工業互聯網供應鏈安全風險研究

張曉菲 盧春景 于盟

摘? ?要：隨著工業互聯網的發展，現實世界和網絡世界深度聯通，網絡攻擊穿透虛擬空間，直接影響到工業運行安全的可能性逐步提升，供應鏈安全作為保障工業互聯網安全的重要部分應得到進一步重視。針對工業互聯網供應鏈安全風險，文章從產品的開發、交付、使用等方面，分析了供應鏈環節潛在安全風險，并對供應鏈存在的問題進行分析，參照網絡安全審查相關規定，提出了針對性的防護建議。

關鍵詞：工業互聯網;供應鏈;安全防護;網絡安全審查

中圖分類號： TP399? ? ? ? ? 文獻標識碼：A

Abstract： With the development of the industrial internet， the real world and the network world are deeply connected， The possibility of cyberspace attacking that can penetrate the virtual space and affect the security of industrial operation is gradually increasing，the security of the industrial internet supply chain as an important part of the security of the industrial internet deserves more attention. In view of the security risks of industrial internet supply chain， this paper analyzes the potential security risks of industrial internet products in the supply chain from the aspects of product development， delivery and use， analyzes the problems existing in the supply chain， and puts forward targeted protection suggestions referring to the relevant provisions of cyber security review.

Key words： industrial internet;supply chain;protection suggestions;cyber security review

1 引言

2012年，自通用電氣首次提出“工業互聯網”概念以來，工業互聯網在全球范圍高速發展。2015年，國務院發布《關于積極推進“互聯網+”行動的指導意見》，推動互聯網與制造業融合，國內工業互聯網發展進入高速車道。工業互聯網作為傳統網絡平臺和工業控制系統的融合，把工業現場設備、生產線、工廠、供應商、產品和客戶緊密地連接起來，其組成包括了服務器、操作系統、數據庫、虛擬設備、PLC、DCS系統、MES系統、SIS系統、SCADA系統等。

工業互聯網作為新基建的重要組成部分，其供應鏈安全將直接影響著工業互聯網的安全。工業互聯網的供應鏈是指工業互聯網相關的軟硬件產品，或工業互聯網平臺生產及流通過程中，相關的設備開發商、元器件提供商、生產商、分銷商以及最終用戶等，通過與上游、下游連接組成的鏈路結構。如果工業互聯網平臺的軟硬件的研發、供應、交付等供應鏈環節，缺乏科學的安全管理手段，存在先天安全隱患甚至被惡意攻擊，將使得工業互聯網平臺軟硬件設備存在安全隱患，間接影響著工業互聯網平臺的正常運轉，為此工業互聯網平臺供應鏈安全亟需重點關注。

2 工業互聯網供應鏈安全風險

工業互聯網供應鏈安全是指工業互聯網產品在開發、交付、驗收、使用、維護整個生命周期內的安全[1]，任何一個環節出現安全風險，都可能會給最終構建的工業互聯網安全穩定運行帶來影響。其中，工業互聯網平臺側的網絡設備、虛擬設備、操作系統、數據庫、工業互聯網APP等信息技術軟硬件更新迭代速度較快，工業側的PLC、DCS系統、SCADA系統等工業控制系統軟硬件更新迭代速度較慢，需要在網絡安全管理過程中區別處理和對待，且需要更全面的知識儲備開展安全保障工作，以增加了工業互聯網安全防護難度。因此，需要從各個環節對工業互聯網供應鏈安全保障進行深入剖析[2]，找出癥結，提出對策。

2.1 開發環節安全風險

開發環節是供應鏈最上游環節，如果在這個環節引入安全隱患、受到網絡攻擊或者被病毒感染，產品在后續交付或使用環節中必然受到影響，造成產品所在系統信息泄露或者系統被遠程控制等安全風險。

開發環節安全風險是由于開發工具、開發人員、開發環境受到攻擊或者不規范操作導致的，官方第三方支持庫下載渠道被篡改、開發工具不安全、開發人員安全意識淡薄、代碼不規范、代碼共享、開發環境隱藏病毒等都是影響開發環節產品安全的因素。例如，Xcode工具，它是蘋果公司發布的一款iOS和OSX應用程序開發工具（IDE），適用于Mac OSX操作系統。2015年9月14日，非官方途徑獲取的Xcode工具被攻擊者植入惡意代碼（Xcode Ghost），導致部分應用開發者使用被感染病毒的Xcode工作，編譯出的APP應用程序均被植入惡意代碼，因此造成至少692種APP被感染，過億用戶受到影響，包括微信、滴滴、網易云音樂等應用[3]。在工業互聯網應用場景中，一旦應用于現場控制場景的工業互聯網APP的開發環節遭受攻擊或被植入惡意代碼，將間接威脅工業企業的現場生產，甚至導致現場設備宕機，造成生產事故。

2.2 交付環節安全風險

產品交付位于供應鏈中游環節，產品或系統來源一旦被篡改或從非官方獲取，將會導致獲取的產品安全不可信，使產品感染病毒或不可用。

交付環節問題是由于產品獲取來源被篡改（即官方域名被劫持或者官方網站存在安全風險導致產品被替換），或者被截獲后進行二次編譯植入病毒后通過非官方發布，在產品使用過程中感染整個系統導致敏感信息丟失。例如，2015年2月卡巴斯基安全實驗室披露的方程式，組織使用一套用于植入惡意代碼的超級信息武器庫，能夠對特定目標或行業在采購、返修主機或硬盤的過程中對硬盤固件進行修改，進而將惡意代碼植入硬盤固件中實施攻擊。這個超級信息武器庫包含兩個惡意模塊，是第一個已知能夠感染硬盤固件的惡意代碼，能夠對數十種常見品牌的硬盤固件進行重新編程。一旦工業互聯網平臺中服務器的硬盤固件被攻擊者改寫，整個工業互聯網平臺將會受到影響，攻擊者甚至可以獲取整個互聯網平臺的任意權限[4]。

2.3 使用環節安全風險

產品使用位于供應鏈下游環節，該環節存在安全風險因素較多，如在更新、修復、使用、維護等情況下，均存在不安全因素，導致產品易遭受攻擊或破壞。

使用環節由于產品使用環境的不安全性，導致產品在安裝、升級等操作過程中易被攻擊者篡改，導致產品感染病毒或木馬。例如，2020年4月境外APT組織Darkhotel（APT-C-06）利用國內某知名廠商SSL VPN服務器漏洞或弱口令實現入侵劫持，修改并控制服務器配置下發偽造升級程序SangforUPD.exe（已感染木馬），進而獲取受害主機控制權，收集重要科研、政策情報，或盜取、破壞重要數據資產和基礎設施。目前，工業互聯網平臺工廠側的PLC、DCS、SCADA系統等自身安全防護能力較低，一旦用于訪問工廠側的VPN等安全設備在更新時被植入惡意代碼，攻擊者可以繞過工業互聯網平臺直接進入工廠的控制系統，對工業控制系統發起攻擊，嚴重影響工業控制系統的正常運行。

3 工業互聯網供應鏈安全分析

工業互聯網相關的設備及系統構成日益復雜，從不同國家或廠商處獲取一臺設備或系統不同的配件，由不同地方的人員共同設計完成一套復雜的生產系統，因此供應鏈安全已成為保障工業互聯網持續穩定運轉不可或缺的一部分，任何環節被篡改都會影響工業互聯網的正常運轉，極大地增加了工業互聯網的安全防護系數[5]。

3.1 供應鏈安全保障體系尚不健全

供應鏈存在開發、交付、使用等多個環節。目前，在各個環節有相應的制度規范，但缺少供應鏈各個環節銜接部分的管理要求，無法對各個環節中產品供應商、企業使用者、產品維護者的交互進行規范約束，導致供應鏈安全風險增加。在工業企業評估中發現，大部分企業在產品或系統的采購中，還沒有意識到網絡安全的問題，采購協議中未明確產品供應商的網絡安全責任和義務，僅部分企業在維保期內定義了產品服務商的安全責任和義務。同時，部分企業缺少管理制度對產品供應鏈環節安全進行規范，導致在產品采購、使用、運維過程無法保障企業的權益，一旦因產品存在后門或已被植入病毒導致安全事件，所造成的損失就只能由企業自行承擔。例如，目前工業互聯網企業生產現場控制設備PLC等大多為國外設備，在運維過程中受制于國外廠商，設備產生的安全風險均由企業自身承擔，極大地增加了企業的負擔。供應鏈各個環節是由不同供應商、產品使用企業、外包提供商、外包服務商等各種角色人員參與進行的，無法有效地對不同角色人員的交互進行約束，導致因人員交互、產品交互等產生網絡安全隱患[6]。

3.2 產品入市缺乏安全檢測

據調查，國內工業互聯網企業的生產系統如PLC、DCS、SCADA等國產設備占有率較低，國外知名品牌在大型、關鍵項目中的優勢明顯。在用高端數控機床設備中，80%以上的數控系統中的核心技術和關鍵零部件依賴國外進口，對國外硬件產品存在依賴。國內外廠商對產品安全要求尚未達成一致共識，相關標準尚在推動制定過程中。這樣，導致目前國內工業互聯網現場控制設備未經過安全檢測就上線運行，導致大多數控制設備或系統“帶病上崗”，嚴重影響到工業互聯網的穩定運轉。研究發現，許多工業控制設備存在安全隱患，其中較多設備存在高危漏洞，一旦成為被攻擊目標，將會導致企業停工停產、停水停電、經濟損失巨大等嚴重后果。

3.3 產品后期維護風險較高

近年來，工業控制系統產品被曝存在后門、漏洞的情況頻繁出現。雖然工業設備供應商聲稱這些僅是設計缺陷，但對于國內關鍵設備或重要生產系統而言，這些“設計缺陷”將會使企業在不知情的情況下成為網絡攻擊的目標，成為惡意攻擊者對工業互聯網和關鍵基礎設施進行窺探的隱蔽通道。由于國內部分工業互聯網的工業控制系統與企業辦公網絡、內部移動網絡甚至與互聯網直接相連，國外惡意攻擊者或APT組織，能夠輕易地通過獲取的預設產品后門進行網絡入侵。攻擊者甚至可以借助提前植入的惡意模塊，通過無線信號竊取工業控制系統的敏感數據或者操作權限，即便與網絡隔離的工業控制系統也無法確保安全。此外，因為工業控制系統在調試、安裝、系統維護更新過程中，企業高度依賴服務商的能力，在無法進行現場維護時，通常都會按照服務商要求采取遠程維護操作，不能確保服務商對系統的操作過程安全可控，導致工業控制系統處于未知的安全風險中。

4 工業互聯網供應鏈安全對策

2020年6月，《網絡安全審查辦法》正式實施，聚焦于關鍵信息基礎設施供應鏈安全，提出網絡安全審查工作程序，為推動保障供應鏈安全相關工作指明了方向。為了保障工業互聯網平臺產品、系統等從開發、交付等環節的安全，提高工業互聯網供應鏈的安全防護能力，建議從三個方面入手。

4.1 明確工業互聯網供應鏈安全要求和標準

參照《網絡安全審查》相關規定，為工業互聯網平臺的服務器、操作系統、數據庫、應用系統、工業控制設備PLC、DCS等軟硬件設備相關聯的產品開發商、供應商、提供商、服務商、使用單位，明確網絡安全責任和義務，建立規范對工業互聯網產品在開發商、供應商、服務商等不同角色交互行為進行約束，從需求側推動供應側安全水平提升，切實保障工業互聯網產品在從源代碼階段到后期對產品維護階段的安全。例如，對工業互聯網平臺企業，建議建立管理制度，明確要求采購的產品需經權威第三方機構安全檢測，產品服務商在發現產品存在重大安全漏洞時應及時告知使用方，便于使用者及時采用有效措施降低風險。另外，應明確將供應鏈安全管理職責，納入工業互聯網平臺網絡安全防護要求;對可能影響國家安全的重要工業互聯網平臺，應納入網絡安全審查范圍，尤其涉及國家經濟和人民生活的企業核心設備，在采購前應開展安全審查。

4.2 健全工業互聯網安全測評體系

進一步完善工業互聯網安全測評體系，補充工業互聯網供應鏈安全測評要求，加強工業互聯網檢測標準研究，推動一批市場認可度較高的工業控制系統與產品檢測認證，幫助國內外企業研發安全性較高的工業互聯網檢測設備。加強工業互聯網數據安全防護技術研究，避免核心數據或敏感信息外泄;明確工業互聯網供應鏈安全管理要求，針對不同工業互聯網應用場景，提出簡單高效的安全測評方法，定期開展整體安全評估，確保工業互聯網應用安全。

4.3 依據網絡安全審查規定，積極落實企業主體責任

結合《網絡安全審查》相關規定，工業互聯網平臺企業應積極構建多部門協調配合的管理體系，建立網絡安全產品和服務安全的風險預判機制。根據工業互聯網平臺實際情況，細化工業互聯網產品采購、使用等供應鏈流程，對存在網絡安全風險的行為進行約束，定期進行網絡安全評估;掌握工業互聯網平臺安全防護狀況，并對存在的網絡安全風險進行修復。工業互聯網設備提供商和服務商，應加強自身安全開發、安全集成、安全運維能力，將網絡安全作為能力輸出，提升產品研發、集成、運維服務過程中的安全保障能力。

5 結束語

面對日趨復雜的工業互聯網應用，其供應鏈安全風險應納入網絡安全管理體系，相關平臺企業、工業企業、設備商、服務商和安全廠商應積極合作，從工業互聯網產品開發、交付、維護等環節加強網絡安全管理，明確各自的網絡安全責任和義務，加強工業互聯網供應鏈的安全防護。尤其作為工業互聯網平臺企業，應從安全管理和技術核查入手，加強工業互聯網供應鏈管理，采取技術措施提升工業互聯網防護能力，積極做好工業互聯網產品全生命周期的網絡安全防護。

參考文獻

[1] 何昊坤，李璐.ICT供應鏈安全管理風險識別研究[J].網絡空間安全，2019，10（4）：1-6.

[2] 武新沂.揭秘新發現的供應鏈攻擊[J].計算機與網絡， 2018，44（22）：56.

[3] 本刊編輯部.典型的軟件供應鏈攻擊安全事件[J].中國信息安全，2018，107（11）：74-76.

[4] 劉權，王超.加強軟件供應鏈安全保障的對策建議[J].中國信息安全，2018年11期.

[5] Jen A， Miller Charles.大數據撼動供應鏈系統的4種方式[N].計算機世界，2018年.

[6] 王頡，萬振華，王厚奎.從軟件安全開發生命周期實踐的角度保障軟件供應鏈安全[J].網絡空間安全， 2019， 10（6）： 1-6.

作者簡介：

張曉菲（1990-），男，漢族，河南登封人，北京電子科技學院，碩士，國家工業信息安全發展研究中心，助理工程師;主要研究方向和關注領域：工業互聯網安全、工業信息安全。

盧春景（1994-），女，漢族，浙江溫州人，北京郵電大學，碩士，國家工業信息安全發展研究中心，助理工程師;主要研究方向和關注領域：工業互聯網安全、工業信息安全。

于盟（1984-），男，漢族，山東德州人，北京郵電大學，碩士，國家工業信息安全發展研究中心檢查評估所，高級工程師;主要研究方向和關注領域：工業互聯網安全、工業信息安全。