?摘要：?

工業互聯網的連接逐步打破了傳統工業相對封閉可信的生產環境，針對近年工業互聯網安全事件頻發的嚴峻形態，對工業互聯網的相關網絡安全技術進行分析研究。從工業互聯網的安全體系架構出發，針對工業互聯網安全架構中網絡安全的模塊，識別出相關的安全風險，并針對識別出的風險進行分析研究，依靠現有的安全技術提出了相應的解決方案與規避措施，并對落地實施方案做了簡要介紹；同時對于工業互聯網的安全技術發展趨勢做了簡要分析。

?前? 言?

在“新基建”背景下，數字化驅動的工業互聯網技術加速了信息空間與物理空間的融合， “鍵盤鼠標”與“大國重器”之間界面的逐步打破將導致工業互聯網暴露在互聯網“炮火”攻擊之下，不可避免地成為惡意勢力攻擊破壞的首要目標。近年來，工業互聯網安全形勢嚴峻，工業安全事件頻發。 ? 自2010年伊朗核電站Stuxnet震網病毒攻擊事件起，針對工業互聯網的攻擊事件愈發頻繁，如2015年烏克蘭電力公司遭到黑客攻擊，導致大規模停電；2017年美國水務公司遭受黑客入侵，導致大量用戶信息泄露；2017年的“魔窟”勒索病毒感染全球百余個國家和地區；近日委內瑞拉一大型水電站系統遭“黑客攻擊”，影響 21個州的供電事件。工業互聯網安全已經成為了世界性難題，沒有安全保障的工業互聯網，其后續的發展將寸步難行。加強工業互聯網安全關鍵技術研究，推進工業互聯網安全技術發展已經刻不容緩。 ?

01 、工業互聯網體系結構

工業互聯網體系包含網絡、平臺、安全三大功能體系，實現人、機、物全面互聯的新型網絡，圖1所示為工業互聯網體系結構示意。

圖1 工業互聯網體系結構 ? a）網絡。網絡是工業互聯網的基礎，實現工業體系內各系統、產業鏈、價值鏈泛在互聯。 b）平臺。平臺是工業互聯網的核心，構建基于海量數據采集、匯聚、分析的平臺能力。 c）安全。安全是工業互聯網的保障，通過構建涵蓋工業全系統的安全防護體系，增強設備、網絡、控制、應用和數據的安全保障能力，識別和抵御安全威脅，化解各種安全風險，構建工業智能化發展的安全可信環境。 ?

02、工業互聯網的安全體系架構

工業互聯網的安全與傳統信息安全及生產物理安全有根本性的區別，工業互聯網所面臨的復雜安全挑戰，需要一套體系化的安全方案來應對，圖2所示為我國當前主流的工業互聯網安全體系架構示意。

圖2 工業互聯網安全框架示意圖 安全框架充分借鑒傳統網絡安全框架和國外成功實踐，包含了防護對象、防護措施及防護管理3個部分，3個部分相輔相成、互為補充，形成一個完整、動態、持續的防護體系。 ?

03、工業互聯網的網絡安全隱患分析

工業互聯網子系統按照功能分為車間、企業、產業、平臺等模塊。各模塊具有大規模連接、設備多樣性、系統接口多等特征，其安全風險隱患主要表現在威脅對象廣、危險類型多、安全風險因素多、攻擊模式復雜幾個方面。 按照安全框架的防護對象，工業互聯網的安全工作主要聚焦在設備、控制、網絡、應用和數據五大領域，本文主要對工業互聯網中的網絡安全領域的關鍵技術進行研究。 工業互聯網領域中的網絡安全主要指工廠內部網絡和工廠外部網絡的安全，其網絡示意如圖3所示。

圖3 工業互聯網網絡示意圖

根據對工業互聯網的網絡架構及網絡安全相關工作內容的分解與分析，工業互聯網網絡主要存在如下安全風險。 a）工廠原有的內部網絡為封閉網絡，原生產區域及各個設備之間未做嚴格的權限管控及區域隔離，在接入互聯網后，帶來攻擊風險。 b）工業互聯網包含了IT、CT、OT相關技術，其安全體系所涉及到工業互聯網的攻擊形態、攻擊手段還未被完全掌握，基于現有的防火墻技術很難精確地定位與應對。 c）目前部分工控系統仍然使用微軟 Windows系統，由于原有的封閉網絡特性導致其部分系統存在長期未升級、版本停止服務、安全漏洞無法修復等風險。 d）工業互聯網的網絡中傳輸大量的OT側的控制數據，如果該類數據被劫持或者破解，將會給生產帶來極大破壞的風險。 ?

04、工業互聯網網絡安全防護技術

根據對工業互聯網面臨的網絡安全風險的分析，建議將網絡隔離技術、入侵檢測技術、網關防病毒技術、數據加密技術應用于工業互聯網的網絡安全管控工作中，應對其安全風險，技術應用示意如圖4所示。

圖4 工業互聯網網絡安全技術應用示意圖

4.1 網絡隔離技術

網絡隔離可以有效防止網絡信息無序流轉，根據系統安全等級的不同，分區域、分設備、分用戶多維度隔離，當前主要有物理隔離、協議隔離和應用隔離3種隔離技術。 a）物理隔離。物理隔離技術主要在 OT 區域實施，可以通過網絡規劃進行完全的物理隔離，也可以使用網閘技術來完成物理隔離。 b）協議隔離。該類隔離技術依靠TCP/IP協議原理實現，如基于二層的MAC地址訪問控制技術，基于VLAN的廣播域控制技術，基于隧道協議（IPSec、GRE等）的VPN技術。 c）應用隔離。該技術主要指在工業互聯網的云平臺的SDN的網絡環境中，如容器、虛擬機、沙箱虛擬化隔離技術等。 ?

4.2 入侵檢測技術

入侵檢測技術（IDS）相對于防火墻的靜態防御技術，是一種主動保護自己免受攻擊的一種網絡安全技術，其提供了動態防御能力，整體提升了網絡安全防護體系的防御能力。 在工業互聯網中，很多工業控制設備在設計之初就未考慮過自己會暴露在工業互聯網上，缺乏防護設計，存在很大的漏洞隱患，一旦在線運行極易被攻擊，直接威脅網絡安全。同時數據安全方面，因工業互聯網發展產生的數據采集、匯聚，也會增加數據被泄露、被勒索攻擊和被濫用的風險。工業互聯網中設備眾多、網絡通信復雜，很難全面掌握網絡中所必須的業務通信需求，防火墻的靜態配置技術無法全面解決其安全風險，入侵檢測技術將作為防火墻技術的有效補充，整體提升工業互聯網的安全。 入侵檢測技術對網絡進行檢測，提供對內部攻擊、外部攻擊和誤操作的實時監控，對網絡安全提供動態保護，其具有事前警告、事中防御、事后取證的特點，很好地彌補了防火墻只能作為靜態防御的不足。對緩沖區溢出、SQL 注入、暴力猜測、DOS 攻擊、掃描探測、木馬后門等各類黑客攻擊和惡意流量進行實時檢測及報警。 入侵檢測系統的部署示意如圖5所示

圖5 入侵檢測部署示意圖 部署方式采用旁路方式，從防火墻上將流量鏡像到IDS設備，這樣可以使用防火墻與IDS進行聯動配置，提高系統整體安全。

? 4.3 網關式防病毒技術

傳統的主機側的防病毒系統如果在工業互聯網上實施需要部署在每一臺工控設備即服務器上，由于工業系統對軟件的兼容性、可靠性、穩定性要求非常高，其防病毒產品必須經過嚴格的測試后才能安裝，因此帶來適配周期長、測試樣例復雜、改造成本高等諸多難以短時解決的困難，如果采用網關式防病毒技術就能夠很好地規避工業互聯網中防病毒軟件部署困難的問題，網關防病毒示意如圖6所示。

圖6 網關防病毒示意圖

網關防病毒技術依靠病毒特征碼匹配，在網關處將數據包還原成文件進行病毒處理。該種方案將原有的分布式的主機查殺毒方式轉變為集中式的網關病毒防范，對于原有工業互聯網因設備老舊，系統版本廠家已經停止服務無法適配病毒軟件，軟件因病毒軟件兼容性帶來的附加改造成本均能得到很好的改善，既降低了防病毒方案的技術實現，同時也降低了防病毒系統實施的成本。 在工業互聯網的系統中，防病毒網關的部署方式主要有如下3種。 a）透明模式。該模式部署簡單，所有流量均進行病毒查殺，但存在單點隱患。 b）旁路代理模式。只針對引入特定協議的流量進行病毒查殺，合理配置下，成本與收益最佳。 c）旁路模式。與旁路代理模式一致，該模式只做檢測，不做病毒查收，該模式更多作為已有的主機側病毒的補充方式。

? 4.4 數據安全傳輸技術

工業互聯網的網絡中會傳遞大量OT側控制數據，數據的密級很高，數據安全傳輸是非常重要的需求，可采用隧道技術方案來解決數據安全傳輸問題。 根據技術特點、應用場景、安全特性和工作原理對隧道技術進行分類及對比，如表1所示。 表1 隧道協議對比表

考慮到各個企業內部、外部的安全傳輸需求，推薦使用 IPSec技術作為工業互聯網的安全傳輸解決方案，既提供了身份認證功能，又提供了數據加密功能。 ?

05、工業互聯網的網絡安全技術趨勢

5.1 原生安全的持續完善

在現有的工業互聯網的安全實踐中，由于OT網絡從原有的封閉特性向開放型網絡演進，其原生的網絡安全設計不足的缺陷會被逐步放大，要從根本上提高工業互聯網的安全基礎，需要從系統的設計階段就將系統安全性、網絡安全性等綜合考慮進去。

5.2 智能動態防護

工業互聯網的防護對象多，防護環節長，如果整個安全體系都是依靠被動的響應防守，整個安全體系設計將龐大而冗雜，且無法做到安全事件的精準防控，因此，對于工業互聯網的防護體系，未來目標需要向動態均衡、自我學習的智能動態防護體系發展，從而保障工業互聯網的安全運行。 ?

參考文獻

［1］ 陳禮波，宋明澤. 面向工業互聯網的傳輸網絡安全研究［J］. 網絡安全技術與應用，2021（8）：114-116. ［2］ 魏強，王文海，程鵬. 工業互聯網安全［M］. 北京：機械工業出版社，2021. ［3］ 田竹娟. 探析工業互聯網設備的網絡安全管理與防護［J］. 互聯網周刊，2021（19）：40-42. ［4］ 賈玉雷，韋盛中. 工業互聯網下的智慧電廠網絡安全［J］. 消費導刊，2021（26）：296-297. ［5］ 胡佳杰. 工業互聯網領域網絡安全服務的思考［J］. IT經理世界，2019，22（12）：90，92. ［6］ 李崇漢，張恒. 工業互聯網時代的網絡安全［J］. 現代制造，2018（27）：52-53. ? ?

作者簡介：

吳濤，畢業于天津大學，學士，主要從事IT運維安全管理工作；

黃健，畢業于武漢理工大學，高級工程師，碩士，主要從事網絡安全相關工作；

郭鈺璐，畢業于大連海事大學，助理工程師，碩士，主要從事網絡安全技術需求分析與安全產品運營工作；

楊飛，畢業于合肥學院，高級工程師，學士，主要從事網絡安全技術的研究工作；

趙通，畢業于中國農業大學，碩士，主要從事網絡安全產品及安全技術方向的研究工作。

編輯：黃飛

?