淺談工業(yè)互聯(lián)網(wǎng)云平臺安全防護技術

【摘 要】 本文介紹了工業(yè)云平臺的關鍵技術，分析了工業(yè)互聯(lián)網(wǎng)通用的信息安全防護技術及特需安全防護技術，為工業(yè)互聯(lián)網(wǎng)云計算平臺安全實施提供參考建議。

【關鍵詞】工業(yè)互聯(lián)網(wǎng) 云計算平臺 安全防護技術

1 引言

工業(yè)云計算平臺（簡稱云平臺）是工業(yè)互聯(lián)網(wǎng)的重要組成部分，也是核心技術架構。工業(yè)云平臺主要為工業(yè)現(xiàn)場數(shù)據(jù)采集、傳輸以及在云端的數(shù)據(jù)存儲、處理及分析等各個環(huán)節(jié)提供基礎技術支持，以降低制造業(yè)企業(yè)實現(xiàn)數(shù)字化、智能化的技術門檻，助力工業(yè)企業(yè)智能制造實現(xiàn)優(yōu)化資源配置、數(shù)字生產(chǎn)可視可控以及協(xié)同快速響應市場等決策目標。

2 工業(yè)云平臺特性

工業(yè)云平臺是基于傳統(tǒng)網(wǎng)絡云計算技術發(fā)展而來的，因此工業(yè)云平臺也要求實現(xiàn)高可靠、標準化、易用性、擴展性、虛擬化與軟件化、高實時與高性能，及信息安全性。

（1）高可靠，即為保證工業(yè)云平臺核心業(yè)務的連續(xù)穩(wěn)定運行，需要采取冗余設計，在網(wǎng)絡整體和設備配置上設計雙備份，在網(wǎng)絡連接上消除單點故障，提供關鍵設備的故障切換，還要求網(wǎng)絡具有設備與鏈路遭遇故障時毫秒級的保護倒換能力。

（2）標準化，即工業(yè)云平臺因其與工業(yè)生產(chǎn)密不可分，應在特定的行業(yè)標準規(guī)范下設計，形成面向行業(yè)服務的信息化技術服務平臺。方案的設計應采用標準技術與協(xié)議，以便在面對多設備供應商、多工業(yè)服務對象的場景下，能夠保證良好的系統(tǒng)兼容性、服務產(chǎn)品通用性、功能多樣性、技術先進性和未來可拓展性。

（3）易用性，即簡化系統(tǒng)結構，降低維護量。

（4）擴展性，即方便進行符合需求的、規(guī)模較大的改造，并能不斷擴展服務器集群和軟件功能模塊。

（5）虛擬化與軟件化，即工業(yè)服務器、存儲器、網(wǎng)絡及安全設備應具備虛擬化功能，在虛擬化的基礎上，軟件化可以為工業(yè)生產(chǎn)模型、工業(yè)數(shù)據(jù)分析提供有力保障，也可為關鍵設備提供更高效率的檢測分析。另外，通過軟件定義的方式可以優(yōu)化網(wǎng)絡關鍵設備與配置。

（6）高實時與高性能，即工業(yè)云平臺上布置感知、監(jiān)測、預警、應急、評估等安全生產(chǎn)環(huán)節(jié)與生產(chǎn)業(yè)務通信應保證其實時性，以更好地提升工業(yè)生產(chǎn)的安全性。另外，工業(yè)生產(chǎn)在整個云計算上有映射，業(yè)務都分布在各個服務器上，流量模型從縱向流量轉換成復雜的多維度混合的形式，整個系統(tǒng)具有較高的吞吐能力和處理能力，系統(tǒng)各層均不存在阻塞，具備對突發(fā)流量的承受能力。

（7）信息安全性，是云平臺提供基礎設施服務、平臺服務和應用服務的最重要的保障。

以下從傳統(tǒng)云計算平臺架構及安全技術入手介紹工業(yè)云平臺安全技術的獨特性。

2.1 云平臺的通用安全技術

云計算具有按需服務、寬帶接入、虛擬化資源池、快速彈性架構、可測量的服務、多用戶等特征, 傳統(tǒng)的信息安全技術在云計算上有廣泛的應用，同時在云平臺上也會布置獨特的信息安全技術。傳統(tǒng)的云計算平臺安全機制主要有數(shù)據(jù)的隱私保護、數(shù)據(jù)完整性和機密性保護、身份和訪問管理（IAM）和單點登錄（SSO）等，如圖1所示。

（1）在數(shù)據(jù)的隱私保護方面，傳統(tǒng)云平臺具有隱私管理機制，這種機制提供一種輪轉、管理和檢索密鑰的服務。它巧妙地解決了應用程序數(shù)據(jù)庫憑證泄露的問題，還可以審核和監(jiān)控密鑰使用情況，任何查看密鑰憑證的用戶都會被記錄下來，這也在一定程度上保障了密鑰的安全。其中的密鑰管理服務和眾多的云平臺其他服務進行集成，保證數(shù)據(jù)在靜態(tài)存儲時的加密安全，比如為EBS磁盤加密，保障EBS中數(shù)據(jù)的存儲安全等等。可以說，整個AWS云中數(shù)據(jù)的存儲安全都由密鑰管理服務（KMS）來負責。或者使用密鑰保險庫，可將密鑰以及在硬件安全模塊（HSM）中存儲密鑰的小密文（如密碼）進行加密。這樣就無須預配、配置、修補和維護硬件安全模塊及密鑰管理軟件。

（2）在數(shù)據(jù)完整性和機密性保護方面，主要包括數(shù)據(jù)加密、哈希計算、數(shù)字簽名、公鑰基礎設施等。這些技術依靠加密算法的可靠性，其密鑰的安全性依靠前文提到的密鑰管理服務。

（3）在身份與訪問管理方面，身份與訪問管理（IAM）貫穿云計算的各項服務中，任何服務之間的請求都需要身份驗證和授權，所有的身份驗證和授權都由身份與訪問管理這個服務來承擔。身份和訪問管理機制包含控制和跟蹤IT資源、環(huán)境和系統(tǒng)的用戶身份和訪問權限所必需的組件和策略，包括以下4個方面。

1）身份驗證——用戶名和密碼組合仍然是身份與訪問管理系統(tǒng)最常見的用戶身份驗證形式，它還可以支持數(shù)字簽名、數(shù)字證書、生物識別硬件（指紋識別器）、專業(yè)軟件（如語音分析程序），以及將用戶賬戶鎖定到已注冊的IP或MAC地址。

2）授權——授權組件定義訪問控制的正確粒度，并監(jiān)督身份，確認訪問控制權限和IT資源可用性之間的關系。

3）用戶管理——與系統(tǒng)的管理功能相關，用戶管理程序負責創(chuàng)建新的用戶身份和訪問組，重置密碼，定義密碼策略和管理權限。

4）憑據(jù)管理——憑據(jù)管理系統(tǒng)為已定義的用戶賬戶建立身份和訪問控制規(guī)則，從而減輕授權不足的威脅。

盡管身份與訪問管理目標與公鑰基礎設施機制的目標類似，但身份與訪問管理機制的實現(xiàn)范圍是不同的，因為除了分配特定級別的用戶權限外，其結構還包括訪問控制和策略。身份與訪問管理機制主要用于抵制授權不足，拒絕服務和信任邊界重疊等威脅。

（4）在單點登錄方面，跨多個云服務傳播云服務使用者的身份驗證和授權信息可能是一項挑戰(zhàn)，尤其是在需要調用大量云服務或基于云的IT資源作為同一整體運行時活動的一部分時。單點登錄機制使一個云服務使用者能夠由安全代理進行身份驗證，該安全代理建立在云服務使用者訪問其他云服務或基于云的IT資源時持久存儲的安全環(huán)境。否則，云服務使用者需要在每個后續(xù)請求中重新進行身份驗證。單點登錄機制實質上使相互獨立的云服務和IT資源能夠生成和傳播運行時所需的認證和授權憑證。最初由云服務使用者提供的憑據(jù)在會話期間保持有效，同時共享其安全環(huán)境信息。當云服務消費者需要訪問駐留在不同云上的云服務時，單點登錄機制的安全代理特別有用。例如微軟的Azure Active Directory，它是用于管理和保護標識的通用平臺，可提供單一登錄和多重身份驗證，保護用戶安全。使用Azure Active Directory域服務將Azure虛擬機加入一個域，且無須部署域控制器。使用它們的企業(yè)Azure Active Directory憑證登錄到虛擬機，并無縫訪問資源。

其他信息安全保護技術還有：應用程序（Web應用）網(wǎng)關、VPN網(wǎng)關、信息保護、隔離、數(shù)據(jù)刪除等。

2.2 工業(yè)互聯(lián)網(wǎng)云平臺的獨特安全需求

除了以上提到的傳統(tǒng)云平臺的安全技術以外，工業(yè)互聯(lián)網(wǎng)云平臺安全技術需要注意以下3個方面：

（1）工業(yè)互聯(lián)網(wǎng)云平臺需要強化其在感知、檢測、預警、應急、評估的安全框架，保障安全生產(chǎn)的各個環(huán)節(jié)；

（2）工業(yè)互聯(lián)網(wǎng)云平臺需要支持面向安全生產(chǎn)的工業(yè)應用，在加密、數(shù)字簽名、訪問認證等方面需要探索使用新型的工業(yè)級的安全算法；

（3）保障關鍵設備的云平臺檢測分析，尤其是重要基礎設施在云平臺上的安全。

基于以上3方面特點，工業(yè)互聯(lián)網(wǎng)云平臺需要在云平臺上實現(xiàn)一種“工業(yè)操作系統(tǒng)”，以從系統(tǒng)安全生產(chǎn)管理的角度協(xié)同資源、業(yè)務與安全。通過這種統(tǒng)一管理分析的方式可以批量處理辦公業(yè)務終端、監(jiān)督控制終端、設備執(zhí)行終端等各個虛擬的終端和應用資源。這種“工業(yè)操作系統(tǒng)”需要和安全框架有機地結合在一起，為云平臺提供持續(xù)不斷的安全漏洞評估服務，以實現(xiàn)自動評估資源是否存在漏洞或者與最佳業(yè)務實施是否有偏差為目的，然后創(chuàng)建按嚴重性級別進行優(yōu)先級排序的詳細安全結果列表，這種自我安全監(jiān)督和安全評估將十分有利于工業(yè)生產(chǎn)的有序優(yōu)化實施。

另外，工業(yè)互聯(lián)網(wǎng)應符合等級保護對安全域的規(guī)定，根據(jù)資源、數(shù)據(jù)、流程、業(yè)務的安全等級，在云平臺中設計安全域，從可靠性、實時性和性能幾方面設計安全域的信息安全通信等級。依據(jù)這一思想，可以設立私有網(wǎng)絡，幫助構建出多個獨立網(wǎng)絡空間，并自定義網(wǎng)段劃分和IP地址、自定義路由策略等。同時，通過部署基于互聯(lián)網(wǎng)IPSec VPN的隧道將云平臺私有網(wǎng)絡與企業(yè)實體內部同等級安全域的資源進行連通通信。

除此之外，企業(yè)在維護云平臺安全中需要定期實施滲透測試，通過完全模擬黑客可能使用的漏洞發(fā)現(xiàn)技術和攻擊技術，對目標系統(tǒng)的安全作深入地探測，發(fā)現(xiàn)系統(tǒng)最脆弱的環(huán)節(jié)，可有效發(fā)現(xiàn)與驗證每個安全隱患點的存在及其可利用程度，并從中找出企業(yè)最急需解決的安全問題，幫助管理者了解系統(tǒng)風險的分布情況，讓管理人員直觀地知道己方網(wǎng)絡所面臨的問題。也可以使用安全眾測的方式，通過“白帽子”（正面黑客，可識別計算機系統(tǒng)或網(wǎng)絡系統(tǒng)中的安全漏洞）進行私密、高效的安全測試，幫助企業(yè)全方位發(fā)現(xiàn)并提交業(yè)務中存在的安全漏洞及風險，協(xié)助企業(yè)及時響應并修復安全漏洞，避免造成更大的業(yè)務損失。依據(jù)云平臺的分布式結構體系，也可以采取分布式防護的解決方案，通過在多地云機房外部部署防護節(jié)點，分散流量，一方面提高攻擊者的攻擊門檻，另一方面增加DDoS防護的能力，同時還可以增加業(yè)務柔性，在面對大流量DDoS攻擊時提高業(yè)務可用性。

未來工業(yè)互聯(lián)網(wǎng)的安全技術趨勢由底層基礎設施到工業(yè)云平臺應用可以分為：（1）設備層安全，包括設備級別的自主可控可信與輕量化的通信加密；（2）網(wǎng)絡層安全，包括分布式可追溯的層級審計認證與可支持跨廠商的安全工業(yè)通信協(xié)議架構；（3）平臺層安全，云霧級強算力、高魯棒低延時安全機制實現(xiàn)與智能協(xié)同安全技術；（4）軟件層安全，面向內容與軟件安全技術；（5）行業(yè)應用層安全，面向應用的安全技術與行業(yè)性的安全規(guī)范等5個方面，從底到上的各層始終伴隨的保證數(shù)據(jù)、平臺和系統(tǒng)的安全需求，如圖2所示。其中云平臺安全對應著平臺層安全技術，其連接著網(wǎng)絡層與軟件層，扮演著如上提到的“工業(yè)操作系統(tǒng)”的作用，保障工業(yè)應用與基礎設施安全。云平臺提供支持網(wǎng)絡層安全中提到的分布式可追溯的層級審計認證與跨廠商的安全工業(yè)通信協(xié)議架構。云平臺的區(qū)塊鏈技術或者基于可信管理與信任鏈技術是實現(xiàn)這種支持的底層技術方案。云平臺安全保障軟件層安全，其強計算與高魯棒的安全控制保障軟件層內容與功能安全。云平臺安全對工業(yè)互聯(lián)網(wǎng)物理系統(tǒng)安全、數(shù)據(jù)安全和內容安全起著不可替代的作用。

3 結語

工業(yè)云計算平臺主要為工業(yè)現(xiàn)場數(shù)據(jù)采集、傳輸以及在云端的數(shù)據(jù)存儲、處理及分析等各個環(huán)節(jié)提供基礎技術支持，降低制造業(yè)企業(yè)實現(xiàn)信息化、智能化的技術門檻，是工業(yè)互聯(lián)網(wǎng)的重要組成部分。工業(yè)云計算平臺需要具備按需服務、寬帶接入、虛擬化資源池、快速彈性架構、可測量的服務、多用戶等特征，這些特征可以有效幫助工業(yè)企業(yè)更好地面對未來市場競爭，但同時工業(yè)云計算平臺為信息系統(tǒng)安全帶來了新的安全威脅。保障工業(yè)互聯(lián)網(wǎng)云平臺的信息安全是保障工業(yè)互聯(lián)網(wǎng)價值的核心所在。 

 

（原載于《保密科學技術》雜志2020年10月刊）