莫让安全成为工业互联网发展的“拦路虎”
随着万物互联技术和制造业的不断融合，工业互联网平台正成为全球新一轮产业变革的重要方向。安全问题作为工业互联网发展的重中之重，接下来它将如何乘风破浪？
近期，绿盟科技发布《工业互联网安全防护白皮书》，对工业互联网的安全挑战及应对策略进行了研究，希望通过本白皮书，帮助用户解决工业互联网中存在的安全问题，以推动我国工业的不断发展。
白皮书下载链接：
1. 我国工业互联网安全功能框架，为发展指路
为解决工业互联网面临的网络攻击等新型风险，确保工业互联网健康有序发展，我国工业互联网安全功能框架2.0充分考虑了信息安全、功能安全和物理安全，聚焦工业互联网安全所具备的主要特征，包括可靠性、保密性、完整性、可用性、隐私和数据保护，如图 1所示。
2. 破解工业互联网安全防护困境，绿盟科技正式发布“绿盟工业互联网安全能力框架”
绿盟科技采用“平台+服务”的业务模式，建设工业互联网安全体系，产品包括工业互联网安全监测、主机安全防护、蜜网、工控安全工具（漏洞扫描、网站篡改、资产探测、高危漏洞验证等）、工业威胁情报、移动APP评估检测、安全服务等，可直接服务电力、轨道交通、化工、汽车、生物医疗行业等。
根据工信部等十部委联合发布的《加强工业互联网安全工作的指导意见》的相关指导规范要求，绿盟科技整合公司现有技术构建工业互联网安全管理体系，建设并完善工业互联网平台安全保障体系。针对工业互联网：边缘层、工业IaaS层、工业PaaS层、工业SaaS层进行分层部署安全防护措施，健全工业互联网平台和工业APP应用前的安全风险监测机制，强化平台和APP应用过程中的用户信息、网络和数据安全防护能力。
绿盟工业互联网安全体系能力框架由安全基础设施、安全运营、安全管理和政府/行业安全监管四个组成部分构建一体化动态综合防御体系，总体安全体系架构如图所示。
总体安全体系架构
通过工业互联网网络安全防护体系，围绕工业互联网平台、网络、数据、主机、接入等方面构建工业互联网整体安全防护保障体系。从工业互联网平台边缘层、工业IaaS层、工业PaaS层、工业SaaS层面临的突出安全风险进行深度分析，应用工业互联网平台安全防护核心技术，形成抗DDoS、虚拟机逃逸、镜像篡改、数据窃取与篡改等安全防护手段。利用纵深防御安全能力模型，形成边界安全、业务和应用安全、数据安全的工业互联网平台整体解决方案，从形成一套完整的工业互联网安全方案：防攻击、防病毒、防入侵、防窃密、防控制等综合安全防御能力；同时，通过实现对工业互联网平台流量、主机、设备等进行全面、可靠的网络安全监测分析，形成对工业互联网的综合安全态势监管能力保障，从威胁识别、通报预警、风险评估、应急响应、溯源分析等方面对工业互联网平台各类威胁进行研判分析和处置，构建工业互联网企业对其安全的可视化监管、风险管控、处置和分析的全方位安全运营体系，为工业互联网平台可持续运营提供先导性的安全决策与分析手段；另外，通过完善对工业物联网设备的安全接入和认证能力，借鉴“零信任”网络安全防护体系建设思想，从平台边缘层用户、设备和数据接入层面，有效提升工业互联网平台的接入安全保障水平。
2.1. 绿盟工业互联网安全体系设计原则
绿盟工业互联网安全体系能力架构设计遵循以下原则：
a. 体系化纵深防御原则
在工业互联网环境中，OT与IT相融合，原有的可信边界日益削弱，它本身在物理上、操作上和管理上的种种漏洞构成了系统的安全脆弱性，需要从预防、防护、检测、响应等方面多维度考虑安全防护设计，构建纵深防御体系。
b. 动态防护原则
除考虑静态的安全防护措施外，还要考虑动态、闭环的安全防护部署机制。需要结合工业互联网安全防护的特殊要求，采取静态防护与动态防护措施相结合的方式，及时发现并加以有效处置安全事件。
c. 最小特权
泛在联接是工业互联网的重要特征，它要实现人、机、物的全面联接，在工业互联网平台环境中，最小特权原则尤为重要，可以减少各对象之间潜在的相互影响，从而减少、消除对特权无意的、不必要的或者不适当的使用。
d. 平衡性原则
对任何网络，绝对安全难以达到，所以需要建立合理的实用安全性与用户需求评价与平衡体系。安全体系设计要正确处理需求、风险与代价的关系，做到安全性与可用性相容，做到组织上可执行。
e. 遵从性原则
工业互联网系统是一个庞大的系统工程，其安全体系的设计必须遵循一系列的标准，这样才能确保各个分系统的一致性，使整个系统安全地互联互通、信息共享。
f. 技术与管理并重原则
安全体系是一个复杂的系统工程，涉及人、技术、操作等要素，单靠技术或单靠管理都不可能实现。因此，必须将各种安全技术与运行管理机制、人员思想教育与技术培训、安全规章制度建设相结合。
2.2. 工业互联网平台安全防护体系构建
安全技术架构如下图所示：
安全技术架构
安全基础设施：
工业互联网平台安全基础设施的防护可划分为边缘、网络、平台IaaS、平台PaaS层及平台SaaS层五个层面。
1). 边缘层安全
为了工业互联网场景中各类设备安全可信接入，采用安全网关接入的形式实现数据采集安全和传输安全。
2). 网络安全
通过采用划分隔离、访问控制、机密性与完整性保护、异常监测、入侵防范、安全审计和单向隔离等技术手段实现云平台的网络架构安全、网络传输过程中的机密性和完整性防护，以及通信环境的可信验证。实现对来自云平台内外部的双向网络攻击的检测、告警、阻断和审计。
3). 平台IaaS层安全
IaaS层包括支撑工业互联网平台运行的各类物理及虚拟资源，如服务器、存储、网络、虚拟化等。
通过虚拟化安全、主机安全、虚拟化网络安全和存储安全设计解决因资源虚拟化、多租户服务引发的信息安全问题。
4). 平台PaaS层
PaaS层包括数据分析服务、平台微组件应用开发环境等。通过容器安全、微服务安全和数据安全设计为PaaS服务提供安全防护。
5). 平台SaaS层
SaaS层包括面向各类工业应用场景的应用等，是平台的门户，通过身份认证、数据加密、漏洞检测、WEB防护等技术对SaaS层提供安全防护。
6). 智能安全运营体系
通过安全信息感知系统、安全资源管控系统对安全基础资源的数据采集与管控。通过大数据分析平台进行多维度安全风险关联分析支撑安全运营决策。智能安全运营平台具有资产管理、基线配置、策略控制、态势感知、风险评估、零信任服务和应急响应能力。
2.3. 绿盟工业互联网安全能力体系
绿盟科技基于工业互联网安全建设迫切性分析，总结概括工业互联网的安全能力主要为：
数据接入安全：防止数据泄漏、被侦听或篡改，保障数据在源头和传输过程中安全。
平台安全：确保工业互联网平台的代码安全、业务和应用安全、数据安全、网站安全。
访问安全：通过建立统一的访问机制，限制用户的访问权限和所能使用的计算资源和网络资源实现对工业互联网平台重要资源的访问控制和管理，防止非法访问。
2.4. 绿盟工业互联网安全体系能力框架实施对象
针对工业互联网安全体系能力的实施对象，进行如下划分：
安全基础设施：面向工业设备、控制、网络、数据和应用五个对象在平台侧提供安全防护能力，并为安全运营提供技术支撑。
安全运营：可信管理模块对接入访问进行风险汇聚、信任评估、联动响应和分析决策，为企业提供可信接入能力，动态避免对资源的非授权访问。而态势感知、资产管理、事件管理、威胁管理、脆弱性管理、安全评估、重要保障、应急响应和安全值守模块则基于安全运营平台为安全预警、安全监测、安全响应处置提供支撑。如有政府/行业监管要求，安全运营平台可与监管平台对接。
安全管理：在网络安全防护领域有“三分技术、七分管理”的传统。有效的安全防护体系架构必须将管理与技术相结合。企业需要注重安全能力培养，包括安全靶场建设、定期攻防演练、安全测试、开发安全、人员培训和设备安全准入机制的不断完善。企业在制度、机构、人员、建设与运维管理方面需要不断持续改进，做到目标明确、责权清晰，保障企业业务的健康发展。
3.工业互联网安全防护之路“任重道远”
工业互联网是互联网和新型工业制造业全方位的深度融合所形成的新型产业和应用生态体系。工业互联网的建设需要有较为成熟的工控业务背景，能够从业务场景的角度切入，从而对工业互联网进行全方位的安全规划。由于安全企业对工控业务的理解不足，现今更多的工控厂商或者工业制造厂商与安全厂商深度合作，建设安全实验室、学校等来进行安全人才的培养。
在工业信息安全保障方面，制定工业数据安全规范，研制工业互联网大数据分级分类、工业APP管理、工业互联网建设评价等关键标准，围绕平台数据收集、存储、传输、共享等各个环节，明确差异化安全机制和策略。
建设工业互联网大数据中心，建立中央、地方、行业企业多层次数据管理机制，打破数据孤岛和基础设施捆绑。
强化平台安全监测预警能力，搭建国家、地方、企业多级协同联动的态势感知网络，实现对重要和关键平台接入设备、控制系统、运行数据的风险实时监测，感知边缘层、IaaS层、PaaS层和SaaS层等的安全状态，切实提升工业互联网安全防护水平。
