智能制造行业工业互联网安全解决方案.docx

1、智能制造行业工业互联网安全解决方案智能制造行业工业互联网安全解决方案前 言 为落实中国制造 2025规划，工信部明确了工业转型升级的重点领域和工作要求。工业互联网作为新一代信息技术与工业系统深度融合形成的产业和应用生态，是全球工业系统与高级计算、分析、感应技术以及互联网连接融合的结果。它通过智能机器 间的连接并最终将人机连接，结合软件和大数据分析，重构全球工业、激发生产力， 让世界更美好、更快速、更安全、更清洁且更经济。工业互联网的发展得到全球主要国家以及我国政府的高度重视和积极推进，产业界也正在加速开展相关探索和实践。 工业互联网广泛应用于能源、交通以及市政等关系国计民生的重 要行业和领域，

2、已成为国家关键信息基础设施的重要组成部分。工业 互联网打破了传统工业相对封闭可信的制造环境，病毒、木马、高级 持续性攻击等安全风险对工业生产的威胁日益加剧，一旦受到网络攻 击，将会造成巨大经济损失，并可能带来环境灾难和人员伤亡，危及 公众安全和国家安全。工业互联网自身安全可控是确保其在各生产领 域能够落地实施的前提，也是产业安全和国家安全的重要基础和保障。 1. 工业互联网安全概述1.1 工业互联网概述工业互联网的内涵用于界定工业互联网的范畴和特征，明确工业互联网总体目标，是研究工业互联网的基础和出发点；工业互联网是互联网和新一代信息技术与工业系统全方位深度融合所形成的产业和应用生态，是工业智

3、能化发展的关键综合信息基础设施。其本质是以机器、原材料、控制系统、信息系统、产品以及人之间的网络互联为基础，通过对工业数据的全面深度感知、实时传输交换、快速计算处理和高级建模分析，实现智能控制、运营优化和生产组织方式变革。1.2 工业互联网安全架构工业互联网的安全需求可从工业和互联网两个视角分析。从工业视角看，安全的重点是保障智能化生产的连续性、可靠性，关注智能装备、工业控制设备及系统的安全；从互联网视角看，安全主要保障个性化定制、网络化协同以及服务化延伸等工业互联网应用的安全运行以提供持续的服务能力，防止重要数据的泄露，重点关注工业应用安全、网络安全、工业数据安全以及智能产品的服务安全。因此

4、，从构建工业互联网安全保障体系考虑，工业互联网安全体系框架，如图 所示，主要包括五大重点，设备安全、网络安全、控制安全、应用安全和数据安全。图 1 工业互联网安全体系1 设备安全是指工业智能装备和智能产品的安全，包括芯片安全、嵌入式操作系统安全、相关应用软件安全以及功能安全等。 网络安全是指工厂内有线网络、无线网络的安全，以及工厂外与用户、协作企业等实现互联的公共网络安全。 控制安全是指生产控制系统安全，主要针对 PLC、DCS、SCADA 等工业控制系统的安全，包括控制协议安全、控制平台安全、控制软件安全等。 应用安全是指支撑工业互联网业务运行的应用软件及平台的安全，包括各类移动应用； 数据

5、安全是指工厂内部重要的生产管理数据、生产操作数据以及工厂外部数据（如用户数据）等各类数据的安全。1.3 工业互联网典型安全问题新一轮的工业革命是工业互联网蓬勃发展的原动力。反之，工业互联网的快速发展又改变或催生了工业生产的设计、生产、物流、销售和服务模式。大规模个性化定制、远程运维和工业云等新兴业态崭露头角，并引起广泛关注。同时， “数字化、智能化、网络化”为特征的工业互联网既面临传统 IT 的安全威胁， 也面临以物理攻击为主的信息通信技术（简称 ICT）的安全威胁。安全保障能力已成为影响工业互联网创新发展的关键因素。随着互联网与工业融合创新的不断推动，电力、交通、市政等大量关系国计民生的关键

6、信息基础设施日益依赖于网络，并逐步与公共互联网连接，一旦受到网络攻击，不仅会造成巨大的经济损失，更可能造成环境灾难和人员伤亡，危及公众生活和国家安全。工业领域安全防护急需加强和提升。目前，工业领域安全防护采用分层分域 的隔离和边界防护思路。工厂内网与工厂外网之间通常部署隔离和边界防护措施， 采用防火墙、虚拟专用网络、访问控制等边界防护措施保障工厂内网安全。企业 管理层网络主要采用权限管理、访问控制等传统信息系统安全防护措施，与生产 控制层之间较多的采用工业防火墙、网闸、入侵防护等隔离设备和技术实现保护 “数据安全”。生产控制层以物理隔离为主，工业私有协议应用较多，工业防火 墙等隔离设备需针对专

7、门协议设计。企业更关注生产过程的正常进行，一般较少在工作站和控制设备之间部署隔离设备、进行软件升级，一般也不安装病毒防护软件以避免带来功能安全问题。控制协议、控制软件在设计之初也缺少诸如认证、授权、加密等安全功能，生产控制层安全保障措施的缺失成为工业互联网演进过程中的重要安全问题。未来工业互联网安全主要面临以下几方面的问题：（1） 生产设备安全问题开始凸现。传统生产设备以机械装备为主，重点关注物理和功能安全。但未来的生产模式更强调终端的生产角色的扁平、协同， 导致生产设备数字化、信息化、网络化、智能化水平不断提升；生产环节中人机交互过程逐渐减少甚至消失（如无人工厂、自动驾驶）。上述因素导致一些

8、安全隐患难以发觉，更重要的是导致海量设备直接暴露在网络攻击之下。木马病毒能够在这些暴露的设备之间的以指数级的感染速度进行扩散。这种情况下，工业设备就成为安全攻击的“肉鸡”武器。近期美国域名服务商被大量终端设备攻击事件说明了这种攻击方式的巨大危害。（2） 端到端生产模式下的网络安全问题。为追求更高的生产效率，工业互联网开始承担从生产需求起至产品交付乃至运维的“端到端”的服务。比如大规模个人定制的服装行业，个性化定制的家电行业已经开始实现从由生产需求起至产品交付“端到端”的生产服务模式。无人化生产模式下，工厂网络迅速向“三化（IP 化、扁平化、无线化）+灵活组网”方向发展，工厂网络开始直接面临众多

9、传统 IT 安全挑战。工业网络灵活组网的需求使网络拓扑的变化更加复杂，导致传统基于静态防护策略和安全域的防护效果下降。工业生产网络对信息交互实时性、可靠性的要求，难以接受复杂的安全机制，极易受到非法入侵、信息泄露、拒绝服务等攻击。“端到端”的生产模式、无人化生产发展趋势使得工业互联网安全防护的边界空前扩张，对安全防护机制的要求空前提高。（3） 控制安全问题。当前工厂控制安全主要关注控制过程的功能安全，信息安全防护能力不足。现有控制协议、控制软件等在设计之初主要基于 IT 和 OT 相对隔离以及 OT 环境相对可信这两个前提，同时由于工厂控制的实时性和可靠性要求高，诸如认证、授权和加密等需要附加

10、开销的信息安全功能被舍弃。IT 和 OT 的融合打破了传统安全可信的控制环境，网络攻击从 IT 层渗透到 OT 层， 从工厂外渗透到工厂内。遗憾的是，目前缺乏有效的应对 APT（Advanced3Persistent Threat，高级持续性威胁）攻击检测和防护手段。令业界最为担心的是控制安全问题最接近物理实体安全。从某种意义上，物理空间的损害成为现实。（4） 应用安全问题。网络化协同、服务化延伸、个性化定制等新模式新业态的出现对传统公共互联网的安全能力提出了更高要求。工业应用复杂，安全需求多样，因此对工业应用的业务隔离能力、网络安全保障能力要求都将提高。（5） 数据安全问题。数据是工业互联网

11、的核心，工业数据由少量、单一、单向正在向大量、多维、双向转变，具体表现为工业互联网数据体量大、种类多、结构复杂，并在 IT 和 OT 层、工厂内外双向流动共享。工业领域业务应用复杂， 数据种类和保护需求多样，数据流动方向和路径复杂，不仅对网络的可靠、实时传递造成影响，对重要工业数据以及用户数据保护的难度也陡然增大。综上所述，数字化的、网络化、智能化生产设备安全、端到端生产模式下的网络安全，、生产控制系统安全、应用安全和数据安全是工业互联网发展急需解决的问题，其中终端设备安全、生产控制系统安全和数据安全尤为急迫。2. 智能制造行业典型安全解决方案智能制造就是将信息能力嵌入到制造过程，通过信息技术

12、提高传统制造的智能化水平，打造智能工厂，提升企业的制造能力，改善资产运营效率。本案例汇编包括两个智能制造行业的典型安全解决方案。2.1 案例一：某汽车制造企业安全解决方案2.1.1 概述近几年，我国乃至全球汽车行业正在蓬勃发展，而在发展的同时，工业控制系统的安全问题成为制约行业发展的瓶颈。为了预防和减少汽车制造业在生产过程中的安全事故，保障员工的生命和企业的财产安全，现提出了在汽车制造生产过程中全面控制事故发生的有效安全防护措施。2.1.2 典型安全问题 管理网络与生产网络之间、生产网络生产区与控制区之间、各生产区域之间缺乏必要的隔离控制措施，迫切需要对其进行安全防护； 工程师站、操作员站等主

13、机可能会遭受病毒、蠕虫、木马等恶意软件入侵； 无法实现对工业网络中的恶意攻击行为、误操作行为等的实时检测和记录。2.1.3 安全解决方案 在管理网核心交换机和生产网核心交换机之间部署工业防火墙，A 网 B 网冷备，与原有传统防火墙组成全面的边界安全隔离措施，完善网络边界的安全防护； 在虚拟服务器与生产服务器之间部署工业防火墙，对生产服务器设置对外只读控制策略，防止生产服务器数据被恶意篡改。5图 2 某汽车制造企业安全规划2.1.4 小结结合风险分析和案例技术分析，本解决方案具备如下特点： 实施网络边界划分、逻辑隔离和访问控制，满足行业政策法规及技术要求； 避免 PLC 被恶意攻击造成重大生产事

14、故、人员伤亡和社会影响； 避免办公网被攻击造成病毒扩散导致工控主机操作指令下发失败及监控延时。2.2 案例二：某先进制造企业安全解决方案2.2.1 案例概述某车辆制造集团在国家工信部 451 号文的指导下高度重视工业控制系统安全，在 2012 年印发了工业控制系统信息安全管理办法（试行）。下属某公司为提高复杂产品的工艺创新能力、缩短产品研制周期、提高市场应变能力不断采用先进的协同设计与过程控制应用，按照信息安全同步建设、同步规划的思想，需要在使用先进的协同设计与过程控制应用时，从订单、设计、工艺、生产各环节中同步保障其信息安全。作为国家重要的大型装备制造企业，该公司不仅承担着国家机车车辆制造的

15、任务，为自身创造利润，也为国家的机车车辆走向世界付出努力，需要不断提高生产力，优化生产结构，所以必须“两化融合”且依赖先进的信息化手段。近年来引进了大批的国外的先进数控机床及技术，并且公司也在开展 DNC 网络的建设，生产网的互联性已有大幅提高。随着技术发展也引入了一些安全隐患：通过建立符合某公司工控系统的信息安全管理体系、信息安全技术防护体系、信息安全运行体系，并将三个体系与 IT 安全现有体系融合，形成“三个体系， 一个中心”的信息安全保障体系框架，实现办公网和生产网信息安全一体化管理 和监控，支撑该公司智能制造生产和应用。2.2.2 典型安全风险先进制造工控系统中大量使用数控机床，一般有

16、铣床、磨床、洗床、加工中心等，主体品牌有西门子、法兰克、马扎克等国外品牌，以及海天龙门、永进等国内品牌。通常设备接口有 RS232、RJ45 两种。工控网络的生产与管理网的管理关系如下图所示：7图 3 工控生产网与管理网的关系传统车间里的机床设备基本都是通过串口连接，存在大量串网转换装置，如下图示意：图 4 车间网络连接示意图为提升机床效率和利用率，逐步建立 DNC 网络，可实现统一的机床管理和实时监测，同时使设计和生产直接连接，DNC 通常国外使用的品牌有 Cimco 和Predator。国内提供 DNC 网络的主要是数码大方和蓝光，DNC 传输主要是基于TCP/IP 协议，DNC 的采集是

17、通过 OPC、MODBUS 及厂家自身协议等。数控系统的管理流程如下图所示：图 5 数控系统管理流程该类系统安全面临的风险主要有如下：（1） 大多 CNC 设备采用国外品牌，面临着国外厂商运维时重要数据如生产数量、NC 文件泄露的风险。（2） 工控网络与管理网中的 DNC 服务器连接时，在提高效率的同时也面临着被感染病毒、恶性攻击的风险。（3） 诸多工厂通过使用U 盘将 NC 文件传入高精类数控设备或连入网络传输数据，可能会被传染病毒或恶意代码，进而严重影响生产的产量、质量及效率。（4） 第三方人员（尤其是远程的国外人员）在远程维护高精类机床设备时可能会有相关生产数据的信息泄密，直接影响着企业

18、声誉、国家命脉。（5） 未对操作站主机及服务器端进行必要的安全配置，使得一旦能接触访问到该主机则被攻击的成功机会很高。（6） 无线客户端和接入点的认证措施不足，使得很容易在车间中被人盗取或滥用。除此之外，也存在管理方面的缺乏相应的信息安全责任人、供应商管理不严格、安全培训意识不足等问题。92.2.3 安全解决方案在保证系统可用性前提下，对工业控制系统进行防护，实现“垂直分层，水平分区。边界控制，内部监测”。“垂直分层、水平分区”即对工业控制系统垂直方向化分为四层：现场设备层、现场控制层、监督控制层、生产管理层。水平分区指各工业控制系统之间应该从网络上隔离开，处于不同的安全区。“边界控制，内部监

19、测”即对系统边界即各操作站、工业控制系统连接处、无线网络等要进行边界防护和准入控制等。对工业控制系统内部要监测网络流量数据以发现入侵、业务异常、访问关系异常和流量异常等问题。系统面临的主要安全威胁来自于黑客攻击、恶意代码（病毒蠕虫）、越权访问（非授权接入、移动介质、弱口令、操作系统漏洞、误操作和业务异常等，因此，其安全防护应在以下方面予以重点完善和强化，具体如下：（1） 在 CAM 终端、工艺终端上安装防病毒软件配合终端安全管理系统， 可实现 CAM 终端、工艺终端的 USB、光驱、无线等接口进行严格外设控制；（2） 对工业控制网络进行安全配置核查审计，对于安全配置较差的设备在保证生产的前提下

20、进行安全配置修改，实现对工控网络设备安全配置进行审计与完善；（3） 根据数据传递方向在生产管理网与管理网间部署网闸或工业防火墙， 在机床前部署 CNC 防护装置，实现了阻断来自管理网的非法行为和对机床的非法行为的访问控制；（4） 在生产车间部署工控异常监测系统，实时监测针对工控系统入侵行为及异常行为。（5） 在机床前端部署适用于工业现场的专用防火墙，对工控异常访问行为及违法操作进行安全防护。（6） 部署工控信息安全统一管理平台，用于对工业控制环境的统一安全管理，在实现网络进行可用性与性能的监控、事件的分析审计预警、风险与态势的度量与评估、流行为的合规分析的同时，还承载着对工控安全设备统一管理的

21、职能，是工业控制网络信息安全管理的统一平台。本次项目范围涉及该公司生产网、管理网和工控 DNC 网络三大安全区域的加工终端、设计终端、工艺终端、CAM 终端等工控系统的用户终端，含有 PDM、MES、CAM 等类型的 DNC 系统以及机床装置和机器人装置等智能装置。项目蓝图如下：图 6 工控系统安全解决方案蓝图建设内容包括如下几方面:（1） 建设一套基于最新协同设计与过程控制的从研发产品设计、工艺编制、后置处理、数控加工代码生成、仿真及代码传输、加工等全生命周期的信息安全 保障体系。（2） 建设一套安全区域清晰、技术安全防护措施到位的、统一管理的工控安全网络，针对现场设备层、生产控制层建设完备

22、的边界防护、恶意代码防护、异常检测、机床设备运维审计、无线安全防护等信息安全防护体系，并形成公司信息安全技术规范。（3） 在公司现有的信息安全管理和运维体系支撑平台上扩充工业控制信息安全管理功能，规范生产系统运维工作和流程，明确工控系统运营各方的安全职责、工作要求、评价办法、考核标准，通过常态化的检查实现评估，并实现KPI 考核，改进在生产安全中不断完善发展信息安全，并形成公司工控系统信息安全管理规范。11（4） 在全厂信息安全统一平台上实现生产网、办公网的信息安全统一监控， 收集的信息包括各类信息安全设备日志和报警、系统安全日志、行业预警信息等， 实现监测预防、应急响应、监督落实、优化改进等

23、闭环的信息安全工作流程。2.2.4 小结某先进制造公司通过对其生产网络及工控系统进行安全建设，有效的减少了由于工控网内部病毒木马造成的工业数据丢失、泄密以及停车风险，大大提高了工控系统生产效率。3. 结束语工业控制系统在我国的电力、水利、污水处理、石油化工、冶金、汽车制造、交通运输、航空航天等诸多现代化工/农业领域有着广泛的应用，其中超过 80% 的涉及国计民生的关键基础设施与工业控制系统有关，都依靠工业控制系统来实现调度自动化和作业自动化。然而随着信息技术和网络技术的飞速发展，网络安全的边界早已超越了地域限制，甚至连网络边界也已经模糊，导致网络信息安全事件层出不穷，面对日益严重的安全威胁形势，我国应积极加强对工业控制系统的安全体系化研究，从安全规划、安全防护、安全运营、安全测评、应急保障等各方面，提出针对性安全解决方案方案，并积极进行技术试点，探究技术可行性，逐步形成可推广、可复制的最佳实践，切实提升我国工业互联网安全技术水平。