韓永磊，李 剛，邢衛(wèi)強(qiáng)

（江蘇杰瑞信息科技有限公司，江蘇 連云港 222000）

工控系統(tǒng)正在被廣泛地應(yīng)用在制造、交通、航空航天等多個(gè)重要領(lǐng)域，新一代通信技術(shù)的更迭，也給工控系統(tǒng)的安全帶來(lái)了一些影響。隨著大數(shù)據(jù)、云計(jì)算和區(qū)塊鏈等新興技術(shù)與工控系統(tǒng)的融合發(fā)展，信息技術(shù)驅(qū)動(dòng)工控安全創(chuàng)新，構(gòu)建工控系統(tǒng)主動(dòng)安全防御體系已是當(dāng)下重要發(fā)展任務(wù)。

近年來(lái)，中國(guó)工控系統(tǒng)安全標(biāo)準(zhǔn)正逐步完善，相關(guān)安全防護(hù)技術(shù)也穩(wěn)步發(fā)展，該產(chǎn)業(yè)也正進(jìn)入高速發(fā)展期，國(guó)家層面也推出了多項(xiàng)指導(dǎo)政策。2020年，國(guó)家相關(guān)主管機(jī)構(gòu)下發(fā)了《工業(yè)互聯(lián)網(wǎng)+安全生產(chǎn)行動(dòng)計(jì)劃》《工業(yè)數(shù)據(jù)分類(lèi)分級(jí)指南（試行）》《網(wǎng)絡(luò)安全審查辦法》《貫徹落實(shí)網(wǎng)絡(luò)安全等級(jí)保護(hù)制度和關(guān)鍵基礎(chǔ)設(shè)施安全保護(hù)制度的指導(dǎo)意見(jiàn)》《中國(guó)網(wǎng)絡(luò)安全產(chǎn)業(yè)白皮書(shū)（2020年）》等，以進(jìn)一步完善應(yīng)急管理體系，消除事故隱患。

2020年，新冠疫情的爆發(fā)，加快了全球企業(yè)的數(shù)字化進(jìn)程，也帶來(lái)了工控系統(tǒng)網(wǎng)絡(luò)安全的風(fēng)險(xiǎn)。有些典型工控安全攻擊事件可以給策略設(shè)計(jì)提供參考。例如，烏克蘭能源勘探生產(chǎn)公司APT攻擊、美國(guó)天然氣運(yùn)營(yíng)商商用勒索事件、本田公司工業(yè)型勒索軟件攻擊事件、巴西飛機(jī)制造商數(shù)據(jù)泄露事件等。

目前大部分網(wǎng)絡(luò)安全系統(tǒng)主要由防火墻、入侵檢測(cè)系統(tǒng)、防病毒系統(tǒng)等組成。這種常規(guī)的安全手段只能在網(wǎng)絡(luò)層、邊界層設(shè)防，以達(dá)到防止外部攻擊的目的。由于這些安全手段缺少底層到上層整條鏈路的信任機(jī)制，難以應(yīng)對(duì)新時(shí)期的安全需求，加之操作系統(tǒng)的不安全，導(dǎo)致應(yīng)用系統(tǒng)的各種漏洞層出不窮，其防護(hù)效果越來(lái)越不理想。同時(shí)離散型制造企業(yè)信息化程度正在穩(wěn)步提升，工控安全市場(chǎng)需求較大，針對(duì)這些安全需求和各類(lèi)新型攻擊手段，本文提出一種應(yīng)用防范方法，從硬件安全出發(fā)建立信任傳遞機(jī)制，從源頭解決計(jì)算環(huán)境可信賴的問(wèn)題[1]。

1 現(xiàn)狀分析

隨著中國(guó)工業(yè)互聯(lián)網(wǎng)產(chǎn)業(yè)的快速發(fā)展，越來(lái)越多的工控設(shè)備應(yīng)用在傳統(tǒng)工業(yè)生產(chǎn)中。這也帶來(lái)一個(gè)問(wèn)題，就是面向工控設(shè)備的攻擊方式復(fù)雜化，比較常見(jiàn)的為PLC、SCADA、數(shù)據(jù)聯(lián)網(wǎng)采集系等存在安全漏洞，通過(guò)國(guó)家信息安全漏洞共享平臺(tái)數(shù)據(jù)可知，2016年以來(lái)，工控漏洞數(shù)量明顯增長(zhǎng)，特別是2020年新冠疫情以來(lái)，更多企業(yè)通過(guò)數(shù)字化轉(zhuǎn)型升級(jí)來(lái)代替人工，導(dǎo)致更多工控系統(tǒng)安全隱患的發(fā)生。而對(duì)行業(yè)分析來(lái)說(shuō)，2020年的相關(guān)統(tǒng)計(jì)數(shù)據(jù)表明了西門(mén)子、advantech、ABB、WAGO、Moxa等存在較多漏洞，各大企業(yè)通過(guò)加固PLC、變更密碼、增加密碼復(fù)雜度等方式來(lái)改善安全防護(hù)方式。就行業(yè)實(shí)際應(yīng)用來(lái)說(shuō)，常用的工控協(xié)議有29種，主要為Modbus、SSL、BACnet等。Modbus是最常用的串行通信方式，在國(guó)內(nèi)外工業(yè)電子設(shè)備中普及率很高。SSL則是受到近幾年網(wǎng)絡(luò)攻擊的典型目標(biāo)對(duì)象而得到重視。BACnet是樓宇自動(dòng)化領(lǐng)域使用較多的通信方式，該協(xié)議也經(jīng)常因用戶缺乏安全意識(shí)而造成工控安全事故。

中國(guó)國(guó)家互聯(lián)網(wǎng)應(yīng)急中心進(jìn)一步加強(qiáng)了針對(duì)聯(lián)網(wǎng)工業(yè)設(shè)備和工業(yè)云平臺(tái)的網(wǎng)絡(luò)安全威脅發(fā)現(xiàn)能力，累計(jì)監(jiān)測(cè)中國(guó)境內(nèi)暴露的聯(lián)網(wǎng)工業(yè)設(shè)備數(shù)量攻擊6 814個(gè)，包括可編程邏輯控制器、數(shù)據(jù)采集監(jiān)控服務(wù)器、串口服務(wù)器等。其中，存在高危漏洞隱患的設(shè)備占比約34%，這些設(shè)備的廠商、型號(hào)、版本、參數(shù)等信息長(zhǎng)期遭到惡意嗅探，僅在2019年上半年嗅探事件就高達(dá)5 151萬(wàn)起。

在離散制造領(lǐng)域，更多的是基于工業(yè)互聯(lián)網(wǎng)平臺(tái)構(gòu)建工控安全體系。在國(guó)際上，美國(guó)發(fā)布了《美國(guó)國(guó)土安全部工業(yè)控制系統(tǒng)能力增強(qiáng)法案》《工業(yè)物聯(lián)網(wǎng)安全框架》《工業(yè)互聯(lián)網(wǎng)安全成熟度模型》等多個(gè)指導(dǎo)性文件，旨在引導(dǎo)工業(yè)互聯(lián)網(wǎng)安全發(fā)展。歐洲對(duì)制造場(chǎng)景關(guān)注更加密切，也相繼出臺(tái)了《工業(yè)4.0網(wǎng)絡(luò)安全：挑戰(zhàn)和建議》《跨企業(yè)安全通信》《增強(qiáng)歐盟未來(lái)工業(yè)的戰(zhàn)略價(jià)值鏈》等指導(dǎo)性文件，指出網(wǎng)絡(luò)安全的重要性。中國(guó)也陸續(xù)發(fā)布了《工業(yè)互聯(lián)網(wǎng)平臺(tái)評(píng)價(jià)方法》《加強(qiáng)工業(yè)互聯(lián)網(wǎng)安全工作的指導(dǎo)意見(jiàn)》《關(guān)于推動(dòng)工業(yè)互聯(lián)網(wǎng)加快發(fā)展的通知》等指導(dǎo)文件，用以健全保障安全體系，加快工控安全產(chǎn)品創(chuàng)新應(yīng)用，提升離散制造行業(yè)工控安全技術(shù)水平。

2 存在問(wèn)題及需求分析

離散型制造工控網(wǎng)絡(luò)存在一些共性問(wèn)題，主要包括：①網(wǎng)絡(luò)安全相關(guān)管理制度落實(shí)不到位，應(yīng)用企業(yè)在工控系統(tǒng)安全建設(shè)、網(wǎng)絡(luò)運(yùn)維、網(wǎng)絡(luò)安全檢查等相關(guān)管理要求方面還缺乏內(nèi)部有效的監(jiān)督管理。②工控網(wǎng)絡(luò)安全的建設(shè)投入不足。專(zhuān)職的安全管理人員較少，部分硬件投入不足，輕安全現(xiàn)象比較普遍。③工控系統(tǒng)安全配置存在管理不足。當(dāng)前離散制造企業(yè)更多依賴人工對(duì)系統(tǒng)安全進(jìn)行監(jiān)測(cè)，智能化水平和預(yù)警機(jī)制欠缺，處理的實(shí)時(shí)性受到影響。④制造企業(yè)在工控系統(tǒng)安全的規(guī)劃方面存在不足，大多采用邊建設(shè)邊設(shè)計(jì)的方式，缺少頂層規(guī)劃。

在需求分析方面，將針對(duì)該場(chǎng)景共性問(wèn)題，提出解決方法。具體問(wèn)題及解決方法如下：①大量異構(gòu)工控設(shè)備接入，設(shè)備種類(lèi)多，終端設(shè)備資源受限，因此，需要靠合適的設(shè)備接入與管控，保證終端設(shè)備可信可管。②工業(yè)場(chǎng)景的微服務(wù)應(yīng)用復(fù)雜多樣，每個(gè)微服務(wù)作為獨(dú)立的應(yīng)用，構(gòu)建規(guī)則的不統(tǒng)一，增加了安全接入管理的難度。微服務(wù)的協(xié)同復(fù)雜度高，在多個(gè)功能應(yīng)用方面，通信過(guò)程的安全復(fù)雜度會(huì)變高，要統(tǒng)籌考慮用戶的接入安全、調(diào)用的設(shè)計(jì)等，用以解決安全信任問(wèn)題。③應(yīng)用功能的開(kāi)發(fā)性高，隨著使用場(chǎng)景定制化功能的增加，部分應(yīng)用來(lái)源存在使用風(fēng)險(xiǎn)，需對(duì)開(kāi)發(fā)者身份進(jìn)行核實(shí)，以便提高系統(tǒng)安全性能。④工業(yè)數(shù)據(jù)安全防護(hù)的責(zé)任邊界上需要進(jìn)一步明確，以便做好管控。工控系統(tǒng)的采集、通信等多個(gè)流程涉及到人員多，部分敏感數(shù)據(jù)的標(biāo)識(shí)需要進(jìn)一步明確，以及對(duì)應(yīng)技術(shù)需要完善，部分業(yè)務(wù)場(chǎng)景數(shù)據(jù)屬于商業(yè)秘密，需進(jìn)行脫敏處理，而依托信息化過(guò)濾可以提升管理安全和管理效率[2-3]。

3 離散制造型工控安全管理平臺(tái)研究

離散制造車(chē)間基礎(chǔ)設(shè)施網(wǎng)絡(luò)節(jié)點(diǎn)眾多、分支復(fù)雜、數(shù)據(jù)流量大，且車(chē)間設(shè)備眾多，服務(wù)器、交換機(jī)、主機(jī)、無(wú)線AP缺乏可信認(rèn)證和管理。船舶工業(yè)控制網(wǎng)絡(luò)以工業(yè)以太網(wǎng)為骨干，與車(chē)間生產(chǎn)管理和監(jiān)控系統(tǒng)、生產(chǎn)數(shù)據(jù)總線、車(chē)間實(shí)時(shí)信息顯示、車(chē)間數(shù)字化檢測(cè)設(shè)備、視頻設(shè)備等系統(tǒng)和設(shè)備聯(lián)接，形成完整的工業(yè)內(nèi)網(wǎng)，某一個(gè)微小的環(huán)節(jié)遭到惡意破壞對(duì)于整個(gè)工業(yè)內(nèi)網(wǎng)來(lái)說(shuō)無(wú)疑是致命的。

并且此類(lèi)車(chē)間生產(chǎn)涉及到多個(gè)生產(chǎn)環(huán)節(jié)的控制，涉及的設(shè)備種類(lèi)也多樣，位置分散?；诖税踩枨?，越來(lái)越多的可信設(shè)備、可信軟件的接入，造成可信管理問(wèn)題。而目前管理軟件只是一些基本的管理配置功能，它并不能滿足現(xiàn)有的對(duì)可信安全管理軟件在可信認(rèn)證、監(jiān)控、分析、告警等方面的需求。針對(duì)離散型制造車(chē)間現(xiàn)狀，設(shè)備可信認(rèn)證和管控市場(chǎng)需求空間很大，具有很好的市場(chǎng)前景。

2020年，公安部網(wǎng)絡(luò)安全大會(huì)發(fā)表了關(guān)于“大力加強(qiáng)可信計(jì)算技術(shù)應(yīng)用，構(gòu)建安全可信的網(wǎng)絡(luò)安全技術(shù)保護(hù)生態(tài)”的主題演講，提出了將可信計(jì)算植入基礎(chǔ)軟硬件和系統(tǒng)，有效提升網(wǎng)絡(luò)安全主動(dòng)免疫能力，迅速落實(shí)網(wǎng)絡(luò)安全等級(jí)保護(hù)制度，滿足可信計(jì)算技術(shù)要求，建立全社會(huì)網(wǎng)絡(luò)安全良好生態(tài)。同年，ISC2020指出沒(méi)有網(wǎng)絡(luò)安全就沒(méi)有國(guó)家安全，按照國(guó)家網(wǎng)絡(luò)安全法律、戰(zhàn)略和等級(jí)保護(hù)制度要求，推廣安全可信產(chǎn)品和服務(wù)，守住網(wǎng)絡(luò)安全底線是歷史的使命?；诖耍疚奶岢鲇弥鲃?dòng)免疫的可信計(jì)算筑牢安全防線。從認(rèn)知科學(xué)上看，設(shè)計(jì)IT系統(tǒng)不能窮盡所有邏輯組合，必定存在邏輯不全的缺陷。利用缺陷挖掘漏洞進(jìn)行攻擊是網(wǎng)絡(luò)安全永遠(yuǎn)的命題。安全可信是指邏輯缺陷不被威脅者所利用，實(shí)行免疫機(jī)制[4-5]。

3.1 總體架構(gòu)設(shè)計(jì)

總體架構(gòu)如圖1所示。基于分層架構(gòu)的自底向上研究，底層數(shù)據(jù)接入層連接工業(yè)交換機(jī)為管理平臺(tái)提供數(shù)據(jù)；第二層基礎(chǔ)服務(wù)層為管理平臺(tái)提供必要的運(yùn)行環(huán)境；第三層核心業(yè)務(wù)層系統(tǒng)的管理中心采取三權(quán)分立設(shè)計(jì)思想，提供對(duì)設(shè)備、資源的可信管理、可信監(jiān)控。管理員分為系統(tǒng)管理員、安全管理員和審計(jì)管理員3種不同角色，普通用戶由系統(tǒng)管理員創(chuàng)建，不同用戶登錄界面顯示不同；同時(shí)管理中心與可信代理通過(guò)消息隊(duì)列方式進(jìn)行加密通信，保證松耦合及安全性?？尚糯硪詣?dòng)態(tài)庫(kù)方式支持服務(wù)，以消息隊(duì)列的模式與可信管理中心進(jìn)行交互，主動(dòng)上報(bào)監(jiān)控事件信息，接受可信管理中心下發(fā)任務(wù)，并在操作系統(tǒng)上執(zhí)行相關(guān)的操作，實(shí)現(xiàn)代理可信管理中心的目的；同時(shí)，不同的任務(wù)獨(dú)立為獨(dú)立的進(jìn)程，并設(shè)置定時(shí)檢測(cè)機(jī)制，保證服務(wù)的高可用性及高可靠性。

圖1 總體架構(gòu)

3.2 網(wǎng)絡(luò)探針集成應(yīng)用技術(shù)研究

生產(chǎn)車(chē)間有很多不同的廠商生產(chǎn)的不同的安全設(shè)備，它們的數(shù)據(jù)接口規(guī)范也各有不同。網(wǎng)絡(luò)探針的集成技術(shù)研究就是對(duì)車(chē)間設(shè)備底層數(shù)據(jù)接口集成研究。針對(duì)平臺(tái)異構(gòu)化接口數(shù)據(jù)傳輸問(wèn)題，基于模塊化思維，根據(jù)業(yè)務(wù)數(shù)據(jù)的要求，開(kāi)發(fā)數(shù)據(jù)傳輸模塊，將有效解決車(chē)間可信設(shè)備的數(shù)據(jù)傳輸問(wèn)題，并可實(shí)現(xiàn)多接口下的底層設(shè)備數(shù)據(jù)的整合與存儲(chǔ)，同時(shí)通過(guò)特定格式與頻率將數(shù)據(jù)發(fā)送到可信服務(wù)器，進(jìn)而實(shí)現(xiàn)可信管理平臺(tái)對(duì)車(chē)間可信設(shè)備的狀態(tài)告警、分析預(yù)測(cè)。組態(tài)引擎模塊示意圖如圖2所示。

圖2 組態(tài)引擎模塊示意圖

集成的數(shù)據(jù)類(lèi)型包括工程師站數(shù)據(jù)、操作員站數(shù)據(jù)、可信交換機(jī)數(shù)據(jù)等。采用的集成接口技術(shù)依據(jù)業(yè)務(wù)系統(tǒng)類(lèi)型和交換數(shù)據(jù)的格式而不相同。可信安全管理平臺(tái)與可信設(shè)備通過(guò)IP/TCP、RabbitMQ、WebService等進(jìn)行集成通信；與可信服務(wù)器采用HTTPS、AMPQ協(xié)議進(jìn)行通信，數(shù)據(jù)語(yǔ)言采用XML、JSON等格式。

3.3 管理平臺(tái)告警管理與分析應(yīng)用技術(shù)研究

為了快速準(zhǔn)確地定位安全事件位置，方便審計(jì)人員對(duì)已發(fā)生事件進(jìn)行分析，開(kāi)展可信告警管理與分析技術(shù)研究。告警元實(shí)例、告警元數(shù)量、所有實(shí)例平均持續(xù)時(shí)間、單個(gè)實(shí)例平均持續(xù)時(shí)間通過(guò)過(guò)濾參數(shù)組，過(guò)濾無(wú)關(guān)信息，觸發(fā)告警條件。如果成功，則實(shí)時(shí)告警并分析告警數(shù)據(jù)，再將可信管理平臺(tái)相關(guān)模塊展示出來(lái)。如果不觸發(fā)告警條件，則結(jié)合歷史數(shù)據(jù)、時(shí)間序列和機(jī)器學(xué)習(xí)聚類(lèi)算法提取規(guī)律，構(gòu)建告警預(yù)測(cè)模型。方便管理者洞察安全事件，并有針對(duì)地采取預(yù)防措施。管理平臺(tái)可信告警與分析流程圖如圖3所示。

圖3 管理平臺(tái)可信告警與分析流程圖

4 結(jié)論

平臺(tái)通過(guò)對(duì)離散型制造車(chē)間工控安全管理平臺(tái)的應(yīng)用研究，能夠有效提高車(chē)間工控網(wǎng)絡(luò)環(huán)境安全防護(hù)能力以及管理能力，增強(qiáng)企業(yè)工控安全防護(hù)力度，全面提升企業(yè)安全管控水平，推進(jìn)企業(yè)安全管理體系的形成。同時(shí)有別于傳統(tǒng)解決方案，本文構(gòu)建的主動(dòng)防御保障體系，能夠充分利用可信計(jì)算等核心技術(shù)，協(xié)助用戶開(kāi)展網(wǎng)絡(luò)安全等級(jí)保護(hù)管理和技術(shù)防護(hù)，創(chuàng)新網(wǎng)絡(luò)安全技術(shù)保護(hù)措施。后續(xù)將重點(diǎn)基于此平臺(tái)進(jìn)行工控安全主動(dòng)防御、智能運(yùn)維等方向的應(yīng)用研究，推動(dòng)中國(guó)離散制造業(yè)信息化水平的提升。