工业互联系统分析与设计 课件 第八章-工业互联网安全

工业互联网

IndustrialInternet01第八章工业互联网安全——课时安排本次课时任务时间80分钟（2课时）主要学习内容工业数据安全（0.5课时）；工业网络安全（0.5课时）；工业应用安全（0.5课时）；工业互联网安全架构（0.5课时）。主要目标了解工业互联网安全的背景与发展历程；了解工业中常见的安全保障方式。2工业互联网架构回顾工业互联网2设备音频；设备辐射；……订单信息;客户需求变更；……机器触感；机器温度；……信息感知产品位置；机器人位置；人的位置；……视觉传感器（摄像头）温度传感器红外传感器压力传感器烟雾传感器……数据传输蓝牙通信蜂窝通信有线通信以太网卫星通信……数据处理机器学习数据挖掘数据融合人工智能大数据……决策应用服务安全管理……平台层全过程都需要安全保证第八章工业互联网安全38.1工业数据安全4第八章工业互联网安全—工业数据安全工业数据安全概念工业数据作为新型生产要素，是数字化、网络化、智能化的基础，已快速融入生产、分配、流通等各环节，保障数据安全，事关国家安全大局。加快提升工业领域数据安全保护能力，可以助力工业高质量发展，夯实新型工业化发展的安全基石。5第八章工业互联网安全—工业数据安全节点认证技术节点认证技术是一种用于验证和授权参与区块链网络的节点身份的技术。它确保只有经过验证的节点才能参与到网络中，从而保障网络的安全性和可靠性。常见的节点认证技术包括ProofofWork（工作量证明）和ProofofStake（权益证明）。6第八章工业互联网安全—工业数据安全ProofofWork工作量证明（PoW）通过计算一个数值(nonce)，使得拼揍上交易数据后内容的Hash值满足规定的上限。在了解pow共识机制前，我们先了解下比特币区块的结构，下图是比特币区块的结构图：7第八章工业互联网安全—工业数据安全ProofofWork基于比特币的PoW机制，以比特币工作量证明（PoW）证明的流程主要经历三步：1.生成Merkle根哈希2.组装区块头3.计算出工作量证明的输出8第八章工业互联网安全—工业数据安全ProofofStake在2011年，在一个比特币论坛中一位名为QuantumMechanic的用户提出一项技术，他称之为"权益证明(proof-of-stake)"。基础概念是，让每个人互相竞争挖矿是很浪费的。因此相反的是，权益证明通过选举的形式，其中任意节点被随机选择来验证下一个区块。9第八章工业互联网安全—工业数据安全ProofofStake与工作量证明相比，权益证明具有以下优势:1、能效更高–无需在工作量证明计算中使用大量能源2、门槛更低、硬件要求下降–无需购买高性能硬件以便获得创建新区块的机会3、中心化风险降低–权益证明应该可以增加保护网络安全的节点10第八章工业互联网安全—工业数据安全数据加密技术数据加密技术是一种保护数据安全的方法，通过对数据进行转换，使其在未经授权的情况下变得不可读或不可理解。这些技术通常涉及使用密钥来加密和解密数据。常见的数据加密技术包括对称加密、哈希函数、数字签名。11第八章工业互联网安全—工业数据安全对称加密对称加密采用单钥密码系统的加密方法，同一个密钥用来加密和解密，常见的对称加密算法有DES，3DES，AES，RC2，RC4，RC5等。工作过程如下所示：流程看起来很简单，但是发送方和接收方都得保管好密钥，如果密钥被别人知道了，那么数据传输也就不安全了。12第八章工业互联网安全—工业数据安全哈希函数哈希（Hash）算法，即散列函数。它是一种单向密码体制，即它是一个从明文到密文的不可逆的映射，只有加密过程，没有解密过程。13第八章工业互联网安全—工业数据安全数字签名数字签名（又称公钥数字签名）是只有信息的发送者才能产生的别人无法伪造的一段数字串，它是一种类似写在纸上的普通的物理签名，但是在使用了公钥加密领域的技术来实现的，用于鉴别数字信息的方法。14第八章工业互联网安全—工业数据安全差分隐私技术差分隐私是一种隐私保护技术，旨在允许对数据进行统计分析，同时保护个体的隐私。其核心思想是在对数据进行分析之前，向数据中添加控制的噪声，以混淆个体数据的贡献，从而防止针对个别数据的推断攻击。该技术主要分为两种：局部差分隐私、全局差分隐私。15第八章工业互联网安全—工业数据安全局部差分隐私局部差分隐私旨在保护个体的隐私，同时允许对数据进行统计分析。每个个体在本地对数据进行噪声处理，然后再上传至数据处理中心。这样可以确保个体数据的隐私，因为数据处理中心无法得知具体个体的信息。16第八章工业互联网安全—工业数据安全全局差分隐私全局差分隐私旨在保护整个数据集的隐私，同时允许对数据进行统计分析。在全局差分隐私中，数据处理中心直接在原始数据上施加噪声，然后进行分析。这种方法不会泄露个体的具体信息，因为所有个体的数据都被噪声化处理。第八章工业互联网安全178.2工业网络安全18第八章工业互联网安全—工业网络安全工业网络安全概念工业网络安全是指保护工业控制系统（ICS）和操作技术（OT）网络免受网络攻击、数据泄露和未经授权的访问的一系列措施和技术。它主要关注于保护工业设施、制造设备、传感器、控制系统等关键基础设施，以确保其正常运行、数据完整性和生产安全。19第八章工业互联网安全—工业网络安全网络脆弱性网络脆弱性指的是网络系统或网络设备中存在的漏洞、缺陷或错误，可能被攻击者利用以进行未经授权的访问、数据泄露或其他恶意活动。网络脆弱性可以是软件漏洞、配置错误、弱密码、未经授权的访问等问题，它们可能会导致安全事件和数据泄露。20第八章工业互联网安全—工业网络安全网络结构强韧性

21第八章工业互联网安全—工业网络安全网络脆弱性组成系统的个体不同，个体的属性差异越大，系统的异质程度越高。个体间的作用关系不同，作用关系的属性差异越大，系统的异质程度越高。具有不同属性节点（通讯、输电）的电网系统通讯节点输电节点22第八章工业互联网安全—工业网络安全网络鲁棒性网络鲁棒性指的是网络系统对于各种威胁和攻击的抵抗能力，即网络系统在受到攻击或发生故障时仍能保持正常运行和提供服务的能力。网络鲁棒性包括网络系统的弹性、容错性和恢复能力，它们可以帮助网络系统应对各种挑战和威胁，保障网络的稳定性和可用性。23第八章工业互联网安全—工业网络安全传输过程认证技术传输过程认证技术是一种用于验证数据在传输过程中的完整性和真实性的技术。它确保数据在传输过程中没有被篡改、窃听或伪造，从而保护通信的安全性。常见的传输过程认证技术包括：消息认证码（MAC）、数字证书和安全通信协议（SSL）。24第八章工业互联网安全—工业网络安全MAC

MAC是一种基于密钥的认证技术，用于验证消息的完整性和真实性。它通过对消息和密钥进行哈希或加密运算生成一个固定长度的认证标签，接收方使用相同的密钥来验证认证标签。25第八章工业互联网安全—工业网络安全SSL

SSL（SecureSocketsLayer）是一种用于保护网络通信安全的加密协议。它建立在传输层（TransportLayer）之上，用于在客户端和服务器之间创建加密连接，确保数据在传输过程中的保密性和完整性。SSL的主要功能包括：加密通信、身份认证、数据完整性。26第八章工业互联网安全—工业网络安全密钥协商技术密钥协商技术是指在通信双方之间安全地协商出共享密钥的技术，以便用于后续的加密通信。这些技术确保在不安全的通信环境中，双方可以生成一个共同的密钥，而无需直接传输该密钥。以下是一些常见的密钥协商技术：RSA密钥交换、Diffie-Hellman密钥交换（Diffie-HellmanKeyExchange，DH）。27第八章工业互联网安全—工业网络安全RSA密钥交换

RSA密钥交换是一种使用RSA算法来安全地交换密钥的技术。尽管RSA主要用于加密和数字签名，但它也可以用于密钥交换，以便双方能够安全地协商一个对称密钥，用于后续的加密通信。28第八章工业互联网安全—工业网络安全Diffie-Hellman密钥交换Diffie-Hellman密钥交换是一种公钥交换协议，允许两方在不安全的通信通道上安全地协商出一个共享密钥。该共享密钥随后可以用于加密后续的通信内容，确保数据的机密性和完整性。。29第八章工业互联网安全—工业网络安全路由计算路由计算是网络中决定数据包从源节点到达目标节点所经过的路径的过程。这个过程涉及使用各种算法和协议来计算最佳路径，以确保数据包能够高效、可靠地传输。路由算法可以分为两大类：静态路由算法和动态路由算法。30第八章工业互联网安全—工业网络安全静态路由算法静态路由算法（StaticRoutingAlgorithm）是一种手动配置路由的方式，适用于网络结构相对固定和小规模网络。静态路由算法由网络管理员手动设置路由条目，每个路由器在其路由表中预先配置到达各个网络的路径。这些路由条目不会自动根据网络拓扑变化进行调整。31第八章工业互联网安全—工业网络安全动态路由算法动态路由算法（DynamicRoutingAlgorithm）是一种根据网络拓扑和路由器之间的通信动态调整路由表的方式。与静态路由相比，动态路由算法能够自动感知网络拓扑的变化，并据此更新路由信息，以确保数据包能够以最佳路径传输到目的地。第八章工业互联网安全328.3工业应用安全33第八章工业互联网安全—工业应用安全工业应用安全概念工业应用安全是指工业互联网平台安全和工业应用软件安全。指支撑工业互联网业务运行的应用软件及平台的安全，包括各类移动应用。34第八章工业互联网安全—工业应用安全设备指纹设备指纹包括一些固有的、较难篡改的、唯一的设备标识。比如设备的硬件ID，像手机在生产过程中都会被赋予一个唯一的IMEI(InternationalMobileEquipmentIdentity)编号，用于唯一标识该台设备。它的基本功能就是为互联网上每个设备生成唯一且稳定的标识。35第八章工业互联网安全—工业应用安全设备指纹工作流程：36第八章工业互联网安全—工业应用安全设备指纹

指纹技术主要分主动式和被动式两种。主动式设备指纹识别技术需要主动的得到设备的配合获取相应的信息，由于近年来各国用户隐私标准愈加严格，再加上需要得到设备的配合，纯粹主动式设备指纹识别技术的应用场景越来越受限。

被动式设备指纹识别技术则坚持在不主动获取终端设备信息情况下，就达到识别准确设备的目的。相较于主动式，被动式设备指纹识别技术的准确率受到技术壁垒的限制，较难提高，只有少数公司在这项技术上得到业内专家及企业的认可。37第八章工业互联网安全—工业应用安全设备指纹

在实际应用中，除了主动式和被动式，还有第三种设备指纹技术，那就是混合式设备指纹识别技术。

混合式设备指纹技术指将主动式和被动式设备指纹技术整合在同一个设备识别与跟踪的架构中，将主动式设备指纹技术在客户端生成的设备标识符，与被动式设备指纹技术在服务器端收集的、协议栈相关的特征信息对应起来，使得所有的设备都有一个唯一的设备识别ID。混合式设备指纹技术融合了主动式和被动式设备指纹技术各自的优点，在准确识别设备的同时，扩大了设备指纹技术的适用范围。38第八章工业互联网安全—工业应用安全数字水印

数字水印（DigitalWatermarking）指把一些标识信息（即数字水印）直接嵌入数字载体当中或是间接表示（修改特定区域的结构），且不影响原载体的使用价值，也不容易被探知和再次修改。数字水印可以被生产方识别和辨认，通过隐藏在载体中的信息，可以达到确认内容创建者、购买者、传送隐秘信息或者判断载体是否被篡改等目的。39第八章工业互联网安全—工业应用安全数字水印

数字水印框架：40第八章工业互联网安全—工业应用安全数字水印

数字水印特点：（1）鲁棒性：数字水印必须难以被除去，试图除去或破坏数字水印应导致水印文本严重降质而不可用；（2）隐蔽性:数字水印应是不可见的，即水印的存在不应明显干扰被保护的数据，不影响被保护数据的正常使用；（3）安全性:数字水印中的信息应是安全的，难以被篡改或伪造，只有授权方可以进行水印的检测；（4）盲检测性:水印检测过程不需要原始的、未嵌人水印的载体信息。这一方面简化了水印的检测，另一方面则是为了加强水印的安全性。41第八章工业互联网安全—工业应用安全防火墙和安全威胁识别技术

防火墙指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障。换句话说，防火墙是一种高级访问控制设备，置于不同网络安全域之间，它通过相关的安全策略来控制（允许、拒绝、监视、记录）进出网络的访问行为。42第八章工业互联网安全—工业应用安全防火墙和安全威胁识别技术

网络攻击一般分为拒绝服务型攻击、扫描窥探攻击和畸形报文攻击三大类。

拒绝服务型DoS（DenialofService）攻击是使用大量的数据包攻击系统，使系统无法接受正常用户需求，或者主机挂起不能正常工作。主要DoS攻击有SYNFlood、Fraggle等。

43第八章工业互联网安全—工业应用安全防火墙和安全威胁识别技术

扫描窥探攻击是利用ping扫描（包括ICMP和TCP）来标识网络上存活着的系统，从而准确地指出潜在的目标。利用TCP和UDP等进行端口扫描，就能检测出操作系统的种类和潜在的服务种类。

44第八章工业互联网安全—工业应用安全防火墙和安全威胁识别技术

畸形报文攻击是通过向目标系统发送有缺陷的IP报文，使得目标系统在处理这样的IP包时会出现崩溃，给目标系统带来损失。主要的畸形报文攻击有PingofDeath、Teardrop等。

45第八章工业互联网安全—工业应用安全防火墙和安全威胁识别技术

完全内容检测（深度包检测）可以看做是IDS(入侵检测)和IPS(入侵防御)技术的结合。下图是完全内容检测防火墙的技术原理。46第八章工业互联网安全—工业应用安全入侵检测技术

入侵检测是用于检测任何损害或企图损害系统的保密性，完整性或可用性的一种网络安全技术。通过监视受保护系统的状态和活动，采用误用检测（MisuseDetection）或异常检测（AnomalyDetection）的方式，发现非授权或恶意的系统及网络行为，为防范入侵行为提供有效的手段。

入侵检测系统需要解决两个问题：·如何充分并可靠地提取描述行为特征的数据。·如何根据特征数据，高效并准确地判定行为的性质。47第八章工业互联网安全—工业应用安全入侵检测技术

入侵检测原理框图：48第八章工业互联网安全—工业应用安全入侵检测技术

从系统构成上看，入侵检测系统应包括数据提取，入侵分析，响应处理和远程管理四大部分，另外还可能结合安全知识库，数据存储等功能模块，提供更为完善的安全检测及数据分析功能。49第八章工业互联网安全—工业应用安全入侵检测技术

根据任务属性的不同，入侵检测系统的功能结构可分为两个部分：中心检测平台和代理服务器。中心检测平台和代理服务器之间通过安全的远程过程调用（RemoteProcedureCall，RPC）进行通信。50第八章工业互联网安全—工业应用安全生物认证技术

生物认证技术是指自动使用生物学或行为学特征决定或验证个体身份的技术。主要分为生理特征和行为特征两类，其中生理特征是先天具有的，包括手形、指纹、脸形、虹膜、视网膜、脉搏、耳廓等；行为特征是后天形成的，包括签字、语音、步频、按键力度等。51第八章工业互联网安全—工业应用安全生物认证技术——指纹识别

指纹识别是最古老的生物特征识别，其概念被大众所熟悉，所以现代指纹识别技术容易被人接受，只需要少量指导便可实现轻松采集。此外，指纹特征占据的存储空间较小，设备轻巧，易于和移动设备结合。但是，由于指纹是暴露在外面的表皮纹理，其结构信息会受到灰尘、油、水等环境因素的影响；断纹、无指纹以及脱皮和伤痕等问题影响图像采集质量，导致指纹识别困难。52第八章工业互联网安全—工业应用安全生物认证技术——虹膜识别

虹膜和指纹有相同的特性：独一无二，私人专享，且不易随时间而大幅改变。所以，这就成为了虹膜识别的依据。但是目前为止虹膜识别还没有普及，因为虹膜识别需要庞大的分析系统和计算系统附着于摄像头之后，而且设备的造价很昂贵。这就注定现阶段的虹膜是无法运用于手机等小型电子设备上的。另外，目前的虹膜技术对黄种人的虹膜识别还存在一定的精度误差。53第八章工业互联网安全—工业应用安全生物认证技术——人脸识别

人脸识别，是基于人的脸部特征信息进行身份识别的一种生物识别技术。用摄像技术/扫描技术采集含有人脸的图像或视频流，并自动在图像中检测和跟踪人脸，进而对检测到的人脸进行脸部的一系列相关技术，通常也叫做人像识别、面部识别。

缺点：人类脸部存在相似性，很难做到精准识别；光线、化妆、整容等仍然会影响人脸整体识别结果；人脸存在易变性，表情、年龄、角度等使人脸的外形很不稳定。54第八章工业互联网安全—工业应用安全生物认证技术——声纹识别

声纹识别就是把声信号转换成电信号，再用计算机进行识别。其优势主要在于适合远程身份确认，只需要一个麦克风或电话、手机就可以通过网路(通讯网络或互联网络)实现远程登录。

缺点：同一个人的声音具有易变性，易受身体状况、年龄、情绪等的影响；不同的麦克风和信道对识别性能有影响；环境噪音对识别有干扰；混合说话人的情形下人的声纹特征不易提取。第八章工业互联网安全558.4工业互联网安全架构56第八章工业互联网安全工业互联网安全挑战2020年我国工业互联网持续遭受来自境外的网络攻击，平均攻击次数达121次/日，比2019年提升了43%。工业云平台、工业控制系统承载着大量接入设备、业务系统，拥有重要敏感数据，成为网络攻击的重点对象。网络攻击将导致工业控制系统中断，重要数据泄露，甚至停工停产等严重后果。ICS网络面临严峻安全挑战I-Internet(工业互联网)工业以太网逐步替代现场总线IP技术由IT网向OT网延伸IoT(物联网)WIFI,WSN,NB-IoT,LoRa

轻量级协议、无加密ICS系统特点传统IT系统特点严格保证可用性保护边缘客户端和中央服务器15-20年生存期，24/7/365实时系统系统设计为支持预期工业过程，无足够资源支持附加功能部件升级需严格测试，不能接受突然停机、主动的离线升级可用性缺陷往往可以容忍保护IT资产及存储或传输的信息3-5年生存期，非实时系统系统设计拥有足够资源支持和附加功能部件升级方便，补丁和漏洞库可在线更新，偶尔停机可接受第八章工业互联网安全工业互联网安全面临威胁概况管理端攻击者生产端设备供应商消费端研发端工业互联网安全产品和技术匮乏、产业支撑能力不足威胁一威胁三威胁二公开协议、标准化技术架构第八章工业互联网安全工业互联网安全关注重点工厂外网定制业务产品业务协同业务工业互联网平台（公有云，大数据分析）PLM产品生命和周期管理MES制造执行系统APSPDMCRMERPSCM工业互联网平台（私有云，数据集成运用）SCADADCS/FCSPLC智能传感器工业机器人智能仪表智能产品工厂内网…….…….5.设备安全2.应用安全3.控制安全1.数据安全4.网络安全HMI第八章工业互联网安全工业互联网安全进展（一）出台安全框架或文件指南为工业企业安全部署提供指导美国IIC《工业互联网安全框架》（IISF）从实施角度出发，以安全模型和策略作为总体指导，部署通信、端点、数据、配置管理、监测分析等方面的安全措施。工业互联网可信框架IIC大力推广可信的概念，在工业互联网可信白皮书的基础上，结合已有的工作构建工业互联网可信框架。中国国家工业信息安全发展研究中心会同工业信息安全产业发展联盟，联合相关企事业单位，共同研究编写的《工业互联网平台安全白皮书（2020）》重磅发布。德国工业4.0德国工业4.0出版了《工业4.0的IT安全》、《安全身份标识》、《跨企业安全通信》等指导性文件，指导企业进行安全部署于实施。工业4.0的IT安全安全身份标识跨企业安全通信第八章工业互联网安全工业互联网安全进展（二）持续提升工业互联网安全技术能力建设通讯和传输保护接入认证授权边界隔离网络安全控制安全控制协议安全机制指令安全审计控制软件安全加固设备安全设备身份鉴别与访问控制漏洞修复固件安全增强边缘安全防护系统数据防泄漏数据备份和恢复数据加密数据安全应用安全用户授权和管理代码安全虚拟化安全网络安全设备