5.5　支撑技术在智能制造中的应用

5.5.1　概念与内涵

物联网的支撑技术中除了上文提到的传感器技术、识别技术、传感网技术、边缘计算技术，还有信息安全技术。信息安全是指信息的保密性、完整性和可用性的保持。根据美国国防部《可信计算机系统评估标准》的定义，信息安全具有以下特征。

① 保密性：确保信息在存储、使用、传输过程中不会泄露给非授权用户或实体。

② 完整性：确保信息在存储、使用、传输过程中不会被非授权用户篡改，同时还要防止授权用户对系统及信息进行不恰当的篡改，保持信息内、外部表示的一致性。

③ 可用性：确保授权用户或实体对信息及资源的正常使用不会被异常拒绝，允许其可靠而及时地访问信息和资源。

物联网有着不可计数的感知终端，有着复杂的信息通信渠道，有着庞大的数据存储与处理中心。但抽象来看，物联网正是一个十分标准的“终端—传输管道—云端”架构。与计算机时代、网络时代相比较，物联网的终端具有移动化、微型化等特征，其传输管道更是在有线网络之外又增加了无线网络，物联网的云端数据中心不仅更大也更为灵活。物联网“端—管—云”体系架构分别由感知层、网络层和应用层构成，其网络泛在、全面感知、可靠传递、智能处理的特征要素愈发凸显，也使物联网各层面临各种安全威胁。

（1）物联网感知层安全威胁

当前，针对物联网感知层的攻击越来越多，包括物理攻击、伪造或假冒攻击、信号泄露与干扰、资源耗尽攻击、隐私泄露威胁等。物理攻击即攻击者对传感器等实施的物理破坏，使物联网终端无法正常工作，攻击者也可能通过盗窃终端设备并通过破解获取用户敏感信息，或非法更换传感器设备导致数据感知异常，破坏业务正常开展。伪造或假冒攻击是攻击者通过利用物联网终端的安全漏洞，获得节点的身份和密码信息，假冒身份与其他节点进行通信，进行非法的行为或恶意的攻击。信号泄露与干扰是攻击者对传感网络中传输的数据和信令进行拦截、篡改、伪造、重放，从而获取用户敏感信息或导致信息传输错误，业务无法正常开展。资源耗尽攻击则是攻击者向物联网终端发送垃圾信息，耗尽终端电量，使其无法继续工作。此外，RFID标签、二维条码等的嵌入，使物联网接入的用户不受控制地被扫描、定位和追踪，极易造成用户个人隐私泄露。

（2）物联网网络层安全威胁

物联网的网络层主要是将感知层采集的信息通过传感网、移动网和互联网进行信息的传输。由于物联网中采集的信息需通过各种网络的融合，将信息实时准确地传递出去，其传输距离远、通信范围广，传输途中会经过各种不同的网络，因此面临严重的安全威胁，包括网络安全协议自身的缺陷、拒绝服务攻击、假冒基站攻击、隐私泄露威胁等。网络层功能本身的实现中需要的技术与协议存在安全缺陷，特别在异构网络信息交换方面，易受到异步、合谋攻击等。拒绝服务攻击是因为物联网终端数量巨大且防御能力薄弱，攻击者可依靠物联网终端，向网络发起拒绝服务攻击，导致核心网络拥塞。假冒基站攻击即攻击者通过假冒基站骗取终端驻留其上，并通过后续信息交互窃取用户信息。攻击者在攻破物联网网络之间的通信后，窃取用户隐私及敏感信息造成隐私泄露。物联网网络层这些安全威胁可能使网络通信无法正常运行，使网络服务中断，甚至陷于瘫痪状态。

（3）物联网应用层安全威胁

物联网应用层是对网络传输层的信息进行处理，实现智能化识别、定位、跟踪、监控和管理等实际应用，包括信息处理和提供应用服务两个方面。物联网技术与行业信息化需求相结合，产生广泛的智能化应用，包括智能制造、智慧农业、智能家居、智能电网、智能交通和车联网、智能节能环保、智慧医疗和健康养老等，因此物联网应用层的安全问题主要来自各类新业务及应用的相关业务平台。物联网的各种应用数据分别存储在云计算平台、大数据挖掘与分析平台，以及各业务支撑平台中进行计算和分析，其云端海量数据处理和各类应用服务的提供使云端易成为攻击目标，容易导致数据泄露、恶意代码攻击等安全问题，操作系统、平台组件和服务程序自身漏洞和设计缺陷易导致未授权的访问、数据破坏和泄露，数据结构的复杂性将带来数据处理和融合的安全风险，存在破坏数据融合的攻击、篡改数据的重编程攻击、错乱定位服务的攻击、破坏隐藏位置目标攻击等。此外在物联网应用层，各类应用业务会涉及大量公民个人隐私、企业业务信息甚至国家安全等诸多方面的数据，存在隐私泄露的风险。

当前，物联网信息安全还存在以下问题。

① 互联网安全行业通过一系列的安全机制保护人们免受互联网的非法入侵。但对于物联网，在大多数情况下都没有内置安全架构，包括相互认证、加密、安全协议和信任，这引起了很多安全的隐患。

② 由于物联网通过装置的人机界面影响到现实世界，因此在不太稳定和安全的互联网上来连接物联网设备会更加危险。例如，在建筑和智能家居行业，将通过智能传感器来管理关键的日常任务。增加互联网功能的安全网络硬件是保护隐私的一个非常关键的方式。现在很多智能家居传感器和控制器连接到互联网却没有意识到威胁。所以，传统互联网的安全性仍然是物联网发展的关键，但安全性远远不够。

③ 设计适当的认证、授权、计费、加密、入侵检测、软件签名和信任模型来保障在线设备之间的交互是非常重要的，如智能烤箱、智能门锁等智能家居设备，一个安全漏洞能够带来用户很大的人身威胁。研究人员曾经做过实验，使用网络低分辨率摄像机在购物广场收集刷卡数据用于解锁Android手机，一半以上都能成功解锁。重要的是，这些攻击并非特殊复杂的入侵方式。通过这种傻瓜攻击方式，攻击者可以访问所有用户的个人数据，包括家庭自动化，汽车防护和健康监测系统等相关物联网信息。

因此，基于以上问题，就会有物联网安全需求：物联网是新一代信息技术的高度集成和综合应用，将进入万物互联发展的新阶段。万物互联的泛在接入、高效传输、海量异构信息处理和智能设备控制，对物联网安全提出更高的要求，通过图5.8可以发现，物联网的不同层可能面临相同的安全需求。面对物联网各种安全威胁，物联网安全保障能力亟待提升，需加快建立健全物联网安全保障体系，推进物联网架构安全、异构网络安全、数据安全、个人信息安全等关键技术研发及产业化，构筑物联网智能生态安全，建立健全物联网安全防护制度，建立“早发现、能防御、快恢复”的安全保障机制，确保物联网重要系统安全可控、重要信息安全可控、个人信息保护得到加强。

5.5.2　技术特征

物联网信息安全主流技术包括病毒检测与清除技术、安全防护技术、安全审计技术、安全检测与监控技术等。物联网信息安全技术的主要作用是在感知层，加强节点和汇聚节点之间，以及节点和网络之间的安全认证，加强加密信息的传输，严格进行密钥分配与管理，完善身份认证机制，提高入侵检测的手段，增强物联网端点智能安全能力，构建端点智能自组织安全防护循环微生态。在网络层，建立完善异构网络统一、兼容、一致的跨网认证机制，完善网络安全协议，加强密钥管理，完善机密性算法，加强数据传输过程的机密性、完整性、可用性的保护。在应用层，加强数据库访问控制、不同应用场景的认证机制和加密机制，加强业务控制，确保中间件安全，加强数据溯源能力和网络取证能力，完善网络犯罪取证机制等方面，确保应用安全。

（1）病毒检测与清除技术

对于不同的计算机病毒，由于其特点不同，因此对于计算机病毒的检测，需要根据计算机病毒的种类和特点先进行筛选，然后进行相应的智能检测，采用针对性的检测方法。计算机病毒的智能检测方法主要有以下几种。

① 长度检测法。从病毒的机制和文件特点上分析，与正常程序相比，计算机病毒程序的文件长度是有很大不同的，而被计算机病毒感染的文件在字节长度上会发生变化，与正常的文件的大小和长度有所区别。病毒最主要的特点就是具有感染性和寄生性，文件或程序感染病毒之后，成为宿主程序，最主要的变化就是字节长度变长，所以可以根据被检测的文件的长度来进行检测。通过检测文件长度，对病毒文件进行修复，同时对于每个被检测文件的增长的字节长度诊断，可以确定和进行分类，检测病毒的种类，从而针对性地选择合适的方法进行病毒的清除。

作为一种简易的病毒判断方法，对于判断的正确率也是有一定缺陷的，特别根据长度来进行病毒识别的方法原理过于机械，无法对一些感染病毒文件长度不变时进行检测，所以局限性较大。

② 病毒标记检测法。病毒标记检测法是对宿主文件即感染病毒的程序和文件进行标记，采用计算机特殊的处理方式在程序或文件不同位置加上标记之后进行检测，根据这些标记综合分析计算机病毒样本，确定其特点和所属的种类，相比于长度检测方法，此种检测方法需要花费技术人员较多的时间和精力，并且要求业务素质高，需要对病毒位置和标记进行熟记。通过对计算机病毒的样本分析，可以对病毒标记内容和位置进行掌握，从而进一步对宿主程序的病毒标记进行搜索，查找其他被感染的病毒文件。

③ 特征代码检测法。对于计算机病毒的标记并不是可执行的代码，而且病毒标记不是存在于全部的计算机病毒中，所以对计算机病毒的智能检测不能仅仅靠判断标记代码是否存在来作为依据，但是可以进行一些简单的判断。例如，对一些可执行代码的存在进行部分检测，这种确定一种特征可疑代码后来进行目标检测的方法就是特征代码检测方法，目标更明确，具有较好的针对性。

④ 校验和方法。在对计算机病毒进行检测时，可以对正常的文件进行计算和校验，同时将检测结果作为文件的属性在计算机中进行保存，日后在文件使用过程中可以通过实时计算当前的校验和并与最初的校验和进行比对，来进行计算机病毒的检测。若校验和相同，则证明没有感染计算机病毒；若校验和不同，则证明文件有感染病毒的风险。通过这种方法对于未知病毒和已知病毒都是适用的。但是这种方法也有明显的缺点，如果正常文件校验和发生了变化而没有感染病毒，那么也会触发该方法检测出病毒。

⑤ 行为检测法。行为检测法是指对之前的计算机病毒案例进行观察和分析之后，对宿主文件和病毒的运行规律进行总结，同时进行特征显示的一种诊断计算机病毒的方法。正常运行中需要对普通正常使用和运行的程序及中毒后的程序进行对比，中毒的程序一般会在计算机上有黑屏、蓝屏、突然死机、卡顿等明显表现，或者程序会不停关闭—重启循环，这都是宿主文件感染计算机病毒的重要标志。行为检测法可以对这些情况直接进行判断，根据行为经验进行诊断，如果确实发生计算机病毒感染可以根据这些行为进行直接解决。但是此方法也存在缺点，即需要另外对宿主文件进行判断，若行为已经出现但宿主文件判断错误，则会错过解决病毒的关键时期。

⑥ 感染实验法。针对计算机病毒每一个种类最特殊、最突出明显的特点，通过感染特征实验进行检测的方法即为感染实验法。在测试中对正常的文件进行计算机病毒传染测试，如果能够快速感染病毒，同时正常程序和运行也会受到影响，那么就是宿主文件中毒的表现。若并没有产生明显的特征，则可以同时对正常程序进行相关的测试，进一步进行检测和对比。

清除计算机病毒的方法如下。

① 确定计算机病毒程序的位置（首部、尾部）。

② 找到病毒程序的首部位置/尾部位置。

③ 恢复原文件头部的参数。

④ 修改文件的长度，将原文件写回。

清除病毒遵循的一般原则如下。

① 病毒清除最好在无毒环境中进行。

② 在启动系统的系统盘和杀毒软件盘上加写保护。

③ 在清除病毒前要确认系统或文件确实存在病毒，且准确判断出病毒的种类，以保证杀毒的有效性。另外，要对染毒文件或系统进行备份。

④ 尽量不要使用激活病毒的方法检测病毒。

⑤ 一般不能用病毒标识符免疫方法清除病毒。

⑥ 对于同一宿主程序被几个病毒交叉感染或重复感染的，要按感染的逆顺序依次清除病毒。

（2）安全防护技术

安全防护技术包括网络防护技术（防火墙、入侵检测防御等）、应用防护技术（如应用程序接口安全技术等）、系统防护技术（如防篡改、系统备份与恢复技术等），防止外部网络用户以非法手段进入内部网络，访问内部资源，保护内部网络操作环境的相关技术。

（3）安全审计技术

安全审计技术是对用户使用网络和计算机所有活动记录分析、审查和发现问题的重要手段，其中包含日志审计和行为审计。通过日志审计协助管理员在受到攻击后查看网络日志，从而评估网络配置的合理性、安全策略的有效性，追溯分析安全攻击轨迹，并能为实时防御提供手段。通过对员工或用户的网络进行行为审计，确认行为的合规性，确保信息及网络使用的合规性。

安全审计的主要功能包括安全审计自动响应、安全审计事件生成、安全审计分析、安全审计预览、安全审计事件存储及安全审计事件选择。由于物联网应用系统对数据的安全性要求高，因此如何提高安全审计能力是物联网信息安全研究的一个重大课题。

（4）安全检测与监控技术

对信息系统中的流量及应用内容进行二至七层的检测并适度监管和控制，避免网络流量的滥用、垃圾信息和有害信息的传播。

5.5.3　典型应用

启明星辰公司研发的天清汉马USG一体化安全网关系统，发展了以深层检测技术和流分类与控制技术为基础的万兆级统一威胁管理系统架构与规范。同时充分利用已有流分类与控制、安全检测、防护、网络行为分析技术，通过研发多核内的Lockless技术、基于标签的融合式综合匹配技术等关键技术，形成“天清汉马USG一体化安全网关”系统。网关采用高性能的硬件架构和一体化的软件设计，集防火墙、VPN、网关防病毒、入侵防御、抗拒绝服务攻击、Web内容过滤、反垃圾邮件等多种安全技术于一身，同时全面支持Qos、负载均衡、高可用性、日志审计等功能，为网络边界提供了全面实时的安全防护。

2014年9月15日，绿盟科技正式发布工控漏洞扫描系统。它是国内首款工业控制系统漏洞扫描产品，支持主流的工控协议，可以对工业控制系统中的特有设备/系统进行扫描和评估。系统致力于工控网络全网安全漏洞风险评估，特别增加了传统网络设备、数据库等扫描模块，使整个工业控制网络全网安全现状一目了然。

自伊朗布什尔核电站“震网病毒”暴发以来，工业控制安全进入人们的视野，工业控制安全事件也快速增长，数不胜数，国家对工业控制安全的重视程度也越来越高，但是各研究所、工业控制系统的使用者却很难掌握当前工业控制系统的安全状况。正是在这样的背景下，绿盟科技与众多研究机构合作，研究开发出了国内首款工业控制系统漏洞扫描产品。