從網絡安全的角度分析，智能制造網絡化后攻擊剖面大大擴大，將面臨設備、控制、網絡、應用、云平臺、數據等八個方面的安全挑戰，但同時要看到參與到各個層面的人員因素，以及綜合各方面的高級持續性威脅APT。
智能制造 + 互聯網時代面臨的安全挑戰，概括來說，八方面的具體挑戰如下：
1、設備層安全挑戰。智能制造領域網絡中伺服驅動器、智能IO、智能傳感器、儀表、智能產品的安全挑戰，包括：所用芯片安全、嵌入式操作系統安全、編碼規范安全、第三方應用軟件安全以及功能安全等，這些設備均可能存在漏洞、缺陷、規范使用、后門等安全挑戰；目前，在制造領域并未對以上問題開展深入研究。如：西門子漏洞CVE-2016-5849等。
2、控制層安全挑戰。主要來自各類機床數控系統、PLC、運動控制器、所使用的控制協議、控制平臺、控制軟件等方面，其在設計之初可能未考慮完整性、身份校驗等安全需求，存在輸入驗證，許可、授權與訪問控制不嚴格，不當身份驗證，配置維護不足，憑證管理不嚴，加密算法過時等安全挑戰。例如：國產數控系統所采用的操作系統可能是基于某一版本Linux進行裁剪的，所使用的內核、文件系統、對外提供服務、一旦穩定均不再修改，可能持續使用多年，有的甚至超過十年，而這些內核、文件系統、服務多年所爆出的漏洞并未得到更新，安全隱患長期保留。如：西門子漏洞CVE-2017-2685、三菱PLC漏洞CNVD-2016-06361等。
3、網絡層安全挑戰。主要來自三方面：各類數控系統、PLC、應用服務器通過有線網絡或無線網絡連接，形成工業網絡，工業網絡與辦公網絡連接形成企業內部網絡，企業內部網絡與外面的云平臺連接、第三方供應鏈連接、客戶的網絡連接。主要安全挑戰包括：網絡數據傳遞過程的常見網絡威脅（如：拒絕服務、中間人攻擊等），網絡傳輸鏈路上的硬件和軟件安全（如：軟件漏洞、配置不合理等），無線網絡技術使用帶來的網絡防護邊界模糊等。如：三菱網絡模塊漏洞CNVD-2016-06360。西門子網絡服務器漏洞CNVD-2012-7944等。
4、應用層安全挑戰，指支撐工業互聯網業務運行的應用軟件及平臺的安全，如：德馬吉森精機（DMG MORI）的CELOS系統所整合的ERP（企業資源計劃）/PPS（生產計劃與控制系統）/PDM（產品數據管理）/MES制造執行系統和CAD/CAM軟件和控制系統等。智能制造領域應用軟件，與常見商用軟件的類似，將持續面臨病毒、木馬、漏洞等傳統安全挑戰；如：Ge fanuc漏洞CVE-2008-0175和CVE-2008-0176，西門子上位機漏洞CNVD-2016-11465等。
5、工業云安全挑戰，從這次CIMT上可以看到，國內各大機床廠商、數控系統廠商正在建立或即將建立的云平臺及服務，這些云平臺及服務也面臨著虛擬化中常見的違規接入、內部入侵、多租戶風險、跳板入侵、內部外聯、社工攻擊等內外部安全挑戰。
6、數據層安全挑戰，是指智能制造工廠內部生產管理數據、生產操作數據以及工廠外部數據等各類數據的安全問題，不管數據是通過大數據平臺存儲、還是分布在用戶、生產終端、設計服務器等多種設備上，海量數據都將面臨數據丟失、泄露、篡改等安全威脅。
7、人員管理的挑戰，隨著智能制造的網絡化和數字化發展，工業與IT的高度融合，企業內部人員，如：工程師、管理人員、現場操作員、企業高層管理人員等，其“有意識”或“無意識”的行為，可能破壞工業系統、傳播惡意軟件、忽略工作異常等，因為網絡的廣泛使用，這些挑戰的影響將會急劇放大；而針對人的社會工程學、釣魚攻擊、郵件掃描攻擊等大量攻擊都利用了員工無意泄露的敏感信息。因此，在智能制造+互聯網中，人員管理的也面臨巨大安全挑戰。
8、高級持續性威脅（APT），智能制造領域中的APT是以上6個方面各種挑戰組合，是最難應對、后果最嚴重的威脅。攻擊者目標可能是偷取重點智能制造企業的產品設計資料、產品應用數據等，也可能是在關鍵時刻讓智能制造企業生產停止、良品率下降、服務不及時等給企業造成直接損失，攻擊者精心策劃、為了達成既定目標，長期持續的進行攻擊，其攻擊過程包括收集各類信息收集、入侵技術準備、滲透準備、入侵攻擊、長期潛伏和等待、深度滲透、痕跡消除等一系列精密攻擊環節。如：360APT報告：摩訶草組織。
如何應對？協同聯動建立聯合防御體系！
e-works通過調查多家企業和廠商，發現智能制造企業、集成商、用戶等，在推進智能制造+互聯網過程中，面臨的各項安全挑戰幾乎沒有考慮，對安全的認識還停留在“我們不連接外網，會有什么問題呢？網絡攻擊根本進不來！”的階段，工業安全在國內智能化廠商的考慮重點中幾乎缺位。針對這個以上8類挑戰，e-works建議智能制造企業、集成商、用戶等可以從以下方面進行應對。
1、落實國家對工業安全的相關政策、指南、標準
針對工業系統信息安全的問題，國家先后出臺了《關于加強工業控制系統信息安全管理的通知》（工信部協[2011]451號）、《工業控制系統信息安全防護指南》等相關文件，對工業系統連接管理、組網管理、配置管理、設備選擇和升級、數據管理、應急管理做出了相應要求，對工業控制系統設計、選型、建設、測試、運行、檢修、廢棄各階段防護工作要求；《工業控制系統信息安全防護指南》從安全軟件選型、訪問控制策略構建、數據安全保護、資產配置管理等方面提出了具體實施細則，從安全軟件選擇與管理、配置和補丁管理、邊界安全防護、物理和環境安全防護、身份認證、遠程訪問安全、安全監測和應急預案演練、資產安全、數據安全、供應鏈管理、落實責任等給出了指導意見。智能裝備制造商、應用企業可以參考相關內容，做好必要的安全防護、安全管理和安全意識培訓。
2、構建持續檢測響應能力
假定智能制造系統無法阻止被攻破，也就是無法防護住，改變思路，在產品和解決方案設計中，增加攻破的發現能力，縮短攻擊發現的時間，將攻破后的進行應急響應的思路，改變為持續的監測和響應，不斷加強監測和威脅發現的能力，提升響應的速度。
3、應用數據驅動安全的理念
目前國際上公認解決網絡安全攻防不對稱的方法之一，是數據驅動安全，2015中國互聯網安全大會（ISC2015）大會就提出要進行態勢的感知，進行威脅情報的共享和攻擊溯源。
對于智能制造來說，對某一行業中某一家企業的攻擊，如果被發現，攻擊方法和攻擊目標被辨析，可以結合全網的安全大數據和企業自身的安全數據進行分析，形成有效的威脅情報，提供給整個行業的企業，提供行業防御的效果。
4、建立企業安全運營中心
根據Gartner的預測，工業企業建立的安全運維中心已成為一種趨勢，預計到2020年將有40%的企業將建立安全運營中心，該中心將建立企業的安全數據倉庫，對于APT攻擊，一個最大的挑戰之一是如何發現攻擊，應用數據驅動安全的理念。工業大數據進行工業生產故障的預防性維護，找出生產環節的異常，已經成為目前工業大數據的主要應用方向之一。智能制造企業和用戶對工業生產設備損壞或衰退的預測與發現，生產流程停機的預測與發現，其實就是一種工業生產的異常，而工業網絡受到攻擊也可以產生類似異常；安全運營中心可以記錄工業互聯網企業持續監測的安全信息，但這些信息堆積在倉庫里，如同“一團亂麻”，解開亂麻，需要找到一個線頭，因此，可利用工業大數據發現工業生產異常的能力，為安全大數據的分析提供觸發條件或關鍵線索，這將成為數據驅動安全的最值得實踐的方法之一。
另外利用安全大數據進行智能制造系統中的用戶和實體行為分析（UEBA），對用戶的行為和設備的行為用大數據的方法建立一個基線，偏離基線太多的時候也會出現異常，也成為安全大數據重要應用手段之一。
5、構建產業協同的聯合防御體系
我國目前暴露在公網的工業設備，超過2000臺，美國在公網的工業設備達到數萬臺，包括：PLC、數控系統以及相關工業應用系統等，隨著我國智能制造的發展，未來我國將與美國類似，將有大量的工業設備暴露在公網上，任何一個企業由于在人才、設備、數據、情報方面的限制，單獨進行防御將存在巨大困難，未來工業互聯網企業、工業互聯網企業設備提供商、安全服務商、監管機構將建立協同機制，共同應對智能制造+互聯網安全來自工業、互聯網、信息安全的跨領域、跨行業的挑戰。網絡安全的能力，將變成一種可定制的服務，智能制造企業和用戶的依據自己的威脅、成本、人才、運行階段按需使用。
智能制造領域，通過高檔數控機床及基礎制造裝備通過網絡與工業軟件、商業軟件、工程師、供應商、客戶高效互聯，向著智能化、高效化、專業化、網絡化方向發展；企業外部的商業網絡與企業內部辦公網絡、工業網絡的邊界被聯通，工業企業將面臨設備、網絡、控制、應用、云、數據、人員等多方面安全挑戰。
綜上，機床制造企業、數控系統廠商、先進制造集成商在進行智能化、網絡化、數字化產品和解決方案設計時，工業安全必須同步考慮；智能制造用戶在采購智能化產品、建設網絡化、智能化先進制造系統的，為保證自己的生產安全、數據安全，應同時要求供應商提供在工業安全方面的防護措施，并加強企業員工的安全意識。在智能制造+互聯網的背景下，工業安全不容缺位。
e-works數字化企業網擁有70多萬會員，其中包括6萬多家制造企業的信息化主管領導和CIO。e-works網站擁有海量的制造業信息化知識庫和豐富的原創欄目，日均訪問量達10萬人次以上，是國內外主流信息化廠商面向制造業首選的市場推廣平臺。SAP、IBM、華為、三星等近千家國內外主流IT廠商與e-works建立了市場推廣合作。e-works系列微信號的訂閱人數已超過32萬人，是智能制造領域最具影響力的移動社交媒體。
(3).gif)
.jpg)
.jpg)
.jpg)
.jpg)
.jpg)
.bmp)
.bmp)
.jpg)
