中国制造2025环境下的工业互联“安全”

北京红信昭阳 2022-02-13 19:12:20

关键词：OT安全、IT安全、IOT安全、安全隔离、替代隔离网闸；优于OPC和MQTT协议的“双向”实时安全通讯技术！

Skkynet Cogent DataHub软件下的工业互联“安全”；使用基于DHTP协议的隧道加密技术，同时使用建立防火墙出站连接反转通讯专利技术。

北京红信昭阳公司，Skkynet Cogent DataHub中国总代理

背景

为实现“制造强国”战略目标，国家提出中国制造2025规划。IT和OT两化深度融合，IOT工业互联则成为必然。黑客攻击者也逐渐将攻击目标从IT转移到了OT上，因此，制造业和基建的安全诉求变成了IT与OT融合的安全诉求。

近年来，制造业和基建设施受到的攻击日益增多——电力、天然气、自来水，甚至核电设备都受到了黑客多种的攻击。不同于IT系统的安全问题，最大的威胁可能是商业业务的停滞以及信息的泄露；OT环境一旦受到攻击，就很有可能会对环境以及人生带来直接的伤害。

2021年5约13日，美国科洛尼尔管道运输公司向黑客组织“黑暗面”支付近500万美元以恢复系统。https://baijiahao.baidu.com/s?id=1699661021489325629

事件经过：2021年5约13日网络黑客组织“黑暗面”攻击美国管道运输系统，导致美国东海岸（17个州）45%的燃油供应被迫关停。

事件损失：1、美国政府宣布进入紧急状态，以解除针对燃料运输限制政策；2、燃油短缺、油价上涨；车主恐慌性囤积购买汽油；3、科洛尼尔将近100GB的数据被劫持；4、支付近500万美元的赎金；数据还在解密恢复过程中。

上述事件暴露出了美国能源和网络安全的脆弱性；透视出全球的工业互联网运营系统的安全保护不足。让我们了解了OT系统遭遇攻击时的严重后果，也预示着对OT系统的保护要比对其它系统的保护更重要。

IT安全和OT安全的区别

IT环境是动态的，比如说，IT系统需要经常修复、升级、替换。IT员工以数据为中心，很关注数据机密性、完整性和可用性(这三性也称为CIA)。

与之相反，OT员工在以稳定性、安全性和可靠性为重的运营环境工作。他们的工作涉及维护复杂敏感环境的稳定，比如炼油厂、化工厂和水厂这类充斥几十年前的遗留老系统，且系统几十年间未做更新的环境。他们的箴言是：“只要能用，就别动它。”

IT与OT到底有啥不同？从安全测试角度IT和OT之间存在如下差异：

不同的性能要求；
不同的可靠性要求；
“异常”操作系统（OS）和应用程序；
不同的安全架构；
不同的风险管理目标；

IT和OT系统在企业内部关键性的优先级差异，是IT安全测试防护方法不能简单地在OT空间中进行调整和重用的核心原因。让我们看一下传统IT安全措施和测试方法的一些例子，并考虑它们对OT系统的影响。

传统IT安全措施作用于OT系统的影响

1、网络扫描

使用NMAP和Nessus等工具进行自动扫描是IT系统基础架构测试过程中的一项常见活动，通常包括发送数据包来识别逻辑网络布局或检查单个计算机是否存在已知漏洞。有时这种扫描可能会被限制，因为它有可能导致意外行为，例如导致计算机关闭，但这在IT中非常少见。

相比之下，此类活动更有可能在OT中导致意想不到的结果，并且是更加糟糕的后果。最常见的后果是被扫描的设备可能会因某些意外的输入而关闭或不作出响应。此类活动可能会导致意外的机械反应，例如在制造工厂中突然移动机械臂对周围机械造成物理损坏，或对在该区域工作的人员造成伤害。

2、打补丁

打补丁是我们正在进行安全审查的IT系统上最常见的修复手段之一，也是安全行业的热门话题。操作系统和安装在其上的应用程序经常成为攻击者和安全专家的目标，攻击者寻找进入系统的方法，而安全专家则寻找需要修复的漏洞。当一个漏洞被发现并报告后，操作系统或软件的开发者通常会为该漏洞修补，然后需要将其安装到受影响的计算机上，以确保其安全。

人们普遍认为，系统应该在短时间内安装安全补丁和更新，并且只应使用供应商支持的操作系统。

即使在IT系统中，这也不像听起来那么简单，因为补丁可能会导致不同软件彼此交互的问题。因此，拥有更大网络的组织倾向于先在单个设备上安装补丁，以检查是否没有问题，然后再将它们推广到网络的其他部分。

这些问题在OT网络中更加复杂，在OT网络中，设备通常会按照设计连续运行数年。这意味着:

它们可能依赖于不再接收安全更新但无法升级的旧软件版本；
它们维护的窗口期限很短；
由导致意外行为的补丁导致的停机成本太大；

因此，打补丁并不是大多数ICS系统的优先考虑因素，因为它可能会影响我们的安全性和可靠性的核心原则。

3、加密和认证

我们在每次IT安全评估中检查的另一种安全机制是使用加密，如果没有加密，任何数据都有可能被监控你的网络的人读取或修改。它用于保护金融交易、登录页面、电子邮件等，以至于不使用加密的系统被视为高风险目标。而加密又往往与身份验证密切相关，身份验证是确保你是唯一可以访问数据的人的机制。

然而，适用于IT中的安全机制并不意味着适用于OT。首先，我们已经指出，这些系统上的数据机密性并不是优先事项，尽管它可能适用于连接的IT系统。尽管使用加密和身份验证也可以在一定程度上抵御恶意攻击，但它也会消耗计算资源，这可能会导致系统出现延迟反应，从而严重影响可靠性和安全性。想象一下发电站中的反应堆过热，如果发送读数有延迟，那么冷却或关闭机制的启动会有延迟，这可能会导致物理损坏或对反应堆造成破坏。

此外，OT系统中的认证机制在某种程度上也被员工视为阻碍安全管理的绊脚石，员工在响应紧急警报时，不希望因为必须记住并输入复杂的密码而耽搁时间，因为他们试图诊断问题并采取相应的行动。事实上，这样的安全措施（认证机制）更有可能导致员工共享登录细节，并将其写在控制台的便利贴上，以节省时间。而这，有完全与设置密码的初中相违背。

这可能比攻击者访问系统的后果更严重，因此，从安全的角度来看，接受攻击者的一次入侵后果可能比阻碍负责维护系统安全和可靠性的后果更小。

Skkynet Cogent DataHub专利技术下的工业互联“安全”

所谓工业互联（IIoT）：实现企业内部OT层和IT层的互联，实现产业链上下游企业之间的互联；实则是双向的数据通讯和信息共享。这种场景下：必须要求通讯过程的实时性和安全性，也就是“双向”实时安全通讯。

实时通讯：保证通讯速度要求在毫秒级。否则，这就像驾驶一辆在方向盘、刹车踏板和轮胎之间有 3 秒延迟的汽车——这是灾难的根源；这样根本无法实现真正的智能制造，无法完成数据的实时闭环读写与控制。

安全通讯：保证OT系统、IT系统安全。否则，遭受恶意攻击破环，造成OT基础设施失控或宕机，造成IT业务机密信息被窃取或勒索，以致造成严重的人生、环境、经济和商业损失。

Skkynet Cogent DataHub软件下的工业互联“安全”，使用基于DHTP协议的隧道加密技术，同时使用建立防火墙出站连接反转通讯专利技术：https://cogentdatahub.com/connect/secure-ot-it/

不需要开放防火墙任何入站端口，可消除防火墙入站攻击点；明显优于需要开放特定通讯端口的OPC和MQTT协议。
建立防火墙出站连接后，专利反转通讯技术实现“双向”通讯；
基于DHTP协议的“双向”通讯，实时通讯效率高达毫秒级；
基于DHTP协议加密隧道技术，支撑SSL加密和用户认证；
无需破坏和改变OT测的环境，保证OT系统稳定；
可在IT和OT系统间建立DMZ区，实现IT和OT的双测安全。
DMZ区的DataHub同时可以为第三方提供“双向”实时安全数据服务。

保护 OT 到 IT 安全连接

唯一用于联网过程数据的封闭式防火墙解决方案

DataHub程序使用DHTP协议从工厂或流程建立仅出站连接。这使所有入站防火墙端口保持关闭，支持 DMZ 和转发代理，并且不需要 VPN — 为 IT 数据流提供安全的 OT。

工厂网络不暴露：没有VPN意味着工厂安全网络没有扩展。在网络代理、数据代理和 DMZ 服务器中无缝工作。
IT 网络不会中断：只读选项和非侵入式连接确保工厂保持安全和正常运行，即使远程数据访问降级或远程位置受到威胁。
无法访问超出所需数据：工厂决定远程提供哪些数据。

性能毫不妥协：实时数据以高于网络延迟的微秒交付，轻松扩展到每秒 50,000 多个数据点更改，同时保持跨网络的数据模型。
单向或双向数据流：每个连接都可以配置为只读或读写，以支持数据监控或监督控制。
设计安全：借助 DataHub 程序的发布和订阅架构，安全性是内置的，并且始终在工厂网络中进行控制。

安全访问工厂数据：在 DMZ 中使用 DataHub 实例意味着工厂网络或云上没有入站防火墙端口。工厂网络上的 DataHub 实例提供到 DMZ 的出站连接，DMZ 上的 DataHub 实例使用出站 MQTT 连接将数据发送到云端。
轻松连接到流行的云服务：对 Azure IoT Hub、Google IoT 和 Amazon IoT Core 的预配置支持。还可以连接到任何 MQTT 代理，例如 RabbitMQ 或 Mosquitto。
SkkyHub 连接：与 Skkynet 的 SkkyHub 云服务和 IBRESS 完全集成。建立工厂到云和云到云的连接。