淺談工業互聯網云平臺安全防護技術

【摘 要】 本文介紹了工業云平臺的關鍵技術，分析了工業互聯網通用的信息安全防護技術及特需安全防護技術，為工業互聯網云計算平臺安全實施提供參考建議。

【關鍵詞】工業互聯網 云計算平臺 安全防護技術

1 引言

工業云計算平臺（簡稱云平臺）是工業互聯網的重要組成部分，也是核心技術架構。工業云平臺主要為工業現場數據采集、傳輸以及在云端的數據存儲、處理及分析等各個環節提供基礎技術支持，以降低制造業企業實現數字化、智能化的技術門檻，助力工業企業智能制造實現優化資源配置、數字生產可視可控以及協同快速響應市場等決策目標。

2 工業云平臺特性

工業云平臺是基于傳統網絡云計算技術發展而來的，因此工業云平臺也要求實現高可靠、標準化、易用性、擴展性、虛擬化與軟件化、高實時與高性能，及信息安全性。

（1）高可靠，即為保證工業云平臺核心業務的連續穩定運行，需要采取冗余設計，在網絡整體和設備配置上設計雙備份，在網絡連接上消除單點故障，提供關鍵設備的故障切換，還要求網絡具有設備與鏈路遭遇故障時毫秒級的保護倒換能力。

（2）標準化，即工業云平臺因其與工業生產密不可分，應在特定的行業標準規范下設計，形成面向行業服務的信息化技術服務平臺。方案的設計應采用標準技術與協議，以便在面對多設備供應商、多工業服務對象的場景下，能夠保證良好的系統兼容性、服務產品通用性、功能多樣性、技術先進性和未來可拓展性。

（3）易用性，即簡化系統結構，降低維護量。

（4）擴展性，即方便進行符合需求的、規模較大的改造，并能不斷擴展服務器集群和軟件功能模塊。

（5）虛擬化與軟件化，即工業服務器、存儲器、網絡及安全設備應具備虛擬化功能，在虛擬化的基礎上，軟件化可以為工業生產模型、工業數據分析提供有力保障，也可為關鍵設備提供更高效率的檢測分析。另外，通過軟件定義的方式可以優化網絡關鍵設備與配置。

（6）高實時與高性能，即工業云平臺上布置感知、監測、預警、應急、評估等安全生產環節與生產業務通信應保證其實時性，以更好地提升工業生產的安全性。另外，工業生產在整個云計算上有映射，業務都分布在各個服務器上，流量模型從縱向流量轉換成復雜的多維度混合的形式，整個系統具有較高的吞吐能力和處理能力，系統各層均不存在阻塞，具備對突發流量的承受能力。

（7）信息安全性，是云平臺提供基礎設施服務、平臺服務和應用服務的最重要的保障。

以下從傳統云計算平臺架構及安全技術入手介紹工業云平臺安全技術的獨特性。

2.1 云平臺的通用安全技術

云計算具有按需服務、寬帶接入、虛擬化資源池、快速彈性架構、可測量的服務、多用戶等特征, 傳統的信息安全技術在云計算上有廣泛的應用，同時在云平臺上也會布置獨特的信息安全技術。傳統的云計算平臺安全機制主要有數據的隱私保護、數據完整性和機密性保護、身份和訪問管理（IAM）和單點登錄（SSO）等，如圖1所示。

（1）在數據的隱私保護方面，傳統云平臺具有隱私管理機制，這種機制提供一種輪轉、管理和檢索密鑰的服務。它巧妙地解決了應用程序數據庫憑證泄露的問題，還可以審核和監控密鑰使用情況，任何查看密鑰憑證的用戶都會被記錄下來，這也在一定程度上保障了密鑰的安全。其中的密鑰管理服務和眾多的云平臺其他服務進行集成，保證數據在靜態存儲時的加密安全，比如為EBS磁盤加密，保障EBS中數據的存儲安全等等。可以說，整個AWS云中數據的存儲安全都由密鑰管理服務（KMS）來負責。或者使用密鑰保險庫，可將密鑰以及在硬件安全模塊（HSM）中存儲密鑰的小密文（如密碼）進行加密。這樣就無須預配、配置、修補和維護硬件安全模塊及密鑰管理軟件。

（2）在數據完整性和機密性保護方面，主要包括數據加密、哈希計算、數字簽名、公鑰基礎設施等。這些技術依靠加密算法的可靠性，其密鑰的安全性依靠前文提到的密鑰管理服務。

（3）在身份與訪問管理方面，身份與訪問管理（IAM）貫穿云計算的各項服務中，任何服務之間的請求都需要身份驗證和授權，所有的身份驗證和授權都由身份與訪問管理這個服務來承擔。身份和訪問管理機制包含控制和跟蹤IT資源、環境和系統的用戶身份和訪問權限所必需的組件和策略，包括以下4個方面。

1）身份驗證——用戶名和密碼組合仍然是身份與訪問管理系統最常見的用戶身份驗證形式，它還可以支持數字簽名、數字證書、生物識別硬件（指紋識別器）、專業軟件（如語音分析程序），以及將用戶賬戶鎖定到已注冊的IP或MAC地址。

2）授權——授權組件定義訪問控制的正確粒度，并監督身份，確認訪問控制權限和IT資源可用性之間的關系。

3）用戶管理——與系統的管理功能相關，用戶管理程序負責創建新的用戶身份和訪問組，重置密碼，定義密碼策略和管理權限。

4）憑據管理——憑據管理系統為已定義的用戶賬戶建立身份和訪問控制規則，從而減輕授權不足的威脅。

盡管身份與訪問管理目標與公鑰基礎設施機制的目標類似，但身份與訪問管理機制的實現范圍是不同的，因為除了分配特定級別的用戶權限外，其結構還包括訪問控制和策略。身份與訪問管理機制主要用于抵制授權不足，拒絕服務和信任邊界重疊等威脅。

（4）在單點登錄方面，跨多個云服務傳播云服務使用者的身份驗證和授權信息可能是一項挑戰，尤其是在需要調用大量云服務或基于云的IT資源作為同一整體運行時活動的一部分時。單點登錄機制使一個云服務使用者能夠由安全代理進行身份驗證，該安全代理建立在云服務使用者訪問其他云服務或基于云的IT資源時持久存儲的安全環境。否則，云服務使用者需要在每個后續請求中重新進行身份驗證。單點登錄機制實質上使相互獨立的云服務和IT資源能夠生成和傳播運行時所需的認證和授權憑證。最初由云服務使用者提供的憑據在會話期間保持有效，同時共享其安全環境信息。當云服務消費者需要訪問駐留在不同云上的云服務時，單點登錄機制的安全代理特別有用。例如微軟的Azure Active Directory，它是用于管理和保護標識的通用平臺，可提供單一登錄和多重身份驗證，保護用戶安全。使用Azure Active Directory域服務將Azure虛擬機加入一個域，且無須部署域控制器。使用它們的企業Azure Active Directory憑證登錄到虛擬機，并無縫訪問資源。

其他信息安全保護技術還有：應用程序（Web應用）網關、VPN網關、信息保護、隔離、數據刪除等。

2.2 工業互聯網云平臺的獨特安全需求

除了以上提到的傳統云平臺的安全技術以外，工業互聯網云平臺安全技術需要注意以下3個方面：

（1）工業互聯網云平臺需要強化其在感知、檢測、預警、應急、評估的安全框架，保障安全生產的各個環節；

（2）工業互聯網云平臺需要支持面向安全生產的工業應用，在加密、數字簽名、訪問認證等方面需要探索使用新型的工業級的安全算法；

（3）保障關鍵設備的云平臺檢測分析，尤其是重要基礎設施在云平臺上的安全。

基于以上3方面特點，工業互聯網云平臺需要在云平臺上實現一種“工業操作系統”，以從系統安全生產管理的角度協同資源、業務與安全。通過這種統一管理分析的方式可以批量處理辦公業務終端、監督控制終端、設備執行終端等各個虛擬的終端和應用資源。這種“工業操作系統”需要和安全框架有機地結合在一起，為云平臺提供持續不斷的安全漏洞評估服務，以實現自動評估資源是否存在漏洞或者與最佳業務實施是否有偏差為目的，然后創建按嚴重性級別進行優先級排序的詳細安全結果列表，這種自我安全監督和安全評估將十分有利于工業生產的有序優化實施。

另外，工業互聯網應符合等級保護對安全域的規定，根據資源、數據、流程、業務的安全等級，在云平臺中設計安全域，從可靠性、實時性和性能幾方面設計安全域的信息安全通信等級。依據這一思想，可以設立私有網絡，幫助構建出多個獨立網絡空間，并自定義網段劃分和IP地址、自定義路由策略等。同時，通過部署基于互聯網IPSec VPN的隧道將云平臺私有網絡與企業實體內部同等級安全域的資源進行連通通信。

除此之外，企業在維護云平臺安全中需要定期實施滲透測試，通過完全模擬黑客可能使用的漏洞發現技術和攻擊技術，對目標系統的安全作深入地探測，發現系統最脆弱的環節，可有效發現與驗證每個安全隱患點的存在及其可利用程度，并從中找出企業最急需解決的安全問題，幫助管理者了解系統風險的分布情況，讓管理人員直觀地知道己方網絡所面臨的問題。也可以使用安全眾測的方式，通過“白帽子”（正面黑客，可識別計算機系統或網絡系統中的安全漏洞）進行私密、高效的安全測試，幫助企業全方位發現并提交業務中存在的安全漏洞及風險，協助企業及時響應并修復安全漏洞，避免造成更大的業務損失。依據云平臺的分布式結構體系，也可以采取分布式防護的解決方案，通過在多地云機房外部部署防護節點，分散流量，一方面提高攻擊者的攻擊門檻，另一方面增加DDoS防護的能力，同時還可以增加業務柔性，在面對大流量DDoS攻擊時提高業務可用性。

未來工業互聯網的安全技術趨勢由底層基礎設施到工業云平臺應用可以分為：（1）設備層安全，包括設備級別的自主可控可信與輕量化的通信加密；（2）網絡層安全，包括分布式可追溯的層級審計認證與可支持跨廠商的安全工業通信協議架構；（3）平臺層安全，云霧級強算力、高魯棒低延時安全機制實現與智能協同安全技術；（4）軟件層安全，面向內容與軟件安全技術；（5）行業應用層安全，面向應用的安全技術與行業性的安全規范等5個方面，從底到上的各層始終伴隨的保證數據、平臺和系統的安全需求，如圖2所示。其中云平臺安全對應著平臺層安全技術，其連接著網絡層與軟件層，扮演著如上提到的“工業操作系統”的作用，保障工業應用與基礎設施安全。云平臺提供支持網絡層安全中提到的分布式可追溯的層級審計認證與跨廠商的安全工業通信協議架構。云平臺的區塊鏈技術或者基于可信管理與信任鏈技術是實現這種支持的底層技術方案。云平臺安全保障軟件層安全，其強計算與高魯棒的安全控制保障軟件層內容與功能安全。云平臺安全對工業互聯網物理系統安全、數據安全和內容安全起著不可替代的作用。

3 結語

工業云計算平臺主要為工業現場數據采集、傳輸以及在云端的數據存儲、處理及分析等各個環節提供基礎技術支持，降低制造業企業實現信息化、智能化的技術門檻，是工業互聯網的重要組成部分。工業云計算平臺需要具備按需服務、寬帶接入、虛擬化資源池、快速彈性架構、可測量的服務、多用戶等特征，這些特征可以有效幫助工業企業更好地面對未來市場競爭，但同時工業云計算平臺為信息系統安全帶來了新的安全威脅。保障工業互聯網云平臺的信息安全是保障工業互聯網價值的核心所在。 

 

（原載于《保密科學技術》雜志2020年10月刊）