淺談工業(yè)互聯(lián)網(wǎng)云平臺安全防護(hù)技術(shù)

【摘 要】 本文介紹了工業(yè)云平臺的關(guān)鍵技術(shù)，分析了工業(yè)互聯(lián)網(wǎng)通用的信息安全防護(hù)技術(shù)及特需安全防護(hù)技術(shù)，為工業(yè)互聯(lián)網(wǎng)云計(jì)算平臺安全實(shí)施提供參考建議。

【關(guān)鍵詞】工業(yè)互聯(lián)網(wǎng) 云計(jì)算平臺 安全防護(hù)技術(shù)

1 引言

工業(yè)云計(jì)算平臺（簡稱云平臺）是工業(yè)互聯(lián)網(wǎng)的重要組成部分，也是核心技術(shù)架構(gòu)。工業(yè)云平臺主要為工業(yè)現(xiàn)場數(shù)據(jù)采集、傳輸以及在云端的數(shù)據(jù)存儲、處理及分析等各個(gè)環(huán)節(jié)提供基礎(chǔ)技術(shù)支持，以降低制造業(yè)企業(yè)實(shí)現(xiàn)數(shù)字化、智能化的技術(shù)門檻，助力工業(yè)企業(yè)智能制造實(shí)現(xiàn)優(yōu)化資源配置、數(shù)字生產(chǎn)可視可控以及協(xié)同快速響應(yīng)市場等決策目標(biāo)。

2 工業(yè)云平臺特性

工業(yè)云平臺是基于傳統(tǒng)網(wǎng)絡(luò)云計(jì)算技術(shù)發(fā)展而來的，因此工業(yè)云平臺也要求實(shí)現(xiàn)高可靠、標(biāo)準(zhǔn)化、易用性、擴(kuò)展性、虛擬化與軟件化、高實(shí)時(shí)與高性能，及信息安全性。

（1）高可靠，即為保證工業(yè)云平臺核心業(yè)務(wù)的連續(xù)穩(wěn)定運(yùn)行，需要采取冗余設(shè)計(jì)，在網(wǎng)絡(luò)整體和設(shè)備配置上設(shè)計(jì)雙備份，在網(wǎng)絡(luò)連接上消除單點(diǎn)故障，提供關(guān)鍵設(shè)備的故障切換，還要求網(wǎng)絡(luò)具有設(shè)備與鏈路遭遇故障時(shí)毫秒級的保護(hù)倒換能力。

（2）標(biāo)準(zhǔn)化，即工業(yè)云平臺因其與工業(yè)生產(chǎn)密不可分，應(yīng)在特定的行業(yè)標(biāo)準(zhǔn)規(guī)范下設(shè)計(jì)，形成面向行業(yè)服務(wù)的信息化技術(shù)服務(wù)平臺。方案的設(shè)計(jì)應(yīng)采用標(biāo)準(zhǔn)技術(shù)與協(xié)議，以便在面對多設(shè)備供應(yīng)商、多工業(yè)服務(wù)對象的場景下，能夠保證良好的系統(tǒng)兼容性、服務(wù)產(chǎn)品通用性、功能多樣性、技術(shù)先進(jìn)性和未來可拓展性。

（3）易用性，即簡化系統(tǒng)結(jié)構(gòu)，降低維護(hù)量。

（4）擴(kuò)展性，即方便進(jìn)行符合需求的、規(guī)模較大的改造，并能不斷擴(kuò)展服務(wù)器集群和軟件功能模塊。

（5）虛擬化與軟件化，即工業(yè)服務(wù)器、存儲器、網(wǎng)絡(luò)及安全設(shè)備應(yīng)具備虛擬化功能，在虛擬化的基礎(chǔ)上，軟件化可以為工業(yè)生產(chǎn)模型、工業(yè)數(shù)據(jù)分析提供有力保障，也可為關(guān)鍵設(shè)備提供更高效率的檢測分析。另外，通過軟件定義的方式可以優(yōu)化網(wǎng)絡(luò)關(guān)鍵設(shè)備與配置。

（6）高實(shí)時(shí)與高性能，即工業(yè)云平臺上布置感知、監(jiān)測、預(yù)警、應(yīng)急、評估等安全生產(chǎn)環(huán)節(jié)與生產(chǎn)業(yè)務(wù)通信應(yīng)保證其實(shí)時(shí)性，以更好地提升工業(yè)生產(chǎn)的安全性。另外，工業(yè)生產(chǎn)在整個(gè)云計(jì)算上有映射，業(yè)務(wù)都分布在各個(gè)服務(wù)器上，流量模型從縱向流量轉(zhuǎn)換成復(fù)雜的多維度混合的形式，整個(gè)系統(tǒng)具有較高的吞吐能力和處理能力，系統(tǒng)各層均不存在阻塞，具備對突發(fā)流量的承受能力。

（7）信息安全性，是云平臺提供基礎(chǔ)設(shè)施服務(wù)、平臺服務(wù)和應(yīng)用服務(wù)的最重要的保障。

以下從傳統(tǒng)云計(jì)算平臺架構(gòu)及安全技術(shù)入手介紹工業(yè)云平臺安全技術(shù)的獨(dú)特性。

2.1 云平臺的通用安全技術(shù)

云計(jì)算具有按需服務(wù)、寬帶接入、虛擬化資源池、快速彈性架構(gòu)、可測量的服務(wù)、多用戶等特征, 傳統(tǒng)的信息安全技術(shù)在云計(jì)算上有廣泛的應(yīng)用，同時(shí)在云平臺上也會布置獨(dú)特的信息安全技術(shù)。傳統(tǒng)的云計(jì)算平臺安全機(jī)制主要有數(shù)據(jù)的隱私保護(hù)、數(shù)據(jù)完整性和機(jī)密性保護(hù)、身份和訪問管理（IAM）和單點(diǎn)登錄（SSO）等，如圖1所示。

（1）在數(shù)據(jù)的隱私保護(hù)方面，傳統(tǒng)云平臺具有隱私管理機(jī)制，這種機(jī)制提供一種輪轉(zhuǎn)、管理和檢索密鑰的服務(wù)。它巧妙地解決了應(yīng)用程序數(shù)據(jù)庫憑證泄露的問題，還可以審核和監(jiān)控密鑰使用情況，任何查看密鑰憑證的用戶都會被記錄下來，這也在一定程度上保障了密鑰的安全。其中的密鑰管理服務(wù)和眾多的云平臺其他服務(wù)進(jìn)行集成，保證數(shù)據(jù)在靜態(tài)存儲時(shí)的加密安全，比如為EBS磁盤加密，保障EBS中數(shù)據(jù)的存儲安全等等�？梢哉f，整個(gè)AWS云中數(shù)據(jù)的存儲安全都由密鑰管理服務(wù)（KMS）來負(fù)責(zé)�；蛘呤褂妹荑�保險(xiǎn)庫，可將密鑰以及在硬件安全模塊（HSM）中存儲密鑰的小密文（如密碼）進(jìn)行加密。這樣就無須預(yù)配、配置、修補(bǔ)和維護(hù)硬件安全模塊及密鑰管理軟件。

（2）在數(shù)據(jù)完整性和機(jī)密性保護(hù)方面，主要包括數(shù)據(jù)加密、哈希計(jì)算、數(shù)字簽名、公鑰基礎(chǔ)設(shè)施等。這些技術(shù)依靠加密算法的可靠性，其密鑰的安全性依靠前文提到的密鑰管理服務(wù)。

（3）在身份與訪問管理方面，身份與訪問管理（IAM）貫穿云計(jì)算的各項(xiàng)服務(wù)中，任何服務(wù)之間的請求都需要身份驗(yàn)證和授權(quán)，所有的身份驗(yàn)證和授權(quán)都由身份與訪問管理這個(gè)服務(wù)來承擔(dān)。身份和訪問管理機(jī)制包含控制和跟蹤IT資源、環(huán)境和系統(tǒng)的用戶身份和訪問權(quán)限所必需的組件和策略，包括以下4個(gè)方面。

1）身份驗(yàn)證——用戶名和密碼組合仍然是身份與訪問管理系統(tǒng)最常見的用戶身份驗(yàn)證形式，它還可以支持?jǐn)?shù)字簽名、數(shù)字證書、生物識別硬件（指紋識別器）、專業(yè)軟件（如語音分析程序），以及將用戶賬戶鎖定到已注冊的IP或MAC地址。

2）授權(quán)——授權(quán)組件定義訪問控制的正確粒度，并監(jiān)督身份，確認(rèn)訪問控制權(quán)限和IT資源可用性之間的關(guān)系。

3）用戶管理——與系統(tǒng)的管理功能相關(guān)，用戶管理程序負(fù)責(zé)創(chuàng)建新的用戶身份和訪問組，重置密碼，定義密碼策略和管理權(quán)限。

4）憑據(jù)管理——憑據(jù)管理系統(tǒng)為已定義的用戶賬戶建立身份和訪問控制規(guī)則，從而減輕授權(quán)不足的威脅。

盡管身份與訪問管理目標(biāo)與公鑰基礎(chǔ)設(shè)施機(jī)制的目標(biāo)類似，但身份與訪問管理機(jī)制的實(shí)現(xiàn)范圍是不同的，因?yàn)槌�了分配特定級別的用戶權(quán)限外，其結(jié)構(gòu)還包括訪問控制和策略。身份與訪問管理機(jī)制主要用于抵制授權(quán)不足，拒絕服務(wù)和信任邊界重疊等威脅。

（4）在單點(diǎn)登錄方面，跨多個(gè)云服務(wù)傳播云服務(wù)使用者的身份驗(yàn)證和授權(quán)信息可能是一項(xiàng)挑戰(zhàn)，尤其是在需要調(diào)用大量云服務(wù)或基于云的IT資源作為同一整體運(yùn)行時(shí)活動的一部分時(shí)。單點(diǎn)登錄機(jī)制使一個(gè)云服務(wù)使用者能夠由安全代理進(jìn)行身份驗(yàn)證，該安全代理建立在云服務(wù)使用者訪問其他云服務(wù)或基于云的IT資源時(shí)持久存儲的安全環(huán)境。否則，云服務(wù)使用者需要在每個(gè)后續(xù)請求中重新進(jìn)行身份驗(yàn)證。單點(diǎn)登錄機(jī)制實(shí)質(zhì)上使相互獨(dú)立的云服務(wù)和IT資源能夠生成和傳播運(yùn)行時(shí)所需的認(rèn)證和授權(quán)憑證。最初由云服務(wù)使用者提供的憑據(jù)在會話期間保持有效，同時(shí)共享其安全環(huán)境信息。當(dāng)云服務(wù)消費(fèi)者需要訪問駐留在不同云上的云服務(wù)時(shí)，單點(diǎn)登錄機(jī)制的安全代理特別有用。例如微軟的Azure Active Directory，它是用于管理和保護(hù)標(biāo)識的通用平臺，可提供單一登錄和多重身份驗(yàn)證，保護(hù)用戶安全。使用Azure Active Directory域服務(wù)將Azure虛擬機(jī)加入一個(gè)域，且無須部署域控制器。使用它們的企業(yè)Azure Active Directory憑證登錄到虛擬機(jī)，并無縫訪問資源。

其他信息安全保護(hù)技術(shù)還有：應(yīng)用程序（Web應(yīng)用）網(wǎng)關(guān)、VPN網(wǎng)關(guān)、信息保護(hù)、隔離、數(shù)據(jù)刪除等。

2.2 工業(yè)互聯(lián)網(wǎng)云平臺的獨(dú)特安全需求

除了以上提到的傳統(tǒng)云平臺的安全技術(shù)以外，工業(yè)互聯(lián)網(wǎng)云平臺安全技術(shù)需要注意以下3個(gè)方面：

（1）工業(yè)互聯(lián)網(wǎng)云平臺需要強(qiáng)化其在感知、檢測、預(yù)警、應(yīng)急、評估的安全框架，保障安全生產(chǎn)的各個(gè)環(huán)節(jié)；

（2）工業(yè)互聯(lián)網(wǎng)云平臺需要支持面向安全生產(chǎn)的工業(yè)應(yīng)用，在加密、數(shù)字簽名、訪問認(rèn)證等方面需要探索使用新型的工業(yè)級的安全算法；

（3）保障關(guān)鍵設(shè)備的云平臺檢測分析，尤其是重要基礎(chǔ)設(shè)施在云平臺上的安全。

基于以上3方面特點(diǎn)，工業(yè)互聯(lián)網(wǎng)云平臺需要在云平臺上實(shí)現(xiàn)一種“工業(yè)操作系統(tǒng)”，以從系統(tǒng)安全生產(chǎn)管理的角度協(xié)同資源、業(yè)務(wù)與安全。通過這種統(tǒng)一管理分析的方式可以批量處理辦公業(yè)務(wù)終端、監(jiān)督控制終端、設(shè)備執(zhí)行終端等各個(gè)虛擬的終端和應(yīng)用資源。這種“工業(yè)操作系統(tǒng)”需要和安全框架有機(jī)地結(jié)合在一起，為云平臺提供持續(xù)不斷的安全漏洞評估服務(wù)，以實(shí)現(xiàn)自動評估資源是否存在漏洞或者與最佳業(yè)務(wù)實(shí)施是否有偏差為目的，然后創(chuàng)建按嚴(yán)重性級別進(jìn)行優(yōu)先級排序的詳細(xì)安全結(jié)果列表，這種自我安全監(jiān)督和安全評估將十分有利于工業(yè)生產(chǎn)的有序優(yōu)化實(shí)施。

另外，工業(yè)互聯(lián)網(wǎng)應(yīng)符合等級保護(hù)對安全域的規(guī)定，根據(jù)資源、數(shù)據(jù)、流程、業(yè)務(wù)的安全等級，在云平臺中設(shè)計(jì)安全域，從可靠性、實(shí)時(shí)性和性能幾方面設(shè)計(jì)安全域的信息安全通信等級。依據(jù)這一思想，可以設(shè)立私有網(wǎng)絡(luò)，幫助構(gòu)建出多個(gè)獨(dú)立網(wǎng)絡(luò)空間，并自定義網(wǎng)段劃分和IP地址、自定義路由策略等。同時(shí)，通過部署基于互聯(lián)網(wǎng)IPSec VPN的隧道將云平臺私有網(wǎng)絡(luò)與企業(yè)實(shí)體內(nèi)部同等級安全域的資源進(jìn)行連通通信。

除此之外，企業(yè)在維護(hù)云平臺安全中需要定期實(shí)施滲透測試，通過完全模擬黑客可能使用的漏洞發(fā)現(xiàn)技術(shù)和攻擊技術(shù)，對目標(biāo)系統(tǒng)的安全作深入地探測，發(fā)現(xiàn)系統(tǒng)最脆弱的環(huán)節(jié)，可有效發(fā)現(xiàn)與驗(yàn)證每個(gè)安全隱患點(diǎn)的存在及其可利用程度，并從中找出企業(yè)最急需解決的安全問題，幫助管理者了解系統(tǒng)風(fēng)險(xiǎn)的分布情況，讓管理人員直觀地知道己方網(wǎng)絡(luò)所面臨的問題。也可以使用安全眾測的方式，通過“白帽子”（正面黑客，可識別計(jì)算機(jī)系統(tǒng)或網(wǎng)絡(luò)系統(tǒng)中的安全漏洞）進(jìn)行私密、高效的安全測試，幫助企業(yè)全方位發(fā)現(xiàn)并提交業(yè)務(wù)中存在的安全漏洞及風(fēng)險(xiǎn)，協(xié)助企業(yè)及時(shí)響應(yīng)并修復(fù)安全漏洞，避免造成更大的業(yè)務(wù)損失。依據(jù)云平臺的分布式結(jié)構(gòu)體系，也可以采取分布式防護(hù)的解決方案，通過在多地云機(jī)房外部部署防護(hù)節(jié)點(diǎn)，分散流量，一方面提高攻擊者的攻擊門檻，另一方面增加DDoS防護(hù)的能力，同時(shí)還可以增加業(yè)務(wù)柔性，在面對大流量DDoS攻擊時(shí)提高業(yè)務(wù)可用性。

未來工業(yè)互聯(lián)網(wǎng)的安全技術(shù)趨勢由底層基礎(chǔ)設(shè)施到工業(yè)云平臺應(yīng)用可以分為：（1）設(shè)備層安全，包括設(shè)備級別的自主可控可信與輕量化的通信加密；（2）網(wǎng)絡(luò)層安全，包括分布式可追溯的層級審計(jì)認(rèn)證與可支持跨廠商的安全工業(yè)通信協(xié)議架構(gòu)；（3）平臺層安全，云霧級強(qiáng)算力、高魯棒低延時(shí)安全機(jī)制實(shí)現(xiàn)與智能協(xié)同安全技術(shù)；（4）軟件層安全，面向內(nèi)容與軟件安全技術(shù)；（5）行業(yè)應(yīng)用層安全，面向應(yīng)用的安全技術(shù)與行業(yè)性的安全規(guī)范等5個(gè)方面，從底到上的各層始終伴隨的保證數(shù)據(jù)、平臺和系統(tǒng)的安全需求，如圖2所示。其中云平臺安全對應(yīng)著平臺層安全技術(shù)，其連接著網(wǎng)絡(luò)層與軟件層，扮演著如上提到的“工業(yè)操作系統(tǒng)”的作用，保障工業(yè)應(yīng)用與基礎(chǔ)設(shè)施安全。云平臺提供支持網(wǎng)絡(luò)層安全中提到的分布式可追溯的層級審計(jì)認(rèn)證與跨廠商的安全工業(yè)通信協(xié)議架構(gòu)。云平臺的區(qū)塊鏈技術(shù)或者基于可信管理與信任鏈技術(shù)是實(shí)現(xiàn)這種支持的底層技術(shù)方案。云平臺安全保障軟件層安全，其強(qiáng)計(jì)算與高魯棒的安全控制保障軟件層內(nèi)容與功能安全。云平臺安全對工業(yè)互聯(lián)網(wǎng)物理系統(tǒng)安全、數(shù)據(jù)安全和內(nèi)容安全起著不可替代的作用。

3 結(jié)語

工業(yè)云計(jì)算平臺主要為工業(yè)現(xiàn)場數(shù)據(jù)采集、傳輸以及在云端的數(shù)據(jù)存儲、處理及分析等各個(gè)環(huán)節(jié)提供基礎(chǔ)技術(shù)支持，降低制造業(yè)企業(yè)實(shí)現(xiàn)信息化、智能化的技術(shù)門檻，是工業(yè)互聯(lián)網(wǎng)的重要組成部分。工業(yè)云計(jì)算平臺需要具備按需服務(wù)、寬帶接入、虛擬化資源池、快速彈性架構(gòu)、可測量的服務(wù)、多用戶等特征，這些特征可以有效幫助工業(yè)企業(yè)更好地面對未來市場競爭，但同時(shí)工業(yè)云計(jì)算平臺為信息系統(tǒng)安全帶來了新的安全威脅。保障工業(yè)互聯(lián)網(wǎng)云平臺的信息安全是保障工業(yè)互聯(lián)網(wǎng)價(jià)值的核心所在。 

 

（原載于《保密科學(xué)技術(shù)》雜志2020年10月刊）