新基建，工业互联网，网络安全，数据安全

新基建

新型基础设施建设（简称 : 新基建），主要包括 5G 基站建设、特高压、城际高速铁路和城市轨道交通、新能源汽车充电桩、大数据中心、人工智能、 工业互联网七大领域，涉及诸多产业链 。

新基建与传统基建“铁公基”的区别

新基建以新一代信息技术演化生成的基础设施，深度应用互联网、大数据、人工智能等技术进一步推动数字化转型深入、促进产业智能升级、实现 融合创新等。传统基础设施主要承载物质和能量的存储和流转，其投入以钢铁、水泥、化工等物质材料为主。相比之下，新型基础设施主要承载电子数据的存储和流转，建设投入主要是通信网络（含传感终端）和计算存储设备所需的各种硅基半导体材料和微电子金属材料，因此新基建不但在物质消耗量上远少于传统基建，而且技术门槛显著提高。

截至今年10月，以下典型场景可以帮助我们一窥新基建取得的丰硕成果：

• 中国累计开通5G基站超过70万座，终端连接数超过1.8亿个；
• 国家电网开发的智慧车联网平台，已接入充电桩超过103万个；
• 推进智能制造、柔性定制，全国范围内“5G+工业互联网”建设项目超过1100个。

工业互联网

工业互联网是新基建战略的重要方向之一。工业互联网是工业 + 互联网的融合概念，是全球工业系统与高级计算、分析、感应技术以及互联 网连接融合的一种结果，也是实现工业智能化的关键基础设施。

工业互联网产业联盟编撰的《工业互联网标准体系（2.0）》

其中网络是基础、平台是核心、安全是保障。

• “网络”是实现各类工业生产要素泛在深度互联的基础，包括网络互联互通体系和标识解析体系。通过建设低延时、高可靠、广覆盖的工业互联网网络基础设施，能够实现数据在工业各个环节的无缝传递，支撑形成实时感知、协同交互、智能反馈的生产模式。
• “平台”是工业全要素链接的枢纽，下连设备，上接应用，通过海量数据汇聚、建模分析与应用开发，推动制造能力和工业知识的标准化、软件化、 模块化与服务化，支撑工业生产方式、商业模式创新和资源高效配置。
• “安全”则是工业互联网健康发展的保障，涉及设备安全、控制安全、网络安全、数据安全、平台安全、和应用程序安全等六个方面。

通过建立工业互联网安全保障体系，能够有效识别和抵御各类安全威胁，化解多种安全风险，为工业智能化发展保驾护航。

工业互联网安全问题

由于工业互联网颠覆了传统的工业模式，封闭的生产线变开放，打破了过去人机物之间、工厂与工厂之间、企业上下游之间的隔离状态。相对于传统较封闭的工业生产体系， 基于工业互联网的新发展模式更开放，这也意味着潜在的安全风险增加。此外，工业互联网广泛应用于工业、能源、交通、水利及市政等行业，重点领域包括电力、石油石化、钢铁、冶金、化工、天然气、先进制造、水利枢纽、铁路、城市轨道交通、民航等与国计民生紧密相关的领域。由于关系到国家命脉，此类行业一旦发生安全事件，极易持续发酵，甚至对人身安全、社会发展和国家稳定造成重大影响。

工业互联网安全是传统网络安全的延伸

工业互联网安全具备以下三个差异特点：

• 防护对象扩大，安全场景更丰富。
• 连接范围更广，威胁延伸至物理世界。
• 网络安全和生产安全交织，安全事件危害更严重。

传统网络安全与工业互联网安全对比

工业互联网安全风险

工业互联网安全风险来源

• 设备安全： 工业互联网中的前端设备是很重要的数据收集端。随着智能设备的数量日渐庞大，且其自身安全防护手段薄弱，导致许多设备直接暴露于互联网， 或导致设备非法受控
• 控制安全： 控制安全具备极大的风险隐患，绝大部分工业企业安全事件均来源于此。控制安全风险来源于工控系统中使用的工控主机、工控网络、工控设备及控制协议，可能存在输入验证，许可、授权与访问控制不严格，不当身份验证，配置维护不足，凭证管理不严，加密算法过时等问题。如：企业利用陈旧的操作系统，且缺乏防护边界，容易被黑客利用进行攻击；厂家对系统和设备进行远程维护，导致生产网直接暴露在互联网上
• 网络安全：工业互联网的核心是“互联互通”，在此过程中便会面临网络连接过程中的安全风险。数控系统、PLC（可编程逻辑控制器）、应用服务器连接形成工业网络，工业网络 与办公网络连接形成企业内部网络，此外，企业内部网络与外部也会进行网络连接。
• 应用安全：支撑工业互联网智能化生产、 网络化协同、个性化定制、服务化延伸等服务的应用程序也面临着安全防护与检测要求，包括支撑各种应用的软件、APP、Web 系统等。
• 数据安全：工业互联网数据种类和保护需求多样，数据流动方向和路径复杂，设计、生产、操控等各类数据分布在云平台、用户端、生产端等多种设施上，仅依托单点、离散的数据保护措施难以有效保护工业互联网中流动的工业数据安全。
• 平台安全：工业互联网平台的风险主要来自平台与企业接入过程中的数据采集、协议转换、边缘计算等行为，容易遭受数据篡改、数据窃取、终端漏洞被攻击等风险。

国内工业互联网安全风险态势

5 月中旬，工信部发布的《关于工业大数据发展的指导意见》显示，我国 34% 的联网工业设备存在高危漏洞，仅在 2019 年上半年嗅探事件就高达 5151 万起。此外，根据中国信息通信研究院与工业互联网产业联盟的《2020 上半年工业互联网安全态势综述》显示，国家工业互联网安全态势感知与风险预警平台对全国 136 个主要工业互联网平台、10 万多家工业企业、900 多万台联网设备进行安全监测，累积监测发现恶意网络行为 1356.3 次， 涉及 2039 家企业。

2020上半年工业互联网恶意网络行为态势图

2020年典型工业物联网安全事件

• 以色列供水设施突遭袭击，紧急停工更改密码

4 月，以色列国家网络局发布公告称，收到了多起针对废水处理厂、水泵站和污水管的入侵报告，受此影响，各能源和水行业企业需紧急更改所 有联网系统的密码，以应对网络攻击的威胁。以色列计算机紧急响应团队 (CERT) 和以色列政府水利局也发布了类似安全警告，水利局告知企业“重点更改运营系统和液氯控制设备”的密码，因为这两类系统遭受的攻击最多。

• Model X被曝存中继攻击安全漏洞，特斯拉正紧急推送修复补丁

特斯拉一直以其所谓的“空中更新”（OTA）而自豪，自动推出新代码来修复漏洞并增加功能。11 月，一位安全研究人员展示了特斯拉 ModelX 无钥匙进入系统中存在的严重漏洞，黑客可以通过这一漏洞利用蓝牙连接重写车辆钥匙卡的固件，从钥匙卡上获取车辆解锁代码，并在几 分钟内窃取一辆 Model X。

工业互联网安全现状

国际对比

美国工业互联网安全发展重要举措

政府层面

作为网络技术的发起国和强大网络空间势力的拥有国，也是工控安全和关键基础设施网络安全起步最早的国家。从时间跨度与布局范围来看， 历任美国政府都将网络安全置于重要地位，以关键基础设施网络安全为根本，逐步完善巩固工业网络安全防护。

美国重要网络安全政策一览

技术体系

在技术体系方面，美国非常重视工控系统安全技术的创新发展，拥有诸多世界一流的研发实验室，引领世界范围内工业控制系统相关安全标准的研制， 在美国工控安全保障体系、技术研发和攻击防御等方面发挥着巨大的支撑作用。 以美国爱达荷国家实验室和桑迪亚国家实验室为例，二者均隶属于美国能源部，逐步从早先的核能源研究转向关键基础设施网络安全和国家安全研究。除此之外，他们都着重于 SCADA 系统（数据采集与监视控制系统）的安全研究，并发展设立了各自的 SCADA 安全中心。

技术标准

美国国家标准技术研究院（NIST）、美国国土安全部（DHS）等机构致力于美国工控信息安全标准建设，并制定了一系列通用工控信息安全标准。

NIST&DHS近年发布部分标准一览

在工控安全的国际标准研究方面，除上文提到的美国 NIST 发布的工业控制系统安全指南（NIST SP800-82）之外，IEC 62443 标准也是工控安全行业最为关注的工控安全标准。IEC 62443 在国际上被广泛采纳和认可，各国 / 各行业制定工控相关标准政策都会参考和吸收该标准提供的概念、方法、理论模型。目前在国内 IEC 62443-2-1 已等同采纳为国标，于 2016 年 10 月发布，标准编号为 GB/T 33007。

IEC 62443 系列标准目前分为通用、信息安全程序、系统技术和部件技术 4 个部分，各部分主要内容详见下表：

IEC 62443系列标准结构示意图

国内工业互联网安全重要举措

政府层面 ：安全砝码伴随产业发展渐重

技术体系：工业信息安全标准体系逐渐完善成熟

部分工业互联网安全标准一览表

产业链发展现状

工业互联网企业分类

工业互联网安全的本质是解决工业企业、工业互联网平台企业、工业互联网基础设施运营企业等产业链上游的安全问题。对此，便需要上游企业与 下游安全服务商共同构建安全体系，不仅需要上游企业自身具备先进成熟的安全理念、投入较高的安全建设成本，还需要下游的安全服务商准确掌 握企业安全痛点，化单点安全防护为全面的安全建设方案供应商，二者缺一不可。

工业企业安全建设发展

工业企业安全风险态势

工业企业近一年遭受网络攻击概况

工业企业的工控服务商选择

工业企业勒索病毒防护能力概况

工业企业对安全建设的关注度逐渐上升，越来越多的企业已具备基础安全防护能力，而这一点也佐证了 近几年国内工业互联网安全发展的成果。

工业企业网络安全投入

• 工业企业安全专职人员投入

  

• 工业企业安全建设市场投入

工业企业安全建设资金投入规模概况

工业互联网安全建设费用在企业工业互联网整体投入的占比

工业企业的安全建设发展主要受事件驱动和政策导向影响，这也是近几年工业互联网安全发展逐渐增高的原因。

工业企业网络安全产品服务需求

• 工业互联网安全产品需求

工业互联网安全厂商发展

据中商产业研究院预测，2020 年中国工业安全市场规模将达 161 亿元。工业安全市场拥有大量的潜力与无限的可能性，这吸引了越来越多的安全厂商入局。此外，值得一提的是，随着政策与需求的变化，以及新兴技术的不断渗透，整个工业安全下游市场也发生了变化。

安全产品/服务体系

工业互联网安全产品/服务体系架构

工业蜜罐：伪装成工业场景,将工业蜜罐的业务口接入Internet,暴露在公共网络,让攻击者可以发现蜜罐。虚实结合口可以连接内网系统并进行交互,提高伪装的真实度。

工业互联网安全实践分析

电力行业

安全风险特点

• 工控网络通常不允许直连互联网，不具备及时更新病毒库的条件；
• 工控系统不允许在生产运行期间进行系统升级； 病毒查收非常谨慎，一旦发生误杀将可能产生重大后果；
• 为防止网络中断对生产造成影响，工控网络安全设备更多采用旁路监视、告警分析等作用，因此对比直接部署的阻断威胁效果更弱。

防护策略

电力行业的安全防护需遵循“安全分区，网络专用， 横向隔离，纵向认证”的原则。

典型电力企业网络安全分区架构

钢铁行业

安全风险特点

对于钢铁行业工业控制系 统来说，产生安全威胁的因素是多方面的，例如：管理缺失、缺少安全管理机制、防护手段落后、安全意识薄弱、公开通用的通信协议与操作系统、 工业网络病毒、工控系统自身、外方设备漏洞或后门、持续性威胁 APT、无线技术等。

防护策略

1、预防监测

• 搭建工业控制系统在线监测平台，对包括 MES、PCS、DCS、HMI、PLC、SCADA 等工控系统，以及服务器、数据库、工程师站、操作站、智能仪器仪表、 嵌入式设备、视频监控设备、路由器、工业防火墙、工业网关等进行监控预警。
• 在工控系统网络交换机上部署流量审计设备，重点监测工控网络内部异常的流量、访问、操作以及非法入侵等行为。在进行停机检修或系统上线、 维护时进行漏洞扫描，并对漏洞修复及补丁进行评审后再进行修补。
• 对钢铁企业工控系统信息安全现状进行周期性风险评估，通过风险评估，确定风险管理计划、需要采取的控制措施以及企业信息安全管理的现状。 检查内容包括系统配置检查、病毒检查、系统日志检查等，尤其是对一些开发放行服务协议、账号密码策略、加密方式等问题进行重点关注，并对 存在的风险进行持续性改进。

2、安全防护

• 边界防护，区域隔离，单项传输。在工控系统网络与企业网络边界部署工控防火墙类安全设备，阻止从工控系统外部发起的网络攻击行为。在 各一二级区域间部署工业网关、网闸类安全设备，禁止未经授权通讯传入或传出工控系统从而实现对 IP、端口、访问、流量等内容的实时控制。
• 对服务器实行主机加固。对操作站、工程师站以及其他工控类计算机部署集杀毒、系统管理、应用程序管理、进程管控以及接口管理于一身的 工控机安全管理系统，实现移动存储介质使用的管理、软件黑白名单管理，起到防病毒和恶意代码的作用。
• 对关键主机设备、网络设备、控制组件等进行冗余配置，冷、热备机，异地灾备。
• 工业控制系统网络准入机制。防火墙遵循安全最大化的原则，所有与工业控制网络有接入的网络必须进行配置后方可接入，必须是其所隔离的 网络之间的唯一信息通道，在进行远程访问时，需指定访问对象，对通讯流量进行审计，记录并保存访问日志，并定期进行备份、审计、追踪非授 权访问行为。
• 纵深防御。严格遵循 ANSI/ISA-99 标准，采用 ANSI/ISA-99.02.01 和 IEC-63443 标准的区级防护，将网络划分为不同的安全区，在安全区之间按照一定规则安装防火墙或可信网关。这样即使在某一点发生网络安全事故，也能保证其他区域的正常安全稳定运行。

工业互联网安全发展趋势

• 政策关联，工业互联网安全大有可为
• 技术导向，工业制造转型“工业安全智造”
• 市场火热，工业安全防护产品及服务持续丰富
• 关系国计民生，国产安全厂商迎来机遇