工业互联网的技术架构
工业互联网产业联盟《工业互联网体系架构》
网络 平台 安全
1
立足当下：脚踏实地补短板
工业控制系统漏洞和联网暴露形势依旧严峻
工控设备漏洞利用演示：数控机床急停失效
工控设备漏洞利用演示：PLC勒索
针对工控系统的网络攻击越来越复杂和精巧
• 勒索病毒是工业企业当前面临的最大威胁
• APT攻击的主要目标是国家关键基础设施
十年来全球重大工业控制系统安全事件
伊利诺伊州供水危机
伊利诺伊州城市供水
SCADA系统遭黑客入
侵，水泵遭到破坏。
台积电中招变种病毒
台积电遭受WannaCry
变种病毒攻击，5大晶
圆厂停摆，损失达52
亿新台币。
2010年11月
伊朗“震网”事件
伊朗核设施遭“震网” 病
毒攻击，离心机严 重
受损，被迫推迟发 电。
2015年12月
乌克兰电网遭攻击
乌克兰电网遭
BlackEnergy攻击，导
致大规模停电，影响
140万居民达数小时。
2017年5月
永恒之蓝勒索病毒
“永恒之蓝”病毒爆 发，
波及105个国家， 涉
及能源、电力、交 通
等重点行业。
2019年3月
海德鲁铝业遭勒索停产
挪威海德鲁铝业公司
遭“LockerGoga”勒 索
攻击，多工厂关闭。
2011年11月
沙特天然气遭攻击
黑客利用恶意软件
TRITON攻击了沙特天
然气施耐德SIS系统，
造成工厂停产。
2017年12月 2018年8月
委内瑞拉大断电
委内瑞拉发生全国性
断电，除了电网老化
原因外，不排除敌对
网络攻击。
2019年3月
印度核电站遭网络攻击
印度库丹库拉姆核电
站感染恶意软件，导
致该核电站的域控服
务器被控制，第二座
核电机组停止运行。
2019年10月
2019年6月
ASCO公司遭勒索停产
世界最大的飞机零部
件供应商ASCO公司，
比利时工厂遭勒索病
毒感染，随即关闭了
位于德国、加拿大和
美国的工厂。
国内工业企业遭受勒索病毒攻击损失严重
某汽车模具厂，停产
某冷轧钢板厂，停产
某炼钢厂，停产
某关键IC厂，停产
近两年奇安信应急响应过的工业企业网络攻击事件，涉及汽车生产、智能制造、能源电力、烟草等行业
几十余家企业，大多数都导致了工业主机蓝屏，文件加密，生产停工
最佳实践—等保工控系统安全扩展技术要求
以等保三级为例：
1. 通用技术要求：安全控制点71个，安全要求211项
2. 工控扩展要求：安全控制点 9个，安全要求 21项
典型的工业企业网络安全保障体系：八大重点任务
第一板斧：安全从工业主机防护开始
OR
未来之门
?
黑客之门
?
数字世界
物理世界
工业主机
工业主机系统软件易获取，系统老旧漏洞多，生命周期长，补丁难度大，成为攻击者首选目标
第一板斧：安全从工业主机防护开始
“多样式”环境适配
• 低配硬件支持，256M
内存，500M硬盘
• 老旧系统兼容， XP
， Win2000
• 工业软件适配，组态软
件，MES，数据库
“关卡式”病毒拦截
• 入口拦截：病毒扫描、
外设管控、永恒之蓝漏
洞防御
• 运行拦截：白名单管控、
主机加固
• 扩散拦截：网络防护
“自助式”资产登记
• 硬件自动识别
• 资产自助登记
• 基于组织架构的资产风
险管控
“集中式” 运维管理
• 策略集中管理
• 日志集中分析
• 风险集中展示
• 灵活部署： 单机版、
网络版、级联部署
• 第三方联动分析 工业专属主机安全防护系统
一体化
防护能力
软硬件
适配能力
集中运维
管理能力
资产分析
管理能力
工业主机
安全防护
第二板斧：隔离、隔离、隔离！工业防火墙/网闸
企业
资源
层/L4
生产
管理
层/L3
过程
监控
层/L2
现场
控制
层/L1
现场
设备
层/L0
操作员站
生产线
操作员站
生产线
历史数据库 HMI
工艺 MES打印机
Email Web OA
INTERNET
控制器/PLC 控制器/PLC
工业防
火墙
工程师站
工业防
火墙
专有硬件防火墙
• 工业网络环境，宽温，无风扇，导轨/机架
• 工业控制协议解析控制
• 硬件Bypass（电口/光口）
部署位置
• 企业网络与工控网逻辑隔离
• 工控网内部区域隔离（生产管理层与过程监控
层、过程监控层和现场控制层）
导轨式
适用控制现场
机架式
适用机柜环境
工业防
火墙
工业防
火墙
第三板斧：工业安全监测与态势感知系统
设备数量、型号、IP等基本情
况不清楚；
设备在网络中的业务运行情况
不清楚；
工控设备自身的安全漏洞情况
不清楚；
工业生产内网带毒运行是常
态，隐患较大；
工业企业对于受攻击、感染
情况不清楚；
恶意流量产生的原因、如何
处置不清楚；
生产异常，难定位
控制器运行状态、流量模型
不清楚；
上位机与控制器之间的业务
模型不清楚；
上位机与控制器之间的关键
敏感操作不清楚；
恐惧源于未知，看见才能安全
资产不清，难管理 工控威胁，难发现
第三板斧：工业安全监测与态势感知系统
“运营化”安全分析中心
• 资产管理（IT/OT指纹库）
• 风险管理（多维度算法）
• 漏洞管理（4大漏洞库）
• 威胁管理（IT/OT特征库）
• 异常行为（100+工控DPI）
• 关联分析（专利引擎）
• 攻击链分析（killchain）
“组态化”工控安全态势
• 全网风险态势
• 全网资产态势
• 全网威胁态势
• 全网漏洞态势
• 异常行为态势
• 网络监控态势
• 客户定制化态势
“业务化”工控内生安全
• 组态工艺还原
• 安全与业务融合
• 行业 /客户定制
“集中化” 运维管理平台
• 设备集中管理（分类管理）
• 设备集中监测（多维监测）
• 日志审计中心（多维日志）
• 拓扑管理（安全融合）
• 报表统计（自定义视图）
安全设备/网络设备/工控设备/终端/服务器等
安全态势
感知
安全运营
平台
集中运维
管理
业务内生
安全
资产
（IT/OT一体化）
采
集
管
控
总结：工控网络安全“三板斧”
2
展望未来：网络安全新思考
5G在工业领域的行业需求和应用场景
自动化“装备+系统”替换人工
移动装备>100台
实时调度需求<10ms
5G代替工业总线
工厂各工序的产能不匹配
无线方式将很有利于实现柔性生产
终端算法置于云端
机电分离将电部分放置云端
低成本迭代优化
机器换人
实现降本增效
以移代固
助力柔性制造
机电分离
设备快速迭代
促进工业设备感知力的提升 加快工业行业生产提速 从永远在线迈向永远在场
机器视觉 远程控制 远程现场
5G在智能工厂的应用场景和组网架构
5G MEC 移动边缘计算中国移动5G联合创新中心创新研究报告《5G与智能工厂》
SECURITY SAFETY
数据
业务
机密性
完整性
可用性
个人隐私
功能安全
可靠性
人员
环境
弹性
?
改变1：安全内涵的改变
连接范围更广，防护对象更多，安全场景更丰富，安全危害更严重
从网络与信息安全到网络与生产安全
改变2：安全架构的改变
从边界安全架构到零信任安全架构
5G MEC 边缘计算
供应链企业
工业应用
工业大数据平台
工业云平台
工业大数据中心
智能工厂
边
缘
物
联
网
关
工
业
主
机
远程检修/移动办公
工业互联网平台
传统工厂
网络边边界界瓦解
边界瓦解
普度模型
云管边端
改变3：安全重心的改变
工业互联网产业联盟《工业互联网体系架构》
从基础设施为中心到数据为中心
以数据为核心要素实现全面连接，构建起全要素、全产业链、全价值链融合的新工业体系和产业生态
策略1：零信任安全架构
策略2：数据为中心的安全防护
可见：数据分布可视、数据流转可视、访问行为可视
可管：发现、保护、检测、响应手段有机结合，实现
数据全生命周期可管理
可控：风险驱动，减少大数据的暴露面，强化访问控制
结束语：人的因素
• 组织与责权利
• 整体安全意识
• 安全团队技能
