一种IT和OT安全融合的思路.docx

《一种IT和OT安全融合的思路.docx》由会员分享，可在线阅读，更多相关《一种IT和OT安全融合的思路.docx（10页珍藏版）》请在课桌文档上搜索。

1、摘要数字化、网络化、智能化加速发展，使得信息技术(InfOrmatiOnTeChnOlOgy,IT)与操作技术(OperationTechnoIogy,0T)融合成为工业数字化转型和制造业高质量发展的关键。与此同时，网络风险也不断向工业领域渗透蔓延。从多个维度分析当前IT和OT融合的现状，科学论证其带来的网络安全风险，尤其是对工业控制系统关键组件的影响。针对现状和问题，从技术维度提出一种IT和OT安全融合的思路，并给出相应建议。在工业数字化转型浪潮下云、大、物、移、智等新技术在工业领域不断应用，使IT和OT深度融合，产生了以工业互联网为代表的数字化应用，促进了工业生产管理、运营决策与制造执行等

2、各方面的“颠覆式变革。同时，从互联网传进来的各种网络风险逐渐渗透到OT系统，近年来，IT和OT结合导致的工业生产安全风险逐渐加剧，如2018年台积电遭病毒入侵导致重要产线停摆,2019年委内瑞拉电力控制系统连续多次遭受网络攻击，2020年钢铁制造商EVRAZ遭到勒索软件攻击导致多家工厂停产，2021年美国最大输油管线遭勒索软件攻击，严重影响国内多地燃油供应。因此，必须采取有效的、针对性的IT和OT安全融合措施，以保障工业生产安全运行。1IT和OT融合发展现状1.1 IT和OT概述Gartner关于OT的定义是直接监控和/或控制工业设备、资产、流程和事件来检测物理过程或使物理过程产生变化的硬件和

3、软件。按照概念，OT强调直接”作用，其实就是可编程逻辑控制器(ProgrammableLogicController,PLC)、分布式控制系统(DistributedControlSystem,DCS)、监控矛口数据采集系统(SupervisoryControlandDataAcquisition,SCADA)等工业控制系统及其应用软件的总称，包含数据采集和自动控制技术。IT主要用于企业管理的硬件、软件、网络、通信技术以及存储、处理和向企业各个部门传输信息的系统。制造执行系统(ManufacturingExecutionSystem,MES)/制造运营管理系统(ManufacturingOpe

4、rationsManagement,MOM)处于IT和OT之间。IT和OT的范围如图1所示。图1IT和OT的范围简而言之，IT和OT都是为工业企业服务。目前，OT部分主要用于控制和分析企业生产过程促进进一步改善生产；IT部分重点处理企业各类数据和信息，并维护企业所制造产品的质量。历史上这二者是相互独立的，随着技术的发展，IT和OT相互融合必将显著改善企业运营情况，能够进一步增强工业企业管理者监控运行和过程的能力，促进工业企业提质增效，主要体现在以下几个方面：(1)降低工业资源和人力成本。引入IT侧的云化和虚拟化技术，在不影响OT侧各控制系统正常运行的情况下，将各生产区的服务器上云，减少了企业在

5、设备成本方面的开支，并且基于云平台的统一操作入口也易于工作人员实施设备更新，简化了工业操作。(2)提高工业设备安全性与预测性维护。OT侧借助物联网传感器和流量探针等IT基础设施，实时监测工业设备的状态和生产过程，并利用人工智能和大数据技术对采集的数据进行建模分析，有效识别设备异常状态并预测潜在的安全风险边界。(3)提高经营决策效率。通过业务指挥调度平台和综合态势感知平台联动，全面分析管理流程、工业业务流程和生产过程数据，进一步优化企业信息共享方式，快速响应客户订单需求，高效完成产品的开发和集成。1.2 IT和OT融合现状整体来说，目前多数工业企业主要从以下3个维度开展IT和OT融合。(1)架构

6、融合。企业的IT和OT部分在物理层面多是分区域的，架构也相对独立，当前业界主要通过建设类似工业互联网平台的云架构来实现IT和OT的融合，基于平台实现SCADA系统等在云端部署应用，实现IT和OT各类软硬件资源及容器等开发工具的接入、控制和应用，实现各类多源异构设备的数据采集、传输和交互。(2)数据融合。通过智能传感器、数据采集设备等对产品在设计、研发、生产过程及在相关业务环节中产生的全域数据进行实时采集，同时整合销售运营数据、供应链管理数据、财务会计数据等工业大数据资源，并利用机器学习、深度学习等技术进行模型训练与综合分析，打通从OT到IT的全流程，实现企业生产流程优化及内部精细化运营管理。(

7、3)虚实融合.当前数字挛生技术广泛应用在智慧水厂、汽车生产、矿山智能巡检及自动化立体仓库等工业场景中，通过将物理场景中产生的大量数据在云端进行存储、管理和建模分析，实现全生产链要素的高度互联，有效解决各领域面临的信息孤岛统筹难、集中监管难度大、信息反馈不及时、运营维护成本高等痛点问题。2IT和OT融合网络安全风险IT和OT融合已成为必然趋势，使得工业网络结构、形态、协议及通信方式均在发生改变，IT降低了攻击成本，部分OT系统自身也变成了联网设备，诸多因素导致IT和OT融合引发了更多的网络安全风险，主要体现在平台/系统的应用、网络、设备、数据等方面。(1)应用层面。应用主要以设计、生产、管理、服

8、务等工业业务运行App的方式服务于用户，有些还集成了设备状态分析、能耗分析优化等创新应用。工业互联网使得上述应用变得共享和开放，企业内诸多业务逻辑均暴露于网络中，攻击者极易通过扫描开放应用端口并利用开放服务在身份鉴别、访问控制、安全接口和安全审计等方面的漏洞和缺陷进入网络服务器等核心基础设施，同时以办公网为跳板对控制网进行渗透和攻击，直接威胁安全生产。(2)网络层面。因IT和OT各自用到的网络通信协议或网络架构的安全性存在差异性，IT和OT网络互联后，安全风险将互相渗透，加大了网络风险暴露面。例如在工业现场的安全风险，一是大量物联网终端使用全球移动通信系统(GlobalSystemforMob

9、ileCommunication,GSM)网卡，而GSM存在单向认证缺陷，面临移动用户的数据信息被伪基站截获的风险；二是很多现场设备采用ModbusxProfinet等传统工业协议进行有线传输，这些协议自身缺乏身份认证、授权及加密等安全机制，黑客极易利用这些漏洞对设备下达恶意指令。在网络边界，诸多边缘设备采用了具有非授权组网特性的LoRa协议，其面临报文伪造、恶意拥塞、身份伪造等安全风险。如今,5G+工业互联网”得到深入应用，相比于3G和4G,5G虽然在网络架构上进行了全新设计，在网络安全方面进行了增强，但5G采用的公钥加密接入认证算法仍存在隐私泄露的风险。(3)设备层面。融合之前设备存在的安

10、全风险在融合之后依然存在，主要包括：一是利用U盘等移动介质进行攻击，只要移动介质连接到工业控制设备，恶意程序就会自动运行，病毒在全网进行传播，影响IT侧的正常业务办公和管理决策等，窃取企业核心数据，并针对OT侧的各控制系统实施恶意指令下发，影响安全生产；二是设备自身的漏洞缺陷，包括操作系统、设备上的应用软件及其插件、设备硬件接口等，容易被攻击者利用；三是安全管理层面，硬件设备接口未做安全防护、软件补丁更新不及时、采用弱口令、零或者弱安全认证机制。(4)数据层面。一是融合后扩大了针对海量多源异构数据的攻击面，现有基于用户身份或角色的访问控制策略难以满足大规模数据的细粒度访问控制要求；二是产品全生

11、命周期产生的各类数据包含大量敏感信息，在设备与云端进行通信时，若OT侧的探针采集的数据未经加密，攻击者可通过监听的方式获取设备敏感信息，此外，数据基于平台进行流通和共享时，存在数据滥用、隐私泄露等安全威胁。具体以典型工业控制系统SCADAx人机界面(HumanMachineInterface,HMI)和PLC为例来分析IT和OT融合后面临的安全挑战。(1)SCADA系统安全。SCADA系统可看成IT和OT的分界。一方面，未授权非法访问、工业控制标准协议和通用技术的开放性、工业控制软硬件产品自身缺陷、从业人员等综合因素加剧了网络安全风险；另一方面,SCADA系统上云后，伴生由云安全延伸的安全风险

12、。(2)HMl和PLC安全。HMI是上位机，从属于控制系统，界面实时显示现场系统状态。HMI对现场系统进行控制和监视，实际上是HMI编程人员将每个指示器和按钮编程到PLC的指定寄存器地址中，而这个控制过程通常带有密码设置，极易被黑客破译，使得操作员失去对人机操作界面的视图控制权。利用HMI攻击PLC的过程如图2所示，典型攻击案例是2015年乌克兰电网事件。图2工业网络攻击过程一旦网络攻击渗透到PLC,会直接影响到现场设备。同时，PLC需要与控制中心通信，其自身安全是整个工业信息安全的最后防线，但当前PLC多是基于裁剪的嵌入式系统，加之基于扫描的工作方式和面向命令的工控协议，存在较大的安全风险隐

13、患，以协议中的自定义命令字为例来说明，Modbus协议的从机诊断命令会造成从机PLC切换到侦听模式，通用工业协议(CommonIndustrialPrOtOCol,ClP)部分命令字会造成从机PLC直接重启,S7协议的StopCPU功能会导致PLC程序运行停止。3IT和OT安全融合思路针对IT和OT融合现状及面临的诸多网络安全风险，建议企业从管理、技术和运营等方面进行综合加强，其中技术方面重点从安全基础技术、数据和态势3个方面开展安全融合，呈现层IT和OT安全融合技术架构如图3所示。门资产布势(资产态势威胁态势OT威胁态势IT漏洞方势CT漏洞态势rr情报库CT情报陈关联规则机器学习关联规则风险

14、分析FTFl志与告警管理OT日志与告警管理OT审计身份认证监控审计安全却BIT界第行为分析丁:法协议分析|机器学习|控用户行为分析密码加密访问控制|SeADA|HMl图3IT和OT安全融合技术架构3.1安全基础技术融合融合安全技术成为IT和OT融合的必然选择。从安全自主可控角度出发，通过采用轻量级的国产密码技术及安全可信技术等，实现安全加密防护技术与PLC/远程终端设备(RemoteTerminalUnit,RTU)等工控核心部件深度融合,形成一体化的安全PLC/安全RTU,在满足工业控制系统实时性和环境适应性的前提下，实现自身与上位机通信的加密保护，网络通信的协议识别和内容检测，以及对自身存

15、储固件和数据完整性的保护等，本质上实现了内生安全，既能防护OT内部威胁，也能防护IT威胁。3.2 数据融合数据融合工作主要从数据采集层面和数据处理层面开展。(1)数据采集层流量探针功能融合。IT探针主要采集通用网络设备、安全设备以及终端等的数据；OT探针主要采集现场工业控制设备、自动化设备、控制监控系统以及终端等的数据。以上数据构成了涵盖网络原始流量数据、资产数据、终端行为数据、审计数据和元数据等各种信息的工业信息安全大数据源。此时有两种方法实现融合：一是研究分析IT和OT数据在资产、事件、漏洞以及告警等方面的共性与特性，形成独立于网络协议/工控场景的工控网络数据统一表征方法，并开发一款具备此

16、方法的“前置探针，即实现融合功能的前置，同时采集IT和OT的数据；二是IT和OT在采集时仍然使用各自常用的探针，但是采集之后对数据进行功能层面的融合分析，抽象共性功能和特性功能。(2)数据分析处理模型融合0IT和OT都需要将各自的数据进行统一清洗、入库。对于数据分析的技术和方法，也都采用关联分析、机器学习等技术，并根据各自不同的特征向量和使用场景进行训练，构建专用规则模型，再结合各自威胁情报库，进行异常行为分析和风险研判。可见对于数据分析层，IT和OT采用的技术类同，只是数据模型、规则和协议不同，可建立通用分析模型。(3)威胁情报库融合。IT和OT网络威胁情报分别揭示了IT和OT网络资产可能存

17、在或出现的风险、威胁，并给出相关联的环境、机制、指标、内涵及可付诸行动的建议,可为企业响应相关威胁或风险提供决策帮助。但目前。和OT各自网络威胁情报库还未很好地共享，难以实现安全威胁的协同感知和统一处置，可对IT和OT各自情报库的情报类别、条目以及数据结构等内容抽象分离，设计统一的数据结构，进行两套情报库的格式转换、统一存储和发布，以实现对安全事件和威胁事件的深度识别。3.3 态势融合IT系统和OT系统在呈现层均有对企业系统资产、漏洞、威胁、日志、告警和态势等情况的展示，功能类同，主要以可视化界面为主，可融合为统一的展示效果，对高安全风险进行协同响应和处置。同时，可向上预留应用接口，满足国家部

18、委网络安全监管需求，实现统一数据上报及统一威胁情报的接收。4结语IT和OT融合作为推动制造业转型升级的重要抓手，目前仍处于艰难的探索阶段，当下还无非常成熟的模式。针对IT和OT的安全融合，建议考虑具体行业的实际需求，加强IT和OT技术融合的标准化建设。另外，加强安全保障体系建设。IT和OT融合必须具备IT安全、OT安全以及IT和OT融合安全技术，如安全PLC,工业虚拟专用网、工业网络地址转换、工业入侵检测、工控网络接入控制、无须依赖外部特征库的AI智能分析与检测等才能满足融合安全建设目标。建议高效实施系统防护，加大对重要资产的保护力度，从融合系统中分离网络通信功能及加强AI技术在融合安全方面的赋能作用。