随着国家战略部署高效推进，工业信息安全应用已成为其重要支撑，构建面向智能工厂工业网络安全防护体系已迫在眉睫。针对典型业务场景，围绕制造流程，进行分层级安全防护，形成全覆盖的工控安全防护网，完成多手段工控安全直接防护，同时结合大数据分析，动态分析网络安全态势，做好安全预警，实现间接防护，最终建成自感知、自调整工业网络安全防护体系，促进智能制造产业可靠发展。
工业4.0正影响着全球制造业发展模式，带来竞争新格局。随着产业发展以及工业化与信息化的深度融合，智能制造发展也存在一些制约因素，例如信息化程度的提升面临着设备、数据、控制、网络、应用等方面的安全挑战。同时，工业控制系统的软硬件核心设备安全可靠水平低下，安全防护能力体系尚待完善等，将对智能制造工控网络安全提出更高的要求。面对智能工厂应用环境，参照工业网络安全合规标准和国内外的最佳实践，通过常态化的工业网络安全评估，分析安全状况和防护水平，找到与合规基准的差距，构建工控网络安全防护体系，有针对性地采取安全防护措施，提升智能工厂网络安全防护能力，促进我国智能制造产业发展。
智能制造领域工控网络安全风险分析
随着智能制造信息化程度的提高，网络安全风险越来越大，从数据、设备、控制、应用等方面存在安全隐患，宏观层面存在几个方面问题：一是在应用平台中存在共享资源、非授权访问；二是传统静态防护策略和安全域划分方法不能满足工业企业网络复杂多变、灵活组网的需求；三是传统工业环境下工业企业内部平台、工业通信协议、工业设备和系统在设计之初并未过多地考虑安全问题；四是由于我国工业设备安全可靠仍处于较低水平，智能制造设备安全形势严峻;五是智能制造数据种类和保护需求多样，设备间数据交互频繁，且缺乏统一监管，数据存在被窃取或滥用的风险。
具体风险隐患表现在以下几个方面：
(1)设备应用方面。
智能制造配套装备有别于传统制造装备，不仅在物理特性做了安全处理，同时由于集成了嵌入式操作系统、控制系统等应用功能单元，容易受到网络攻击，部分操作系统可能存在漏洞，也会导致被植入木马病毒，带来不可估量的影响。在DCS、PLC等工业控制设备上，安全防护能力也存在较大不足，较多应用场景中，互联网络和物联网络未进行隔离处理，物联网络可信程度不高，网络威胁可从工厂外直接进入到工厂内，且部分认证和授权的管控安全功能不完善或被舍弃等情况也存在。
(2)通信网络方面。
智能工厂网络IP化和无线化应用较为普及，带来安全隐患日益增大。IP化方面，由于针对TCP/IP协议攻击和破坏的方法多样及成熟，可直接对智能工厂网络产生威胁；无线化方面，由于智能工厂部分前端终端及应用装备配备无线功能，工厂现场有较为复杂的无线传感网络，这对工厂现场AGV小车、数控设备、配件组装系统、仓储物流单元等应用带来了较大的安全隐患，容易受到非法入侵、非法控制、信息泄露、错误操作等威胁。
(3)管理软件数据应用方面。
智能制造服务化的延伸，将生产制造执行系统、生产资源管理系统、产品全生命周期管理系统与车间的生产制造装备进行集成，形成辅助管理、数据报表、现场管理、远程支持等功能，并搭建全集成自动化软件平台，将这些功能进行深度集成，实现机械和电气的横向集成，传动、控制到制造执行系统的纵向集成。由于管理应用及数据应用覆盖整个制造生命周期，对工控网络安全提出了更高要求。应用软件将持续受到病毒、木马等威胁，如上位机漏洞等，从数据应用来说，数据体量大、维度多、结构复杂带来了数据防护难度增大，容易造成生产数据泄露、篡改等。
综上所述，根据智能制造业务流程特点，在设备应用、通信网络、管理软件和数据应用方面都存在一定的安全风险，需要从整体上考虑，建立一套适应智能制造领域新特点的工控网络安全防护体系。
智能制造领域工控网络安全体系框架
智能工厂作为智能制造典型应用，将以它为例，研究智能制造工控网络安全防护体系，主要从直接防护和间接防护两个角度分析。直接防护将结合等保2.0合规性要求、制造全生命周期覆盖、风险防护历史经验等方面，搭建体系化防护框架，重点解决设备应用、通信网络应用、管理软件及数据应用几方面问题。同时，由于智能工厂组网灵活，工业数据量大且动态变化复杂，还要辅以其他防护手段，做到间接防护，实现动态化的防护策略，构建基于安全数据的安全综合管控平台，进行大数据分析，达到整体安全态势监测与变化分析，做到及时预警和防护协同，提高智能工厂工业控制网络安全水平。智能制造工控网络安全框架如图1所示。
直接安全防护
智能工厂工控网络直接安全防护将从设备层、通信层、应用层各层边界安防进行重点防护，其安全防护体系架构如图2所示。
设备层安全
面向设备层，将通过身份认证、权限管理、访问控制来对现场设备层、控制层、监控层安全防护。构建一套设备层安全防护体系，首先完成数据审计，数据完整性审计贯穿现场控制层到现场操作层，用以保证传输过程、执行过程真实可靠。然后针对终端安全，部署基于白名单安全管控的上位机、工程师站、服务器等，以及部署全覆盖安全PLC等，做到对工业数据监测和防护；同时，采用安全检测评估经验和成熟技术对工控设备进行定期的安全检查，查找、修补漏洞，结合智能安全防护终端，实现智能化的串口、网口数据审查，阻止非法数据传输；对于终端，通过建立完善的终端安全防护体系，包含防病毒、身份鉴别、标准化管控、日志审计，确保操作系统的安全性，防止工控系统外部和内部的非法操作，做到监测预警，主动防御。该防护体系的构建包含了身份验证、病毒监测防护、日志审计、智能化管控等具体应用，保障了操作系统、工控系统的整体性安全。能够实现主动防御，提高工控网络设备的安全，设备层安全体系架构如图3所示。
通信网络层安全
智能工厂通信网络层安全将从网络边界安全防护考虑，根据不同层级及业务需求划分安全域。针对安全域，部署工控网络检测、隔离、防护系统，具体可用工业防火墙进行逻辑隔离，对数据进行合法合规审查，以此降低误操作、病毒攻击等威胁行为；可用工控安全监控审计系统进行网络节点审查，实现对工业控制系统以及与其他信息应用系统间的传输数据监测，完成网络攻击行为实时监控与检测分析，达到设备应用安全中工控层与设备层交互业务的审计和预警。在无线应用防护层面，部署实时监测控制器，做到对抗无线干扰、控制合法连接、精确定位攻击源，同时加强密码管理，降低信息窃取风险。通信网络层安全框架如图4所示。
数据应用层安全
数据应用主要集中在管理应用软件方面，管理应用软件开发存在开放、通用等特征，容易产生安全漏洞，存在一定的安全隐患。针对此情况，首先完成标准化规范相关工作，制定应用标准、应用开发环境等；然后对工业应用数据进行安全分析，做到对工业软件漏洞实时监测，及时做好补丁漏洞修复、病毒清理等；同时为提高数据本身安全性，做好应用数据(特别是生产数据、操作指令、设备运行数据等)及时存储备份工作；对于数据报文中的控制系统所涉参数及操作指令做好认证和相关通信加密工作；最后，加强数据安全分析工作，合理利用实时监控数据，做好运维工作，提高智能工厂工业控制网络安全性能。数据应用安全框图如图5所示。
间接安全防护
直接安全防护已从智能制造不同层级部署了工控安全防护系统，贯彻了生产制造全生命周期，在此基础上，最大效能地对工业数据进行安全分析，打破传统的重点依托物理防护方式，做到提前预警、及时防护，需要通过统一安全综合管控平台来实现间接安全防护，进而更全面地提升智能制造工业控制网络安全。该平台的建立，旨在网络安全威胁发生时提前感知，形成应对策略，并实现与工控安全设备联动，建立动态调整机制，进而保障智能工厂制造过程稳定进行。
具体应用来说，该综合管控平台首先完成设备、工控系统、功能传感器等数据采集与实时监控，其次结合大数据分析方法，对数据安全进行隐患排查，及做好源头追溯，做好主动防御，提高系统整体安全性能，保障工控网络可靠运行。
在攻击路径大数据应用分析方面，黑客在选择病毒攻击时，会有选择地确定主要攻击路线，针对此类情况，查找历史数据及案例库，运用人工神经网络算法，构建路径选择与攻击目标数学模型，确定大概率攻击路径，根据分析结果，做出有效防护，避免后续破坏行为，进而影响工控网络安全；同时，加强路径攻击监测，提供合理有效的监测数据用于路线评估，进而提高后台自优化能力，通过动态调测测量提升网络系统安全等级，实现最佳管控。
在控制源检测大数据应用方面，通过大数据分析，找出入侵源与控制主机的关系，确定数据采集环节风险隐患，搭建在线网络安全评估系统，及时做好病毒入侵预防工作；同时，以多种监测方式用于工控系统安全控制监测，应用数据分析结果，完善前期安全风险评估系统，避免系统内部病毒入侵带来的安全事故，加强控制源监测，并通过攻击模拟，增加工控安全应对策略数据库内容，提高在线安全评估系统防御的准确性，进而更好地保障整个工控系统安全稳定运行。
通过大数据分析挖掘等相关技术的应用，该综合管控平台实现工控网络安全态势分析、全局预警及辅助决策，逐步达到智能工厂工控网络自感知、自分析、自决策、自干预。间接安全防护体系框架如图6所示。
直间接全方位工控网络安全防护
在工业智能化发展过程中，工业信息安全体系防护能力已经成为国家发展战略的重要支撑。本文提出的直间接全方位工控网络安全防护体系不仅构建了智能制造领域基础安全防护体系，还通过间接防护的方式，实现了整体态势感知与及时响应，做到了及时预警和自执行等功能，这将给智能工厂企业提供一个更加可靠的网络环境，也将推进企业智能制造良性发展，提高生产制造效率，促进行业可持续发展。
结论
智能制造工控网络安全作为制造企业提质增效的辅助手段，越来越得到重视，本文结合智能制造工程实际需求及长远规划，提出了一种直间接全方位工控网络安全防护框架体系，保障智能工厂网络信息安全。后期工作将针对各防护手段进行进一步研究，提高安全防护技术水平，进一步完善安全框架体系，提高智能制造领域工业控制网络安全整体技术水平。
内容节选自《信息技术与网络安全》2019年第五期《智能制造工控网络安全防护体系发展概述》一文，作者李刚，郑美红）
声明：本文来自信息技术与网络安全，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
