伴隨著互聯網信息技術、工業自動化技術的革命性突破和全球經濟一體化的發展，工業互聯網應運而生，并迅速成為熱門技術，成為國際工業界不斷研究和持續探索的熱點課題。經過近幾年的發展，工業互聯網的推廣普及為工業經濟發展提供了更多的內驅力。為更好地激發工業互聯網的技術潛能，引領工業互聯網技術實現技術應用開發，2014年成立了工業互聯網聯盟（IIC），致力于分享綜合利用互聯網實現機械設備智能化應用的改革創新。我國2016年也成立了工業互聯網產業聯盟，顯示了我國的工業互聯網發展的決心和巨大前景。

工業互聯網是滿足工業智能化發展需求，具有低時延、高可靠、廣覆蓋特點的關鍵網絡基礎設施，是新一代信息通信技術與先進制造業深度融合所形成的新興業態與應用模式。

其中，網絡體系是實現連接全工業系統、全價值鏈、全產業鏈的基礎，包括網絡互連、標識解析、應用支撐三大體系。數據包括“采集交換-集成處理-建模分析-決策與控制”，形成優化閉環，驅動工業智能化。安全是工業/產業互聯網各個領域和環境的安全保障，包括設備安全、控制安全、網絡安全、應用安全和數據安全等。為加速提升工業互聯網的應用質量與效果，為我國的經濟結構調整、動能轉換貢獻力量，全面推進“中國制造2025”和“互聯網+”行動計劃，有必要圍繞國家網絡安全法和網絡安全等級保護制度加強對中央企業工業互聯網信息安全領域解決方案的研究。

2，中央企業工業互聯網安全分析

隨著工業互聯網的發展和新技術的應用，中央企業的工業網絡從生產設備、控制系統、網絡架構、業務應用、數據傳輸等多個層面都發生了巨大的變化。在在新的變化下如何應對安全風險成為了一個至關重要又迫在眉睫的問題。

2.1.工業互聯網脆弱性分析

操作系統漏洞

PC+Windows的技術架構現已成為控制系統上位機/操作站的主流。而在控制網絡中，上位機/操作站是實現與MES通信的主要網絡結點，因此其操作系統的漏洞就成為了整個控制網絡信息安全中的一個短板。操作系統漏洞頻繁出現，安全事故時有發生。以Windows XP版本為例，就曾被發現了大量漏洞，典型的如輸入法漏洞、IPC$漏洞、RPC漏洞、Unicode漏洞、IDA&IDQ緩沖區溢出漏洞、Printer溢出漏洞、Cookie漏洞等等。這些漏洞大部分危害巨大，惡意代碼通過這些漏洞，可以獲得Windows XP操作站的完全控制權，甚至為所欲為。

工業控制系統漏洞

由于早期的工業控制系統都是在相對獨立的網絡環境下運行，在產品設計和網絡部署時，只考慮了功能性和穩定性，對安全性考慮不足。隨著工業控制系統網絡之間互聯互通的不斷推進，以及工控控制系統和工業設備接入互聯網的數量越來越多，通過互聯網對工業控制系統實施攻擊的可能性越來越高，而每年新發現的SCADA、DCS、PLC漏洞數量也不斷增加，這些都為工業互聯網帶來巨大的安全隱患。

從2011年以后工業控制系統的各種漏洞每年都在高速的增加，這些漏洞將會成為攻擊工業控制網絡的一種主要途徑，通過這些漏洞攻擊可以完成獲取系統權限、修改工程數據和控制流程、非法關閉現場設備等操作，造成重大的生產事故和經濟損失。

工業控制網絡漏洞

工業控制網絡的設備分布于廠區各處，甚至是野外，由于網絡基礎設施的局限性，經常需要無線網絡、衛星、GPRS/CDMA等通用傳輸手段來實現與調度中心的連接和數據交換。這些傳輸手段沒有足夠的安全保護和加密措施，很容易出現網絡竊聽、數據劫持、第三人攻擊等安全問題，而且攻擊者還可以利用不安全傳輸方式作為攻擊工業控制網絡的入口，實現對于整個工業控制網絡的滲透和控制。

云平臺安全問題

在云平臺中，作為底層支撐技術的虛擬化技術在帶來效率提升和開銷降低的同時,也帶來了一系列由于物理的共享與邏輯隔離的沖突而導致的數據安全問題。在公有云環境下，不同機構之間物理隔離的網絡被由網絡虛擬化技術構建的虛擬網絡取代。這種網絡資源復用模式雖然實現了網絡資源的高效利用、網絡流量的集中分發，但也帶來了諸多安全問題。

2.2.工業互聯網安全威脅分析

來自外部網絡的滲透

工業互聯網會有較多的開放服務，攻擊者可以通過掃描發現開放服務，并利用開放服務中的漏洞和缺陷登錄到網絡服務器獲取企業關鍵資料，同進還可以利用辦公網絡作為跳板，逐步滲透到控制網絡中。通過對于辦公網絡和控制網絡一系列的滲透和攻擊，最終獲取企業重要的生產資料、關鍵配方，嚴重的是隨意更改控制儀表的開關狀態，惡意修改其控制量，造成重大的生產事故。

帳號口令破解

由于企業有對外開放的應用系統（如郵件系統），在登錄開放應用系統的時候需要進行身份認證，攻擊都通過弱口令掃描、Sniffer密碼嗅探、暴力破解、信任人打探套取或社工比較合成口令等手段來獲取用戶的口令，這樣直接獲得系統或應用權限。獲取了用戶權限就可以調取相關資料，惡意更改相關控制設施。

利用移動介質攻擊

當帶有惡意程序的移動介質連接到工程師站或操作員站時，移動介質病毒會利用移動介質自運行功能，自動啟動對控制設備進行惡意攻擊或惡意指令下置。一方面造成網絡病毒在企業各個網絡層面自動傳播和感染，靠成業務系統和控制系統性能的下降，從而影響企業監測、統籌、決策能力。另一方面會針對特定控制系統或設備進行惡意更改其實際控制量，造成生成事故。

PLC程序病毒的威脅

通過對工程師站及編程服務器的控制，感染（替換）其相關程序，當PLC程序的下發時，惡意程序一起被下發到PLC控制設備上。惡意程序一方面篡改PLC的實際控制流，另一方面將運算好的虛假數據發給PLC的輸出，防止報警。通過這種方式造成現場設備的壓力、溫度、液位失控，但監測系統不能及時發現，造成重大的安全事故。

利用工業通信協議的缺陷

Modbus、DNP3、OPC等傳統工業協議缺乏身份認證、授權以及加密等安全機制，利用中間人攻擊捕獲和篡改數據，給設備下達惡意指令，影響生產調度，造成生產失控。

利用無線網絡入侵

控制網絡通過DTU無線設備通過802.11b協議連接到管理區的網絡，通過對網絡無線信息的收集，偵測WEP安全協議漏洞，破解無線存取設備與客戶之間的通訊，分析出接入密碼，從而成功接入控制網絡，控制現場設備，獲取機要信息，更改控制系統及設備的控制狀態，造成重大影響。

3，中央企業工業互聯網安全解決方案建議

工業互聯網實現了設備、工廠、人、產品的全方位連接，因此工業互聯網安全建設必須從綜合安全防護體系的視角對其進行統籌規劃。從工業互聯網的整體架構來看，應該在各個層面實施相應的安全防護措施，并通過入侵檢測、邊界防護、協議分析、行為分析、安全審計、容災備份、態勢感知等各種安全技術與安全管理相結合的方式實現工業互聯網的安全防護，形成對工業互聯網安全的“監測、報警、處置、溯源、恢復、檢查”工作閉環。