您的位置:首页

详情

工业互联网软件安全保障平台

2021-11-08

 

国家持续发展战略要求促进现代信息技术与制造业深度融合,重视“互联网+”智慧工业等产业创新发展,从而推动实体经济转型升级,打造制造强国和网络强国。而安全问题是传统工业企业能否在数字经济时代进行数字化、智能化升级,并顺利全面实施工业互联网的关键。
中国科学院科技服务网络计划(STS计划)双创引导项目“工业互联网软件安全保障平台”,主要针对工业互联网软件及生产过程执行系统中的漏洞易被黑客利用、工业物联网及物理信息系统中的异常部件可能影响整个生产系统这些具体问题展开深入研究和产业化工作,结合深度分析、人工智能等关键技术研究工业智慧云软件安全漏洞的检测技术,搭建面向智慧工业云领域的软件安全检测平台,并为企业提供一系列相关的科技服务。项目团队由中国科学院计算技术研究所计算机体系结构国家重点实验室程序分析小组(负责项目科研部分)和北京中科天齐信息技术有限公司(负责项目产业化部分)共同组建。项目执行时间为2020年1月至12月。
 
1 研究背景
随着越来越多的工业系统互联网和工业智慧云的建设,黑客利用工业应用的软件安全漏洞攻击呈现出定向攻击精准性提升迅速、技术手段专业化的显著特征。这些安全漏洞对我国工业信息化建设危害大,也成为了我国发展工业互联网面临的首要安全问题。具体安全问题包括3个方面。①软件安全漏洞问题。工业互联网软件及工业企业生产控制系统中的漏洞可能被黑客利用,进而破坏控制系统,严重影响系统正常运行,如2010年的震网病毒即通过Windows及西门子工业控制系统的漏洞感染并破坏了伊朗关键核设施。②系统可靠性问题。现代工业控制系统、物理信息系统中传感器等组件可能由于各种原因导致异常,而现代工业控制系统需要对各类组件异常行为有效容错,如何监测系统运行并及时发现和处理异常是保障重要工业控制系统可靠运行的关键。③数据安全性问题。通过数据驱动及基于工业生产数据的多种智能数据分析,能够有效改进并提高生产效率。而数据安全性是企业能够有效收集、存储、分析关键生产数据的前提。
根据《网络安全法》中关于关键信息基础设施安全技术措施“同步规划、同步建设、同步使用”的具体要求,需在工业互联网软件设计、建设、运维等全生命周期开展安全防护工作。当前,我国工业互联网安全防护产业发展尚处起步阶段,整体安全解决方案还不成熟,关键基础安全技术产品受制于人,安全防护设备有效性缺乏客观、公正评价。同时,我国工业互联网企业多采用传统信息安全防护技术、设备构建安全防护体系架构,尚未建立专门针对工业互联网软件的深度软件安全漏洞的检测实施标准、检测工具和数据安全保护系统等一整套的工业互联网软件安全保障体系,整体安全形势较为严峻。整体来看,在工业互联网软件安全这一领域,我国缺乏能够为行业提供有效保障的专业技术产品和服务。
 
2 研究内容
项目主要研究内容包括:①针对工业互联网软件的深度软件安全分析方法,结合人工智能及自动程序分析有效检测深度安全漏洞;②工业互联网系统运行时日志产生、收集、分析、监测方法,及时产生有效运行时日志并实时进行分析、监测及错误定位;③数据防护、访问认证方法,保证数据不被泄漏、不会被未授权访问。
 
3 主要成果
项目团队研究解决工业互联网领域软件安全漏洞问题、系统可靠性问题、安全问题、数据安全性问题等一系列问题的有效方法,并发布针对工业互联网系统的软件安全实施标准,开发形成工具并部署相关系统,从而对现代工业化系统提供全面系统的安全保障。目前,项目成果已开始全面服务于智慧工业上下游企业。
云分布式系统为实现并部署工业互联网系统的基础系统框架。项目团队着重研究和云分布式系统安全机制直接相关的潜在威胁,全方位覆盖包括认证、授权、输入验证、数据保护在内的多种安全机制。收集并深入分析现有开源云分布式系统中的已知漏洞,并对其分类复现形成针对云分布式系统的漏洞测试集。提出全新的方法来检测云分布式系统中授权、输入验证以及隐私数据泄露等漏洞,并检测到常用开源云分布式系统中44个全新漏洞,均已得到确认或修复。
项目成果现已应用于50家工业互联网上下游企业,为其提供软件安全咨询、检测、系统安全运行监测、数据安全防护等公共服务。同时,为工业互联网上下游企业提供了超过200人次的软件安全相关培训。
项目通过为我国工业互联网软件安全领域提供安全实施标准、检测工具以及安全漏洞检测系统、运行监测告警系统和数据安全防护系统一整套完备的保障体系,助力我国工业互联网安全技术和管理的提升。项目成果可为工业企业的数字化、智能化升级以及生产经营活动提供有效保障;同时,作为国家网络安全中工业互联网安全的重要一环,项目形成的研究成果将为政府、企业和相关机构提供大量可复制、可推广的经验,从而助推国家网络安全建设。