徐 波,王 昕

(漢江水利水電(集團(tuán))有限責(zé)任公司,湖北 武漢 430048)

0 引 言

建設(shè)數(shù)字孿生水網(wǎng)是建設(shè)國(guó)家水網(wǎng)的重要內(nèi)容,也是推動(dòng)新階段水利高質(zhì)量發(fā)展的重要標(biāo)志[1]。數(shù)字孿生是流域建設(shè)的新發(fā)展模式和轉(zhuǎn)型路徑,其是指通過(guò)運(yùn)用物聯(lián)網(wǎng)、大數(shù)據(jù)、云計(jì)算、人工智能等新技術(shù),實(shí)現(xiàn)數(shù)字化場(chǎng)景、智慧化模擬、精準(zhǔn)化決策,建成具有“四預(yù)”功能的智慧水利體系,成為新階段水利高質(zhì)量發(fā)展的有力支撐和強(qiáng)力驅(qū)動(dòng)[2]。

數(shù)字孿生水利工程是以物理水利工程為單元、時(shí)空數(shù)據(jù)為底座、數(shù)據(jù)模型為核心、水利知識(shí)為驅(qū)動(dòng),對(duì)物理水利工程全要素和建設(shè)運(yùn)行全過(guò)程進(jìn)行數(shù)字映射、智能模擬、前瞻預(yù)演,實(shí)現(xiàn)對(duì)物理水利工程的實(shí)時(shí)監(jiān)控,從而發(fā)現(xiàn)問(wèn)題、優(yōu)化調(diào)度的新型基礎(chǔ)設(shè)施[3],是保障水利工程安全運(yùn)行、充分發(fā)揮水利工程在防洪興利、水資源調(diào)配等方面綜合效益的重要手段,是智慧水利建設(shè)的重要組成部分,是數(shù)字孿生流域建設(shè)的關(guān)鍵節(jié)點(diǎn),也是水利數(shù)字孿生建設(shè)的切入點(diǎn)和突破點(diǎn)。隨著數(shù)字孿生水利工程的推進(jìn),工程自動(dòng)化程度將越來(lái)越高,風(fēng)險(xiǎn)也將急劇增大。因此,在數(shù)字孿生水利工程建設(shè)中,要高度重視網(wǎng)絡(luò)安全,構(gòu)建完善的網(wǎng)絡(luò)安全體系架構(gòu)[4]。

本文基于漢江流域數(shù)字孿生建設(shè)實(shí)際情況,通過(guò)分析數(shù)字孿生水利工程網(wǎng)絡(luò)安全的新特點(diǎn),對(duì)風(fēng)險(xiǎn)進(jìn)行識(shí)別,從工程管理甚至流域管理、行業(yè)管理的角度探討如何建立與之相適應(yīng)的網(wǎng)絡(luò)安全保障體系,并在安全管理、技術(shù)防護(hù)和安全運(yùn)維等方面采取切實(shí)可行的措施,有針對(duì)性地開(kāi)展網(wǎng)絡(luò)安全保障體系建設(shè),為數(shù)字孿生系統(tǒng)的安全穩(wěn)定運(yùn)行提供保障。

1 數(shù)字孿生水利工程平臺(tái)建設(shè)情況

根據(jù)水利部要求,漢江流域數(shù)字孿生項(xiàng)目基于智慧水利建設(shè)總體框架開(kāi)展建設(shè),建設(shè)范圍以丹江口庫(kù)區(qū)工程及中下游干流沿江區(qū)域?yàn)橹攸c(diǎn),覆蓋了漢江全流域,工程對(duì)象包括漢江上中游水庫(kù)群、引調(diào)水工程以及漢江中下游航電樞紐、分蓄洪民垸、蓄滯洪區(qū)、沿江堤防,以及防洪控制站與水量分配控制斷面等。該數(shù)字孿生工程聚焦?jié)h江流域水利業(yè)務(wù)能力提升需求,在虛擬空間再造一個(gè)與物理漢江相匹配、相對(duì)應(yīng)的數(shù)字孿生流域,提升三維數(shù)字化場(chǎng)景與漢江水利業(yè)務(wù)全要素的融合程度,實(shí)現(xiàn)漢江流域?qū)崟r(shí)狀態(tài)與控制管理的鏡像化描述和智能化反饋。

漢江流域數(shù)字孿生項(xiàng)目建設(shè)依托水利云、水利信息網(wǎng)及水利感知網(wǎng)等信息化基礎(chǔ)設(shè)施,統(tǒng)籌協(xié)同工控網(wǎng)與業(yè)務(wù)網(wǎng)資源,充分利用自建云、政務(wù)云及業(yè)務(wù)云等計(jì)算資源,從數(shù)據(jù)底板、模型平臺(tái)、知識(shí)平臺(tái)等方面搭建數(shù)字孿生核心框架,并支撐應(yīng)用及水利智慧業(yè)務(wù)的開(kāi)發(fā)。

2 數(shù)字孿生水利工程網(wǎng)絡(luò)安全風(fēng)險(xiǎn)分析

數(shù)字孿生水利工程總體架構(gòu)以水利信息化基礎(chǔ)設(shè)施為依托(見(jiàn)圖1),通過(guò)開(kāi)發(fā)算法模型,使用大數(shù)據(jù)、人工智能、知識(shí)圖譜等新技術(shù),將感知、計(jì)算、通信、控制等技術(shù)與樞紐工程、引水工程、河道工程等水利工程中物理實(shí)體、運(yùn)行環(huán)境等生產(chǎn)要素深度融合并進(jìn)行數(shù)字化表達(dá),構(gòu)建具備高度智能性、系統(tǒng)性、動(dòng)態(tài)性、精確性和完整性的數(shù)字孿生平臺(tái)[5]。作為智慧水利體系的“血管”,數(shù)字孿生平臺(tái)信息化基礎(chǔ)設(shè)施為整個(gè)系統(tǒng)運(yùn)行提供了數(shù)據(jù)流動(dòng)安全保障,通過(guò)云服務(wù)將數(shù)據(jù)傳遞至系統(tǒng)處理層。數(shù)字孿生平臺(tái)信息化基礎(chǔ)設(shè)施主要包括云存儲(chǔ)、云計(jì)算、網(wǎng)絡(luò)通信、安全防護(hù)等技術(shù)設(shè)施[6]。數(shù)字孿生平臺(tái)由數(shù)據(jù)底板、模型庫(kù)和知識(shí)庫(kù)以及模擬仿真引擎構(gòu)成。數(shù)據(jù)底板是數(shù)字孿生的基礎(chǔ),模型庫(kù)和知識(shí)庫(kù)是核心,模擬仿真引擎實(shí)現(xiàn)物理實(shí)體與虛擬空間的映射[7]。根據(jù)水利工程的各自特點(diǎn)和業(yè)務(wù)重點(diǎn)不同,在數(shù)字孿生平臺(tái)上開(kāi)發(fā)適應(yīng)各水管單位所需的防洪、供水、工程運(yùn)行等各類水利業(yè)務(wù)應(yīng)用系統(tǒng)。數(shù)字孿生水利工程的系統(tǒng)結(jié)構(gòu)包括了從感知層、傳輸層、數(shù)據(jù)層、平臺(tái)層到應(yīng)用層的各個(gè)組件[8]。因此,數(shù)字孿生水利工程必然存在傳統(tǒng)水利信息系統(tǒng)常見(jiàn)的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。

圖1 數(shù)字孿生水利工程總體架構(gòu)Fig.1 Overall architecture of digital twin of water conservancy projects

數(shù)字孿生水利工程建設(shè)內(nèi)容如下:

(1) 基礎(chǔ)設(shè)施?；A(chǔ)設(shè)施包括水利感知網(wǎng)、工控網(wǎng)、水利信息網(wǎng)和水利云等主要內(nèi)容,在漢江試點(diǎn)建設(shè)中,主要利用長(zhǎng)江水利委員會(huì)(以下簡(jiǎn)稱“長(zhǎng)江委”)和漢江集團(tuán)現(xiàn)有運(yùn)行環(huán)境提供的能力支撐。

(2) 數(shù)據(jù)底板。數(shù)據(jù)底板是智慧水利的算據(jù),主要包括基礎(chǔ)、監(jiān)測(cè)、業(yè)務(wù)管理、行業(yè)共享、地理空間等數(shù)據(jù),以及多維多時(shí)空尺度數(shù)據(jù)模型等數(shù)據(jù)資源,形成基礎(chǔ)數(shù)據(jù)統(tǒng)一、監(jiān)測(cè)數(shù)據(jù)匯集、二三維一體化、三級(jí)貫通的智慧水利數(shù)據(jù)底板。

(3) 模型平臺(tái)。模型是智慧水利的算法,數(shù)字孿生漢江模型平臺(tái)主要包括水利專業(yè)、可視化等模型,以及可視化渲染、數(shù)學(xué)模擬仿真等引擎。建設(shè)標(biāo)準(zhǔn)統(tǒng)一、接口規(guī)范、分布部署、快速組裝、敏捷復(fù)用的模型平臺(tái),是保障智慧化模擬的前提。在數(shù)字孿生漢江建設(shè)過(guò)程中,需要深度分析模型封裝與集成所面臨的多語(yǔ)言編程、多類型傳輸、多目標(biāo)耦合、多形式配置等關(guān)鍵需求,在調(diào)用各種不同專業(yè)模型的情況下避免頻繁調(diào)整接口。因此,基于模型開(kāi)發(fā)與集成標(biāo)準(zhǔn)規(guī)范,采用約定的模型接口形式,以保障采用不同開(kāi)發(fā)手段開(kāi)發(fā)的模型都能用統(tǒng)一方法接入到數(shù)字孿生漢江系統(tǒng)中。

(4) 知識(shí)平臺(tái)。知識(shí)平臺(tái)基于“微服務(wù)化、開(kāi)放兼容、持續(xù)演進(jìn)、云原生”的設(shè)計(jì)理念構(gòu)建,包括水利知識(shí)、智能算法等。針對(duì)以漢江流域?yàn)槭痉兜乃R(shí)圖譜等內(nèi)容,數(shù)字孿生漢江系統(tǒng)通過(guò)提取通用服務(wù)、分模塊封裝、支撐事件正向智能推理和反向溯因等分析,提供精準(zhǔn)化決策支撐[3]。

(5) 智慧應(yīng)用。針對(duì)水旱災(zāi)害防御、水量調(diào)度及生態(tài)調(diào)度業(yè)務(wù)需求,開(kāi)展以流域防洪、水資源管理與調(diào)配為主的功能應(yīng)用場(chǎng)景設(shè)計(jì)和精準(zhǔn)化決策支撐模型開(kāi)發(fā)。通過(guò)梳理并分析業(yè)務(wù)流程,確定防洪、水量調(diào)度決策的主題要素和信息關(guān)聯(lián)方式,重現(xiàn)調(diào)度決策者對(duì)防洪和水量調(diào)度的認(rèn)知過(guò)程,實(shí)現(xiàn)調(diào)度思維的連續(xù)性。

項(xiàng)目建設(shè)中使用了物聯(lián)網(wǎng)、大數(shù)據(jù)、人工智能、移動(dòng)通訊等新技術(shù),具有建設(shè)范圍廣、網(wǎng)絡(luò)結(jié)構(gòu)復(fù)雜、IT與OT結(jié)合、數(shù)據(jù)量大且敏感數(shù)據(jù)多、應(yīng)用場(chǎng)景多、用戶身份復(fù)雜等特點(diǎn)[9]。因此,數(shù)字孿生水利工程既面臨著傳統(tǒng)的網(wǎng)絡(luò)安全風(fēng)險(xiǎn),又面臨著網(wǎng)絡(luò)安全技術(shù)防護(hù)風(fēng)險(xiǎn)。在本文研究中,數(shù)字孿生水利工程的技術(shù)風(fēng)險(xiǎn)更多地體現(xiàn)在新技術(shù)的應(yīng)用、技術(shù)之間的相互作用和系統(tǒng)集成整合方面。

2.1 異構(gòu)網(wǎng)多網(wǎng)并發(fā)風(fēng)險(xiǎn)

數(shù)字孿生水利工程開(kāi)放共享的技術(shù)特點(diǎn)決定了其多網(wǎng)絡(luò)融合的必要需求,在多網(wǎng)融合兼容性、成熟的網(wǎng)絡(luò)可視化技術(shù)及綜合管理技術(shù)等方面,工程對(duì)異構(gòu)網(wǎng)絡(luò)技術(shù)等網(wǎng)絡(luò)服務(wù)技術(shù)提出了更高的要求[10]。從網(wǎng)絡(luò)的覆蓋范圍來(lái)看,數(shù)字孿生水利工程的網(wǎng)絡(luò)連接范圍已經(jīng)超出水利工程內(nèi)網(wǎng)。在工程管理單位內(nèi)部,數(shù)字孿生水利工程與各水文測(cè)站、水利工控系統(tǒng)等相連。在水利行業(yè)內(nèi)部,數(shù)字孿生水利工程是數(shù)字孿生流域的組成部分,既是數(shù)字孿生流域的節(jié)點(diǎn),一些具備調(diào)水功能的水利工程同時(shí)也是數(shù)字孿生水網(wǎng)的節(jié)點(diǎn),數(shù)字孿生水利工程與數(shù)字孿生流域和數(shù)字孿生水網(wǎng)互聯(lián)互通。在與水利行業(yè)外部的關(guān)系上,數(shù)字孿生水利工程也與地方相關(guān)部門的業(yè)務(wù)系統(tǒng)連接。從連接方式來(lái)看,既有IP網(wǎng)絡(luò),也有物聯(lián)網(wǎng),采用云計(jì)算方式部署的系統(tǒng)還需要與IDC數(shù)字中心連接;各類移動(dòng)APP使用5G或WiFi的方式進(jìn)行連接;在大壩安全監(jiān)測(cè)、庫(kù)區(qū)巡察時(shí)還使用衛(wèi)星等方式進(jìn)行通信。數(shù)字孿生水利工程的這些特點(diǎn)給數(shù)字孿生水利工程的網(wǎng)絡(luò)通信安全帶來(lái)了挑戰(zhàn)[11]。

2.2 數(shù)據(jù)安全風(fēng)險(xiǎn)

數(shù)字孿生水利工程最關(guān)鍵的一環(huán)就是實(shí)現(xiàn)數(shù)據(jù)資源的有序匯聚和共享,既包括靜態(tài)數(shù)據(jù),也包括實(shí)時(shí)數(shù)據(jù),既有內(nèi)部數(shù)據(jù),也包括外部的交換共享數(shù)據(jù),既包括全國(guó)水利一張圖、工程及相關(guān)區(qū)域DEM、DOM等地理信息數(shù)據(jù),也包括采用衛(wèi)星遙感、無(wú)人機(jī)傾斜攝影、激光雷達(dá)掃描建模、BIM等技術(shù)形成的地理信息數(shù)據(jù)[12]。同時(shí),各類工程管理的基礎(chǔ)數(shù)據(jù)和水文、工程等各類監(jiān)測(cè)數(shù)據(jù)以及業(yè)務(wù)管理數(shù)據(jù)統(tǒng)一納入了數(shù)據(jù)底板。這些數(shù)據(jù)量大、種類豐富,來(lái)源多樣,實(shí)時(shí)數(shù)據(jù)的更新更是海量數(shù)據(jù),結(jié)構(gòu)化、非結(jié)構(gòu)化、時(shí)序數(shù)據(jù)等多種數(shù)據(jù)類型并存,水利數(shù)字孿生正是建立在海量數(shù)據(jù)的采集、傳輸和分析處理基礎(chǔ)之上的。隨著數(shù)字孿生水利工程的不斷推進(jìn),工程數(shù)據(jù)安全“藍(lán)海效應(yīng)”也將更加突出,關(guān)鍵信息基礎(chǔ)設(shè)施、核心數(shù)據(jù)、重要數(shù)據(jù)或大量信息將更容易受到外界關(guān)注,從而遭到惡意控制、利用[13]。這些數(shù)據(jù)既通過(guò)大數(shù)據(jù)平臺(tái)統(tǒng)一管理,同時(shí)一些基礎(chǔ)數(shù)據(jù)也分布在水利工程運(yùn)行管理的各個(gè)節(jié)點(diǎn),數(shù)字管理難度大。同時(shí),大數(shù)據(jù)、云計(jì)算和智能應(yīng)用的融合,以及大量異構(gòu)平臺(tái)的多層次協(xié)作帶來(lái)更多的入侵方式和攻擊路徑,數(shù)據(jù)安全的風(fēng)險(xiǎn)進(jìn)一步增加,數(shù)據(jù)存儲(chǔ)、處理、交換、銷毀等環(huán)節(jié)敏感數(shù)據(jù)泄露的風(fēng)險(xiǎn)也隨之上升。

2.3 物聯(lián)網(wǎng)安全風(fēng)險(xiǎn)

數(shù)字孿生實(shí)時(shí)性、保真性的特點(diǎn)要求按一定的頻次實(shí)時(shí)采集水利工程的狀態(tài)信息,如工程安全監(jiān)測(cè)、水文監(jiān)測(cè)、水質(zhì)監(jiān)測(cè)、水土保持監(jiān)測(cè)、地質(zhì)災(zāi)害監(jiān)測(cè)和視頻信息。這些信息實(shí)現(xiàn)了數(shù)字孿生水利工程由實(shí)到虛的仿真,在數(shù)字孿生水利工程建設(shè)中,這些信息需要各類專業(yè)傳感器按照規(guī)定的精度和頻次采集,并通過(guò)物聯(lián)網(wǎng)進(jìn)行傳輸、處理,因此物聯(lián)網(wǎng)的建設(shè)是數(shù)字孿生水利工程必不可少的基礎(chǔ)設(shè)施。在數(shù)字孿生水利工程中,各類傳感器和視頻監(jiān)控設(shè)備以及相應(yīng)的通信、處理和邊緣計(jì)算共同組成了水利物聯(lián)網(wǎng)。從網(wǎng)絡(luò)安全的角度看,工業(yè)物聯(lián)網(wǎng)設(shè)備涉及的網(wǎng)絡(luò)安全問(wèn)題主要包括安全漏洞數(shù)量急劇上升、拒絕服務(wù)攻擊、信息泄露以及未授權(quán)訪問(wèn)[14]。此外,由于物聯(lián)網(wǎng)的節(jié)點(diǎn)多、單節(jié)點(diǎn)功能單一、安全策略不統(tǒng)一,其還存在隱私保護(hù),異構(gòu)網(wǎng)絡(luò)的認(rèn)證與訪問(wèn)控制以及信息傳輸、存儲(chǔ)與管理等問(wèn)題,在信息安全的機(jī)密性、完整性和可用性等多方面面臨著網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。

2.4 工控系統(tǒng)風(fēng)險(xiǎn)

數(shù)字孿生要求物理對(duì)象和數(shù)字空間能夠雙向映射、動(dòng)態(tài)交互和實(shí)時(shí)連接。這種交互操作性要求數(shù)字孿生水利工程與水利工業(yè)控制系統(tǒng)之間進(jìn)行交互,數(shù)字孿生水利工程需要接入閘門開(kāi)度、機(jī)組運(yùn)行等水利工程運(yùn)行狀態(tài)的信息,在條件具備的情況下,還可以實(shí)現(xiàn)對(duì)水利工程控制系統(tǒng)的遠(yuǎn)程操作。這些功能的實(shí)現(xiàn)必然要與水利工控系統(tǒng)進(jìn)行網(wǎng)絡(luò)通訊,這樣就會(huì)造成原來(lái)在物理隔離環(huán)境中運(yùn)行的水利工控系統(tǒng)不同程度地暴露在網(wǎng)絡(luò)環(huán)境中,傳統(tǒng)的封閉系統(tǒng)將向開(kāi)放系統(tǒng)轉(zhuǎn)變。

水利工控系統(tǒng)承擔(dān)了防洪、灌溉、航運(yùn)、水力發(fā)電等關(guān)系到國(guó)計(jì)民生的職責(zé),極易遭受網(wǎng)絡(luò)攻擊,且受攻擊后將引起重大損失風(fēng)險(xiǎn)[15]。另一方面,工控系統(tǒng)中的硬件芯片、軟件系統(tǒng)的版本較低,升級(jí)維護(hù)不及時(shí),可能存在未知的安全漏洞,一旦受到網(wǎng)絡(luò)攻擊,很容易被控制,造成運(yùn)行失控、數(shù)據(jù)丟失、系統(tǒng)致癱等網(wǎng)絡(luò)安全問(wèn)題,甚至閘門等設(shè)備設(shè)施被控制,造成嚴(yán)重的政治影響、社會(huì)影響和人身財(cái)產(chǎn)損失。

2.5 云計(jì)算風(fēng)險(xiǎn)

云計(jì)算是與大數(shù)據(jù)、人工智能技術(shù)緊密相關(guān)的信息技術(shù),由于在云計(jì)算運(yùn)行環(huán)境下,用戶無(wú)法對(duì)平臺(tái)進(jìn)行直接管控,將可能帶來(lái)安全需求、設(shè)備部署、技術(shù)運(yùn)維及訪問(wèn)管理等諸多網(wǎng)絡(luò)安全的風(fēng)險(xiǎn)[16]。數(shù)字孿生水利工程中對(duì)海量數(shù)據(jù)的處理必然要使用大數(shù)據(jù)技術(shù)。在云計(jì)算環(huán)境中會(huì)有大量不同安全等級(jí)的資產(chǎn),如果云計(jì)算環(huán)境中安全域的規(guī)劃和各類系統(tǒng)的訪問(wèn)控制機(jī)制不完善,將存在網(wǎng)絡(luò)安全問(wèn)題擴(kuò)散的風(fēng)險(xiǎn),在云環(huán)境中部署的數(shù)字孿生水利工程面臨的DDos等網(wǎng)絡(luò)攻擊也非常突出。無(wú)論是IaaS層的從機(jī)房設(shè)備到硬件平臺(tái)的基礎(chǔ)設(shè)施的安全,還是PaaS層的接口安全、運(yùn)行安全,以及SaaS 層的應(yīng)用安全,都是數(shù)字孿生水利工程云計(jì)算面臨的風(fēng)險(xiǎn)和必須解決的問(wèn)題。

2.6 移動(dòng)應(yīng)用風(fēng)險(xiǎn)

移動(dòng)應(yīng)用在水利業(yè)務(wù)中日益普及。水利工程中水工建筑物、閘門金結(jié)的移動(dòng)巡檢、庫(kù)區(qū)岸線和消落地的巡察和水政執(zhí)法、取水口和排污口的核查、采砂管理以及水利業(yè)務(wù)管理流程的移動(dòng)審批等應(yīng)用都離不開(kāi)移動(dòng)應(yīng)用。數(shù)字孿生水利工程桌面端的應(yīng)用一部分會(huì)同步移植到移動(dòng)應(yīng)用中。數(shù)字孿生水利工程中的移動(dòng)安全風(fēng)險(xiǎn)主要體現(xiàn)在移動(dòng)終端、移動(dòng)接入和移動(dòng)應(yīng)用3個(gè)方面。移動(dòng)終端占比最大的Android和iOS操作系統(tǒng)自身存在未完全統(tǒng)一管理、缺乏普適性的審核標(biāo)準(zhǔn)及管理標(biāo)準(zhǔn)等安全風(fēng)險(xiǎn)[17],加上各類應(yīng)用APP的不當(dāng)授權(quán),數(shù)據(jù)安全存在隱患。在網(wǎng)絡(luò)接入上,存在VPN被非法使用的風(fēng)險(xiǎn),水利業(yè)務(wù)的APP在開(kāi)發(fā)時(shí)框架和代碼的安全漏洞可能被利用,移動(dòng)安全往往被忽視。

總的看來(lái),數(shù)字孿生水利工程中網(wǎng)絡(luò)安全技術(shù)風(fēng)險(xiǎn)特色鮮明,操作難度大,綜合要求高,需要通過(guò)網(wǎng)絡(luò)安全保障體系的建設(shè)化解這些風(fēng)險(xiǎn)。

3 數(shù)字孿生水利工程網(wǎng)絡(luò)安全保障體系總體框架

3.1 保障目標(biāo)

水利數(shù)字孿生網(wǎng)絡(luò)安全治理的目標(biāo)是保障業(yè)務(wù)不中斷、數(shù)據(jù)不出事、合規(guī)不踩線[18]。數(shù)字孿生水利工程信息基礎(chǔ)設(shè)施和防汛興利、工程安全、生產(chǎn)運(yùn)營(yíng)、巡查管護(hù)等各類水利業(yè)務(wù)應(yīng)用的正常運(yùn)行,對(duì)確保水利數(shù)字孿生數(shù)據(jù)安全,保障水利工程發(fā)揮防洪、發(fā)電、灌溉、生態(tài)、環(huán)保等工程效益具有重要意義。

3.2 保障對(duì)象

水利數(shù)字孿生網(wǎng)絡(luò)安全的治理對(duì)象包括數(shù)字孿生水利工程的信息基礎(chǔ)設(shè)施、行業(yè)重要數(shù)據(jù)以及業(yè)務(wù)系統(tǒng)資源[19]。數(shù)字孿生水利工程的信息基礎(chǔ)設(shè)施主要包括大型水利工程、重要位置的中型水庫(kù)運(yùn)行控制和生產(chǎn)調(diào)度系統(tǒng)、水質(zhì)監(jiān)控管理系統(tǒng)、引調(diào)水工程運(yùn)行控制和生產(chǎn)調(diào)度系統(tǒng)、防汛抗旱指揮系統(tǒng)和水資源信息管理系統(tǒng)等關(guān)鍵信息基礎(chǔ)設(shè)施[20],以及水利感知網(wǎng)、水利信息網(wǎng)、水利云等信息化基礎(chǔ)設(shè)施[21]。數(shù)字孿生水利工程的重要業(yè)務(wù)系統(tǒng)包括水庫(kù)防洪調(diào)度、生產(chǎn)運(yùn)營(yíng)、供水管理、工程運(yùn)維管理、工程安全監(jiān)測(cè)、庫(kù)區(qū)管理、水質(zhì)監(jiān)測(cè)等水利工程管理的業(yè)務(wù)系統(tǒng)。數(shù)字孿生水利工程的重要數(shù)據(jù)資源包括高精度的地理信息、關(guān)鍵信息基礎(chǔ)設(shè)施的運(yùn)行數(shù)據(jù)、水文水資源數(shù)據(jù)、工程核心數(shù)據(jù)、個(gè)人信息及其他敏感信息。

4 數(shù)字孿生水利工程網(wǎng)絡(luò)安全技術(shù)風(fēng)險(xiǎn)治理體系

為加強(qiáng)數(shù)字孿生水利工程網(wǎng)絡(luò)安全技術(shù)風(fēng)險(xiǎn)的主動(dòng)防護(hù),本文立足網(wǎng)絡(luò)安全應(yīng)用技術(shù),從網(wǎng)絡(luò)安全縱深防御體系建設(shè)、物聯(lián)網(wǎng)安全防護(hù)、數(shù)據(jù)安全防護(hù)、水利工業(yè)控制系統(tǒng)安全防護(hù)、云計(jì)算安全防護(hù)、移動(dòng)安全防護(hù)六方面搭建了數(shù)字孿生水利工程網(wǎng)絡(luò)安全技術(shù)風(fēng)險(xiǎn)治理體系,如圖2所示。

圖2 數(shù)字孿生水利工程網(wǎng)絡(luò)安全技術(shù)風(fēng)險(xiǎn)治理體系Fig.2 Risk management system for network security technology of digital twin water conservancy projects

4.1 網(wǎng)絡(luò)安全縱深防御體系建設(shè)

建立網(wǎng)絡(luò)安全縱深防御體系是應(yīng)對(duì)數(shù)字孿生水利工程復(fù)雜網(wǎng)絡(luò)結(jié)構(gòu)帶來(lái)的風(fēng)險(xiǎn)的主要途徑。

從網(wǎng)絡(luò)結(jié)構(gòu)和安全域劃分的角度,做到網(wǎng)絡(luò)安全防護(hù)的完整和細(xì)化。在分析網(wǎng)絡(luò)結(jié)構(gòu)的基礎(chǔ)上,站在全網(wǎng)的角度對(duì)網(wǎng)絡(luò)邊界進(jìn)行整合,使網(wǎng)絡(luò)邊界防護(hù)覆蓋各種訪問(wèn)連接。對(duì)全網(wǎng)的資產(chǎn)進(jìn)行梳理,根據(jù)資產(chǎn)的暴露位置、業(yè)務(wù)功能和重要等級(jí),進(jìn)行網(wǎng)絡(luò)安全域的細(xì)粒度劃分;進(jìn)一步細(xì)化數(shù)字孿生水利工程的網(wǎng)絡(luò)安全域,在網(wǎng)絡(luò)邊界實(shí)施嚴(yán)格的隔離防護(hù)措施,實(shí)現(xiàn)網(wǎng)絡(luò)訪問(wèn)權(quán)限的最小化,收縮網(wǎng)絡(luò)攻擊面;建立多層次的網(wǎng)絡(luò)安全防御縱深,在一層防護(hù)措施失陷的情況下仍有下一層級(jí)的防護(hù),在下一層級(jí)措施失效的情況下還有措施予以補(bǔ)救,從而控制網(wǎng)絡(luò)安全事件的影響范圍,如圖3所示。

圖3 多層次網(wǎng)絡(luò)安全縱深防御體系Fig.3 Multi-level network security defense system

從連接方式和業(yè)務(wù)場(chǎng)景的角度,根據(jù)數(shù)字孿生水利工程中的物聯(lián)網(wǎng)、移動(dòng)互聯(lián)網(wǎng)、廣域網(wǎng)等不同的連接方式,以及生產(chǎn)控制區(qū)、管理信息區(qū)、數(shù)據(jù)中心區(qū)、水利業(yè)務(wù)專網(wǎng)、互聯(lián)網(wǎng)應(yīng)用等業(yè)務(wù)應(yīng)用場(chǎng)景的不同,對(duì)相同或相似的連接方式進(jìn)行整合,收斂應(yīng)用服務(wù)及接口的協(xié)議類型,統(tǒng)籌進(jìn)行網(wǎng)絡(luò)安全防護(hù)的部署,使網(wǎng)絡(luò)邊界進(jìn)一步清晰。同時(shí),也便于網(wǎng)絡(luò)安全設(shè)備設(shè)施的部署和管理。

從網(wǎng)絡(luò)安全接入的角度,對(duì)于內(nèi)網(wǎng)終端用戶的接入,建立終端準(zhǔn)入機(jī)制是保障數(shù)字孿生水利工程網(wǎng)絡(luò)安全的重要屏障(見(jiàn)圖4)。通過(guò)終端準(zhǔn)入機(jī)制,可以實(shí)現(xiàn)終端安全的檢查,對(duì)終端的補(bǔ)丁進(jìn)行升級(jí)管理,對(duì)終端運(yùn)行的應(yīng)用程序進(jìn)行控制,在發(fā)生網(wǎng)絡(luò)安全攻擊時(shí),可以準(zhǔn)確定位受影響終端。對(duì)遠(yuǎn)程接入的終端,使用VPN或零信任技術(shù)對(duì)終端進(jìn)行管理,實(shí)現(xiàn)用戶身份的認(rèn)證和安全連接。可以設(shè)立單獨(dú)的安全接入?yún)^(qū),用于統(tǒng)一管理遠(yuǎn)程接入。

圖4 建立終端準(zhǔn)入機(jī)制Fig.4 Establishing a terminal access mechanism

4.2 物聯(lián)網(wǎng)安全防護(hù)

數(shù)字孿生水利工程物聯(lián)網(wǎng)的安全防護(hù)包括物聯(lián)網(wǎng)終端基礎(chǔ)安全、物聯(lián)網(wǎng)安全接入平臺(tái)和物聯(lián)網(wǎng)安全管理平臺(tái),在這3個(gè)層級(jí)上建設(shè)從端到邊再到云的物聯(lián)網(wǎng)安全體系。

(1) 物聯(lián)網(wǎng)終端基礎(chǔ)安全。在終端側(cè)采用固件分析、安全測(cè)評(píng)相結(jié)合的手段,通過(guò)供應(yīng)鏈管控體系明確物聯(lián)網(wǎng)設(shè)備進(jìn)入數(shù)字孿生水利工程的安全標(biāo)準(zhǔn)。根據(jù)設(shè)備的硬件特征,對(duì)進(jìn)入數(shù)字孿生水利工程的物聯(lián)網(wǎng)設(shè)備建立唯一的標(biāo)識(shí),對(duì)接入設(shè)備進(jìn)行合法性驗(yàn)證,建立物聯(lián)網(wǎng)資產(chǎn)、固件、漏洞的關(guān)聯(lián)關(guān)系。對(duì)于水利關(guān)鍵信息基礎(chǔ)設(shè)施使用的物聯(lián)網(wǎng)設(shè)備,可以要求供應(yīng)商在硬件設(shè)計(jì)和軟件開(kāi)發(fā)時(shí),增加相應(yīng)的安全模塊。在項(xiàng)目實(shí)施中,采用了基于驅(qū)動(dòng)層安全監(jiān)控技術(shù),采用自學(xué)習(xí)的網(wǎng)絡(luò)進(jìn)程安全防護(hù)策略,監(jiān)控網(wǎng)絡(luò)、進(jìn)程和文件等類型數(shù)據(jù),包含系統(tǒng)控制的動(dòng)作指令和讀寫的狀態(tài),建立進(jìn)程、網(wǎng)絡(luò)、文件關(guān)系分析模型,對(duì)終端內(nèi)部數(shù)據(jù)的關(guān)系和完整性進(jìn)行安全防護(hù)。

(2) 物聯(lián)網(wǎng)安全接入平臺(tái)。物聯(lián)網(wǎng)安全接入平臺(tái)部署在邊緣計(jì)算節(jié)點(diǎn),將網(wǎng)絡(luò)安全的關(guān)口前移到邊緣側(cè),用于識(shí)別物聯(lián)網(wǎng)設(shè)備,控制訪問(wèn)權(quán)限,保障物聯(lián)網(wǎng)在數(shù)據(jù)傳輸層面可信。利用分析引擎和感知模型快速準(zhǔn)確地實(shí)現(xiàn)邊緣威脅感知,縮短安全分析的數(shù)據(jù)路徑,提高數(shù)據(jù)分析的時(shí)效性。通過(guò)物聯(lián)網(wǎng)安全接入平臺(tái),可以對(duì)接入的設(shè)備實(shí)現(xiàn)漏洞發(fā)現(xiàn)、配置脆弱性感知,對(duì)威脅流量進(jìn)行阻斷。同時(shí),物聯(lián)網(wǎng)安全接入平臺(tái)也可以作為固件分發(fā)、配置管理的代理,減輕云端服務(wù)的訪問(wèn)壓力,提高固件分發(fā)和補(bǔ)丁更新的效率。

(3) 物聯(lián)網(wǎng)安全管理平臺(tái)。管理平臺(tái)對(duì)于安全管理區(qū)的核心交換機(jī)采用旁路部署,并與物聯(lián)網(wǎng)終端設(shè)備路由可達(dá),可感知全網(wǎng)資產(chǎn)的安全態(tài)勢(shì);對(duì)于網(wǎng)內(nèi)物聯(lián)網(wǎng)設(shè)備采用資產(chǎn)管理的模式,以唯一性ID作為資產(chǎn)主要數(shù)據(jù)流轉(zhuǎn)憑證。采用了漏洞掃描、資產(chǎn)探測(cè)和異常檢測(cè)等方式可以及時(shí)發(fā)現(xiàn)終端資產(chǎn)中發(fā)生的突破、繞過(guò)現(xiàn)有安全防御機(jī)制的風(fēng)險(xiǎn)行為,實(shí)時(shí)主動(dòng)監(jiān)測(cè)和安全預(yù)警,及時(shí)發(fā)現(xiàn)未落實(shí)的安全防護(hù)措施與安全遺漏盲區(qū)。將物聯(lián)網(wǎng)安全管理平臺(tái)與系統(tǒng)安全平臺(tái)、數(shù)據(jù)安全平臺(tái)、態(tài)勢(shì)感知平臺(tái)等其他安全管理平臺(tái)連接,掌握物聯(lián)網(wǎng)等感知層的設(shè)備資產(chǎn)的漏洞分布情況、運(yùn)行狀態(tài)和風(fēng)險(xiǎn)狀況,實(shí)現(xiàn)對(duì)全域物聯(lián)網(wǎng)設(shè)備的統(tǒng)一策略編排、固件分發(fā)、系統(tǒng)補(bǔ)丁等安全管理能力。結(jié)合大數(shù)據(jù)、態(tài)勢(shì)感知、機(jī)器學(xué)習(xí)、威脅情報(bào)等技術(shù),在物聯(lián)網(wǎng)設(shè)備產(chǎn)生的大量業(yè)務(wù)、行為、流量等多維數(shù)據(jù)中,對(duì)全域數(shù)據(jù)進(jìn)行持續(xù)分析、建模訓(xùn)練,實(shí)現(xiàn)設(shè)備指紋特征、網(wǎng)絡(luò)行為、威脅行為識(shí)別等感知模型的持續(xù)優(yōu)化,提高邊緣安全保障能力。

通過(guò)物聯(lián)網(wǎng)安全防護(hù)體系的建設(shè),達(dá)到了邊緣設(shè)備可查、接入可信、風(fēng)險(xiǎn)可知、威脅可控的全生命周期安全運(yùn)營(yíng)(見(jiàn)圖5)。

圖5 物聯(lián)網(wǎng)安全防護(hù)體系Fig.5 Internet of things security protection system

4.3 數(shù)據(jù)安全防護(hù)

數(shù)據(jù)的安全防護(hù)是數(shù)字孿生水利工程的防護(hù)重點(diǎn),需要開(kāi)展數(shù)據(jù)安全治理,并在數(shù)據(jù)使用過(guò)程中嚴(yán)格權(quán)限管理,利用數(shù)據(jù)加密和脫敏技術(shù)防止數(shù)據(jù)的泄露、篡改和破壞。在系統(tǒng)運(yùn)行過(guò)程中,加強(qiáng)數(shù)據(jù)庫(kù)的運(yùn)維審計(jì),在極端情況下采取恢復(fù)備份數(shù)據(jù)的方式恢復(fù)系統(tǒng)的運(yùn)行。

在數(shù)據(jù)安全治理方面,按照《水利數(shù)據(jù)分類分級(jí)指南(試行)》的規(guī)定,做好數(shù)據(jù)資產(chǎn)的梳理和分類分級(jí),建立數(shù)據(jù)資產(chǎn)臺(tái)賬,識(shí)別和掌握敏感數(shù)據(jù)的分布使用情況,根據(jù)數(shù)據(jù)的分類分級(jí)不同,對(duì)數(shù)據(jù)進(jìn)行有針對(duì)性的安全管理措施,既要保證數(shù)據(jù)的安全性,又要保證數(shù)據(jù)的有效利用(見(jiàn)圖6)。在漢江流域數(shù)字孿生項(xiàng)目建設(shè)中,對(duì)數(shù)據(jù)集中、預(yù)處理和數(shù)據(jù)匯聚環(huán)節(jié)進(jìn)行了系統(tǒng)治理,包括數(shù)據(jù)采集和數(shù)據(jù)分層、數(shù)據(jù)整理、數(shù)據(jù)分級(jí)、元數(shù)據(jù)管理、數(shù)據(jù)質(zhì)量管理等數(shù)據(jù)治理內(nèi)容。通過(guò)數(shù)據(jù)治理將原本零散的數(shù)據(jù)變成統(tǒng)一規(guī)范的主數(shù)據(jù),使之滿足上層應(yīng)用和數(shù)據(jù)共享的需求,實(shí)現(xiàn)對(duì)數(shù)據(jù)分布和動(dòng)態(tài)變更情況的追蹤,提升了數(shù)據(jù)質(zhì)量,使數(shù)據(jù)得到了全面的規(guī)范化。

圖6 數(shù)據(jù)安全防護(hù)體系Fig.6 Data security protection system

在數(shù)據(jù)安全使用方面,項(xiàng)目實(shí)施中進(jìn)行了數(shù)字資產(chǎn)盤點(diǎn),建立了數(shù)據(jù)資產(chǎn)地圖,對(duì)數(shù)據(jù)資產(chǎn)實(shí)施了細(xì)粒度的分類分級(jí)管理,同時(shí)對(duì)數(shù)據(jù)資產(chǎn)進(jìn)行掃描探測(cè),根據(jù)敏感級(jí)別對(duì)數(shù)據(jù)進(jìn)行標(biāo)記。對(duì)運(yùn)維管理終端的安全狀態(tài)進(jìn)行監(jiān)控,防止運(yùn)維人員違規(guī)、越權(quán)或惡意進(jìn)行數(shù)據(jù)操作。在應(yīng)用系統(tǒng)開(kāi)發(fā)中,嚴(yán)格控制API接口和數(shù)據(jù)層面的底層訪問(wèn)權(quán)限,對(duì)應(yīng)用系統(tǒng)的使用人員權(quán)限進(jìn)行動(dòng)態(tài)管理,防止業(yè)務(wù)人員利用管理漏洞對(duì)數(shù)據(jù)進(jìn)行違規(guī)、越權(quán)或惡意操作。統(tǒng)一通過(guò)數(shù)據(jù)交換平臺(tái)與外部進(jìn)行數(shù)據(jù)交換,防止數(shù)據(jù)非法泄露。

在數(shù)據(jù)加密和脫敏方面,該項(xiàng)目使用了國(guó)產(chǎn)密碼技術(shù),建立自動(dòng)加解密機(jī)制。應(yīng)用SM2/SM3/SM4國(guó)密標(biāo)準(zhǔn)加密算法,對(duì)數(shù)據(jù)提供身份鑒別、隱私保護(hù)、信息校驗(yàn)、數(shù)據(jù)防偽等基于密碼技術(shù)的綜合性基礎(chǔ)服務(wù),實(shí)現(xiàn)數(shù)據(jù)在服務(wù)器端和終端之間的透明加解密,防止通過(guò)終端泄露數(shù)據(jù)。建立統(tǒng)一的數(shù)據(jù)服務(wù)平臺(tái),實(shí)現(xiàn)對(duì)數(shù)據(jù)的統(tǒng)一管理和控制,按需提供數(shù)據(jù)服務(wù),減少敏感原始數(shù)據(jù)流出,確實(shí)需要原始數(shù)據(jù)的,輸出脫敏后的數(shù)據(jù)。對(duì)數(shù)字孿生底板中的敏感數(shù)據(jù),采用脫敏技術(shù)實(shí)現(xiàn)對(duì)數(shù)值和文本類型的數(shù)據(jù)脫敏,支持多種脫敏方式,包括不可逆加密、區(qū)間隨機(jī)、掩碼替換等。支持自動(dòng)掃描發(fā)現(xiàn)敏感信息,實(shí)現(xiàn)高效、方便、準(zhǔn)確的信息脫敏。在系統(tǒng)開(kāi)發(fā)調(diào)試環(huán)節(jié)使用脫敏的數(shù)據(jù)集,防止開(kāi)發(fā)測(cè)試環(huán)節(jié)的數(shù)據(jù)泄露風(fēng)險(xiǎn)。

4.4 水利工業(yè)控制系統(tǒng)安全防護(hù)

水利工業(yè)控制系統(tǒng)使用Modbus、OPC、Profinet、Ethernet/IP等工業(yè)控制協(xié)議的同時(shí),也越來(lái)越多地采用通用協(xié)議、通用硬件和通用軟件,并以各種方式與互聯(lián)網(wǎng)等公共網(wǎng)絡(luò)連接,因此,需要對(duì)水利工業(yè)控制系統(tǒng)進(jìn)行安全防護(hù)。根據(jù)水利工業(yè)控制系統(tǒng)的特殊性,重點(diǎn)在物理安全、邊界安全、主機(jī)安全等方面進(jìn)行防護(hù)(見(jiàn)圖7)。

圖7 水利工業(yè)控制系統(tǒng)安全防護(hù)Fig.7 Safety protection of water conservancy industrial control system

在物理安全方面,從安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向加密等方面對(duì)工控網(wǎng)絡(luò)進(jìn)行了優(yōu)化。在電力監(jiān)控系統(tǒng)和信息管理大區(qū)之間串行部署電力專用單向隔離網(wǎng)閘,用于電力監(jiān)控系統(tǒng)到管理信息大區(qū)的單向數(shù)據(jù)傳輸。在業(yè)務(wù)分區(qū)的基礎(chǔ)上規(guī)劃網(wǎng)絡(luò)安全管理區(qū)域,使用帶外組網(wǎng)的方式與業(yè)務(wù)網(wǎng)絡(luò)隔離,根據(jù)實(shí)際情況將部署在安全Ⅰ區(qū)和安全Ⅱ區(qū)的網(wǎng)絡(luò)安全產(chǎn)品通過(guò)防火墻進(jìn)行邏輯隔離。進(jìn)一步加強(qiáng)機(jī)房規(guī)范化管理,將主要設(shè)備放置在機(jī)房進(jìn)行集中管理,控制人員進(jìn)出,在線纜敷設(shè)、消防、防水等方面滿足規(guī)范要求。建設(shè)機(jī)房環(huán)境監(jiān)控系統(tǒng),對(duì)機(jī)房環(huán)境、設(shè)備狀態(tài)、設(shè)備使用等情況進(jìn)行記錄,保障機(jī)房設(shè)備和信息系統(tǒng)的物理安全。

在邊界安全方面,在工控內(nèi)外網(wǎng)之間部署隔離設(shè)備,通過(guò)物理隔離的手段,使內(nèi)外網(wǎng)之間無(wú)法進(jìn)行基于網(wǎng)絡(luò)協(xié)議的數(shù)據(jù)交換,實(shí)現(xiàn)網(wǎng)絡(luò)安全隔離。在安全Ⅰ區(qū)與安全Ⅱ區(qū)之間串接部署工控防火墻產(chǎn)品,并按照最小化原則配置訪問(wèn)控制策略,實(shí)現(xiàn)區(qū)域邏輯隔離,通過(guò)IP/MAC綁定、建立邊界訪問(wèn)黑白名單等安全策略,建立不同安全域之間的訪問(wèn)控制策略,確保非授權(quán)的設(shè)備不能在內(nèi)外網(wǎng)之間隨意連接,避免在一個(gè)系統(tǒng)或區(qū)域里暴發(fā)的工控安全事件擴(kuò)散到其他系統(tǒng)或區(qū)域,從而保障區(qū)域間通信網(wǎng)絡(luò)安全。通過(guò)使用工業(yè)防火墻在子網(wǎng)邊界進(jìn)行隔離,進(jìn)一步提高了工業(yè)控制系統(tǒng)的網(wǎng)絡(luò)安全防護(hù)能力,工業(yè)防火墻在傳統(tǒng)防火墻的功能基礎(chǔ)上提供多種工控協(xié)議的深度解析,支持30多種工控協(xié)議識(shí)別與深度解析,支持基于工控行為構(gòu)建白名單訪問(wèn)控制策略,實(shí)現(xiàn)細(xì)粒度的安全防護(hù)。

在主機(jī)安全方面,水利工業(yè)控制系統(tǒng)往往實(shí)現(xiàn)的功能較為單一,這個(gè)特點(diǎn)非常適合采用白名單機(jī)制,只允許白名單內(nèi)受信任的程序執(zhí)行,將木馬、病毒等非法程序隔離在外。同時(shí),通過(guò)部署主機(jī)加固系統(tǒng),針對(duì)安全策略、用戶權(quán)限、系統(tǒng)補(bǔ)丁、U盤使用、重點(diǎn)目錄、外設(shè)、網(wǎng)絡(luò)連接等多個(gè)維度進(jìn)行全方位監(jiān)控和管理,從而提升操作系統(tǒng)安全級(jí)別、確保業(yè)務(wù)連續(xù)不中斷、核心數(shù)據(jù)不丟失。項(xiàng)目實(shí)施過(guò)程中,對(duì)操作員站、工程師站、主服務(wù)器以及網(wǎng)絡(luò)邊界通信網(wǎng)關(guān)等部署了主機(jī)防護(hù)系統(tǒng)客戶端,采用白名單的主動(dòng)防御機(jī)制,有效實(shí)現(xiàn)了主機(jī)防病毒、防第三方軟件的非授權(quán)安裝與使用,以及主機(jī)系統(tǒng)外接口的管控,USB外接存儲(chǔ)設(shè)備的認(rèn)證管控、防病毒與操作行為審計(jì),為主機(jī)系統(tǒng)安全運(yùn)行提供必要的安全保障。對(duì)工控主機(jī)進(jìn)行了人工加固,完成所有服務(wù)器、工控機(jī)、主機(jī)未使用的USB接口、串行口、無(wú)線、藍(lán)牙、光驅(qū)等關(guān)閉工作,完善了操作系統(tǒng)、數(shù)據(jù)庫(kù)、應(yīng)用系統(tǒng)口令長(zhǎng)度及復(fù)雜度,配置用戶登錄失敗處理機(jī)制。

4.5 云計(jì)算安全防護(hù)

云計(jì)算環(huán)境內(nèi)會(huì)有大量不同安全等級(jí)的資產(chǎn),需要對(duì)不同的資產(chǎn)、應(yīng)用類型進(jìn)行安全域劃分。合理劃分云計(jì)算環(huán)境內(nèi)不同的安全域,是保障云計(jì)算安全和正常運(yùn)維的基礎(chǔ)工作。將數(shù)字孿生水利工程劃分為水利業(yè)務(wù)域、水利管理域、數(shù)據(jù)庫(kù)域等不同的安全域,在不同安全域間采用訪問(wèn)控制、病毒檢測(cè)、攻擊行為防御、協(xié)議類型限制等策略,保護(hù)各安全域間的內(nèi)網(wǎng)安全。

云平臺(tái)基礎(chǔ)環(huán)境安全檢查方面,在云平臺(tái)部署完成后,需要對(duì)云平臺(tái)的基礎(chǔ)環(huán)境進(jìn)行安全檢查,具體包括安全掃描、基線檢查等工作,確保云平臺(tái)的基礎(chǔ)安全。

在云平臺(tái)邊界防護(hù)方面,在云出口處部署抗DDoS系統(tǒng)和防火墻?？笵DoS系統(tǒng)可有效防護(hù)來(lái)自互聯(lián)網(wǎng)的各種DDoS攻擊,防護(hù)類型包括CC、SYN flood、UDP flood、DNS Query Flood以及NTP Reply Flood等所有DDoS攻擊方式,保障云平臺(tái)出口免遭各類大流量攻擊的流量資源擠占,防護(hù)云內(nèi)各類系統(tǒng)應(yīng)用免于遭受拒絕服務(wù)攻擊。防火墻可以對(duì)網(wǎng)絡(luò)中的各類異常行為、網(wǎng)絡(luò)攻擊、協(xié)議攻擊、應(yīng)用攻擊等行為進(jìn)行識(shí)別、防御以及第一層網(wǎng)絡(luò)訪問(wèn)控制,保護(hù)云內(nèi)網(wǎng)絡(luò)與系統(tǒng)安全。

在訪問(wèn)控制方面,部署安全網(wǎng)關(guān),對(duì)云邊界進(jìn)行各類會(huì)話、服務(wù)的訪問(wèn)控制,其能夠?qū)TP、HTTP、P2P應(yīng)用、IM以及VoIP語(yǔ)音數(shù)據(jù)等應(yīng)用進(jìn)行識(shí)別,并根據(jù)安全策略配置規(guī)則,保證應(yīng)用的正常通信或?qū)ζ溥M(jìn)行指定的操作,如監(jiān)控、流量統(tǒng)計(jì)、流量控制和阻斷等,有效控制訪問(wèn)云中應(yīng)用的會(huì)話類型。對(duì)云內(nèi)的一些高保密性在線應(yīng)用系統(tǒng)在維護(hù)或者日常使用中,需要采用數(shù)據(jù)安全傳輸策略,加密保護(hù)通信會(huì)話數(shù)據(jù)。在云出口處需要采用VPN網(wǎng)關(guān),滿足各類云內(nèi)系統(tǒng)訪問(wèn)、維護(hù)等會(huì)話加密需求,保障會(huì)話的機(jī)密性、完整性、抗抵賴性。采用IDS類產(chǎn)品對(duì)網(wǎng)絡(luò)出口中的各類異常應(yīng)用進(jìn)行檢測(cè)和告警,或采用IPS產(chǎn)品攻擊進(jìn)行有效防御。

在云計(jì)算安全管理方面,應(yīng)通過(guò)云堡壘機(jī)進(jìn)行日常運(yùn)維工作,為云內(nèi)部運(yùn)維提供完全的審計(jì)信息,通過(guò)賬號(hào)管理、身份認(rèn)證、資源授權(quán)、實(shí)時(shí)監(jiān)控、操作還原、自定義策略、日志等操作增強(qiáng)審計(jì)信息的粒度。通過(guò)云日志審計(jì)系統(tǒng),采集各類日志,進(jìn)行集中存儲(chǔ)、分析、安全風(fēng)險(xiǎn)審計(jì),實(shí)現(xiàn)所監(jiān)控的信息資產(chǎn)的實(shí)時(shí)監(jiān)控、快速檢索與分析。

4.6 移動(dòng)安全防護(hù)

在應(yīng)對(duì)移動(dòng)安全中的終端安全、接入安全和應(yīng)用安全等幾個(gè)主要風(fēng)險(xiǎn)時(shí),終端安全和接入安全是基礎(chǔ)。在此基礎(chǔ)上,水利業(yè)務(wù)應(yīng)用應(yīng)針對(duì)移動(dòng)業(yè)務(wù)的特點(diǎn),采取不同于桌面端的防護(hù)技術(shù)進(jìn)行開(kāi)發(fā)部署。

移動(dòng)終端作為移動(dòng)業(yè)務(wù)運(yùn)行和存儲(chǔ)信息的載體,需要確保移動(dòng)終端的硬件安全。及時(shí)升級(jí)移動(dòng)端操作系統(tǒng),特別是操作系統(tǒng)的安全升級(jí),強(qiáng)化終端用戶的認(rèn)證方式和認(rèn)證密碼的管理,保證用戶個(gè)人信息的機(jī)密性,防范非授權(quán)使用和非法接入,實(shí)現(xiàn)移動(dòng)網(wǎng)絡(luò)與移動(dòng)終端之間通信通道的安全可靠。

應(yīng)用安全是數(shù)字孿生水利工程移動(dòng)安全的重點(diǎn)。選擇安全的開(kāi)發(fā)架構(gòu),對(duì)軟件包進(jìn)行加密處理,完善簽名認(rèn)證機(jī)制是保障移動(dòng)應(yīng)用安全的必要技術(shù)手段。

在移動(dòng)應(yīng)用開(kāi)發(fā)時(shí),選擇同類產(chǎn)品中排名靠前且有團(tuán)隊(duì)持續(xù)支持的代碼庫(kù)或框架,優(yōu)先選用知名廠家的代碼庫(kù)或框架,在開(kāi)發(fā)過(guò)程中嚴(yán)格遵守代碼庫(kù)、框架的安全規(guī)范,有效防范網(wǎng)絡(luò)安全攻擊。對(duì)移動(dòng)應(yīng)用的軟件包進(jìn)行安全加固,采取防逆向、防篡改、防調(diào)試和防竊取等措施,防范破解、篡改、盜版、調(diào)試、數(shù)據(jù)竊取等各類安全風(fēng)險(xiǎn)。嚴(yán)禁發(fā)布測(cè)試版本,發(fā)布的軟件包不能包含測(cè)試代碼信息,重要操作在服務(wù)器端進(jìn)行日志記錄,便于網(wǎng)絡(luò)安全事件分析處理。

在認(rèn)證方面,設(shè)計(jì)有效的身份驗(yàn)證機(jī)制,服務(wù)端的證書必須由權(quán)威的CA機(jī)關(guān)提供,明確認(rèn)證使用者的身份而不是設(shè)備的身份,會(huì)話管理階段的所有請(qǐng)求都需要對(duì)用戶的合法身份進(jìn)行鑒別,重要操作實(shí)行二次認(rèn)證。同時(shí),認(rèn)證邏輯盡量放在服務(wù)器端完成,不在客戶端完成。登錄、注冊(cè)、密碼找回等屬于認(rèn)證授權(quán)環(huán)節(jié)的網(wǎng)絡(luò)傳輸使用https協(xié)議傳輸。

5 應(yīng)用成果及工作建議

數(shù)字孿生水利工程建設(shè)已取得階段性成果,實(shí)現(xiàn)了基于調(diào)度規(guī)則庫(kù)的水工程聯(lián)合自動(dòng)調(diào)度,初步實(shí)現(xiàn)了漢江流域水情預(yù)報(bào)及防洪形勢(shì)預(yù)警和漢江流域行蓄洪工程調(diào)度運(yùn)用與效果評(píng)估。項(xiàng)目成果已成功應(yīng)用于2022年漢江流域水量調(diào)度管理業(yè)務(wù),支撐了2023年度南水北調(diào)中線一期工程年度水量調(diào)度計(jì)劃編制和漢江流域年度水量調(diào)度計(jì)劃編制。由于系統(tǒng)涵蓋的地理空間尺度大,覆蓋了漢江流域的丹江口水庫(kù)等骨干水利工程,數(shù)據(jù)匯集和共建共享程度高,對(duì)網(wǎng)絡(luò)安全防護(hù)提出了嚴(yán)格要求。本次研究通過(guò)構(gòu)建數(shù)字孿生水利工程網(wǎng)絡(luò)安全防護(hù)體系,在漢江流域數(shù)字孿生水利工程建設(shè)中取得了良好防護(hù)效果,也為水利行業(yè)其他數(shù)字孿生水利工程的網(wǎng)絡(luò)安全工作提供了借鑒。

(1) 在管理指導(dǎo)方面,針對(duì)數(shù)字孿生水利工程的網(wǎng)絡(luò)安全工作提出了明確的要求和管理指導(dǎo)意見(jiàn),指導(dǎo)了各工程管理單位數(shù)字孿生水利工程的網(wǎng)絡(luò)安全建設(shè)。

(2) 在標(biāo)準(zhǔn)規(guī)范方面,編制了針對(duì)數(shù)字孿生水利工程特點(diǎn)的網(wǎng)絡(luò)安全標(biāo)準(zhǔn)規(guī)范,如包括數(shù)據(jù)安全規(guī)范、物聯(lián)網(wǎng)安全規(guī)范、工控安全防護(hù)規(guī)范等技術(shù)標(biāo)準(zhǔn)。

(3) 在網(wǎng)絡(luò)安全資源整合方面,充分整合已有的網(wǎng)絡(luò)安全軟硬件資源和信息資源,建立統(tǒng)一的漏洞管理平臺(tái)和威脅情報(bào)庫(kù),整合態(tài)勢(shì)感知平臺(tái)資源,及時(shí)全面掌握數(shù)字孿生水利工程的網(wǎng)絡(luò)安全運(yùn)行情況。

(4) 在網(wǎng)絡(luò)安全專業(yè)隊(duì)伍建設(shè)方面,加強(qiáng)了網(wǎng)絡(luò)安全人才隊(duì)伍的培養(yǎng)和儲(chǔ)備。各工程管理單位的力量有限,網(wǎng)絡(luò)安全專業(yè)人員缺乏,可以以流域?yàn)閱挝?采取一定的組織形式,把工程管理單位和流域管理部門的專業(yè)人才組織起來(lái),建立網(wǎng)絡(luò)安全專業(yè)隊(duì)伍,開(kāi)展預(yù)警分析、應(yīng)急處置等技術(shù)支持工作。

(5) 在安全評(píng)價(jià)方面,建立了數(shù)字孿生水利工程網(wǎng)絡(luò)安全評(píng)價(jià)指標(biāo)體系,該體系的建立有助于全面準(zhǔn)確地掌握水利行業(yè)網(wǎng)絡(luò)安全的總體情況和發(fā)展變化趨勢(shì),并對(duì)照評(píng)價(jià)指標(biāo)中的弱項(xiàng),有針對(duì)性地進(jìn)行改進(jìn),對(duì)共性的問(wèn)題開(kāi)展研究,提供更精準(zhǔn)的指導(dǎo)。

6 結(jié) 語(yǔ)

數(shù)字孿生水利工程的網(wǎng)絡(luò)安全關(guān)系到系統(tǒng)的安全運(yùn)行,本身也是水利工程安全的一部分,數(shù)字孿生水利工程的網(wǎng)絡(luò)安全建設(shè)是體系化的建設(shè),管理、技術(shù)和運(yùn)維是有機(jī)的整體。本文對(duì)數(shù)字孿生水利工程的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的幾個(gè)方面進(jìn)行了分析,重點(diǎn)對(duì)技術(shù)方面的風(fēng)險(xiǎn)和防護(hù)進(jìn)行了分析。在具體的數(shù)字孿生水利工程建設(shè)中,各個(gè)水利工程具有自身的特點(diǎn)和重點(diǎn),在工作實(shí)踐中還需要結(jié)合自身實(shí)際,開(kāi)展數(shù)字孿生水利工程網(wǎng)絡(luò)安全保障體系建設(shè),在實(shí)踐中進(jìn)行迭代提升。對(duì)數(shù)字孿生水利工程網(wǎng)絡(luò)安全管理的相關(guān)建議僅供網(wǎng)絡(luò)安全管理部門和單位參考。