工业互联网作为我国打造制造强国的核心手段，也是最近大家谈论很多的“新基建”之一。那么，咱们今天要谈的工业互联网安全，它的防护对象有哪些呢?

总的来说，工业互联网安全防护的对象包括工业现场设备、工业控制系统、网络基础设施、工业应用程序及工业数据等，如下图：

工业互联网作为我国打造制造强国的核心手段，也是最近大家谈论很多的“新基建”之一。那么，咱们今天要谈的工业互联网安全，它的防护对象有哪些呢?

总的来说，工业互联网安全防护的对象包括工业现场设备、工业控制系统、网络基础设施、工业应用程序及工业数据等，如下图：

确定了保护对象后，我们应该怎么来部署防护措施呢。

【理论基础安全篇】

第一，设备安全。在使用诸如工业机器人、智能仪表、传感器等现场设备时，主要的安全考虑是做好鉴权和控制。安全措施有：

(1)采用鉴别机制对接入工业互联网中的设备身份进行鉴别，确保数据来源于真实的设备;

(2)制定安全策略，如访问控制列表，实现对接入工业互联网中设备的访问控制，并对管理设备的用户授予其所需的最小权限，并实现对管理设备的用户的权限分离;

(3)对登录设备的用户进行身份标识和鉴别，身份鉴别信息满足相应的复杂度要求并定期更换;

(4)对设备配置登录失败处理功能，启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施;

(5)做好设备的用户管理工作，如账户和权限的管理、默认账户的管理、过期账户的管理等;

(6)对设备采取基本的入侵防范措施，如只安装执行任务所必需的组件和应用程序，关闭设备中不需要的系统服务、默认共享和高危端口;

(7)设定终端接入方式或网络地址范围对通过网络进行管理的终端进行限制;

(8)及时修补漏洞;

(9)对设备进行安全审计，审计覆盖到对设备进行运维的每个用户，对重要的用户行为和重要安全事件进行审计，做好审计记录的管理;

第二，控制安全。对于传统制造业来说，为保证整条流水线的协同生产，每个工厂都有着严格的流程控制，这也是为什么控制安全在整个工业互联网中同样占有重要作用的原因。在控制安全方面，主要对控制软件和控制协议采取安全措施：

(1)对登录控制软件进行操作的用户进行身份标识和鉴别，身份鉴别信息满足相应的复杂度要求并定期更换;

(2)对登录控制软件进行操作的过程配置登录失败处理功能，并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施;

(3)做好控制软件的用户管理工作，如账户和权限的管理、默认账户的管理、过期账户的管理等;

(4)对控制软件启用安全审计功能，审计记录符合法律法规要求;

(5)对控制软件采取基本的入侵防范措施，如只安装必需的组件和程序，关闭设备中不需要的系统服务、默认共享和高危端口;

(6)对控制协议采取完整性保证机制，确保控制协议中的各类指令不被非法篡改和破坏;

(7)安装防恶意代码软件或配置具有相应功能的软件，并定期进行升级和更新防恶意代码库;

(8)采取资源控制策略，限制单个用户或进程对系统资源的最大使用限度。

第三，网络安全。主要针对工厂内部和外部的网络及边界采取安全措施，防止来自外部的入侵：

(1)内部网络。根据业务特点划分为不同的安全域，安全域之间应采用技术隔离手段。以及采用适应工厂内部网络特点的完整性校验机制，实现对网络数据传输完整性保护;

(2)外部网络。保障数据传输过程中的保密性和完整性，可采取信道加密技术或部署加密机等方式;

(3)网络边界安全。厘清内、外网之间的边界范围，针对边界采取安全相适应的措施，如在边界处设置工控防火墙、网闸、网关等安全隔离设备，并在关键网络节点处部署入侵防范设备。

(4)对网络通讯数据、访问异常、业务操作异常、网络和设备流量、工作周期、抖动值、运行模式、各站点状态、冗余机制等进行监测，发生异常进行报警;

(5)对通过无线网络攻击的潜在威胁和可能产生的后果进行风险分析，并对可能遭受无线攻击的设备的信息发出(信息外泄)和进入(非法操控)进行屏蔽;

(6)对网络进行安全审计，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计;

(7)实现网络集中管控，包括对网络链路、安全设备、网络设备和服务器等的运行状况进行集中监测。

第四，应用安全。针对工业互联网平台与工业应用程序至少需要采取身份鉴别和访问控制技术。

(1)对使用工业互联网平台与工业应用程序的用户身份进行标识和鉴别，身份鉴别信息满足复杂度要求并定期更换，强制用户首次登录时修改初始口令;

(2)工业互联网平台及工业应用程序的登录过程应提供并启用登录失败处理功能，多次登录失败后应采取必要的保护措施;

(3)对使用工业互联网平台及工业应用程序的用户分配账户及明确相应的访问操作权限，根据访问控制策略，对工业互联网平台开发者、工业应用程序及其用户调用工业互联网平台开发接口实施访问控制，并做好用户管理工作;

(4)对于工业互联网平台及工业应用程序需配备数据合规性检验功能，保证通过人机接口输入或通过通信接口输入的内容符合其设定要求;

(5)工业互联网平台与工业应用程序能提供安全审计功能，并在工业互联网平台及工业应用程序上线前对其安全性进行测试，对可能存在的恶意代码进行检测;

(6)确保工业应用程序的供应链安全、可靠。

第五，数据安全。工业数据的安全直接关系到工业生产线的稳定，数据的丢失、篡改等都会影响生产线，对工业数据采取的安全措施有：

(1)建立数据安全管理制度，定期备份重要数据;

(2)加密数据，从数据储存和数据传输两个环节入手，使用加密算法对数据加密，利用VPN等技术实现传输加密;

(3)部署数据防泄密系统，对数据的操作行为进行监控审计;

(4)建立数据销毁机制，明确销毁方式和销毁要求;

(5)针对工业互联网平台用户的账户信息、鉴别信息、系统信息等要满足个人信息保护规定。

【案例研究篇】

一、工业互联网典型安全风险