面向離散制造的工控安全管理平臺應用研究

韓永磊，李 剛，邢衛強

（江蘇杰瑞信息科技有限公司，江蘇 連云港 222000）

工控系統正在被廣泛地應用在制造、交通、航空航天等多個重要領域，新一代通信技術的更迭，也給工控系統的安全帶來了一些影響。隨著大數據、云計算和區塊鏈等新興技術與工控系統的融合發展，信息技術驅動工控安全創新，構建工控系統主動安全防御體系已是當下重要發展任務。

近年來，中國工控系統安全標準正逐步完善，相關安全防護技術也穩步發展，該產業也正進入高速發展期，國家層面也推出了多項指導政策。2020年，國家相關主管機構下發了《工業互聯網+安全生產行動計劃》《工業數據分類分級指南（試行）》《網絡安全審查辦法》《貫徹落實網絡安全等級保護制度和關鍵基礎設施安全保護制度的指導意見》《中國網絡安全產業白皮書（2020年）》等，以進一步完善應急管理體系，消除事故隱患。

2020年，新冠疫情的爆發，加快了全球企業的數字化進程，也帶來了工控系統網絡安全的風險。有些典型工控安全攻擊事件可以給策略設計提供參考。例如，烏克蘭能源勘探生產公司APT攻擊、美國天然氣運營商商用勒索事件、本田公司工業型勒索軟件攻擊事件、巴西飛機制造商數據泄露事件等。

目前大部分網絡安全系統主要由防火墻、入侵檢測系統、防病毒系統等組成。這種常規的安全手段只能在網絡層、邊界層設防，以達到防止外部攻擊的目的。由于這些安全手段缺少底層到上層整條鏈路的信任機制，難以應對新時期的安全需求，加之操作系統的不安全，導致應用系統的各種漏洞層出不窮，其防護效果越來越不理想。同時離散型制造企業信息化程度正在穩步提升，工控安全市場需求較大，針對這些安全需求和各類新型攻擊手段，本文提出一種應用防范方法，從硬件安全出發建立信任傳遞機制，從源頭解決計算環境可信賴的問題[1]。

1 現狀分析

隨著中國工業互聯網產業的快速發展，越來越多的工控設備應用在傳統工業生產中。這也帶來一個問題，就是面向工控設備的攻擊方式復雜化，比較常見的為PLC、SCADA、數據聯網采集系等存在安全漏洞，通過國家信息安全漏洞共享平臺數據可知，2016年以來，工控漏洞數量明顯增長，特別是2020年新冠疫情以來，更多企業通過數字化轉型升級來代替人工，導致更多工控系統安全隱患的發生。而對行業分析來說，2020年的相關統計數據表明了西門子、advantech、ABB、WAGO、Moxa等存在較多漏洞，各大企業通過加固PLC、變更密碼、增加密碼復雜度等方式來改善安全防護方式。就行業實際應用來說，常用的工控協議有29種，主要為Modbus、SSL、BACnet等。Modbus是最常用的串行通信方式，在國內外工業電子設備中普及率很高。SSL則是受到近幾年網絡攻擊的典型目標對象而得到重視。BACnet是樓宇自動化領域使用較多的通信方式，該協議也經常因用戶缺乏安全意識而造成工控安全事故。

中國國家互聯網應急中心進一步加強了針對聯網工業設備和工業云平臺的網絡安全威脅發現能力，累計監測中國境內暴露的聯網工業設備數量攻擊6 814個，包括可編程邏輯控制器、數據采集監控服務器、串口服務器等。其中，存在高危漏洞隱患的設備占比約34%，這些設備的廠商、型號、版本、參數等信息長期遭到惡意嗅探，僅在2019年上半年嗅探事件就高達5 151萬起。

在離散制造領域，更多的是基于工業互聯網平臺構建工控安全體系。在國際上，美國發布了《美國國土安全部工業控制系統能力增強法案》《工業物聯網安全框架》《工業互聯網安全成熟度模型》等多個指導性文件，旨在引導工業互聯網安全發展。歐洲對制造場景關注更加密切，也相繼出臺了《工業4.0網絡安全：挑戰和建議》《跨企業安全通信》《增強歐盟未來工業的戰略價值鏈》等指導性文件，指出網絡安全的重要性。中國也陸續發布了《工業互聯網平臺評價方法》《加強工業互聯網安全工作的指導意見》《關于推動工業互聯網加快發展的通知》等指導文件，用以健全保障安全體系，加快工控安全產品創新應用，提升離散制造行業工控安全技術水平。

2 存在問題及需求分析

離散型制造工控網絡存在一些共性問題，主要包括：①網絡安全相關管理制度落實不到位，應用企業在工控系統安全建設、網絡運維、網絡安全檢查等相關管理要求方面還缺乏內部有效的監督管理。②工控網絡安全的建設投入不足。專職的安全管理人員較少，部分硬件投入不足，輕安全現象比較普遍。③工控系統安全配置存在管理不足。當前離散制造企業更多依賴人工對系統安全進行監測，智能化水平和預警機制欠缺，處理的實時性受到影響。④制造企業在工控系統安全的規劃方面存在不足，大多采用邊建設邊設計的方式，缺少頂層規劃。

在需求分析方面，將針對該場景共性問題，提出解決方法。具體問題及解決方法如下：①大量異構工控設備接入，設備種類多，終端設備資源受限，因此，需要靠合適的設備接入與管控，保證終端設備可信可管。②工業場景的微服務應用復雜多樣，每個微服務作為獨立的應用，構建規則的不統一，增加了安全接入管理的難度。微服務的協同復雜度高，在多個功能應用方面，通信過程的安全復雜度會變高，要統籌考慮用戶的接入安全、調用的設計等，用以解決安全信任問題。③應用功能的開發性高，隨著使用場景定制化功能的增加，部分應用來源存在使用風險，需對開發者身份進行核實，以便提高系統安全性能。④工業數據安全防護的責任邊界上需要進一步明確，以便做好管控。工控系統的采集、通信等多個流程涉及到人員多，部分敏感數據的標識需要進一步明確，以及對應技術需要完善，部分業務場景數據屬于商業秘密，需進行脫敏處理，而依托信息化過濾可以提升管理安全和管理效率[2-3]。

3 離散制造型工控安全管理平臺研究

離散制造車間基礎設施網絡節點眾多、分支復雜、數據流量大，且車間設備眾多，服務器、交換機、主機、無線AP缺乏可信認證和管理。船舶工業控制網絡以工業以太網為骨干，與車間生產管理和監控系統、生產數據總線、車間實時信息顯示、車間數字化檢測設備、視頻設備等系統和設備聯接，形成完整的工業內網，某一個微小的環節遭到惡意破壞對于整個工業內網來說無疑是致命的。

并且此類車間生產涉及到多個生產環節的控制，涉及的設備種類也多樣，位置分散。基于此安全需求，越來越多的可信設備、可信軟件的接入，造成可信管理問題。而目前管理軟件只是一些基本的管理配置功能，它并不能滿足現有的對可信安全管理軟件在可信認證、監控、分析、告警等方面的需求。針對離散型制造車間現狀，設備可信認證和管控市場需求空間很大，具有很好的市場前景。

2020年，公安部網絡安全大會發表了關于“大力加強可信計算技術應用，構建安全可信的網絡安全技術保護生態”的主題演講，提出了將可信計算植入基礎軟硬件和系統，有效提升網絡安全主動免疫能力，迅速落實網絡安全等級保護制度，滿足可信計算技術要求，建立全社會網絡安全良好生態。同年，ISC2020指出沒有網絡安全就沒有國家安全，按照國家網絡安全法律、戰略和等級保護制度要求，推廣安全可信產品和服務，守住網絡安全底線是歷史的使命。基于此，本文提出用主動免疫的可信計算筑牢安全防線。從認知科學上看，設計IT系統不能窮盡所有邏輯組合，必定存在邏輯不全的缺陷。利用缺陷挖掘漏洞進行攻擊是網絡安全永遠的命題。安全可信是指邏輯缺陷不被威脅者所利用，實行免疫機制[4-5]。

3.1 總體架構設計

總體架構如圖1所示。基于分層架構的自底向上研究，底層數據接入層連接工業交換機為管理平臺提供數據；第二層基礎服務層為管理平臺提供必要的運行環境；第三層核心業務層系統的管理中心采取三權分立設計思想，提供對設備、資源的可信管理、可信監控。管理員分為系統管理員、安全管理員和審計管理員3種不同角色，普通用戶由系統管理員創建，不同用戶登錄界面顯示不同；同時管理中心與可信代理通過消息隊列方式進行加密通信，保證松耦合及安全性。可信代理以動態庫方式支持服務，以消息隊列的模式與可信管理中心進行交互，主動上報監控事件信息，接受可信管理中心下發任務，并在操作系統上執行相關的操作，實現代理可信管理中心的目的；同時，不同的任務獨立為獨立的進程，并設置定時檢測機制，保證服務的高可用性及高可靠性。

圖1 總體架構

3.2 網絡探針集成應用技術研究

生產車間有很多不同的廠商生產的不同的安全設備，它們的數據接口規范也各有不同。網絡探針的集成技術研究就是對車間設備底層數據接口集成研究。針對平臺異構化接口數據傳輸問題，基于模塊化思維，根據業務數據的要求，開發數據傳輸模塊，將有效解決車間可信設備的數據傳輸問題，并可實現多接口下的底層設備數據的整合與存儲，同時通過特定格式與頻率將數據發送到可信服務器，進而實現可信管理平臺對車間可信設備的狀態告警、分析預測。組態引擎模塊示意圖如圖2所示。

圖2 組態引擎模塊示意圖

集成的數據類型包括工程師站數據、操作員站數據、可信交換機數據等。采用的集成接口技術依據業務系統類型和交換數據的格式而不相同。可信安全管理平臺與可信設備通過IP/TCP、RabbitMQ、WebService等進行集成通信；與可信服務器采用HTTPS、AMPQ協議進行通信，數據語言采用XML、JSON等格式。

3.3 管理平臺告警管理與分析應用技術研究

為了快速準確地定位安全事件位置，方便審計人員對已發生事件進行分析，開展可信告警管理與分析技術研究。告警元實例、告警元數量、所有實例平均持續時間、單個實例平均持續時間通過過濾參數組，過濾無關信息，觸發告警條件。如果成功，則實時告警并分析告警數據，再將可信管理平臺相關模塊展示出來。如果不觸發告警條件，則結合歷史數據、時間序列和機器學習聚類算法提取規律，構建告警預測模型。方便管理者洞察安全事件，并有針對地采取預防措施。管理平臺可信告警與分析流程圖如圖3所示。

圖3 管理平臺可信告警與分析流程圖

4 結論

平臺通過對離散型制造車間工控安全管理平臺的應用研究，能夠有效提高車間工控網絡環境安全防護能力以及管理能力，增強企業工控安全防護力度，全面提升企業安全管控水平，推進企業安全管理體系的形成。同時有別于傳統解決方案，本文構建的主動防御保障體系，能夠充分利用可信計算等核心技術，協助用戶開展網絡安全等級保護管理和技術防護，創新網絡安全技術保護措施。后續將重點基于此平臺進行工控安全主動防御、智能運維等方向的應用研究，推動中國離散制造業信息化水平的提升。