网络安全动态 ·

齐向东:工业互联网应首选数据驱动的内生安全

奇安信集团董事长齐向东在2020中国5G+工业互联网大会演讲中表示,为了应对新挑战,工业互联网应该首选数据驱动的内生安全,并基于内生安全框架,建立起完善的网络安全协同联动防御体系。

齐向东:工业互联网应首选数据驱动的内生安全 网络安全动态 第1张

以下为奇安信董事长齐向东在武汉5G+工业互联网大会上的讲话全文。

尊敬的各位领导、来宾,女士们、先生们,大家好!

非常高兴来到武汉参加中国5G+工业互联网大会。新一轮科技革命的到来,让我们步入了新时代,这既是机遇,也是挑战。所以,我今天的演讲内容概括成了三个关键词,“新时代、新挑战、新安全”。

先说“新时代”,这个新时代就是工业互联网的时代。

第四次工业革命的到来,让工业互联网成为了全球竞争战略高地。可以说,第一次工业革命创造了蒸汽时代,第二次工业革命创造了电气时代,第三次工业革命创造了信息时代,第四次工业革命创造了工业互联网时代。

我总结,工业互联网的特征主要有“四化”,智能化生产、个性化定制、网络化协同和数字化管理。以网络化协同为例,工业互联网能横向打通产业链,将分散、杂乱的资源整合在一起,优化资源配置,不断提高生产力。

现在5G技术正蓬勃发展,为工业互联网插上了腾飞的翅膀。5G具有低时延、高带宽、大连接的特点,可以让工业生产实现高度精益化,让数据高速传输,帮助工厂实现远程运营维护。比如,基于5G技术的AR辅助系统,可以在设备装配的时候,实现远程专家和一线运维人员同时在现场,效率提升70%。

工业互联网今年产业增加值将达3.78万亿,已经成为我国经济增长的新动能。中国工业互联网研究院最新公布的数据显示,工业互联网的蓬勃发展,还充分带动了就业和其他产业的增长,预计今年带动的总就业人数将超过2800万人,带动第二产业和第三产业增加值规模达到1.935、1.791万亿。

根据专家预计,到2025年,我国工业互联网市场规模预计将突破10万亿。无论是从政策还是从市场层面,工业互联网都迎来了重大利好。

政策层面上,工信部党组最近在《求是》杂志发表署名文章《坚定不移建设制造强国和网络强国》,明确提出要“大力建设5G、工业互联网等新型基础设施,加快5G商用步伐,推进工业互联网创新发展”;今年3月20号,工信部发布《关于推动工业互联网加快发展的通知》,提出了20项加快工业互联网发展的重要举措。

市场层面,城镇化进程带来了生活方式的变化,为工业互联网打开了巨大的市场空间。目前,工业互联网已经在航空、钢铁、家电、服装等多个行业得到了应用,未来将推动更多行业朝着数字化、网络化、智能化转型升级,拓宽工业互联网的边界。

新时代意味着新机遇,也意味着新挑战。这个新挑战就是网络安全,它是工业互联网的第一大挑战。

当前在工业领域,全球重大安全事件发生的频率越来越高,后果越来越严重,仅今年一年就发生了十多起。10月份,印度一家新冠疫苗制造商遭受网络攻击,部分工厂被迫关闭;9月,以色列芯片巨头被黑,制造部门暂停运转;6月,巴西一家电力公司遭到勒索攻击;5月,委内瑞拉国家电网干线遭到攻击,全国11个州府发生了大面积停电。

随着5G与工业系统的深入融合,工业互联网面临的安全挑战更加严峻。传统工业相对封闭可信的生产环境被打破,网络攻击面不断扩大,带来了新的网络安全风险。我总结,主要有四方面的挑战。

一是漏洞数量多、级别高,存在极大风险。今年上半年我国联网工控设备中累计发现946个漏洞隐患,中高危漏洞占比高达91%。部分漏洞还存在公开利用代码,攻击者可通过代码轻易取得设备控制权。就在8月份,三菱电机公司生产的自动化产品被爆出三个严重漏洞,可能造成远程代码执行、机密文件泄露、文件被篡改等严重危害。

二是数据开放度高、流动性强,加剧泄露风险。5G边缘计算中心通过API接口开放给第三方应用,让工业互联网数据在不同应用之间共享,流动方向和路径十分复杂,难以管控,大大增加了数据传输和存储的安全风险。

三是APT针对性强、破坏性大,威胁工业活动。工业互联网直接关系到重要的生产和经济活动,成为了APT攻击的重点目标。比如,APT组织“沙虫”被认为和2015年的乌克兰断电事故有关。这个组织通过社会工程学等方式植入恶意软件,导致电网主机系统崩溃,造成了大规模停电。

四是“内鬼”层出不穷,安全防线易从内部攻破。FBI和CSI等机构做的报告显示,超过85%的网络安全威胁来自内部,危害程度远远超过黑客攻击和病毒造成的损失。很多企业的员工安全意识不强,弱密码、账号共用现象普遍存在;有的供应商还能直接访问内部系统和敏感数据,自身系统也存在很多漏洞,给攻击者提供了可乘之机。

应对这些新挑战,我们需要新安全,工业互联网应该首选数据驱动的内生安全。

现在工业互联网的防护方式五花八门,缺乏与时俱进的方法论和一套行之有效的体系。我们针对这个问题,提出了内生安全,它以数据驱动,在工业信息化环境下,内置并不断自我生长出安全能力。这种能力具有像免疫系统一样自我免疫、内外兼修、自我进化的特点,通过建立“一个中心五张滤网”,能极大降低网络攻击风险,保障工业生产安全。

内生安全是一套复杂的系统工程,实现它要依靠安全框架。这个框架有三个关键:“盘家底”、“建系统”、“跑得赢”。

“盘家底”是体系化地梳理网络资产和网络拓扑结构,包括硬件设备、软件版本、网络协议等,并设计出所需的安全能力。设计时根据实际情况规划、挑选、组合,给出明确标准,确保这些安全能力能够融入工业控制系统中。

很多工业企业不仅不清楚自己需要什么样的安全能力,连自己有多少生产系统、系统上有没有漏洞、上了什么措施都搞不清楚。因为在绝大多数的大型企业,信息口和生产口由不同的领导分管,更加剧了网络资产不清的状况。我举个例子,有一个煤矿企业计划上一个工控网络态势感知系统,我们根据他们信息口工程师提供的生产网络资产清单,搭建好了一套模拟系统,结果发现全是错的,和生产口的系统对不上。之后,我们通过主动扫描,发现了几百个工控系统,但是哪些是要命的系统,信息口的人还是不知道。

所以我们要通过主动扫描、自动化探测、人工梳理核查等多种方式,将工控资产的台账理清,盘清资产、风险、漏洞,还要和生产口的人员一一分析确认,哪些系统是重要的生产控制系统,将所有资产根据重要性分级分类,进行全面评估、设计。

“建系统”是通过融合实现深度结合、全面覆盖。在具体建设过程中,按照全景化的技术部署模型,把安全能力组件化,以系统、服务、软硬件资源的形态合理部署。

在我们发布的安全框架中,针对工控网络的安全体系建设总结了九项重点任务,包括调整优化工控网络架构、增强工控主机安全防护、建立工业互联网平台防护体系、建立工控网络安全监测体系、建立工控网络纵深防御体系、建设工控远程访问安全接入点等。

以远程访问安全接入点的安全建设为例,我们要对进出控制网的流量,进行身份认证、数据加解密、访问控制以及威胁检测;对通过有线或无线拨号连接控制网的远端设备,建立VPN隧道,实现对数据传输的风险控制。

“跑得赢”是确保安全运行的可持续性,实现管理闭环。缺乏安全运行的安全系统,相当于“靠天吃饭”,极易被攻击。只有建立高效的安全运行体系,才能跑得赢漏洞、内鬼和黑客。

安全运行是“阵型+武器+战法”的科学组合。首先,要把不同的安全能力组成方阵,形成合纵连横、灵活应变的阵型,兼顾进攻和防御,把安全能力布置在最合适的位置;其次,要综合使用不同效能的武器,而不是哪个顺手就只用哪个,单打独斗;最后,还有要有一套精心研制的战法,包括策略、流程和标准规程,有方法套路才能克敌制胜。

以漏洞的修补和防护为例,我们在很多企业发现,他们工控主机的生命周期基本在15-20年左右,投入生产后几年不关机是常态,同时系统内存和处理能力有限,安全防护机制缺失,系统漏洞多,再加上受生产运行环境的限制,安全漏洞很难及时修补,也不敢随意更新系统,因为升级可能导致生产出问题。

如果有一套完善的安全运行管理体系,这些问题就能得到解决。

一是通报,有漏洞信息了,要迅速进行内部通报,并紧密跟踪漏洞情报;

二是再通报,确定了受影响的软硬件,更新内部通报、开展专项核查,结合资产信息,确定哪些地方确实有问题;

三是紧急通报,发现漏洞已有攻击方法(POC),马上进行紧急通报,同时设置白名单和防护策略;

四是下线,发现在野利用了,考虑临时下线;

五是打补丁,有补丁了,进行补丁验证、测试和分发。

这样,我们就能把大量的安全工作标准化、条令化,全面落实到具体岗位的细致工作事项中,面对突发威胁能快速触发响应措施,迅速恢复业务运转。

我相信,按照我们提出的内生安全框架,工业互联网一定能建立起完善的网络安全协同联动防御体系,取得更大的发展。谢谢大家!

声明:本文来自虎符智库,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如有侵权,请联系 2018288588@qq.com。

参与评论