十九大后总理第一次主持会议就讨论的工业互联网,该如何防护?

-回复 -浏览
楼主 2020-07-01 11:41:20
举报 只看此人 收藏本贴 楼主

工业互联网是全球工业系统与高级计算、分析、感应技术以及互联网连接融合的结果,是工业智能化发展的关键综合信息基础设施。工业互联网包含了工业控制系统、工业网络,同时也包含了大数据存储分析、云计算、商业系统、客户网络等商业网络基础设施。“商业网络(IT)”与“工业网络(OT)”的连通构成了“工业互联网”,这个过程其实就是IT/OT一体化的过程。


IT/OT一体化,是指以数据计算为核心的信息技术(IT)系统和以监控事件、过程、设备并在企业和工厂生产中做出调整的操作技术(OT)系统的融合。IT / OT一体化可以实现更直接的控制和更完整的监控,更容易地分析来自世界任何地方的复杂系统的数据。


一、工业互联网的特点与IT/OT一体化的驱动力


(一) 工业互联网的特点


工业互联网的特点可以从两大视角来分析,工业企业:由内及外,渐进、改良、升级,生产系统的智能化。互联网企业:由外及内,变革、颠覆、重构,商业系统的智能化。两者之间的关系如图1所示。


图1工业互联网的特点


工业企业和互联网企业具有类似的发展趋势和特征,智能化不断提升,逐步向智能生产系统和智能商业系统迈进,同时,工业企业和互联网企业的信息物理系统、安全共享、安全组织、安全市场的融合也加速了IT和OT的一体化。


(二)IT/OT一体化的驱动力


商业网络(IT)与工业网络(OT)一直以来都是相互独立的。如今,随着云计算、物联网、大数据技术的不断成熟,IT/OT一体化已成为必然趋势。概括来说,IT/OT一体化主要有以下驱动力:


1.  政策驱动:中国制造2025、工业4.0等政策层面的驱动。工业4.0旨在提升制造业的智能化水平,建立具有适应性、资源效率的智慧工厂。中德双方签署的《中德合作行动纲要》中,明确提出工业生产的数字化就是“工业4.0”对于未来中德经济发展具有重大意义。中国制造2025将工业化、信息化“两化融合”视为提升制造业水平、建设成为制造业强国的重要一步。今年的10月30日国务院常务会议通过《深化“互联网+先进制造业” 发展工业互联网的指导意见》,在2025年前实行323行动,构建平台、网络、安全三大体系;


2.  市场驱动:随着客户需求的日益个性化、业务类型不断发展,企业正在努力调整其流程、技术和商业模式,提高竞争优势,提高运营效率,争取在数字业务转型的浪潮中,拔得头筹。


3.  技术驱动:现在各项技术都在不断成熟,云平台带来的弹性和动态部署、传感器价格、传感器管理系统的低功耗和无所不在的连通性,使得获取运营领域内的设备、事件的相关数据,以及在整个企业内访问这些数据,无论是在经济上还是在物理条件上都变得可行。


通过推进IT/OT一体化进程,工业企业可以在行业竞争中获得极大优势:

 ● 简化操作获得更大的生产率;

 ● 提高安全性与预测性维护以避免危险的环境;

 ● 提高经营决策精度和速度;

 ● 减少所需人力成本;

 ● 提高客户需求的响应速度和服务能力。


二、工业互联网IT/OT一体化的趋势


据Gartner预测,到2020年底,物联网的全球经济影响将达到2兆美元,其中有超过210亿个联网的“物联网”,关于IT和OT其一体化趋势,Gartner做出了如下预测:


1. 到2019年底,将由首席信息安全官(CISO)直接管理65%的OT安全,2016年这一数据是30%;


2. 到2020年,15%的工业互联网(IIOT)项目将支持时间敏感网络,2016年这一数据是0%;


3. 到2020年,工业设备的“数字孪生”技术将推动终端用户把25%的费用从“采购和维护”模块重新分配到“服务”模块;


4. 到2020年,50%的OT服务提供商将与IT服务提供商建立关键的合作伙伴关系。


图2 IT与OT相互渗透


通过以上数据分析,IT/OT一体化发展趋势可以概括如下:

 ● IT和OT分离管理的情况将会打破

 ● 基于以太网的尽力交付模型将不再适用

 ● 开始尝试采用类似时间敏感网络(TSN)的确定向网络,自底向上打通

 ● 数字孪生将大量被使用


三、工业互联网IT/OT安全挑战


工业网络(OT)对信息安全的需求不同于商业网络(IT),商业网络保密性优先级最高,其次是完整性、可用性。工业网络(OT)则有明显的不同,工业网络更为关注的是系统设备的可用性、实时性, 除此特点外,IT系统和OT系统之间仍然存在很多差异性,如表1所示。


分类

IT系统

OT系统

可用性需求

可重启、热切换

高可用(不能重启)、计划性中断、重要系统冗余

管理需求

保密性、完整性、有效性、隐私

人身安全、有效性、完整性、保密性、隐私

体系安全焦点

IT资产及信息、中央服务器更重要

边缘设备与中央设备一样重要

未预期的后果

安全解决方案围绕典型的IT系统进行设计

安全工具必须先测试以确保不会影响ICS的正常运作

时间紧迫的交互

交互时效可有弹性
 可实施严格限制的访问控制

实时性、紧急响应

访问控制不能妨碍必要人机交互

系统操作

典型的操作系统、自动部署、持续升级

专有的操作系统,无安全功能、软件变更须验证

资源限制

3-5年主流硬件,有性能冗余

按需设计,可能10-20年前设备,刚好够用

通信

标准通信协议、有线、无线

专有标准、异构、难互操作

表1. IT与OT的差异性


由于IT系统和OT系统之间存在的众多差异,当工业互联网的IT/OT进行融合时会带来很多安全挑战。


(1)攻击面越来越大


工业互联网(IIOT)端点的增加,给工业控制系统(ICS)、数据采集与监视控制系统(SCADA)等工业设施带来了更大的攻击面。与传统IT系统相比较,IIOT的安全问题往往把安全威胁从虚拟世界带到现实世界,可能会对人的生命安全和社会的安全稳定造成重大影响。


(2)工业设备资产的可视性严重不足


工业设备可视性不足严重阻碍了安全策略的实施。要在工业互联网安全的战斗中取胜,“知己”是重要前提。许多工业协议、设备、系统在设计之初并没有考虑到在复杂网络环境中的安全性,而且这些系统的生命周期长、升级维护少也是巨大的安全隐患。


(3)IT和OT的安全管理仍然独立互操作困难


在管理方面,很多企业的IT和OT是完全独立的,两支团队无法高效地合作,难以满足IT/OT一体化的安全需求。


例如:KWC水厂SCADA受到攻击,IT/OT一体化的状态主要表现在IBM AS/400小型机系统成为SCADA平台,系统可直接连接到多个网络中,包括:地区税务(向外)、流量控制应用程序、几百个PLC、安置客户的相关计费信息等。在60天的评估期间,专家们发现了如下挑战:四个可疑的对外连接、可以被用来窃取其中的250万条记录,包括客户数据和付款信息、通过访问AS/400系统,攻击可完全控制水流和用于净化水的化学物质。


四、IT/OT一体化后的安全应对


SANS研究所的Robe r t M. Le e提出了一个动态安全模型——网络安全滑动标尺模型。该标尺模型共包含五大类别,分别为架构安全(Architecture)、被动防御(Passive Defense)、积极防御、威胁情报(Intelligence)和进攻反制(Offense)。这五大类别之间具有连续性关系,并有效展示了防御逐步提升的理念。为了应对IT/OT一体化的安全挑战,应建立一个类似的整体模型,结合已有的基础架构、安全防护措施构建 “叠加演进”框架,如图3所示。


图3 滑动标尺模型

 

 ● 架构安全:在系统规划、建立和维护的过程中充分考虑安全防护;

 ● 被动防御:在无人员介入的情况下,附加在系统架构之上可提供持续的威胁防御或威胁洞察力的系统,如:工业安全网关/防火墙、工业主机防护、工业审计等;

 ● 积极防御: 分析人员对处于所防御网络内的威胁进行监控、响应、学习(经验)和应用知识(理解)的过程;

 ● 威胁情报:收集数据、将数据利用转换为信息,并将信息生产加工为评估结果以填补已知知识缺口的过程;

 ● 进攻反制:在友好网络之外对攻击者采取的直接行动(按照国内网络安全法要求,对于企业来说主要是通过法律手段对攻击者进行反击)。通过以上几个层面的叠加演进,最终才能够实现进攻反制,维护工业互联网的整体安全。整体框架如图3滑动标尺模型。


结合滑动标志模型,以离散制造为主的工业互联网企业为例,根据每个技术层面,给出如下具体建议:


 ● 终端层面:针对CNC等老旧设备,部署轻量级白名单(系统进程)的防护措施;针对性能好的生产设备,部署统一的360天擎终端杀毒软件;

 ● 移动介质,例如U盘,进行统一管控(主机防护);

 ● 网络层面:横向分区、纵向分层。将商用网、工控网、生产网有效划分;网络边界处部署安全网关,最小权限原则:只开放必要端口,进行精细化访问管控;

 ● 监控层面:摸清资产家底,集中统一管理,并精心维护;部署工业安全运营中心,对公司网络安全状况进行持续监测与可视化展现;

 ● 可恢复性(备份层面):针对CNC等老旧设备,定期请工控厂商进行系统备份;针对性能好的办公和生产电脑,定期自行进行系统和数据备份;

 ● 管理层面:组建IT&OT融合的统一网络安全团队,进行安全运营;订购安全服务、威胁情报,定期进行安全培训和检查;新建网络,进行IT、OT的安全统一规划。


清晰的安全建设战略如下图4:


图4. 工业安全建设战略


目前60%的企业仍然处在工业安全(OT)的起步阶段,如上图所示,可以看到,一个企业的网络层次,可能要改变了,并且可能对接的上相关实物的资源。


五、360在工业互联网IT/OT协同防护的实践


万物皆变,人是安全的尺度。360企业安全集团通过建立统一的安全团队、利用工业安全运营中心进行管理,有效地应对了IT/OT一体化进程中面临的安全挑战。


工业安全运营中心(Industrial Internet Security Operation Center,IISOC)基于360威胁情报和本地大数据技术对工控系统通信数据和安全日志进行快速、自动化的关联分析,及时发现工控系统异常和针对工控系统的威胁,通过可视化的技术将这些威胁和异常的总体安全态势展现给用户,通过对告警和响应的自动化发布、跟踪、管理,实现安全风险的闭环管理。威胁检测、可视化展现、闭环响应为实现工业安全运营建立平台。


该产品采用流量镜像方式采集工控系统通信数据,对工控系统运行不会造成任何影响。


图5.IT/OT一体化安全防护体系


360工业安全运营中心的发布将填补国内工业安全领域的空白,将安全运营和威胁情报理念引入工业安全行业,为广大工业客户提供卓越的安全防护能力。


建立的工业安全运营中心主要功能如下:


 ● 基于威胁情报的工控系统攻击检测。基于威胁情报和IDS,发现攻击事件,显示被攻击工控设备,对攻击事件进行统计、分析,生成报表。

 ● 工控系统关键操作监测。实时监测工控系统控制器下装、上传、启动、停止等关键操作,支持西门子S7-300、施耐德坤腾、罗克韦尔Control Logix等系列工控系统。实时图形化流量监测,支持OPC、MODBUS/TCP、S7等工控专有协议。

 ● 工控系统异常行为监测。监测工控系统的异常行为,例如非法外部网络连接等。

 ● 工控系统关键资产管理。识别、记录、分类管理工程师站、操作员站、实时/历史服务器、控制器等工控系统关键资产。

 ● 工业安全设备和网络设备日志采集与管理。连接工控防火墙、工业安全审计、工业主机防病毒软件、工控交换机等设备,采集设备日志,统一管理安全事件。

 ● 向工业安全态势感知平台上报风险事件。向上级单位或政府主管部门的工业安全态势感知平台上报工控系统的风险事件,使上级部门实时了解工控系统内网的安全运营状况。


总之,工业安全运营中心(IISOC)以威胁情报为驱动,以协同联动为基础,改变了割裂对待OT、IT安全的状况,提高了工业互联网安全预警、检测、响应、追踪溯源的纵深防御能力, 结合工业防火墙、工业审计、工业主机防护,形成了工业互联网IT/OT融合的安全防护体系,满足工业互联网安全防护需求。


六、结语


工业互联网的架构主要由三大支柱组成:网络、数据、安全,数据是核心,网络是基础,安全是前提。总的理念是数据驱动工业领域的安全,通过威胁情报、安全技术、安全服务来构建工业互联网的安全。


我要推荐
转发到