立思辰:安全可控的工业互联网安全解决方案提供商

2018-12-03 11:29 稿源:用户投稿  0条评论

2018 年 11 月 29 日,由国家发展和改革委员会高技术产业司、公安部网络安全保卫局、国家信息中心等单位指导,中国信息协会信息安全专业委员会及国家信息中心国信卫士网络空间安全研究院共同主办的中国信息协会信息安全专业委员会 2018 年会暨第八期网络安全创新发展高端论坛在北京新世纪日航酒店成功举办。

中国工程院院士汤广福,国家信息中心副主任马忠玉,公安部十一局处长祝国邦,交通运输部通信信息中心副主任宋溱以及中国信息协会信息安全专业委员会主任、国家信息中心国信卫士网络空间安全研究院副院长叶红等领导出席了本次会议。

立思辰信息安全科技集团工业互联网事业部总经理、中国信息协会安全专业委员会工控安全工作部主任赵峰受邀出席,并发表了题为《安全可控的工业互联网安全解决方案》的主题演讲。

以下为演讲摘要:

今天我从以下三个方面来展开演讲:第一,在工业互联网实践中遇到的安全威胁和挑战;第二,面对系列问题,采取的应对措施有哪些;第三,如何更好地推进工业互联网安全的下一步工作。

首先,关于威胁与挑战,很多嘉宾在谈到安全话题的时候都会提起威胁与挑战。工业互联网产业联盟在今年三季度有个统计数据,80%的企业认为安全投入应占工业互联网总投入的5%~20%,但同时50%企业认为自己的企业不会遭受攻击,这两个数字看似有点矛盾,但是却真实地反映了目前我们安全领域、安全行业的现状。虽然现阶段大家的安全意识越来越强,并深刻地认识到我们的网络安全防护体系中存在一些问题,急需加大投入。但与此同时,我们又会抱有一定的侥幸心理,认为这些年我们的生产系统并没有受到严重攻击。回顾近一年,从“台积电”勒索病毒事件,到“波音公司”勒索病毒事件,都给生企业造成了严重的经济损失,这便是赤裸裸的威胁。

再说工业互联网的安全挑战,立思辰安全团队在多个项目实施过程中,总结出以下几点主要的挑战:1、工业设备多数是带“洞”,并且不能及时修复。主要原因是工业系统、自动化厂商更追求产品的功能、可靠性、实时性,不断迭代产品,并未将精力投入到漏洞修补上,另一方面工业系统投入运行后一般没有升级、修复的机会。2、由于IT与OT的深度融合,企业生产网与管理网间没有明显的边界。此前还有内网和外网,做双网隔离,而现在却做双网融合,融合的结果就是没有边界,致使边界的防护已经失效,类似于感染勒索病毒的事故时有发生。3、边缘计算设备部署位置分散,不易管理。对于工业互联网系统,边缘计算设备涉及到不同的厂家、不同管理水平的单位,存在非常多的安全漏洞和管理上的缺陷。4、工业现场使用了种类繁多、开放的通讯协议,很容易被利用,包括震网病毒,目前我们立思辰公司在项目中遇到的解析识别的工控协议就有 50 多种,大量的不同类别的、开放的协议在整个工业互联网里面在应用,这对于安全防护也造成了非常大的困扰和干扰。5、多数工业现场的工控资产并不清晰,到底我们这个系统里边有哪些模块在运行,我们可能有一个表格、有一个清单,但是并没有做到可视化,并没有在线监控,非常不利于安全事故应急处理。

我们再来分析一下工业互联网脆弱性的一面,通过总结项目经验,包括跟一些用户来沟通,我们总结了几点:一个是工业互联网平台、工控系统本身是不安全的,不管是我们国内的CNVD,还是美国的ICS都报告了大量漏洞,并且这个数量每天都在增加。还有整个工业互联网系统缺乏异常检测,一些APT的攻击、USB炸弹等等,我们没有手段来实时检测,等等。还有其他的脆弱性,这些脆弱性都是我们安全防护要关注的,我们要想办法来解决的。

说到工业互联网,肯定是离不开云,工业互联网不管是私有云还是公有云,都要把我们的应用放在云平台上。根据 2018 年云安全报告公布的数据,我们可以看前排在前四名的云威胁分别是:云平台配置错误、越权存储、不安全的API接口、网络和应用故障等。

基于上面的隐患、威胁与挑战,我们该怎么应对?立思辰公司总结近几年我们在一些项目现场的最佳实践提出了一些想法和理念,与大家分享一下。

1、我们觉得任何用户、任何项目,都要意识先行。通过风险评估、培训、制度梳理等工作,让大家对安全有一个最基本的认识,或者大家达成一个共识。

2、安全防护的目标是什么?简单总结就是“数据不丢、应用不断”。一些工业自动化的厂家对我们做安全防护有一定的排斥,因为这些工业自动化厂家和工业用户是非常厌恶风险的,不允许新安装或配置一个软硬件对现有的生产系统增加任何生产安全风险,生产系统出了问题谁负责?因此,我们必须要做到适度的防护,要保证我们的数没丢、业务没断,这两点如果做到了,在现阶段应该是满足了防护的基本要求。

针对防护采用什么样的手段呢?不同的安全企业有不同的说法,还有大量的产品,有几十种甚至上百种产品来支撑我们的安全防护,我们认为现阶段我们还是要小步快跑,不要激进。第一点,需要把我们的工控资产梳理清楚;第二点,要做好数据加密,保证我们的数据不管是在内网,还是互联网传输的过程中,不会被偷取;第三点,要做认证授权,不管是设备,还是用户、还是我们的应用,都能够有证书、有认证,防止伪装的攻击;第四点,就是要进行监测与审计,智能门锁也不可靠,但我们可以布更多的摄像头监视下来,作为事后分析、事中报警;第五点,采用白名单理念,工业现场设备带洞运行,没法做过多的安全加固,我们就采用白名单理念,最小化的原则,只有我们认识的人才可以通过这些门,你来一个不认识的,不管是好人、坏人都不让你通过,这就是最基本的白名单理念,包括进程白名单、通信行为白名单等等。第六点,就是零扰动,安全加固之后对我的生产系统不要有扰动。第七点,打通IT与OT安全管理界面,这是特别大一个问题,也是影响到我们工业互联网推进,甚至影响到工业互联网项目的问题,每个企业里都有信息部、生产部门,这两个部门在工业互联网项目上需要配合,但两个部门是有不同的业务目标、有不同的业务理念、有不同的知识背景,怎么来做到融合?怎么能互相融洽在一起,这个是一个管理问题。

我们通过多个项目的磨炼,以及与用户探讨,我们整理了工业互联网的安全防护需求:

1、云和端的互信:工业互联网包括云平台和边缘端,云和端怎么做互信,数据怎么能从端到云上?

2、数据安全:现在已经进入到数据时代了,数据是最重要的资源,数据安全也是很重要的一块。

3、应用安全:工业互联网平台涉及到非常非常多的应用,应用安全也很复杂。

4、认证授权:在工业互联网平台上存在大量开放的应用,怎么来做防护,怎么防内鬼等等。

下面是具体的方案:

1、 云端互信怎么做?通过一些检测审计,保证数据传输过程是可监控的、可审计的。

2、 数据安全:数据怎么脱敏、怎么加密、怎么备份,都有非常成熟的方法和解决方案。

3、 应用安全:我们应用安全上怎么做到应用冗余、WEB防护,怎么做到认证等等。

4、 云安全:因为云的技术也在发展过程中,云安全的防护是一个新的命题,比较复杂,这里面我们列了几个现阶段要做的,比如虚机之间怎么隔离,容器要怎么隔离,怎么防止数据泄露等等。

针对工业互联网安全下一步该怎么推进,我们认为应遵循合规、适用、实用的原则,逐步推进,技术和管理并重、建设和运维结合起来,循序渐进,现阶段多采用白名单,多检测、多审计、少阻断。

本文由站长之家用户投稿,未经站长之家同意,严禁转载。如广大用户朋友,发现稿件存在不实报道,欢迎读者反馈、纠正、举报问题(反馈入口)。

免责声明:本文为用户投稿的文章,站长之家发布此文仅为传递信息,不代表站长之家赞同其观点,不对对内容真实性负责,仅供用户参考之用,不构成任何投资、使用建议。请读者自行核实真实性,以及可能存在的风险,任何后果均由读者自行承担。

有好的文章希望站长之家帮助分享推广,猛戳这里我要投稿

相关文章

相关热点

查看更多