2)主機(jī)安全：入侵檢測(cè)、漏洞管理、基線檢查；

(3)應(yīng)用安全：應(yīng)用漏洞掃描、WAF；

(4)數(shù)據(jù)安全：數(shù)據(jù)加密、數(shù)據(jù)脫敏、數(shù)據(jù)庫(kù)安全、數(shù)據(jù)庫(kù)審計(jì)；

(5)安全管理：風(fēng)險(xiǎn)預(yù)警、證書管理、堡壘機(jī)。

另外，云平臺(tái)自身安全也需要加強(qiáng)，主要包括：

(1)訪問控制：應(yīng)實(shí)現(xiàn)不同云服務(wù)客戶虛擬網(wǎng)絡(luò)之間的隔離；應(yīng)在虛擬化網(wǎng)絡(luò)邊界部署訪問控制機(jī)制，并設(shè)置訪問控制規(guī)則；當(dāng)遠(yuǎn)程管理云計(jì)算平臺(tái)中設(shè)備時(shí)，管理終端和云計(jì)算平臺(tái)之間應(yīng)建立雙向身份驗(yàn)證機(jī)制。

(2)鏡像和快照保護(hù)：應(yīng)提供虛擬機(jī)鏡像、快照完整性校驗(yàn)功能，防止虛擬機(jī)鏡像被惡意篡改；應(yīng)采取密碼技術(shù)或其他技術(shù)手段防止虛擬機(jī)鏡像、快照中可能存在的敏感資源被非法訪問，應(yīng)針對(duì)重要業(yè)務(wù)系統(tǒng)提供加固的操作系統(tǒng)鏡像或操作系統(tǒng)安全加固服務(wù)。

(3)數(shù)據(jù)完整性和保密性：應(yīng)確保只有在云服務(wù)客戶授權(quán)下，云服務(wù)商或第三方才具有云服務(wù)客戶數(shù)據(jù)的管理權(quán)限；應(yīng)使用校驗(yàn)碼或密碼技術(shù)確保虛擬機(jī)遷移過程中重要數(shù)據(jù)的完整性，并在檢測(cè)到完整性受到破壞時(shí)采取必要的恢復(fù)措施。

2 智能安全運(yùn)營(yíng)平臺(tái)設(shè)計(jì)

為滿足用戶個(gè)性化需求，本文擬建立一個(gè)智能安全運(yùn)營(yíng)平臺(tái)，該平臺(tái)通過云計(jì)算虛擬技術(shù)的應(yīng)用，把物理安全資源虛擬為安全資源池，從而為用戶提供覆蓋全生命周期的云安全服務(wù)。實(shí)現(xiàn)工業(yè)互聯(lián)網(wǎng)傳統(tǒng)網(wǎng)絡(luò)環(huán)境、公有云環(huán)境、私有云環(huán)境、混合云環(huán)境的多場(chǎng)景綜合防護(hù)，建立基于云計(jì)算的工業(yè)互聯(lián)網(wǎng)智能安全運(yùn)營(yíng)平臺(tái)。

2.1 智能安全運(yùn)營(yíng)平臺(tái)架構(gòu)

(1)統(tǒng)一安全運(yùn)營(yíng)

在網(wǎng)絡(luò)安全方面，對(duì)工業(yè)互聯(lián)網(wǎng)云環(huán)境的運(yùn)營(yíng)日常進(jìn)行監(jiān)控，從監(jiān)控、感知到應(yīng)急方面，形成一套全流程的監(jiān)管機(jī)制，以云平臺(tái)的安全數(shù)據(jù)分析為主，來形成云安全運(yùn)營(yíng)中心。

該中心避免發(fā)生大型安全事件通過即時(shí)感知云平臺(tái)的安全狀況，更好地建立對(duì)安全事件的有效監(jiān)控和對(duì)其的應(yīng)急處理。

(2)安全能力彈性擴(kuò)展

為了橫向地更快增加安全資源池的各項(xiàng)性能，可以通過擴(kuò)充節(jié)點(diǎn)到集群中來使安全資源池具有可彈性的擴(kuò)展。通過一鍵來增加其性能在其中安全服務(wù)的性能出現(xiàn)不足時(shí)。

(3)安全資源統(tǒng)一管理

云平臺(tái)的安全資源池也可以采用頁(yè)面配置，來實(shí)現(xiàn)云安全的統(tǒng)一管理。為更好地在管理平臺(tái)上對(duì)不同的資源池節(jié)點(diǎn)進(jìn)行開放、監(jiān)管、清除，需要對(duì)多區(qū)域資源池中的節(jié)點(diǎn)進(jìn)行增添。

(4)安全資源自動(dòng)化部署

安全能力將會(huì)采用服務(wù)的方式進(jìn)行，這樣可以簡(jiǎn)化應(yīng)用流程，節(jié)省人力成本，用戶可以完成安全服務(wù)的隨開隨用，通過借用總平臺(tái)來打開或進(jìn)行安排。

根據(jù)以上設(shè)計(jì)思路，搭建基于云計(jì)算的工業(yè)互聯(lián)網(wǎng)智能安全運(yùn)營(yíng)平臺(tái)。平臺(tái)架構(gòu)如圖2所示。

2.2 平臺(tái)安全能力實(shí)現(xiàn)路徑

按照安全能力建設(shè)規(guī)劃，逐步完善和提升安全能力至主動(dòng)防御級(jí)。具體實(shí)現(xiàn)路徑如圖3所示。

平臺(tái)安全能力實(shí)現(xiàn)路徑方向推進(jìn)如圖4所示。

3 工業(yè)互聯(lián)網(wǎng)智能安全運(yùn)營(yíng)平臺(tái)評(píng)估

3.1 平臺(tái)能力實(shí)現(xiàn)

(1)安全技術(shù)能力

結(jié)合現(xiàn)有軟硬件技術(shù)的發(fā)展水平，平臺(tái)目前可實(shí)現(xiàn)的安全防護(hù)能力主要包括網(wǎng)站安全、主機(jī)安全、應(yīng)用安全、綜合安全4大類，具體安全防護(hù)能力見表1。

表1 平臺(tái)安全技術(shù)能力

(2)平臺(tái)安全危險(xiǎn)檢測(cè)與處置

平臺(tái)針對(duì)威脅檢測(cè)，部署了一系列的安全產(chǎn)品，確保威脅能夠及時(shí)被發(fā)現(xiàn)并被處理。具體安全產(chǎn)品類別包括應(yīng)用防火墻WAF、主機(jī)安全、網(wǎng)絡(luò)防火墻、SIEM、大數(shù)據(jù)安全防護(hù)、漏洞掃描以及堡壘機(jī)等。

一旦以上產(chǎn)品出現(xiàn)威脅告警，平臺(tái)安全團(tuán)隊(duì)會(huì)進(jìn)行人工核查，判斷是否是產(chǎn)品誤報(bào)：如果確實(shí)屬于威脅告警，則進(jìn)行記錄上報(bào)，并根據(jù)告警類型、威脅對(duì)象，通知相關(guān)人員，進(jìn)行處置；如果告警是產(chǎn)品誤報(bào)，則對(duì)產(chǎn)品的策略規(guī)則進(jìn)行優(yōu)化，避免此類情況再次發(fā)生。

(3)業(yè)務(wù)支撐能力

為了保證系統(tǒng)能運(yùn)行穩(wěn)定且安全可靠，需要考慮系統(tǒng)的應(yīng)變、容錯(cuò)和糾錯(cuò)能力，平臺(tái)也應(yīng)使用可靠性較高的產(chǎn)品與技術(shù)。系統(tǒng)應(yīng)具備統(tǒng)一的平臺(tái)維護(hù)或用戶界面，各安全功能通過單點(diǎn)登錄統(tǒng)一管理。

3.2 平臺(tái)運(yùn)行效果測(cè)評(píng)

將初步搭建的平臺(tái)進(jìn)行試運(yùn)營(yíng)，對(duì)其網(wǎng)絡(luò)安全態(tài)勢(shì)進(jìn)行分析，測(cè)評(píng)結(jié)果如下。

(1)安全威脅情況統(tǒng)計(jì)分析

平臺(tái)2020年4～6月份受到的高發(fā)威脅主要包括：弱口令、越權(quán)訪問、SQL注入等，具體數(shù)量見表2。

表2 平臺(tái)安全威脅情況統(tǒng)計(jì)

可以看出，高發(fā)威脅數(shù)量呈現(xiàn)出較明顯的上升趨勢(shì)。其中，5月份比4月份環(huán)比增長(zhǎng)73.1%，6月份比5月份環(huán)比增長(zhǎng)135.0%。通過上表數(shù)據(jù)可以看出，4～6月份網(wǎng)絡(luò)安全態(tài)勢(shì)愈發(fā)嚴(yán)峻，平臺(tái)感知到系統(tǒng)受到的安全威脅較大，應(yīng)及時(shí)上報(bào)企業(yè)管理層及各系統(tǒng)負(fù)責(zé)人，引起重視，加強(qiáng)各方面的網(wǎng)絡(luò)安全防范。

(2)安全事件處置

圖2工業(yè)互聯(lián)網(wǎng)智能安全運(yùn)營(yíng)平臺(tái)架構(gòu)

圖3平臺(tái)安全能力實(shí)現(xiàn)路徑

圖4平臺(tái)安全能力實(shí)現(xiàn)路徑方向推進(jìn)

2020年上半年，平臺(tái)發(fā)生了1起信息安全事件：平臺(tái)內(nèi)1臺(tái)計(jì)算機(jī)中了挖礦病毒。發(fā)生該事件后，安全團(tuán)隊(duì)根據(jù)實(shí)際情況和規(guī)章制度，判斷事件類型及事件等級(jí)，將事件相關(guān)信息進(jìn)行記錄并上報(bào)。同時(shí)，對(duì)中病毒計(jì)算機(jī)進(jìn)行處置，處置手段包括安裝系統(tǒng)重要安全補(bǔ)丁、安裝防病毒軟件、重置系統(tǒng)密碼等。處置完成后，形成信息安全事件報(bào)告。

4 結(jié)論

本文采用云計(jì)算虛擬技術(shù)，針對(duì)工業(yè)互聯(lián)網(wǎng)行業(yè)中存在的安全問題，首先分析了國(guó)家政策驅(qū)動(dòng)和市場(chǎng)功能需求，在此基礎(chǔ)上提出了基于云計(jì)算的工業(yè)互聯(lián)網(wǎng)平臺(tái)安全運(yùn)營(yíng)體系，搭建了智能運(yùn)營(yíng)平臺(tái)架構(gòu)及實(shí)現(xiàn)路徑，并將建立的智能平臺(tái)應(yīng)用于某公司的安全防控工作中，以檢驗(yàn)平臺(tái)的實(shí)際應(yīng)用效果。平臺(tái)測(cè)評(píng)結(jié)果表明，本文搭建的工業(yè)互聯(lián)網(wǎng)智能安全運(yùn)營(yíng)平臺(tái)可以有效發(fā)現(xiàn)并防御企業(yè)面臨的網(wǎng)絡(luò)威脅，并及時(shí)采取應(yīng)對(duì)措施避免損失，為企業(yè)提供堅(jiān)實(shí)的網(wǎng)絡(luò)安全屏障。但是平臺(tái)仍存在一些漏洞，比如賬號(hào)弱口令、訪問控制漏洞、應(yīng)用代碼漏洞等，需要防范黑客利用漏洞對(duì)平臺(tái)進(jìn)行攻擊。同時(shí)除了日常性的安全監(jiān)控以外，未來的研究中可增加安全事件應(yīng)急演練模塊。