itle="1.jpg" alt="1.jpg" width="700" height="466"/>
柯皓仁 中國信息通信研究院副主任
工控系統(tǒng)在中國存在很長的時間，但是從安全角度來講真的有點像“小嬰兒”一樣，它的安全免疫系統(tǒng)是很薄弱的。現(xiàn)在傳統(tǒng)的信息安全很多的解決方法放到工控領(lǐng)域有一點不能夠完全復制，其實很多人包括傳統(tǒng)信息安全從業(yè)的技術(shù)人員和管理人員也好，他們對整個工控系統(tǒng)的理解相對來講是有偏差的，所以以原始接觸到的技術(shù)思路去做工控網(wǎng)絡安全檢測、防護、體系建設(shè)，相對來講有很大的壁壘。
我今天只分享兩個方面，第一個還是以工業(yè)互聯(lián)網(wǎng)視角從它的安全可視到可控做一些思路上的分享，第二和大家分享一下工信部在今年4月份發(fā)布《關(guān)于加強工業(yè)互聯(lián)網(wǎng)安全工作的指導意見》做一下解讀，我個人從2013年開始做工控安全實質(zhì)性的工作，當時國家部委層面相對比較弱，工作推進的不是很明顯，但是在2017年工控互聯(lián)網(wǎng)整個國家戰(zhàn)略提出來之后，現(xiàn)在不管是地方政府還是行業(yè)企業(yè)發(fā)展是比較迅速的，恐懼源自于未知，為什么今天帶小孩去看病很害怕，原來發(fā)燒一個晚上就好了，我們作為家長不知道他到底怎么了，他也不會說，我們對安全因素考慮來講，我要知道你要來打我知道怎么防，這樣相對有一個對應的心理，現(xiàn)在特別是工業(yè)互聯(lián)網(wǎng)包括OT、IT深度融合之后，它帶來的很多風險是不能夠提前預知，所以會增強恐懼心理。
我這里用了一個圖，應該是跨越黃河的一個代表從我個人的從業(yè)經(jīng)歷有一個理解，原來做IT系統(tǒng)運維實際上有很大的特征，就跟過河一樣，可以是一段橋，一步一步往前走，系統(tǒng)可以按照規(guī)程一步步去運營，比如我真的是累了可以休息一下接著走下一步，我休息十分鐘二十分鐘都可以，原來很多做安全應急處置的時候，最常見的晚上12點開始做一些升級，包括做一些其他的動作。因為12點很多人都睡覺了，我們公司很多服務也不再提供了，整個系統(tǒng)活躍度比較低，這個時候可以做一些運維性的工作。但是其實我們在OT里面跟IT系統(tǒng)不一樣，很多的工控系統(tǒng)就是連續(xù)性的，比如說摩托車在某一個點不能停下，很多的工業(yè)系統(tǒng)特別是能源領(lǐng)域它整個系統(tǒng)運轉(zhuǎn)是具有非常強的實時性，還有很高的可靠性要求，所以沒有辦法臨時停下來我去給哪一個系統(tǒng)替換一個設(shè)備。大家沒有專注于這個領(lǐng)域，前一段時間我們?nèi)ニ鄰S做安全風險評估，我們當時做的時候不到一天的時摸出來之前在電廠很多其他的工廠里面安全漏洞多太多，就是什么安全防護都沒有，系統(tǒng)也很老舊，但是他們也用了比較新的技術(shù)，他們也有視頻的監(jiān)控遠程控制，但是水泥廠很典型它是24小時運轉(zhuǎn)，只要重新點火一次就是50萬，對于他來講所有的安全風險帶來的安全事件假如說影響他整個的工控系統(tǒng)，對于他來講經(jīng)濟損失肯定是最直接的，所以在整個工控系統(tǒng)里面，我們可能就是在做騎摩托車跨越黃河的感覺，很多都是連續(xù)性的東西。所以代表了我們在做安全工作的過程當中，過去以點為防護，我今天可以買一個墻，但是對于工控系統(tǒng)來講單純以賣產(chǎn)品角度實現(xiàn)整個安全體系的建設(shè)特別是原來做生產(chǎn)安全工業(yè)專家實際上不認可的，它需要匹配生產(chǎn)業(yè)務連續(xù)性可靠高可用的防護體系的建設(shè)。
今天的主題是工控網(wǎng)絡安全，因為我們院除了工控安全以外重點也愛工業(yè)互聯(lián)網(wǎng)安全，里面也是涉及到故障安全。其實現(xiàn)在也在強調(diào)工業(yè)互聯(lián)網(wǎng)網(wǎng)絡安全的可視性，因為工業(yè)互聯(lián)網(wǎng)安全從某一種意義上來講的話，也是應對工業(yè)互聯(lián)網(wǎng)本身是工控網(wǎng)絡，傳統(tǒng)的OT網(wǎng)絡和IT網(wǎng)絡深度融合的結(jié)果它是新模式的應用，同樣對于網(wǎng)絡邊界也是進行了重新的定義，原來大家做工控安全都很清楚，我們能源局包括電廠很多的工控系統(tǒng)是有分區(qū)分域的原則能夠劃分出一些安全防護的規(guī)則，但是對于工業(yè)互聯(lián)網(wǎng)本身來講由于新型的融合應用逐漸豐富，它的邊界很難去劃分。
比如說很多工廠，實際上和互聯(lián)網(wǎng)平臺已經(jīng)有了數(shù)據(jù)交互業(yè)務交互，所以有直接終端到我們的平臺，所以我們的邊界相對來講變的和之前的邊界是有區(qū)分的，另外云計算的使用也導致很多邊界不是特別好定義。其實現(xiàn)在不光是工控安全還有傳統(tǒng)的互聯(lián)網(wǎng)安全都在強調(diào)實時威脅檢測，包括之前美國空軍最早提出來態(tài)勢這個詞，有一部分平臺給我最大的感受就是看地圖不停的換圖，其實真正能夠給用戶給我們使用方起到什么樣的效果，現(xiàn)在不敢保證。我們在這里可視可見不是強調(diào)它是等于態(tài)勢感知平臺的建設(shè)，特別是我個人認為對于態(tài)勢感知的平臺在工控領(lǐng)域甚至延展到傳統(tǒng)的網(wǎng)絡安全領(lǐng)域，實際上建設(shè)階段還是初期的建設(shè)階段，實際上我們的面已經(jīng)比歐美的國家建設(shè)的面更加廣，但是我們應用深度包括態(tài)勢感知平臺本身起到的作用相對比較弱。我們之前有接觸過一些用戶單位，他們對于整個可視可見，比如說現(xiàn)在阿里也有工業(yè)大腦現(xiàn)在很多企業(yè)都建信息中心建機房直接用工業(yè)大腦，我們當時在山東和企業(yè)負責人也和他溝通，他問我，你們談工控安全，我現(xiàn)在馬上要和華為簽用工控大腦的合同，我不懂安全和信息化，我只懂生產(chǎn)系統(tǒng)，我上線之后怎么樣約束阿里他提出來的整個安全，我生產(chǎn)數(shù)據(jù)業(yè)務數(shù)據(jù)很多都要上云，這些對于我來說都是不可見的，甚至在云上發(fā)生的數(shù)據(jù)泄露包括服務停止很多的安全事件在國內(nèi)也出現(xiàn)了很多次，包括去年的騰訊跟千元數(shù)控糾紛問題也是一樣，不管因為什么原因很多云上的服務對于用戶來講，對業(yè)務是有一定的可視性，但是對于整個安全基本上就是一個瞎子，這樣我們怎么去利用其他的各種手段，或者希望我們的云服務提供商給什么樣的呈現(xiàn)來去做安全可視可見的，這個也是在態(tài)勢感知里面想提到的一些點。
我們總結(jié)出來幾點，最好的可視決定更高的安全，用戶方來講我提前預知到先不說能不能反制它，我起碼先做一個應急響應機制，能夠把安全風險降低減輕。第二，其實我們希望整個態(tài)勢感知包括做的可視化平臺能夠?qū)粜袨檫M行可視。第三，態(tài)勢，從勢的角度來講能夠有能力去做預測性的工作預測性的分析，能夠給企業(yè)的安全決策做一些專家支撐，當然現(xiàn)在個人看了很多，不具備能夠抵御網(wǎng)絡攻擊的能力。我們的態(tài)勢感知不管歐美還是中國都特別強調(diào)對態(tài)勢感知方面的能力，具備應急處置和恢復的能力，因為態(tài)勢感知第一個是強調(diào)它整個檢測能力，我們發(fā)現(xiàn)的能力。還有一點整個應急響應和應急處置，最后一點能夠持續(xù)提升工業(yè)互聯(lián)網(wǎng)網(wǎng)絡安全防護能力，我個人今天的主題是圍繞工業(yè)互聯(lián)網(wǎng)，在我們的工作和實際應用當中，工業(yè)互聯(lián)網(wǎng)工控落地是比較強的。我通過剛剛和他們分享的點，再和大家分享一下對安全可視的關(guān)注點，我們在傳統(tǒng)的網(wǎng)絡安全態(tài)勢感知平臺的基礎(chǔ)上，其實強調(diào)的可能是幾個點，第一個安全可視化呈現(xiàn)，這是目前很多的安全廠商和科研機構(gòu)態(tài)勢感知平臺都有的功能，這個功能也是我個人覺得不是特別好的，因為我看了太多特別絢的平臺，了解他們的實際能力之后我看了很多的圖，甚至就看了很多的動畫，對于功能來講能夠給使用用戶到底能做什么樣的工作，提供什么樣的安全運營保障，實際上是比較弱的。第二個目前很多的態(tài)勢平臺還基于DPI的可視化，DPI確實是整個態(tài)勢感知平臺從技術(shù)緯度一個很重要的元素，其實所有的包括后面做的深度分析專家決策也是依賴于DPI相關(guān)的技術(shù)實現(xiàn)。另外在目前真正能夠應用到態(tài)勢感知平臺可能比較多的實際上在運營監(jiān)管和支撐，所以大家可以看到從用戶的角度來講，現(xiàn)在政府運營商大型企業(yè)應用態(tài)勢感知的比較多，特別是企業(yè)的態(tài)勢感知平臺很難推，大多有監(jiān)管需求包括集團承接的企業(yè)，可能對二級三級的企業(yè)有監(jiān)管要求。另外整個態(tài)勢感知平臺確實也要強調(diào)安全策略的可視化，我們核心的技術(shù)要素DPI應用上以政府運營商扮演的企業(yè)較多，也進行過很多的深度分析，因為我們是工信部的直屬單位，工信部的監(jiān)管平臺也建了很多的，運營商各個地方通信管局建設(shè)平臺是有一定的基礎(chǔ)。從整個技術(shù)層面來講，從傳統(tǒng)的態(tài)勢感知平臺有五個緯度。
第一、應用分析。我們從態(tài)勢感知平臺本身必須具備的功能來講，包括應用分析包括網(wǎng)絡流量的構(gòu)成，性能的分析流向分析，包括對用戶的分析，現(xiàn)在大家從態(tài)勢很多的平臺也可以看到，我們用戶群區(qū)分行為終端趨勢這都是基礎(chǔ)的功能要求。
第三、網(wǎng)云的緯度分析，這個緯度劃分的比較細，包括社區(qū)街道負載的情況，我們獲取到一些數(shù)據(jù)去做各個屬性的分析。
第四、流量管控，我們在工信口包括運營商工作做的比較多，包括P2P的限速保證帶寬資源優(yōu)化。實際上態(tài)勢感知平臺不純粹是一個檢測平臺它實際上過去整個安全保障體系的運營支撐的平臺，所以說還有安全保障的功能，包括網(wǎng)絡風暴防代碼攻擊實際上都可以用這個平臺去進行。
我們現(xiàn)在在工控領(lǐng)域或者工業(yè)互聯(lián)網(wǎng)領(lǐng)域?qū)τ谡麄€工業(yè)互聯(lián)網(wǎng)安全態(tài)勢感知平臺構(gòu)建包括安全可視的關(guān)注點，我現(xiàn)在大概列了幾點，比如說第一個大家現(xiàn)在有接觸到工業(yè)用戶大家也比較清楚，實際上設(shè)備的可視化和安全控制，這個目前在工業(yè)領(lǐng)域里面比較急于去解決的問題，就是用戶側(cè)。很多的用戶單位對于本身的工控設(shè)備工控系統(tǒng)，包括現(xiàn)在很多的運用工業(yè)互聯(lián)網(wǎng)平臺接入智能終端，他們對于設(shè)備的基礎(chǔ)可視，包括遠程控制。這實際上是對于整個態(tài)勢感知平臺終端的要求，第二個就是安全實施與設(shè)備管理的可視化，我們現(xiàn)在做態(tài)勢感知平臺很多企業(yè)去過一些用戶單位，其實有一個比較難的一點，因為現(xiàn)在很多的工業(yè)企業(yè)里面的安全實施和設(shè)備管理是隔離開的，有可能信息化部門這些都不統(tǒng)一，比如說要裝探針裝不到它的生產(chǎn)區(qū)域，就只能裝到三區(qū)四區(qū)，去接受一些生產(chǎn)統(tǒng)計數(shù)據(jù)，現(xiàn)在沒有人能夠在真正生產(chǎn)控制區(qū)域裝探針的。第四點就是云計算的安全可見，工信部從去年開始推企業(yè)上云，各地方政府也下了很多資金的扶持去做，但是對于云計算安全的可見，我們也希望云服務提供商去提供解決方案，我們的用戶方能夠有一定的技術(shù)手段平臺，能夠有一定的可視性。另外融合應用可視化邊界，態(tài)勢平臺可以國家來用政府來用，運營商來用企業(yè)自身來用，我們態(tài)勢感知平臺的檢測對象自己要進行梳理，給國家建一套強調(diào)對公網(wǎng)檢測做流量的分析，企業(yè)這一塊可能是企業(yè)深度資產(chǎn)管理，安全統(tǒng)一化的管理，包括企業(yè)內(nèi)部的安全風險的防范，對于工業(yè)互聯(lián)網(wǎng)的可視化總結(jié)幾點，對于DPI應用還是核心的技術(shù)，現(xiàn)在也離不開相應的支撐。但是現(xiàn)在我們還有其他的數(shù)據(jù)收集來源，我們因為承接了工信部工業(yè)互聯(lián)網(wǎng)安全監(jiān)測國家級的平臺，我們數(shù)據(jù)可能也從地方報送企業(yè)報送，不一定通過技術(shù)手段去進行檢測。
另外就是工廠設(shè)備系統(tǒng)檢測，這個實際上是在工控系統(tǒng)工業(yè)互聯(lián)網(wǎng)領(lǐng)域里面算是突破的難點，這個也和大家簡單的提過存在兩個方面的問題，第一個技術(shù)問題，能不能把復雜的工控系統(tǒng)能夠解析多少種工控協(xié)議能夠把數(shù)據(jù)采上來，另外實施的難度。第三點工業(yè)互聯(lián)網(wǎng)的平臺邊界，可視可見到安全可控，到底有沒有發(fā)展的瓶頸，現(xiàn)在從字面上理解很多企業(yè)就是做可視可見，我看到有多少資產(chǎn)就放心了，現(xiàn)在可視化產(chǎn)品假如說在工業(yè)領(lǐng)域或者工業(yè)互聯(lián)網(wǎng)領(lǐng)域去應用，可視化自身的要求適應性至少保證高可靠性和功能性能的基礎(chǔ)，因為我們現(xiàn)在包括運營商用的DPI設(shè)備，很多性能要求差別還是很大的，大家可以再去了解一下，現(xiàn)在主流的DPI檢測技術(shù)也很多，主流的設(shè)備產(chǎn)品只有那么幾種，其實對于解析的能力，對于流量帶寬的解析能力都有比較大的區(qū)別。對于工業(yè)互聯(lián)網(wǎng)新模式下的新要求，我們可視化產(chǎn)品整個技術(shù)實現(xiàn)上要去實現(xiàn)包括對于檢測內(nèi)容對象，包括工業(yè)互聯(lián)網(wǎng)平臺的應用，也要考慮到OT、IT融合網(wǎng)絡架構(gòu)的復雜華，還有云計算大規(guī)模的應用，這樣對于整個態(tài)勢感知平臺建設(shè)提了一個新的要求。
剛剛只是和大家分享了一下之前，因為我們在建設(shè)工信部工業(yè)互聯(lián)網(wǎng)安全檢測平臺的任務，這個算是國家級的平臺，同時也給企業(yè)和省級在建相應的監(jiān)管平臺，中間的思路和想法和大家做了一個分享。接下來花一點時間稍微介紹一下關(guān)于加強工業(yè)互聯(lián)網(wǎng)安全工作的指導意見。為什么我要重點來介紹指導意見？大家之前在很多的場合也聽到了工控、工業(yè)互聯(lián)網(wǎng)很多政策的引導發(fā)展，實際上從2017年11月份國務院指導意見關(guān)于發(fā)展工業(yè)互聯(lián)網(wǎng)+新制造業(yè)的意見之后，工信部也出臺了三年行動計劃，包括關(guān)于發(fā)展工業(yè)互聯(lián)網(wǎng)的指導意見，當然這個也是首次我們院支撐工信部去出臺加強工業(yè)互聯(lián)網(wǎng)安全工作的指導意見，其實這個指導意見我接下來會對它的內(nèi)容做解讀，這個是對整個不管是地方政府、行業(yè)、企業(yè)、個人來講涉及的面都相對比較廣。指導意見本身就是為了落實和細化之前國務院頂層規(guī)劃的指導意見相應要求，同時把對象也明確出來包括工業(yè)企業(yè)、平臺企業(yè)、系統(tǒng)運營單位，包括現(xiàn)在地方監(jiān)管部門，首先工信部是主體的監(jiān)管部委，地方有兩個口第一個口是地方通信管理局，第二個工業(yè)和信息化地方，同時整個指導目標是構(gòu)筑系統(tǒng)化多層次的保障體系，以及形成國家省級聯(lián)動的工作格局。現(xiàn)在在建設(shè)安全態(tài)勢感知平臺的三級體系，我們從工業(yè)互聯(lián)網(wǎng)的安全角度，部里的要求也是按照這三級去做。
實際上我們指導意見主要的內(nèi)容包括一個總體要求七大主要任務和四大保障措施，七大主要的任務可以簡單的看一下，推動工業(yè)互聯(lián)網(wǎng)的安全責任落實，還有提升企業(yè)的安全防護水平強化數(shù)據(jù)安全保護能力，原來都是強調(diào)應用安全和傳統(tǒng)信息系統(tǒng)里面，最近大家關(guān)注更多一點包括終端一類的安全。同時我們也有相應建設(shè)國家的技術(shù)手段推動國家產(chǎn)業(yè)發(fā)展，大家最為關(guān)注的是四大保障措施，實際說現(xiàn)在已經(jīng)做了很多的工作去加大相應產(chǎn)業(yè)支持力度以及發(fā)揮市場的作用，加快人才培養(yǎng)。在這個里面對于安全責任安全管理體系安全水平也是強調(diào)的可視可見，我們企業(yè)要夯實設(shè)備和控制安全提升網(wǎng)絡安全強化平臺安全，現(xiàn)在設(shè)備控制安全對于工業(yè)互聯(lián)網(wǎng)領(lǐng)域模式是一個比較重要的點。
同時我們把這個數(shù)據(jù)安全單拿出來，我們要覆蓋整個產(chǎn)業(yè)鏈的數(shù)據(jù)安全，因為現(xiàn)在很多工業(yè)OT網(wǎng)絡數(shù)據(jù)已經(jīng)往IT應用系統(tǒng)里面去做相應的有關(guān)應用，所以說對于工業(yè)數(shù)據(jù)泄露的風險是比較大，另外推動工業(yè)互聯(lián)網(wǎng)的公共服務的能力，包括構(gòu)建安全評估認證體系對于工業(yè)互聯(lián)設(shè)備網(wǎng)絡平臺開展評估論證，支持相應的一些專業(yè)機構(gòu)企業(yè)去提供服務。
這個是提到的保障措施，保障措施不和大家詳細的說明時間有限。我就大概的用一張圖簡單的和大家介紹一下，2017年11月份國家發(fā)布關(guān)于互聯(lián)網(wǎng)頂層指導意見之后，實際上這一年多接近兩年的時間我們做了很多的工作，比如說2018年工業(yè)互聯(lián)網(wǎng)絡標識解析平臺安全都出了很多的工作，我們依托工業(yè)互聯(lián)網(wǎng)產(chǎn)業(yè)聯(lián)盟做了很多的比如說企業(yè)內(nèi)網(wǎng)絡標準化改造新模式應用，包括工業(yè)領(lǐng)域的IPV6改造升級，安全領(lǐng)域包括整個保障體系的建設(shè)，共性服務的建設(shè)推廣，評估測試和實驗驗證環(huán)境的一些建設(shè)。其實包括今天的主辦方也是我們院之前第二批工業(yè)互聯(lián)網(wǎng)評估機構(gòu)，因為剛通過審核現(xiàn)在還沒有正式頒證，我們會去推動整個產(chǎn)業(yè)發(fā)展，實際上去年也有專項資金支持，安全方向也是接近10億。整個也是大幾十億的工程去支持了91個工業(yè)互聯(lián)網(wǎng)創(chuàng)新項目，去支持大家進行改造升級安全建設(shè)平臺建設(shè)。同時工信部也推出了72個工業(yè)互聯(lián)網(wǎng)的試點示范項目，安全比較少。本身的安全產(chǎn)業(yè)確實體量比較小，跟大家說過其實我們地方推進是對于互聯(lián)網(wǎng)安全是有比較好的市場環(huán)境，包括地方上已經(jīng)出臺了工業(yè)互聯(lián)網(wǎng)行動計劃實施方案還有資金專項，我們?nèi)ツ炅私獾缴虾！V東、深圳、福建、貴州等都已經(jīng)出臺了資金專項，有的發(fā)展比較好當年度都超過3億支撐力度。