工业互联网安全框架
工业互联网安全框架
图2 P2DR模型
P2DR模型是一种基于闭环控制的动态安全模型，适用于需要长期持续安全防护的网络系统。从总体上来讲，该模型与OSI安全体系结构一样，都局限于从技术上考虑网络的安全问题，忽视了管理对于安全防护的重要性，在模型的具体实施过程中极有可能因安全策略执行的不当影响安全防护效果。
3Hale Waihona Puke IATF（InformationAssuranceTechnicalFramework，信息保障技术框架）是美国国家安全局于1998年提出的，该框架
安全威胁，化解各种安全风险，构建工业智能化发展的安全
可信环境。
（二）工业互联网安全框架内容与范围
工业领域的安全一般分为三类，信息安全（Security）、功能安全（FunctionalSafety）和物理安全（PhysicalSafety）。传统工业控制系统安全最初多关注功能安全与物理安全，即防止工业安全相关系统或设备的功能失效，当失效或故障发生时，保证工业设备或系统仍能保持安全条件或进入到安全状态。近年来，随着工业控制系统信息化程度的不断加深，针对工业控制系统的信息安全问题不断凸显，业界对信息安全的重视程度逐步提高。
（一）传统网络安全框架
1
OSI安全体系结构是国际标准化组织（ISO）在对OSI开放系统互联环境的安全性深入研究的基础上提出的。它定义了为保证OSI参考模型的安全应具备5类安全服务，包括鉴别服务、访问控制、数据完整性、数据保密性和不可抵赖性，以及为实现这5类安全服务所应具备的8种安全机制，包括加密、数字签名、访问控制、数据完整性、鉴别交换、业务流填充、路由控制以及公证。OSI安全体系结构如图1所示，安全体系结构中的5类安全服务及8种安全机制可根据所防护网络的具体要求适当地配置于OSI参考模型的7个层次中。
工业互联网体系架构 (版本2.0)202004
（版本 2.0）
2020 年 4 月
编写说明
当前，以新一代信息技术为驱动的数字浪潮正深刻重塑经 济 社会的各个领域，移动互联、物联网、云计算、大数据、人 工智 能等技术与各个产业深度融合，推动着生产方式、产品形 态、商 业模式、产业组织和国际格局的深刻变革，并加快了第 四次工业 革命的孕育与发展。而越来越清晰的是，工业互联网 是实现这一 数字化转型的关键路径，构筑了第四次工业革命的 发展基石。
本报告主要分为八个部分。第一部分介绍了工业互联网的内 涵与意义。第二部分回顾了体系架构 1.0 版本，并介绍 2.0 版本 的定位与作用。第三部分明确工业互联网体系架构 2.0 的设计方 法论，剖析工业互联网体系架构 2.0 的整体视图。第四部分深入 分析工业互联网体系架构 2.0 的业务视图，并给出产业、企业、 工厂等不同层面业务目标与应用方向。第五部分剖析工业互联网 体系架构 2.0 的功能架构，探究网络、平台、安全三大体系的功 能视图、现状分析、存在的问题，并指出未来的发展趋势。第六 部分着重分析工业互联网体系架构 2.0 的实施框架，描述网络 、 标识、平台、安全部分实施部署方式和关键要素。第七部分 对工 业互联网技术体系进行梳理。第八部分分析企业结合体系 架构互联网体系架构（版本 2.0）》编写过程中也获得了众 多专家的指导与帮助。特别感谢工业和信息化部信息通信管理局、 信息技术发展司、网络安全管理局等对报告的全面指导。报告编 制中，编写组就体系架构 2.0 设计关键问题先后征询了邬贺铨、 方滨兴、孙凝晖、于海斌、屈贤明、安筱鹏、吕卫锋、王飞跃、 韩秀成、赵敏、张俊等院士及专家意见，并结合意见对体系架构 2.0 进行了多次修改和完善。上海优也信息科技有限公司首席技 术战略官林诗万、上海宝信软件股份有限公司首席技术官丛力群、 华为集团标准与产业部首席产业规划专家史扬等专家为报告提 出了详细的建设性指导意见，为体系架构 2.0 研究和本报告撰写 提供了重要参考。此外，白皮书编写过程中也得到了联盟成员及 国内外众多企业的大力支持，结合自身实践经验提供大量素材， 对白皮书中观点的形成和完善提出了重要建议。
工业互联网平台标准体系框架介绍
工业互联网平台标准体系框架-背景
为促进工业互联网平台有序健康发展，由工业和信息化部信息化和软件服务业司指导， 工业互联网产业联盟（以下简称AII）启动了工业互联网平台标准体系框架的研究。
基于《工业互联网标准体系框架（版本1.0）》和《工业互联网平台白 皮书（2017）》对工业互联网平台标准体系进行细化，提出了工业互联 网平台标准体系建设的总体思路、基本原则、标准体系框架、重点标准 化方向及标准化推进建议。
工业互联网平台标准亟需加快研制。
工业互联网平台标准化工作机制有待创新。
全球工业互联网平台相关标准竞争加剧。
建议
推动产业协作开展工业互联网平台标准研制。
探索工业互联网平台标准制定的新模式。
推进工业互联网平台标准验证和标准推广。
9
积极参与国际标准研制。
P A G E 43
THANKS
（机理建模、机器学习、可视化）
工
平台层
业
（ 工 业 PaaS）
工业大数据系统（工业数据清洗、管理、分析、可视化等）
安 全
通 用 PaaS平 台 资 源 部 署 和 管 理
防
护
设备管理
资源管理
运维管理
故障恢复
IaaS层 边缘层
云基础设施（服务器、存储、网络、虚拟化）
设备接入
协议解析
边缘数据处理
6
数据采集是基础。利用泛在感
工业互联网平台起步于2013年， 2015年开始呈井喷式发展
2017
装备和自动化企业发挥工业制造技术、产品、经验和数据等积累优势，构建工业 互联网平台，典型代表如GE、西门子、ABB、和利时等。
2016
生产制造企业将自身数字化转型经验以平台为载体对外提供服务，如三一重工/ 树根互联、海尔、航天科工等
工业互联网安全防护体系规划框架与实施方案
一个物体、一些物体等都可以看作一个整体， 把这个整体平均分成若干份，这样的一份或几份都 可以用分数来表示。
一个整体可以用自然数 1 来表示，通常把它叫 做单位 “1”。
把单位 “1” 平均分成若干份，表示其中一份 的数叫分数单位。如23 ， 的分数单位是13 。
张课桌的长度是它
最粗直径的几分之
几?
1÷5 =
1 5
5m
1m
答: 一张课桌的长度是它最粗直径的 1 。 5
7. 我给大家买了 5 m 的红绸带。 表演这个节目需要 6 个女 生，平均每人分几米?
5÷6 =
5 6
(m)
答: 平均每人分
5 6
m。
8. 小明用 15 分钟走了 1 km 路，平均每分钟走几分 之几千米?
你能说出上面其他几个分数的分数单位吗?
3 的分数单位是 1 ， 5 的分数单位是 1 。
4
46
6
每人分
( (
1 3
) )
包。
这包饼干有 12 块，我
们把它平均分了吧。
( (
1 3
) )
包是
_4__块。
1 把 1 个蛋糕平均分给 3 人，每人分得多少个?
想: 求每人分得多少个，要算 1÷3 得多少。
1÷15
=
1 15
(km)
答:
平均每分钟走
1 15
km。
生活就像海洋，只有意志 坚强的人，才能到达彼岸。
──马克思
3÷4 =
3 4
(m2)
3÷5 =
3 5
(m2)
答: 种 4 种花，每种花平均占地 3 m2； 4
工业互联网垂直平台的信息安全保障体系构建
2021.01 /55工业互联网垂直平台的信息安全保障体系构建文│众能联合数字技术有限公司 张海港经过近4年的政策指引，工业互联网平台已经融合产业链上下游企业走向了市场化，并演变出双跨平台引领，垂直平台百花齐放的局面，其信息安全也出现了三个演进趋势：面向垂直平台保障的安全体系1.0向产业上下游融合保障的2.0体系；面向大数据、人工智能、物联网等先进技术的安全方案逐步走向落地；此外随着我国隐私数据法律法规的出台，隐私合规是工业互联网信息安全的第三个发展趋势。
本文将以典型工业垂直平台企业信息安全体系构建的案例，介绍三个趋势在实际落地的一些实践过程。
一、工业互联网平台发展趋势工业互联网的发展从智能制造政策导向，向2020年的各行业垂直领域市场导向演变。
2015年国务院先后发布了《中国制造2025》以及《关于深化制造业与互联网融合发展的指导意见》，以加快新一代信息技术与制造业深度融合为主线，围绕制造业与互联网融合的关键环节，促进产业转型升级。
2020年工信部发布《关于推动工业互联网加快发展的通知》，首要任务是加快新型基础设施建设，明确四项工作——改造升级工业互联网内外网络、增强完善工业互联网标识体系、提升工业互联网平台核心能力、建设工业互联网大数据中心，代表了工业互联网重点发展方向。
此外，国家“十四五”依然将工业互联网定位新基建的战略发展方向。
新基建为工业互联网基础设施建设指路，为融合应用做强“数字底座”，赋能制造业转型升级。
其过程中细分出各个垂直行业的特有创新业务模式，以价值链导向的业务多形态百花齐放。
二、垂直平台安全发展趋势工业互联网信息安全保障体系将工业互联网平台1.0中以网络、平台、安全的框架，延伸到工业互联网平台安全的全产业链保障，更多地面向物联网安全接入和平台上下游企业生态数据安全和行业安全扩展。
其中垂直平台数字化转型过程的安全保障趋势，目前初步形成三条落地路径，一是在垂直行业层面，通过对各种生产要素和资源的连接及优化配置，变革业务流程，形成新的商业模式。
01 工业互联网安全初级 安全态势 v1
目录第1节. 工业互联网概述第2节. 工业互联网安全概述01工业互联网概述PART ONE内容概览1.工业互联网概念2.工业互联网体系架构3.工业互联网技术体系工业互联网概念•工业互联网（Industrial Internet）——开放、全球化的网络，将人、数据和机器连接起来，属于泛互联网的目录分类。
它是全球工业系统与高级计算、分析、传感技术及互联网的高度融合。
•工业互联网的本质和核心是通过工业互联网平台把设备、生产线、工厂、供应商、产品和客户紧密地连接融合起来。
可以帮助制造业拉长产业链，形成跨设备、跨系统、跨厂区、跨地区的互联互通，从而提高效率，推动整个制造服务体系智能化。
还有利于推动制造业融通发展，实现制造业和服务业之间的跨越发展，使工业经济各种要素资源能够高效共享。
工业互联网内容•工业互联网将整合两大革命性转变之优势：其一是工业革命，伴随着工业革命，出现了无数台机器、设备、机组和工作站；其二则是更为强大的网络革命，在其影响之下，计算、信息与通讯系统应运而生并不断发展。
事实上，工业互联网的概念国内一直都有，而非仅仅是舶来品。
•伴随着这样的发展，三种元素逐渐融合，充分体现出工业互联网之精髓：•智能机器：以崭新的方法将现实世界中的机器、设备、团队和网络通过先进的传感器、控制器和软件应用程序连接起来。
•高级分析：使用基于物理的分析法、预测算法、自动化和材料科学，电气工程及其他关键学科的深厚专业知识来理解机器与大型系统的运作方式。
•工作人员：建立员工之间的实时连接，连接各种工作场所的人员，以支持更为智能的设计、操作、维护以及高质量的服务与安全保障。
全球工业发展趋势时间18世纪末工业1.0创造了机器工厂的“蒸汽时代”20世纪初电力广泛应用蒸汽机信息物联系统1970年代初今天工业2.0将人类带入分工明确、大批量生产的流水线模式和“电气时代”工业3.0应用电子信息技术，进一步提高生产自动化水平自动化、信息化工业4.0开始应用信息物理融合系统（CPS ）复杂度✓目标：建立一个高度灵活的个性化、数字化产品与服务的生产模式✓关键点：“原材料（物质）”=“信息”。
钢铁行业工业互联网安全解决方案
钢铁行业工业互联网安全解决方案钢铁行业工业互联网安全解决方案1概述1.1背景伴随着互联网信息技术、工业自动化技术的革命性突破和全球经济一体化的发展，工业互联网应运而生，并迅速成为热门技术，已经成为钢铁行业不断研究和持续探索的热点课题。
经过近几年的发展，钢铁工业互联网的推广普及已经成为工业经济发展提供了更多的内驱力。
为更好地激发工业互联网的技术潜能，引领工业互联网技术实现技术应用开发。
钢铁工业互联网是满足工业智能化发展需求，具有低时延、高可靠、广覆盖特点的关键网络基础设施，是新一代信息通信技术与先进制造业深度融合所形成的新兴业态与应用模式。
网络体系是实现连接钢铁行业工业系统、全价值链、全产业链的基础，包括网络互连、标识解析、应用支撑三大体系。
数据包括“采集交换-集成处理-建模分析-决策与控制”，形成优化闭环，驱动工业智能化。
安全是钢铁行业工业互联网各个领域和环境的安全保障，包括设备安全、控制安全、网络安全、应用安全和数据安全等。
为加速提升工业互联网的应用质量与效果，为我国的经济结构调整、动能转换贡献力量，全面推进“中国制造2025”和“互联网+”行动计划，有必要围绕国家网络安全法和网络安全等级保护制度加强对钢铁行业工业互联网信息安全领域解决方案的研究。
1.2适用范围钢铁行业工业互联网。
1.3在工业互联网网络体系架构中的位置本解决方案在下图中所处的位置为⑦。
图 1 工业互联网互联示意图2需求分析2.1钢铁行业工业互联网脆弱性分析2.1.1操作系统漏洞PC 与 Windows 的技术架构现已成为控制系统上位机的主流。
而在控制网络中，上位机是实现与 MES 通信的主要网络结点，因此其操作系统的漏洞就成为了整个控制网络信息安全中的一个短板。
操作系统漏洞频繁出现，安全事故时有发生。
以Windows XP 版本为例，就曾被发现了大量漏洞，典型的如输入法漏洞、IPC$漏洞、RPC 漏洞、Unicode 漏洞、IDA&IDQ 缓冲区—369 —溢出漏洞、Printer 溢出漏洞、Cookie 漏洞等等。
工业互联网标准体系
一、工业互联网发展情况（一）工业互联网体系架构工业互联网通过系统构建网络、平台、安全三大功能体系，打造人、机、物全面互联的新型网络基础设施，形成智能化发展的新兴业态和应用模式，见图1所示。
图1 工业互联网体系架构其中，网络体系是工业互联网的基础，将连接对象延伸到工业全系统、全产业链、全价值链，可实现人、物品、机器、车间、企业等全要素，以及设计、研发、生产、管理、服务等各环节的泛在深度互联，包括网络联接、标识解析、边缘计算等关键技术。
平台体系是工业互联网的核心，是面向制造业数字化、网络化、智能化需求，构建基于海量数据采集、汇聚、分析的服务体系，支撑制造资源泛在连接、弹性供给、高效配置的载体，其中平台技术是核心，承载在平台之上的工业APP技术是关键。
安全体系是工业互联网的保障，通过构建涵盖工业全系统的安全防护体系，增强设备、网络、控制、应用和数据的安全保障能力，识别和抵御安全威胁，化解各种安全风险，构建工业智能化发展的安全可信环境，保障工业智能化的实现。
新模式新业态是我国工业互联网的特色应用。
我国工业企业、信息通信企业、互联网企业积极开展工业互联网应用探索和模式创新，形成了智能化生产、个性化定制、网络化协同、服务化延伸等诸多新模式新业态。
（二）工业互联网重点领域标准化发展情况1 网络与联接在传统工业网络领域，虽然我国自主研发的工厂自动化用以太网（EPA）、面向工业过程自动化的无线网络（WIA-PA）等技术已成为国际标准，但在工业互联网整体产业和技术方面基础仍较为薄弱，急需制定相应标准。
目前，联盟已发布或在开展《工厂内网工业EPON系统技术要求》、《工业互联网标杆网络工厂外网技术要求》标准制定，随着工业互联网的发展，需要在时间敏感网络(TSN)、软件定义网络（SDN）、第五代移动通信技术（5G）、支持互联网协议第六版(IPv6) 、确定性网络（DetNet）、低功耗无线网络、工业无源光纤网络（PON）、工业无线等重点领域加快技术标准及产业布局。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
（一）传统网络安全框架分析——P2DR模型
P2DR模型引入动态安全的理念，将网络安全的实施分为防护、检测和响应三个阶段。在整体安全策略的指导下部 署安全防护措施。
防护Protection 部署防护手段阻止安全威胁
响应Response 发现并及时截断可疑数 据并启动相关报警信息
9
检 测 Detection 对网络进行实时监测 和定期检查，建立完 善的审计系统
增强设备、网络、控制、应用 和数据的安全保障能力
识别和抵御安全威胁 化解各种安全风险
4
（三）国家高度重视工业互联网发展，安全成为工业互联网关键要素
十九大报告
✓ 加快建设制造强国，加快发展先进 制造业，推动互联网、大数据、人 工智能和实体经济深度融合
✓ 推动新型工业化、信息化、城镇化、 农业现代化同步发展
Internet
管理信息层
防火墙
现场控制层
工程师站
操作员站
现场设备层
PLC1
离心泵
Hale Waihona Puke 路由器身份认 证系统
交换机
数据单向 传输装置
交换机
路由器
交换机
PLC2
PLC3
办公终端
远程访问 服务器
公共历史 服务器
内部历史 服务器
服务器1
入侵检测
断路器 闸阀
链路防护
构 建 VPN 等 安 全 传输通道， 实现 对链路传输数据 的安全防护
5
苗部长部署2018年工业和信息化工作
✓ 深入实施工业互联网创新发展战略， 开展工业互联网发展“323”行动，实 施工业互联网三年行动计划…实施工 业互联网安全防护提升工程
（四）工业互联网安全框架的重要性
联盟已发布的《工业互联网体系架构（版本1.0）》 工业互联网安全体系
设备 控制 应用 网络 数据
《深化“互联网+先进制造业”发展工业互联 网的指导意见》
✓ 促进实体经济振兴、加快转型升级
✓ 引导企业提高网络安全防护能力…围 绕汽车、电子、能源、航空航天等重 点制造领域建设网络和平台安全保障 管理与技术体系
苗圩部长解读十九大报告
✓ 实施工业互联网创新发展战略， 加快构建新一代信息基础设施， 打造网络、平台、安全三大体 系，抢占数字经济发展主动权 和话语权
工业互联网深刻变革传统工业的创新、生产、管理、服务方式， 催生新技术、新模式、新业态、新产业
繁荣数字经济
新基石
创新网络国际治理
新途径
统筹两个强国建设
新引擎
3 3
（二）工业互联网的三大体系
网络体系是基础
将连接对象延伸到工业全系统、 全产业链、全价值链：
全要素：人、物品、机器、 车间、企业等
各环节：设计、研发、生产、 管理、服务
安全配置&管理
安全监测&分析
通信&连接保护 端点保护
终端-云
数据保护
安全模型&策略
安全模型&策略 数据保护安全策略 终端安全策略 安全策略通信&连通性 安全策略监测&分析 ... 安全配置&管理 终端识别管理 终端配置&管理 终端监测&分析 通信配置&管理 ... 安全监测&分析 数据保护的监测&分析 监测的安全模型&策略 ... 通信&连接保护 网络配置&管理 网络监测&分析 通信终端保护 连通性的物理安全 ... 端点保护 终端标识 终端信任根 终端物理安全 终端数据保护 ... 数据保护 静态数据 动态数据 使用数据 ...
安全保障
纵深防御策略 安全三要素
人
技术
操作
网络&基础 设施
纵深防御区域划分
网络边界
计算环境
支撑性基础设施
KMI/PKI 监测&响应
突出特点：通过对四个部分分别部署安全保障机制，形成对网络系统的纵深防御，最大限度降低安全风险，从而保障系统
的安全性。
局限性：实现的都是对网络系统的静态安全防护，并未对网络系统部署动态持续的安全防护措施。
通信管控
基于协议深度 解 析， 实现对 通 信 内容的全面 管控
突出特点：采用纵深防御的安全防护策略，将技术与管理有机结合。 局限性：实现的是静态安全防护，没有考虑动态安全防护的思路。
11
（二）美国IIC工业互联网安全框架分析
美国IISF从实施视角出发，以安全模型和策略作为总体指导，部署通信、端点、数据、配置管理、监测分析等方面 的安全措施。
实现泛在深度互联
平台体系是核心
工业智能化发展的核心载体：
海量数据汇聚与建模分析 制造能力标准化与服务化 工业知识软件化与模块化 各类创新应用开发与运行 支撑生产智能决策、业务模式
创新、资源优化配置、产业生 态培育
安全体系是保障
工业智能化的安全可信环境：
建设满足工业需求的安全技术 和管理体系
明确5大安全防护对象
提
升
安
全
工业互联网安全框架
能
力
内容聚焦网络安全，主要解决工业互联网面临的网络攻
指导工业互联网相关
击等新型风险，同时考虑与功能安全和物理安全的关系
企业部署安全措施
6
1 工业互联网安全概述 2 相关网络安全框架分析 3 工业互联网安全框架设计 4 工业互联网安全防护措施实施 5 工业互联网安全发展趋势与展望
7
（一）传统网络安全框架分析——OSI安全体系结构
OSI安全体系结构定义了5大类安全服务和8类安全机制，可根据具体系统适当地配置于OSI模型的七层协议中。
突出特点：采用了分层的思想，层与层间相互
独立，具有很好的灵活性。
局限性：只专注于网络通信系统和静态防护技
术，对于持续变化的内外部安全威胁缺乏足够的监 测与应对能力，因而无法满足更复杂更全面的信息 保障的要求。
10
（一）传统安全框架分析——IEC62443
IEC62443将工业控制系统按照控制和管理的等级划分成相对封闭的区域，区域之间的数据通讯通过管道进行，通 过在管道上安装信息安全管理设备来实现分级保护，进而实现控制网络的纵深防御。
区域划分
按照业务不 同 划分安全区 域
边界隔离
加入防火墙、单 向传输等装置 实 现对网络边 界 的 隔离防护
突出特点：基于闭环控制的
动态安全模型。适用于需要长 期持续安全防护的系统。
局限性：局限于从技术上考
虑网络的安全问题，忽视了管 理对于安全防护的重要性。
（一）传统网络安全框架分析——IATF
IATF提出保障信息系统安全应具备的三个核心要素：即人、技术和操作。同时，将网络系统的安全防护分为网络 和基础设施防御、网络边界防御、计算环境防御和支撑性基础设施防御四部分。
工业互联网安全框架
1 工业互联网安全概述 2 相关网络安全框架分析 3 工业互联网安全框架设计 4 工业互联网安全防护措施实施 5 工业互联网安全发展趋势与展望
2
（一）工业互联网发展具有重大意义
工业互联网是满足工业智能化发展需求，具有低时延、高可靠、广覆盖特点的关键网络基础设施，是新一代信息 通信技术与先进制造业深度融合所形成的新兴业态与应用模式。