国产欧美日韩精品a在线观看-国产欧美日韩精品一区二区三区-国产欧美日韩精品综合-国产欧美中文字幕-一区二区三区精品国产-一区二区三区精品国产欧美

★中國民航大學陳佳

1　介紹

工控系統(tǒng)（Industrial Control System，ICS）是重要基礎設施的核心，其一旦遭受網(wǎng)絡攻擊，造成后果影響面廣，危害大。因此，保證網(wǎng)絡安全是工控系統(tǒng)正常運行的保障^[1]。近年來，國內(nèi)外學者對工控系統(tǒng)網(wǎng)絡安全的研究已成為工程領域與學術領域的研究熱點。可信Internet連接和代理外圍防火墻提供了強大的Internet網(wǎng)關，主要抵御了來自網(wǎng)絡的攻擊^[2]，但是無法有效地防止設備漏洞等內(nèi)部網(wǎng)絡威脅。傳統(tǒng)的物理隔離方法已經(jīng)不能滿足工控系統(tǒng)功能安全和網(wǎng)絡安全的雙重需求，如何保障工控系統(tǒng)免遭系統(tǒng)內(nèi)外威脅和非法入侵，是工控系統(tǒng)網(wǎng)絡安全領域面臨的巨大挑戰(zhàn)。

在現(xiàn)階段，工控系統(tǒng)傳統(tǒng)網(wǎng)絡安全防護方法主要包括以下3個方面：（1）基于特征匹配的網(wǎng)絡異常檢測方法^[3]；（2）基于設備信號偏離的異常檢測方法^[4]；（3）基于設備指紋的異常檢測方法^[5]。隨著工控系統(tǒng)的數(shù)字化轉(zhuǎn)型速度加快，云計算、邊緣控制和物聯(lián)網(wǎng)（Internet of Things，IoT）等最新技術導致現(xiàn)有網(wǎng)絡邊界不斷擴大，零信任架構(gòu)（Zero Trust Architecture，ZTA）已經(jīng)成為“邊界防御”網(wǎng)絡安全策略的新架構(gòu)^[6]。早在2020年，NIST發(fā)布了SP800-207零信任架構(gòu)標準，用于指導網(wǎng)絡基礎架構(gòu)設計和操作，提高了任何網(wǎng)絡的安全性，涉及范圍包括了工控系統(tǒng)^[7]。零信任機制下的工控系統(tǒng)意味著在工控系統(tǒng)中，所有內(nèi)、外部的設備和用戶都被視為潛在威脅，需要持續(xù)地對所有設備和用戶進行嚴格的身份認證和授權。因此，設計出一個適合零信任機制下的工控系統(tǒng)安全防護框架顯得尤為必要，并在這一框架的基礎上，構(gòu)建基于零信任的安全防御體系，以實現(xiàn)對工控系統(tǒng)的全方位、多層次安全防護。

2　工控系統(tǒng)零信任安全框架設計

在現(xiàn)有工控系統(tǒng)的網(wǎng)絡安全基礎上引入零信任安全理念是一個重要的舉措^[8]。本文設計的安全框架從三個方面確保安全性：終端可信接入、持續(xù)信任評估和動態(tài)訪問控制。首先，終端可信接入確保只有經(jīng)過身份認證的合法用戶才能接入系統(tǒng)，從而防止終端接入異常和誤操作的問題。其次，持續(xù)信任評估利用持續(xù)信任評估技術，對流量進行監(jiān)測和分析，及時發(fā)現(xiàn)和應對異常流量，從而有效防止橫向攻擊行為。最后，動態(tài)訪問控制根據(jù)用戶的身份、行為以及其他上下文信息，動態(tài)調(diào)整訪問權限，確保只有經(jīng)過授權的用戶才能訪問系統(tǒng)資源。該框架如圖1所示，具備終端可信接入、持續(xù)信任評估和動態(tài)訪問控制的核心安全能力，能夠為工控系統(tǒng)安全防護提供可靠的解決方案。

圖1 工控系統(tǒng)零信任安全框架圖

2.1　終端可信接入

在終端請求訪問主站應用層業(yè)務資源時，首先需要在可信接入?yún)^(qū)進行可信身份認證?；A身份認證包括用戶ID和密碼認證、設備硬件認證以及應用哈希認證等方式，以確保終端設備的真實身份，防止假冒或劫持?；A身份認證是零信任架構(gòu)的重要基礎。在基礎身份認證完成后，還需要進行多因素身份認證以增強安全性。這里采用單包授權認證的方法，將設備信息、應用信息和用戶信息組合在一個授權包中，利用fwknop等工具實現(xiàn)單包授權認證，確保接入工控系統(tǒng)的設備、應用和用戶的可信性。這樣的認證流程有效確保了訪問請求的合法性和安全性，為工控系統(tǒng)零信任安全框架提供了可靠的基礎。

2.2　持續(xù)信任評估

用戶通過可信身份認證后，則獲得對工控系統(tǒng)資源的基礎控制權限。然而，在用戶與工控系統(tǒng)通信期間，需要進行持續(xù)的信任評估。這一過程是零信任安全框架的核心環(huán)節(jié)之一，其功能是為上層動態(tài)訪問控制決策引擎提供訪問終端的授權策略依據(jù)。持續(xù)信任評估的實現(xiàn)方式是對用戶業(yè)務訪問流量進行基于基線的異常分析，包括對流量數(shù)據(jù)包的基礎特征和行為特征進行分析，并與用戶歷史行為對比，以確定用戶行為的可信度。通過采集用戶歷史流量數(shù)據(jù)并進行訓練，可以建立用戶流量基線，然后解析用戶實時流量數(shù)據(jù)并分析其行為特征，用作異常檢測的依據(jù)。在零信任網(wǎng)絡中，網(wǎng)絡通信被劃分為數(shù)據(jù)平面和控制平面。用戶通過數(shù)據(jù)平面與工控系統(tǒng)進行業(yè)務交互，而控制平面則用于發(fā)起接入申請。經(jīng)過信任評估、終端行為基線異常檢測以及訪問決策代理的處理，可以進行持續(xù)身份認證和動態(tài)授權，確保網(wǎng)絡通信的安全性和可信度。

2.3　動態(tài)訪問控制

動態(tài)訪問控制通過接收下層持續(xù)信任評估的相關信息，根據(jù)最小權限授予策略，基于基礎身份信任度、歷史訪問行為和動態(tài)行為信任度進行動態(tài)授權評價，是用戶訪問工控資源控制層的核心。動態(tài)訪問控制策略庫為用戶提供授權決策的依據(jù)，動態(tài)訪問控制策略庫包括身份信息庫、權限數(shù)據(jù)庫、終端風險信息庫和決策數(shù)據(jù)庫。通過大數(shù)據(jù)分析和人工智能技術，對用戶行為進行持續(xù)評估。

3　工控系統(tǒng)零信任安全防御體系建設

考慮到工控系統(tǒng)業(yè)務的復雜性和安全防御的多樣性需求，可以借鑒零信任安全等防護理念，建立適合工控系統(tǒng)業(yè)務發(fā)展和安全防護需求的縱深一體化防御體系^[9]。零信任理念默認網(wǎng)絡始終處于潛在的危險環(huán)境中，因此用戶身份信息、硬件設備信息、訪問過程中產(chǎn)生的行為信息以及數(shù)據(jù)流特征等多維數(shù)據(jù)可作為認證與鑒權的來源，以確定基于身份的權限授權范圍。針對工控系統(tǒng)復雜的組網(wǎng)結(jié)構(gòu)和業(yè)務接入特點，通過構(gòu)建基于零信任的縱深一體化防御體系，可以根據(jù)用戶不同業(yè)務的安全服務需求提供相應的安全保障。這種體系結(jié)構(gòu)能夠綜合利用多種安全策略和技術手段，包括但不限于身份認證、訪問控制、行為分析等，以確保工控系統(tǒng)的安全性和穩(wěn)定性。同時，該體系結(jié)構(gòu)能夠適應工控系統(tǒng)業(yè)務發(fā)展的需求，可以靈活應對不斷變化的安全威脅和攻擊手法，提高了系統(tǒng)的整體安全防御能力。

3.1　縱深聯(lián)動防御機制建設

構(gòu)建零信任的防御體系模型并不僅限于單一維度的防御技術應用，而是一個由點及面逐步建設推進的過程。這個體系的建設是聯(lián)動的、動態(tài)的、縱深的，并且涵蓋了多個維度。整體防御的零信任機制應該盡可能覆蓋更多的防御面，并確保這些面能夠聯(lián)動起來。這意味著，在構(gòu)建零信任的防御體系時，需要考慮到以下幾個方面：

聯(lián)動化：不同的防御措施之間需要聯(lián)動協(xié)作，形成一個整體的防御網(wǎng)絡。這樣可以確保在檢測到攻擊或威脅時，能夠及時響應并采取相應的防御措施。

動態(tài)式：零信任的防御體系需要能夠動態(tài)地適應不斷變化的威脅和攻擊手法。這包括實時監(jiān)測和分析網(wǎng)絡流量、用戶行為等信息，以及動態(tài)調(diào)整和優(yōu)化防御策略。

縱深式：防御體系應該是縱深的，即在不同的層面和環(huán)節(jié)都設置相應的防御措施，形成多層次的保護。這樣即使一層防御被繞過或攻破，仍然有其他層次的防御在起作用。

多維度：零信任的防御體系應該覆蓋多個維度，包括但不限于身份認證、訪問控制、行為分析、數(shù)據(jù)加密等。這樣可以從不同的角度對網(wǎng)絡和系統(tǒng)進行保護，提高了整體的安全性。

3.2　零信任SDP解決接入安全

SDP（Software Defined Perimeter，SDP）是由云安全聯(lián)盟開發(fā)的一種安全框架，它以身份為中心，融合多種判斷源，并動態(tài)控制對資源的訪問過程，旨在解決跨邊界企業(yè)數(shù)據(jù)中心資源訪問安全的問題^[10]。該設計采用單向敲門認證機制實現(xiàn)網(wǎng)絡隱身，從根本上防止網(wǎng)絡攻擊行為的產(chǎn)生，并進一步實現(xiàn)業(yè)務級資源的動態(tài)授權訪問。

零信任SDP架構(gòu)通過構(gòu)建SDP連接發(fā)起主機IH（即SDP客戶端）、SDP連接接受主機AH（即SDP網(wǎng)關）以及SDP控制器的三角架構(gòu)，打造零信任隱身網(wǎng)絡。這種架構(gòu)為業(yè)務打造無暴露面的隱身入口，在保障合法訪問無中斷的前提下，規(guī)避了來自網(wǎng)絡中攻擊者的滲透掃描和攻擊。

3.3　內(nèi)部東西向微隔離防御

微隔離（Micro Segmentation）是一種創(chuàng)建業(yè)務內(nèi)部最小化安全域的方法，旨在實現(xiàn)更細粒度的網(wǎng)絡安全控制^[6]。其目標是解決傳統(tǒng)的“串葫蘆式”安全防護手段所無法解決的橫向流量防護和云虛擬環(huán)境安全防護的問題。傳統(tǒng)的網(wǎng)絡安全防護通常是基于邊界的，將網(wǎng)絡分成內(nèi)部和外部兩個部分，并在邊界上部署防火墻、入侵檢測系統(tǒng)等安全設備來監(jiān)控和過濾流量。然而，隨著網(wǎng)絡的復雜性和云計算的普及，傳統(tǒng)的邊界安全措施已經(jīng)無法滿足對內(nèi)部流量的細粒度控制需求。微隔離通過將網(wǎng)絡劃分為多個最小化的安全域，使得不同的業(yè)務和應用之間的流量在網(wǎng)絡內(nèi)部也能得到有效的隔離和控制。這種方法可以根據(jù)業(yè)務需求和安全策略，對不同的業(yè)務進行細粒度的訪問控制，防止橫向攻擊和未經(jīng)授權的內(nèi)部訪問。同時，在云虛擬環(huán)境中，微隔離也可以幫助實現(xiàn)對虛擬機、容器等資源的安全隔離和控制，確保云環(huán)境的安全性?？偟膩碚f，微隔離技術通過創(chuàng)建最小化安全域，實現(xiàn)了更細粒度的網(wǎng)絡安全控制，為解決傳統(tǒng)安全防護手段無法應對的橫向流量防護和云虛擬環(huán)境安全防護提供了有效的解決方案。

3.4　身份識別與訪問管理

身份訪問管理技術（Identity and Access Management，IAM）是一種能夠?qū)⒕W(wǎng)絡環(huán)境中的應用系統(tǒng)、數(shù)據(jù)庫、主機、網(wǎng)絡設備和安全設備等資源的賬號認證、訪問控制和審計工作進行集中化整合的技術^[11]。在零信任體系中，構(gòu)建高級IAM能力可以實現(xiàn)對所有基于賬號的管理、認證、授權和審計進行集中的統(tǒng)一權限管理，從而提升身份識別與訪問管理的精細化控制。IAM技術的核心功能包括：

身份管理（Identity Management）：管理用戶、組織和設備的身份信息，包括賬號創(chuàng)建、管理、修改和刪除等操作。

訪問控制（Access Control）：控制用戶對系統(tǒng)資源的訪問權限，包括基于角色的訪問控制、基于策略的訪問控制等。

認證（Authentication）：確保用戶的身份是合法的，常見的認證方式包括密碼認證、多因素認證、單點登錄等。

授權（Authorization）：根據(jù)用戶的身份和權限策略，授予用戶對系統(tǒng)資源的特定訪問權限。

審計（Audit）：記錄和監(jiān)控用戶對系統(tǒng)資源的訪問行為，以便進行安全審計和追蹤。

通過集中化整合身份訪問管理技術，可以實現(xiàn)對網(wǎng)絡環(huán)境中各種資源的訪問管控，提高了系統(tǒng)的安全性和可管理性。在零信任體系中，IAM技術扮演著重要的角色，可幫助企業(yè)或組織建立起更加細粒度、動態(tài)化的訪問控制機制，可有效防止未經(jīng)授權的訪問和數(shù)據(jù)泄露等安全風險。

4　結(jié)論

綜上所述，本文從零信任安全框架設計、零信任安全防御體系建設兩個方面，對基于零信任機制的工控網(wǎng)絡安全防護進行了深入研究：從零信任的理念出發(fā)，以終端可信接入、持續(xù)信任評估和動態(tài)訪問控制三個方面出發(fā)，對工控系統(tǒng)網(wǎng)絡安全防護體系架構(gòu)進行了設計；通過分析工控系統(tǒng)實際業(yè)務需求，結(jié)合系統(tǒng)業(yè)務、網(wǎng)絡、數(shù)據(jù)的網(wǎng)絡安全防護要求，并借鑒不同維度的零信任方案，建立了基于縱深聯(lián)動防御機制建設、零信任SDP解決接入安全、內(nèi)部東西向微隔離防御和身份識別與訪問管理的縱深防御方案。零信任安全框架為整個工控系統(tǒng)的安全防護提供了基礎架構(gòu)，零信任安全防御體系則是基于這一框架的進一步防護機制，兩者互為支撐、相互依存，能夠為現(xiàn)代工控系統(tǒng)網(wǎng)絡安全防護提供一定的理論支持。

作者簡介：

陳　佳（1993-），女，山西太原人，助理實驗師，碩士，現(xiàn)就職于中國民航大學，研究方向為信息安全。

參考文獻：

[1] 王智民, 武中力. 基于零信任的工控系統(tǒng)勒索防御體系[J]. 工業(yè)信息安全, 2023, (4) : 50 - 71.

[2] 石進. 基于零信任機制的工控網(wǎng)絡安全防御技術研究[D]. 北京: 華北電力大學, 2022.

[3] 薛瑩. 基于零信任架構(gòu)的工業(yè)控制系統(tǒng)安全框架及仿真評價機制研究[D]. 蘭州: 蘭州理工大學, 2022.

[4] 向人鵬. 基于 "零信任" 的工業(yè)信息安全防護研究[C]/中國電機工程學會電力信息化專業(yè)委員會. 生態(tài)互聯(lián) 數(shù)字電力—2019電力行業(yè)信息 化年會論文集. 北京天地和興科技有限公司, 2019 : 4.

[5] 郭寶霞, 王佳慧, 馬利民, 等.基于零信任的敏感數(shù)據(jù)動態(tài)訪問控制模型研究[J]. 信息網(wǎng)絡安全, 2022, 22 (6) : 86 - 93.

[6] 王群, 袁泉, 李馥娟, 等. 零信任網(wǎng)絡及其關鍵技術綜述[J]. 計算機應用, 2023, 43 (4) : 1142 - 1150.

[7] 王今, 鄒純龍, 馬海群, 等. 基于零信任的公共數(shù)據(jù)平臺安全指數(shù)構(gòu)建研究[J]. 情報科學, 2023, 41 (8) : 18 - 24 + 36.

[8] 蔣寧, 范純龍, 張睿航, 等. 基于模型的零信任網(wǎng)絡安全架構(gòu)[J]. 小型微型計算機系統(tǒng), 2023, 44 (8) : 1819 - 1826.

[9] 史永飛. 云內(nèi)云外融合網(wǎng)絡安全縱深防御體系研究[J]. 都市快軌交通, 2022, 35 (6) : 59 - 63.

[10] 吳克河, 程瑞, 姜嘯晨, 等. 基于SDP的電力物聯(lián)網(wǎng)安全防護方案[J]. 信息網(wǎng)絡安全, 2022, 22 (2) : 32 - 38.

[11] 陳長松. 零信任架構(gòu)下的數(shù)據(jù)安全縱深防御體系研究[J]. 信息網(wǎng)絡安全, 2021, (S1) : 105 - 108.

摘自《自動化博覽》2024年8月刊