工业互联网网络安全技术浅析

2022-11-15吴涛黄健郭钰璐杨飞赵通中讯邮电咨询设计院有限公司北京00048中国联合网络通信集团有限公司北京00033

邮电设计技术 2022年9期

吴涛，黄健，郭钰璐，杨飞，赵通（.中讯邮电咨询设计院有限公司，北京 00048；.中国联合网络通信集团有限公司，北京 00033）

0 前言

在“新基建”背景下，数字化驱动的工业互联网技术加速了信息空间与物理空间的融合，“键盘鼠标”与“大国重器”之间界面的逐步打破将导致工业互联网暴露在互联网“炮火”攻击之下，不可避免地成为恶意势力攻击破坏的首要目标。近年来，工业互联网安全形势严峻，工业安全事件频发。

自2010 年伊朗核电站Stuxnet 震网病毒攻击事件起，针对工业互联网的攻击事件愈发频繁，如2015 年乌克兰电力公司遭到黑客攻击，导致大规模停电；2017 年美国水务公司遭受黑客入侵，导致大量用户信息泄露；2017 年的“魔窟”勒索病毒感染全球百余个国家和地区；近日委内瑞拉一大型水电站系统遭“黑客攻击”，影响21 个州的供电事件。工业互联网安全已经成为了世界性难题，没有安全保障的工业互联网，其后续的发展将寸步难行。加强工业互联网安全关键技术研究，推进工业互联网安全技术发展已经刻不容缓。

1 工业互联网体系结构

工业互联网体系包含网络、平台、安全三大功能体系，实现人、机、物全面互联的新型网络，图1所示为工业互联网体系结构示意。

图1 工业互联网体系结构

a）网络。网络是工业互联网的基础，实现工业体系内各系统、产业链、价值链泛在互联。

b）平台。平台是工业互联网的核心，构建基于海量数据采集、汇聚、分析的平台能力。

c）安全。安全是工业互联网的保障，通过构建涵盖工业全系统的安全防护体系，增强设备、网络、控制、应用和数据的安全保障能力，识别和抵御安全威胁，化解各种安全风险，构建工业智能化发展的安全可信环境。

2 工业互联网的安全体系架构

工业互联网的安全与传统信息安全及生产物理安全有根本性的区别，工业互联网所面临的复杂安全挑战，需要一套体系化的安全方案来应对，图2所示为我国当前主流的工业互联网安全体系架构示意。

图2 工业互联网安全框架示意图

安全框架充分借鉴传统网络安全框架和国外成功实践，包含了防护对象、防护措施及防护管理3个部分，3 个部分相辅相成、互为补充，形成一个完整、动态、持续的防护体系。

3 工业互联网的网络安全隐患分析

工业互联网子系统按照功能分为车间、企业、产业、平台等模块。各模块具有大规模连接、设备多样性、系统接口多等特征，其安全风险隐患主要表现在威胁对象广、危险类型多、安全风险因素多、攻击模式复杂几个方面。

按照安全框架的防护对象，工业互联网的安全工作主要聚焦在设备、控制、网络、应用和数据五大领域，本文主要对工业互联网中的网络安全领域的关键技术进行研究。

工业互联网领域中的网络安全主要指工厂内部网络和工厂外部网络的安全，其网络示意如图3所示。

图3 工业互联网网络示意图

根据对工业互联网的网络架构及网络安全相关工作内容的分解与分析，工业互联网网络主要存在如下安全风险。

a）工厂原有的内部网络为封闭网络，原生产区域及各个设备之间未做严格的权限管控及区域隔离，在接入互联网后，带来攻击风险。

b）工业互联网包含了IT、CT、OT 相关技术，其安全体系所涉及到工业互联网的攻击形态、攻击手段还未被完全掌握，基于现有的防火墙技术很难精确地定位与应对。

c）目前部分工控系统仍然使用微软Windows 系统，由于原有的封闭网络特性导致其部分系统存在长期未升级、版本停止服务、安全漏洞无法修复等风险。

d）工业互联网的网络中传输大量的OT 侧的控制数据，如果该类数据被劫持或者破解，将会给生产带来极大破坏的风险。

4 工业互联网网络安全防护技术

根据对工业互联网面临的网络安全风险的分析，建议将网络隔离技术、入侵检测技术、网关防病毒技术、数据加密技术应用于工业互联网的网络安全管控工作中，应对其安全风险，技术应用示意如图4所示。

图4 工业互联网网络安全技术应用示意图

4.1 网络隔离技术

网络隔离可以有效防止网络信息无序流转，根据系统安全等级的不同，分区域、分设备、分用户多维度隔离，当前主要有物理隔离、协议隔离和应用隔离3种隔离技术。

a）物理隔离。物理隔离技术主要在OT 区域实施，可以通过网络规划进行完全的物理隔离，也可以使用网闸技术来完成物理隔离。

b）协议隔离。该类隔离技术依靠TCP/IP 协议原理实现，如基于二层的MAC 地址访问控制技术，基于VLAN 的广播域控制技术，基于隧道协议（IPSec、GRE等）的VPN技术。

c）应用隔离。该技术主要指在工业互联网的云平台的SDN 的网络环境中，如容器、虚拟机、沙箱虚拟化隔离技术等。

4.2 入侵检测技术

入侵检测技术（IDS）相对于防火墙的静态防御技术，是一种主动保护自己免受攻击的一种网络安全技术，其提供了动态防御能力，整体提升了网络安全防护体系的防御能力。

在工业互联网中，很多工业控制设备在设计之初就未考虑过自己会暴露在工业互联网上，缺乏防护设计，存在很大的漏洞隐患，一旦在线运行极易被攻击，直接威胁网络安全。同时数据安全方面，因工业互联网发展产生的数据采集、汇聚，也会增加数据被泄露、被勒索攻击和被滥用的风险。工业互联网中设备众多、网络通信复杂，很难全面掌握网络中所必须的业务通信需求，防火墙的静态配置技术无法全面解决其安全风险，入侵检测技术将作为防火墙技术的有效补充，整体提升工业互联网的安全。

入侵检测技术对网络进行检测，提供对内部攻击、外部攻击和误操作的实时监控，对网络安全提供动态保护，其具有事前警告、事中防御、事后取证的特点，很好地弥补了防火墙只能作为静态防御的不足。对缓冲区溢出、SQL 注入、暴力猜测、DOS 攻击、扫描探测、木马后门等各类黑客攻击和恶意流量进行实时检测及报警。

入侵检测系统的部署示意如图5所示。

图5 入侵检测部署示意图

部署方式采用旁路方式，从防火墙上将流量镜像到IDS 设备，这样可以使用防火墙与IDS 进行联动配置，提高系统整体安全。

4.3 网关式防病毒技术

传统的主机侧的防病毒系统如果在工业互联网上实施需要部署在每一台工控设备即服务器上，由于工业系统对软件的兼容性、可靠性、稳定性要求非常高，其防病毒产品必须经过严格的测试后才能安装，因此带来适配周期长、测试样例复杂、改造成本高等诸多难以短时解决的困难，如果采用网关式防病毒技术就能够很好地规避工业互联网中防病毒软件部署困难的问题，网关防病毒示意如图6所示。

图6 网关防病毒示意图

网关防病毒技术依靠病毒特征码匹配，在网关处将数据包还原成文件进行病毒处理。该种方案将原有的分布式的主机查杀毒方式转变为集中式的网关病毒防范，对于原有工业互联网因设备老旧，系统版本厂家已经停止服务无法适配病毒软件，软件因病毒软件兼容性带来的附加改造成本均能得到很好的改善，既降低了防病毒方案的技术实现，同时也降低了防病毒系统实施的成本。

在工业互联网的系统中，防病毒网关的部署方式主要有如下3种。

a）透明模式。该模式部署简单，所有流量均进行病毒查杀，但存在单点隐患。

b）旁路代理模式。只针对引入特定协议的流量进行病毒查杀，合理配置下，成本与收益最佳。

c）旁路模式。与旁路代理模式一致，该模式只做检测，不做病毒查收，该模式更多作为已有的主机侧病毒的补充方式。