摘要：工業(yè)互聯(lián)網(wǎng)作為國(guó)家重點(diǎn)信息基礎(chǔ)設(shè)施的重要組成部分，正在成為全世界最新的地緣政治角逐戰(zhàn)場(chǎng)。工業(yè)控制系統(tǒng)由封閉狀態(tài)直接或者間接的與互聯(lián)網(wǎng)連接，其固有的安全弱點(diǎn)將被暴露在互聯(lián)網(wǎng)上并被無(wú)限放大，成為黑客未來(lái)攻擊的熱點(diǎn)和重點(diǎn)。如何確保工業(yè)企業(yè)的網(wǎng)絡(luò)安全，保障國(guó)家和社會(huì)經(jīng)濟(jì)正常運(yùn)轉(zhuǎn)成為國(guó)家和企業(yè)的重要研究課題。從用戶身份和訪問(wèn)控制的角度探討由政府層面統(tǒng)籌規(guī)劃建立的基于云服務(wù)模式的身份和訪問(wèn)控制體系模型的可行性，并描述了相應(yīng)的建設(shè)內(nèi)容，為工業(yè)互聯(lián)網(wǎng)時(shí)代的企業(yè)網(wǎng)絡(luò)安全建設(shè)提供了一個(gè)思路。
內(nèi)容目錄：
1 工業(yè)互聯(lián)網(wǎng)安全現(xiàn)狀
1.1 工業(yè)互聯(lián)網(wǎng)安全事件頻發(fā)
1.2 國(guó)內(nèi)工業(yè)互聯(lián)網(wǎng)發(fā)展現(xiàn)狀
1.3 國(guó)內(nèi)工業(yè)互聯(lián)網(wǎng)常見(jiàn)問(wèn)題
1.3.1 行業(yè)復(fù)雜性帶來(lái)需求多樣性的挑戰(zhàn)
1.3.2 缺乏統(tǒng)一接入的安全標(biāo)準(zhǔn)及安全規(guī)范、服務(wù)規(guī)范的建設(shè)
1.3.3 云服務(wù)下用戶身份治理問(wèn)題分析
1.3.4 工業(yè)企業(yè)安全事件缺少審計(jì)
1.3.5 風(fēng)險(xiǎn)診斷和研判能力有待提升
1.3.6 企業(yè)應(yīng)急機(jī)制的補(bǔ)充與完善
2 身份與訪問(wèn)控制體系建設(shè)思路
3 身份與訪問(wèn)控制體系建設(shè)內(nèi)容
3.1 工業(yè)領(lǐng)域各企業(yè)用戶身份治理需求多樣性
3.2 實(shí)現(xiàn)多層次安全風(fēng)險(xiǎn)要素的集中分析和處置
3.3 建設(shè)云端企業(yè)安全檢測(cè)評(píng)估服務(wù)
3.4 建設(shè)風(fēng)險(xiǎn)診斷與研判公共服務(wù)
3.5 建設(shè)用戶動(dòng)態(tài)權(quán)限保護(hù)
3.6 建設(shè)應(yīng)急處置公共服務(wù)
3.7 開(kāi)放性設(shè)計(jì)抵御主要安全威脅
3.8 可定制性的安全能力建設(shè)
3.9 建立安全規(guī)范和服務(wù)規(guī)范
4 結(jié) 語(yǔ)
隨著信息技術(shù)的不斷發(fā)展，傳統(tǒng)封閉的工業(yè)控制系統(tǒng)利用新興互聯(lián)技術(shù)實(shí)現(xiàn)生產(chǎn)效率的提升，但同時(shí)其本身固有的安全漏洞及互聯(lián)網(wǎng)的安全威脅也極大地影響了生產(chǎn)的安全。保障生產(chǎn)安全有多方面措施，本文從用戶身份管理和訪問(wèn)控制的角度探討了生產(chǎn)安全的保障機(jī)制，希望為工業(yè)互聯(lián)時(shí)代的企業(yè)網(wǎng)絡(luò)安全建設(shè)提供一個(gè)思路。
1、工業(yè)互聯(lián)網(wǎng)安全現(xiàn)狀
近年來(lái)，隨著我國(guó)工業(yè)互聯(lián)網(wǎng)的高速發(fā)展，網(wǎng)絡(luò)安全威脅正在加速向工業(yè)領(lǐng)域蔓延，傳統(tǒng)的工業(yè)控制系統(tǒng)的安全機(jī)制的弱點(diǎn)在互聯(lián)網(wǎng)上暴露無(wú)遺。
1.1 工業(yè)互聯(lián)網(wǎng)安全事件頻發(fā)
工業(yè)互聯(lián)網(wǎng)作為國(guó)家重點(diǎn)信息基礎(chǔ)設(shè)施的重要組成部分，正在成為全世界最新的地緣政治角逐戰(zhàn)場(chǎng)。例如，包括能源、電力等在內(nèi)的關(guān)鍵網(wǎng)絡(luò)已成為全球攻擊者的首選目標(biāo)，極具價(jià)值。當(dāng)前，網(wǎng)絡(luò)安全威脅正在加速向工業(yè)領(lǐng)域蔓延，工業(yè)互聯(lián)網(wǎng)安全事件頻發(fā)已經(jīng)嚴(yán)重影響經(jīng)濟(jì)社會(huì)正常運(yùn)行及國(guó)家安全，接連發(fā)生的安全事件引發(fā)各國(guó)對(duì)工業(yè)互聯(lián)網(wǎng)安全高度重視與關(guān)注。
2015 年 12 月，烏克蘭約 60 座變電站遭到黑客攻擊，導(dǎo)致烏克蘭 140 萬(wàn)名居民遭遇了一次長(zhǎng)達(dá)數(shù)小時(shí)的大規(guī)模停電;2017 年 5 月，“永恒之藍(lán)“勒索病毒席卷全球，英國(guó)、意大利、俄羅斯等歐洲國(guó)家以及中國(guó)國(guó)內(nèi)多個(gè)高校內(nèi)網(wǎng)、大型企業(yè)內(nèi)網(wǎng)和政府機(jī)構(gòu)專網(wǎng)中招，被勒索支付高額贖金才能解密恢復(fù)文件;2021 年 5 月，美國(guó)最大的燃油管道商 Colonial Pipeline 遭到勒索軟件攻擊，導(dǎo)致其業(yè)務(wù)受到嚴(yán)重影響。
事實(shí)證明，沒(méi)有得到良好安全保護(hù)的工業(yè)互聯(lián)網(wǎng)，就像一扇虛掩的大門，根本無(wú)法防御任何精心策劃的攻擊行動(dòng)。
1.2 國(guó)內(nèi)工業(yè)互聯(lián)網(wǎng)發(fā)展現(xiàn)狀
當(dāng)前我國(guó)工業(yè)互聯(lián)網(wǎng)產(chǎn)業(yè)發(fā)展正處在一個(gè)關(guān)鍵的歷史時(shí)刻。2012 年，通用電氣公司(General Electric Company，GE)在全球范圍內(nèi)首次提出工業(yè)互聯(lián)網(wǎng)概念后。我國(guó)于 2015 年 5 月正式印發(fā)《中國(guó)制造 2025》國(guó)家行動(dòng)綱領(lǐng)，明確了 9項(xiàng)戰(zhàn)略和重點(diǎn)任務(wù)，包括推進(jìn)信息化與工業(yè)化深度融合，通過(guò)大力發(fā)展新一代信息技術(shù)產(chǎn)業(yè)，加快制造業(yè)轉(zhuǎn)型升級(jí)，全面提高發(fā)展質(zhì)量和核心競(jìng)爭(zhēng)力。
黨的十九大報(bào)告全面系統(tǒng)地論述了堅(jiān)持總體國(guó)家安全觀的重要思想，并明確提出“加快建設(shè)制造強(qiáng)國(guó)、網(wǎng)絡(luò)強(qiáng)國(guó)、數(shù)字中國(guó)、智慧社會(huì)，推動(dòng)互聯(lián)網(wǎng)、大數(shù)據(jù)、人工智能和實(shí)體經(jīng)濟(jì)深度融合”的戰(zhàn)略部署。從圖 1 中可以看到，近幾年我國(guó)聯(lián)網(wǎng)工業(yè)控制系統(tǒng)的數(shù)量逐年遞增，2020 年發(fā)展更是成數(shù)倍地增長(zhǎng)。而工業(yè)互聯(lián)網(wǎng)領(lǐng)域各類網(wǎng)絡(luò)攻擊行為直接破壞或損毀工業(yè)控制系統(tǒng)、設(shè)備等關(guān)鍵信息基礎(chǔ)設(shè)施，對(duì)人民生產(chǎn)生活以及經(jīng)濟(jì)發(fā)展、社會(huì)穩(wěn)定、國(guó)家安全構(gòu)成嚴(yán)重威脅。工業(yè)互聯(lián)網(wǎng)安全體系建設(shè)已成為國(guó)家安全體系建設(shè)的重要組成，其重要性不亞于經(jīng)濟(jì)安全、科技安全等 。
圖 1 近年中國(guó)聯(lián)網(wǎng)工業(yè)控制系統(tǒng)數(shù)量(數(shù)據(jù)來(lái)源：國(guó)家工業(yè)信息安全發(fā)展研究中心)
伴隨工業(yè)互聯(lián)網(wǎng)化平臺(tái)接入，工控網(wǎng)絡(luò)將直接或間接與互聯(lián)網(wǎng)連接。此時(shí)，其封閉式底層工業(yè)控制網(wǎng)絡(luò)安全考慮不充分、安全認(rèn)證機(jī)制和訪問(wèn)控制的防護(hù)能力不足、生產(chǎn)設(shè)備和控制系統(tǒng)的控制指令簡(jiǎn)單等缺點(diǎn)暴露無(wú)遺。如圖 2所示，伴隨著聯(lián)網(wǎng)工業(yè)控制系統(tǒng)的不斷增多，新發(fā)現(xiàn)的工業(yè)控制系統(tǒng)漏洞也隨之增加。一旦聯(lián)網(wǎng)工業(yè)控制系統(tǒng)遭受攻擊，將導(dǎo)致平臺(tái)運(yùn)行環(huán)境被破壞、生產(chǎn)流程中斷，甚至關(guān)鍵工業(yè)設(shè)施損毀，嚴(yán)重威脅工業(yè)生產(chǎn)的穩(wěn)定運(yùn)行及財(cái)產(chǎn)、人身安全，進(jìn)而影響國(guó)家和社會(huì)正常穩(wěn)定運(yùn)行。由此可見(jiàn)，沒(méi)有堅(jiān)實(shí)的安全保障，將難以維持工業(yè)生產(chǎn)平臺(tái)的正常運(yùn)行，更談不上工業(yè)互聯(lián)網(wǎng)的穩(wěn)定發(fā)展。
圖 2 近年中國(guó)新增工業(yè)控制系統(tǒng)漏洞數(shù)量(數(shù)據(jù)來(lái)源：國(guó)家工業(yè)信息安全發(fā)展研究中心)
1.3 國(guó)內(nèi)工業(yè)互聯(lián)網(wǎng)常見(jiàn)問(wèn)題
國(guó)內(nèi)工業(yè)互聯(lián)網(wǎng)安全體系建設(shè)正處于初級(jí)階段，尚未形成良性發(fā)展的工業(yè)互聯(lián)網(wǎng)安全生態(tài)體系。存在以下系統(tǒng)性或共性問(wèn)題。
1.3.1 行業(yè)復(fù)雜性帶來(lái)需求多樣性的挑戰(zhàn)
在兩化融合基礎(chǔ)上，電子、家電等行業(yè)推動(dòng)生產(chǎn)向網(wǎng)絡(luò)化、智能化階段邁進(jìn)，各行業(yè)企業(yè)對(duì)工業(yè)互聯(lián)網(wǎng)安全需求側(cè)重不同。在流程型制造行業(yè)，利用信息技術(shù)助力企業(yè)提升綜合管控能力。例如，鋼鐵、石化、醫(yī)藥、食品等行業(yè)。在離散型制造行業(yè)，側(cè)重推動(dòng)企業(yè)向服務(wù)型制造加速轉(zhuǎn)型。例如，機(jī)械制造、消費(fèi)品生產(chǎn)等行業(yè)。因此，國(guó)內(nèi)工業(yè)互聯(lián)網(wǎng)安全體系建設(shè)需要根據(jù)行業(yè)視角進(jìn)行理解、剪裁、取舍和優(yōu)化，逐步形成良性可持續(xù)發(fā)展的工業(yè)互聯(lián)網(wǎng)安全體系，為工業(yè)互聯(lián)網(wǎng)帶來(lái)持久穩(wěn)定的安全保障力量。
1.3.2 缺乏統(tǒng)一接入的安全標(biāo)準(zhǔn)及安全規(guī)范、服務(wù)規(guī)范的建設(shè)
《中國(guó)制造 2025》戰(zhàn)略帶來(lái)工業(yè)互聯(lián)網(wǎng)的蓬勃發(fā)展，新的工業(yè)互聯(lián)網(wǎng)化平臺(tái)不斷涌現(xiàn)，數(shù)量眾多，但是基本上處于各自為戰(zhàn)的狀態(tài)，安全方案千差萬(wàn)別，服務(wù)能力參差不齊，未形成統(tǒng)一的安全框架模式和安全標(biāo)準(zhǔn)，無(wú)法基于標(biāo)準(zhǔn)定義符合各企業(yè)情況的安全接入策略，并獲得可預(yù)期的、全面的安全保障，不利于我國(guó)工業(yè)互聯(lián)網(wǎng)安全保障體系的可持續(xù)性發(fā)展 。
1.3.3 云服務(wù)下用戶身份治理問(wèn)題分析
在企業(yè)生產(chǎn)經(jīng)營(yíng)過(guò)程中，普遍存在重發(fā)展輕安全的情況，對(duì)其工業(yè)互聯(lián)網(wǎng)安全缺乏足夠意識(shí)，安全防護(hù)投入較低。2021 年 2 月，由國(guó)家工業(yè)信息安全發(fā)展研究中心發(fā)布的《2020 年工業(yè)信息安全態(tài)勢(shì)報(bào)告》中提到，在研判的工業(yè)信息安全風(fēng)險(xiǎn)中，主要存在弱口令漏洞、未授權(quán)訪問(wèn)漏洞、目錄遍歷漏洞、結(jié)構(gòu)化查詢語(yǔ)言(Structured Query Language，SQL)注入漏洞等。由此可見(jiàn)，工業(yè)企業(yè)各類應(yīng)用普遍在用戶口令、身份認(rèn)證、權(quán)限管理和通信加密等方面均存在大量安全問(wèn)題 。
2020 年國(guó)家工業(yè)信息安全漏洞庫(kù)(CICSVD)收錄的漏洞主要類型如圖 3 所示。其中，授權(quán)問(wèn)題、資源管理問(wèn)題以及權(quán)限許可和訪問(wèn)控制問(wèn)題都與用戶身份、授權(quán)、訪問(wèn)控制密不可分，三者合計(jì) 406 個(gè)漏洞，占總體類型 30% 以上。因此，云服務(wù)模式下的用戶身份治理與訪問(wèn)控制需要考慮如下幾個(gè)方面。
圖 3 2020 年 CICSVD 收錄漏洞主要類型(數(shù)據(jù)來(lái)源：國(guó)家工業(yè)信息安全發(fā)展研究中心)
(1)用戶身份治理安全。在信息化時(shí)代，各行業(yè)企業(yè)均不同程度涉及上游原料供應(yīng)商、下游經(jīng)銷商以及企業(yè)自身人員的身份治理問(wèn)題，包括內(nèi)部員工的入職、離職、轉(zhuǎn)崗、調(diào)動(dòng)和外部人員注冊(cè)和注銷等變化，由于不同用戶在企業(yè)管理的職責(zé)、權(quán)限不盡相同，造成企業(yè)各用戶的身份管理、認(rèn)證以及訪問(wèn)控制、動(dòng)態(tài)權(quán)限管理的困難。需要構(gòu)建面向各企業(yè)的統(tǒng)一用戶身份治理與訪問(wèn)控制公共服務(wù)支撐體系，實(shí)現(xiàn)云服務(wù)模式下用戶全生命周期管理來(lái)破解這一難題。
(2)用戶訪問(wèn)安全。在面臨各企業(yè)內(nèi)部應(yīng)用時(shí)，如何有效做好用戶訪問(wèn)范圍的定義，包括內(nèi)部員工、外部合作伙伴等不同角色以及在不同業(yè)務(wù)場(chǎng)景下的認(rèn)證安全等級(jí)、認(rèn)證方式、行為審計(jì)和追蹤溯源等。還應(yīng)考慮認(rèn)證方式和安全手段上的可擴(kuò)展性，以適應(yīng)未來(lái)發(fā)展需要。
(3)用戶權(quán)限管理。在企業(yè)發(fā)展過(guò)程中，在面向不同層級(jí)海量數(shù)據(jù)匯聚的同時(shí)，需確保數(shù)據(jù)的訪問(wèn)權(quán)限的合理性和安全性。應(yīng)將分散在不同應(yīng)用系統(tǒng)中的用戶權(quán)限進(jìn)行納管，除了能夠支撐傳統(tǒng)的按角色授權(quán)，還可根據(jù)用戶屬性、任務(wù)等不同類型授權(quán)以滿足應(yīng)用需要。對(duì)各類用戶不同環(huán)境下對(duì)應(yīng)用的訪問(wèn)情況開(kāi)展審計(jì)追溯，滿足應(yīng)用權(quán)限監(jiān)管與統(tǒng)一審計(jì)等合規(guī)要求。
(4)企業(yè)應(yīng)用安全管理。伴隨遠(yuǎn)程辦公、移動(dòng)辦公等場(chǎng)景需要，越來(lái)越多的應(yīng)用接入工業(yè)互聯(lián)網(wǎng)，使應(yīng)用直接暴露在互聯(lián)網(wǎng)網(wǎng)絡(luò)中，同時(shí)也意味著工業(yè)控制系統(tǒng)將會(huì)暴露大量應(yīng)用接口，而接口標(biāo)準(zhǔn)化、數(shù)據(jù)安全性、應(yīng)用接入規(guī)范化、應(yīng)用程序接口(Application Programming Interface，API)管理也面臨著安全風(fēng)險(xiǎn)。統(tǒng)一的 API 管理規(guī)范建立、API 開(kāi)發(fā)規(guī)范完善、API分級(jí)管理制度建設(shè)勢(shì)在必行，同時(shí)需要對(duì)訪問(wèn)者的身份持續(xù)認(rèn)證、動(dòng)態(tài)授權(quán)，實(shí)現(xiàn)對(duì)應(yīng)用動(dòng)態(tài)訪問(wèn)的控制策略。
1.3.4 工業(yè)企業(yè)安全事件缺少審計(jì)
工業(yè)企業(yè)需要不斷提升安全態(tài)勢(shì)感知和預(yù)警處置能力，以確保對(duì)安全事件的檢測(cè)、數(shù)據(jù)分析、風(fēng)險(xiǎn)預(yù)測(cè)和自動(dòng)調(diào)整等環(huán)節(jié)的實(shí)施。才能及時(shí)發(fā)現(xiàn)各類攻擊威脅與異常，對(duì)企業(yè)內(nèi)外部人員的日常登錄操作、訪問(wèn)操作、輸入 / 輸出操作進(jìn)行全面詳實(shí)記錄，通過(guò)歸類、報(bào)表、圖形化等方式實(shí)現(xiàn)在線的分析審計(jì)需要，合規(guī)、可視化的審計(jì)行為可幫助企業(yè)及時(shí)規(guī)避大范圍的攻擊風(fēng)險(xiǎn)，為企業(yè)安全事件調(diào)查與回溯提供直接證明。
1.3.5 風(fēng)險(xiǎn)診斷和研判能力有待提升
從工業(yè)互聯(lián)網(wǎng)領(lǐng)域以往發(fā)生的信息安全事件不難看出，企業(yè)遭到的網(wǎng)絡(luò)安全威脅逐漸從無(wú)意識(shí)攻擊到有組織的蓄謀攻擊，從個(gè)體侵害演變?yōu)閲?guó)家網(wǎng)絡(luò)安全的威脅。針對(duì)企業(yè)信息安全的攻擊手段也更加多樣化，攻擊手段主要包括口令攻擊、拒絕服務(wù)攻擊、欺騙攻擊、劫持攻擊、高級(jí)可持續(xù)威脅攻擊和后門程序攻擊等，攻擊方式呈現(xiàn)跨時(shí)間、地點(diǎn)、動(dòng)機(jī)等因素限制。
因此，建設(shè)國(guó)家級(jí)安全檢測(cè)評(píng)估的公共服務(wù)成為當(dāng)前工業(yè)互聯(lián)網(wǎng)企業(yè)保障安全必需的基礎(chǔ)。通過(guò)對(duì)安全基線和安全風(fēng)險(xiǎn)特征庫(kù)定義，利用先進(jìn)的安全檢測(cè)工具進(jìn)行監(jiān)測(cè)，實(shí)時(shí)更新風(fēng)險(xiǎn)特征庫(kù)，并對(duì)其開(kāi)展動(dòng)態(tài)分析，依據(jù)風(fēng)險(xiǎn)等級(jí)進(jìn)行通告、警告和處置等處理。促進(jìn)工業(yè)企業(yè)由靜態(tài)防御向動(dòng)態(tài)防御發(fā)展，提升企業(yè)安全風(fēng)險(xiǎn)診斷和研判能力，為工業(yè)企業(yè)安全提供全面的防御保障。
1.3.6 企業(yè)應(yīng)急機(jī)制的補(bǔ)充與完善
工業(yè)互聯(lián)網(wǎng)身份與訪問(wèn)控制體系還應(yīng)建立應(yīng)急預(yù)案管理、定義應(yīng)急安全處理策略，實(shí)現(xiàn)取證和總結(jié)等流程，規(guī)避高風(fēng)險(xiǎn)、不可逆、影響范圍廣的信息安全事件的發(fā)生。
基于上述現(xiàn)狀分析可以看到，當(dāng)前我國(guó)工業(yè)企業(yè)面臨用戶身份治理、認(rèn)證和訪問(wèn)控制、安全審計(jì)可追溯性、風(fēng)險(xiǎn)評(píng)估與研判、應(yīng)急機(jī)制建立等方面的管控能力不足，構(gòu)建基于身份與訪問(wèn)控制為核心的安全云服務(wù)的支撐體系，成為工業(yè)互聯(lián)網(wǎng)安全生態(tài)建設(shè)的關(guān)鍵。
2、身份與訪問(wèn)控制體系建設(shè)思路
基于經(jīng)過(guò)驗(yàn)證的主流安全技術(shù)與規(guī)范，構(gòu)建可良性發(fā)展的工業(yè)企業(yè)身份與訪問(wèn)控制安全生態(tài)體系。該體系下支撐平臺(tái)將采用高度可擴(kuò)展的架構(gòu)，構(gòu)建一個(gè)可擴(kuò)展的安全服務(wù)云平臺(tái)，覆蓋基礎(chǔ)設(shè)施即服務(wù)(Infrastructure as a Service，IaaS)、平臺(tái)即服務(wù)(Platform as a Service，PaaS)、軟件即服務(wù)(Software as a Service，SaaS)、邊緣等各層次的安全分析和處置。將采用開(kāi)放式可插拔架構(gòu)，構(gòu)建云端安全檢測(cè)服務(wù)，通過(guò)插入新的檢測(cè)模塊擴(kuò)展安全檢測(cè)能力，保證平臺(tái)應(yīng)對(duì)新出現(xiàn)的安全威脅。形成一個(gè)可擴(kuò)展的風(fēng)險(xiǎn)診斷和研判公共服務(wù)，通過(guò)定義動(dòng)態(tài)風(fēng)險(xiǎn)策略引入新的風(fēng)險(xiǎn)診斷和研判能力，定義工業(yè)互聯(lián)網(wǎng)安全體系的標(biāo)準(zhǔn)化基準(zhǔn)。結(jié)合該體系下安全規(guī)范和服務(wù)規(guī)范建設(shè)，構(gòu)建良性可持續(xù)發(fā)展的安全生態(tài)體系，以達(dá)到覆蓋不同行業(yè)下企業(yè)安全建設(shè)的個(gè)性化訴求。
3、身份與訪問(wèn)控制體系建設(shè)內(nèi)容
通過(guò)對(duì)用戶身份和訪問(wèn)控制體系的建設(shè)，在企業(yè)內(nèi)部實(shí)現(xiàn)集中統(tǒng)一的用戶身份治理機(jī)制，結(jié)合安全檢測(cè)、風(fēng)險(xiǎn)診斷、動(dòng)態(tài)權(quán)限等服務(wù)，為企業(yè)的工業(yè)生產(chǎn)活動(dòng)提供安全保障。
3.1 工業(yè)領(lǐng)域各企業(yè)用戶身份治理需求多樣性
隨著近年來(lái)對(duì)工控安全的深入研究，研究人員發(fā)現(xiàn)工業(yè)信息安全漏洞、事件層出不窮，安全形勢(shì)日趨嚴(yán)峻。2020 年，國(guó)家工業(yè)信息安全發(fā)展研究中心抽樣研判工業(yè)信息安全風(fēng)險(xiǎn)近800 個(gè)，涉及制造、交通、市政等多個(gè)重點(diǎn)行業(yè)，如圖 4 所示。研究發(fā)現(xiàn)，工業(yè)控制系統(tǒng)和工業(yè)信息系統(tǒng)中存在受攻擊面大、漏洞利用難度低等問(wèn)題。
圖 4 2020 年中國(guó)工業(yè)信息安全風(fēng)險(xiǎn)行業(yè)分布(數(shù)據(jù)來(lái)源：國(guó)家工業(yè)信息安全發(fā)展研究中心)
面向行業(yè)復(fù)雜性帶來(lái)的企業(yè)多樣化需求，工業(yè)互聯(lián)網(wǎng)企業(yè)身份與訪問(wèn)控制支撐體系建設(shè)需要覆蓋工業(yè)互聯(lián)網(wǎng)整體安全要求。
(1)貫徹國(guó)家關(guān)于“自主可控和安全可靠”的要求。深入貫徹國(guó)家有關(guān)國(guó)產(chǎn)化和安可工程的相關(guān)規(guī)定，確保密碼算法、硬件設(shè)備和軟件應(yīng)用等關(guān)鍵基礎(chǔ)設(shè)施在研發(fā)、生產(chǎn)、升級(jí)和維護(hù)等各環(huán)節(jié)全過(guò)程的自主可控。
(2)提供滿足共性和個(gè)性化需求的服務(wù)化安全保障能力。根據(jù)工業(yè)企業(yè)類型和用戶訪問(wèn)控制需求不同、訪問(wèn)者對(duì)身份管理和訪問(wèn)控制的接受程度不同的需求，支持面向企業(yè)提供定制化安全服務(wù)。以動(dòng)態(tài)風(fēng)險(xiǎn)識(shí)別為基礎(chǔ)，對(duì)應(yīng)用訪問(wèn)的行為進(jìn)行精細(xì)化訪問(wèn)控制，將人、設(shè)備、服務(wù)和應(yīng)用的身份統(tǒng)一抽象成實(shí)體身份，通過(guò)實(shí)體身份的屬性進(jìn)行認(rèn)證和授權(quán) 。
(3)建設(shè)覆蓋應(yīng)用訪問(wèn)全過(guò)程的縱深安全防御體系，包括安全數(shù)據(jù)的多源化采集、流程化處理、異構(gòu)化存儲(chǔ)、智能化應(yīng)用等全生命周期的安全防護(hù)措施。
(4)建設(shè)以大數(shù)據(jù)驅(qū)動(dòng)為核心的安全運(yùn)行管理體系。利用大數(shù)據(jù)技術(shù)，匯聚網(wǎng)絡(luò)安全數(shù)據(jù)，建立安全數(shù)據(jù)分析中心和安全智慧控制中心，提升內(nèi)外部風(fēng)險(xiǎn)感知能力、協(xié)同安全防護(hù)能力、攻擊檢測(cè)分析能力、違規(guī)行為發(fā)現(xiàn)能力、應(yīng)急事件響應(yīng)能力和態(tài)勢(shì)感知預(yù)警能力。
3.2 實(shí)現(xiàn)多層次安全風(fēng)險(xiǎn)要素的集中分析和處置
實(shí)現(xiàn) IaaS 層、PaaS 層、SaaS 層和邊緣層 4層防護(hù)建設(shè)。在公共服務(wù)中心的風(fēng)險(xiǎn)檢測(cè)、動(dòng)態(tài)分析、主客體管理、訪問(wèn)控制和權(quán)限管理等能力的基礎(chǔ)上，增強(qiáng)多層次的安全管理。
(1)定義 IaaS 層包括云主機(jī)、云網(wǎng)絡(luò)、虛擬化操作系統(tǒng)、物理主機(jī)、物理網(wǎng)絡(luò)、物理設(shè)備和云存儲(chǔ)等安全規(guī)則，通過(guò)運(yùn)行日志、agent、接口方式收集風(fēng)險(xiǎn)相關(guān)信息。根據(jù)安全規(guī)則以及安全風(fēng)險(xiǎn)等級(jí)，下發(fā)處置指令，如通知、警告、斷開(kāi)網(wǎng)絡(luò)、收回訪問(wèn)權(quán)限和使用權(quán)限等。
(2)定義 PaaS 層包括云數(shù)據(jù)庫(kù)存儲(chǔ)服務(wù)、文件存儲(chǔ)服務(wù)、容器服務(wù)、API 服務(wù)等安全規(guī)則，通過(guò)運(yùn)行日志、agent、接口方式收集風(fēng)險(xiǎn)相關(guān)信息。根據(jù)安全規(guī)則以及安全風(fēng)險(xiǎn)等級(jí)，下發(fā)處置指令，如通知、警告、收回 API 與數(shù)據(jù)訪問(wèn)權(quán)限和使用權(quán)限等。
(3)定義 SaaS 層包括 SaaS 應(yīng)用、App 等安全規(guī)則，通過(guò)運(yùn)行日志、agent、接口方式收集風(fēng)險(xiǎn)相關(guān)信息。根據(jù)安全規(guī)則以及安全風(fēng)險(xiǎn)等級(jí)，下發(fā)處置指令，如通知、警告、收回 API與數(shù)據(jù)訪問(wèn)權(quán)限和使用權(quán)限等。
(4)定義邊緣層包括智能傳感器與邊緣網(wǎng)關(guān)等安全規(guī)則，通過(guò)運(yùn)行日志、agent、接口方式收集風(fēng)險(xiǎn)相關(guān)信息。根據(jù)安全規(guī)則以及安全風(fēng)險(xiǎn)等級(jí)，下發(fā)計(jì)算策略、下發(fā)計(jì)算能力、下發(fā)控制指令，如通知、警告、收回設(shè)備權(quán)限或停用設(shè)備等。
3.3 建設(shè)云端企業(yè)安全檢測(cè)評(píng)估服務(wù)
建設(shè)云端企業(yè)安全檢測(cè)評(píng)估服務(wù)包括安全風(fēng)險(xiǎn)特征庫(kù)和情報(bào)庫(kù)的建設(shè)，利用安全檢測(cè)工具，實(shí)時(shí)動(dòng)態(tài)更新安全風(fēng)險(xiǎn)特征庫(kù)，為云端企業(yè)提供風(fēng)險(xiǎn)診斷與研判公共服務(wù)。
(1)建立安全風(fēng)險(xiǎn)特征庫(kù)。定義安全基線、安全風(fēng)險(xiǎn)特征庫(kù)。
(2)建立風(fēng)險(xiǎn)情報(bào)庫(kù)。根據(jù)安全威脅情報(bào)信息，更新風(fēng)險(xiǎn)威脅情報(bào)庫(kù)，并輸入安全風(fēng)險(xiǎn)特征庫(kù)中。
(3)利用安全檢測(cè)工具。將檢測(cè)結(jié)果輸入安全風(fēng)險(xiǎn)特征庫(kù)中，如跨站點(diǎn)腳本攻擊、注入式攻擊、失效的訪問(wèn)控制、緩存溢出問(wèn)題等工具化服務(wù)。
(4)提供風(fēng)險(xiǎn)診斷與研判公共服務(wù)。將安全風(fēng)險(xiǎn)收集到安全風(fēng)險(xiǎn)特征庫(kù)中，對(duì)使用情況進(jìn)行動(dòng)態(tài)分析，基于深度機(jī)器學(xué)習(xí)等方式對(duì)安全狀態(tài)和安全事件等信息進(jìn)行實(shí)時(shí)分析和研判，并依據(jù)風(fēng)險(xiǎn)等級(jí)處理規(guī)則，下發(fā)處置指令，如通知、警告、處置等。在出現(xiàn)較大安全風(fēng)險(xiǎn)時(shí)，平臺(tái)能實(shí)現(xiàn)大范圍的自動(dòng)化處置能力，避免造成損失。
3.4 建設(shè)風(fēng)險(xiǎn)診斷與研判公共服務(wù)
風(fēng)險(xiǎn)診斷與研判建設(shè)在數(shù)據(jù)安全基礎(chǔ)之上，設(shè)置用戶及應(yīng)用對(duì)數(shù)據(jù)的使用范圍、使用規(guī)則、控制規(guī)則，并依據(jù)風(fēng)險(xiǎn)指令自動(dòng)更新網(wǎng)關(guān)控制策略。以最小化原則設(shè)置應(yīng)用數(shù)據(jù)和“是否可見(jiàn)”“是否可用”“哪些能用”以及“什么情況下能用”等屬性。根據(jù)不同應(yīng)用、不同企業(yè)需求，支持從用戶類型、終端類型、網(wǎng)絡(luò)類型及訪問(wèn)資源重要等級(jí)等多維度考慮，搭建風(fēng)險(xiǎn)模型。搭建企業(yè)基于身份的持續(xù)信任評(píng)估能力，識(shí)別異常訪問(wèn)行為和風(fēng)險(xiǎn)訪問(wèn)環(huán)境，基于風(fēng)險(xiǎn)評(píng)估引擎，通過(guò)對(duì)用戶認(rèn)證、用戶操作、終端環(huán)境變化、位置、設(shè)備指紋和時(shí)間等數(shù)據(jù)序列的采集分析和風(fēng)險(xiǎn)評(píng)估，按照風(fēng)險(xiǎn)評(píng)估結(jié)果，可以進(jìn)行阻斷、二次增強(qiáng)認(rèn)證等自動(dòng)干預(yù)，并自動(dòng)為用戶提示認(rèn)證警告等抵制風(fēng)險(xiǎn)的措施 。
3.5 建設(shè)用戶動(dòng)態(tài)權(quán)限保護(hù)
公共服務(wù)從用戶的身份管理、訪問(wèn)控制、權(quán)限管理和應(yīng)用管理等維度進(jìn)行監(jiān)督與管控，實(shí)現(xiàn)用戶使用風(fēng)險(xiǎn)研判結(jié)果動(dòng)態(tài)處置能力。為參與到工業(yè)互聯(lián)網(wǎng)中的人、物、應(yīng)用、服務(wù)等各類訪問(wèn)主體提供身份管理、訪問(wèn)控制、權(quán)限管理等能力。
(1)用戶身份管理。用戶身份主體定義與特征定義，如用戶管理員、分級(jí)管理員、企業(yè)員工等身份定義。
(2)用戶訪問(wèn)控制。用戶訪問(wèn)范圍定義，如企業(yè)內(nèi)財(cái)務(wù)部員工能訪問(wèn)財(cái)務(wù)系統(tǒng)、人事系統(tǒng)等訪問(wèn)規(guī)則，按照不同的員工標(biāo)簽設(shè)置規(guī)則。
(3)用戶權(quán)限管理。用戶權(quán)限定義，如企業(yè)內(nèi)財(cái)務(wù)主管能訪問(wèn)財(cái)務(wù)系統(tǒng)所有功能模塊和數(shù)據(jù)，財(cái)務(wù)專員只能訪問(wèn)部分功能模塊和部分?jǐn)?shù)據(jù)。
(4)用戶應(yīng)用管理。用戶使用系統(tǒng)范圍定義，如企業(yè)以公司名義購(gòu)買云服務(wù)或設(shè)施，設(shè)置應(yīng)用可見(jiàn)范圍，并維護(hù)用戶對(duì)應(yīng)用的訪問(wèn)范圍。①接入網(wǎng)關(guān)。設(shè)置用戶對(duì)云平臺(tái)和設(shè)施的訪問(wèn)范圍，并依據(jù)風(fēng)險(xiǎn)指令自動(dòng)更新網(wǎng)關(guān)控制策略。實(shí)現(xiàn)用戶在不同網(wǎng)絡(luò)環(huán)境、設(shè)備環(huán)境下使用應(yīng)用防護(hù)、身份認(rèn)證防護(hù)、傳輸加密防護(hù)等功能。② API 服務(wù)網(wǎng)關(guān)。設(shè)置用戶及應(yīng)用對(duì) API的使用范圍、使用規(guī)則、控制規(guī)則，并依據(jù)風(fēng)險(xiǎn)指令自動(dòng)更新網(wǎng)關(guān)控制策略。以最小化原則設(shè)置 API“是否可見(jiàn)”“是否可用”“哪些能用”和“什么情況下能用”等屬性。
(5)使用風(fēng)險(xiǎn)研判結(jié)果動(dòng)態(tài)處置用戶權(quán)限與訪問(wèn)。當(dāng)用戶訪問(wèn)和被訪問(wèn)資源出現(xiàn)安全風(fēng)險(xiǎn)時(shí)，根據(jù)風(fēng)險(xiǎn)研判結(jié)果，下發(fā)處置指令，如通知、警告、回收權(quán)限(包括部分權(quán)限)、阻斷訪問(wèn)等。
3.6 建設(shè)應(yīng)急處置公共服務(wù)
為用戶身份管理和認(rèn)證服務(wù)提供應(yīng)急處理機(jī)制、操作取證和總結(jié)服務(wù)。集中的用戶身份和訪問(wèn)控制系統(tǒng)提供了統(tǒng)一的管理和認(rèn)證門戶，也成為所有集成應(yīng)用的唯一入口，需要做好相應(yīng)的應(yīng)急預(yù)案和處理措施，以及用戶行為日志記錄，為應(yīng)用取證和總結(jié)提供相應(yīng)的支持。
(1)構(gòu)建應(yīng)急預(yù)案。對(duì)安全事件定級(jí)定策略，根據(jù)不同的安全事件等級(jí)設(shè)置不同的響應(yīng)策略，針對(duì)緊急安全事件，啟用應(yīng)急預(yù)案。如病毒木馬高發(fā)、重大安全情報(bào)發(fā)布、重大安全事故等。
(2)定義應(yīng)急安全處理策略。支持手動(dòng)、自動(dòng)等靈活的處理方式，根據(jù)動(dòng)態(tài)風(fēng)險(xiǎn)策略下發(fā)的風(fēng)險(xiǎn)評(píng)估或通知，啟用應(yīng)急預(yù)案。依據(jù)動(dòng)態(tài)風(fēng)險(xiǎn)策略配置規(guī)則，完成某些自動(dòng)化風(fēng)險(xiǎn)的處理。
(3)取證和總結(jié)。應(yīng)急處置后，根據(jù)需要進(jìn)行安全事件取證、復(fù)盤、總結(jié)與完善。
3.7 開(kāi)放性設(shè)計(jì)抵御主要安全威脅
定義開(kāi)放性服務(wù)方式。通過(guò)第三方服務(wù)和風(fēng)險(xiǎn)數(shù)據(jù)接入的擴(kuò)展能力，不斷完善具有針對(duì)性的風(fēng)險(xiǎn)識(shí)別和檢測(cè)服務(wù)，完善風(fēng)險(xiǎn)特征庫(kù)和抵御能力。包括引入其他殺毒工具、漏洞掃描工具、專殺工具等方式，并將其封裝為新的服務(wù)能力，獲取更多風(fēng)險(xiǎn)情報(bào)。提供“端”(包括 PC 端和移動(dòng)端)風(fēng)險(xiǎn)情報(bào)收集能力，根據(jù)“端”風(fēng)險(xiǎn)情況執(zhí)行對(duì)應(yīng)的風(fēng)險(xiǎn)處置策略。各類平臺(tái)或企業(yè)可按需選用。
3.8 可定制性的安全能力建設(shè)
提供可定制化擴(kuò)展的安全組件建設(shè)能力。通過(guò) API 服務(wù)網(wǎng)關(guān)使企業(yè)內(nèi)外部系統(tǒng)間相互安全調(diào)用得到有效治理，為工業(yè)互聯(lián)網(wǎng)身份與訪問(wèn)控制系統(tǒng)提供“原子級(jí)”(API 接口)安全公共服務(wù)能力整合、聚合、分裂、重組等業(yè)務(wù)編排的能力。利用負(fù)載均衡、限流、降級(jí)、熔斷、容錯(cuò)、審計(jì)等統(tǒng)一治理能力，使各企業(yè)信息系統(tǒng)群的健壯性得到有效提升。
(1)API 服務(wù)網(wǎng)關(guān)。讓服務(wù)的消費(fèi)者(系統(tǒng))將 API 能力便捷地整合到自己的應(yīng)用中，促進(jìn)企業(yè)新的服務(wù)生態(tài)建設(shè)。為服務(wù)的消費(fèi)者提供授權(quán)鑒權(quán)、API 通用訪問(wèn)控制、API 敏感數(shù)據(jù)訪問(wèn)控制、流量控制、熔斷控制、IP 黑白名單控制、時(shí)間訪問(wèn)控制、日志審計(jì)等急需的重點(diǎn)功能，合理開(kāi)放與應(yīng)用 API 且整體需滿足信創(chuàng)合規(guī)的要求，支撐國(guó)產(chǎn)化網(wǎng)關(guān)底層和算法的需要。兼容不同應(yīng)用系統(tǒng)的多種形式的開(kāi)發(fā)接口，支持應(yīng)對(duì)大規(guī)模并發(fā)流量，對(duì) API 調(diào)用過(guò)程進(jìn)行統(tǒng)計(jì)分析，清晰展示各應(yīng)用系統(tǒng)調(diào)用關(guān)系。為不同的消費(fèi)者配置不同的訪問(wèn)范圍策略，使 API敏感數(shù)據(jù)訪問(wèn)得到有效控制。
(2)安全接入網(wǎng)關(guān)。從用戶角度出發(fā)，無(wú)論用戶身在何地、何時(shí)訪問(wèn)、訪問(wèn)企業(yè)什么資源，都能夠非常靈活的受到保護(hù)。通過(guò)安全網(wǎng)關(guān)提供具有應(yīng)用防護(hù)、身份認(rèn)證機(jī)制、安全防護(hù)機(jī)制的安全架構(gòu)支撐，支持隱藏企業(yè)應(yīng)用系統(tǒng)的真實(shí)訪問(wèn)地址，實(shí)現(xiàn)零接觸訪問(wèn)，杜絕應(yīng)用暴露帶來(lái)的安全風(fēng)險(xiǎn)。安全接入網(wǎng)關(guān)對(duì)用戶訪問(wèn)采取“先鑒權(quán)(認(rèn)證和授權(quán))、后連接、再訪問(wèn)”的方式，實(shí)現(xiàn)端到端可信訪問(wèn)企業(yè)資源，建立設(shè)備信任、用戶信任、流量信任、應(yīng)用信任的“端到端”信任鏈解決方案，通過(guò)相互傳輸層安全協(xié)議(Mutual Transport Layer Security，MTLS) 雙向加密應(yīng)用請(qǐng)求，實(shí)現(xiàn)應(yīng)用級(jí)傳輸安全，解決了虛擬專用網(wǎng)絡(luò)(Virtual Private Network，VPN) 建立鏈路帶來(lái)的網(wǎng)絡(luò)資源浪費(fèi)的問(wèn)題。為應(yīng)用級(jí)安全接入、遠(yuǎn)程辦公提供安全保障。
3.9 建立安全規(guī)范和服務(wù)規(guī)范
為保障整個(gè)身份與訪問(wèn)控制體系建設(shè)、支撐平臺(tái)的平穩(wěn)運(yùn)行，需建立完整的安全制度，明確平臺(tái)安全部門、業(yè)務(wù)部門、企業(yè)用戶的職責(zé)等。
(1)安全規(guī)范。安全規(guī)范包含政策性依據(jù)，明確安全部門、業(yè)務(wù)部門、最終用戶的職責(zé)權(quán)限，包括可見(jiàn)范圍、適應(yīng)范圍、權(quán)利和責(zé)任等。出臺(tái)支撐平臺(tái)的管理標(biāo)準(zhǔn)，如行業(yè)用戶屬性標(biāo)準(zhǔn)、使用規(guī)則、使用內(nèi)容和管理方式等，包括制定云端安全檢測(cè)評(píng)估服務(wù)、基于公共服務(wù)的運(yùn)維管理和考核方法等指導(dǎo)性文件。
(2)服務(wù)規(guī)范。應(yīng)形成與企業(yè)用戶管理系統(tǒng)對(duì)應(yīng)的“應(yīng)用接入和集成規(guī)范”“賬號(hào)管理流程和辦法”“安全標(biāo)準(zhǔn)和接口規(guī)范”和“系統(tǒng)運(yùn)維管理制度”“組織機(jī)構(gòu)管理規(guī)范”等，保障整個(gè)支撐平臺(tái)的易用性和安全性。
4、結(jié)語(yǔ)
工業(yè)互聯(lián)網(wǎng)用戶身份與訪問(wèn)控制體系的建設(shè)，是建立在政府統(tǒng)籌規(guī)劃、企業(yè)自愿接入的基礎(chǔ)上，配套出臺(tái)具體的安全規(guī)范與服務(wù)規(guī)范，覆蓋 IaaS 層、PaaS 層、SaaS 層、邊緣層 4 層安全防護(hù)體系的支撐平臺(tái)。融合新一代應(yīng)用風(fēng)險(xiǎn)評(píng)估技術(shù)、用戶動(dòng)態(tài)權(quán)限控制機(jī)制、數(shù)據(jù)保護(hù)公共服務(wù)、各實(shí)體全生命周期的身份安全管理、智能風(fēng)險(xiǎn)診斷與研判等功能，為工業(yè)企業(yè)提供全方位、多層次安全防護(hù)。同時(shí)利用安全接入網(wǎng)關(guān)、API 網(wǎng)關(guān)等安全組件，在系統(tǒng)入口或功能入口處開(kāi)展保護(hù)措施，針對(duì)企業(yè)系統(tǒng)侵入行為，簡(jiǎn)單的配置就可以將平臺(tái)的安全防護(hù)能力賦予到企業(yè)應(yīng)用系統(tǒng)中。
整個(gè)體系建設(shè)支持云平臺(tái)架構(gòu)，有效滿足云服務(wù)模式，支撐平臺(tái)搭建成功，可同時(shí)為云上所有企業(yè)提供安全服務(wù)，為參與工業(yè)互聯(lián)網(wǎng)的企業(yè)用戶、設(shè)備、應(yīng)用、服務(wù)等各訪問(wèn)主體提供身份與訪問(wèn)的綜合管控，為企業(yè)生產(chǎn)安全提供保障。在搭建體系過(guò)程中，基于威脅信息源的端安全檢測(cè)評(píng)估技術(shù)、多因素的風(fēng)險(xiǎn)診斷與研判等難點(diǎn)值得進(jìn)一步探索與研究。比如，如何完善除用戶 IP 規(guī)則、密碼規(guī)則、設(shè)備規(guī)則、地址規(guī)則等因素外的風(fēng)險(xiǎn)模型;如何開(kāi)展基于對(duì)用戶認(rèn)證趨勢(shì)、訪問(wèn)趨勢(shì)等多維度歷史信息合理輸出評(píng)估風(fēng)險(xiǎn)的判定結(jié)果;在安全規(guī)范與服務(wù)規(guī)范的建設(shè)過(guò)程中，如何結(jié)合工業(yè)領(lǐng)域、行業(yè)特色、企業(yè)實(shí)施范圍等因素制定合理的政企職責(zé)分工、安全管理制度、運(yùn)維管理辦法等，基于上述問(wèn)題可開(kāi)展進(jìn)一步課題研究。
原文來(lái)源：《信息安全與通信保密》雜志
