★深圳航天信息有限公司藍炫勉，陳剛，李周，王立展

1　引言

2021年12月28日，工業(yè)和信息化部等八部門(mén)聯(lián)合印發(fā)了《“十四五”智能制造發(fā)展規劃》，其中，在重點(diǎn)任務(wù)部分，網(wǎng)絡(luò )安全赫然在列。這說(shuō)明智能制造領(lǐng)域的網(wǎng)絡(luò )安全已經(jīng)到了刻不容緩的地步?，F如今，航空航天、船舶制造、兵器制造等關(guān)系到國家安全、國計民生等重要領(lǐng)域已廣泛應用到了智能制造，因此，保障智能制造網(wǎng)絡(luò )的安全就顯得尤為重要。而由于智能制造網(wǎng)絡(luò )對可用性的要求十分嚴格，使得安全人員難以在真實(shí)環(huán)境中進(jìn)行滲透測試、漏洞挖掘等會(huì )影響可用性的工作，因此，實(shí)物安全靶場(chǎng)應運而生，又由于智能制造網(wǎng)絡(luò )的復雜度極高，顯然實(shí)物安全靶場(chǎng)無(wú)法滿(mǎn)足。因此，本文提出了基于虛擬化技術(shù)的智能制造網(wǎng)絡(luò )安全靶場(chǎng)。

2　當今智能制造網(wǎng)絡(luò )安全的現狀

智能制造（Intelligent Manufacturing，IM）是一種由智能機器和人類(lèi)專(zhuān)家共同組成的人機一體化智能系統，該系統與傳統人工智能相比不同之處在于它重點(diǎn)強調與突出人才是制造業(yè)中的核心而不是智能機器，智能機器的作用，則是與人配合，使人能更好地發(fā)揮出其潛能。這樣一來(lái)人機之間就表現出了一種相互“理解”、相互協(xié)作的關(guān)系，這種關(guān)系使得二者在不同的層次上各顯其能，相輔相成。

隨著(zhù)智能制造的不斷發(fā)展，越來(lái)越多的設備和系統相互連接，通過(guò)網(wǎng)絡(luò )進(jìn)行通信和協(xié)作，這些設備和系統之間的交互變得越來(lái)越頻繁。然而，智能制造中的設備和系統往往都擁有重要的信息和數據，例如生產(chǎn)計劃、產(chǎn)品質(zhì)量、供應鏈信息等，如果這些信息和數據被泄露或遭到攻擊，將會(huì )導致十分嚴重的后果。

目前，智能制造領(lǐng)域面臨的網(wǎng)絡(luò )安全威脅主要包括以下幾個(gè)方面:

（1）網(wǎng)絡(luò )安全威脅不斷增加：隨著(zhù)智能制造的不斷發(fā)展，越來(lái)越多的黑客和組織開(kāi)始關(guān)注這一領(lǐng)域，通過(guò)網(wǎng)絡(luò )攻擊和數據泄露等方式來(lái)對智能制造系統進(jìn)行攻擊和威脅。

（2）網(wǎng)絡(luò )安全漏洞普遍存在：智能制造領(lǐng)域中的設備和系統往往都采用了最新的技術(shù)和算法，而這些技術(shù)和算法由于面世時(shí)間較短，普遍存在著(zhù)漏洞和弱點(diǎn)，一旦被攻擊者利用，就可以入侵智能制造系統并竊取重要信息。

（3）為了保障智能制造中的網(wǎng)絡(luò )安全，需要采取一系列的措施，例如制定網(wǎng)絡(luò )安全策略、加強網(wǎng)絡(luò )安全監管、提高網(wǎng)絡(luò )安全意識和技能等。同時(shí)，還需要加強網(wǎng)絡(luò )安全技術(shù)和加快新的網(wǎng)絡(luò )安全產(chǎn)品的研發(fā)，不斷提高智能制造系統的網(wǎng)絡(luò )安全水準，保障系統和數據的安全。

由于現運行的智能制造網(wǎng)絡(luò )對高可靠性和安全性的要求十分嚴格，而傳統的滲透測試、攻防應急演練等保障工作對網(wǎng)絡(luò )、系統天然自帶破壞性。因此，為了避免這些問(wèn)題，構建能夠滿(mǎn)足安全評估、攻防演練、培訓教育等功能的靶場(chǎng)，就顯得十分重要、緊迫。工控靶場(chǎng)由于其特殊性，必須要具備實(shí)物場(chǎng)景，雖然實(shí)物類(lèi)靶場(chǎng)對工控場(chǎng)景的仿真程度較高，但同時(shí)也存在著(zhù)建設投入成本高，建設周期長(cháng)、維護維修成本巨大、場(chǎng)景單一固化等問(wèn)題，并不利于推廣應用。因此，本文提出了基于虛擬化技術(shù)的智能制造網(wǎng)絡(luò )安全靶場(chǎng)設計方案，完善了工控類(lèi)靶場(chǎng)的建設。

3　基于虛擬化技術(shù)的智能制造靶場(chǎng)框架設計

3.1　靶場(chǎng)概述

本論文描述的靶場(chǎng)旨在設計一個(gè)含有安全評估、攻防演練、培訓教育三大主要功能的并且基于虛擬化技術(shù)的智能制造網(wǎng)絡(luò )安全靶場(chǎng)。通過(guò)安全評估，可以粗略評估企業(yè)的工控設備及其工控網(wǎng)絡(luò )和系統的安全態(tài)勢和安全風(fēng)險。通過(guò)攻防演練，使得企業(yè)或個(gè)人能以攻擊對抗的思路掌握黑客攻擊各階段常用的攻擊方法和原理，尋找相應的網(wǎng)絡(luò )攻擊的防護策略和手段。而通過(guò)培訓教育，則可以使工控安全意識和技能得到全面提升。靶場(chǎng)設計框架如圖1所示。

圖1 靶場(chǎng)設計框架

（1）基礎資源

基礎資源將由虛擬仿真環(huán)境和半實(shí)物仿真環(huán)境組成，構成了靶場(chǎng)的最基本要素——測試與實(shí)驗環(huán)境，靶場(chǎng)所有功能全部建立在此環(huán)境的基礎上。

（2）虛擬化平臺

將由虛擬化IaaS平臺與虛擬化資源組件池構成，由于工控網(wǎng)絡(luò )的多樣性與復雜性，靶場(chǎng)必須擁有靈活且快速變更網(wǎng)絡(luò )拓撲的能力與數量龐大的資源庫，以實(shí)現可以仿真不同工業(yè)行業(yè)場(chǎng)景的目的。

（3）虛實(shí)結合的網(wǎng)絡(luò )架構

靶場(chǎng)將支持控制層、生產(chǎn)運行層中的PLC、DCS、儀器儀表等實(shí)物設備接入，從而彌補了通過(guò)仿真技術(shù)實(shí)現的全虛擬化對工業(yè)流程仿真能力的不足。

（4）數據監測

數據監測將由流量監管評判、攻防組件監控、匯聚存儲清洗、過(guò)程推演及追蹤溯源四部分組成。主要功能是為白方提供評判依據與為使用者進(jìn)行推演、溯源提供數據支持。

（5）核心業(yè)務(wù)子系統

核心業(yè)務(wù)子系統由攻防演練、安全評估、教育培訓三個(gè)子系統構成，作為靶場(chǎng)的三大核心功能，直接與使用者進(jìn)行交互。

4　靶場(chǎng)各部分的設計與實(shí)現

4.1　基礎資源與虛擬化平臺的設計與實(shí)現

4.1.1　虛擬仿真環(huán)境與半實(shí)物仿真環(huán)境

智能制造網(wǎng)絡(luò )靶場(chǎng)采用虛擬化軟件的主要優(yōu)勢是可以將智能制造中的傳統架構的工控網(wǎng)絡(luò )進(jìn)行模擬仿真，實(shí)現利用該系統對企業(yè)實(shí)際的工控網(wǎng)絡(luò )進(jìn)行模擬仿真，以此來(lái)對其進(jìn)行脆弱性、安全性檢測。同時(shí)，靶場(chǎng)還可接入半實(shí)物仿真系統，以滿(mǎn)足工控行業(yè)不同行業(yè)工業(yè)現場(chǎng)從控制單元到控制器產(chǎn)品再到上位機及組態(tài)軟件都各不相同的特點(diǎn)，同時(shí)滿(mǎn)足了工控安全的攻防演練、安全評估、實(shí)訓的需要。

4.1.2　虛擬化平臺

IaaS是指提供基礎設施作為服務(wù)，用戶(hù)可以通過(guò)互聯(lián)網(wǎng)租用虛擬化的服務(wù)器、存儲、網(wǎng)絡(luò )等基礎設施，來(lái)構建自己的應用程序和服務(wù)。IaaS通常提供了許多功能，如自動(dòng)化部署、彈性擴容、備份和恢復等。

而軟件定義網(wǎng)絡(luò )（Software?Defined?Network，SDN），一種來(lái)自美國的新技術(shù)，是一種新型的網(wǎng)絡(luò )架構，也是實(shí)現網(wǎng)絡(luò )虛擬化的一種手段。

虛擬化平臺將SDN技術(shù)和IaaS攻防平臺進(jìn)行了集成，在利用SDN的技術(shù)優(yōu)勢完全實(shí)現IaaS攻防平臺的網(wǎng)絡(luò )自動(dòng)化操作的同時(shí)也利用SDN技術(shù)實(shí)現了網(wǎng)絡(luò )拓撲可視化、可視化網(wǎng)絡(luò )拓撲快速復現及設備添加與網(wǎng)絡(luò )拓撲快速自動(dòng)變更等功能。

而虛擬化資源組件池則是利用虛擬機、物理機、虛擬網(wǎng)絡(luò )設備和安全設備等封裝成組件資源庫，將其中的資源提供給大規模網(wǎng)絡(luò )環(huán)境的自動(dòng)化復現引擎使用，用于復現網(wǎng)絡(luò )環(huán)境中的資源節點(diǎn)，其由組件資源和場(chǎng)景資源組成。

在組件資源庫中可調用工控網(wǎng)絡(luò )設備、安全設備等資源，而場(chǎng)景資源則用來(lái)仿真工業(yè)企業(yè)環(huán)境，如“S7工業(yè)協(xié)議仿真攻擊測試場(chǎng)景”“OPC工業(yè)協(xié)議仿真攻擊測試場(chǎng)景”“運載火箭殼段生產(chǎn)SCADA系統仿真攻擊測試場(chǎng)景”等。其中每個(gè)場(chǎng)景包括了若干虛擬機來(lái)進(jìn)行仿真。

4.2　虛實(shí)結合網(wǎng)絡(luò )架構的設計與實(shí)現

通過(guò)對業(yè)界主流的云平臺和虛擬化解決方案進(jìn)行調研和分析，本論文最終決定使用KVM自帶的Bridge虛擬機解決方案來(lái)實(shí)現靶場(chǎng)的虛擬網(wǎng)絡(luò )。而虛擬仿真環(huán)境又由虛擬化IaaS平臺與虛擬化資源組件池組成，再加上半實(shí)物仿真環(huán)境，共同構成了靶場(chǎng)虛實(shí)結合的網(wǎng)絡(luò )架構。

4.3   數據監測的設計與實(shí)現

4.3.1　攻防組件監控

攻防組件監控系統需要實(shí)現低損耗、實(shí)時(shí)采集攻防信息的目的，主要通過(guò)工業(yè)資產(chǎn)設備實(shí)時(shí)無(wú)感狀態(tài)采集、多模態(tài)試驗數據流的存儲與管理等技術(shù)，來(lái)實(shí)現對攻防演練實(shí)驗過(guò)程中所產(chǎn)生信息的精確、實(shí)時(shí)、快速與低耗的采集，并同時(shí)以讀取日志的方式實(shí)時(shí)監測控制系統其他狀態(tài)信息，并在第一時(shí)間及時(shí)感知系統運行的狀態(tài)，依此為白方系統提供評判依據。

4.3.2　流量監管評判

流量監管評判系統即攻防當中的白方系統。無(wú)規矩不成方圓，攻防演練亦是如此，在紅藍雙方之外，必須還要有一方，負責演練前的準備工作與演練中的管理和演練后的分析與復盤(pán)推演，這就產(chǎn)生了專(zhuān)門(mén)的管理方——白方。

4.3.3　流量匯聚存儲清洗

流量匯聚存儲清洗系統即靶場(chǎng)大數據平臺，負責匯聚實(shí)時(shí)演練數據，其下的各子平臺將全方位上報攻防平臺監測運行數據，而后將這些數據進(jìn)行存儲，存儲后結合工控系統的特征進(jìn)行威脅建模，并通過(guò)數據挖掘、人工智能、深度學(xué)習、可視化計算等技術(shù)，同時(shí)結合云端威脅情報，從而實(shí)現對未知工控攻擊威脅的自動(dòng)化發(fā)現及預警，并且提供被監測企業(yè)工控網(wǎng)絡(luò )系統的攻擊威脅、漏洞情況、系統配置情況、惡意代碼泛濫情況等安全威脅態(tài)勢服務(wù)，還具備了快速查找、檢索、融合、識別、檢查、關(guān)聯(lián)、可視化分析及歸檔的功能，可實(shí)現對攻擊行為的取證和快速溯源，為安全事件或威脅的應急處置服務(wù)能力提供情報和數據支撐。

4.3.4　過(guò)程推演及追蹤溯源

可視化演練過(guò)程推演子系統作為靶場(chǎng)的一個(gè)重要組成部分，擔負著(zhù)實(shí)時(shí)、客觀(guān)地為白方顯示紅藍雙方攻防態(tài)勢的任務(wù)。演練管理系統負責管理整個(gè)攻防環(huán)境，系統將演練的整個(gè)周期分為演練前、演練中和演練后三個(gè)階段。其中演練進(jìn)行階段是重中之重，那么在演練開(kāi)始后，對演練的過(guò)程進(jìn)行實(shí)時(shí)、準確的監視就顯得格外重要，而推演系統就是作為該階段的主要模塊而存在的，其主要功能就是進(jìn)行實(shí)時(shí)、客觀(guān)、全面的演練整體態(tài)勢的反映。

而仿真實(shí)體則運行在網(wǎng)絡(luò )中的各個(gè)節點(diǎn)中，這些仿真實(shí)體本身則通過(guò)網(wǎng)絡(luò )來(lái)互相傳遞數據。態(tài)勢子系統則通過(guò)輸入網(wǎng)絡(luò )中傳輸的數據，然后輸出結果，主要包括演練數據庫記錄、演練數據庫、二維態(tài)勢顯示、三維場(chǎng)景顯示，以及實(shí)體狀態(tài)和統計結果顯示幾個(gè)部分。

演練數據記錄層作為溝通態(tài)勢子系統與網(wǎng)絡(luò )的橋梁，位于網(wǎng)絡(luò )與上層態(tài)勢顯示模塊的中間。該數據層在對來(lái)源于網(wǎng)絡(luò )中的數據進(jìn)行收集、整理、分類(lèi)、歸納之后，將其他類(lèi)型的數據全部過(guò)濾掉，只留存產(chǎn)生于演練過(guò)程中所有仿真實(shí)體的當前狀態(tài)信息。而顯示模塊（由二維態(tài)勢顯示和三維場(chǎng)景顯示所共同組成）所調用的，也正是這些記錄中的數據。

4.4　核心業(yè)務(wù)子系統的設計與實(shí)現

4.4.1　攻防演練子系統

攻防演練子系統作為可拓展性極強的平臺環(huán)境，具備完善的指導、實(shí)驗及演練條件。攻防演練子系統支持配置、創(chuàng )建、回收包含多種工控網(wǎng)絡(luò )軟硬件組件的演練環(huán)境，并可創(chuàng )建不同流程的演練劇情為使用者提供基礎攻防網(wǎng)絡(luò )環(huán)境，使得系統具備多平臺、綜合性、多樣性、可復現、可重構的能力，支持同步更新最新的漏洞、技術(shù)及相關(guān)演練環(huán)境。同時(shí)系統還記錄了使用者的操作流程以及過(guò)程產(chǎn)生數據，用來(lái)支撐系統評分功能。

4.4.2　安全評估子系統

為了精準評測使用者實(shí)際的工業(yè)網(wǎng)絡(luò )環(huán)境安全性、可恢復性和靈活性，測試現場(chǎng)的設備、PC操作系統、網(wǎng)絡(luò )協(xié)議等關(guān)鍵軟硬件是否具備安全性與是否滿(mǎn)足國家相關(guān)標準就顯得至關(guān)重要，這就要求攻防平臺具備完整成熟的安全評估能力。因此，系統在提供了按需組網(wǎng)功能的同時(shí)還提供了接入多種評估工具，使得使用者可以按需選擇，以適配多種評估方法。通過(guò)測評標準庫、測試工具庫以及各種風(fēng)險評估方式可對攻防復現目標展開(kāi)全方位、體系化的測試評估工作。4.4.3　培訓教育子系統教育培訓子系統面向智能制造安全領(lǐng)域的人員教學(xué)實(shí)踐需求，提供了體系化、分層次的工控安全教育課程體系，該課程體系中包含了單課程、演練課程、實(shí)戰課程等。通過(guò)理論與實(shí)踐相結合的教學(xué)方法，填補了智能制造網(wǎng)絡(luò )安全領(lǐng)域的教學(xué)、培訓方面的空白，推動(dòng)了傳統教育與培訓模式的發(fā)展。同時(shí)不斷深化課程體系，以理論與實(shí)踐相融合的方式來(lái)進(jìn)行教育培訓，以此來(lái)全方位提升工控安全人員攻防實(shí)戰能力，使受訓人員具備對各種主流安全實(shí)踐具備獨立分析、應對處理的能力。

5　總結

為了提升智能制造網(wǎng)絡(luò )安全的攻防演練與場(chǎng)景構建能力、測試評估能力與新技術(shù)研究水平，本論文提出了智能制造網(wǎng)絡(luò )安全靶場(chǎng)，并通過(guò)結合虛擬化技術(shù)來(lái)實(shí)現。具體所做工作總結如下：

（1）分析了當前智能制造網(wǎng)絡(luò )安全的現狀，并根據現狀提出了基于虛擬化技術(shù)的智能制造網(wǎng)絡(luò )安全靶場(chǎng)。

（2）通過(guò)虛擬化IaaS平臺，SDN等技術(shù)實(shí)現了虛擬化仿真環(huán)境，再加上半實(shí)物仿真環(huán)境，構成了靶場(chǎng)虛實(shí)結合的網(wǎng)絡(luò )架構。在提升了攻防演練真實(shí)性的同時(shí)也提升了靶場(chǎng)自身的擴展性。

（3）靶場(chǎng)通過(guò)二維態(tài)勢顯示、三維場(chǎng)景顯示兩種方式，成功實(shí)現了低損耗、高實(shí)時(shí)的數據監測。

（4）攻防演練子系統、安全評估子系統、教育培訓子系統作為靶場(chǎng)的三大核心業(yè)務(wù)子系統，滿(mǎn)足了不同場(chǎng)景、不同業(yè)務(wù)復雜度的需求，可以切實(shí)提高使用者工控網(wǎng)絡(luò )的安全性。

作者簡(jiǎn)介：

藍炫勉（1989-），男，廣東普寧人，中級工程師，學(xué)士，現就職于深圳航天信息有限公司，研究方向為網(wǎng)絡(luò )安全。陳　剛（1985-），男，河南鄧州人，中級工程師，學(xué)士，現就職于深圳航天信息有限公司，研究方向為網(wǎng)絡(luò )安全。

李　周（1988-），男，湖南衡陽(yáng)人，中級工程師，學(xué)士，現就職于深圳航天信息有限公司，研究方向為網(wǎng)絡(luò )安全。

王立展（1984-），男，河南鄧州人，現就職于深圳航天信息有限公司，研究方向為網(wǎng)絡(luò )安全。

參考文獻：

[1] 孫健. 工控網(wǎng)絡(luò )仿真靶場(chǎng)的虛擬化場(chǎng)景構建研究[D]. 哈爾濱: 哈爾濱工業(yè)大學(xué), 2021.

[2] 王榮壯. 智能制造下的工業(yè)互聯(lián)網(wǎng)安全風(fēng)險應對分析[J]. 網(wǎng)絡(luò )安全技術(shù)與應用, 2022, 6 : 94 - 96.

[3] 李京京. 基于蜜罐技術(shù)的ICS平臺威脅感知平臺[D]. 鄭州: 鄭州大學(xué), 2017.

[4] 梁丹. 運載火箭智能制造標準體系架構及實(shí)踐[J]. 航天標準化, 2022, 4 : 9 - 12.

[5] 王玉紅. 服裝生產(chǎn)企業(yè)智能制造技術(shù)研究及應用[J]. 化纖與紡織技術(shù), 52 (1) : 31 - 33.

摘自《自動(dòng)化博覽》2023年7月刊