本书介绍了工业互联网的基本架构，并从工业互联网的网络架构、数据异构等角度剖析了工业互联网面临的安全问题，在此基础上，介绍工业互联网的安全模型、防御体系和目前常用的防御技术，给出了相关的行业应用和案例。此外，本书还梳理了工业互联网安全的热点研究方向和问题，方便读者进一步深入研究工业互联网的安全问题。
多视角分析工业互联网风险与威胁
以威胁分析—安全检测—安全防御为主线剖析工业互联网安全关键技术
聚焦信息物理融合威胁，构建工业互联网防护体系
我们正处于一个激动人心的时代，“新基建”将加速网络空间与物理空间的联通和融合。作为“新基建”八大领域之一，驶入快车道的工业互联网逐渐打破了“键盘鼠标”和“大国重器”之间的界限。在数字基础设施化和基础设施数字化的大潮之下，工业互联网已成为“新基建”的重要应用场景之一。
这是一个大安全时代，工业互联网安全正从概念诞生之初的“零散建设”走向落地生根的“全局建设”。在工业互联的进程中，互联网的角色也逐步进化：从工具到思维，再到基础设施。可以看到，以To C为主的多媒体消费互联网的安全能力远不能满足工业互联网的安全需求。工业互联网安全面临着“一优两忧”。“一优”指功能安全认识之优，体现为工业互联网在设计之际、发展之初，已将功能安全或可靠性问题考虑在内，秉承安全与发展并重的原则去建设。“两忧”指的是：由于信息技术和网络技术的相互渗透，使得功能安全问题与网络安全问题交织在一起，原有的可靠性理论与相关技术已不再适用；工业互联网所连接的系统建成时间跨度长、所连接的设备类型多且范围广，生产和消费的直接连接使攻击行为可能直达生产一线，严重动摇了传统的安全理念与技术基石。
工业互联网具有“变”的特点，因此安全也要随需应变。人-机-物互联下的制造业赋能转型，推动了“智造”理念之变；基于数据驱动的生产方式与运行模式特征愈发显著，驱动了生产要素之变；工业互联网平台的开放式生态环境，加速了工业安全体系从传统的边界防护向基于零信任的重点防护格局转变。在这些革命性的变化面前，无论是信息物理世界还是功能安全与网络安全，始终要为平台、数据、智能制造的发展提供强有力的保障。这就势必要求在变化中充分把握新的规律，始终走在变化的前头，既要解决传统的功能安全问题，又要能够应对新型的网络安全需求，不断用发展的思路解决发展中的问题。
工业互联网具有“融”的特性，因此安全也要从“融”应对。信息技术、制造技术以及融合性技术共同驱动工业互联网物理系统与数字空间的全面互联和深度协同，推进流程、数据与场景的加速融合；当“停滞的原子”和“狂奔的比特”结合，物理意义上的零部件开始附带信息，信息的流动又影响物质和能量的转化，两者之间奇妙而深度的融合构建出新的信息世界观，工业互联网就具备了信息物理二元世界的双向交互与反馈闭环特性；当“制造潮流”遇上“技术新星”，碰撞产生的化学反应全面推动工业互联网的产业发展与技术进步，数字孪生、区块链、5G等技术给工业互联网带来了数变、智变与质变。融合之下，各种问题的耦合效应、投射效应都给广义安全性带来了热点、难点和痛点。工业互联网安全本身具有鲜明的跨域知识融合的特点，涉及工业、通信、安全等多个领域，要推动工业互联网朝着更高质量、更有效率、更可持续、更安全的发展目标和模式迈进，就要以此“融”化彼“融”，安全也就处在当仁不让的位置了。
工业互联网具有“新”的特征，因此安全也要迎“新”而上。工业互联网基于全面互联而形成数据驱动的智能，可以说是一切皆新。一是新机遇，工业互联网赋能垂直产业，加速转型升级，打造具有国际竞争力的工业互联网平台，促进新模式和新业态向更高层次、更深内涵迁移，从而实现“换道超车”，使我国成为制造业强国。二是新理解，要准确把握工业互联网中物理安全、功能安全、信息安全的内涵及其关系，以及信息流的不规则流动给传统的物理安全、功能安全带来的思维冲击，同时，要理解确定性与不确定性、协同与非协同、离散与非离散、开放与封闭的对立统一。三是新挑战，在当前网络对抗的强度、频率、规模和影响力不断升级的情况下，推进工业互联网与安全生产协同发展，提升工业企业的本质安全水平，本身就蕴含着巨大的挑战。
随着工业互联网的规模化推广、平台的持续化深耕，作为三大核心要素之一的安全，尽管在工业互联网安全保障体系的构建、数据安全保护体系的建立、工业互联网安全保障能力的体系化布局、安全技术手段的创新发展，以及重点行业的应用实践与创新探索等方面都取得了长足的进步，但我们还要清醒地认识到，作为发展中的事物，工业互联网安全领域仍有很多东西值得探索，包括具有实践借鉴意义的方法论以及系统性的知识体系、攻防两侧视角的专业性知识，并以此推动整个工业互联网安全领域的技术创新、成果转化、应用推广与生态建设。
本书就是在上述愿景中诞生的产物。在本书的成书过程中，得到了国家自然科学基金重点项目（编号：61833015）、国家重点研发计划项目（编号：2020YFB2010900，编号：2018YFB08-03501）、工业互联网创新发展工程项目（编号：TC190A449，TC19084DY）等的支持，我们高度凝练和系统总结了现有的成果。此外，我们参考了国内外最新理论和技术进展、产业界的新实践与新成果，希望较为系统地呈现工业互联网安全的知识体系。
本书的目标读者包括以下几类人员：
1）网络空间安全、自动化、计算机及相关专业的本科生和研究生，本书可以作为他们学习工业互联网安全的教材。
2）安全从业者，本书可以作为他们全面了解工业互联网安全知识的入门参考。
3）安全领域的研究人员，本书可以为他们深入理解和掌握工业互联网中的安全威胁、开展相关研究提供参考。
本书从工业互联网参考体系架构出发，将工业互联网视作一个复杂巨系统，说明工业互联网自身具有的特性。然后，从这些特性的视角出发，阐述工业互联网的安全问题，引导读者思考为什么工业互联网会面临这些安全问题，探究其根源。接着，从安全根源引出工业互联网面临的安全威胁，包括系统结构、物理世界分工、技术平台应用、信息物理融合等方面带来的威胁。最后，从攻防两侧的视角说明如何形成体系性的防御方案，保障工业互联网的安全。
考虑到工业互联网安全的涉及面很广，因此我们按照“威胁分析—安全检测—体系防御”这条主线来组织内容，这样更符合安全认知的基本规律。在选择具体内容方面，我们着重在以下三个方面做了创新：一是从对手观察视角、对象防护视角和防御组织视角等多个视角审视工业互联网的安全；二是在工业互联网面临的一系列安全威胁中，重点选择信息物理融合的安全威胁进行介绍；三是在五大防护对象（设备、控制、网络、数据、应用）中，突出介绍了“设备”和“控制”对象安全并独立成章。
1.多视角选择问题
网络安全的本质是对抗，对抗中最重要的是提升本方能力，也就是保护自己的能力。因此，首先要学会用赢家思维，站在对手观察视角，像对手一样去思考，从而更好地掌握对手的套路，洞见对手所拥有的能力，知其趋势、依其模型、破其技术矩阵，从而做到应对有方。其次，站在对象防护视角有利于解决共性基础安全问题。从局部和整体的关系来说，这些对象的安全共同构成了整体安全。从覆盖面来说，这些对象涉及我国工业互联网平台实施架构中设备层、边缘层、企业层中的相关防护对象。同时，应该注意到，美国的工业互联网也涵盖端点保护、通信和连接保护、数据保护等所界定的防护对象。最后，从体系上考虑防护能力建设问题，必然要从宏观到微观、从安全规划到运营维护全面提升整体防御组织水平。今天的安全形势已经发生了巨大变化，买一些软硬件防护盒子，将它们简单堆叠或附加到系统上就能解决安全问题的时代已经过去，对手已经不是“脚本小子”，而可能是难缠的专业级选手。因此，体系防御既需要从目标、宏观、指导性层面掌握方法论，又需要了解安全防御技术的演进，理解防御理念的发展变化，更要面向实战加强主动设计与规划水平，学会运用场景化的安全运维技术。总之，面对工业互联网的新安全挑战，要转变安全思维，从被动防御过渡到主动防御，提升态势感知、监测预警等能力。
2.主要威胁关切问题
工业互联网面临着各种各样的威胁，限于篇幅，本书不可能针对所有威胁源和威胁手段展开全面分析。工业互联网面临的传统网络安全威胁、工业云安全问题等在很大程度上可以归结为内生安全共性问题，解决这些问题的相关资料不难找到，因此本书不再赘述。本书重点关注工业互联网中信息物理融合或功能安全与网络安全交集这类新兴的安全威胁。随着信息化、智能化深入生产一线，操作技术和信息技术深度融合，生产系统直接连接到网上，生产和消费的双边网络效应凸显。结合特定的工艺和流程，传统攻击向量可以穿透网络空间直达物理空间，而物理世界的注入量可变成信息量，反过来通过物理世界对虚拟世界产生影响。此外，攻击者总是寻求例外之道，信息侧与物理侧攻击手段结合后的新型威胁不断涌现，这类威胁不易检测，让人防不胜防，所以本书在选取典型威胁模式的时候，聚焦于信息物理融合的安全威胁，并以工业控制系统为重要场景，建立相应的技术矩阵，进行威胁模式分析。
3.保护对象关注问题
在工业互联网安全实施架构中，设备、控制、网络、应用、数据五大防护对象存在于设备层、边缘层和企业层。本书选择设备安全和控制安全作为重要的分析对象，主要基于以下三点考虑。一是对于工业互联网而言，设备与控制的安全是整个安全的数字化基石。工业互联网产业联盟执行理事Soley曾说过，“确保工业运行安全性和可靠性的关键在于确保连接到互联网的设备和系统是安全的”。二是从现实情况来看，设备网络安全问题十分突出，依然是重中之重。根据《中国工业互联网安全态势报告（2019）》的数据，2019年工业互联网的安全问题主要是工业设备（如工控系统、物联网设备等）安全性需要提升，急需加强针对工业设备漏洞的防护。国家互联网应急中心发布的《2020年上半年我国互联网网络安全监测数据分析报告》指出，网络恶意程序增长较快，安全漏洞大幅增长，工业互联网设备存在严重的安全隐患。三是限于本书篇幅，无法做到面面俱到。网络、应用、数据的安全也非常重要，尤其是数据，其包含生产经营相关业务数据、设备互联数据、外部数据等，且作为全新的生产
要素资源在整个系统中共享流动，一旦出现安全问题，将会给信息物理世界造成极大损失。例如，预见性维护会收集环境运行情况的数据，帮助企业及时发现并替换有问题的设备，但如果这些数据被篡改或者落入有恶意的人手中，企业将面临停工停产甚至事故伤亡的风险。
本书的第1章、第2章、第4章、第5章主要由信息工程大学的魏强负责撰写，参与的人员有浙江大学的王文海，信息工程大学的耿洋洋、王红敏、刘可、杨亚辉、冯昭阳，浙江大学的王坤，360安全人才能力发展中心的那东旭等；第3章、第6章、第9章主要由程鹏负责撰写，参与的人员有浙江大学的王孟志、王竟亦、张镇勇、汪京培、方崇荣、朱舜恺、左可、王子琛、王坤、谢一松、孟捷、张景岳、徐伟伟、易畅，信息工程大学的谢耀滨、麻荣宽等；第7章、第8章、第10章由360安全人才能力发展中心负责撰写，参与的人员主要有那东旭、王志威、周家豪、张记卫、余飞等。本书得以顺利完成，衷心感谢本书的合作者王文海老师、程鹏老师。本书在撰写过程中也得到了腾讯公司科恩实验室、郑州埃文公司的大力支持。
写书是一个艰苦的过程，极大地考验意志力、专业能力和时间管理能力。每每遇到困难，都得到了机械工业出版社华章分社朱劼老师的鼓励，其认真敬业的态度给我很大鼓舞。360安全人才能力发展中心姜思红、何宛罄、杨莹为这本书的出版付出了大量的心血，在此一并致谢。
无数个深夜，打开电脑，伴随着思绪，屏幕上一个个字符跳动出来，一点一点组成了这本书。写书的过程也是成长的过程，与书为伴，有多少次起身时的霞满东窗，就有多少次思想撞击迸发而惊艳的时光。工业互联网仍处于快速发展中，限于作者的知识水平和认知高度，书中难免有疏漏、不当之处，用网络安全行业的说法—书中难免存在未知的缺陷，敬请各位同行、读者不吝指正，我们也将不断迭代和完善本书的内容。希望这本书能对我国工业互联网安全的发展和人才成长有所助力！
魏强
2021年4月
计算机\安全
工业互联网是我国“新基建”战略的重要组成部分，具有“变”“融”“新”的特征，其所面临的安全风险与传统的互联网有极大不同。本书从工业互联网的参考安全框架出发，将工业互联网视为一个复杂巨系统，并综合对手观察视角、对象防护视角、防御组织视角来分析工业互联网的安全问题。
内容上，本书按照“威胁分析—安全检测—安全防御”的思路组织章节顺序，更加符合读者对安全的认知规律。同时，重点对信息物理融合的安全威胁进行介绍，并以设备安全和控制安全作为核心分析对象，帮助读者理解如何在工业互联网的场景下构筑内生安全防御体系。
序一
序二
序三
前言
第1章 绪论1
1.1 工业互联网的出现与发展1
1.1.1 工业互联网出现的必然性1
1.1.2 工业互联网发展的持续性4
1.2 从架构看特性8
1.2.1 工业互联网的参考体系架构8
1.2.2 系统特性分析10
1.3 从特性看安全14
1.3.1 信息系统的开放性与控制系统的封闭性之间的矛盾14
1.3.2 工业时代确定性思维和信息时代非确定性思维之间的冲突15
1.3.3 信息物理融合带来的复杂性与一致性问题16
1.4 工业互联网安全威胁的特点17
1.4.1 云边网端结构的攻击面更为广泛17
1.4.2 面向供应链的攻击无处不在17
1.4.3 工业互联网平台的网络安全风险日益严峻18
1.4.4 新技术和新应用带来新风险18
1.4.5 信息物理融合安全威胁显著增加19
1.5 工业互联网安全的发展趋势19
1.5.1 多层次、智能化、协同化的安全保障体系逐步构建完善19
1.5.2 人机物交互全生命周期一体化安全成为全局性目标20
1.5.3 工业互联网的大数据深度挖掘和安全防护成为热点20
1.5.4 内生安全防御和动态防御技术成为未来发展的重点20
1.5.5 未知入侵和功能故障的全域智能感知成为重要手段20
1.5.6 跨安全域与跨域安全的功能安全和信息安全一体化难题急需破解21
1.6 本书的知识结构21
1.7 本章小结23
1.8 习题23
第2章 工业互联网安全基础24
2.1 工业互联网安全的特征与内涵24
2.1.1 工业互联网安全的特征24
2.1.2 工业互联网安全的内涵26
2.2 工业互联网安全内涵的剖析29
2.2.1 系统性审视29
2.2.2 一体化考量30
2.2.3 对立统一性蕴含30
2.2.4 不失一般性31
2.2.5 具有特殊性32
2.3 攻击面和攻击向量的变化33
2.3.1 横向扩散使攻击面变得庞大34
2.3.2 工业数据暴露出全生命周期的攻击面34
2.3.3 棕色地带存在“过时”的攻击面34
2.3.4 攻击向量跨越信息物理空间35
2.4 功能安全与信息安全一体化35
2.4.1 IT与OT的安全需求差异35
2.4.2 功能安全与信息安全的平行发展37
2.4.3 功能安全与信息安全的融合需求40
2.5 体系化安全框架构建原则44
2.5.1 安全体系融入工业互联网系统设计44
2.5.2 一般性与特殊性相统一的过程构建45
2.5.3 对象防护与层次防护的整体安全呈现47
2.5.4 提供功能安全与信息安全融合能力47
2.5.5 缓解暗涌现性对安全系统动力学的冲击和影响48
2.6 主要工业互联网参考安全框架49
2.6.1 我国工业互联网安全框架49
2.6.2 其他安全框架54
2.6.3 工业互联网安全框架发展趋势55
2.7 本章小结56
2.8 习题56
第3章 信息物理融合威胁建模58
3.1 威胁建模58
3.1.1 信息物理融合威胁的特点58
3.1.2 信息物理融合威胁建模的新视角59
3.2 安全故障分析模型（物理侧）62
3.2.1 故障树分析法62
3.2.2 事件树分析法65
3.2.3 STAMP67
3.3 网络安全威胁模型（信息侧）74
3.3.1 KillChain工控模型74
3.3.2 ATT&CK工控模型79
3.4 信息物理融合的威胁模型84
3.4.1 STPA-SafeSec威胁模型84
3.4.2 端点系统架构层模型95
3.4.3 面向智能电网业务特性的威胁量化模型107
3.5 本章小结110
3.6 习题110
第4章 威胁模式分析111
4.1 典型事件和技术矩阵111
4.1.1 典型攻击事件112
4.1.2 技术矩阵115
4.2 攻击可达性的典型模式116
4.2.1 结合漏洞传播的USB摆渡攻击模式及防护117
4.2.2 第三方供应链污染及防护119
4.2.3 基于推送更新的水坑模式及防护121
4.2.4 边缘网络渗透及防护122
4.3 横向移动性模式124
4.3.1 利用POU在控制器之间扩散及防护125
4.3.2 利用POU从控制器向上位机扩散及防护126
4.3.3 利用工控协议从上位机向控制器扩散及防护128
4.3.4 暴力破解PLC密码认证机制及防护130
4.4 持续隐蔽性模式131
4.4.1 工业组态软件的DLL文件劫持及防护132
4.4.2 隐蔽的恶意逻辑攻击及防护134
4.4.3 PLC梯形逻辑炸弹及防护135
4.4.4 利用PLC引脚配置Rootkit及防护136
4.5 破坏杀伤性模式139
4.5.1 过程控制攻击及防护139
4.5.2 针对PLC的勒索及防护141
4.5.3 欺骗SCADA控制现场设备及防护 142
4.5.4 干扰控制决策的虚假数据注入及防护144
4.5.5 突破安全仪表系统及防护146
4.5.6 级联失效造成系统崩溃及防护147
4.6 本章小结149
4.7 习题149
第5章 设备安全分析150
5.1 设备安全分析基础150
5.1.1 设备安全分析的对象和重点150
5.1.2 设备安全分析的支撑技术与目标154
5.2 设备发现157
5.2.1 设备发现基础158
5.2.2 设备探测发现的常用方法161
5.2.3 设备真实性判断164
5.3 设备定位167
5.3.1 基于互联网信息挖掘的设备定位168
5.3.2 基于网络特征分析的设备定位171
5.3.3 定位结果的信心度分析178
5.4 设备漏洞分析179
5.4.1 工业互联网设备常见的漏洞和分析方法179
5.4.2 工业互联网可编程逻辑控制器的漏洞分析185
5.4.3 电子汽车漏洞评估192
5.5 本章小结200
5.6 习题201
第6章 控制安全分析202
6.1 控制层恶意代码分析203
6.1.1 跨越信息物理空间的实体破坏性攻击204
6.1.2 面向控制层的隐蔽欺骗载荷211
6.1.3 防御措施216
6.2 控制协议安全测试217
6.2.1 私有协议逆向分析218
6.2.2 认证机制突破与绕过221
6.2.3 工控语义攻击的发现与验证224
6.3 本章小结228
6.4 习题228
第7章 工业互联网安全风险评估229
7.1 风险评估的基本概念和方法229
7.1.1 风险评估要素及其关系230
7.1.2 工业互联网安全分析的原理231
7.1.3 安全风险评估的实施流程231
7.2 风险评估的准备232
7.3 风险信息收集233
7.4 风险计算分析233
7.4.1 发展战略识别234
7.4.2 业务识别234
7.4.3 资产识别235
7.4.4 战略、业务和资产的分析237
7.4.5 威胁识别237
7.4.6 脆弱性识别240
7.4.7 已有安全措施的识别241
7.4.8 风险分析243
7.4.9 风险可接受准则245
7.4.10 风险处置策略245
7.5 风险评估处置246
7.6 本章小结248
7.7 习题248
第8章 安全防御技术基础249
8.1 安全防御的演进249
8.2 安全设计与规划技术255
8.2.1 网络隔离与访问控制255
8.2.2 数据加密与身份认证257
8.2.3 入侵检测与攻击防御259
8.3 安全运营与响应技术262
8.3.1 资产侦测与安全管理264
8.3.2 数据保护与安全审计266
8.3.3 安全监测与态势评估269
8.3.4 应急处置与协同防护272
8.4 常用的安全攻防技术274
8.4.1 大数据安全侦查274
8.4.2 威胁狩猎与安全分析275
8.4.3 工业蜜罐与网络诱骗278
8.4.4 入侵容忍与移动目标防御281
8.4.5 内生安全与拟态防御284
8.4.6 工业云及嵌入式取证287
8.4.7 攻击源追踪与定位290
8.5 本章小结293
8.6 习题293
第9章 安全防御前沿技术295
9.1 控制系统全生命周期的内生安全295
9.1.1 控制装备与软件平台的安全增强技术295
9.1.2 控制系统运行安全技术299
9.2 工程文件全生命周期保护302
9.2.1 逻辑组态存储时的安全技术303
9.2.2 逻辑组态编译时的安全技术306
9.2.3 逻辑组态传输时的安全技术307
9.2.4 逻辑组态运行时的安全技术309
9.3 信息物理融合异常检测311
9.3.1 基于水印认证机制的异常检测方法311
9.3.2 基于D-FACTS的信息物理协同防御方法316
9.4 控制逻辑代码安全审计322
9.4.1 PLC的程序运行机制与编程方法323
9.4.2 PLC代码安全规范325
9.4.3 文本化编程语言安全分析方法329
9.4.4 梯形图编程语言安全分析方法332
9.5 本章小结336
9.6 习题336
第10章 工业互联网安全技术应用与行业案例337
10.1 工业互联网设备系统安全案例337
10.1.1 工业恶意软件Triton攻击事件回顾337
10.1.2 工业恶意软件Triton的原理338
10.1.3 工业恶意软件的防护341
10.2 工业互联网安全风险评估案例343
10.2.1 案例背景343
10.2.2 风险评估的准备343
10.2.3 要素识别344
10.2.4 脆弱性和已有安全措施的关联分析349
10.2.5 计算风险349
10.2.6 风险评估建议352
10.3 智能制造行业安全技术防护建设案例353
10.3.1 案例背景353
10.3.2 方案实现354
10.3.3 案例结论356
10.4 工业系统应急响应取证安全案例357
10.4.1 案例背景358
10.4.2 取证过程358
10.4.3 案例结论360
10.5 本章小结362
10.6 习题362
后记364
参考文献366
