一场绝对输不起的网络战争——现代IT与OT融合协同防御
宣布时间 2019-07-03
工业革命带给了人类文明，极大推动了工业互联网的飞速生长和生产效率的提高，同时，也加速了工业互联网的网络攻击事件发作，甚至已上升到国家间的网络战 。面对如此庞大的国际网络空间环境，未来，文明的宁静如何保障 ？
在2019年中国工业信息宁静大会上，抖圈为赌而生总裁严立提出了自己的一些思考：信息化、工业化生长到今天，网络宁静已经和工业文明对接，一旦发作网络战，将会对工业文明结果带来反噬，具有灾难性的后果 。当今人类社会最大的文明是工业和科技文明，科技宁静是整个人类命运配合体最大的文明保障，没有科技宁静就没有文明的宁静 。
信息技术（IT）和流程技术（OT，Operational Technology）一体化迅速生长、工业控制系统（ICS）与IT的高度互联互通，这就导致了从研发端、管理端、消费端、生产端任意一端都有可能实现对工业互联网控制系统的网络攻击或病毒流传，网络攻击逐渐从IT渗透到OT环境已成为可能 。2018年台积电生产环境被病毒熏染、2019年委内瑞拉的电力设施被网络攻击等宁静事件充实说明：当今国际网络空间局势异常庞大，有针对性的网络攻击不是会不会发生而是什么时候会发生的问题，可以说，IT和OT融合协同防御，�；は执鶲T运行环境的宁静，是一场输不起的网络战争 。
1、漏洞成为了网络空间宁静治理与管理的核心命题
网络宁静漏洞差异于病毒，用现有的技术条件无法实现彻底根除 。漏洞自己没有危害，一旦被利用，极易造成破坏性的后果 。对漏洞进行发现和利用需要一定的技术环境条件和时间窗口，攻防两端便围绕这个窗口进行反抗博弈 。对攻击者而言，先发现漏洞，就能立即设计漏洞利用机制，开展针对网络信息系统的破坏攻击，或出售资料满足其经济目的；对防御者而言，先发现漏洞，就可立即着手修补事情，建立免疫机制，有效减少来自网络的威胁，降低潜在的损失 。因此，对于漏洞的发现和利用，成为了网络攻防博弈的基础和泉源 。在这种宁静风险不停增大的庞大网络空间形势下，漏洞日益成为各国网络宁静的要害资源，也成为了网络空间宁静治理与管理的核心命题 。
面向网络空间宁静攻防反抗白热化，以及我国在这一领域与国外先进水平的现存差距，研究突破高效化、规�；⑿穆┒赐诰蛞欤嵘月┒醋试吹恼瓶睾凸芾砟芰Γ殉晌す夷埠凸谌ㄒ娴闹匾Ｕ虾推惹行枨� 。
2、工业互联网系统的网络攻击难度逐渐降低
大量工控系统软硬件设备漏洞及利用方式可通过果然或半果然的渠道获得，众多开发者社区宣布的工控系统宁静事件技术分析陈诉不停增多，其中许多技术分析陈诉给出了网络攻击步骤、详细攻击代码甚至攻击工具等详细信息，易被黑客获取、复现以实施网络攻击 。透过伊朗、乌克兰、委内瑞拉、俄罗斯所遭受的网络宁静事件，我们可以看出网络攻击正泛起出4点深刻的变化：
（1）网络攻击的工具已经从传统的IT系统扩大到要害基础设施；
（2）网络攻击的目的已经从获取经济利益转酿成为政治利益服务；
（3）网络攻击的提倡从普通的黑客组织行为酿成了国家行为；
（4）网络攻击造成的影响已经从虚拟世界扩大到现实世界，甚至影响到一国执政政府的合法性 。
工业互联网宁静的基础——IT与OT融合协同防御
1、IT和OT融合协同防御的困难
OT和IT不仅运营方式各异，各自的宁静责任也不尽相同，而且历来抗拒改变并互不信任 。在实际的过程中，工业控制系统通常对可靠性、可用性要求非常高，所以，工业控制系统依照GB/T22239-2019品级�；そ蠭T和OT融合协同防御时，需满足以下约束条件:
1) 在目前原则上宁静措施不应对高可用性的工业控制系统基本功效发生倒霉影响 。例如用于基本功效的账户不应被锁定，甚至短暂的也不行；
2) 宁静措施的部署不应显著增加延迟而影响系统响应时间；
3) 对于高可用性的控制系统，宁静措施失效不应中断基本功效等；
4) 经评估对可用性有较大影响而无法实施和落实宁静品级�；ひ蟮南喙靥蹩钍保心采鳎治龊退得鞔颂蹩钍凳┛赡芊⑸挠跋旌秃蠊约笆褂玫呐獬ゴ胧� 。
由此可知，在实现OT和IT融合协同防御所面临的难题远比其他行业多 。
2、针对APT（高级可连续性威胁）攻击技术的防范研究
IT和OT融合协同防御的重点是防范APT（高级可连续性威胁）攻击，针对APT攻击不是能够依靠单一的技术实现防范和检测的，针对性的防护需要多个层面宁静防护措施的综合开展：
1) 任何宁静短板都可能成为攻击者的快速通道，只有通过多种宁静机制协同事情的体系化防御措施才气够抵御APT这些高级的持久性攻击；
2) 通过收集APT攻击的特征、原理、危害、样本及分析陈诉等，并利用多维度的海量数据挖掘和关联分析技术，实现跨时域、跨设备和跨区域的踪迹分析，有效地提供针对性的APT宁静防护能力；
3) 加强国际合作，协同研究与防范，攻击网络犯罪及恐怖主义行为；
4) 连续改善IT和OT的宁静保障措施，方可使工业控制系统获得最洪流平的�；� 。
3、IT/OT融合协同宁静防御计谋
为确保工业互联网协同能抵御当前庞大的网络宁静威胁，必须接纳足够的宁静防御措施，并凭据工业互联网实际的网络风险优先级，因地制宜地制定有效的IT和OT深度融合的协同防御计谋 。这其中，最重要的是�；ね纭⒈；ぶ斩恕⒈；た刂破� 。
抖圈为赌而生通过对多个典型行业和企业工业互联网的应用架构进行分析，从平台宁静、网络宁静、数据宁静、设备宁静和宁静运营等多个维度和视角，整理和挖掘工业互联网在宏观运营和微观防护方面的宁静需求，力求为国家、行业和用户提供完整的、高细粒度的工业互联网网络宁静解决方案 。
我国工业互联网网络攻击不只是来自民间的黑客和黑灰工业，更多的来自某些强大的国家级配景的黑客团队，以及有组织的黑客犯罪集团 。因此IT/OT的网络宁静，仅研究其防御技术远远不能满足当前我国的工业互联网宁静的环境的庞大性，还需研究其攻击原理及攻击轨迹，进行溯源分析 。
对于漫衍范围广、系统规模大、设备庞大的要害基础设施，很难同时做到绝对的物理隔离、所有核心设备和组件全部国产化及系统不存在任何可利用的漏洞 。只有研究了其攻击原理和攻击轨迹等，才气在要害基础设施受到网络攻击时有效阻止和诱捕 。我国工业互联网三年规划明确指出，建设“一网一库三平台”，其含义有：
1) 资产分析与网络测绘系统：对国家的要害基础设施进行全面的网络测绘，为研究其反制防御提供可靠的网络信息地图；
2) 建立完善的知识库，包罗：设备库、漏洞库、恶意代码库、网络武器库等；
3) 建立准确的攻击溯源和定位系统 。
以上分析可知，在当前网络空间宁静庞大情况下，网络宁静防御有新的变化：
1) 由被动监控向主动预防转变；
2) 由界限宁静向全网宁静转变；
3) 由静态特征识别向动态异常分析转变；
4) 由系统宁静向业务驱动宁静转变 。
最终，网络宁静的所有问题本质上将转变为大数据分析问题，传统的应急式宁静响应中心将转变为连续宁静响应中心 。为了实现这个目标，将从以Policy 计谋、Protect 防护、Detect 检测、Response 响应四个阶段组成的PPDR 宁静防护体系，转变为以Predict 预测、Protect 防护、Detect 检测、Response 响应四个阶段组成的新PPDR 闭环宁静防护模型，而且在差异阶段引入威胁情报、大数据分析、机器学习、云防护等新技术和服务，从而真正构建一个能进行连续性威胁响应、智能化、协同化的自适应宁静防护体系 。
在2019年中国工业信息宁静大会上，抖圈为赌而生总裁严立提出了自己的一些思考：信息化、工业化生长到今天，网络宁静已经和工业文明对接，一旦发作网络战，将会对工业文明结果带来反噬，具有灾难性的后果 。当今人类社会最大的文明是工业和科技文明，科技宁静是整个人类命运配合体最大的文明保障，没有科技宁静就没有文明的宁静 。
信息技术（IT）和流程技术（OT，Operational Technology）一体化迅速生长、工业控制系统（ICS）与IT的高度互联互通，这就导致了从研发端、管理端、消费端、生产端任意一端都有可能实现对工业互联网控制系统的网络攻击或病毒流传，网络攻击逐渐从IT渗透到OT环境已成为可能 。2018年台积电生产环境被病毒熏染、2019年委内瑞拉的电力设施被网络攻击等宁静事件充实说明：当今国际网络空间局势异常庞大，有针对性的网络攻击不是会不会发生而是什么时候会发生的问题，可以说，IT和OT融合协同防御，�；は执鶲T运行环境的宁静，是一场输不起的网络战争 。
OT网络运行环境 日益恶化
1、漏洞成为了网络空间宁静治理与管理的核心命题
网络宁静漏洞差异于病毒，用现有的技术条件无法实现彻底根除 。漏洞自己没有危害，一旦被利用，极易造成破坏性的后果 。对漏洞进行发现和利用需要一定的技术环境条件和时间窗口，攻防两端便围绕这个窗口进行反抗博弈 。对攻击者而言，先发现漏洞，就能立即设计漏洞利用机制，开展针对网络信息系统的破坏攻击，或出售资料满足其经济目的；对防御者而言，先发现漏洞，就可立即着手修补事情，建立免疫机制，有效减少来自网络的威胁，降低潜在的损失 。因此，对于漏洞的发现和利用，成为了网络攻防博弈的基础和泉源 。在这种宁静风险不停增大的庞大网络空间形势下，漏洞日益成为各国网络宁静的要害资源，也成为了网络空间宁静治理与管理的核心命题 。
面向网络空间宁静攻防反抗白热化，以及我国在这一领域与国外先进水平的现存差距，研究突破高效化、规�；⑿穆┒赐诰蛞欤嵘月┒醋试吹恼瓶睾凸芾砟芰Γ殉晌す夷埠凸谌ㄒ娴闹匾Ｕ虾推惹行枨� 。
2、工业互联网系统的网络攻击难度逐渐降低
大量工控系统软硬件设备漏洞及利用方式可通过果然或半果然的渠道获得，众多开发者社区宣布的工控系统宁静事件技术分析陈诉不停增多，其中许多技术分析陈诉给出了网络攻击步骤、详细攻击代码甚至攻击工具等详细信息，易被黑客获取、复现以实施网络攻击 。透过伊朗、乌克兰、委内瑞拉、俄罗斯所遭受的网络宁静事件，我们可以看出网络攻击正泛起出4点深刻的变化：
（1）网络攻击的工具已经从传统的IT系统扩大到要害基础设施；
（2）网络攻击的目的已经从获取经济利益转酿成为政治利益服务；
（3）网络攻击的提倡从普通的黑客组织行为酿成了国家行为；
（4）网络攻击造成的影响已经从虚拟世界扩大到现实世界，甚至影响到一国执政政府的合法性 。
工业互联网宁静的基础——IT与OT融合协同防御
1、IT和OT融合协同防御的困难
OT和IT不仅运营方式各异，各自的宁静责任也不尽相同，而且历来抗拒改变并互不信任 。在实际的过程中，工业控制系统通常对可靠性、可用性要求非常高，所以，工业控制系统依照GB/T22239-2019品级�；そ蠭T和OT融合协同防御时，需满足以下约束条件:
1) 在目前原则上宁静措施不应对高可用性的工业控制系统基本功效发生倒霉影响 。例如用于基本功效的账户不应被锁定，甚至短暂的也不行；
2) 宁静措施的部署不应显著增加延迟而影响系统响应时间；
3) 对于高可用性的控制系统，宁静措施失效不应中断基本功效等；
4) 经评估对可用性有较大影响而无法实施和落实宁静品级�；ひ蟮南喙靥蹩钍保心采鳎治龊退得鞔颂蹩钍凳┛赡芊⑸挠跋旌秃蠊约笆褂玫呐獬ゴ胧� 。
由此可知，在实现OT和IT融合协同防御所面临的难题远比其他行业多 。
2、针对APT（高级可连续性威胁）攻击技术的防范研究
IT和OT融合协同防御的重点是防范APT（高级可连续性威胁）攻击，针对APT攻击不是能够依靠单一的技术实现防范和检测的，针对性的防护需要多个层面宁静防护措施的综合开展：
1) 任何宁静短板都可能成为攻击者的快速通道，只有通过多种宁静机制协同事情的体系化防御措施才气够抵御APT这些高级的持久性攻击；
2) 通过收集APT攻击的特征、原理、危害、样本及分析陈诉等，并利用多维度的海量数据挖掘和关联分析技术，实现跨时域、跨设备和跨区域的踪迹分析，有效地提供针对性的APT宁静防护能力；
3) 加强国际合作，协同研究与防范，攻击网络犯罪及恐怖主义行为；
4) 连续改善IT和OT的宁静保障措施，方可使工业控制系统获得最洪流平的�；� 。
3、IT/OT融合协同宁静防御计谋
为确保工业互联网协同能抵御当前庞大的网络宁静威胁，必须接纳足够的宁静防御措施，并凭据工业互联网实际的网络风险优先级，因地制宜地制定有效的IT和OT深度融合的协同防御计谋 。这其中，最重要的是�；ね纭⒈；ぶ斩恕⒈；た刂破� 。
抖圈为赌而生通过对多个典型行业和企业工业互联网的应用架构进行分析，从平台宁静、网络宁静、数据宁静、设备宁静和宁静运营等多个维度和视角，整理和挖掘工业互联网在宏观运营和微观防护方面的宁静需求，力求为国家、行业和用户提供完整的、高细粒度的工业互联网网络宁静解决方案 。
抖圈为赌而生工业互联网网络宁静架构设计
我国工业互联网网络攻击不只是来自民间的黑客和黑灰工业，更多的来自某些强大的国家级配景的黑客团队，以及有组织的黑客犯罪集团 。因此IT/OT的网络宁静，仅研究其防御技术远远不能满足当前我国的工业互联网宁静的环境的庞大性，还需研究其攻击原理及攻击轨迹，进行溯源分析 。
对于漫衍范围广、系统规模大、设备庞大的要害基础设施，很难同时做到绝对的物理隔离、所有核心设备和组件全部国产化及系统不存在任何可利用的漏洞 。只有研究了其攻击原理和攻击轨迹等，才气在要害基础设施受到网络攻击时有效阻止和诱捕 。我国工业互联网三年规划明确指出，建设“一网一库三平台”，其含义有：
1) 资产分析与网络测绘系统：对国家的要害基础设施进行全面的网络测绘，为研究其反制防御提供可靠的网络信息地图；
2) 建立完善的知识库，包罗：设备库、漏洞库、恶意代码库、网络武器库等；
3) 建立准确的攻击溯源和定位系统 。
以上分析可知，在当前网络空间宁静庞大情况下，网络宁静防御有新的变化：
1) 由被动监控向主动预防转变；
2) 由界限宁静向全网宁静转变；
3) 由静态特征识别向动态异常分析转变；
4) 由系统宁静向业务驱动宁静转变 。
最终，网络宁静的所有问题本质上将转变为大数据分析问题，传统的应急式宁静响应中心将转变为连续宁静响应中心 。为了实现这个目标，将从以Policy 计谋、Protect 防护、Detect 检测、Response 响应四个阶段组成的PPDR 宁静防护体系，转变为以Predict 预测、Protect 防护、Detect 检测、Response 响应四个阶段组成的新PPDR 闭环宁静防护模型，而且在差异阶段引入威胁情报、大数据分析、机器学习、云防护等新技术和服务，从而真正构建一个能进行连续性威胁响应、智能化、协同化的自适应宁静防护体系 。
京公网安备11010802024551号