• 0

  • 555

周鸿祎:过去只能在虚拟世界里发起的网络攻击,现在都可以通过物联网直达生产一线...

白帆

白帆

3个月前

来源:亚布力中国企业家论坛

责编:严莉

2020年9月20日,2020世界工业互联网产业大会在青岛开幕。360集团董事长兼CEO周鸿祎在会上发表题为“安全是工业互联网发展的先决条件”主题演讲。

他表示,工业数字化会带来一个很大的安全问题——工业系统中存在着大量已知或者未知的安全漏洞,为网络攻击打开了方便之门。未来,每个工业企业都将是大数据企业,拥有海量的数据。但是,开发利用数据必然离不开数据的共享、交换,但越是共享、交换面临的安全风险就越大。

他认为,网络安全讲百遍不如打一遍,要把实战对抗演练作为检验安全能力的唯一标准,通过实战发现问题、磨练队伍、完善响应机制,形成能力不断进化提升的闭环。

以下为周鸿祎演讲全文(有删减)。

来源 | 科记汇

今年,突如其来的新冠肺炎疫情,带来了物理空间阻隔、人员交通隔离,但这些困难反而更刺激了工业互联网的发展,让我们更加清晰地看到了数字化转型的大趋势。网络安全和信息化是一体之两翼、驱动之双轮,工业互联网的建设和发展,必然离不开安全的保驾护航。

第四次工业革命正在以空前的深度、广度和速度席卷全球,无论是德国的“工业4.0”,美国的“再工业化”,还是中国的“智能制造”,核心都是将工业互联网作为核心着力点。

今年,国家提出“新基建”,其中工业互联网就是新基建的重要组成部分,是推动工业经济走向数字化、网络化、智能化、融合化的新动能,工业互联网必然将成为全球数字经济发展的主战场。

我们已经看到,工业互联网的广泛应用带来了巨大的经济社会效应。据测算,2020年中国的工业互联网产业经济将达到3.1万亿元,占GDP比重接近3%,而且工业互联网还将带动超过 255 万个新增就业岗位。未来,工业互联网的带动作用还将更加突出、更加明显。

从技术角度看,工业互联网的本质是实现工业的数字化。在这样的趋势下,我们也能看到工业互联网也将出现更多新的安全风险。

工业数字化的第一个特征是一切皆可编程,工业互联网的设备、控制系统、平台、应用都将架构在软件之上,都将由成千上万行、甚至百万行、千万行的软件代码来实现。这就带来一个很大的安全问题——工业系统中存在着大量的已知或者未知的安全漏洞,为网络攻击打开了方便之门。事实已经证明,漏洞不可避免,国际上统计每一千行代码平均有4~6个缺陷,就有可能导致安全漏洞。网络安全发展到今天,安全最大的风险就是漏洞,漏洞一旦被网络攻击者利用,就可以悄无声息地侵入系统或者控制整个系统。工业互联网还将引入5G、NBIoT、边缘计算等等许多新技术,这些新技术也存在大量漏洞,新技术用的越多,漏洞也就越多,工业互联网系统的安全隐患也就越大。

第二个特征是万物均要互联。工业互联网不仅打破了原来的局域网、隔离网方式,实现工厂内部设备的连接,而且还将连接上下游供应链企业,形成一个巨大的开放网络。比如,智能工厂里的互联网车床、互联网生产线,甚至在动力传输线上的一个发动机,可能也都联网。联网设备越多就意味着网络攻击面的扩大,当攻击目标指数级增长,单点防护的思路就难以为继。同时,工业互联网设备种类繁多,网络协议不统一,增大了安全防护难度。工业互联网运行着超过1000种缺乏安全机制的工业控制、现场总线、工业通信协议,联网将带来非常复杂的安全问题。此外,工业互联网也将打通虚拟世界和物理世界的边界,过去只能在虚拟世界里发起的网络攻击,今天都可以通过物联网把网络攻击直达生产一线,把网络攻击变成物理伤害。

第三个特征就是数据驱动业务。工业互联网使得工业企业从过去的业务为中心、以流程为中心,转向大数据为中心。数据流将驱动业务流程、打通供应链、产业链和价值链,并且随着数据的共享、交换、开发和利用,带来越来越多的业务创新。未来,每个工业企业都将是大数据企业,拥有海量的数据。但是,开发利用数据就必然离不开数据的共享、交换,数据只有共享、交换才能发挥价值,但越是共享、交换面临的安全风险就越大。数据安全不仅面临外部的网络攻击威胁,还面临着内部数据泄漏,包括是否越权访问、是否有内贼偷窃、是否滥用等问题。数据安全将直接影响业务安全,造成生产的停顿、混乱甚至是巨大的经济损失。

所以,工业互联网、工业数字化将导致工业网络基础设施将变得更加复杂、漏洞将无所不在、攻击面将无限扩大,脆弱性前所未有。

同时,工业互联网导致关键基础设施联网,例如电网、机场、石化、医院以及大型制造企业,为网络攻击提供了以前没有的高价值目标。所以,工业互联网面临着高级持续威胁(APT)、网络犯罪组织、网络恐怖主义的威胁,这些攻击或者出于政治目的,或者出于经济目的,一旦攻击得手,将可以为国家、城市、工厂造成巨大的伤害。以城市为例,因为网络攻击能够造成全局性的破坏后果,它的威力将超越传统的安全威胁。对于一个城市,传统的危化品爆炸、交通事故虽然也能造成重大伤害,但一般不至于影响全局,但是如果对城市的水、电、煤、气等基础设施发动高级威胁攻击或者勒索攻击,就会造成整个城市整体停摆、引起全局性混乱。所以,今天我们要面对的已远不再是原来的小毛贼、小黑产了,目前我们面临的巨大风险可用“七个大”来概括:战场变大,对手变大,目标变大,布局变大,手法变大,最重要的是危害变大,挑战变大。

工业互联网的安全威胁就在眼前。以下是近两年重要基础设施受攻击的例子,包含对电网、制造业、能源部门、钢铁企业、水利设施、海港的攻击,攻击数量愈演愈烈。

面对工业互联网安全的风险和威胁,必须承认的是,安全行业还没有真正做好准备。

面对前所未有的安全威胁和复杂情况,面对前所未有的复杂网络基础设施,客观的说,传统安全还停留在碎片化产品层面,没有指挥体系,没有互通机制,没有能力衡量,没有对抗意识,幻想银弹,忽视人的作用,重视买产品,忽视长期持续运营。

所以,工业互联网建设不能只是先考虑如何做好数字化,等数字化做好了,再买点安全软件、买点安全设备,这种思路实际上已经不能适应今天的发展。今天,需要把安全作为发展工业互联网的先决条件,如果缺少科学的安全设计和体系建设,工业互联网就相当于“裸奔”。

面对变化的环境和安全,要解决这些问题,就需要以新的理念为指导思想,构建新一代的安全能力体系。

安全前置、底层设计,构建安全能力体系。大安全时代的网络环境安全问题非常复杂,如果仍是孤立和补丁式地解决安全问题,最终就是头疼医头、脚疼医脚,治标不治本,需要用系统思维找寻解决方案,要考虑体系、框架、系统、组件、产品各层次,做体系化的安全底层设计,构建安全能力体系。

能力导向、基建先行,建设安全基础设施,积累安全能力。安全能力需要养成和积累,首先夯实安全基础设施,安全能力才能有依托,才能实现运营能力的培养、队伍的锻炼、生态和产业的持续发展;只有积累了安全能力,才能形成公共基础服务,更好地赋能工业互联网生态。

全域连接、全维数据,建设安全大数据智能计算分析中心。安全大数据和威胁情报是发现高级威胁的关键,首先要连接安全域内所有的安全设备,获得全时、全视角、全维度的安全数据,叠加全网大安全大数据,才能真正看见网络空间发生的事件。没有安全大数据,就只能基于局部数据进行感知,看不到攻击全貌,就像是在螺蛳壳里做道场。

以人为本,持续运营,建设以安全专家团队为核心的安全运营中心。安全的本质是人和人的攻防对抗,决定对抗胜负的因素中,人第一、理念第二、物第三,人的作用始终是第一位的;安全基础设施的运转必须要有专业安全人员去持续运营它,形成本地化的安全运营能力,持续保障安全。

实战检验、能力闭环,建立以实战攻防演练为核心的能力检验进化机制。网络安全讲百遍不如打一遍,要把实战对抗演练作为检验安全能力的唯一标准,通过实战发现问题、磨练队伍、完善响应机制,形成能力不断进化提升的闭环。

免责声明:文章版权归原作者所有,其内容与观点不代表Unitimes立场,亦不构成任何投资意见或建议。

互联网

555

相关文章推荐

未登录头像

暂无评论