摘要

數(shù)字化、網(wǎng)絡(luò)化、智能化加速發(fā)展，使得信息技術(shù)（Information Technology，IT）與操作技術(shù)（Operation Technology，OT）融合成為工業(yè)數(shù)字化轉(zhuǎn)型和制造業(yè)高質(zhì)量發(fā)展的關(guān)鍵。與此同時，網(wǎng)絡(luò)風(fēng)險(xiǎn)也不斷向工業(yè)領(lǐng)域滲透蔓延。從多個維度分析當(dāng)前 IT 和 OT 融合的現(xiàn)狀，科學(xué)論證其帶來的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，尤其是對工業(yè)控制系統(tǒng)關(guān)鍵組件的影響。針對現(xiàn)狀和問題，從技術(shù)維度提出一種 IT 和 OT 安全融合的思路，并給出相應(yīng)建議。

內(nèi)容目錄：

1IT 和 OT 融合發(fā)展現(xiàn)狀

1.1IT 和 OT 概述

1.2IT 和 OT 融合現(xiàn)狀

2IT 和 OT 融合網(wǎng)絡(luò)安全風(fēng)險(xiǎn)

3IT 和 OT 安全融合思路

3.1安全基礎(chǔ)技術(shù)融合

3.2數(shù)據(jù)融合

3.3態(tài)勢融合

4結(jié)語

在工業(yè)數(shù)字化轉(zhuǎn)型浪潮下，“云、大、物、移、智”等新技術(shù)在工業(yè)領(lǐng)域不斷應(yīng)用，使 IT和 OT 深度融合，產(chǎn)生了以工業(yè)互聯(lián)網(wǎng)為代表的數(shù)字化應(yīng)用，促進(jìn)了工業(yè)生產(chǎn)管理、運(yùn)營決策與制造執(zhí)行等各方面的“顛覆式”變革 。同時，從互聯(lián)網(wǎng)傳進(jìn)來的各種網(wǎng)絡(luò)風(fēng)險(xiǎn)逐漸滲透到 OT系統(tǒng)，近年來，IT 和 OT 結(jié)合導(dǎo)致的工業(yè)生產(chǎn)安全風(fēng)險(xiǎn)逐漸加劇，如 2018 年臺積電遭病毒入侵導(dǎo)致重要產(chǎn)線停擺 ，2019 年委內(nèi)瑞拉電力控制系統(tǒng)連續(xù)多次遭受網(wǎng)絡(luò)攻擊，2020 年鋼鐵制造商 EVRAZ 遭到勒索軟件攻擊導(dǎo)致多家工廠停產(chǎn) ，2021 年美國最大輸油管線遭勒索軟件攻擊，嚴(yán)重影響國內(nèi)多地燃油供應(yīng) 。因此，必須采取有效的、針對性的 IT 和 OT 安全融合措施，以保障工業(yè)生產(chǎn)安全運(yùn)行。

1

IT 和 OT 融合發(fā)展現(xiàn)狀

1.1IT 和 OT 概述

Gartner 關(guān)于 OT 的定義是“直接監(jiān)控和 / 或控制工業(yè)設(shè)備、資產(chǎn)、流程和事件來檢測物理過程或使物理過程產(chǎn)生變化的硬件和軟件。”。按照概念，OT 強(qiáng)調(diào)“直接”作用，其實(shí)就是可編 程 邏 輯 控 制 器（Programmable Logic Controller，PLC）、分布式控制系統(tǒng)（Distributed Control System，DCS）、監(jiān)控和數(shù)據(jù)采集系統(tǒng)（Supervisory Control andData Acquisition，SCADA）等工業(yè)控制系統(tǒng)及其應(yīng)用軟件的總稱，包含數(shù)據(jù)采集和自動控制技術(shù)。IT 主要用于企業(yè)管理的硬件、軟件、網(wǎng)絡(luò)、通信技術(shù)以及存儲、處理和向企業(yè)各個部門傳輸信息的系統(tǒng)。制造執(zhí)行系統(tǒng)（Manufacturing Execution System，MES）/ 制 造 運(yùn) 營 管 理 系 統(tǒng)（Manufacturing Operations Management，MOM）處于 IT 和 OT 之間。

簡而言之，IT 和 OT 都是為工業(yè)企業(yè)服務(wù)。目前，OT 部分主要用于控制和分析企業(yè)生產(chǎn)過程，促進(jìn)進(jìn)一步改善生產(chǎn)；IT 部分重點(diǎn)處理企業(yè)各類數(shù)據(jù)和信息，并維護(hù)企業(yè)所制造產(chǎn)品的質(zhì)量。歷史上這二者是相互獨(dú)立的，隨著技術(shù)的發(fā)展，IT 和 OT 相互融合必將顯著改善企業(yè)運(yùn)營情況，能夠進(jìn)一步增強(qiáng)工業(yè)企業(yè)管理者監(jiān)控運(yùn)行和過程的能力，促進(jìn)工業(yè)企業(yè)提質(zhì)增效，主要體現(xiàn)在以下幾個方面：

（1）降低工業(yè)資源和人力成本。引入 IT 側(cè)的云化和虛擬化技術(shù)，在不影響 OT 側(cè)各控制系統(tǒng)正常運(yùn)行的情況下，將各生產(chǎn)區(qū)的服務(wù)器上云，減少了企業(yè)在設(shè)備成本方面的開支，并且基于云平臺的統(tǒng)一操作入口也易于工作人員實(shí)施設(shè)備更新，簡化了工業(yè)操作。

（2）提高工業(yè)設(shè)備安全性與預(yù)測性維護(hù)。OT 側(cè)借助物聯(lián)網(wǎng)傳感器和流量探針等 IT 基礎(chǔ)設(shè)施，實(shí)時監(jiān)測工業(yè)設(shè)備的狀態(tài)和生產(chǎn)過程，并利用人工智能和大數(shù)據(jù)技術(shù)對采集的數(shù)據(jù)進(jìn)行建模分析，有效識別設(shè)備異常狀態(tài)并預(yù)測潛在的安全風(fēng)險(xiǎn)邊界。

（3）提高經(jīng)營決策效率。通過業(yè)務(wù)指揮調(diào)度平臺和綜合態(tài)勢感知平臺聯(lián)動，全面分析管理流程、工業(yè)業(yè)務(wù)流程和生產(chǎn)過程數(shù)據(jù)，進(jìn)一步優(yōu)化企業(yè)信息共享方式，快速響應(yīng)客戶訂單需求，高效完成產(chǎn)品的開發(fā)和集成 。

1.2IT 和 OT 融合現(xiàn)狀

整體來說，目前多數(shù)工業(yè)企業(yè)主要從以下 3個維度開展 IT 和 OT 融合。

（1） 架 構(gòu) 融 合 。企 業(yè) 的 IT 和 OT 部 分在物理層面多是分區(qū)域的，架構(gòu)也相對獨(dú)立，當(dāng)前業(yè)界主要通過建設(shè)類似工業(yè)互聯(lián)網(wǎng)平臺的云架構(gòu)來實(shí)現(xiàn) IT 和 OT 的融合，基于平臺實(shí)現(xiàn)SCADA系統(tǒng)等在云端部署應(yīng)用，實(shí)現(xiàn) IT 和 OT各類軟硬件資源及容器等開發(fā)工具的接入、控制和應(yīng)用，實(shí)現(xiàn)各類多源異構(gòu)設(shè)備的數(shù)據(jù)采集、傳輸和交互。

（2）數(shù)據(jù)融合。通過智能傳感器、數(shù)據(jù)采集設(shè)備等對產(chǎn)品在設(shè)計(jì)、研發(fā)、生產(chǎn)過程及在相關(guān)業(yè)務(wù)環(huán)節(jié)中產(chǎn)生的全域數(shù)據(jù)進(jìn)行實(shí)時采集，同時整合銷售運(yùn)營數(shù)據(jù)、供應(yīng)鏈管理數(shù)據(jù)、財(cái)務(wù)會計(jì)數(shù)據(jù)等工業(yè)大數(shù)據(jù)資源，并利用機(jī)器學(xué)習(xí)、深度學(xué)習(xí)等技術(shù)進(jìn)行模型訓(xùn)練與綜合分析，打通從 OT 到 IT 的全流程，實(shí)現(xiàn)企業(yè)生產(chǎn)流程優(yōu)化及內(nèi)部精細(xì)化運(yùn)營管理。

（3）虛實(shí)融合 。當(dāng)前數(shù)字孿生技術(shù)廣泛應(yīng)用在智慧水廠、汽車生產(chǎn)、礦山智能巡檢及自動化立體倉庫等工業(yè)場景中，通過將物理場景中產(chǎn)生的大量數(shù)據(jù)在云端進(jìn)行存儲、管理和建模分析，實(shí)現(xiàn)全生產(chǎn)鏈要素的高度互聯(lián)，有效解決各領(lǐng)域面臨的信息孤島統(tǒng)籌難、集中監(jiān)管難度大、信息反饋不及時、運(yùn)營維護(hù)成本高等痛點(diǎn)問題。

2

IT 和 OT 融合網(wǎng)絡(luò)安全風(fēng)險(xiǎn)

IT 和 OT 融合已成為必然趨勢，使得工業(yè)網(wǎng)絡(luò)結(jié)構(gòu)、形態(tài)、協(xié)議及通信方式均在發(fā)生改變，IT 降低了攻擊成本，部分 OT 系統(tǒng)自身也變成了聯(lián)網(wǎng)設(shè)備，諸多因素導(dǎo)致 IT 和 OT 融合引發(fā)了更多的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，主要體現(xiàn)在平臺 / 系統(tǒng)的應(yīng)用、網(wǎng)絡(luò)、設(shè)備、數(shù)據(jù)等方面。

（1）應(yīng)用層面。應(yīng)用主要以設(shè)計(jì)、生產(chǎn)、管理、服務(wù)等工業(yè)業(yè)務(wù)運(yùn)行 App 的方式服務(wù)于用戶，有些還集成了設(shè)備狀態(tài)分析、能耗分析優(yōu)化等創(chuàng)新應(yīng)用。工業(yè)互聯(lián)網(wǎng)使得上述應(yīng)用變得共享和開放，企業(yè)內(nèi)諸多業(yè)務(wù)邏輯均暴露于網(wǎng)絡(luò)中，攻擊者極易通過掃描開放應(yīng)用端口并利用開放服務(wù)在身份鑒別、訪問控制、安全接口和安全審計(jì)等方面的漏洞和缺陷進(jìn)入網(wǎng)絡(luò)服務(wù)器等核心基礎(chǔ)設(shè)施，同時以辦公網(wǎng)為跳板對控制網(wǎng)進(jìn)行滲透和攻擊，直接威脅安全生產(chǎn)。

（2）網(wǎng)絡(luò)層面。因 IT 和 OT 各自用到的網(wǎng)絡(luò)通信協(xié)議或網(wǎng)絡(luò)架構(gòu)的安全性存在差異性，IT 和 OT 網(wǎng)絡(luò)互聯(lián)后，安全風(fēng)險(xiǎn)將互相滲透，加大了網(wǎng)絡(luò)風(fēng)險(xiǎn)暴露面。例如在工業(yè)現(xiàn)場的安全風(fēng)險(xiǎn)，一是大量物聯(lián)網(wǎng)終端使用全球移動通信系 統(tǒng)（Global System for Mobile Communication，GSM）網(wǎng)卡，而 GSM 存在單向認(rèn)證缺陷，面臨移動用戶的數(shù)據(jù)信息被偽基站截獲的風(fēng)險(xiǎn)；二是很多現(xiàn)場設(shè)備采用Modbus、Profinet 等傳統(tǒng)工業(yè)協(xié)議進(jìn)行有線傳輸，這些協(xié)議自身缺乏身份認(rèn)證、授權(quán)及加密等安全機(jī)制，黑客極易利用這些漏洞對設(shè)備下達(dá)惡意指令。在網(wǎng)絡(luò)邊界，諸多邊緣設(shè)備采用了具有非授權(quán)組網(wǎng)特性的LoRa協(xié)議，其面臨報(bào)文偽造、惡意擁塞、身份偽造等安全風(fēng)險(xiǎn)。如今，“5G+ 工業(yè)互聯(lián)網(wǎng)”得到深入應(yīng)用，相比于 3G 和 4G，5G 雖然在網(wǎng)絡(luò)架構(gòu)上進(jìn)行了全新設(shè)計(jì)，在網(wǎng)絡(luò)安全方面進(jìn)行了增強(qiáng)，但 5G 采用的公鑰加密接入認(rèn)證算法仍存在隱私泄露的風(fēng)險(xiǎn)。

（3）設(shè)備層面。融合之前設(shè)備存在的安全風(fēng)險(xiǎn)在融合之后依然存在，主要包括：一是利用U 盤等移動介質(zhì)進(jìn)行攻擊，只要移動介質(zhì)連接到工業(yè)控制設(shè)備，惡意程序就會自動運(yùn)行，病毒在全網(wǎng)進(jìn)行傳播，影響 IT 側(cè)的正常業(yè)務(wù)辦公和管理決策等，竊取企業(yè)核心數(shù)據(jù)，并針對 OT 側(cè)的各控制系統(tǒng)實(shí)施惡意指令下發(fā)，影響安全生產(chǎn)；二是設(shè)備自身的漏洞缺陷，包括操作系統(tǒng)、設(shè)備上的應(yīng)用軟件及其插件、設(shè)備硬件接口等，容易被攻擊者利用；三是安全管理層面，硬件設(shè)備接口未做安全防護(hù)、軟件補(bǔ)丁更新不及時、采用弱口令、“零”或者弱安全認(rèn)證機(jī)制。

（4）數(shù)據(jù)層面。一是融合后擴(kuò)大了針對海量多源異構(gòu)數(shù)據(jù)的攻擊面，現(xiàn)有基于用戶身份或角色的訪問控制策略難以滿足大規(guī)模數(shù)據(jù)的細(xì)粒度訪問控制要求；二是產(chǎn)品全生命周期產(chǎn)生的各類數(shù)據(jù)包含大量敏感信息，在設(shè)備與云端進(jìn)行通信時，若 OT 側(cè)的探針采集的數(shù)據(jù)未經(jīng)加密，攻擊者可通過監(jiān)聽的方式獲取設(shè)備敏感信息，此外，數(shù)據(jù)基于平臺進(jìn)行流通和共享時，存在數(shù)據(jù)濫用、隱私泄露等安全威脅。

具體以典型工業(yè)控制系統(tǒng) SCADA、人機(jī)界面（Human Machine Interface，HMI） 和 PLC 為例來分析 IT 和 OT 融合后面臨的安全挑戰(zhàn)。

（1）SCADA 系統(tǒng)安全。SCADA 系統(tǒng)可看成 IT 和 OT 的分界。一方面，未授權(quán)非法訪問、工業(yè)控制標(biāo)準(zhǔn)協(xié)議和通用技術(shù)的開放性、工業(yè)控制軟硬件產(chǎn)品自身缺陷、從業(yè)人員等綜合因素加劇了網(wǎng)絡(luò)安全風(fēng)險(xiǎn)；另一方面，SCADA 系統(tǒng)上云后，伴生由云安全延伸的安全風(fēng)險(xiǎn)。

（2）HMI 和 PLC 安全。HMI 是上位機(jī)，從屬于控制系統(tǒng)，界面實(shí)時顯示現(xiàn)場系統(tǒng)狀態(tài)。HMI 對現(xiàn)場系統(tǒng)進(jìn)行控制和監(jiān)視，實(shí)際上是HMI 編程人員將每個指示器和按鈕編程到 PLC的指定寄存器地址中，而這個控制過程通常帶有密碼設(shè)置，極易被黑客破譯，使得操作員失去對人機(jī)操作界面的視圖控制權(quán)，典型攻擊案例是 2015年烏克蘭電網(wǎng)事件 。

一旦網(wǎng)絡(luò)攻擊滲透到 PLC，會直接影響到現(xiàn)場設(shè)備。同時，PLC 需要與控制中心通信，其自身安全是整個工業(yè)信息安全的最后防線，但當(dāng)前 PLC 多是基于裁剪的嵌入式系統(tǒng)，加之基于掃描的工作方式和面向命令的工控協(xié)議，存在較大的安全風(fēng)險(xiǎn)隱患，以協(xié)議中的自定義命令字為例來說明，Modbus 協(xié)議的從機(jī)診斷命令會造成從機(jī) PLC 切換到偵聽模式，通用工業(yè)協(xié)議（Common Industrial Protocol，CIP）部分命令字會造成從機(jī) PLC 直接重啟，S7 協(xié)議的 StopCPU 功能會導(dǎo)致 PLC 程序運(yùn)行停止 。

3

IT 和 OT 安全融合思路

針對 IT 和 OT 融合現(xiàn)狀及面臨的諸多網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，建議企業(yè)從管理、技術(shù)和運(yùn)營等方面進(jìn)行綜合加強(qiáng)，其中技術(shù)方面重點(diǎn)從安全基礎(chǔ)技術(shù)、數(shù)據(jù)和態(tài)勢 3 個方面開展安全融合。

3.1安全基礎(chǔ)技術(shù)融合

融合安全技術(shù)成為 IT 和 OT 融合的必然選擇。從安全自主可控角度出發(fā)，通過采用輕量級的國產(chǎn)密碼技術(shù)及安全可信技術(shù)等，實(shí)現(xiàn)安全加密防護(hù)技術(shù)與 PLC/ 遠(yuǎn)程終端設(shè)備（Remote Terminal Unit，RTU）等工控核心部件深度融合，形成一體化的安全 PLC/ 安全 RTU，在滿足工業(yè)控制系統(tǒng)實(shí)時性和環(huán)境適應(yīng)性的前提下，實(shí)現(xiàn)自身與上位機(jī)通信的加密保護(hù)，網(wǎng)絡(luò)通信的協(xié)議識別和內(nèi)容檢測，以及對自身存儲固件和數(shù)據(jù)完整性的保護(hù)等，本質(zhì)上實(shí)現(xiàn)了內(nèi)生安全，既能防護(hù) OT 內(nèi)部威脅，也能防護(hù) IT 威脅。

3.2數(shù)據(jù)融合

數(shù)據(jù)融合工作主要從數(shù)據(jù)采集層面和數(shù)據(jù)處理層面開展。

（1）數(shù)據(jù)采集層流量探針功能融合。IT 探針主要采集通用網(wǎng)絡(luò)設(shè)備、安全設(shè)備以及終端等的數(shù)據(jù)；OT 探針主要采集現(xiàn)場工業(yè)控制設(shè)備、自動化設(shè)備、控制監(jiān)控系統(tǒng)以及終端等的數(shù)據(jù)。以上數(shù)據(jù)構(gòu)成了涵蓋網(wǎng)絡(luò)原始流量數(shù)據(jù)、資產(chǎn)數(shù)據(jù)、終端行為數(shù)據(jù)、審計(jì)數(shù)據(jù)和元數(shù)據(jù)等各種信息的工業(yè)信息安全大數(shù)據(jù)源。此時有兩種方法實(shí)現(xiàn)融合：一是研究分析 IT 和 OT 數(shù)據(jù)在資產(chǎn)、事件、漏洞以及告警等方面的共性與特性，形成獨(dú)立于網(wǎng)絡(luò)協(xié)議 / 工控場景的工控網(wǎng)絡(luò)數(shù)據(jù)統(tǒng)一表征方法，并開發(fā)一款具備此方法的“前置探針”，即實(shí)現(xiàn)融合功能的前置，同時采集 IT和 OT 的數(shù)據(jù)；二是 IT 和 OT 在采集時仍然使用各自常用的探針，但是采集之后對數(shù)據(jù)進(jìn)行功能層面的融合分析，抽象共性功能和特性功能。

（2）數(shù)據(jù)分析處理模型融合。IT 和 OT 都需要將各自的數(shù)據(jù)進(jìn)行統(tǒng)一清洗、入庫。對于數(shù)據(jù)分析的技術(shù)和方法，也都采用關(guān)聯(lián)分析、機(jī)器學(xué)習(xí)等技術(shù)，并根據(jù)各自不同的特征向量和使用場景進(jìn)行訓(xùn)練，構(gòu)建專用規(guī)則模型，再結(jié)合各自威脅情報(bào)庫，進(jìn)行異常行為分析和風(fēng)險(xiǎn)研判。可見對于數(shù)據(jù)分析層，IT 和 OT 采用的技術(shù)類同，只是數(shù)據(jù)模型、規(guī)則和協(xié)議不同，可建立通用分析模型。

（3）威脅情報(bào)庫融合。IT 和 OT 網(wǎng)絡(luò)威脅情報(bào)分別揭示了 IT 和 OT 網(wǎng)絡(luò)資產(chǎn)可能存在或出現(xiàn)的風(fēng)險(xiǎn)、威脅，并給出相關(guān)聯(lián)的環(huán)境、機(jī)制、指標(biāo)、內(nèi)涵及可付諸行動的建議，可為企業(yè)響應(yīng)相關(guān)威脅或風(fēng)險(xiǎn)提供決策幫助。但目前，IT和 OT 各自網(wǎng)絡(luò)威脅情報(bào)庫還未很好地共享，難以實(shí)現(xiàn)安全威脅的協(xié)同感知和統(tǒng)一處置，可對IT 和 OT 各自情報(bào)庫的情報(bào)類別、條目以及數(shù)據(jù)結(jié)構(gòu)等內(nèi)容抽象分離，設(shè)計(jì)統(tǒng)一的數(shù)據(jù)結(jié)構(gòu)，進(jìn)行兩套情報(bào)庫的格式轉(zhuǎn)換、統(tǒng)一存儲和發(fā)布，以實(shí)現(xiàn)對安全事件和威脅事件的深度識別 。

3.3態(tài)勢融合

IT 系統(tǒng)和 OT 系統(tǒng)在呈現(xiàn)層均有對企業(yè)系統(tǒng)資產(chǎn)、漏洞、威脅、日志、告警和態(tài)勢等情況的展示，功能類同，主要以可視化界面為主，可融合為統(tǒng)一的展示效果，對高安全風(fēng)險(xiǎn)進(jìn)行協(xié)同響應(yīng)和處置。同時，可向上預(yù)留應(yīng)用接口，滿足國家部委網(wǎng)絡(luò)安全監(jiān)管需求，實(shí)現(xiàn)統(tǒng)一數(shù)據(jù)上報(bào)及統(tǒng)一威脅情報(bào)的接收。

4

結(jié)語

IT 和 OT 融合作為推動制造業(yè)轉(zhuǎn)型升級的重要抓手，目前仍處于艱難的探索階段，當(dāng)下還無非常成熟的模式。針對 IT 和 OT 的安全融合，建議考慮具體行業(yè)的實(shí)際需求，加強(qiáng) IT 和OT 技術(shù)融合的標(biāo)準(zhǔn)化建設(shè)。另外，加強(qiáng)安全保障體系建設(shè)。IT 和 OT 融合必須具備 IT 安全、OT 安全以及 IT 和 OT 融合安全技術(shù)，如安全PLC、工業(yè)虛擬專用網(wǎng)、工業(yè)網(wǎng)絡(luò)地址轉(zhuǎn)換、工業(yè)入侵檢測、工控網(wǎng)絡(luò)接入控制、無須依賴外部特征庫的 AI 智能分析與檢測等才能滿足融合安全建設(shè)目標(biāo)。建議高效實(shí)施系統(tǒng)防護(hù)，加大對重要資產(chǎn)的保護(hù)力度，從融合系統(tǒng)中分離網(wǎng)絡(luò)通信功能及加強(qiáng) AI 技術(shù)在融合安全方面的賦能作用。

引用格式：萬喬喬 , 鐘一冉 , 周恒 , 等 . 一種 IT 和 OT 安全融合的思路 [J]. 信息安全與通信保密 ,2023(1):79-86.

審核編輯 黃宇