柯皓仁：工业互联网安全从可见到可控

柯皓仁  中国信息通信研究院副主任

摘要：分享工业互联网安全近两年在国家与地方政策、标准规范的基础进展，分析工业互联网安全的关键技术的发展与应用情况，重点分享工业互联网安全实现从“可见”、“可知”到“可控”的必需要开展与突破的工作，从部分实例说明实现工业互联网安全可控所需要的基础要求。

 工控系统在中国存在很长的时间，但是从安全角度来讲真的有点像“小婴儿”一样，它的安全免疫系统是很薄弱的。现在传统的信息安全很多的解决方法放到工控领域有一点不能够完全复制，其实很多人包括传统信息安全从业的技术人员和管理人员也好，他们对整个工控系统的理解相对来讲是有偏差的，所以以原始接触到的技术思路去做工控网络安全检测、防护、体系建设，相对来讲有很大的壁垒。

我今天只分享两个方面，第一个还是以工业互联网视角从它的安全可视到可控做一些思路上的分享，第二和大家分享一下工信部在今年4月份发布《关于加强工业互联网安全工作的指导意见》做一下解读，我个人从2013年开始做工控安全实质性的工作，当时国家部委层面相对比较弱，工作推进的不是很明显，但是在2017年工控互联网整个国家战略提出来之后，现在不管是地方政府还是行业企业发展是比较迅速的，恐惧源自于未知，为什么今天带小孩去看病很害怕，原来发烧一个晚上就好了，我们作为家长不知道他到底怎么了，他也不会说，我们对安全因素考虑来讲，我要知道你要来打我知道怎么防，这样相对有一个对应的心理，现在特别是工业互联网包括OT、IT深度融合之后，它带来的很多风险是不能够提前预知，所以会增强恐惧心理。

我这里用了一个图，应该是跨越黄河的一个代表从我个人的从业经历有一个理解，原来做IT系统运维实际上有很大的特征，就跟过河一样，可以是一段桥，一步一步往前走，系统可以按照规程一步步去运营，比如我真的是累了可以休息一下接着走下一步，我休息十分钟二十分钟都可以，原来很多做安全应急处置的时候，最常见的晚上12点开始做一些升级，包括做一些其他的动作。因为12点很多人都睡觉了，我们公司很多服务也不再提供了，整个系统活跃度比较低，这个时候可以做一些运维性的工作。但是其实我们在OT里面跟IT系统不一样，很多的工控系统就是连续性的，比如说摩托车在某一个点不能停下，很多的工业系统特别是能源领域它整个系统运转是具有非常强的实时性，还有很高的可靠性要求，所以没有办法临时停下来我去给哪一个系统替换一个设备。大家没有专注于这个领域，前一段时间我们去水泥厂做安全风险评估，我们当时做的时候不到一天的时摸出来之前在电厂很多其他的工厂里面安全漏洞多太多，就是什么安全防护都没有，系统也很老旧，但是他们也用了比较新的技术，他们也有视频的监控远程控制，但是水泥厂很典型它是24小时运转，只要重新点火一次就是50万，对于他来讲所有的安全风险带来的安全事件假如说影响他整个的工控系统，对于他来讲经济损失肯定是最直接的，所以在整个工控系统里面，我们可能就是在做骑摩托车跨越黄河的感觉，很多都是连续性的东西。所以代表了我们在做安全工作的过程当中，过去以点为防护，我今天可以买一个墙，但是对于工控系统来讲单纯以卖产品角度实现整个安全体系的建设特别是原来做生产安全工业专家实际上不认可的，它需要匹配生产业务连续性可靠高可用的防护体系的建设。

今天的主题是工控网络安全，因为我们院除了工控安全以外重点也爱工业互联网安全，里面也是涉及到故障安全。其实现在也在强调工业互联网网络安全的可视性，因为工业互联网安全从某一种意义上来讲的话，也是应对工业互联网本身是工控网络，传统的OT网络和IT网络深度融合的结果它是新模式的应用，同样对于网络边界也是进行了重新的定义，原来大家做工控安全都很清楚，我们能源局包括电厂很多的工控系统是有分区分域的原则能够划分出一些安全防护的规则，但是对于工业互联网本身来讲由于新型的融合应用逐渐丰富，它的边界很难去划分。

比如说很多工厂，实际上和互联网平台已经有了数据交互业务交互，所以有直接终端到我们的平台，所以我们的边界相对来讲变的和之前的边界是有区分的，另外云计算的使用也导致很多边界不是特别好定义。其实现在不光是工控安全还有传统的互联网安全都在强调实时威胁检测，包括之前美国空军最早提出来态势这个词，有一部分平台给我最大的感受就是看地图不停的换图，其实真正能够给用户给我们使用方起到什么样的效果，现在不敢保证。我们在这里可视可见不是强调它是等于态势感知平台的建设，特别是我个人认为对于态势感知的平台在工控领域甚至延展到传统的网络安全领域，实际上建设阶段还是初期的建设阶段，实际上我们的面已经比欧美的国家建设的面更加广，但是我们应用深度包括态势感知平台本身起到的作用相对比较弱。我们之前有接触过一些用户单位，他们对于整个可视可见，比如说现在阿里也有工业大脑现在很多企业都建信息中心建机房直接用工业大脑，我们当时在山东和企业负责人也和他沟通，他问我，你们谈工控安全，我现在马上要和华为签用工控大脑的合同，我不懂安全和信息化，我只懂生产系统，我上线之后怎么样约束阿里他提出来的整个安全，我生产数据业务数据很多都要上云，这些对于我来说都是不可见的，甚至在云上发生的数据泄露包括服务停止很多的安全事件在国内也出现了很多次，包括去年的腾讯跟千元数控纠纷问题也是一样，不管因为什么原因很多云上的服务对于用户来讲，对业务是有一定的可视性，但是对于整个安全基本上就是一个瞎子，这样我们怎么去利用其他的各种手段，或者希望我们的云服务提供商给什么样的呈现来去做安全可视可见的，这个也是在态势感知里面想提到的一些点。

我们总结出来几点，最好的可视决定更高的安全，用户方来讲我提前预知到先不说能不能反制它，我起码先做一个应急响应机制，能够把安全风险降低减轻。第二，其实我们希望整个态势感知包括做的可视化平台能够对攻击行为进行可视。第三，态势，从势的角度来讲能够有能力去做预测性的工作预测性的分析，能够给企业的安全决策做一些专家支撑，当然现在个人看了很多，不具备能够抵御网络攻击的能力。我们的态势感知不管欧美还是中国都特别强调对态势感知方面的能力，具备应急处置和恢复的能力，因为态势感知第一个是强调它整个检测能力，我们发现的能力。还有一点整个应急响应和应急处置，最后一点能够持续提升工业互联网网络安全防护能力，我个人今天的主题是围绕工业互联网，在我们的工作和实际应用当中，工业互联网工控落地是比较强的。我通过刚刚和他们分享的点，再和大家分享一下对安全可视的关注点，我们在传统的网络安全态势感知平台的基础上，其实强调的可能是几个点，第一个安全可视化呈现，这是目前很多的安全厂商和科研机构态势感知平台都有的功能，这个功能也是我个人觉得不是特别好的，因为我看了太多特别绚的平台，了解他们的实际能力之后我看了很多的图，甚至就看了很多的动画，对于功能来讲能够给使用用户到底能做什么样的工作，提供什么样的安全运营保障，实际上是比较弱的。第二个目前很多的态势平台还基于DPI的可视化，DPI确实是整个态势感知平台从技术纬度一个很重要的元素，其实所有的包括后面做的深度分析专家决策也是依赖于DPI相关的技术实现。另外在目前真正能够应用到态势感知平台可能比较多的实际上在运营监管和支撑，所以大家可以看到从用户的角度来讲，现在政府运营商大型企业应用态势感知的比较多，特别是企业的态势感知平台很难推，大多有监管需求包括集团承接的企业，可能对二级三级的企业有监管要求。另外整个态势感知平台确实也要强调安全策略的可视化，我们核心的技术要素DPI应用上以政府运营商扮演的企业较多，也进行过很多的深度分析，因为我们是工信部的直属单位，工信部的监管平台也建了很多的，运营商各个地方通信管局建设平台是有一定的基础。从整个技术层面来讲，从传统的态势感知平台有五个纬度。

第一、应用分析。我们从态势感知平台本身必须具备的功能来讲，包括应用分析包括网络流量的构成，性能的分析流向分析，包括对用户的分析，现在大家从态势很多的平台也可以看到，我们用户群区分行为终端趋势这都是基础的功能要求。

第三、网云的纬度分析，这个纬度划分的比较细，包括社区街道负载的情况，我们获取到一些数据去做各个属性的分析。

第四、流量管控，我们在工信口包括运营商工作做的比较多，包括P2P的限速保证带宽资源优化。实际上态势感知平台不纯粹是一个检测平台它实际上过去整个安全保障体系的运营支撑的平台，所以说还有安全保障的功能，包括网络风暴防代码攻击实际上都可以用这个平台去进行。

我们现在在工控领域或者工业互联网领域对于整个工业互联网安全态势感知平台构建包括安全可视的关注点，我现在大概列了几点，比如说第一个大家现在有接触到工业用户大家也比较清楚，实际上设备的可视化和安全控制，这个目前在工业领域里面比较急于去解决的问题，就是用户侧。很多的用户单位对于本身的工控设备工控系统，包括现在很多的运用工业互联网平台接入智能终端，他们对于设备的基础可视，包括远程控制。这实际上是对于整个态势感知平台终端的要求，第二个就是安全实施与设备管理的可视化，我们现在做态势感知平台很多企业去过一些用户单位，其实有一个比较难的一点，因为现在很多的工业企业里面的安全实施和设备管理是隔离开的，有可能信息化部门这些都不统一，比如说要装探针装不到它的生产区域，就只能装到三区四区，去接受一些生产统计数据，现在没有人能够在真正生产控制区域装探针的。第四点就是云计算的安全可见，工信部从去年开始推企业上云，各地方政府也下了很多资金的扶持去做，但是对于云计算安全的可见，我们也希望云服务提供商去提供解决方案，我们的用户方能够有一定的技术手段平台，能够有一定的可视性。另外融合应用可视化边界，态势平台可以国家来用政府来用，运营商来用企业自身来用，我们态势感知平台的检测对象自己要进行梳理，给国家建一套强调对公网检测做流量的分析，企业这一块可能是企业深度资产管理，安全统一化的管理，包括企业内部的安全风险的防范，对于工业互联网的可视化总结几点，对于DPI应用还是核心的技术，现在也离不开相应的支撑。但是现在我们还有其他的数据收集来源，我们因为承接了工信部工业互联网安全监测国家级的平台，我们数据可能也从地方报送企业报送，不一定通过技术手段去进行检测。

另外就是工厂设备系统检测，这个实际上是在工控系统工业互联网领域里面算是突破的难点，这个也和大家简单的提过存在两个方面的问题，第一个技术问题，能不能把复杂的工控系统能够解析多少种工控协议能够把数据采上来，另外实施的难度。第三点工业互联网的平台边界，可视可见到安全可控，到底有没有发展的瓶颈，现在从字面上理解很多企业就是做可视可见，我看到有多少资产就放心了，现在可视化产品假如说在工业领域或者工业互联网领域去应用，可视化自身的要求适应性至少保证高可靠性和功能性能的基础，因为我们现在包括运营商用的DPI设备，很多性能要求差别还是很大的，大家可以再去了解一下，现在主流的DPI检测技术也很多，主流的设备产品只有那么几种，其实对于解析的能力，对于流量带宽的解析能力都有比较大的区别。对于工业互联网新模式下的新要求，我们可视化产品整个技术实现上要去实现包括对于检测内容对象，包括工业互联网平台的应用，也要考虑到OT、IT融合网络架构的复杂华，还有云计算大规模的应用，这样对于整个态势感知平台建设提了一个新的要求。

刚刚只是和大家分享了一下之前，因为我们在建设工信部工业互联网安全检测平台的任务，这个算是国家级的平台，同时也给企业和省级在建相应的监管平台，中间的思路和想法和大家做了一个分享。接下来花一点时间稍微介绍一下关于加强工业互联网安全工作的指导意见。为什么我要重点来介绍指导意见？大家之前在很多的场合也听到了工控、工业互联网很多政策的引导发展，实际上从2017年11月份国务院指导意见关于发展工业互联网+新制造业的意见之后，工信部也出台了三年行动计划，包括关于发展工业互联网的指导意见，当然这个也是首次我们院支撑工信部去出台加强工业互联网安全工作的指导意见，其实这个指导意见我接下来会对它的内容做解读，这个是对整个不管是地方政府、行业、企业、个人来讲涉及的面都相对比较广。指导意见本身就是为了落实和细化之前国务院顶层规划的指导意见相应要求，同时把对象也明确出来包括工业企业、平台企业、系统运营单位，包括现在地方监管部门，首先工信部是主体的监管部委，地方有两个口第一个口是地方通信管理局，第二个工业和信息化地方，同时整个指导目标是构筑系统化多层次的保障体系，以及形成国家省级联动的工作格局。现在在建设安全态势感知平台的三级体系，我们从工业互联网的安全角度，部里的要求也是按照这三级去做。

实际上我们指导意见主要的内容包括一个总体要求七大主要任务和四大保障措施，七大主要的任务可以简单的看一下，推动工业互联网的安全责任落实，还有提升企业的安全防护水平强化数据安全保护能力，原来都是强调应用安全和传统信息系统里面，最近大家关注更多一点包括终端一类的安全。同时我们也有相应建设国家的技术手段推动国家产业发展，大家最为关注的是四大保障措施，实际说现在已经做了很多的工作去加大相应产业支持力度以及发挥市场的作用，加快人才培养。在这个里面对于安全责任安全管理体系安全水平也是强调的可视可见，我们企业要夯实设备和控制安全提升网络安全强化平台安全，现在设备控制安全对于工业互联网领域模式是一个比较重要的点。

同时我们把这个数据安全单拿出来，我们要覆盖整个产业链的数据安全，因为现在很多工业OT网络数据已经往IT应用系统里面去做相应的有关应用，所以说对于工业数据泄露的风险是比较大，另外推动工业互联网的公共服务的能力，包括构建安全评估认证体系对于工业互联设备网络平台开展评估论证，支持相应的一些专业机构企业去提供服务。

这个是提到的保障措施，保障措施不和大家详细的说明时间有限。我就大概的用一张图简单的和大家介绍一下，2017年11月份国家发布关于互联网顶层指导意见之后，实际上这一年多接近两年的时间我们做了很多的工作，比如说2018年工业互联网络标识解析平台安全都出了很多的工作，我们依托工业互联网产业联盟做了很多的比如说企业内网络标准化改造新模式应用，包括工业领域的IPV6改造升级，安全领域包括整个保障体系的建设，共性服务的建设推广，评估测试和实验验证环境的一些建设。其实包括今天的主办方也是我们院之前第二批工业互联网评估机构，因为刚通过审核现在还没有正式颁证，我们会去推动整个产业发展，实际上去年也有专项资金支持，安全方向也是接近10亿。整个也是大几十亿的工程去支持了91个工业互联网创新项目，去支持大家进行改造升级安全建设平台建设。同时工信部也推出了72个工业互联网的试点示范项目，安全比较少。本身的安全产业确实体量比较小，跟大家说过其实我们地方推进是对于互联网安全是有比较好的市场环境，包括地方上已经出台了工业互联网行动计划实施方案还有资金专项，我们去年了解到上海、广东、深圳、福建、贵州等都已经出台了资金专项，有的发展比较好当年度都超过3亿支撑力度。