【關(guān)于工業(yè)控制走向虛擬化的安全性思考】

趨勢(shì)：工業(yè)控制正在走向虛擬化

“軟件正在吞噬世界，所有過(guò)去特定硬件實(shí)現(xiàn)的功能，現(xiàn)在都會(huì)通過(guò)軟件實(shí)現(xiàn)”，傳統(tǒng)封閉的工業(yè)控制系統(tǒng)，其通過(guò)特定硬件實(shí)現(xiàn)的功能在工業(yè)互聯(lián)網(wǎng)或工業(yè)4.0時(shí)代都將被軟件所取代。特別是在工業(yè)領(lǐng)域，關(guān)鍵基礎(chǔ)設(shè)施平臺(tái)，都已走上軟件定義化的旅程，而這一旅程的核心就是網(wǎng)絡(luò)虛擬化。

網(wǎng)絡(luò)虛擬化可以指一個(gè)大型的集中式云基礎(chǔ)設(shè)施，也可以指工業(yè)控制設(shè)備的現(xiàn)場(chǎng)設(shè)施，以及上述兩點(diǎn)之間的設(shè)施。其中的重點(diǎn)是，要將從前運(yùn)行在特定專用硬件上的應(yīng)用軟件遷移到虛擬化運(yùn)行環(huán)境中CONTROLENGINEERINGChina版權(quán)所有，以便優(yōu)化效率、降低成本、提高部署的靈活性與速度。

擔(dān)憂：工控網(wǎng)絡(luò)安全形勢(shì)不容樂(lè)觀

然而，在這種朝向虛擬化基礎(chǔ)設(shè)施的轉(zhuǎn)變趨勢(shì)中，關(guān)于安全性的擔(dān)憂卻在提升?；谲浖南到y(tǒng)越來(lái)越多地部署在網(wǎng)絡(luò)邊緣。這些地方通常并沒(méi)有人員在守護(hù)，其物理安全也沒(méi)有保障。如果遭到攻擊的是工業(yè)控制應(yīng)用，就可能造成更大的災(zāi)難性事件。例如，近年來(lái)的“震網(wǎng)”、“火焰”、“毒區(qū)”、“Havex”等惡意軟件嚴(yán)重影響了關(guān)鍵工業(yè)基礎(chǔ)設(shè)施的穩(wěn)定運(yùn)行，特別是近期“臭名昭著”的勒索軟件——WannaCry和NotPetya，為國(guó)際社會(huì)造成了異常慘重的損失。

博思艾倫咨詢公司于近期發(fā)表一份針對(duì)全球314家運(yùn)營(yíng)有工業(yè)控制系統(tǒng)的公司的調(diào)查報(bào)告，發(fā)現(xiàn)其中有34%的企業(yè)都在一年內(nèi)遭遇了2次以上的數(shù)據(jù)泄露。因此，隨著云計(jì)算、工業(yè)物聯(lián)網(wǎng)、軟件定義等這些新興技術(shù)的快速發(fā)展，雖然工業(yè)控制領(lǐng)域正面臨著顛覆性的變革；但是，工業(yè)控制系統(tǒng)運(yùn)營(yíng)者所面對(duì)的威脅的規(guī)模、類型和嚴(yán)重性都在快速增加。

曙光：風(fēng)河系統(tǒng)開始“現(xiàn)崢嶸”

那么，在工業(yè)控制系統(tǒng)走向虛擬化的進(jìn)程中，該如何保護(hù)其安全性呢？

對(duì)于各種關(guān)鍵基礎(chǔ)設(shè)施應(yīng)用，工業(yè)企業(yè)都需要確保所部署基于軟件的系統(tǒng)全都置于高魯棒性安全體系架構(gòu)的保護(hù)傘之下，有能力防止未授權(quán)的軟件被安裝進(jìn)來(lái)，無(wú)論它們是惡意的還是無(wú)意的。而且整個(gè)系統(tǒng)一旦上電啟用www.cechina.cn，就應(yīng)該被全面保護(hù)起來(lái)，同時(shí)又應(yīng)該支持經(jīng)過(guò)認(rèn)證授權(quán)的軟件方便地進(jìn)行遠(yuǎn)程安裝與更新，以便應(yīng)對(duì)隨時(shí)出現(xiàn)的任何新的威脅。

針對(duì)這種工控安全風(fēng)險(xiǎn)和安全需求，國(guó)內(nèi)外安全廠商、科研機(jī)構(gòu)紛紛投入力量，著手開始工控安全技術(shù)的研究和相關(guān)安全產(chǎn)品的研發(fā)。而風(fēng)河系統(tǒng)（WindRiver），一家可以為工業(yè)控制領(lǐng)域提供全面的邊緣到云軟件產(chǎn)品組合的公司，30年來(lái)一直為業(yè)界提供信息安全技術(shù)和專業(yè)知識(shí)，面對(duì)工控網(wǎng)絡(luò)安全的種種挑戰(zhàn)，憑借其虛擬化軟件和工作負(fù)載整合解決方案的安全可靠性，發(fā)揮出了其獨(dú)特的優(yōu)勢(shì)，開始嶄露頭角控制工程網(wǎng)版權(quán)所有，為工控網(wǎng)絡(luò)安全領(lǐng)域帶來(lái)了一抹曙光。

那么，風(fēng)河系統(tǒng)公司具體是如何做的呢？

對(duì)策一：TitaniumCloud虛擬化平臺(tái)

首先，風(fēng)河將一整套全面的安全機(jī)制納入最新版本的WindRiverTitaniumCloud虛擬化平臺(tái)之中，為關(guān)鍵性基礎(chǔ)設(shè)施提供可靠的保障。

面向工業(yè)控制應(yīng)用控制工程網(wǎng)版權(quán)所有，這些增強(qiáng)的安全機(jī)制已被集成到TitaniumControl產(chǎn)品之中，任何提供與管理關(guān)鍵基礎(chǔ)設(shè)施業(yè)務(wù)的工業(yè)企業(yè)，都可借助于WindRiverTitaniumCloud產(chǎn)品集，確保其云環(huán)境的安全，并且為其業(yè)務(wù)運(yùn)維提供最可信賴的防護(hù)保障。

在更新或修補(bǔ)期間，當(dāng)導(dǎo)入補(bǔ)丁和ISO映像時(shí)，TitaniumCloud使用加密簽名來(lái)對(duì)文件的真實(shí)性和一致性進(jìn)行驗(yàn)證。只有被風(fēng)河加密簽名的補(bǔ)丁和ISO才可以在TitaniumCloud之中安裝。使用這種密碼簽名，可靠地實(shí)現(xiàn)了軟件平臺(tái)在維護(hù)操作期間的全面保護(hù)。

另外，TitaniumCloud的一致性測(cè)量體系架構(gòu)（IMA）使用安全引導(dǎo)過(guò)程來(lái)確保初始引導(dǎo)加載程序和主機(jī)平臺(tái)內(nèi)核的完整性，保證用戶空間環(huán)境的一致性，同時(shí)檢測(cè)和報(bào)告已經(jīng)執(zhí)行過(guò)的可執(zhí)行文件，不論這項(xiàng)執(zhí)行出自惡意為之還是無(wú)意間偶然發(fā)生。IMA對(duì)主機(jī)文件關(guān)鍵子集的完整一致性持續(xù)進(jìn)行監(jiān)控，當(dāng)文件被訪問(wèn)時(shí)，測(cè)量和保存文件的哈希值，以便檢測(cè)文件是否曾經(jīng)被篡改，同時(shí)記錄下任何可能表明主機(jī)平臺(tái)文件完整一致性已遭到破壞的跡象。

不僅如此，在TitaniumCloud中的虛擬可信平臺(tái)模塊（vTPM）功能確保虛擬化功能的安全性至少達(dá)到與最新硬件技術(shù)所提供的安全級(jí)別一樣高。對(duì)于關(guān)鍵的工業(yè)基礎(chǔ)設(shè)施應(yīng)用，TitaniumCloudvTPM功能可以確保完全安全的端到端引導(dǎo)過(guò)程。而且，通過(guò)TitaniumCloud合作伙伴生態(tài)系統(tǒng)，風(fēng)河與供應(yīng)商合作還可以提供豐富的安全功能，例如防火墻、安全網(wǎng)關(guān)、深度包檢測(cè)（DPI）和入侵防御系統(tǒng)（IPS）。

可以說(shuō)，WindRiverTitaniumCloud產(chǎn)品集包括業(yè)界唯一的全集成化且可即刻部署的虛擬化平臺(tái)，其正常運(yùn)行時(shí)間、性能和安全性足以滿足任何規(guī)模的工業(yè)應(yīng)用及控制業(yè)務(wù)要求。

對(duì)策二：支持ARM架構(gòu)的VxWorks653平臺(tái)

其次，風(fēng)河升級(jí)了VxWorks653多核版本，現(xiàn)在已經(jīng)可以支持ARM架構(gòu)。換句話說(shuō)，無(wú)論你選擇Intel架構(gòu)、Power架構(gòu)還是ARM架構(gòu)，都可以使用基于標(biāo)準(zhǔn)的開放型虛擬化平臺(tái)，來(lái)構(gòu)建新一代工業(yè)系統(tǒng)平臺(tái)，而且運(yùn)行多種操作環(huán)境。

在整個(gè)工業(yè)控制系統(tǒng)中，大多數(shù)工控軟件都是運(yùn)行在通用操作系統(tǒng)上，例如操作員站一般都是采用Linux或Windows平臺(tái)，由于考慮到系統(tǒng)運(yùn)行的穩(wěn)定性，一般系統(tǒng)運(yùn)行后不會(huì)對(duì)Linux或Windows平臺(tái)打補(bǔ)?。涣硗?，大多工業(yè)控制網(wǎng)絡(luò)都屬于專用內(nèi)部網(wǎng)絡(luò)，不與互聯(lián)網(wǎng)相連，即使安裝反病毒軟件，也不能及時(shí)地更新病毒數(shù)據(jù)庫(kù)，并且殺毒軟件對(duì)未知病毒和惡意代碼也無(wú)能為力。操作系統(tǒng)漏洞無(wú)法避免，加之傳統(tǒng)防御技術(shù)和方式的滯后性，給病毒、惡意代碼的傳染與擴(kuò)散留下了空間。

而已通過(guò)認(rèn)證的VxWorks653平臺(tái)，風(fēng)河納入了獨(dú)特的功能安全性和信息安全性平臺(tái)產(chǎn)品集，為所有的主流硬件架構(gòu)提供支持。能夠抽象和運(yùn)行任何類型的工作負(fù)載，既包括傳統(tǒng)負(fù)載，也包括新型負(fù)載，而且具備多種安全級(jí)別能夠滿足最具挑戰(zhàn)性的環(huán)境需求。這就使得客戶能夠快速適應(yīng)不斷變化的業(yè)務(wù)需求，并在基礎(chǔ)層面上滿足日益增長(zhǎng)的創(chuàng)新和工作負(fù)載集中化的需求，并從一開始就為安全關(guān)鍵系統(tǒng)的體系結(jié)構(gòu)打下良好的基礎(chǔ)。

一直以來(lái)風(fēng)河的戰(zhàn)略核心就是基于多年來(lái)的客戶信任，旨在將其具備功能安全性和防護(hù)安全性的軟件產(chǎn)品集應(yīng)用于工業(yè)控制系統(tǒng)和架構(gòu)之中，這一點(diǎn)一直不斷的被證實(shí)。2018年，工控網(wǎng)絡(luò)安全形勢(shì)依然不容樂(lè)觀，而風(fēng)河具備魯棒性、開放性的多核集中化平臺(tái)已經(jīng)日趨成熟，所需的硬件架構(gòu)和開放的虛擬化平臺(tái)www.cechina.cn，都已整裝待發(fā)。