中国制造2025环境下的工业互联“安全”

北京红信昭阳 2022-02-12 21:31:05

关键词：OT安全、IT安全、IOT安全、安全隔离、替代隔离网闸；优于OPC和MQTT协议的“双向”实时安全通讯！

Skkynet Cogent DataHub软件下的工业互联“安全”；使用基于DHTP协议的隧道加密技术，同时使用建立防火墙出站连接反转通讯专利技术。

北京红信昭阳公司，Skkynet Cogent DataHub中国总代理

背景

为坚定不移的实现“制造强国”国家战略目标，国家对两化（自动化和信息化）持续提出更多的要求、期望和目标。从两化融合（十二五）到中国制造2025（十三五、十四五），国家希望通过信息化和工业化的高层次的深度结合:推行数字化网络化智能化制造；提升产品设计能力；完善制造业技术创新体系；强化制造基础；提升产品质量；推行绿色制造；培养具有全球竞争力的企业群体和优势产业(发展现代制造服务业)；最终引领和带动整个制造业的发展，实现整个制造业升级转型，追求可持续发展模式。

近年来，制造业和基建设施受到的攻击日益增多——电力、天然气、自来水，甚至核电设备都受到了黑客多种的攻击。不同于IT系统的安全问题，最大的威胁可能是商业业务的停滞以及信息的泄露；OT环境一旦受到攻击，就很有可能会对环境以及人生带来直接的伤害。随着攻击者逐渐将攻击目标转移到了OT上，安全也必须紧跟而上，确保OT的安全。另外，随着国家“制造强国”战略方针，在两化融合与中国制造2025的推动下，OT与IT是不分离的；因此，制造业和基建的安全诉求是IT与OT融合的安全诉求。

OT安全事件

OT(主要在ICS系统中)的安全事件，无论是故意的还是意外的，都可以会发生，不过频率不是很高。不过一旦发生，企业的损失就相当大。例如，卡巴斯基实验室的白皮书“2017年工业网络安全状况”将企业的平均累计成本定为347603美元（265881英镑），所含费用包括事件的后果和所需的补救措施，超过一半的受访企业承认在过去十二个月内至少发生过一起攻击事件。相比之下，在2018年的后续调查报告中，则只有不到一半的参与调查的公司承认发生过安全事故，这表明OT系统的安全性正在提高。然而，损失成本仍然很高，这里的成本不仅仅是财务成本。

2021年5约13日，美国科洛尼尔管道运输公司向黑客“阴暗面”（Dark Side）支付近500万美元以恢复系统。

https://baijiahao.baidu.com/s?id=1699661021489325629

事件经过：网络犯罪组织“阴暗面”攻击美国管道运输系统，导致美国东海岸（17个州）45%的燃油供应被迫关停。

事件影响和损失：1、美国政府宣布进入紧急状态，以解除针对燃料运输限制政策；2、燃油短缺、油价上涨；车主恐慌性囤积购买汽油；3、科洛尼尔将近100GB的数据被劫持；4、支付近500万美元的赎金；数据还在解密恢复过程中。

上述事件暴露出了美国能源和网络安全的脆弱性；透视出全球的物联网运营系统的安全保护不足。让我们了解了OT系统遭遇攻击时的严重后果，也预示着对OT系统的保护要比对其它系统的保护更重要。

IT安全和OT安全的区别

IT环境是动态的，比如说，IT系统需要经常修复、升级、替换。IT员工很关注数据机密性、完整性和可用性(这三性也称为CIA)。他们很了解最新IT趋势和威胁。然而，IT人员往往不熟悉OT网络或工业控制系统(ICS)，他们中几乎没人会涉足工厂环境。

与之相反，OT员工在以稳定性、安全性和可靠性为重的运营环境工作。他们的工作涉及维护复杂敏感环境的稳定，比如炼油厂、化工厂和水厂这类充斥几十年前的遗留老系统，且系统几十年间未做更新的环境。他们的箴言是：“只要能用，就别动它。”

IT与OT到底有啥不同

查看IT系统安全要求的一种常见方法是承认它是以数据为中心的，关键要求是正在处理的数据的机密性、完整性和可用性(C、I和A)。

除了这些关键的基本概念之外，从安全测试角度IT和OT之间存在如下差异：

1.不同的性能要求；

2.不同的可靠性要求；

3.“异常”操作系统（OS）和应用程序；

4.不同的安全架构；

5.不同的风险管理目标；

IT和OT系统在企业内部关键性的优先级差异，是IT安全测试防护方法不能简单地在OT空间中进行调整和重用的核心原因。让我们看一下传统IT安全措施和测试方法的一些例子，并考虑它们对OT系统的影响。

传统IT安全措施作用于OT系统的影响

1、网络扫描

使用NMAP和Nessus等工具进行自动扫描是IT系统基础架构测试过程中的一项常见活动，通常包括发送数据包来识别逻辑网络布局或检查单个计算机是否存在已知漏洞。有时这种扫描可能会被限制，因为它有可能导致意外行为，例如导致计算机关闭，但这在IT中非常少见。

相比之下，此类活动更有可能在OT中导致意想不到的结果，并且是更加糟糕的后果。最常见的后果是被扫描的设备可能会因某些意外的输入而关闭或不作出响应。此类活动可能会导致意外的机械反应，例如在制造工厂中突然移动机械臂对周围机械造成物理损坏，或对在该区域工作的人员造成伤害。

2、打补丁

打补丁是我们正在进行安全审查的IT系统上最常见的修复手段之一，也是安全行业的热门话题。操作系统和安装在其上的应用程序经常成为攻击者和安全专家的目标，攻击者寻找进入系统的方法，而安全专家则寻找需要修复的漏洞。当一个漏洞被发现并报告后，操作系统或软件的开发者通常会为该漏洞修补，然后需要将其安装到受影响的计算机上，以确保其安全。

人们普遍认为，系统应该在短时间内安装安全补丁和更新，并且只应使用供应商支持的操作系统。

即使在IT系统中，这也不像听起来那么简单，因为补丁可能会导致不同软件彼此交互的问题。因此，拥有更大网络的组织倾向于先在单个设备上安装补丁，以检查是否没有问题，然后再将它们推广到网络的其他部分。

这些问题在OT网络中更加复杂，在OT网络中，设备通常会按照设计连续运行数年。这意味着:

1.它们可能依赖于不再接收安全更新但无法升级的旧软件版本；

2.它们维护的窗口期限很短；

3.由导致意外行为的补丁导致的停机成本太大；

因此，打补丁并不是大多数ICS系统的优先考虑因素，因为它可能会影响我们的安全性和可靠性的核心原则。

3、加密和认证

我们在每次IT安全评估中检查的另一种安全机制是使用加密，如果没有加密，任何数据都有可能被监控你的网络的人读取或修改。它用于保护金融交易、登录页面、电子邮件等，以至于不使用加密的系统被视为高风险目标。而加密又往往与身份验证密切相关，身份验证是确保你是唯一可以访问数据的人的机制。

然而，适用于IT中的安全机制并不意味着适用于OT。首先，我们已经指出，这些系统上的数据机密性并不是优先事项，尽管它可能适用于连接的IT系统。尽管使用加密和身份验证也可以在一定程度上抵御恶意攻击，但它也会消耗计算资源，这可能会导致系统出现延迟反应，从而严重影响可靠性和安全性。想象一下发电站中的反应堆过热，如果发送读数有延迟，那么冷却或关闭机制的启动会有延迟，这可能会导致物理损坏或对反应堆造成破坏。

此外，OT系统中的认证机制在某种程度上也被员工视为阻碍安全管理的绊脚石，员工在响应紧急警报时，不希望因为必须记住并输入复杂的密码而耽搁时间，因为他们试图诊断问题并采取相应的行动。事实上，这样的安全措施（认证机制）更有可能导致员工共享登录细节，并将其写在控制台的便利贴上，以节省时间。而这，有完全与设置密码的初中相违背。

这可能比攻击者访问系统的后果更严重，因此，从安全的角度来看，接受攻击者的一次入侵后果可能比阻碍负责维护系统安全和可靠性的后果更小。

Skkynet Cogent DataHub专利技术下的工业互联“安全”

IT与OT两化融合的基础必要条件是工业互联（IIoT）：实现企业内部OT层和IT层的互联；实现产业链上下游企业之间的互联；所谓工业互联，实则是双向的数据通讯和信息共享，这种场景下：要求通讯过程的实时性和安全性，也就是“双向”实时安全通讯。

实时通讯：保证通讯速度要求在毫秒级。否则，这就像驾驶一辆在方向盘、刹车踏板和轮胎之间有 3 秒延迟的汽车——这是灾难的根源；这样根本无法实现真正的智能制造，无法完成数据的实时闭环读写与控制。

安全通讯：保证OT系统、IT系统安全。否则，遭受恶意攻击破环，造成OT基础设施失控或宕机，造成IT业务机密信息被窃取或勒索，以致造成严重的人生、环境、经济和商业损失。

Skkynet Cogent DataHub软件下的工业互联“安全”，使用基于DHTP协议的隧道加密技术，同时使用建立防火墙出站连接反转通讯专利技术：https://cogentdatahub.com/connect/secure-ot-it/

不需要开放任何防火墙的入站端口，可消除防火墙入站攻击点；明显优于需要开放特定通讯端口的OPC和MQTT协议。
建立防火墙出站连接后，专利反转通讯技术实现“双向”通讯；
基于DHTP协议的“双向”通讯，实时通讯效率高达毫秒级；
基于DHTP协议加密隧道技术，支撑SSL加密和用户认证；
无需破坏和改变OT测的环境，保证OT系统稳定；
可在IT和OT系统间建立DMZ区，实现IT和OT的双测安全。
DMZ区的DataHub同时可以为第三方提供“双向”实时安全数据服务。

北京红信昭阳科技公司，Skkynet Cogent DataHub中国总代理。

保护 OT 到 IT 安全连接

唯一用于联网过程数据的封闭式防火墙解决方案

DataHub程序使用DHTP协议从工厂或流程建立仅出站连接。这使所有入站防火墙端口保持关闭，支持 DMZ 和转发代理，并且不需要 VPN — 为 IT 数据流提供安全的 OT。

工厂网络不暴露：没有VPN意味着工厂安全网络没有扩展。在网络代理、数据代理和 DMZ 服务器中无缝工作。
IT 网络不会中断：只读选项和非侵入式连接确保工厂保持安全和正常运行，即使远程数据访问降级或远程位置受到威胁。
无法访问超出所需数据：工厂决定远程提供哪些数据。

性能毫不妥协：实时数据以高于网络延迟的微秒交付，轻松扩展到每秒 50,000 多个数据点更改，同时保持跨网络的数据模型。
单向或双向数据流：每个连接都可以配置为只读或读写，以支持数据监控或监督控制。
设计安全：借助 DataHub 程序的发布和订阅架构，安全性是内置的，并且始终在工厂网络中进行控制。

安全访问工厂数据：在 DMZ 中使用 DataHub 实例意味着工厂网络或云上没有入站防火墙端口。工厂网络上的 DataHub 实例提供到 DMZ 的出站连接，DMZ 上的 DataHub 实例使用出站 MQTT 连接将数据发送到云端。
单向或双向数据流：每个连接都可以配置为只读或读写，以支持数据监控或监督控制。
轻松连接到流行的云服务：对 Azure IoT Hub、Google IoT 和 Amazon IoT Core 的预配置支持。还可以连接到任何 MQTT 代理，例如 RabbitMQ 或 Mosquitto。
SkkyHub 连接：与 Skkynet 的 SkkyHub 云服务和 IBRESS 完全集成。建立工厂到云和云到云的连接。