摘 要
數(shù)字化、網(wǎng)絡(luò)化、智能化加速發(fā)展，使得信息技術(shù)(Information Technology，IT)與操作技術(shù)(Operation Technology，OT)融合成為工業(yè)數(shù)字化轉(zhuǎn)型和制造業(yè)高質(zhì)量發(fā)展的關(guān)鍵。與此同時，網(wǎng)絡(luò)風(fēng)險也不斷向工業(yè)領(lǐng)域滲透蔓延。從多個維度分析當(dāng)前 IT 和 OT 融合的現(xiàn)狀，科學(xué)論證其帶來的網(wǎng)絡(luò)安全風(fēng)險，尤其是對工業(yè)控制系統(tǒng)關(guān)鍵組件的影響。針對現(xiàn)狀和問題，從技術(shù)維度提出一種 IT 和 OT 安全融合的思路，并給出相應(yīng)建議。
內(nèi)容目錄：
1 IT 和 OT 融合發(fā)展現(xiàn)狀
1.1 IT 和 OT 概述
1.2 IT 和 OT 融合現(xiàn)狀
2 IT 和 OT 融合網(wǎng)絡(luò)安全風(fēng)險
3 IT 和 OT 安全融合思路
3.1 安全基礎(chǔ)技術(shù)融合
3.2 數(shù)據(jù)融合
3.3 態(tài)勢融合
4 結(jié) 語
在工業(yè)數(shù)字化轉(zhuǎn)型浪潮下，“云、大、物、移、智”等新技術(shù)在工業(yè)領(lǐng)域不斷應(yīng)用，使 IT和 OT 深度融合，產(chǎn)生了以工業(yè)互聯(lián)網(wǎng)為代表的數(shù)字化應(yīng)用，促進了工業(yè)生產(chǎn)管理、運營決策與制造執(zhí)行等各方面的“顛覆式”變革 。同時，從互聯(lián)網(wǎng)傳進來的各種網(wǎng)絡(luò)風(fēng)險逐漸滲透到 OT系統(tǒng)，近年來，IT 和 OT 結(jié)合導(dǎo)致的工業(yè)生產(chǎn)安全風(fēng)險逐漸加劇，如 2018 年臺積電遭病毒入侵導(dǎo)致重要產(chǎn)線停擺 ，2019 年委內(nèi)瑞拉電力控制系統(tǒng)連續(xù)多次遭受網(wǎng)絡(luò)攻擊，2020 年鋼鐵制造商 EVRAZ 遭到勒索軟件攻擊導(dǎo)致多家工廠停產(chǎn) ，2021 年美國最大輸油管線遭勒索軟件攻擊，嚴(yán)重影響國內(nèi)多地燃油供應(yīng) 。因此，必須采取有效的、針對性的 IT 和 OT 安全融合措施，以保障工業(yè)生產(chǎn)安全運行。
1、IT 和 OT 融合發(fā)展現(xiàn)狀
1.1 IT 和 OT 概述
Gartner 關(guān)于 OT 的定義是“直接監(jiān)控和 / 或控制工業(yè)設(shè)備、資產(chǎn)、流程和事件來檢測物理過程或使物理過程產(chǎn)生變化的硬件和軟件?！薄０凑崭拍?，OT 強調(diào)“直接”作用，其實就是可編 程 邏 輯 控 制 器(Programmable Logic Controller，PLC)、分布式控制系統(tǒng)(Distributed Control System，DCS)、監(jiān)控和數(shù)據(jù)采集系統(tǒng)(Supervisory Control andData Acquisition，SCADA)等工業(yè)控制系統(tǒng)及其應(yīng)用軟件的總稱，包含數(shù)據(jù)采集和自動控制技術(shù)。IT 主要用于企業(yè)管理的硬件、軟件、網(wǎng)絡(luò)、通信技術(shù)以及存儲、處理和向企業(yè)各個部門傳輸信息的系統(tǒng)。制造執(zhí)行系統(tǒng)(Manufacturing Execution System，MES)/ 制 造 運 營 管 理 系 統(tǒng)(Manufacturing Operations Management，MOM)處于 IT 和 OT 之間。IT 和 OT 的范圍如圖 1 所示。
圖 1 IT 和 OT 的范圍
簡而言之，IT 和 OT 都是為工業(yè)企業(yè)服務(wù)。目前，OT 部分主要用于控制和分析企業(yè)生產(chǎn)過程，促進進一步改善生產(chǎn);IT 部分重點處理企業(yè)各類數(shù)據(jù)和信息，并維護企業(yè)所制造產(chǎn)品的質(zhì)量。歷史上這二者是相互獨立的，隨著技術(shù)的發(fā)展，IT 和 OT 相互融合必將顯著改善企業(yè)運營情況，能夠進一步增強工業(yè)企業(yè)管理者監(jiān)控運行和過程的能力，促進工業(yè)企業(yè)提質(zhì)增效，主要體現(xiàn)在以下幾個方面：
(1)降低工業(yè)資源和人力成本。引入 IT 側(cè)的云化和虛擬化技術(shù)，在不影響 OT 側(cè)各控制系統(tǒng)正常運行的情況下，將各生產(chǎn)區(qū)的服務(wù)器上云，減少了企業(yè)在設(shè)備成本方面的開支，并且基于云平臺的統(tǒng)一操作入口也易于工作人員實施設(shè)備更新，簡化了工業(yè)操作。
(2)提高工業(yè)設(shè)備安全性與預(yù)測性維護。OT 側(cè)借助物聯(lián)網(wǎng)傳感器和流量探針等 IT 基礎(chǔ)設(shè)施，實時監(jiān)測工業(yè)設(shè)備的狀態(tài)和生產(chǎn)過程，并利用人工智能和大數(shù)據(jù)技術(shù)對采集的數(shù)據(jù)進行建模分析，有效識別設(shè)備異常狀態(tài)并預(yù)測潛在的安全風(fēng)險邊界。
(3)提高經(jīng)營決策效率。通過業(yè)務(wù)指揮調(diào)度平臺和綜合態(tài)勢感知平臺聯(lián)動，全面分析管理流程、工業(yè)業(yè)務(wù)流程和生產(chǎn)過程數(shù)據(jù)，進一步優(yōu)化企業(yè)信息共享方式，快速響應(yīng)客戶訂單需求，高效完成產(chǎn)品的開發(fā)和集成 。
1.2 IT 和 OT 融合現(xiàn)狀
整體來說，目前多數(shù)工業(yè)企業(yè)主要從以下 3個維度開展 IT 和 OT 融合。
(1) 架 構(gòu) 融 合 。企 業(yè) 的 IT 和 OT 部 分在物理層面多是分區(qū)域的，架構(gòu)也相對獨立，當(dāng)前業(yè)界主要通過建設(shè)類似工業(yè)互聯(lián)網(wǎng)平臺的云架構(gòu)來實現(xiàn) IT 和 OT 的融合，基于平臺實現(xiàn)SCADA 系統(tǒng)等在云端部署應(yīng)用，實現(xiàn) IT 和 OT各類軟硬件資源及容器等開發(fā)工具的接入、控制和應(yīng)用，實現(xiàn)各類多源異構(gòu)設(shè)備的數(shù)據(jù)采集、傳輸和交互。
(2)數(shù)據(jù)融合。通過智能傳感器、數(shù)據(jù)采集設(shè)備等對產(chǎn)品在設(shè)計、研發(fā)、生產(chǎn)過程及在相關(guān)業(yè)務(wù)環(huán)節(jié)中產(chǎn)生的全域數(shù)據(jù)進行實時采集，同時整合銷售運營數(shù)據(jù)、供應(yīng)鏈管理數(shù)據(jù)、財務(wù)會計數(shù)據(jù)等工業(yè)大數(shù)據(jù)資源，并利用機器學(xué)習(xí)、深度學(xué)習(xí)等技術(shù)進行模型訓(xùn)練與綜合分析，打通從 OT 到 IT 的全流程，實現(xiàn)企業(yè)生產(chǎn)流程優(yōu)化及內(nèi)部精細化運營管理。
(3)虛實融合 。當(dāng)前數(shù)字孿生技術(shù)廣泛應(yīng)用在智慧水廠、汽車生產(chǎn)、礦山智能巡檢及自動化立體倉庫等工業(yè)場景中，通過將物理場景中產(chǎn)生的大量數(shù)據(jù)在云端進行存儲、管理和建模分析，實現(xiàn)全生產(chǎn)鏈要素的高度互聯(lián)，有效解決各領(lǐng)域面臨的信息孤島統(tǒng)籌難、集中監(jiān)管難度大、信息反饋不及時、運營維護成本高等痛點問題。
2、IT 和 OT 融合網(wǎng)絡(luò)安全風(fēng)險
IT 和 OT 融合已成為必然趨勢，使得工業(yè)網(wǎng)絡(luò)結(jié)構(gòu)、形態(tài)、協(xié)議及通信方式均在發(fā)生改變，IT 降低了攻擊成本，部分 OT 系統(tǒng)自身也變成了聯(lián)網(wǎng)設(shè)備，諸多因素導(dǎo)致 IT 和 OT 融合引發(fā)了更多的網(wǎng)絡(luò)安全風(fēng)險，主要體現(xiàn)在平臺 / 系統(tǒng)的應(yīng)用、網(wǎng)絡(luò)、設(shè)備、數(shù)據(jù)等方面。
(1)應(yīng)用層面。應(yīng)用主要以設(shè)計、生產(chǎn)、管理、服務(wù)等工業(yè)業(yè)務(wù)運行 App 的方式服務(wù)于用戶，有些還集成了設(shè)備狀態(tài)分析、能耗分析優(yōu)化等創(chuàng)新應(yīng)用。工業(yè)互聯(lián)網(wǎng)使得上述應(yīng)用變得共享和開放，企業(yè)內(nèi)諸多業(yè)務(wù)邏輯均暴露于網(wǎng)絡(luò)中，攻擊者極易通過掃描開放應(yīng)用端口并利用開放服務(wù)在身份鑒別、訪問控制、安全接口和安全審計等方面的漏洞和缺陷進入網(wǎng)絡(luò)服務(wù)器等核心基礎(chǔ)設(shè)施，同時以辦公網(wǎng)為跳板對控制網(wǎng)進行滲透和攻擊，直接威脅安全生產(chǎn)。
(2)網(wǎng)絡(luò)層面。因 IT 和 OT 各自用到的網(wǎng)絡(luò)通信協(xié)議或網(wǎng)絡(luò)架構(gòu)的安全性存在差異性，IT 和 OT 網(wǎng)絡(luò)互聯(lián)后，安全風(fēng)險將互相滲透，加大了網(wǎng)絡(luò)風(fēng)險暴露面。例如在工業(yè)現(xiàn)場的安全風(fēng)險，一是大量物聯(lián)網(wǎng)終端使用全球移動通信系 統(tǒng)(Global System for Mobile Communication，GSM)網(wǎng)卡，而 GSM 存在單向認證缺陷，面臨移動用戶的數(shù)據(jù)信息被偽基站截獲的風(fēng)險;二是很多現(xiàn)場設(shè)備采用 Modbus、Profinet 等傳統(tǒng)工業(yè)協(xié)議進行有線傳輸，這些協(xié)議自身缺乏身份認證、授權(quán)及加密等安全機制，黑客極易利用這些漏洞對設(shè)備下達惡意指令。在網(wǎng)絡(luò)邊界，諸多邊緣設(shè)備采用了具有非授權(quán)組網(wǎng)特性的 LoRa協(xié)議，其面臨報文偽造、惡意擁塞、身份偽造等安全風(fēng)險。如今，“5G+ 工業(yè)互聯(lián)網(wǎng)”得到深入應(yīng)用，相比于 3G 和 4G，5G 雖然在網(wǎng)絡(luò)架構(gòu)上進行了全新設(shè)計，在網(wǎng)絡(luò)安全方面進行了增強，但 5G 采用的公鑰加密接入認證算法仍存在隱私泄露的風(fēng)險。
(3)設(shè)備層面。融合之前設(shè)備存在的安全風(fēng)險在融合之后依然存在，主要包括：一是利用U 盤等移動介質(zhì)進行攻擊，只要移動介質(zhì)連接到工業(yè)控制設(shè)備，惡意程序就會自動運行，病毒在全網(wǎng)進行傳播，影響 IT 側(cè)的正常業(yè)務(wù)辦公和管理決策等，竊取企業(yè)核心數(shù)據(jù)，并針對 OT 側(cè)的各控制系統(tǒng)實施惡意指令下發(fā)，影響安全生產(chǎn);二是設(shè)備自身的漏洞缺陷，包括操作系統(tǒng)、設(shè)備上的應(yīng)用軟件及其插件、設(shè)備硬件接口等，容易被攻擊者利用;三是安全管理層面，硬件設(shè)備接口未做安全防護、軟件補丁更新不及時、采用弱口令、“零”或者弱安全認證機制。
(4)數(shù)據(jù)層面。一是融合后擴大了針對海量多源異構(gòu)數(shù)據(jù)的攻擊面，現(xiàn)有基于用戶身份或角色的訪問控制策略難以滿足大規(guī)模數(shù)據(jù)的細粒度訪問控制要求;二是產(chǎn)品全生命周期產(chǎn)生的各類數(shù)據(jù)包含大量敏感信息，在設(shè)備與云端進行通信時，若 OT 側(cè)的探針采集的數(shù)據(jù)未經(jīng)加密，攻擊者可通過監(jiān)聽的方式獲取設(shè)備敏感信息，此外，數(shù)據(jù)基于平臺進行流通和共享時，存在數(shù)據(jù)濫用、隱私泄露等安全威脅。
具體以典型工業(yè)控制系統(tǒng) SCADA、人機界面(Human Machine Interface，HMI) 和 PLC 為例來分析 IT 和 OT 融合后面臨的安全挑戰(zhàn)。
(1)SCADA 系統(tǒng)安全。SCADA 系統(tǒng)可看成 IT 和 OT 的分界。一方面，未授權(quán)非法訪問、工業(yè)控制標(biāo)準(zhǔn)協(xié)議和通用技術(shù)的開放性、工業(yè)控制軟硬件產(chǎn)品自身缺陷、從業(yè)人員等綜合因素加劇了網(wǎng)絡(luò)安全風(fēng)險;另一方面，SCADA 系統(tǒng)上云后，伴生由云安全延伸的安全風(fēng)險。
(2)HMI 和 PLC 安全。HMI 是上位機，從屬于控制系統(tǒng)，界面實時顯示現(xiàn)場系統(tǒng)狀態(tài)。HMI 對現(xiàn)場系統(tǒng)進行控制和監(jiān)視，實際上是HMI 編程人員將每個指示器和按鈕編程到 PLC的指定寄存器地址中，而這個控制過程通常帶有密碼設(shè)置，極易被黑客破譯，使得操作員失去對人機操作界面的視圖控制權(quán)。利用 HMI 攻擊PLC 的過程如圖 2 所示，典型攻擊案例是 2015年烏克蘭電網(wǎng)事件 。
圖 2 工業(yè)網(wǎng)絡(luò)攻擊過程
一旦網(wǎng)絡(luò)攻擊滲透到 PLC，會直接影響到現(xiàn)場設(shè)備。同時，PLC 需要與控制中心通信，其自身安全是整個工業(yè)信息安全的最后防線，但當(dāng)前 PLC 多是基于裁剪的嵌入式系統(tǒng)，加之基于掃描的工作方式和面向命令的工控協(xié)議，存在較大的安全風(fēng)險隱患，以協(xié)議中的自定義命令字為例來說明，Modbus 協(xié)議的從機診斷命令會造成從機 PLC 切換到偵聽模式，通用工業(yè)協(xié)議(Common Industrial Protocol，CIP)部分命令字會造成從機 PLC 直接重啟，S7 協(xié)議的 StopCPU 功能會導(dǎo)致 PLC 程序運行停止 。
3、IT 和 OT 安全融合思路
針對 IT 和 OT 融合現(xiàn)狀及面臨的諸多網(wǎng)絡(luò)安全風(fēng)險，建議企業(yè)從管理、技術(shù)和運營等方面進行綜合加強，其中技術(shù)方面重點從安全基礎(chǔ)技術(shù)、數(shù)據(jù)和態(tài)勢 3 個方面開展安全融合，IT和 OT 安全融合技術(shù)架構(gòu)如圖 3 所示。
圖 3 IT 和 OT 安全融合技術(shù)架構(gòu)
3.1 安全基礎(chǔ)技術(shù)融合
融合安全技術(shù)成為 IT 和 OT 融合的必然選擇。從安全自主可控角度出發(fā)，通過采用輕量級的國產(chǎn)密碼技術(shù)及安全可信技術(shù)等，實現(xiàn)安全加密防護技術(shù)與 PLC/ 遠程終端設(shè)備(Remote Terminal Unit，RTU)等工控核心部件深度融合，形成一體化的安全 PLC/ 安全 RTU，在滿足工業(yè)控制系統(tǒng)實時性和環(huán)境適應(yīng)性的前提下，實現(xiàn)自身與上位機通信的加密保護，網(wǎng)絡(luò)通信的協(xié)議識別和內(nèi)容檢測，以及對自身存儲固件和數(shù)據(jù)完整性的保護等，本質(zhì)上實現(xiàn)了內(nèi)生安全，既能防護 OT 內(nèi)部威脅，也能防護 IT 威脅。
3.2 數(shù)據(jù)融合
數(shù)據(jù)融合工作主要從數(shù)據(jù)采集層面和數(shù)據(jù)處理層面開展。
(1)數(shù)據(jù)采集層流量探針功能融合。IT 探針主要采集通用網(wǎng)絡(luò)設(shè)備、安全設(shè)備以及終端等的數(shù)據(jù);OT 探針主要采集現(xiàn)場工業(yè)控制設(shè)備、自動化設(shè)備、控制監(jiān)控系統(tǒng)以及終端等的數(shù)據(jù)。以上數(shù)據(jù)構(gòu)成了涵蓋網(wǎng)絡(luò)原始流量數(shù)據(jù)、資產(chǎn)數(shù)據(jù)、終端行為數(shù)據(jù)、審計數(shù)據(jù)和元數(shù)據(jù)等各種信息的工業(yè)信息安全大數(shù)據(jù)源。此時有兩種方法實現(xiàn)融合：一是研究分析 IT 和 OT 數(shù)據(jù)在資產(chǎn)、事件、漏洞以及告警等方面的共性與特性，形成獨立于網(wǎng)絡(luò)協(xié)議 / 工控場景的工控網(wǎng)絡(luò)數(shù)據(jù)統(tǒng)一表征方法，并開發(fā)一款具備此方法的“前置探針”，即實現(xiàn)融合功能的前置，同時采集 IT和 OT 的數(shù)據(jù);二是 IT 和 OT 在采集時仍然使用各自常用的探針，但是采集之后對數(shù)據(jù)進行功能層面的融合分析，抽象共性功能和特性功能。
(2)數(shù)據(jù)分析處理模型融合。IT 和 OT 都需要將各自的數(shù)據(jù)進行統(tǒng)一清洗、入庫。對于數(shù)據(jù)分析的技術(shù)和方法，也都采用關(guān)聯(lián)分析、機器學(xué)習(xí)等技術(shù)，并根據(jù)各自不同的特征向量和使用場景進行訓(xùn)練，構(gòu)建專用規(guī)則模型，再結(jié)合各自威脅情報庫，進行異常行為分析和風(fēng)險研判?？梢妼τ跀?shù)據(jù)分析層，IT 和 OT 采用的技術(shù)類同，只是數(shù)據(jù)模型、規(guī)則和協(xié)議不同，可建立通用分析模型。
(3)威脅情報庫融合。IT 和 OT 網(wǎng)絡(luò)威脅情報分別揭示了 IT 和 OT 網(wǎng)絡(luò)資產(chǎn)可能存在或出現(xiàn)的風(fēng)險、威脅，并給出相關(guān)聯(lián)的環(huán)境、機制、指標(biāo)、內(nèi)涵及可付諸行動的建議，可為企業(yè)響應(yīng)相關(guān)威脅或風(fēng)險提供決策幫助。但目前，IT和 OT 各自網(wǎng)絡(luò)威脅情報庫還未很好地共享，難以實現(xiàn)安全威脅的協(xié)同感知和統(tǒng)一處置，可對IT 和 OT 各自情報庫的情報類別、條目以及數(shù)據(jù)結(jié)構(gòu)等內(nèi)容抽象分離，設(shè)計統(tǒng)一的數(shù)據(jù)結(jié)構(gòu)，進行兩套情報庫的格式轉(zhuǎn)換、統(tǒng)一存儲和發(fā)布，以實現(xiàn)對安全事件和威脅事件的深度識別 。
3.3 態(tài)勢融合
IT 系統(tǒng)和 OT 系統(tǒng)在呈現(xiàn)層均有對企業(yè)系統(tǒng)資產(chǎn)、漏洞、威脅、日志、告警和態(tài)勢等情況的展示，功能類同，主要以可視化界面為主，可融合為統(tǒng)一的展示效果，對高安全風(fēng)險進行協(xié)同響應(yīng)和處置。同時，可向上預(yù)留應(yīng)用接口，滿足國家部委網(wǎng)絡(luò)安全監(jiān)管需求，實現(xiàn)統(tǒng)一數(shù)據(jù)上報及統(tǒng)一威脅情報的接收。
4、結(jié) 語
IT 和 OT 融合作為推動制造業(yè)轉(zhuǎn)型升級的重要抓手，目前仍處于艱難的探索階段，當(dāng)下還無非常成熟的模式。針對 IT 和 OT 的安全融合，建議考慮具體行業(yè)的實際需求，加強 IT 和OT 技術(shù)融合的標(biāo)準(zhǔn)化建設(shè)。另外，加強安全保障體系建設(shè)。IT 和 OT 融合必須具備 IT 安全、OT 安全以及 IT 和 OT 融合安全技術(shù)，如安全PLC、工業(yè)虛擬專用網(wǎng)、工業(yè)網(wǎng)絡(luò)地址轉(zhuǎn)換、工業(yè)入侵檢測、工控網(wǎng)絡(luò)接入控制、無須依賴外部特征庫的 AI 智能分析與檢測等才能滿足融合安全建設(shè)目標(biāo)。建議高效實施系統(tǒng)防護，加大對重要資產(chǎn)的保護力度，從融合系統(tǒng)中分離網(wǎng)絡(luò)通信功能及加強 AI 技術(shù)在融合安全方面的賦能作用。
引用格式：萬喬喬 , 鐘一冉 , 周恒 , 等 . 一種 IT 和 OT 安全融合的思路 [J]. 信息安全與通信保密 ,2023(1):79-86.
作者簡介 >>>萬喬喬，女，碩士，工程師，主要研究方向為網(wǎng)絡(luò)安全、工業(yè)信息安全;鐘一冉，男，碩士，工程師，主要研究方向為網(wǎng)絡(luò)安全;
周 恒， 男， 碩 士， 工 程 師，主要研究方向為工業(yè)信息安全、密碼安全;鄒盛唐，男，碩士，研究員，主要研究方向為工業(yè)信息安全。選自《信息安全與通信保密》2023年第1期(為便于排版，已省去原文參考文獻)
來源：信息安全與通信保密雜志社
