关于工业互联网数据安全防护探索

牟特 陈伟

关键词：工业互联网;数据安全;防护探索

随着工業企业产品生产制造与生产管理环节的数据上云与APP应用，云端关键数据价值密度聚合，扩大了云服务工业数据方面的安全风险。一方面，在工业互联网平台数据多路径管理条件下，黑客入侵后容易窃取相关数据。另一方面，由于工业企业在数据化管理条件下，赋予了数据在业务经营中的较多功能，因而，一旦局部发生数据安全问题，容易引发系统性安全风险。所以，在“十四五”建设新时期，为了全面推进工业与数字化融合发展，仍然需要强化工业互联网数据安全防护工作。具体分析如下：

1、工业互联网平台数据生命周期概述

当前，我国工业企业建立的互联网平台主要以“终端工业设备数据采集-中端生产制造数据传输-PC端数据存储与分析”为基本应用路径。从工业互联网平台数据生命周期的结构设计分析，包括了“四大层次”与“三大环节”，并且借助大大环节与四大层次的密切对应实现平台数据生命周期管理。具体而言，首先，以终端工业设备为载体，通过安装传感器或执行器，可以完成对终端工业设备的数据采集与传输。其次，可以将终端工业设备关联到边缘计算层，利用“环节一”的数据汇聚功能，关联到平台数据生命周期管理系统。第三，将“环节二”中存储数据物理单元对应到工业云基础设施层（IaaS）、将数据分析中的“建模、挖掘、决策、存储、清洗、管理”对应到工业云平台服务层（PaaS），为平台数据生命周期管理系统提供技术支持与数据分析。第四，在工业应用层（SaaS）可以完成与“环节三”数据应用方面的迁移、销毁、共享、访问、发布。从而构建起以数据采集与传输、数据汇聚、数据存储、数据分析、数据应用为基本流程的工业互联网平台数据生命周期管理体系。工业互联网平台数据生命周期见下图1：

在工业互联网数据安全防护中，其风险主要发生在数据生命周期管理诸环节，因而，在数据汇聚、数据分析、数据应用三大环节，均存在相应的安全威胁。分述如下：

2.1数据汇聚风险

工业互联网中的数据采集与传输以工业终端设备为主，此类设备由边缘网关、智能传感器构成，虽然在边缘层可以借助专门的数据汇聚管理保障数据收集与聚合的稳定性、安全性。但是，当前阶段工业企业在产品生产制造过程中，通过智能化控制，提高了生产效率，从而使工业生产制造、生产管理生成的数据速度随之增强，扩大了数据体量。一方面，在不同的产品生产制造产业链条环节中，数据接口存在差异、数据格式标准有所不同。因而，在工业互联网数据生命周期管理过程中，数据接收软件的多元化使用，提高了结构的复杂性，进而使平台边缘层的攻击面也随之扩大。另一方面，我国工业企业改革过程中，主要以旧设备改造与新设备增添作为实践方式，在这种条件下，终端工业设备与边缘设备计算资源相对有限，加上设备的计算能力与安全防护能力相对较弱。因而，容易给数据窃听、数据拦截、数据篡改、数据泄漏等留下一定的空间，轻者造成数据差误，严重时可能因虚假数据导致整个数据汇聚后的“无用”与“误用”。也可能通过对边缘层数据接收端的后门或漏洞进行触发与攻击，造成对所有关联设备与生产系统的破坏等。

2.2数据分析风险

在工业互联网平台数据生命周期管理体系中，数据分析占据着关键地位，一旦发生风险，将会造成不可逆的损失。例如，在工业云基础设施层，主机设备与磁盘阵列等组件数量相对较多、类型多元，工业数据在进入工业互联网平台之前，受到硬件物理属性的限定，容易出现人为的数据窃取、数据篡改。同时，在虚拟化软件栈、虚拟机系统方面，由于数据存储与分析过程中，需要借助虚拟机信道、镜像等方式进行数据抽取与转换及加密。可是，在虚拟机交互应用时，跨虚拟机侧信道也容易受到网络攻击。尤其在镜像篡改方面，因攻击手段的新颖性与隐蔽性，容易使攻击者快速完成对核心工业数据的窃取与加密密钥信息的篡改，甚至对虚拟机的控制等。所以，借助工业云基础设施层，极容易渗透到工业互联网平台数据生命周期管理系统的主机层，进而对产品生产制造与生产管理进行数据控制等。再如，在工业云平台服务层中，大部分工业企业因数据管理中心建设成本较高，往往选择了与第三方机构的合作方式。此时，工业企业的数据网络与第三方服务机构的数据网络，实际上已经完成了数据关联。当第三方服务机构提供服务的过程中（如IaaS与PaaS服务），也不能排除因技术瓶颈或知识产权问题而将服务运行支持系统关联到第四方、第五方服务机构等。所以，在这种技术链条拉长的情况下，工业互联网平台数据生命周期管理第二环节的数据分析在任何节点，均潜藏着网络攻击的隐患。

2.3、数据应用风险

工业互联网平台数据应用，与整个工业企业产品生产制造产业链条密切对应，尤其在现代工业企业产品研发设计环节、物料采购运输环节、订单多元处理环节、市场渠道销售环节、售后服务环节，专业分工程度越来越高。此时，工业企业需要将市场与企业生产目标定位进行数据关联分析，并结合产业链上、中、下游的资源分布情况，合理的配置本企业中的各项生产要素等。所以，在数据应用层，工业企业实际上是要将数据分析报告提供的参数与建议，对接到对某个项目立项与决策、产品生产研发设计等环节，确保整个生产制造、生产管理要素配置的精准性与及时性。尤其在应用程序方面，工业企业已经将PC端与移动客户端进行了对应设置，当工业应用程序反馈相关信息后，需要及时的做出特定工业专门下的任务调整。因此，一旦数据应用层的集成封装低耦合工业微服务组件，在编码环节发生问题。任何一个工业应用程序中的出现的漏洞或受到的病毒侵入，均可能通过移动客户端进入PC端的数据应用层，并对工业数据应用诸部分造成威胁。例如，在数据发布与共享方面，可能会发生访问授权验证问题，在数据迁移过程中，也可能发生安全级别变更的情况。尤其在数据销毁时，受到病毒的影响，极容易发生数据残留，并通过残留数据完成对工业数据的窃取等。

3、工业互联网平台数据生命周期安全防护策略

3.1围绕数据生命周期，建设安全防护体系

首先，新时期关于工业互联网数据安全防护问题的研究相对较多，普遍认为在量子通信尚未正式投入工业领域之前，应该遵循统一规划、分步实施的思路，在“系统性设计与配套性实践相结合”的方式下，以工业企业智能化发展为目标，再结合工业互联网数据安全防护需求制定具体策略。

其次，应该对工业互联网平台数据生命周期管理系统中的三大环节进行细化处理，以“数据产生-数据传输-数据存储-数据共享-数据使用-数据销毁”为基本构成内容，针对每个数据管理流程进行全要素分析。从而理清安全防护思路，将工业互联网数据安全防护转换到对整个工业互联网平台数据生命周期的安全防护层次。

第三，借助智能工厂数据安全、OT网数据安全、工业互联网平台数据安全、工业互联网数据安全分析与预警、数据安全审计与泄漏防护子系统等，实现对工业互联网数据生命周期的安全防护建设。

3.2明确定位发展目标，研发安全防护方案

首先，以现阶段工业与数字化融合发展方向为准，将工厂定位为智能工厂，扩大智能工厂数据安全防护范围。例如，通过数据脱敏、数据备份恢复、数据监控审计等办法，建立IT数据安全防护系统。同时，通过数据审计、分类分级、访问控制、存储加密、传输加密、数据采集方面的OT网数据安全防护系统建设，保障智能工厂数据安全的全面防护。当前，大部分企业主要以建立数据泄漏、数据安全审计子系统，确保整个智能工厂数据安全防护的实现。其中包括了数据安全交换、脱敏、采集传输子系统。

其次，需要将智能工厂数据安全防护，具体到工业互联网平台数据安全防护方面，利用同样的方法，建立针对工业互联网平台数据管理生命周期的数据安全防护系统。这样，有利于智能工厂转型升级路径安全的条件下，强化工业互联网平台安全防护措施。

第三，为了保障安全防护体系应用的有效性，一般以工业互联网数据安全分析与预警平台建设作为保障机制。例如，通过全要素分析方法进行数据安全要素展示、利用数据风险评估对数据安全进行关联分析、结合数据安全事件处置范例库进行事件处置方法抓取、利用数据监测进行数据安全预警通告，以及借助数据安全分析与预警推动数据安全业务各方面的安全防护等。工业互联网平台数据生命周期安全防护架构见下图2：

4 、结束语

总之，自我国改革开放以来，实践经验已经证实了工业是一个国家获得向好发展的重要途径。在数字化时代，虽然我国已经从产业结构调整与优化的角度，推动了数字化工业的全面转型升级工作。但是，工业互联网的应用过程中，数据安全问题也逐渐成为数字化工业向智能工业深化发展的风险因素。因此，在工业与数字化融合发展的当前阶段，應该以明确的工业智能化发展目标为准，从数据安全防护的角度出发，积极剖析工业互联网数据风险类型、导致风险产生的原因，从而在因果逻辑限定条件下，科学、合理的创建一些有效的安全防护方案。

参考文献：

[1]赵骥，齐晓锐，吴教丰，等.未来工业互联网松耦合结构理论、分析、评估及实现平台[J].计算机集成制造系统，2021，27（5）：1249-1255.

[2]刘霞，宋卫，范小军.区域工业互联网生态系统的建设研究[J].技术经济与管理研究，2021，15（4）：95-99.

[3]樊佩茹，李俊，王冲华，等.工业互联网供应链安全发展路径研究[J].中国工程科学，2021，23（2）：56-64.

[4]沈也明，李贝贝，刘晓洁，等.基于主动学习的工业互联网入侵检测研究[J].信息网络安全，2021，6（1）：80-87.