什么是工業互聯網安全？

工業(ye)(ye)互(hu)聯網是滿足工業(ye)(ye)智能化發展(zhan)需(xu)求(qiu)，具有低(di)時延(yan)、高可靠、廣覆蓋特點 的(de)關鍵網絡基礎設施(shi)， 是新(xin)(xin)一代信息通(tong)信技術與(yu)先進(jin)制造業(ye)(ye)深(shen)度融合(he)所形(xing)成的(de) 新(xin)(xin)興業(ye)(ye)態與(yu)應用模(mo)式。工業(ye)(ye)互(hu)聯網深(shen)刻變革 傳統工業(ye)(ye)的(de)創新(xin)(xin)、生產(chan)、管理、服(fu)務 方(fang)式，催生新(xin)(xin)技術、新(xin)(xin)模(mo)式、新(xin)(xin)業(ye)(ye)態、新(xin)(xin)產(chan)業(ye)(ye)，正成為繁(fan)榮數字 經濟的(de)新(xin)(xin)基石、創新(xin)(xin)網絡國際治理的(de)新(xin)(xin)途徑和統籌兩個強國建設的(de)新(xin)(xin)引擎。

工業領域的安全(quan)(quan)(quan)一(yi)般(ban)分為三類，信息(xi)(xi)安全(quan)(quan)(quan)(Security)、功(gong)(gong)能(neng)安全(quan)(quan)(quan)(Functional Safety)和物理(li)安全(quan)(quan)(quan)(Physical Safety)。傳統(tong)工業控制(zhi)(zhi)系(xi)統(tong)安全(quan)(quan)(quan)最初多關注功(gong)(gong)能(neng) 安全(quan)(quan)(quan)與物理(li)安全(quan)(quan)(quan)，即防(fang)止(zhi)工業安全(quan)(quan)(quan)相 關系(xi)統(tong)或設(she)備的功(gong)(gong)能(neng)失效，當失效或故(gu)障發 生時，保(bao)證工業設(she)備或系(xi)統(tong)仍能(neng)保(bao)持安全(quan)(quan)(quan)條件或進入到安全(quan)(quan)(quan)狀態 。近(jin)年來，隨著工業控制(zhi)(zhi)系(xi)統(tong)信息(xi)(xi)化程度的不斷(duan)加深，針對(dui)工業控制(zhi)(zhi)系(xi)統(tong)的信息(xi)(xi)安全(quan)(quan)(quan)問題不斷(duan)凸顯，業界對(dui)信息(xi)(xi)安全(quan)(quan)(quan)的重視(shi)程度逐步提(ti)高。

與傳(chuan)統(tong)的(de)工(gong)控(kong)系統(tong)安(an)全(quan)(quan)(quan)和互(hu)聯網(wang)(wang)(wang)安(an)全(quan)(quan)(quan)相(xiang)比(bi)，工(gong)業(ye)互(hu)聯網(wang)(wang)(wang)的(de)安(an)全(quan)(quan)(quan)挑戰更(geng)(geng)為艱巨: 一(yi)方面(mian)，工(gong)業(ye)互(hu)聯網(wang)(wang)(wang)安(an)全(quan)(quan)(quan)打破了以(yi)往相(xiang)對明晰的(de)責(ze)任邊(bian)界，其(qi) 范圍(wei)、復(fu)雜度、風險度產(chan)生的(de)影響(xiang)要大得(de)多，其(qi)中工(gong)業(ye)互(hu)聯網(wang)(wang)(wang)平臺安(an)全(quan)(quan)(quan)、數(shu)據安(an)全(quan)(quan)(quan)、聯網(wang)(wang)(wang)智能設備安(an)全(quan)(quan)(quan)等(deng)(deng)問題越發(fa)突出;另一(yi)方面(mian)，工(gong)業(ye)互(hu)聯網(wang)(wang)(wang) 安(an)全(quan)(quan)(quan)工(gong)作需要從制(zhi)度建(jian)設、國家能力、產(chan)業(ye)支(zhi)持等(deng)(deng)更(geng)(geng)全(quan)(quan)(quan)局的(de)視野來統(tong)籌(chou)安(an)排，目前(qian)很多企業(ye)還(huan)沒(mei)有意(yi)識到(dao)安(an)全(quan)(quan)(quan)部署的(de)必要性與緊迫(po)性，安(an)全(quan)(quan)(quan)管(guan)理與風險防范控(kong)制(zhi)工(gong)作亟需加強。

因此(ci)，工業互聯網安(an)全(quan)框架需(xu)要統籌考慮信息安(an)全(quan)、功(gong)能安(an)全(quan)與物(wu)理安(an)全(quan)。

聚焦(jiao)信息(xi)(xi)安(an)全(quan)，主(zhu)要解決工業(ye)互聯(lian)網(wang)面臨的(de)(de)網(wang)絡(luo)攻擊等新(xin)型風險，并(bing)考慮其信息(xi)(xi) 安(an)全(quan)防(fang)護(hu)(hu)措(cuo)施(shi)的(de)(de)部(bu)署可能(neng)對功(gong)能(neng)安(an)全(quan)和物理(li)安(an)全(quan)帶(dai)來的(de)(de)影響。由(you)于(yu)物理(li)安(an)全(quan)相(xiang)關 防(fang)護(hu)(hu)措(cuo)施(shi)較為 通用，故(gu)在(zai)本框架中不作(zuo)重要考慮，主(zhu)要對工業(ye)互聯(lian)網(wang)的(de)(de)信息(xi)(xi)安(an)全(quan)與功(gong)能(neng)安(an)全(quan)進行(xing)討論。

工業互聯網安全框架

美國工業互聯網安全框架

2016 年 9 月(yue) 19 日，美國工(gong)(gong)(gong)業互聯網聯盟(meng)(IIC)正式(shi)發(fa)布工(gong)(gong)(gong)業互聯網安全框(kuang) 架(IISF)1.0 版本，擬通(tong)過該框(kuang)架的發(fa)布為(wei)工(gong)(gong)(gong)業互聯網安全研究與(yu)實施提供理論指導。

IISF 的(de)(de)(de)(de)實現(xian)主要從功(gong)能視(shi)角(jiao)出(chu)發，定義了如圖 5 所示(shi)的(de)(de)(de)(de)六個(ge)功(gong)能，即端(duan)點保(bao)(bao)(bao)(bao)護(hu)(hu)、通信&連接保(bao)(bao)(bao)(bao)護(hu)(hu)、安全(quan)(quan)(quan)監(jian)測&分(fen)析、安全(quan)(quan)(quan)配(pei)置管理、數(shu)據保(bao)(bao)(bao)(bao)護(hu)(hu)以及安全(quan)(quan)(quan)模型 &策略，并將(jiang)這六個(ge)功(gong)能分(fen)為三個(ge)層次。 其中(zhong)頂層包括(kuo)端(duan)點保(bao)(bao)(bao)(bao)護(hu)(hu)、通信&連接保(bao)(bao)(bao)(bao) 護(hu)(hu)、安全(quan)(quan)(quan)監(jian)測&分(fen)析以及安全(quan)(quan)(quan)配(pei)置管理四個(ge)功(gong)能，為工業互聯網中(zhong)的(de)(de)(de)(de)終端(duan)設(she)備(bei)(bei)及設(she)備(bei)(bei)之間的(de)(de)(de)(de)通信提(ti)(ti)供保(bao)(bao)(bao)(bao)護(hu)(hu)，對用于這些(xie)設(she)備(bei)(bei)與通信的(de)(de)(de)(de)安全(quan)(quan)(quan)防(fang)護(hu)(hu)機(ji)制進行配(pei)置， 并監(jian)測工業互聯網運(yun)行過(guo)程中(zhong)出(chu)現(xian)的(de)(de)(de)(de)安全(quan)(quan)(quan)風險。在四個(ge)功(gong)能之下是一(yi)個(ge)通用的(de)(de)(de)(de)數(shu)據保(bao)(bao)(bao)(bao)護(hu)(hu)層，對這四個(ge)功(gong)能中(zhong)產生(sheng)的(de)(de)(de)(de)數(shu)據提(ti)(ti)供保(bao)(bao)(bao)(bao)護(hu)(hu)。在最下層是覆蓋整個(ge)工業互聯網的(de)(de)(de)(de)安全(quan)(quan)(quan)模型與策略，它將(jiang) 上述五個(ge)功(gong)能緊密結合起來，實現(xian)端(duan)到(dao)端(duan)的(de)(de)(de)(de)安全(quan)(quan)(quan)防(fang)護(hu)(hu)。

總的(de)來看，美(mei)國 IISF 聚焦于(yu) IT 安全(quan)，側(ce)重于(yu)安全(quan)實施，明確了具體的(de)安全(quan)措施，對于(yu)工業互(hu)聯網(wang)安全(quan)框架的(de)設計具有很好(hao)的(de)借鑒意義(yi)。

德國工業 4.0 安全框架
德國工(gong)業(ye)(ye) 4.0 注(zhu)重(zhong)安(an)(an)(an)(an)(an)全(quan)實施，由(you)網(wang)絡安(an)(an)(an)(an)(an)全(quan)組牽頭出(chu)版了《工(gong)業(ye)(ye) 4.0 安(an)(an)(an)(an)(an)全(quan)指南》、《跨(kua)企業(ye)(ye)安(an)(an)(an)(an)(an)全(quan)通信》、《安(an)(an)(an)(an)(an)全(quan)身份標識》等一系(xi)列指導文 件，幫助企業(ye)(ye)加強(qiang)安(an)(an)(an)(an)(an)全(quan)防護。德國雖然從多個角度對安(an)(an)(an)(an)(an)全(quan)提出(chu)了要求，但是并未形成(cheng)成(cheng)熟(shu)的(de)安(an)(an)(an)(an)(an)全(quan)體系(xi)框 架。但安(an)(an)(an)(an)(an)全(quan)作為新(xin)的(de)商(shang)業(ye)(ye)模式的(de)推動 者，在(zai)工(gong)業(ye)(ye) 4.0 參考架構(RAMI 4.0)中起到(dao)了承載和連接所(suo)有結(jie)構元素的(de)骨架作用。

德國 RAMI 4.0 從(cong) CPS 功(gong)能視(shi)(shi)角(jiao)(jiao)、全(quan)生(sheng)命周期(qi)價值鏈視(shi)(shi)角(jiao)(jiao)和全(quan)層級工業(ye)系(xi)統視(shi)(shi)角(jiao)(jiao)三個視(shi)(shi)角(jiao)(jiao)構(gou)建了(le)如圖(tu) 6 所示 的工業(ye) 4.0 參考(kao)架構(gou)。從(cong) CPS 功(gong)能視(shi)(shi)角(jiao)(jiao)看(kan)，安全(quan) 應(ying)用于所有不同層次(ci)，因(yin)此安全(quan)風險必(bi)須做整體考(kao)慮(lv);從(cong)全(quan)生(sheng)命周期(qi)價值鏈視(shi)(shi)角(jiao)(jiao)看(kan)，對(dui)象的所有者必(bi)須考(kao)慮(lv) 全(quan)生(sheng)命周期(qi)的安全(quan)性;從(cong)全(quan)層級工業(ye)系(xi)統視(shi)(shi)角(jiao)(jiao)看(kan)，需(xu)要對(dui)所有資產(chan)進行(xing)安全(quan)風險分析，并對(dui)資產(chan)所有者提供實時保護措施。

德國 RAMI 4.0 采用了分層的基本安全管理思(si)路(lu)，側重于防(fang)護對象的管理。

在工業互聯網安全框架的設計過程中可借鑒這一思路，并且從實施的角度將管理與技術相結合，更好地指導工業互聯網企業部署安全實施。

應用案例

項目需求

• 暴露在互聯網上的工業資產和網站自動定期掃描
• 自動定期提供工業互聯網態勢感知報告
• 企業自主填報
• 建立資產庫，基于威脅情報進行通報預警。
• 建立企業庫，采集企業測評歷史結果。
• 工業互聯網安全態勢可視化呈現。
• 在企業側部署探針，實時收集被檢查企業數據。
• 加入網絡安全工作平臺，并做一體化整合。
• 威脅通報預警。

業務場景

• 具有監管職能的政府部門（如：工信部、各級經信委、信通局、水利部等）
• 集團公司（總部需要監管各級子公司網絡安全態勢，如：中石油、中石化、鞍鋼等）

客戶價值

• 發現和管理暴露在互聯網上的工業資產及其漏洞
• 自動化手段開展檢查工作匯集數據
• 協助職能部門通過自動化方式完成工作流 安全態勢分析展示
• 安全態勢分析展示

方案特色

5+1完整安全方案

• 提供工業互聯網邊緣層、網絡層、平臺層、應用層及管理等完整解決方案。

智能縱深防御體系

• 基于縱深防御思想，提供多道安全防線，有效消耗入侵方資源和延緩攻破時間。

智能主動防御體系

• 仿生人體免疫機制，構建威脅免疫體系，有效防范未知威脅。

IT、OT安全防護有機融合

• IT與OT檢測引擎一體化，IT與OT入侵特征庫一體化。