奇安信集團(tuán)副總裁左英男
鈦媒體5月27日消息，2019數(shù)博會(huì)，在由中國(guó)國(guó)際大數(shù)據(jù)產(chǎn)業(yè)博覽會(huì)組委會(huì)主辦、鈦媒體、中國(guó)信息通信研究院承辦的工業(yè)互聯(lián)網(wǎng)應(yīng)用發(fā)展論壇（IAF）上，奇安信集團(tuán)副總裁左英男工業(yè)互聯(lián)網(wǎng)條件下，工業(yè)主機(jī)與大數(shù)據(jù)安全防護(hù)的重要性。
演講中，左英男透露，奇安信去年處理過(guò)幾起因感染病毒導(dǎo)致公司停產(chǎn)的案例，這些公司有的屬于電子制造領(lǐng)域有的屬于鋼鐵領(lǐng)域，共同點(diǎn)都是工業(yè)主機(jī)感染。
感染的原因在于IT、OT聯(lián)結(jié)在了一起，使得病毒得以進(jìn)入工業(yè)網(wǎng)絡(luò)，從而造成主機(jī)感染，造成了藍(lán)屏、死機(jī)，甚至導(dǎo)致停產(chǎn)。解決方案是首先要從工業(yè)主機(jī)防護(hù)開(kāi)始，因?yàn)楣I(yè)主機(jī)有自己的特點(diǎn)，企業(yè)在工業(yè)主機(jī)安裝傳統(tǒng)的殺毒軟件是沒(méi)有辦法在這樣一個(gè)環(huán)境下正常運(yùn)行的，需要采用單管控技術(shù)，采用入口攔截、擴(kuò)散攔截等，才可以有效保護(hù)我們工業(yè)主機(jī)的安全。
目前企業(yè)面臨的另外一個(gè)非常重要的安全問(wèn)題就是工業(yè)大數(shù)據(jù)的安全防護(hù)。比如一些走在前面的大型企業(yè)已經(jīng)構(gòu)建了自己的私有云平臺(tái)，又了自己的大數(shù)據(jù)中心，有一些物聯(lián)網(wǎng)端采集的數(shù)據(jù)。這些工業(yè)大數(shù)據(jù)蘊(yùn)含一個(gè)企業(yè)，可能是價(jià)值最高的資產(chǎn)。
那么，如何來(lái)保護(hù)這些數(shù)據(jù)？奇安信設(shè)定了三個(gè)目標(biāo)：看得見(jiàn)數(shù)據(jù)的流動(dòng)，控得住訪問(wèn)的權(quán)限，管得好泄露的風(fēng)險(xiǎn)。（本文首發(fā)鈦媒體，作者/秦聰慧）
以下為奇安信集團(tuán)副總裁左英男實(shí)錄，經(jīng)鈦媒體編輯整理：
各位來(lái)賓大家下午好！我們中國(guó)工業(yè)互聯(lián)網(wǎng)在蓬勃發(fā)展，互聯(lián)網(wǎng)應(yīng)用也在蓬勃發(fā)展，有一句話叫做安全是發(fā)展的前提，發(fā)展是安全的保障。工業(yè)互聯(lián)網(wǎng)安全問(wèn)題非常重要，也是我今天想和大家分享的這么一個(gè)主題。
工業(yè)互聯(lián)網(wǎng)技術(shù)本質(zhì)、應(yīng)用場(chǎng)景非常復(fù)雜，但是抽掉業(yè)務(wù)場(chǎng)景之后技術(shù)本質(zhì)就是新的一代信息技術(shù)和我們傳統(tǒng)工業(yè)的深度融合，這種融合會(huì)極大改變生產(chǎn)效率、客戶體現(xiàn)，同時(shí)也會(huì)為我們網(wǎng)絡(luò)安全帶來(lái)非常大的挑戰(zhàn)。這種挑戰(zhàn)不僅是擴(kuò)大了網(wǎng)絡(luò)安全的外延，我們要保護(hù)的范圍也變得越來(lái)越大。
傳統(tǒng)的網(wǎng)絡(luò)安全的理念、安全技術(shù)、安全架構(gòu)、安全產(chǎn)品無(wú)法適應(yīng)新的IT技術(shù)的引入，同時(shí)改變網(wǎng)絡(luò)安全的內(nèi)涵。我們傳統(tǒng)網(wǎng)絡(luò)安全是保護(hù)業(yè)務(wù)和數(shù)據(jù)的機(jī)密性、完整性、可用性。隨著工業(yè)互聯(lián)網(wǎng)的引入大量物聯(lián)網(wǎng)的終端自動(dòng)化控制設(shè)備也會(huì)接入網(wǎng)絡(luò)，我們談網(wǎng)絡(luò)安全會(huì)涉及到人員、環(huán)境、人生隱私、個(gè)人隱私、工人的安全、物理安全等等新的性質(zhì)，極大改變了網(wǎng)絡(luò)安全的外延和內(nèi)涵。
工業(yè)互聯(lián)網(wǎng)是一個(gè)非常大的范疇，安全也是非常復(fù)雜的一個(gè)技術(shù)問(wèn)題，工業(yè)互聯(lián)網(wǎng)安全從哪里開(kāi)始談？接下來(lái)希望把視線收縮到工業(yè)互聯(lián)網(wǎng)最重要的一公里，就是生產(chǎn)制造企業(yè)，一個(gè)工業(yè)企業(yè)面臨的2個(gè)非常重要的安全場(chǎng)景。一個(gè)是重要而緊急的安全場(chǎng)景，就是工業(yè)主機(jī)安全防護(hù)；另外一個(gè)重要的場(chǎng)景是工業(yè)大數(shù)據(jù)安全防護(hù)。
最難的問(wèn)題不在網(wǎng)絡(luò)攻擊，而是在不停產(chǎn)基礎(chǔ)上安裝防護(hù)軟件
第一個(gè)工業(yè)主機(jī)安全場(chǎng)景，什么是工業(yè)主機(jī)，典型的生產(chǎn)控制網(wǎng)絡(luò)里面指的是操作原站、工程師站等等上位機(jī)，或者安裝了工業(yè)軟件的工業(yè)服務(wù)器，典型的特點(diǎn)是運(yùn)行標(biāo)準(zhǔn)的操作系統(tǒng)。工業(yè)主機(jī)是通往物理設(shè)備的大門(mén)，我們的控制指令、采集數(shù)據(jù)都要通過(guò)它，同樣因?yàn)樯芷陂L(zhǎng)，又因?yàn)樗枰?4小時(shí)持續(xù)的運(yùn)轉(zhuǎn)沒(méi)有辦法持續(xù)修補(bǔ)，而且存在大量的漏洞。這些漏洞是攻擊者發(fā)起攻擊想從物理世界到數(shù)字世界的一種方式，所以這個(gè)很緊急很重要。
緊急來(lái)說(shuō)不是天方夜譚，過(guò)去幾年我們奇安信處理的工業(yè)網(wǎng)絡(luò)事件100多起，都對(duì)生產(chǎn)起到了影響，涉及各行各業(yè)，造成工業(yè)主機(jī)的感染，藍(lán)屏、死機(jī)，甚至生產(chǎn)停滯。所以工業(yè)互聯(lián)網(wǎng)安全首先從工業(yè)主機(jī)防護(hù)做起。工業(yè)主機(jī)有獨(dú)特的特點(diǎn)，工業(yè)主機(jī)安裝的傳統(tǒng)標(biāo)準(zhǔn)的殺毒軟件是沒(méi)有辦法在正常的環(huán)境下運(yùn)行的，所以我們需要在采用百名單管控技術(shù)、智能匹配的技術(shù)上，用如攔截、擴(kuò)散攔截、關(guān)卡式的對(duì)抗病毒的關(guān)口。守護(hù)好數(shù)字世界通往物理世界的大門(mén)。
這樣看似挺簡(jiǎn)單的問(wèn)題，對(duì)網(wǎng)絡(luò)安全公司來(lái)說(shuō)有什么挑戰(zhàn)？其實(shí)從奇安信在過(guò)去1年多時(shí)間給比亞迪集團(tuán)的幫助，到目前為止17000臺(tái)工業(yè)主機(jī)上我們得到一個(gè)啟示。網(wǎng)絡(luò)攻擊對(duì)我們不是難的問(wèn)題，最大的問(wèn)題是什么？我們可以看到比亞迪集團(tuán)17000多主機(jī)，涉及30多個(gè)園區(qū)，十幾個(gè)零件的生產(chǎn)，大家可以看一下右邊的表格上（上圖），工業(yè)主機(jī)操作系統(tǒng)的類型Windows7這樣老舊系統(tǒng)占了70%。在工業(yè)場(chǎng)景下網(wǎng)絡(luò)公司最大的挑戰(zhàn)典型特點(diǎn)：老舊系統(tǒng)的兼容，如何在不停產(chǎn)的基礎(chǔ)下安裝防護(hù)軟件的部署和實(shí)施，這些需要對(duì)工業(yè)生產(chǎn)有深刻的認(rèn)識(shí)，積累大量的經(jīng)驗(yàn)才可以勝任這個(gè)工作。
今天已經(jīng)是第12天了，微軟發(fā)布了一個(gè)新的補(bǔ)丁，這個(gè)漏洞非常厲害，堪比2015年5月12號(hào)的病毒，攻擊者不需要輸入任何密碼的情況下，可以從遠(yuǎn)程訪問(wèn)服務(wù)可以執(zhí)行任何程序。起碼我們?cè)趯?shí)驗(yàn)室發(fā)現(xiàn)至少可以做到藍(lán)屏，希望大家盡快去打這個(gè)補(bǔ)丁。如果你的主機(jī)沒(méi)有辦法可打補(bǔ)丁，建議你安裝工業(yè)防護(hù)軟件去防護(hù)這個(gè)軟件。
下了很大決心做成的大數(shù)據(jù)中心，安全性如何保障？
第二個(gè)場(chǎng)景，這個(gè)問(wèn)題并沒(méi)有那么緊急但是非常重要，就是工業(yè)大數(shù)據(jù)安全防護(hù)問(wèn)題。隨著工業(yè)制造企業(yè)數(shù)字化、網(wǎng)絡(luò)化、智能化的發(fā)展，工業(yè)互聯(lián)網(wǎng)是近幾年提的概念，事實(shí)上很多領(lǐng)先的特別是大中型的生產(chǎn)制造企業(yè)，很早就開(kāi)始智能化工廠的建設(shè)。這種建設(shè)打破了傳統(tǒng)的工廠網(wǎng)絡(luò)邊界。
舉一個(gè)例子，大家右邊看圖，很多大型的企業(yè)構(gòu)建了自己私有化的大數(shù)據(jù)平臺(tái)，我們叫做工業(yè)大數(shù)據(jù)中心，這些大數(shù)據(jù)中心會(huì)聚了從工業(yè)主機(jī)采集的數(shù)據(jù)，也有從物聯(lián)網(wǎng)采集的數(shù)據(jù)。很多企業(yè)下了很多決心，把生產(chǎn)控制網(wǎng)和工業(yè)信息化聯(lián)結(jié)在一起，工業(yè)大數(shù)據(jù)蘊(yùn)含一個(gè)企業(yè)價(jià)格最高的知識(shí)產(chǎn)權(quán)、生產(chǎn)流程、工藝配方，每一個(gè)企業(yè)都重視自己的數(shù)據(jù)安全保護(hù)。下了很大決心把工業(yè)生產(chǎn)配置網(wǎng)和管理控制網(wǎng)聯(lián)結(jié)在一起。
隨著互聯(lián)網(wǎng)發(fā)展，出于對(duì)數(shù)據(jù)安全保護(hù)的擔(dān)心，是不是要連接互聯(lián)網(wǎng)？要連接到供應(yīng)鏈上下游企業(yè)，甚至連接到共有的互聯(lián)網(wǎng)平臺(tái)，實(shí)現(xiàn)工業(yè)大數(shù)據(jù)的流動(dòng)。這是他們的擔(dān)憂問(wèn)題，這種擔(dān)憂在某種程度上阻礙了工業(yè)互聯(lián)網(wǎng)的發(fā)展。我覺(jué)得這個(gè)問(wèn)題不緊急，但是非常重要，工業(yè)大數(shù)據(jù)安全保護(hù)是工業(yè)互聯(lián)網(wǎng)發(fā)展過(guò)程當(dāng)中，特別是大中型工業(yè)企業(yè)需要投入的核心保護(hù)對(duì)象。
舉幾個(gè)數(shù)據(jù)安全和數(shù)據(jù)泄露的例子，這里面沒(méi)有出現(xiàn)大型工業(yè)企業(yè)，是幾個(gè)工藝生產(chǎn)流程、工藝配方泄露的事件。隨著互聯(lián)程度越來(lái)越高、開(kāi)放的流動(dòng)程度越來(lái)越高，攻擊者一定會(huì)盯上高價(jià)值的工業(yè)大數(shù)據(jù)，工業(yè)大數(shù)據(jù)安全防護(hù)應(yīng)該成為我們工業(yè)互聯(lián)網(wǎng)安全、首要、核心目標(biāo)。
怎么做呢？我們總結(jié)工業(yè)大數(shù)據(jù)安全風(fēng)險(xiǎn)管理三個(gè)目標(biāo)：看得見(jiàn)數(shù)據(jù)流動(dòng)；控得住訪問(wèn)權(quán)限；管得好泄露的風(fēng)險(xiǎn)。為了達(dá)成這個(gè)目標(biāo)我們需要摸清企業(yè)的數(shù)據(jù)資產(chǎn)、梳理不同人怎么樣使用數(shù)據(jù)、如何管控?cái)?shù)據(jù)風(fēng)險(xiǎn)，并且強(qiáng)化安全運(yùn)營(yíng)。我們核心要素是做好訪問(wèn)控制權(quán)限的管理，因?yàn)閭鹘y(tǒng)基于網(wǎng)絡(luò)邊界安全實(shí)效的情況下，我們提出零信任的安全架構(gòu)。
默認(rèn)的情況下網(wǎng)內(nèi)網(wǎng)外訪問(wèn)業(yè)務(wù)數(shù)據(jù)的人都不信任，重新基于身份為中心的手段，給我訪問(wèn)業(yè)務(wù)的每一個(gè)人、每一個(gè)用戶、每一個(gè)設(shè)備甚至每一個(gè)接口都賦予新的身份，只有授權(quán)才可以訪問(wèn)。并且零信任架構(gòu)里面很重要的概念，再?gòu)?qiáng)的認(rèn)證，因?yàn)殚_(kāi)放、用戶多樣性、設(shè)備多樣性，一次認(rèn)證也不可以保證持續(xù)的合法性。在你訪問(wèn)我數(shù)據(jù)的同時(shí)，要持續(xù)對(duì)人、設(shè)備、ATI訪問(wèn)調(diào)用的風(fēng)險(xiǎn)進(jìn)行持續(xù)的信任評(píng)估。發(fā)起風(fēng)險(xiǎn)就及時(shí)調(diào)整甚至切斷訪問(wèn)的控制權(quán)限。
基于這個(gè)理念我們服務(wù)企業(yè)當(dāng)中基于零信任的控制訪問(wèn)平臺(tái)，我們梳理暴露面不同的路徑，不同的暴露面部署訪問(wèn)的措施，在可信訪問(wèn)的智慧下，可以構(gòu)建虛擬的邊界，所有訪問(wèn)請(qǐng)求都會(huì)在虛擬的身份條件下進(jìn)行嚴(yán)格的檢查和動(dòng)態(tài)的訪問(wèn)控制。極大加強(qiáng)了我們對(duì)工業(yè)大數(shù)據(jù)安全保護(hù)的力度。
奇安信我們就是之前的360企業(yè)安全，今年5月份我們才正式更名為奇安信集團(tuán)。我們是一家年輕的公司，過(guò)去僅僅成立4年時(shí)間，但是發(fā)展很迅速。從2015年我們只有幾百名員工，現(xiàn)在有超過(guò)6000名員工。我們希望用奇安信這幾年積累的安全和產(chǎn)品技術(shù)以及服務(wù)，可以更好為我們工業(yè)互聯(lián)網(wǎng)安全保駕護(hù)航。謝謝！（更多資訊詳見(jiàn)專題：工業(yè)智變 數(shù)化未來(lái)——鈦媒體直擊2019數(shù)博會(huì) 。）
快報(bào)
根據(jù)《網(wǎng)絡(luò)安全法》實(shí)名制要求，請(qǐng)綁定手機(jī)號(hào)后發(fā)表評(píng)論