摘要：傳統(tǒng)IT/OT融合的安全防御技術(shù)只能儲(chǔ)存IT/OT融合數(shù)據(jù)，不能進(jìn)行加密，導(dǎo)致數(shù)據(jù)出現(xiàn)泄露、完整性受損以及真實(shí)性問題。為此，文章研究工業(yè)互聯(lián)網(wǎng)環(huán)境下IT/OT融合安全防御技術(shù)。首先，文章通過風(fēng)險(xiǎn)評(píng)估、漏洞掃描、網(wǎng)絡(luò)監(jiān)控和日志分析等方法，尋找并確定安全缺口，構(gòu)建安全架構(gòu)關(guān)聯(lián)體系；其次，建立防火墻體系，對(duì)網(wǎng)絡(luò)進(jìn)行主動(dòng)優(yōu)化和保護(hù)，確保不同區(qū)域的安全隔離；最后，采用加密技術(shù)對(duì)IT/OT融合數(shù)據(jù)進(jìn)行加密處理，確保數(shù)據(jù)來源的真實(shí)可信性。實(shí)驗(yàn)結(jié)果表明，文章設(shè)計(jì)的安全防御技術(shù)攻擊成功率最高僅為2%，具備更好的防御性能。

關(guān)鍵詞：工業(yè)互聯(lián)網(wǎng)；IT/OT融合；安全防御技術(shù)；分區(qū)防護(hù)

中圖分類號(hào)：TN929 "文獻(xiàn)標(biāo)志碼：A

0 引言

隨著工業(yè)互聯(lián)網(wǎng)快速發(fā)展，信息技術(shù)（Information Technology，IT）和運(yùn)營技術(shù)（Operation Technology，OT）的融合變得越來越重要。由于IT和OT領(lǐng)域的傳統(tǒng)安全策略和防御手段各有側(cè)重，兩者之間的差異和鴻溝逐漸凸顯，因此研究IT/OT融合的安全防御技術(shù)有重要意義。在工業(yè)互聯(lián)網(wǎng)環(huán)境下，IT/OT融合的安全防御技術(shù)需要綜合考慮IT和OT這2個(gè)方面的因素。冷煒鑭［1］以交換技術(shù)與安全技術(shù)相融的安全型三層交換機(jī)技術(shù)為突破，建立了安全型三層交換機(jī)動(dòng)態(tài)防御模型。羅奇［2］提出了一種基于數(shù)據(jù)驅(qū)動(dòng)的網(wǎng)絡(luò)捕獲模型，并將其與相關(guān)規(guī)則相結(jié)合，實(shí)現(xiàn)了數(shù)據(jù)驅(qū)動(dòng)的入侵檢測，利用女巫的入侵檢測技術(shù)，對(duì)以數(shù)據(jù)為基礎(chǔ)的網(wǎng)絡(luò)進(jìn)行攻擊，建立以數(shù)據(jù)為基礎(chǔ)的網(wǎng)絡(luò)安全防御體系。

在上述研究的基礎(chǔ)上，本文進(jìn)一步研究工業(yè)互聯(lián)網(wǎng)環(huán)境下IT/OT融合的安全防御技術(shù)，以期為工業(yè)互聯(lián)網(wǎng)中IT/OT的融合提供更完整、更高效的安全防護(hù)方法，確保工控系統(tǒng)的穩(wěn)定與安全。

1 工業(yè)互聯(lián)網(wǎng)環(huán)境下IT/OT融合的安全防御方法設(shè)計(jì)

1.1 尋找安全缺口

安全性缺口通常是由各種因素造成的。為了有效尋找安全缺口，研究人員通常采用以下方式。

（1）執(zhí)行漏洞掃描：該方式使用專業(yè)的漏洞掃描工具，定期對(duì)系統(tǒng)和應(yīng)用程序進(jìn)行掃描。

（2）監(jiān)控網(wǎng)絡(luò)流量：該方式通過監(jiān)控網(wǎng)絡(luò)流量，可以發(fā)現(xiàn)異?；顒?dòng)和潛在的攻擊；可以通過使用網(wǎng)絡(luò)監(jiān)控工具和入侵檢測系統(tǒng)（Intrusion Detection System，IDS）來實(shí)現(xiàn)。

（3）分析日志文件：該方式分析系統(tǒng)、應(yīng)用程序和安全設(shè)備的日志文件，發(fā)現(xiàn)異常行為和潛在的攻擊。

（4）進(jìn)行滲透測試：該方式邀請(qǐng)專業(yè)的滲透測試團(tuán)隊(duì)模擬惡意攻擊者，以測試系統(tǒng)的防御能力，這將識(shí)別出潛在的安全弱點(diǎn)，提供改進(jìn)建議?；谏鲜龇绞綄ふ野踩笨诘姆椒ㄈ绫?所示。

表1 尋找安全缺口方法

方法描述示例

風(fēng)險(xiǎn)評(píng)估對(duì)系統(tǒng)和應(yīng)用程序進(jìn)行全面的風(fēng)險(xiǎn)評(píng)估發(fā)現(xiàn)數(shù)據(jù)庫存在未打補(bǔ)丁的安全漏洞

漏洞掃描使用專業(yè)的漏洞掃描工具，定期對(duì)系統(tǒng)和應(yīng)用程序進(jìn)行掃描檢測到Web應(yīng)用程序存在SQL注入漏洞

網(wǎng)絡(luò)監(jiān)控通過監(jiān)控網(wǎng)絡(luò)流量，可以發(fā)現(xiàn)異?；顒?dòng)和潛在的攻擊發(fā)現(xiàn)異常的網(wǎng)絡(luò)流量，可能是DDoS攻擊的前兆

日志分析分析系統(tǒng)、應(yīng)用程序和安全設(shè)備的日志文件，以發(fā)現(xiàn)異常行為和潛在的攻擊識(shí)別出服務(wù)器上的異常登錄行為，可能是惡意軟件活動(dòng)

滲透測試請(qǐng)專業(yè)的滲透測試團(tuán)隊(duì)模擬惡意攻擊者，以測試系統(tǒng)的防御能力發(fā)現(xiàn)系統(tǒng)存在未受保護(hù)的遠(yuǎn)程桌面協(xié)議連接

尋找安全缺口是指通過各種方法和技術(shù)來發(fā)現(xiàn)系統(tǒng)和應(yīng)用程序中存在的安全漏洞和潛在的攻擊面。其對(duì)構(gòu)建安全架構(gòu)關(guān)聯(lián)體系，提高工業(yè)互聯(lián)網(wǎng)中IT與OT融合的安全性非常重要。具體要素如下。

（1）確保構(gòu)架安全：在工業(yè)互聯(lián)網(wǎng)的設(shè)計(jì)中，系統(tǒng)需要加強(qiáng)安全保護(hù)以防止設(shè)備被任意調(diào)用。

（2）強(qiáng)化被動(dòng)防御：研究人員須建立工業(yè)互聯(lián)網(wǎng)防火墻，通過限制網(wǎng)絡(luò)流量和阻止惡意訪問，實(shí)施被動(dòng)防御策略；同時(shí)，建立硬件設(shè)備和軟件清單，對(duì)網(wǎng)絡(luò)拓?fù)溥M(jìn)行梳理，確保設(shè)備和系統(tǒng)的安全運(yùn)行。

（3）及時(shí)更新服務(wù)器：研究人員須持續(xù)更新服務(wù)器軟件和系統(tǒng)補(bǔ)丁，并及時(shí)修復(fù)已知的安全漏洞，從而抵御非法侵入和減少被攻擊的風(fēng)險(xiǎn)。

（4）加強(qiáng)設(shè)備安全防護(hù)：在工業(yè)互聯(lián)網(wǎng)環(huán)境中，設(shè)備的安全是整體安全的基礎(chǔ)。因此，研究人員應(yīng)根據(jù)企業(yè)的實(shí)際狀況，對(duì)內(nèi)部設(shè)備進(jìn)行安全加固，確保其具備足夠的防護(hù)能力。

1.2 實(shí)施分區(qū)防護(hù)

統(tǒng)一管理和協(xié)調(diào)有助于提高整體安全性，并確保分區(qū)防護(hù)能夠協(xié)同工作，形成一個(gè)更加強(qiáng)大和有效的網(wǎng)絡(luò)安全體系。第1個(gè)階段是對(duì)網(wǎng)絡(luò)劃分的防火墻進(jìn)行主動(dòng)優(yōu)化，并與深層保護(hù)系統(tǒng)共同建立1個(gè)防火墻；第2個(gè)階段是建立企業(yè)內(nèi)部的網(wǎng)絡(luò)防火墻，對(duì)網(wǎng)絡(luò)進(jìn)行控制；第3個(gè)階段是建立健全的防火墻實(shí)施方案；第4個(gè)階段是建立“非軍事區(qū)域”的防火墻［3］。防火墻結(jié)構(gòu)如圖1所示。

分區(qū)保護(hù)是把整個(gè)網(wǎng)絡(luò)分成若干個(gè)部分，在各個(gè)部分執(zhí)行相應(yīng)的安全策略和保護(hù)措施，達(dá)到對(duì)整個(gè)網(wǎng)絡(luò)進(jìn)行安全管理與防御的目的［4］。具體步驟如下。

（1）實(shí)施分區(qū)防護(hù)須根據(jù)工業(yè)互聯(lián)網(wǎng)環(huán)境的需求和特點(diǎn)，將網(wǎng)絡(luò)劃分為不同的區(qū)域。

（2）研究人員須對(duì)每個(gè)區(qū)域?qū)嵤┫鄳?yīng)的安全防護(hù)措施。對(duì)于核心網(wǎng)絡(luò)，研究人員須加強(qiáng)訪問控制和加密傳輸，防止未經(jīng)授權(quán)的訪問和數(shù)據(jù)泄露。

（3）研究人員還須建立完善的安全管理制度和流程，通過建立完善的安全管理制度和流程，可以及時(shí)發(fā)現(xiàn)和處理安全事件，減少安全風(fēng)險(xiǎn)和損失。

（4）實(shí)施分區(qū)防護(hù)須綜合考慮整個(gè)網(wǎng)絡(luò)的安全性和性能。在實(shí)施分區(qū)防護(hù)時(shí)，研究人員須充分考慮各個(gè)區(qū)域之間的聯(lián)系和交互，避免因分區(qū)防護(hù)而導(dǎo)致的網(wǎng)絡(luò)瓶頸和性能下降。

通過將網(wǎng)絡(luò)劃分為不同的區(qū)域，并針對(duì)每個(gè)區(qū)域?qū)嵤┎煌陌踩呗院头雷o(hù)措施，實(shí)現(xiàn)對(duì)整個(gè)網(wǎng)絡(luò)的安全管理和防御，提高工業(yè)互聯(lián)網(wǎng)環(huán)境的安全性和可靠性。

1.3 加密IT/OT融合數(shù)據(jù)

在IT/OT融合環(huán)境中，確保數(shù)據(jù)來源的真實(shí)可信性是至關(guān)重要的。將傳輸?shù)腎T/OT融合數(shù)據(jù)變成密文（加密）。加密的目標(biāo)是存儲(chǔ)在服務(wù)供應(yīng)商服務(wù)器的IT/OT融合數(shù)據(jù)以及傳輸?shù)浇K端用戶的IT/OT融合數(shù)據(jù)，將加密技術(shù)引入上述數(shù)據(jù)［5］，以解決數(shù)據(jù)的傳輸和存儲(chǔ)件安全問題。IT/OT融合數(shù)據(jù)加密流程如圖2所示。

針對(duì)數(shù)據(jù)驅(qū)動(dòng)的網(wǎng)絡(luò)數(shù)據(jù)傳輸特性，本文利用動(dòng)態(tài)密碼技術(shù)實(shí)現(xiàn)IT/OT融合數(shù)據(jù)加密，構(gòu)造了一套完整的云同步啟動(dòng)程序。假定α代表全同態(tài)處理流程的一個(gè)環(huán)節(jié)，μ代表明文空間K的輸入閾值。α是數(shù)據(jù)加密程序的起始程序，要使這個(gè)啟動(dòng)程序在一個(gè)數(shù)據(jù)驅(qū)動(dòng)的網(wǎng)絡(luò)中發(fā)揮作用，需要對(duì)Iα的特定數(shù)值范圍進(jìn)行計(jì)算。其中，明文空間為明文，μ為解密程序的閾值。本文使用云計(jì)算技術(shù)來進(jìn)行資料分享，資料的加密處理方法如下所述。

對(duì)于任何I閾值，本文將數(shù)據(jù)的加密處理表達(dá)為：

其中，C代表密文，E（）代表加密算法，P表示待加密的數(shù)據(jù)，表示異或運(yùn)算符，K表示用于加密的動(dòng)態(tài)生成密鑰。

則IT/OT融合數(shù)據(jù)加密過程為：

（Dα（Iα（μ）））=α（h）（2）

其中，Dα是對(duì)完全同態(tài)加密α進(jìn)行解密處理的操作，Iα（μ）是對(duì)閾值μ進(jìn)行加密處理的操作，α（h）是具有h的啟動(dòng)程序處理結(jié)果。

本文使用動(dòng)態(tài)密碼技術(shù)對(duì)明文空間K中的數(shù)據(jù)進(jìn)行加密處理，得到加密后的密文；使用解密處理操作Dα對(duì)加密后的數(shù)據(jù)進(jìn)行解密，得到原始的明文數(shù)據(jù)。

2 工業(yè)互聯(lián)網(wǎng)環(huán)境下IT/OT融合的安全防御實(shí)驗(yàn)

2.1 實(shí)驗(yàn)準(zhǔn)備

本文針對(duì)工業(yè)互聯(lián)網(wǎng)中IT/OT融合的安全防護(hù)問題展開研究。選擇GE Predix工業(yè)互聯(lián)網(wǎng)平臺(tái)。在實(shí)驗(yàn)網(wǎng)絡(luò)中安裝安全防御軟件（防火墻、IDS、殺毒軟件），以保護(hù)工業(yè)設(shè)備和控制系統(tǒng)的安全。根據(jù)實(shí)驗(yàn)需求，本文搭建了實(shí)驗(yàn)環(huán)境，以確保實(shí)驗(yàn)順利進(jìn)行。攻擊信息類型如表2所示。

2.2 實(shí)驗(yàn)說明

根據(jù)表2中設(shè)定的內(nèi)容對(duì)工業(yè)互聯(lián)網(wǎng)進(jìn)行攻擊實(shí)驗(yàn)，實(shí)驗(yàn)中搭建工業(yè)互聯(lián)網(wǎng)，將本文所提方法與基于P2DR模型的信息安全防御技術(shù)探討（方法1）、基于云計(jì)算的數(shù)據(jù)驅(qū)動(dòng)網(wǎng)絡(luò)安全防御技術(shù)（方法2）進(jìn)行對(duì)比。

2.3 實(shí)驗(yàn)結(jié)果分析

3種方法下的攻擊成功率結(jié)果如表3所示。

由表3可知，方法1和方法2的攻擊成功率均超過20%，而本文方法的攻擊成功率最高僅為2%。這表明2種對(duì)比方法的安全防御技術(shù)明顯低于本文方法。

3 結(jié)語

通過對(duì)IT/OT融合的深入理解，針對(duì)其特點(diǎn)和發(fā)展趨勢，本文提出了有效的安全防御策略和措施。結(jié)合機(jī)器學(xué)習(xí)和人工智能的安全監(jiān)控和分析、基于區(qū)塊鏈技術(shù)的數(shù)據(jù)安全保護(hù)等新方法可能成為IT/OT融合安全防御技術(shù)的重要研究方向。因此，研究人員需要不斷關(guān)注工業(yè)互聯(lián)網(wǎng)環(huán)境的變化和發(fā)展趨勢，以適應(yīng)新的安全挑戰(zhàn)并推動(dòng)工業(yè)互聯(lián)網(wǎng)的健康發(fā)展。

參考文獻(xiàn)

［1］冷煒鑭.基于P2DR模型的信息安全防御技術(shù)探討［J］.信息系統(tǒng)工程，2023（7）：103-105.

［2］羅奇.基于云計(jì)算的數(shù)據(jù)驅(qū)動(dòng)網(wǎng)絡(luò)安全防御技術(shù)［J］.數(shù)據(jù)，2023（3）：25-26.

［3］張鳳霞.地鐵信號(hào)系統(tǒng)信息安全防御技術(shù)研究［J］.都市快軌交通，2023（1）：168-173.

［4］安啟玲，鄭通.工業(yè)互聯(lián)網(wǎng)環(huán)境下IT/OT融合的安全防御技術(shù)的研究［J］.中國新通信，2022（6）：131-133.

［5］曹祖軍.計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)的應(yīng)用及安全防御技術(shù)［J］.中國新通信，2022（4）：110-112.

（編輯 沈 強(qiáng)編輯）

Research on security defense technology of IT/OT integration in industrial Internet environment

CHEN" Zan， CHEN" Xingyuan， ZHU" Zhiyue

（Hubei Qingjiang Hydropower Development Co.， Ltd.， Yichang 443000， China）

Abstract： The traditional security defense technology for IT/OT fusion can only store IT/OT fusion data and cannot be encrypted， resulting in data leakage， integrity damage， and authenticity issues. Therefore， this paper studies the security defense technology for IT/OT fusion in the industrial internet environment. Firstly， through methods such as risk assessment， vulnerability scanning， network monitoring， and log analysis， this paper searches and determines security gaps， and constructs a security architecture correlation system. Secondly， a firewall system to actively optimize and protect the network is established， ensuring secure isolation in different areas. Finally， the encryption technology is used to encrypt the IT/OT fusion data， ensuring the authenticity and credibility of the data source. The experimental results show that the highest success rate of the security defense technology designed in this article is only 2%，which has better defense performance.

Key words： industrial internet; IT/OT integration; security defense technology; zone protection