态势感知平台在智能制造领域的解决方案研究

闫怀超，徐 超

(上海工业自动化仪表研究院有限公司，上海 200233)

0 引言

中国智能制造处于初级的发展阶段，特别是在智能化方面，相比在20世纪70年代就已经发力智能制造的西方发达国家，中国智能制造发展起步已经晚了几十年[1]。智能制造发展经历了机械代替人工，到人力辅助的半自动化，再到初步智能化。随着信息技术和自动化技术的高速发展，未来会由初步智能化向个性化、定制化的智能制造方向发展。在我国“互联网+”、“中国制造2025”战略部署和“两化深度融合”的大趋势下，发展智能制造产业已是必然的趋势。但是，智能制造系统在开发设计、部署实施及运行维护阶段对安全尤其是信息安全考虑甚少。在系统运行过程中，控制系统运行失效、系统宕机、信息泄露、感染蠕虫病毒等安全事件时有发生。智能制造企业在安全防护方面大多面临着以下问题。第一，检测能力不足。对于安全威胁无法做到及时发现，也会出现误报甚至可能带来重大损失。第二，响应能力不足。对于大型企业来说，网络边界的不断扩大与安全人员的缺乏一直成反比例关系，应急响应能力也是差强人意。第三，应用安全不足。 智能控制系统复杂，如果不及时更新，应用的漏洞得不到及时修补，留下了极大的安全隐患。保障智能制造系统安全运行，减少系统在计划以外的停机时间，建立更稳定、更高效、更安全的工业体系，已成为当下研究的重要议题。

本文以国内某电气设备公司建立的智能工厂为例，基于智能工厂已采取的信息安全防护工作的现状，采用态势感知技术，构建了企业级的态势感知平台。该平台对现有的信息安全防护体系进行了优化，加强了智能工厂在安全预警、漏洞检测、应急响应等方面的能力，保障了业务的连续性。

1 态势感知平台简介

“态势感知”作为近年来的新兴词汇，逐渐展露出其技术的优势。态势感知是以信息安全系统收集到的海量数据为基础，从整体的角度提升业务系统对安全威胁的发现与识别、理解与分析、响应与处置等能力的一种方式。对于智能制造企业而言，建设企业级安全态势感知平台非常重要[2]。平台的建立可以解决企业内典型网络安全设备的安全日志等信息的实时集中汇集、综合分析、态势感知、实时异常报警、人员安全培训等问题，可有效提升智能制造行业网络安全监测和态势感知能力，实现网络安全事件和风险的监测、分析、审计、追踪溯源和风险可视化；增强工控网络安全情报共享和预警通报能力，实现跨部门之间信息共享和预警通报的通道，做到信息共享和预警通报及时、客观、准确、完整，切实提升智能制造企业网络安全的应急指挥和处置能力。

企业级态势感知平台是一款面向汽车电子、智能制造、石油石化、能源等行业等客户，专注于系统风险的分析、发现、评估、可视化的平台。企业级态势感知平台功能如图1所示。平台专注于从网络入侵预警、流量检测、设备漏洞、高危行为、安全策略优化五大部分进行安全态势感知，能够覆盖各种安全运营场景。

图1 企业级态势感知平台功能示意图Fig.1 Enterprise-level security situational awareness platform capabilities

企业级态势感知平台逻辑架构如图2所示。

图2 企业级态势感知平台逻辑架构图Fig.2 Enterprise-level security situational awareness platform logical architecture

平台采用数据采集、数据存储、大数据分析和应用服务四层逻辑架构设计[3]，以自动化平台运维系统和安全技术服务体系为保障。

①数据采集层。

为实现监测平台的价值，首先需要对安全相关数据做到全网采集，形成统一的数据池，为应用系统开发提供基础支撑。采集数据包括安全设备数据、资产数据、安全事件等信息。

②数据存储层。

数据存储层为整个系统提供了底层的数据存储服务，工业信息安全集中化监测平台需要采集存储分析海量数据。因此，为了支持本地海量数据的存储与快速查询，数据中心采用Logstash & ElasticSearch(NoSql)的智能检索引擎，支持大量的数据搜索请求和数据存储等需求，从而获得更高的查询性能。

③大数据分析层。

大数据分析层为上层应用系统提供数据加工、统计、计算等相关能力[4]。该层根据数据处理方式的不同，又分为实时计算与离线计算两部分模块。其中，实时计算主要用于处理大量告警以实现对高价值告警信息的筛选和过滤。同时，该层可以针对这类告警输出实时的统计分析结论，进行告警归并处理；并在上层提供多种查询、分析及计算引擎以支撑不同的应用子系统，为上层应用系统提供数据支撑。

④应用服务层。

根据平台建设目标和实际业务需求，应用服务层提供包括工业安全监测、态势感知呈现、资产管理、预警通报处理、资产分析管理、情报信息管理、应急资源管理、应急协调调度等业务应用模块[5]。

⑤安全技术服务保障体系。

工控安全综合管理平台综合了本地和云端的安全服务专业技术人员，需要根据实际需求对相关服务内容进行选择，各岗位之间紧密配合。

企业级态势感知平台可以收集各种安全数据，利用大数据技术结合威胁情报进行集中处理、关联分析，再利用可视化技术，将各种安全事件进行可视化呈现，为安全运营提供可靠的信息数据支撑[6]。平台专注于从网络入侵、流量检测、设备漏洞、高危行为、安全策略优化五大部分进行安全态势感知，能够覆盖各种安全运营场景。

2 项目简介及问题分析

2.1 项目背景

北京某电气设备公司(以下简称“公司”)的智能工厂骨干网是工厂的核心网络系统。加固后的网络架构如图3所示。

图3 加固后的网络架构图Fig.3 Reinforced network architecture diagram

核心网络系统的基本业务包括：Internet接入及基本的DNS、Mail等基本网络服务；对TC卷、TCweb、MES、EP、文件、SVN服务等其他业务系统的互联、承载和传输。

根据业务类型，可以把该核心网络的功能分为以下三个部分。

①互联网接入服务：通过电信专线接入方式，向移动接入用户提供访问互联网接入服务，向内部员工提供Internet接入服务，并为集团用户提供VPN接入服务[7]。另外，为了配合接入业务的需要，网络还提供了DNS、Mail等基本服务。

②业务承载服务：提供内部业务系统之间的互联互通。目前，核心网络上承载的业务系统主要包括：TeamCenter、ERP、MES、WMS、OA、CRM、SVN、IP-GUARD、FTP、FAB等系统不同网元的互联互通[8]。

③网络互联：该层网络作为集团网络的一部分，提供了与集团下游公司、其他系统的互联。

通过对公司信息安全基本现状放进行科学、全面的调研分析，准确了解了各单位各信息系统的功能作用、系统架构以及在安全方面存在的隐患和弱点[9]；按照“分区分域、边界防护”的原则，最终完成了顶层信息安全设计和基础安全加固工作。现有网络架构主要实现以下功能。

①按照不同区域，划分VLAN，实现办公网和服务器区之间的逻辑隔离。

②在外网和办公网之间增设边界防护，包括防火墙、上网行为管理。

③移动用户如需接入公司WiFi热点，需要先通过身份认证后，才可连入。

2.2 问题分析

虽然公司对信息安全基本现状进行了科学、全面的调研分析，并针对安全方面存在的隐患和弱点作了相应的信息安全加固，但经过对资产、脆弱性和威胁进行识别，重新进行信息安全风险评估，发现公司智能制造系统仍存在以下问题。

①应用系统对安全控制措施的要求不明确。

②业务连续性层面的制度不完备。

③部分服务器有管理员密码一致的情况。

④缺乏手段对监控人员进行行为审计。

⑤对日志中的异常行为的跟踪和分析不完善。

⑥缺乏对应急预案的定期演练和测试。

⑦IPS等网关型设备缺乏有效的配置、管理和维护，导致链路中断。

⑧服务器和终端都直接连接核心H3C交换机上，存在比较大的安全风险。

⑨在内部核心系统，没有网络入侵监控措施，对内外网非法用户的入侵行为以及蠕虫感染活动不能及时检测和控制。

此外，各集团系统各子系统的安全控制与措施大多独立考虑，部分系统甚至缺少基本的安全策略。安全主线和安全规划只解决了局部问题，而未能从整体解决安全问题，从而降低了整体的安全效率，造成多个信息安全孤岛的出现。

由以上总结可看出，目前公司的安全技术架构、安全技术手段的使用效率、管理和运维体系的完备性和执行程度上都还有很大的改进、提升、完善空间。

3 解决方案设计

根据公司风险评估发现的问题，提出以态势感知系统为核心，安全策略、管理体系、技术体系和运维体系共同支撑公司信息安全保障体系框架。

在安全策略方面，应用态势感知平台的监测信息库、现场环境库与威胁情报库的信息资源，结合自身的安全环境，制订完善的信息安全策略体系文件，解决公司应用系统对安全控制措施、安全主线和安全规划不足的问题。

在管理体系方面，将“安全策略方面”提出的目标和原则形成具体的、可操作的信息安全管理制度，组建信息安全组织机构；结合态势感知平台在应用服务层中部署的态势感知呈现、资产管理的功能，加强对人员安全的管理，提高全行业的信息安全意识和人员的安全防护能力，解决运维人员操作不规范、信息安全意识不足的问题。

态势感知平台解决方案如图4所示。态势感知平台将在互联网接入服务、业务承载服务以及网络互联等关键节点处部署采集服务器，对核心交换设备、服务器进行数据采集并上传至数据处理库。经过数据的预处理、数据格式化、数据过滤、数据归并操作，进入大数据分析层，经过大数据的分析，最终通过态势感知呈现功能，展示给用户。用户基于本平台，可高效地实现资产安全状况的统一管理和安全风险的智能分析，使工业企业的利益受损风险降低，从而有效解决公司因缺乏相关信息安全预警与防护设备带来的风险和问题。

在运维体系方面，制订和完善各种流程规范，制订阶段性工作计划，结合态势感知平台应用服务层的检测评估、预警通报处理、应急协调调度、应急资源管理等功能，开展信息安全风险评估，规范产品与服务采购流程；同时，坚持做好日常维护管理、应急计划和事件响应等方面的工作，以保证安全管理措施和安全技术措施的有效执行。

公司建成的态势感知平台包含了以下三方面：第一，态势感知平台安全设备运维模块，实现对所属工控安全设备的统一集中管理，提升运维人员工作效率，降低出错风险；第二，态势感知平台智能分析模块，实现对企业或行业的工业信息安全整体安全感知；第三，态势感知平台可视化监管模块，实现了安全风险从发现到预警到处置的流程闭环，通过贴近用户场景的显示屏，能够全方位地了解当前网络的资产分布和威胁态势[9-10]。

图4 态势感知平台解决方案Fig.4 Situational awareness platform solution

4 结论

企业级态势感知平台采用安全可控的技术，对生产系统、设备、平台的安全状况、风险隐患及企业安全管理运行情况等信息进行实时监测与安全趋势预测，实现对网络安全监测信息的分类汇聚、精准研判。平台能有效帮助公司提高对自己业务系统的安全监测能力，切实保障智能制造过程的连续性和可靠性。对于中小企业来说，网络安全需求主要还是运行可靠性和对降本增效、节能环保方面带来的影响。企业级态势感知平台让企业在少投入，甚至不投入的情况下，就可以对自身业务系统有一定安全风险认识。在发生工业信息安全问题或事件时，该平台能对企业进行及时和正确的安全引导，从而避免因为信息安全而导致的生产、运营事故的发生，降低对企业自身的经济损失和社会影响，确保企业的品牌和声誉。未来可通过开展智能制造网络安全试点示范，不断提炼和总结有效的经验和模式，形成行业的最佳实践经验，保障智能制造的安全发展。