智能工廠網絡安全體系研究

錢 泉，耿貴寧，蘇 禹，崔 翀

(1.中國電子信息產業集團有限公司，北京 100846；2.中國信息安全研究院有限公司，北京 102209)

?

智能工廠網絡安全體系研究

錢 泉1，耿貴寧2，蘇 禹2，崔 翀2

(1.中國電子信息產業集團有限公司，北京 100846；2.中國信息安全研究院有限公司，北京 102209)

網絡安全是智能工廠系統順暢運行的基礎，文章圍繞智能工廠安全體系建設，立足于我國智能工廠面臨的安全問題，提出從整體安全、內部安全和接口安全三方面構建智能工廠安全體系，為企業調整智能制造網絡安全戰略和管理機構，保障我國關鍵基礎設施安全提供了參考。

智能工廠；網絡安全；體系架構

0 引言

隨著新一代信息技術與先進制造業的深度融合，以及新技術的不斷涌現，智能制造正成為未來制造業發展的主要趨勢。智能工廠在智能制造體系框架中起著承上啟下的作用。推進以智能制造為核心的智能工廠建設，既是全球制造業發展的必然趨勢，也是實現“中國制造2025”發展目標的主攻方向，是中國邁進世界強國大門的關鍵環節。網絡安全是智能工廠系統順暢運行的基礎，本文圍繞智能工廠安全體系建設，立足于我國智能工廠面臨的安全問題[1-3]，提出從整體安全、內部安全和接口安全三方面構建智能工廠安全體系。研究成果為管理機構和企業調整智能制造安全戰略、促進產業發展、保障我國關鍵基礎設施安全提供了參考。

1 我國智能工廠面臨的主要安全問題

我國智能工廠從總體上來看，安全防護建設明顯滯后于系統建設，安全防護能力較弱，缺乏自身安全性設計。在網絡安全法規、標準、新技術應用等方面都存在不少問題。

1.1 智能工廠整體安全問題

適用于智能工廠的網絡安全法規滯后，對于大規模數據跨境流動等問題，現有法律法規、標準規范依據欠缺。

智能工廠網絡安全標準體系不完善。目前，國際制造業巨頭正各自牽頭所屬國家的企業制訂智能制造的相關標準，并力推上升為國際標準。而我國至今還沒有一家這樣的企業可以在國際上參與競爭。

新技術、新應用給智能工廠帶來重大安全挑戰。云計算、大數據、物聯網等多領域技術與工業互聯網加速疊加和跨界融合，將大大超出傳統意義上的網絡安全防御范圍，帶來重大挑戰。

1.2 智能工廠內部安全問題

核心軟硬件產品主要依賴進口。我國智能制造專用核心產品和通用核心產品嚴重依賴進口，對外依存度仍然偏高，短期內局面難以扭轉。

產品和系統缺乏安全設計。大多數智能制造產品在開發時，由于計算資源有限，并未將安全作為一個主要的指標考慮。

操作系統安全漏洞。為保證過程控制系統的相對獨立性，現場工程師通常在系統啟動后不會對Windows平臺打任何補丁，而且打過補丁的操作系統沒有經過制造商測試，存在安全運行風險。

1.3 智能工廠接口安全問題

高級可持續威脅(APT)攻擊。APT入侵客戶的途徑多種多樣，主要包括以智能手機、平板電腦和USB等移動設備為攻擊對象，通過對某些特定員工發送釣魚郵件，以及在系統和產品中預置后門等。

工業互聯網組網安全隱患突出。我國能源工業等智能制造，采用專用無線電通信信道或借用公用無線通信網絡進行組網。在沒有嚴格保密機制的情況下，將使我國關鍵基礎設施處于敵對分子的監控之下。

2 智能工廠安全體系架構

在智能工廠自動化與信息化高度融合的情況下，原有的安全保障措施已經遠遠不能滿足智能工廠對網絡安全的需求，必須從智能工廠的網絡安全體系架構入手[4-6]，構建智能工廠的安全防御體系。智能工廠安全體系架構如圖1所示。

圖1 智能工廠安全體系架構

2.1 智能工廠整體安全

2.1.1 智能工廠安全體系建設規劃

工廠安全。工廠安全是指防止未經授權人員通過各種手段獲取訪問關鍵信息組件的權限，通過隔離未經授權的人員訪問和破壞，防止智能工廠中可能存在的惡意入侵和其他工業間諜活動。

網絡安全。網絡安全是指通過安全單元防護及網絡邊界劃分等技術，保護智能工廠各系統內部和系統之間的通信安全。對于規避智能工廠生產管理中不可預測的風險來說，網絡安全的作用至關重要。

系統完整性。系統完整性是指智能工廠網絡安全系統在面對干擾和破壞時，能夠有效地抵御內部和外部攻擊，在保護自動化系統和控制系統安全的同時，保持自身防御功能完整而不被破壞的能力。

2.1.2 智能工廠安全體系實施策略

物理安全策略。為不可移動的網絡安全設備加裝物理保護；保證可移動的網絡安全設備的物理安全受控；對網絡安全設備環境進行監控。

運行管理策略。識別網絡安全系統內部每項工作的網絡安全職責；網絡安全設備及存儲介質應當具有身份標識。

病毒防護策略。控制病毒入侵途徑；安裝可靠的防病毒軟件；對系統進行實時檢測和過濾；定期殺毒并及時更新病毒庫。

安全審計策略。網絡安全審計應當至少每三個月進行一次，并形成文檔化的網絡安全審計報告。在系統建設前或系統進行重大變更之前，必須進行風險評估工作。

2.1.3 智能工廠安全標準

國家安全政策。包括國務院《關于大力推進信息化發展和切實保障網絡安全的若干意見》等。國家發展和改革委員會等部門也開始從政策和科研層面上積極部署智能工廠網絡安全系統的安全保障工作，研究和制定相關規范及要求。

產業安全標準。國內信息系統安全標準在建設推進過程中，先后引進了國際上著名的ISO/IEC27001：2005《網絡安全管理體系要求》等網絡安全管理標準，同時配合網絡安全等級保護的實施和推進，制定發布了GB17859-1999《計算機信息系統安全保護等級劃分準則》等。

2.2 智能工廠內部安全

2.2.1 自動化系統(Automation)

基礎控制組件安全。在自動化系統實施的全過程中必須全面考慮系統網絡安全的要求，優先選擇集成有安全控制功能的控制設備和控制系統。

數據共享交換安全。建立生產系統的整體業務模型和信息服務總線，利用統一安全可信的數據交換機制，在不同的工序和車間共享基礎生產數據，為上層應用的數據集成和流程整合提供安全基礎。

2.2.2 制造運營管理系統(MES/MOM)

生產管理數據審查。實時監控、核驗數據庫操作并向網絡安全系統提供審計跟蹤。審計跟蹤在監控到生產管理數據變動不合適或者存在未授權變動的情況下，需要向網絡安全系統發出警告并阻止敏感數據泄露。

生產管理入侵檢測。部署入侵檢測系統以控制病毒流轉和網絡異常通信，便于網絡安全系統管理人員及時發現安全問題采取相應措施。

2.2.3 企業資源計劃(ERP)

用戶權限控制。對企業資源計劃系統各個模塊中的數據信息和操作功能進行分級授權管理，確保不同等級用戶只能訪問自己所屬等級的信息和功能，同時，還需要對系統中涉及等級安全的行為進行監控和分析，實現數據風險威脅的預判和攔截。

系統訪問控制。利用動態建模技術確認用戶訪問數據的正常模式，建立所有用戶活動的基線，檢測異常模式下用戶提出的訪問請求，查找用戶工作模式和預定訪問規則的沖突情況，組織自動化的訪問審核流程，當用戶違背訪問政策時，警告或攔截用戶。

2.2.4 物流系統(Logistic)

物流網絡規劃安全。物流系統在網絡規劃上必須按照物流系統實際業務需要，明確網絡的設計需求，利用網絡分段隔離技術，將物流系統和工廠內部網絡分割開來。

物流過程監控安全。運用通信技術、傳感技術、自動控制技術等先進技術手段，對物流過程中的重要環節和場所進行監視控制。

2.2.5 產品生命周期管理(PLM)

建立分級涉密數據審批管理機制。在產品生命周期管理系統內建立對涉密數據訪問的分級動態審批機制，在產品設計的流程節點中動態賦予參與者權限，流程參與者根據所參與活動類型的不同具有相對應的流程對象操作權限。

建立系統設計文件加密控制機制。為了防止非法訪問，系統文件讀寫控制權交由超級管理用戶控制，普通權限用戶無法找到所需的文件。產品生命周期管理系統在收到設計文件后，會生成產品生命周期管理系統自身才可以解釋的文件對應關系并負責其讀寫控制。

2.3 智能工廠接口安全

2.3.1 智能工廠數據接口劃分

按照智能工廠的數據傳輸邏輯，在生產管理系統5個層級中產生了4種不同類型的數據接口，分別是控制層的過程控制網絡與操作層的生產操作網絡之間的過程控制接口，操作層的生產操作網絡與管理層的計劃管理網絡之間的生產管理接口，管理層的計劃管理網絡與企業層的企業局域網之間的內聯數據接口，以及企業層的企業局域網與外部訪問請求對應的互聯網之間的外聯數據接口。

2.3.2 數據接口安全控制要素

各個接口的安全控制要素存在差異：過程控制接口需要實現工業協議與工控指令的白名單控制；生產管理接口需要實現生產網絡與應用網絡之間的安全隔離防護；內聯數據接口需要實現工廠不同業務系統之間的安全隔離防護、阻止不同業務人員的跨系統安全操作；外聯數據接口需要實現工廠內部系統與互聯網的安全隔離防護。

3 構建智能工廠安全體系相關建議

構建智能工廠安全體系，可從智能工廠整體安全、內部安全和接口安全三方面進行考慮。一是建立智能工廠整體安全體系；二是構建智能工廠內部安全體系；三是搭建智能工廠接口安全體系。

3.1 智能工廠整體安全體系

在頂層設計方面加強智能工廠安全總體規劃。在開展智能工廠安全頂層設計時，第一應從智能工廠全局的角度出發量身制定安全規劃藍圖；第二，與企業生產緊密結合，提出適用性強的智能工廠建設模型；第三，加強示范推進的設計，選取有條件的車間或配套生產企業，制定試點計劃；第四，在有條件的企業，設置專門的智能工廠安全規劃師，全程跟蹤安全規劃的制定、運維和實施。

在智能工廠安全策略方面，技術策略與建設管理策略需兩手抓。一方面，在技術策略上，需要在物理安全、運行安全、數據安全、內容安全、信息對抗等5個層面上采取自主可控的技術產品。另一方面，在建設管理策略上，一般需要有系統化策略、全面保護策略等，而在智能工廠安全的建設管理中，尤其要關注3個策略：規避風險策略、保護投資策略和分步實施策略。

3.2 智能工廠內部安全體系

在內在安全方面，構成智能工廠的重點技術和產品裝備都應實現自主可控。重點技術包括：工業傳感器核心技術、人工智能技術、增強現實技術。重點產品和裝備包括：智能制造基礎通信設備、智能制造控制系統、新型工業傳感器、制造物聯設備、儀器儀表和檢測設備。

在外在安全防護方面，加強對智能功能工廠系統和網絡的綜合防護，同時加強對咨詢服務的可控管理。一方面，強化體系化防護，著力發展工業控制系統防火墻/網閘、容災備份系統、入侵檢測設備等，提高智能工廠系統和網絡安全的防護能力。另一方面，強化對服務的安全可控管理，對于智能工廠咨詢、智能工廠測評、智能工廠培訓等在內的一系列服務保障，實行嚴格的管理和審查。

3.3 智能工廠接口安全體系

強化智能工廠標準化建設。從實際需求來看，智能工廠安全的核心標準體系建設，主要應包括以下標準、規范和協議：制造信息互聯互通的技術標準、智能裝備技術標準、數字化車間/工廠技術標準和規范等，以及制造信息互聯互通的接口技術規范，設備與設備之間、設備與系統之間協議互操作整體框架、協議互操作服務接口定義；異構協議設備的互聯互通與協同框架等。

對智能工廠的生產網絡進行安全區塊劃分。根據安全需要，將智能工廠的生產網絡分隔為多個網段，每一個網段各自具有安全措施防御外部攻擊。對安全區塊的數據輸入輸出進行監控并檢查訪問權限是否正確，只允許獲得授權的數據訪問。同時，安全區塊不會影響正常的數據交換，而且也只有在兩個安全的區塊之間才能進行數據通信。為了防止安全區塊中的數據被竊取或篡改，安全區塊機制中也要對數據通信進行加密，并在不同的安全區塊間建立虛擬專用網(VPN)隧道。

4 結束語

智能工廠在智能制造體系框架中起著承上啟下的作用，網絡安全是智能工廠系統順暢運行的重要保障。本文提出我國智能工廠面臨三類安全威脅，有針對性地提出了智能工廠安全體系架構，架構兼顧智能工廠的整體安全、內部安全和接口安全，并給出了構建智能工廠安全體系的相關建議。

[1] 彭勇,江常青,謝豐.工業控制系統信息安全研究進展[J]. 清華大學學報(自然科學版),2012(10): 1396-1408.

[2] 夏春明,劉濤,王華忠,等. 工業控制系統信息安全現狀及發展趨勢[J].信息安全與技術, 2013, 4 (2) :13-18.

[3] KROTOFIL M, GOLLMANN D. Industrial control systems security: What is happening?[C].IEEE International Conference on Industrial Informatics, 2013, 8255: 664-669.

[4] 楊光,耿貴寧,都婧,等. 物聯網安全威脅與措施[J].清華大學學報(自然科學版),2011 (10) :1335-1340.

[5] 張向宏,耿貴寧.基于可信計算的工業控制安全體系架構研究[J].保密科學技術,2014(8):4-13.

[6] 周翀,張胤.智能車間設備層網絡信息安全防護體系研究[J].工業控制計算機,2016,29(6):61-62.

Research on network security system of smart plant

Qian Quan1, Geng Guining2, Su Yu2, Cui Chong2

(1. China Electronics Corporation Co. Ltd., Beijing 100846, China;2. China Information Security Research Institute Co. Ltd., Beijing 102209, China)

Information security is the basis of the smooth operation of smart plant. The article focuses on the network security system of smart plant, based on the network security problems of China’s smart plant, and proposes to build the intelligent factory network security system from the aspects of overall security, internal security and interface security. Which provides a reference for enterprises to adjust the smart plant network security strategy, and provides a reference for the management to guarantee the security of the key infrastructure in China.

smart plant; network security; architecture

TP393

A

10.19358/j.issn.1674- 7720.2017.13.001

錢泉，耿貴寧，蘇禹，等.智能工廠網絡安全體系研究[J].微型機與應用，2017,36(13)：1-3,6.

2017-05-01)

錢泉(1982-)，男，碩士，工程師，主要研究方向：網絡安全、智能制造。

耿貴寧(1981-)，男，博士，高級工程師，主要研究方向：網絡安全、智能制造。

蘇禹(1985-)，男，本科，工程師，主要研究方向：網絡安全。