基于云计算的工业互联网平台安全体系设计*

林南南，曹紫薇，刘志钢

(上海工程技术大学 城市轨道交通学院，上海201600)

0 引言

5G、AI等先进科技已逐步应用于各类工业制造，前沿技术的加入即使能帮助企业有效提升产量，但也带给企业一定的数据安全危险。由于企业内部信息系统与其外部互联网的联通，工业互联网一旦遭到攻击并出现安全问题，会极大威胁到企业的整体安全和效益。

随着工业互联网边界不断扩大，世界各国对于工业互联网安全方面的问题关注度越来越高。周昊和BORANGIU T等总结了该方面的发展趋势和关键技术，并给出策略与措施[1-2]；李阳春等分析国内外发展现状与面临的安全风险[3]；GURJANOV A等说明了新一代信息技术在工业互联网平台安全方面的发展前景可观[4]；王秋华和石永杰等人指出要加快互联网平台的安全保障体系建设，就必须不断加强互联网平台中的数据安全的保护能力[5-6]。在企业工业设备这方面也有了一定的研究，马娟和李客等提出应注重保障工业设备的安全性能[7-8]，TOPP M等也给出了一定的方法解决[9]；祝雅杰和张贤根等积极开展新技术在设备安全上的应用[10-11]，SALHAOUI M和易芳等将其应用在某应用领域[12-13]。石永杰等人从威胁方面进行技术研究，建立了防御系统并予以实践[14]。刘金龙等人则是以Snort为其研究基础，设计出检测系统能够实现从大量信息中发现攻击与入侵数据流之间的隐藏关系[15]。王晔等人则是结合建设信号系统的网络安全环节所需和行业标准要求，从而提出网络安全防护方面的新想法[16]。然而，工业互联网还在面临着各类安全问题，虽然部分企业采用了云服务解决问题，但是不同云服务模式下遇到的各种问题仍待解决。

当下，传统安全防护技术不再能更好地适应云环境的变化。云计算边界的不清晰，云平台内部“东西向”危险逐步成为目前的安全问题，与此同时，因为传统安全设备更注重的是“南北向”方面的防护，未能保障云计算环境内部的安全。此外，目前还存在在不同云服务模式下，该怎样通过科学方法来满足差异化的安全需求等一些问题。

针对这一问题，本文提出基于云计算的工业互联网平台安全运营体系，旨在为工业互联网平台提供安全可靠的保障以及全栈的安全能力。

1 建设背景及功能需求

1.1 政策驱动

2017年，国务院发布了《关于深化“互联网+先进制造业”发展工业互联网的指导意见》，提出要加强安全防护能力，重点突破工业互联网平台安全等产品研发，构建与工业互联网的发展相适应的保障能力。

2018年，工信部印发了《工业互联网发展行动计划(2018-2020年)》，提出到2020年底中国将实现“初步建成工业互联网基础设施和产业体系”的发展目标。

2021年1月，工信部再次印发《工业互联网创新发展行动计划(2021-2023年)》，提出到2023年，我国工业互联网新型基础设施建设量质齐进，新模式、新业态将大范围推广；新型基础设施进一步完善、安全保障能力进一步增强。

1.2 发展态势

AI、区块链、5G、大数据等新技术发展导致新应用场景不断涌现，新型安全威胁层见叠出，给安全保障带来极大的挑战，安全体系必须要快速发展和变化才能有效应对：

(1)融合安全技术成为OT与IT融合趋势下的必然选择；

(2)云平台成为工业互联网安全防护的重要环节；

(3)内生安全防御和补偿式安全防御将长期并存；

(4)工业互联网安全态势监测与感知将成为重要技术手段；

(5)工业互联网安全防护自动化与智能化将不断发展。

总体趋势：现有的安全防御技术开始不能更好地抗衡新的威胁，防护理念会从被动防护转变到体系化和主动防御。

1.3 安全能力需求

平台主要安全功能需求如图1所示。

图1 平台安全能力需求

具体而言，可以概括为五个方面：

(1)网络安全：DDoS高防IP、抗DDoS、云防火墙；

(2)主机安全：入侵检测、漏洞管理、基线检查；

(3)应用安全：应用漏洞扫描、WAF；

(4)数据安全：数据加密、数据脱敏、数据库安全、数据库审计；

(5)安全管理：风险预警、证书管理、堡垒机。

另外，云平台自身安全也需要加强，主要包括：

(1)访问控制：应实现不同云服务客户虚拟网络之间的隔离；应在虚拟化网络边界部署访问控制机制，并设置访问控制规则；当远程管理云计算平台中设备时，管理终端和云计算平台之间应建立双向身份验证机制。

(2)镜像和快照保护：应提供虚拟机镜像、快照完整性校验功能，防止虚拟机镜像被恶意篡改；应采取密码技术或其他技术手段防止虚拟机镜像、快照中可能存在的敏感资源被非法访问，应针对重要业务系统提供加固的操作系统镜像或操作系统安全加固服务。

(3)数据完整性和保密性：应确保只有在云服务客户授权下，云服务商或第三方才具有云服务客户数据的管理权限；应使用校验码或密码技术确保虚拟机迁移过程中重要数据的完整性，并在检测到完整性受到破坏时采取必要的恢复措施。

2 智能安全运营平台设计

为满足用户个性化需求，本文拟建立一个智能安全运营平台，该平台通过云计算虚拟技术的应用，把物理安全资源虚拟为安全资源池，从而为用户提供覆盖全生命周期的云安全服务。实现工业互联网传统网络环境、公有云环境、私有云环境、混合云环境的多场景综合防护，建立基于云计算的工业互联网智能安全运营平台。

2.1 智能安全运营平台架构

(1)统一安全运营

在网络安全方面，对工业互联网云环境的运营日常进行监控，从监控、感知到应急方面，形成一套全流程的监管机制，以云平台的安全数据分析为主，来形成云安全运营中心。

该中心避免发生大型安全事件通过即时感知云平台的安全状况，更好地建立对安全事件的有效监控和对其的应急处理。

(2)安全能力弹性扩展

为了横向地更快增加安全资源池的各项性能，可以通过扩充节点到集群中来使安全资源池具有可弹性的扩展。通过一键来增加其性能在其中安全服务的性能出现不足时。

(3)安全资源统一管理

云平台的安全资源池也可以采用页面配置，来实现云安全的统一管理。为更好地在管理平台上对不同的资源池节点进行开放、监管、清除，需要对多区域资源池中的节点进行增添。

(4)安全资源自动化部署

安全能力将会采用服务的方式进行，这样可以简化应用流程，节省人力成本，用户可以完成安全服务的随开随用，通过借用总平台来打开或进行安排。

根据以上设计思路，搭建基于云计算的工业互联网智能安全运营平台。平台架构如图2所示。

2.2 平台安全能力实现路径

按照安全能力建设规划，逐步完善和提升安全能力至主动防御级。具体实现路径如图3所示。

平台安全能力实现路径方向推进如图4所示。

3 工业互联网智能安全运营平台评估

3.1 平台能力实现

(1)安全技术能力

结合现有软硬件技术的发展水平，平台目前可实现的安全防护能力主要包括网站安全、主机安全、应用安全、综合安全4大类，具体安全防护能力见表1。

表1 平台安全技术能力

(2)平台安全危险检测与处置

平台针对威胁检测，部署了一系列的安全产品，确保威胁能够及时被发现并被处理。具体安全产品类别包括应用防火墙WAF、主机安全、网络防火墙、SIEM、大数据安全防护、漏洞扫描以及堡垒机等。

一旦以上产品出现威胁告警，平台安全团队会进行人工核查，判断是否是产品误报：如果确实属于威胁告警，则进行记录上报，并根据告警类型、威胁对象，通知相关人员，进行处置；如果告警是产品误报，则对产品的策略规则进行优化，避免此类情况再次发生。

(3)业务支撑能力

为了保证系统能运行稳定且安全可靠，需要考虑系统的应变、容错和纠错能力，平台也应使用可靠性较高的产品与技术。系统应具备统一的平台维护或用户界面，各安全功能通过单点登录统一管理。

3.2 平台运行效果测评

将初步搭建的平台进行试运营，对其网络安全态势进行分析，测评结果如下。

(1)安全威胁情况统计分析

平台2020年4～6月份受到的高发威胁主要包括：弱口令、越权访问、SQL注入等，具体数量见表2。

表2 平台安全威胁情况统计

可以看出，高发威胁数量呈现出较明显的上升趋势。其中，5月份比4月份环比增长73.1%，6月份比5月份环比增长135.0%。通过上表数据可以看出，4～6月份网络安全态势愈发严峻，平台感知到系统受到的安全威胁较大，应及时上报企业管理层及各系统负责人，引起重视，加强各方面的网络安全防范。

(2)安全事件处置

图2工业互联网智能安全运营平台架构

图3平台安全能力实现路径

图4平台安全能力实现路径方向推进

2020年上半年，平台发生了1起信息安全事件：平台内1台计算机中了挖矿病毒。发生该事件后，安全团队根据实际情况和规章制度，判断事件类型及事件等级，将事件相关信息进行记录并上报。同时，对中病毒计算机进行处置，处置手段包括安装系统重要安全补丁、安装防病毒软件、重置系统密码等。处置完成后，形成信息安全事件报告。

4 结论

本文采用云计算虚拟技术，针对工业互联网行业中存在的安全问题，首先分析了国家政策驱动和市场功能需求，在此基础上提出了基于云计算的工业互联网平台安全运营体系，搭建了智能运营平台架构及实现路径，并将建立的智能平台应用于某公司的安全防控工作中，以检验平台的实际应用效果。平台测评结果表明，本文搭建的工业互联网智能安全运营平台可以有效发现并防御企业面临的网络威胁，并及时采取应对措施避免损失，为企业提供坚实的网络安全屏障。但是平台仍存在一些漏洞，比如账号弱口令、访问控制漏洞、应用代码漏洞等，需要防范黑客利用漏洞对平台进行攻击。同时除了日常性的安全监控以外，未来的研究中可增加安全事件应急演练模块。