AG公司云
智慧清静3.0引领，构建工业互联网清静包管系统
2021-08-18
一、配景
工业互联网是毗连工业全系统、全工业链、全价值链，支持工业智能化生长的要害基础设施，是新一代信息手艺与工业生产深度融合所形成的新兴业态和应用模式，是互联网从消耗领域向生产领域、从虚拟经济向实体经济拓展的焦点载体 。我国工业互联网处于蓬勃生长阶段，先后宣布《工业互联网生长行动妄想（2018-2020年）》《工业互联网平台建设及推广指南》《工业互联网立异生长行动妄想（2021-2023年）》等政策文件，周全安排工业互联网生长 。
二、工业互联网清静建设刻禁止缓
在新工业革命的大配景下，随着工业互联网建设历程的一直深化，工业互联网平台的数目一连增添，联网工业企业规模迅速扩大，工业互联网的组织模式、生产模式和服务模式正在向跨装备、跨系统、跨厂区、跨地区的互联互通转变 。工业互联网懦弱的清静状态以及所面临日益严重的攻击威胁，已经引起了国家的高度重视 。
1、工业互联网成为国家级网络空间清静对抗新阵地
网络空间已成为国际战略博弈的新领域，近年来国家级网络空间清静对抗一直升级，网络战危害进一步加大 。网络攻击工具也从公共互联网向能源电力、制造业等工业互联网领域转移，网络清静危害威胁进一步向工业企业内网、工业系统和装备、工业互联网平台及应用等更多工具和更大规模延伸 。从最早的针对伊朗核设施的“震网病毒”攻击事务，到委内瑞拉数次爆发大规模停电事务，我们可以看出工业互联网已经成为国家间实验网络清静威慑、制衡他国经济生长的新重点，工业互联网建设面临的网络空间变得越发重大，网络清静问题异常严肃 。
2、工业互联网的生长增添了工业生产历程遭受网络攻击的可能性
新一代信息手艺与工业生产的深度融合是工业互联网生长的必由之路，不但强化了物理天下与信息天下的联系，使我们享受信息化手艺带来的工业高速生长盈利，但同时也使工业互联网生长面临着严肃的网络清静挑战 。最初关闭的工业控制系统网络界线在工业互联网生长历程中不可阻止地被突破，攻击者能够从治理端、生产端、消耗端等多个层面提倡网络攻击，将信息天下的网络清静威胁引入到物理天下 。工业生产中的网络清静事务虽然形式各异，但所带来的危害都不但仅停留在信息天下的“软攻击”，而是对物理天下的“硬摧毁”，加剧了工业互联网企业遭受网络攻击造成的效果，轻则导致工业生产停摆带来经济损失，重则导致生产清静事故带来职员伤亡，甚至危害国家清静、摇动执政基本 。
3、工业互联网清静防护意识和能力缺乏
工业互联网企业是落实网络清静责任的主体，现在还保存治理制度机制不健全或执行落实不到位，相关从业职员网络清静意识缺乏的问题 。同时，大都企业缺乏针对工业互联网的有用防护步伐，整体防护水平相对落伍，仍保存工业主机清静防护不到位、工业互联网网络界线防护步伐缺乏、工业控制系统未建设清静设置、未使用身份认证、部分无效服务默认开启等问题 。部分企业的工业控制装备袒露于互联网，面临被远程入侵等清静危害 。
三、基于智慧清静3.0的工业互联网清静防护系统
智慧清静3.0是以系统化建设为指引，构建“全场景、可信托、实战化”的清静运营能力，实现“周全防护，智能剖析，自动响应”的防护效果 。
图 1 工业互联网清静视角下的“智慧清静3.0”
面向联网工业企业、工业互联网平台企业以及标识剖析企业，承继智慧清静3.0的“全场景、可信托、实战化”焦点理念，打造工业互联网清静防护系统，对终端用户、工业供应链、主要门户网站、焦点网络、主要信息系统与工业控制系统的运行等举行全笼罩、全天候、全方位综合清静防护，使用大数据手艺通过清静数据收罗、汇聚、威胁和事务处置惩罚剖析，增强危害研判和预警，以网络攻防对抗为起点，按需调理网络清静能力，提高应对网络清静突发事务的快速反应能力 。
3.1 全场景清静防护
工业互联网全场景清静防护要知足全领域、全要素、全类型三个方面的需求，为工业控制网络、企业谋划治理网络以及互联网搭建起信息交互的桥梁 。
全领域方面，工业互联网涵盖了信息基础设施、融合基础设施以及立异基础设施 。其中，企业谋划治理网络和互联网基于信息基础设施并融合了云盘算、人工智能、大数据等新一代立异基础设施 ；工业控制网络已经将通用的操作系统、数据库等IT信息手艺与OT操作手艺实现了普遍融合与应用，形成了IT与OT细密团结的融合基础设施领域 。
全要素方面，工业互联网带来了控制网络界线的延伸与扩展，将终端用户、内部员工、上下游工业链等种种要素融入工业生产，增添了加入工业生产的职员链、营业链、供应链的工具种类与数目 。
全类型方面，工业互联网带来了工业控制网络与企业谋划治理网络以及互联网的互联互通，导致工业生产需要面临恶意攻击、内部威胁和无意识滥用等全类型的网络清静危害 。
工业互联网的全场景清静防护得益于工业生产环节相对的稳固性与可预见性，我们能够凭证信息系统和工业控制系统加入生产作业的流程与规模，凭证生产制造界线、价值转达界线举行划分，为工业互联网修建起针对全场景的清静防护能力，以便能在爆发网络清静威胁告警时举行有针对性清静防控，阻止威胁规模扩大 。
3.2 可信托实现
针对加入工业互联网营业流程的种种职员，应用零信托手艺，基于数字证书、身份标识、生物特征、动态口令等多种手段，在区域界线设置知足响应清静要求的手艺隔离与细粒度的会见控制步伐，有用解决在工业互联网各个环节每一位加入者“是谁”和“醒目什么”的职员可信托及行为可信托问题，并形成动态化威胁识别能力，实现对网络界线行为识别、确权、报警以及清静阻断 。
工业互联网装备接入可信托方面，面临海量工业智能装备的泛在接入，工业智能装备在举行网络毗连时要接纳准入机制，只有经由清静验证的可信托装备才允许接入工业互联网，同时能够自动识别未知接入装备所使用的端口、协议、服务等，研判清静危害并接纳报警、隔离与阻断步伐，阻止未经磨练授权的装备将恶意代码引入工业互联网 。
供应链可信托方面，工业互联网中应用的谋划治理系统、工业控制系统、工业云平台等通过接纳清静可信、自主可控的处置惩罚器、存储、内存、操作系统、应用软件，应用密码手艺、清静算法、清静协议等步伐包管自身的清静可信托 。当条件受限时可以接纳清静赔偿步伐，通过应用层清静加固使上述种种系统清静台具有一定的网络清静防护能力 。
数据流转可信托方面，工业互联网承载了企业的生产谋划数据，涉及知识产权、商业神秘，甚至有关国家经济与国防清静，具有高度的敏感性，爆发数据清静事务会对经济社会生长、国家清静造成直接或间接的损失和影响 。为包管数据能够清静、自由地在工业生产各环节中流动，施展数据的最大价值，针对工业生产数据应接纳标记用途、数据加密、会见控制、数据脱敏等多种防护步伐，笼罩包括数据收罗、传输、存储、处置惩罚等在内的全生命周期的各个环节，实现数据“拿不到、看不懂、改不了、赖不掉” 。
3.3 网络清静实战化
从攻防实战化视角包管工业互联网网络清静，是推进互联网与工业生产深度融合的基础 。
清静能力按需调理方面，针对工业互联网营业实时性、一连性特点，为工业互联网平台提供云化清静能力服务，知足平台侧工业应用清静、数据清静的弹性可扩展需求 。工业控制系统网络清静开展界线防护、状态监测与审计、态势感知、威胁情报等清静能力建设，知足营业清静与网络清静协同的合规性需求 。
高效攻防方面，基于网络清静对抗即时有用的要求，通过检测工业网络流量获取通讯行为信息，借助深度包过滤、终端清静检测、日志审计等掌握工业互联网清静状态，借助外部威胁情报并通过聚合、关联剖析形玉成局清静态势与威胁预警 。
四、基于智慧清静3.0的工业互联网清静解决计划
工业互联网涉及位于互联网的工业云平台、位于治理信息网络的企业资源层，以及位于工业控制网络的制造执行层、历程控制层、现场控制层和现场装备层 � ；チひ翟破教ㄊ迪止ひ敌幸抵逗陀τ玫闹悄芗�，支持工业生产资源泛在毗连、弹性供应、高效设置，买通数据和应用的烟囱式孤岛，提高事情效率，包管知识转达的真实性 。工业控制系统实现企业生工营业的自动化运行，治理信息系统借助跨网数据交流实现企业生产谋划数据与工业现场生产数据的交流共享，从而对生产作业运动举行智能调配 。通讯网络为两者之间的数据交流提供支持 。
图2 基于智慧清静3.0的工业互联网网络清静防护手艺系统拓扑图
4.1 多场景界线清静防护
在区域界线安排防火墙装备，对流经区域界线的数据包依据响应的会见控制战略举行控制，阻断非授权会见，并对违反战略的操作行为举行纪录并形成日志，按期对日志举行剖析处置惩罚 。
工业网闸实现控制网络与治理信息网络从物理层面和逻辑层面断开直接毗连，杜绝网络威胁通过办公网络入侵控制系统的可能 。
4.2 工业互联网清静可信托
在操作系统层面临工业互联网装备举行清静加固，更新厂商宣布的焦点清静补丁，并在更新补丁之前在测试系统中举行测试，制订详细的回退妄想 。在举行远程运维治理时对通过网络传输的认证信息、数据报文等接纳加密、散列等步伐举行清静防护，阻止敏感信息被窃听、截取或改动 。
接纳加密认证装置对接入控制网络的工业互联网装备举行身份认证，并基于密码手艺对传输数据举行神秘性、完整性� ；� 。
在网络交流机旁路安排入侵检测系统，对网络流量的镜像数据举行基于协议与行为的深度检测，实时发明应用端口传输的恶意代码，阻止服务器遭受应用层攻击 。
使用数据库加密系统对数据举行传输加密以及存储加密，实现数据库清静战略治理、会见监测、日志审计等功效 。使用数据脱敏装备、数据分级分类�？椤⑹菁用芎图用茏试醇焖髂？椤⒚舾惺萆蠹颇？�，实现敏感数据发明、系统实时脱敏、脱敏危害评估、数据脱敏效果验证、数据自动分类分级、数据加密和加密资源检索、数据使用合规性羁系等数据清静性防护手段 。使用数据审计系统实现对数据库增、删、改、查等操作的审计，实时纪录每个数据的操作历程 。
4.3 实战化清静态势管控
安排网络清静监测预警平台，实现对工业控制网络和治理信息网络清静态势的周全掌控 。通过收罗网络流量和清静装备、网络装备的日志信息、设置信息举行集中剖析和处置惩罚，团结AG公司威胁情报剖析和共享平台提供的威胁情报数据，实时洞悉工业互联网资产面临的清静威胁，相识最新的威胁动态，实验起劲自动的威胁防御和快速响应战略，并准确地举行威胁追踪和攻击溯源，实现网络综合态势治理、攻击链和营业行为基线的危害预警治理等，对网络攻击等事务以及恶意软件撒播等攻击行为爆发报警，统筹治理网络清静装备，建设高效防控系统 。
图3 工业互联网清静态势管控架构图
接纳“软件界说清静 SDS” 架构，将虚拟化清静装备和古板硬件清静装备举行资源池化的整合，形成云清静集中治理平台 。通过该平台实现清静装备服务化和治理的集中化，以及清静能力的“按需调理、弹性扩展”，增强针对性清静能力适配客户的合规性需求 。工业互联网平台清静安排如下图所示 。
图4 工业互联网平台清静安排图
五、结语
工业互联网带来工业生产网络界线的融合以及数据的融合，古板的相对静态、被动和伶仃的攻击检测和防御系统已经无法有用应对目今以规� ；⒆远�0day高级一连性攻击为特征的种种清静威胁，必需接纳起劲自动的防御战略，构建由界线管控、权限控制、威胁监控、态势感知、快速响应和周全追溯反制组成的“智慧清静”工业互联网防御系统 。在借助信息化资助工业企业快速应对市场需求、提升效率的同时，有用地包管工业互联网网络清静 。
