破解“阿喀琉斯之踵”融合成工聯(lián)網(wǎng)安全應(yīng)對(duì)之道

王改靜

近日，某知名晶圓體廠商披露了數(shù)月前勒索病毒入侵造成的損失金額高達(dá)25.96億新臺(tái)幣，約合人民幣5.84億元！由于遭遇勒索病毒入侵，該公司生產(chǎn)線被迫停產(chǎn)，類似的工業(yè)企業(yè)安全事件已經(jīng)不再是個(gè)案。

隨著工業(yè)互聯(lián)網(wǎng)的建設(shè)，安全問(wèn)題日益成為焦點(diǎn)。

日前，在2018合肥網(wǎng)絡(luò)安全大會(huì)的工業(yè)互聯(lián)網(wǎng)安全論壇上，來(lái)自國(guó)內(nèi)研究機(jī)構(gòu)、制造業(yè)企業(yè)、工業(yè)互聯(lián)網(wǎng)安全企業(yè)等領(lǐng)域的專家，在現(xiàn)場(chǎng)探討了工業(yè)互聯(lián)網(wǎng)安全現(xiàn)狀、安全需求、解決方案和安全實(shí)踐，對(duì)工業(yè)互聯(lián)網(wǎng)安全發(fā)展趨勢(shì)進(jìn)行預(yù)測(cè)和展望。

針對(duì)新形勢(shì)下的網(wǎng)絡(luò)安全行業(yè)發(fā)展趨勢(shì)與挑戰(zhàn)，新華三在業(yè)界率先提出主動(dòng)安全理念，整合包括前沿科技研發(fā)力量、人才培養(yǎng)、網(wǎng)絡(luò)安全重大基礎(chǔ)設(shè)施、產(chǎn)業(yè)基金、生態(tài)合作伙伴等在內(nèi)的多方力量，通過(guò)打造產(chǎn)業(yè)集群進(jìn)行“升維”創(chuàng)新，為中國(guó)的數(shù)字化轉(zhuǎn)型保駕護(hù)航。

互聯(lián)網(wǎng)攻擊瞄準(zhǔn)工業(yè)網(wǎng)絡(luò)

在當(dāng)前我國(guó)正在推動(dòng)產(chǎn)業(yè)升級(jí)，大力發(fā)展工業(yè)互聯(lián)網(wǎng)之際，工業(yè)互聯(lián)網(wǎng)安全問(wèn)題愈發(fā)突出。據(jù)專家介紹，在制造業(yè)、能源、交通等領(lǐng)域高危漏洞達(dá)到59%，尤其是國(guó)產(chǎn)率不高的工控設(shè)備會(huì)留下更多安全隱患，面臨更多安全威脅。

安全專家透露，當(dāng)前工控的安全事件不斷發(fā)生，主要集中在能源行業(yè)。影響最大的就是所謂的勒索病毒，僅僅北京圣博潤(rùn)公司就接到過(guò)十幾件關(guān)于工業(yè)企業(yè)的勒索病毒事件，包括化工廠、汽車制造廠、鋼鐵冶金廠，對(duì)企業(yè)造成了非常大的影響。專家看到，隨著工業(yè)互聯(lián)網(wǎng)平臺(tái)的出現(xiàn)，工業(yè)網(wǎng)絡(luò)越來(lái)越互聯(lián)互通，導(dǎo)致來(lái)自互聯(lián)網(wǎng)一些新的攻擊手段瞄準(zhǔn)工業(yè)企業(yè)、瞄準(zhǔn)工業(yè)網(wǎng)絡(luò)。

對(duì)于工業(yè)控制以及工業(yè)互聯(lián)網(wǎng)領(lǐng)域的安全問(wèn)題，國(guó)內(nèi)主管機(jī)構(gòu)與安全廠商已進(jìn)行了有益的探索。工業(yè)和信息化部副部長(zhǎng)陳肇雄曾表示，在工業(yè)互聯(lián)網(wǎng)安全保障方面，要重點(diǎn)加強(qiáng)工業(yè)互聯(lián)網(wǎng)安全技術(shù)手段建設(shè)，形成國(guó)家、行業(yè)、企業(yè)協(xié)調(diào)聯(lián)動(dòng)的工業(yè)互聯(lián)網(wǎng)安全工作格局，建設(shè)覆蓋產(chǎn)業(yè)全生命周期的安全保障體系。

跨界的挑戰(zhàn)

與傳統(tǒng)網(wǎng)絡(luò)安全不同，工業(yè)互聯(lián)網(wǎng)安全是個(gè)跨界領(lǐng)域：一方面工業(yè)控制安全對(duì)于傳統(tǒng)網(wǎng)絡(luò)公司有一定的門檻，存在“跨界”問(wèn)題。

另一方面，每一個(gè)工業(yè)領(lǐng)域都千差萬(wàn)別，很難適用同一個(gè)安全產(chǎn)品；或者很難去套用傳統(tǒng)IT安全去解決工業(yè)互聯(lián)網(wǎng)安全問(wèn)題。

中國(guó)科學(xué)院信息工程研究所主任黃偉慶談了兩方面的風(fēng)險(xiǎn)，一是高安全等級(jí)網(wǎng)絡(luò)與數(shù)控網(wǎng)絡(luò)互聯(lián)擴(kuò)大了安全防護(hù)邊界；二是互聯(lián)互通可能帶來(lái)的風(fēng)險(xiǎn)和隱患。

在業(yè)務(wù)層面，工業(yè)互聯(lián)網(wǎng)強(qiáng)調(diào)業(yè)務(wù)協(xié)同、設(shè)計(jì)協(xié)同、供應(yīng)鏈的協(xié)同，需要做好安全防護(hù)和隔離，滿足百萬(wàn)級(jí)客戶上云的需要。

在網(wǎng)絡(luò)層面正由封閉網(wǎng)絡(luò)向IT互聯(lián)網(wǎng)融合、OT互聯(lián)網(wǎng)融合、產(chǎn)品服務(wù)與互聯(lián)網(wǎng)融合轉(zhuǎn)變。整個(gè)工業(yè)互聯(lián)網(wǎng)的安全防護(hù)面臨從靜態(tài)安全防護(hù)變成動(dòng)態(tài)安全防護(hù)的轉(zhuǎn)變。

黃偉慶表示，傳統(tǒng)工業(yè)控制網(wǎng)絡(luò)內(nèi)部存在防護(hù)能力不足的問(wèn)題，比如缺乏流量審計(jì)、日志審計(jì)工具，大量主機(jī)之前沒(méi)有安裝防病毒的措施。

同時(shí)，一些老舊工業(yè)系統(tǒng)本身存在很多漏洞，大量國(guó)外設(shè)備通過(guò)遠(yuǎn)程方式進(jìn)行運(yùn)維故障診斷，直接造成網(wǎng)絡(luò)開(kāi)放、連通。

要解決工業(yè)互聯(lián)網(wǎng)安全需要將傳統(tǒng)的安全技術(shù)以及工業(yè)互聯(lián)網(wǎng)平臺(tái)云安全的技術(shù)、工控技術(shù)結(jié)合起來(lái)。工業(yè)互聯(lián)網(wǎng)安全一定要建在云管端相結(jié)合的多維度立體化的安全之上。

工業(yè)互聯(lián)網(wǎng)安全提供商廣州安加互聯(lián)總經(jīng)理彭卓則表示，面對(duì)復(fù)雜的工業(yè)互聯(lián)網(wǎng)安全，希望更多跟專業(yè)安全廠商深入合作，從而可以把IT安全產(chǎn)品和解決方案，以及理念和框架融合到工業(yè)領(lǐng)域。

安加互聯(lián)也提出了構(gòu)建多層次、端對(duì)端安全防御體系，涵蓋云、管、端、網(wǎng)聯(lián)設(shè)備等四個(gè)層面的生命周期。

加強(qiáng)工業(yè)網(wǎng)互聯(lián)網(wǎng)安全的三個(gè)舉措

中國(guó)信息通信研究院安全研究所主任田慧蓉在演講中介紹加強(qiáng)工業(yè)網(wǎng)互聯(lián)網(wǎng)安全研究的三個(gè)舉措。

第一個(gè)方面是抓頂層，健全安全管理制度框架，提升互聯(lián)網(wǎng)安全防護(hù)能力。

具體包括工業(yè)互聯(lián)網(wǎng)安全整體管理制度，相應(yīng)的行業(yè)技術(shù)研發(fā)成果的轉(zhuǎn)化，相關(guān)安全產(chǎn)業(yè)在這個(gè)行業(yè)應(yīng)用和推廣，以及工業(yè)互聯(lián)網(wǎng)安全評(píng)估認(rèn)證體系的構(gòu)建，從整體提升防護(hù)能力管理。

第二個(gè)方面是建立工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)安全保護(hù)體系，主要是建立工業(yè)互聯(lián)網(wǎng)全產(chǎn)業(yè)鏈數(shù)據(jù)安全管理體系，涉及到各個(gè)環(huán)節(jié)，各個(gè)角色，包括數(shù)據(jù)處理各個(gè)環(huán)節(jié)，收集、存儲(chǔ)等。

第三個(gè)方面是推動(dòng)工業(yè)互聯(lián)網(wǎng)安全技術(shù)手段建設(shè)，企業(yè)層面就是督促工業(yè)互聯(lián)網(wǎng)落實(shí)網(wǎng)絡(luò)安全主體責(zé)任，包括安全防護(hù)、監(jiān)測(cè)體制相關(guān)手段，工業(yè)互聯(lián)網(wǎng)安全試點(diǎn)示范等服務(wù)。

工業(yè)互聯(lián)網(wǎng)安全關(guān)系到國(guó)家關(guān)鍵基礎(chǔ)設(shè)施安全、環(huán)境保護(hù)、經(jīng)濟(jì)建設(shè)等多個(gè)方面，是國(guó)家網(wǎng)絡(luò)安全和現(xiàn)代工業(yè)發(fā)展的重要組成部分。也是企業(yè)智能化轉(zhuǎn)型的重要保障，需要融合包括工業(yè)設(shè)備廠商、網(wǎng)絡(luò)安全廠商、工業(yè)互聯(lián)網(wǎng)安全廠商等上下游的機(jī)構(gòu)，構(gòu)筑全面的防護(hù)體系，才能有效保護(hù)工業(yè)互聯(lián)網(wǎng)安全。