推进“中国制造2025”的网络信息安全威胁分析

（国家无线电频谱管理研究所，陕西 西安 710061）

1 引言

2015年5月20日，我国正式公布了实施制造强国战略第一个十年计划的行动纲领《中国制造2025》。创新驱动战略的实施和《中国制造2025》的公布，将为我国制造业的赶超发展提供难得的历史机遇。但是，网络信息安全威胁也将如影随行地伴随“中国制造2025”的推进而进入智能制造的各个环节。

因此，研究和分析智能制造中网络信息安全威胁的新特征，并提出预防关键环节网络信息安全威胁的路径是本文的主要目标。

2 智能制造颠覆传统商业模式网络安全威胁的特征

李克强总理在2015年政府工作报告中指出，要实施“中国制造2025”战略规划，坚持创新驱动、智能转型、强化基础、绿色发展，加快从制造大国转向制造强国。“中国制造2025”其本质是工业信息化的智能化，其中网络是神经，大数据是血脉，信息安全是保障。在“中国制造2025”背景下，世界变成了一个巨大的物联网，形成了全覆盖的云环境，人类生产过程、产品形态、流通渠道和服务对象，呈现出一体化趋势，产品与消费者之间将达到空前的默契。

因此，“中国制造2025”的推进与实施将出现区别于己有互联网商业模式所呈现的网络安全威胁，主要表现在：

（1）颠覆了己有的互联网商业模式，网络安全威胁严重影响物质形态和特性的异化。回顾互联网商业模式的发展历程，至今最为成功的是以阿里为代表构建的开放平台式互联网商业模式。阿里打造了一个无所不有、无所不能和无所不及的开放平台，持续刺激开放平台的整体参与率、活跃度和购买力，以“软硬结合”的创新商业模式和“开放平台”利润模式，为所有人创造便捷的网上交易渠道，形成了巨大的新兴市场，催生出新的产业链和产业集群，并不断刺激新的消费服务需求产生，带动信息消费市场快速扩张。但是，在阿里互联网商业模式的所有变化与演进中，都是组织、交易、流通与服务的变革与升级，其网络安全威胁并未涉及与影响标的物的物理特性与物理形态的变化。

当互联网技术融入智能制造，便可实现产品的数据化、智能化，实现远程操控、实时感应。运用大数据和云计算建立统一的智能管理服务平台，各生产设备可以自发地实现信息交换、自动控制和自主决策，以及产品的实时监控与预警、维护，提高稳定性和各环节整体协作效率。可见，在智能制造中网络安全威胁不但可能会侵入产品“创意—设计—生产—消费—服务”的各环节，还将影响和改变产品的物理特性与物理形态，并将由于网络信息威胁的侵入使之异化，形成智能制造中的网络安全威胁新特征。

（2）智能制造中信息物理系统（CPS，Cyber-Physical System）成为网络安全威胁的核心目标。由于CPS中物理部件处于开放的环境中，其信息隐藏的程度受限，CPS中的设备极易暴露位置信息与时间信息，容易造成潜在的信息被物理攻击。而当前的推理技术与数据挖掘技术也难以保障CPS中海量数据的隐私与安全，CPS如何应对网络安全威胁成为研究热点。例如，由于处于开放环境，网络间通信的延迟、抖动以及计算任务运行时的调度算法，都将影响CPS的效率与性能。另外，CPS的运行牵涉时间攸关的计算任务与安全攸关的控制任务，如何在保证实时约束下实现控制性能最优，成为CPS运行中对抗网络威胁的难点。

（3）开放环境中智能制造存在受到攻击的风险。在当前的框架下，存在利用物理空间的部件对信息空间进行攻击的危险。例如，可利用电磁干扰影响与破坏智能制造系统与环节中计算部件的运行，也可以利用信息空间的部件对物理空间进行攻击。大规模信息攻击可以引发大规模精确的物理攻击，其破坏力远远大于目前的计算机与网络攻击。IDC发布的报告显示，2013年全球恶意代码样本数目正以每天可获取300万个的速度增长，云端恶意代码样本已从2005年的40万种增长至目前的60亿种。继“震网”和“棱镜门”事件之后，网络基础设施遭遇全球性高危漏洞侵扰，“心脏流血”漏洞威胁我国境内约3.3万网站服务器，Bash漏洞影响范围遍及全球约5亿台服务器及其他网络设备，基础通信网络和金融、工控等重要信息系统安全面临严峻挑战。所以，智能制造将面临更为严峻的网络安全考验。

（4）智能制造安全标准缺失的挑战。仅仅实现装备的高度自动化、数字化、智能化，其实并不能完全保障智能制造发挥作用，还需MES（制造执行管理系统）、ERP（企业资源计划）和工控等软件的集成应用，确保生产作业计划的准确性和企业资源的优化配置。不仅要有一流的硬件设施，还需要提供一流的软件和服务。然而，上述的所有智能系统都需要统一完善的智能制造安全标准作为重要基础。目前，我国智能制造标准制订工作已经启动，参照国际标准化组织和国际电工协会联合制定的IEC62264标准，结合我国制造业发展实际情况制订的智能制造标准化体系，其中包括工业大数据、工业互联网标准、信息安全标准等。但令人担忧的是，以德国西门子、美国通用公司为代表的国际制造业巨头，正各自牵头所属国家的企业制订智能制造的相关标准，并力推上升为国际标准。而我国至今还没有一家在国际上，甚至于在国内处于引领地位的制造业巨头可参与竞争。标准权的旁落必然带来国际话语权的缺失。

由上可见，网络和信息安全是实现“中国制造2025”目标的基石，也是实现“中国制造2025”目标的薄弱环节。

3 智能制造中工控系统（ICS）网络信息安全面临新挑战

工业控制系统（ICS）是智能制造中的核心环节之一。《2013年中国ICS信息安全市场研究》报告显示，据不完全统计，超过80%涉及国计民生的关键基础设施依靠工业控制系统实现自动化作业，工业控制系统已成为国家安全战略的重要组成部分。迈克菲（McAfee）在其发布的《2012年威胁预测报告》中展望未来十大安全威胁，其中工业系统面临的安全威胁位居首位，其原因就是很多工业控制系统尚未做好应对网络攻击的准备。

随着计算机和互联网的发展，特别是信息化与工业化的深度融合以及物联网的快速发展，工业控制系统的安全问题越来越突出。相对安全、相对封闭的工业控制系统已经成为不法组织和黑客的攻击目标，黑客攻击正在从开放的互联网向封闭的工控系统蔓延。目前，工业控制系统信息安全威胁主要包括黑客攻击、病毒、数据操纵、蠕虫和特洛伊木马等。有统计显示，工控网络恶意软件的数量呈现大幅度增长的态势，2014年产生了3.17亿个，同比增长26%。如果没有防护措施，这些病毒会利用工控系统的安全漏洞，在网络中进行自我复制和传播，感染工业控制计算机或攻击可编程控制器，攻击手段包括直接攻击PLC控制器的病毒（Stuxnet）、间接攻击的病毒（Dragonfly/Havex）和可自我复制的恶意软件（Conficker/Kido）等。

另外，我国大多数工控企业核心产品和技术来自国外企业，短时间内难以改变国内中高端工业软件市场被外国公司占据的现状。据统计，我国22个行业的900套工业控制系统主要由外国公司提供，其中数据采集与监控系统（SCADA）国外产品占比55.12%，分布式控制系统（DCS）国外产品占比53.78%，过程控制系统（PCS）国外产品占比76.79%，在大型可编程控制器（PLC）中外国产品则占据了94.34%的份额。

我国的工业控制系统信息安全起步相对较晚，工业控制系统的安全防护能力比较薄弱。因此，加快工业控制系统信息安全的制度建设，制定工业控制系统信息安全的标准，提升工业控制系统信息安全的保障能力等，都是“中国制造2025”战略落实中急需解决的课题。

4 智能制造中云安全与大数据安全亟待提升

云服务是实现智能制造不可或缺的重要组成部分，是智能制造赖以发展的新的基础设施。因此，云计算安全是智能制造产业快速发展和应用的重要前提。知名网络安全Garner公司预测称，在2015年，30%的中小企业的安全控制将基于云，到2018年超过一半的组织机构将建立专注于数据保护、安全风险管理及安全基础设施管理的云安全。

据分斩，在智能制造云计算环境中存在多种网络安全威胁，包括：

（1）拒绝服务攻击。指攻击者让目标服务器停止提供服务甚至令主机死机。如攻击者频繁地向服务器发起访问请求，造成网络带宽的消耗或者应用服务器的缓冲区满溢，该攻击使服务器无法接收新的服务请求，其中包括合法客户端的访问请求。

（2）中间人攻击。攻击者拦截正常的网络通信数据，并进行数据篡改和嗅探，而通信的双方却毫不知情。

（3）网络嗅探。网络嗅探本是用来查找网络漏洞和检测网络性能的一种工具，但是黑客将网络嗅探变成一种网络攻击手段，使之成为严峻的网络安全问题。

（4）端口扫描。一种常见的网络攻击方法，攻击者通过向目标服务器发送一组端口扫描消息，从而破坏云计算环境。

（5）SQL注入攻击。这是一种安全漏洞，攻击者利用该安全漏洞，可以向网络表格输入框中添加SQL代码以获得访问权。

（6）跨站脚本攻击。攻击者利用网络漏洞，以提供缓冲溢出、DoS攻击和恶意软件植入Web浏览器等方式以盗取用户信息。

（7）数据保护。云计算中的数据保护成为非常重要的安全问题。由于用户数据保存在云端，因此需要有效地管控云服务提供商的操作行为。

（8）数据删除不彻底。主要原因是数据副本已经被放置在其他服务器中，在云计算中具有极大风险。上述云计算环境中存在着的网络安全威胁，必然会反映在智能制造云计算的安全中。因此，自主创新、安全可控是云计算的根本。

同时，大数据安全也是智能制造中非常重要的保障条件。据赛门铁克公司调查资料显示，2014年157个国家和地区的监测数据表明，其数据泄露总量较2013年增加了23%，数据泄露的主要原因占比分别为：攻击者占49%、意外泄露和设备被盗或丢失占43%以及内部偷窃8%。

首先，需要从技术层面为大数据的信息安全保驾护航。智能制造中需要和产生海量信息，这加大了信息泄露的风险，但同时它也为信息安全服务商找出了数据中的风险点以提供支持。对实时安全和商务数据结合在一起的数据进行预防性分析，可提高识别非法网络行为的能力，从而防止钓鱼攻击、诈骗和阻止黑客入侵。同时，利用大数据技术整合计算和处理资源，有助于更有针对性地应对信息安全威胁，找到攻击的源头。

其次，大数据安全需要法律监管。长期以来，国际网络规则和秩序是由美国制定并把持着，“棱镜门”暴露出互联网被美国一家垄断的严重缺陷，需要通过国际社会的共同努力，制定国际网络管理规则，真正建立起国际网络监管制度，这将是解决网络安全问题的关键。同时完善国内信息安全的相关法律法规，制定大数据的技术标准和运营标准。启动大数据立法，解决数据隐私保护、数据主权归属问题，并规定相应的法律责任。严厉打击威胁信息安全的违法犯罪活动，以保护智能制造大数据的安全。

5 结束语

《中国制造2025》提出明确目标，到2025年，我国将迈入制造强国行列。因此，切实保障推进“中国制造2025”时面临的网络信息安全问题，着力提升网络信息安全的主动防御能力，完善网络信息安全法律法规建设，优化智能制造网络信息安全产业发展环境，急需成为要深刻认知并付诸实施的实际行动。

[1] 张棉棉. 国务院印发《中国制造2025》文件[EB/OL].(2015-05-20). http://news.china.com.cn/rollnews/news/live/2015-05/20/content_32782088.htm.

[2] 刘涛.“互联网+”战略指引中国工业制造业走向2025[EB/OL]. (2015-04-27). http://news.ccidnet.com/art/1032/20150427/5824151_1.html.

[3] 饶晔,刘润生,张丽娟. 德国“工业4.0”中的网络安全[EB/OL]. (2014-07-22). http://www.qstheory.cn/science/2014-07/22/c_1111731349.htm.

[4] 叶雷. 互联网转型、互联网化与“互联网+”[EB/OL]. (2015-04-18). http://news.163.com/15/0418/10/ANFQI2KC00014AED.html.

[5] 菲尼克斯电气. 智能制造与工业4.0时代的信息安全[EB/OL]. (2015-02-27). http://www.iianews.com/ca/_01-ABC00000000000236785.shtml.

[6] 马丹. 赛门铁克报告分析网络安全威胁新动向[EB/OL].(2015-04-16). http://news.xinhuanet.com/newmedia/2015-04/16/c_134155071.htm.

[7] 陈铭松,黄赛杰,李昂. CPS研究热点概述[J]. 中国计算机学会通讯, 2013,9(7): 8-16.

[8] 李留申. 工业控制系统信息安全推荐性国家标准发布[EB/OL]. (2014-12-06). http://gongkong.ofweek.com/2014-12/ART-310021-8480-28910378.html.

[9] 陈星,贾卓生. 工业控制网络的信息安全威胁与脆弱性分析与研究[J]. 计算机科学, 2012(S2): 188-190.

[10] 蹇旭,李雯雯. 云计算中的网络安全问题及对策研究略[J]. 电脑知识与技术, 2013(14): 3253-3255.