“工业互联网安全问题”解读

“工业互联网安全问题”解读工业互联网安全是工业数字化转型过程中必须守住的底线，其核心是在IT（信息技术）与OT（运营技术）深度融合的场景下，保障工业生产的连续性、工业数据的完整性与工业系统的可用性，覆盖设备层、控制层、网络层、平台层、数据层五大核心维度。当前我国工业互联网已进入规模化推广的关键阶段，截至2023年末，全国工业互联网平台数量超240家，其中跨行业跨领域平台达50家，连接设备总量超8.1亿台（套），覆盖原材料、装备制造、消费品、能源等31个重点行业门类，与之对应的安全风险也呈现出攻击频次上升、影响范围扩大、破坏程度加剧的特征，成为制约工业数字化深化发展的核心瓶颈之一。一、工业互联网安全的核心范畴与差异化特征工业互联网安全并非传统互联网安全在工业领域的简单延伸，其防护对象、目标、约束条件与传统IT安全存在本质差异，核心范畴可划分为五个层级：一是设备层安全，涵盖工业传感器、PLC（可编程逻辑控制器）、伺服驱动器、智能仪表、工业机器人等现场终端的安全，核心风险包括固件漏洞、未经授权的设备接入、设备被恶意控制等；二是控制层安全，包括DCS（分布式控制系统）、SCADA（数据采集与监视控制系统）、运动控制系统等控制单元的安全，核心风险为控制指令被篡改、控制逻辑被破坏、组态参数被恶意修改等；三是网络层安全，覆盖工业现场总线、工业以太网、5G工业专网、边缘网络等传输载体的安全，核心风险包括网络窃听、流量劫持、边界被突破、工业协议被利用等；四是平台层安全，涉及工业互联网平台、工业APP、边缘计算节点等载体的安全，核心风险包括平台未授权访问、APP植入恶意代码、边缘节点被攻陷等；五是数据层安全，包含工业生产数据、运营数据、供应链数据、用户数据等全生命周期安全，核心风险为数据泄露、数据篡改、数据丢失、违规出境等。与传统IT安全相比，工业互联网安全具有显著的差异化特征：第一，防护优先级不同。传统IT安全以数据保密性为首要目标，兼顾可用性与完整性；而工业互联网安全将生产可用性放在第一位，其次是控制与数据的完整性，最后才是数据保密性——工业系统意外停产造成的经济损失、安全风险远高于普通数据泄露，例如化工企业反应釜控制中断可能引发爆炸、泄漏等重大安全事故。第二，实时性约束极强。工业控制的指令响应时间通常在毫秒级，部分高精度制造场景甚至要求微秒级响应，传统IT安全设备的深度包检测、复杂规则匹配若产生过高延迟，会直接影响生产节奏，因此工业安全设备必须满足低延迟、不中断业务的核心要求。第三，资产异构性突出。工业领域专有协议达上百种，包括Modbus、S7、Profinet、OPCUA等，多数协议设计时未考虑安全需求，存在无加密、无身份认证、无完整性校验等问题；同时工业设备服役周期长达10-20年，新老设备并存，大量老旧设备不支持安全功能升级，资产复杂度远高于传统IT场景。第四，攻击链跨域延伸。传统IT攻击通常局限于信息系统内部，而工业互联网攻击往往遵循“IT网渗透-边界突破-OT网横向移动-控制层破坏”的路径，跨越办公网与生产网两个完全不同的领域，传统IT安全监测体系难以覆盖全攻击链。第五，影响后果更严重。工业互联网安全事件不仅会造成经济损失，还可能引发人身伤亡、环境污染、公共服务中断等次生灾害，涉及公共安全与国计民生。二、当前我国工业互联网安全的核心风险态势随着工业互联网应用的深化，安全风险呈现出多维度、复杂化的演化趋势，结合国家工业信息安全发展研究中心、中国网络安全产业联盟等权威机构2024年发布的公开报告，当前风险态势可归纳为五个方面：（一）漏洞存量持续增长，高危漏洞可利用性极强2023年全球公开新增工业控制相关漏洞1927个，同比增长12.3%，其中高危漏洞794个，占比41.2%，超90%的高危漏洞可通过远程方式利用，无需物理接触设备。从漏洞影响的设备类型看，SCADA系统漏洞占22.3%，PLC漏洞占18.7%，DCS系统漏洞占15.1%，工业路由器、交换机等网络设备漏洞占13.8%。值得关注的是，2023年公开的工业领域0day漏洞达37个，同比增长17.5%，其中针对全球主流品牌PLC的0day漏洞占比超40%，这类漏洞尚未有官方补丁，一旦被攻击者利用，可直接获取设备控制权，造成毁灭性打击。国内层面，2023年我国工业企业在用设备中，存在已知高危漏洞的设备占比达27.6%，其中服役超过10年的老旧设备高危漏洞存在率达68.2%，漏洞修复率不足40%。（二）攻击频次快速上升，勒索软件成首要威胁2023年国家工业信息安全发展研究中心累计监测到针对我国工业互联网平台的攻击事件18.7万起，同比增长23.6%，攻击来源主要集中在境外，占比达72.4%，攻击目标涵盖能源、化工、装备制造、轨道交通等多个重点行业。勒索软件已成为工业领域的头号安全威胁，中国网络安全产业联盟《2024年工业勒索软件防护白皮书》显示，2023年全球工业领域勒索攻击事件同比增长31%，其中制造业占比42%，能源行业占比18%，交通运输业占比12%；国内范围内，监测到针对规模以上工业企业的勒索攻击尝试超7.2万次，成功入侵并造成停产的事件共142起，平均停产时间73小时，单起事件直接经济损失平均达1240万元，部分化工、能源企业的损失超亿元。从攻击入口看，钓鱼邮件占初始访问向量的47%，暴露在公网的工控服务弱口令占28%，供应链攻击占15%，攻击者得手后通常会先加密生产数据、锁定控制设备，再索要高额比特币赎金。（三）平台与应用隐患突出，API漏洞成重灾区2023年国家工业信息安全发展研究中心对国内120个重点工业互联网平台进行安全抽查，发现存在安全漏洞的平台占比达68.3%，其中存在高危漏洞的平台占27.5%。平台漏洞类型中，API未授权访问占36.4%，SQL注入占21.7%，身份认证绕过占18.2%，部分平台的核心API接口直接暴露在公网，无需身份验证即可调取企业生产数据、下发控制指令，2023年曾出现某工业互联网平台API漏洞导致近千家中小企业生产数据泄露的事件。工业APP的安全状况同样堪忧，2023年抽查的1200款工业APP中，存在高危安全缺陷的占28.3%，主要问题包括硬编码密钥、明文传输敏感数据、未做权限校验、集成恶意第三方组件等，部分设备运维类APP甚至可以直接修改PLC参数、下载控制程序，存在极大的生产安全隐患。（四）数据泄露风险加剧，合规压力持续上升2023年国内公开披露的工业数据泄露事件共42起，涉及生产工艺数据、供应链数据、客户运营数据等，其中制造业占52%，能源行业占24%，单起事件泄露数据量最高达1.2亿条。数据泄露的主要原因包括：数据库未授权访问占38%，第三方服务商数据泄露占29%，员工违规外传数据占22%。随着《数据安全法》《个人信息保护法》《工业数据分类分级指南（试行）》等法规的落地，工业企业的数据合规压力持续上升，尤其是核心工业数据的出境管理要求日趋严格，外资工业企业、出口型企业面临的数据合规挑战更为突出。部分企业因未落实工业数据分类分级要求、违规传输核心数据，已被监管部门处以罚款。（五）供应链风险凸显，开源组件漏洞影响广泛工业软硬件供应链的安全隐患逐步暴露，一方面，国外主流工控厂商的设备和软件存在未知漏洞、预留后门的风险，部分核心工业软件的源代码不开放，企业无法进行安全审计；另一方面，工业互联网平台和工业APP大量使用开源组件，开源漏洞的传导效应极强，影响范围极广。2023年监测显示，我国17.2%的工业互联网平台仍存在Log4j2高危远程代码执行漏洞未修复，主要原因是企业担心升级补丁会影响平台稳定性，甚至导致业务中断，不敢贸然操作。此外，工业设备的固件升级包、运维工具被植入恶意代码的事件也时有发生，2023年共监测到8起针对工业设备升级包的供应链攻击事件，涉及水处理、装备制造等多个行业，攻击者通过篡改升级包植入后门，可长期潜伏在工业系统内部。三、工业互联网安全防护的落地痛点与现实障碍尽管工业互联网安全的重要性已逐步形成共识，但在实际落地过程中，企业仍面临诸多痛点与障碍，导致安全防护水平与风险态势不匹配：（一）IT/OT融合导致边界模糊，传统防护体系失效过去工业生产网通常采用物理隔离的方式保障安全，“物理隔离=绝对安全”的观念根深蒂固。随着工业互联网的推进，企业为了实现数据采集、远程运维、云端协同，逐步打通了办公网与生产网的连接，但多数企业的隔离措施不到位，要么仅用普通IT防火墙做简单的端口映射，要么直接跳过隔离措施，攻击者一旦突破办公网，很容易通过横向移动进入生产网。调研显示，国内62.7%的工业企业未实现生产网与办公网的严格逻辑隔离，41.3%的企业存在工控服务直接暴露在公网的情况，部分企业甚至将PLC的远程桌面、SSH端口直接映射到公网，且使用“123456”“admin”等弱口令，相当于给攻击者留下了直通生产系统的“后门”。（二）存量设备安全欠账多，漏洞修复难度极大我国工业企业的存量设备中，老旧设备占比极高，中国仪器仪表行业协会2023年调研显示，国内流程工业企业中，服役超过10年的工控设备占比达43.7%，这些设备大多设计于工业互联网普及之前，没有内置安全模块，甚至不支持补丁安装，一旦打补丁可能导致设备死机、控制逻辑出错，直接影响生产。此外，工业系统的升级窗口期非常短，流程工业企业通常每年只有1-2次停产检修的机会，每次只有3-7天，很难在短时间内完成全系统的漏洞修复和安全加固。多数企业出于生产效益考虑，宁愿承担安全风险，也不愿轻易停产修复漏洞，导致“漏洞越积越多、风险越来越高”的恶性循环。（三）安全投入认知存在偏差，资源投入严重不足多数工业企业的管理层将安全视为成本中心，而非效益中心，认为安全投入不能直接产生经济效益，因此投入意愿极低。中国网络安全产业联盟调研显示，我国规模以上工业企业的工业安全投入占数字化总投入的比例平均为4.2%，规模以下企业更是不足2%，远低于国际上10%-15%的平均水平。很多企业的安全建设只停留在“满足合规检查”的最低层面，没有结合自身业务风险做针对性防护，比如买几台工控防火墙摆放在机房就当完成了安全建设，没有配套的运营团队、监测机制、应急预案，实际防护效果几乎为零，一旦遇到真实攻击根本无法抵御。（四）复合型人才缺口巨大，安全运营能力薄弱工业互联网安全需要同时懂IT技术、OT业务、工业流程的复合型人才，而目前国内这类人才极其稀缺。工信部2023年发布的《工业互联网产业人才发展报告》显示，我国工业互联网安全领域的人才缺口超25万人，且每年的人才供给量不足需求的20%。很多企业的安全团队只有IT安全人员，不懂工业控制协议和生产流程，无法针对工业场景开展安全防护，甚至不敢轻易操作工控设备；而生产运维人员又不懂安全技术，发现不了安全隐患，出了问题不知道怎么处置，只能联系厂商上门解决，错过最佳处置时机。此外，国内工业安全的培训体系尚不完善，高校相关专业刚刚起步，职业培训内容与实际需求脱节，导致人才供给长期跟不上需求。（五）合规要求落地难，中小企业缺乏支撑能力近年来我国出台了一系列工业互联网安全的法规和标准，包括等保2.0工控扩展要求、《工业互联网安全标准体系（2021年）》《工业数据分类分级指南（试行）》等，但多数企业尤其是中小企业不知道如何落地。一方面，现有标准和指南多为框架性要求，缺乏针对不同行业、不同规模企业的具体操作指引，中小企业没有能力结合自身情况制定实施方案；另一方面，中小企业的资金和人才有限，难以承担安全建设的硬件、软件和人力成本，也养不起专业的安全团队，导致合规建设迟迟无法推进。调研显示，国内80%以上的中小企业未开展工业互联网安全合规建设，甚至不知道需要满足哪些合规要求。四、工业互联网安全的实用化建设路径工业互联网安全建设不能走“先发展后治理”的老路，也不能搞“一刀切”的标准化方案，必须结合企业的业务特点、风险等级、资源禀赋，构建实用、高效、可持续的防护体系，核心路径包括五个方面：（一）构建分层分类的纵深防护体系按照“设备层加固、控制层审计、网络层隔离、平台层防护、数据层管控”的思路，构建覆盖全维度的纵深防御体系，避免单点防护的局限性：设备层：优先开展全资产测绘，通过主动扫描、被动流量分析等方式，摸清所有工业设备的型号、固件版本、部署位置、漏洞情况，建立动态更新的资产台账；对老旧设备采用微隔离、虚拟补丁、进程白名单等技术进行防护，无需升级设备即可降低风险，避免影响生产；对新采购的设备，要求必须符合国家工业安全标准，内置安全功能，从源头减少安全隐患。控制层：部署工控安全审计系统，对所有控制指令、组态操作进行实时审计，对修改工艺参数、下载控制程序等高风险操作执行二次审批机制；部署工控入侵检测系统，基于工业协议深度解析技术，及时发现异常的控制行为和攻击尝试，同时确保设备延迟在1毫秒以内，不影响生产实时性。网络层：按照“分区分域、最小权限”的原则，将工业网络划分为生产区、办公区、DMZ区、远程运维区等不同安全域，域之间采用支持工业协议深度检测的工控防火墙进行逻辑隔离，只开放必要的端口和协议，禁止所有非必要的跨域访问；严禁将工控服务直接暴露在公网，远程运维必须通过工业零信任网关，采用多因素身份认证，且只给运维人员开放完成工作所需的最小权限，运维操作全程录屏审计。平台层：部署API安全网关，对所有平台API接口进行身份认证、访问控制、流量清洗和漏洞防护，防止未授权访问和注入攻击；建立工业APP全生命周期安全管理机制，上线前开展漏洞扫描和渗透测试，运行中进行实时行为监测，下线后彻底清除关联数据；对边缘计算节点采用可信计算、安全加固等技术，防止边缘节点被攻陷后成为攻击生产网的跳板。数据层：严格按照《工业数据分类分级指南（试行）》对工业数据进行分类分级，明确一般数据、重要数据、核心数据的边界和防护要求；对重要和核心数据采用加密存储、加密传输技术，部署数据防泄漏（DLP）系统，防止数据通过终端、网络、存储等渠道违规外传；建立数据全生命周期审计机制，对数据的访问、修改、传输、导出等操作进行全程记录，确保可追溯、可审计。（二）强化动态闭环的安全运营能力安全防护不能只靠堆砌硬件产品，必须建立常态化的运营机制，实现“监测-分析-处置-优化”的动态闭环：一是建立安全监测中心，整合工控防火墙、入侵检测系统、审计系统、数据防泄漏系统等所有安全设备的日志，采用工业级SOC（安全运营中心）平台进行关联分析，及时发现跨设备、跨系统的攻击行为，避免单点报警被淹没；二是建立全生命周期的漏洞管理机制，定期开展漏洞扫描和风险评估，根据漏洞的风险等级、影响范围、业务依赖程度，制定分阶段的修复计划，不能立即修复的漏洞要采用临时防护措施，比如访问控制、流量监测，对于流程工业企业，漏洞修复尽量安排在停产检修窗口期，修复前必须在测试环境进行充分验证；三是常态化开展渗透测试和应急演练，每季度至少开展一次工控系统的渗透测试，检验防护体系的有效性，每年至少开展两次勒索攻击、数据泄露、设备被控制等场景的应急演练，优化应急预案，提升应急处置能力；四是建立威胁情报共享机制，及时获取工业领域的最新漏洞通报、威胁预警，比如国家工业信息安全发展研究中心的公共预警信息，提前做好针对性防护。（三）完善全链条的供应链安全管理将安全要求嵌入供应链全流程，从源头防范供应链风险：一是建立工业软硬件采购的安全评估机制，在采购前对供应商的产品进行安全检测，要求供应商提供安全资质证明、漏洞修复承诺和安全服务支持，对核心控制设备和软件，要进行黑盒渗透测试或源代码审计（条件允许的情况下），防止存在后门或恶意代码；二是建立供应链漏洞响应机制，安排专人跟踪供应链的漏洞信息，一旦发现所使用的产品出现高危漏洞，立即评估影响范围，及时采取临时防护措施，比如关闭相关端口、限制访问权限；三是在符合业务需求的前提下，逐步推进核心工业软硬件的国产化替代，降低对国外产品的依赖，从根本上减少供应链安全风险。（四）构建多层次的人才培养体系人才是工业互联网安全的核心支撑，必须通过内部培养、外部引进、服务外包等多种方式解决人才缺口问题：一是加强内部培训体系建设，针对不同岗位制定差异化的培训内容：对管理层重点培训安全责任和风险意识，明确“管业务必须管安全”的要求，提高对安全投入的重视程度；对IT安全人员重点培训工业控制协议、生产流程、工控设备操作等知识，提升OT场景的防护能力；对生产运维人员重点培训安全基础技能、威胁识别方法、应急处置流程，提升安全意识和操作规范性；对普通员工重点培训钓鱼邮件识别、弱口令防护、数据保密要求等基础安全知识，筑牢第一道防线。二是采用灵活的人才补充方式，对于中小企业或人才缺口较大的企业，可以采用安全托管服务（MSS）的方式，将安全监测、漏洞管理、应急响应等运营工作外包给专业的工业安全服务商，既降低了人力成本，又能获得专业的安全能力；对于大型企业，可以与高校、职业院校合作建立实训基地，定向培养符合自身需求的复合型人才。（五）优化中小企业的安全服务供给针对中小企业资金少、人才缺、能力弱的特点，通过公共服务和轻量化产品降低安全建设门槛：政府层面可搭建工业互联网安全公共服务平台，为中小企业提供免费的漏洞扫描、