【關(guān)于工業(yè)控制走向虛擬化的安全性思考】

趨勢：工業(yè)控制正在走向虛擬化

“軟件正在吞噬世界，所有過去特定硬件實現(xiàn)的功能，現(xiàn)在都會通過軟件實現(xiàn)”，傳統(tǒng)封閉的工業(yè)控制系統(tǒng)，其通過特定硬件實現(xiàn)的功能在工業(yè)互聯(lián)網(wǎng)或工業(yè)4.0時代都將被軟件所取代。特別是在工業(yè)領(lǐng)域，關(guān)鍵基礎(chǔ)設(shè)施平臺，都已走上軟件定義化的旅程，而這一旅程的核心就是網(wǎng)絡虛擬化。

網(wǎng)絡虛擬化可以指一個大型的集中式云基礎(chǔ)設(shè)施，也可以指工業(yè)控制設(shè)備的現(xiàn)場設(shè)施，以及上述兩點之間的設(shè)施。其中的重點是，要將從前運行在特定專用硬件上的應用軟件遷移到虛擬化運行環(huán)境中CONTROLENGINEERINGChina版權(quán)所有，以便優(yōu)化效率、降低成本、提高部署的靈活性與速度。

擔憂：工控網(wǎng)絡安全形勢不容樂觀

然而，在這種朝向虛擬化基礎(chǔ)設(shè)施的轉(zhuǎn)變趨勢中，關(guān)于安全性的擔憂卻在提升?；谲浖南到y(tǒng)越來越多地部署在網(wǎng)絡邊緣。這些地方通常并沒有人員在守護，其物理安全也沒有保障。如果遭到攻擊的是工業(yè)控制應用，就可能造成更大的災難性事件。例如，近年來的“震網(wǎng)”、“火焰”、“毒區(qū)”、“Havex”等惡意軟件嚴重影響了關(guān)鍵工業(yè)基礎(chǔ)設(shè)施的穩(wěn)定運行，特別是近期“臭名昭著”的勒索軟件——WannaCry和NotPetya，為國際社會造成了異常慘重的損失。

博思艾倫咨詢公司于近期發(fā)表一份針對全球314家運營有工業(yè)控制系統(tǒng)的公司的調(diào)查報告，發(fā)現(xiàn)其中有34%的企業(yè)都在一年內(nèi)遭遇了2次以上的數(shù)據(jù)泄露。因此，隨著云計算、工業(yè)物聯(lián)網(wǎng)、軟件定義等這些新興技術(shù)的快速發(fā)展，雖然工業(yè)控制領(lǐng)域正面臨著顛覆性的變革；但是，工業(yè)控制系統(tǒng)運營者所面對的威脅的規(guī)模、類型和嚴重性都在快速增加。

曙光：風河系統(tǒng)開始“現(xiàn)崢嶸”

那么，在工業(yè)控制系統(tǒng)走向虛擬化的進程中，該如何保護其安全性呢？

對于各種關(guān)鍵基礎(chǔ)設(shè)施應用，工業(yè)企業(yè)都需要確保所部署基于軟件的系統(tǒng)全都置于高魯棒性安全體系架構(gòu)的保護傘之下，有能力防止未授權(quán)的軟件被安裝進來，無論它們是惡意的還是無意的。而且整個系統(tǒng)一旦上電啟用www.cechina.cn，就應該被全面保護起來，同時又應該支持經(jīng)過認證授權(quán)的軟件方便地進行遠程安裝與更新，以便應對隨時出現(xiàn)的任何新的威脅。

針對這種工控安全風險和安全需求，國內(nèi)外安全廠商、科研機構(gòu)紛紛投入力量，著手開始工控安全技術(shù)的研究和相關(guān)安全產(chǎn)品的研發(fā)。而風河系統(tǒng)（WindRiver），一家可以為工業(yè)控制領(lǐng)域提供全面的邊緣到云軟件產(chǎn)品組合的公司，30年來一直為業(yè)界提供信息安全技術(shù)和專業(yè)知識，面對工控網(wǎng)絡安全的種種挑戰(zhàn)，憑借其虛擬化軟件和工作負載整合解決方案的安全可靠性，發(fā)揮出了其獨特的優(yōu)勢，開始嶄露頭角控制工程網(wǎng)版權(quán)所有，為工控網(wǎng)絡安全領(lǐng)域帶來了一抹曙光。

那么，風河系統(tǒng)公司具體是如何做的呢？

對策一：TitaniumCloud虛擬化平臺

首先，風河將一整套全面的安全機制納入最新版本的WindRiverTitaniumCloud虛擬化平臺之中，為關(guān)鍵性基礎(chǔ)設(shè)施提供可靠的保障。

面向工業(yè)控制應用控制工程網(wǎng)版權(quán)所有，這些增強的安全機制已被集成到TitaniumControl產(chǎn)品之中，任何提供與管理關(guān)鍵基礎(chǔ)設(shè)施業(yè)務的工業(yè)企業(yè)，都可借助于WindRiverTitaniumCloud產(chǎn)品集，確保其云環(huán)境的安全，并且為其業(yè)務運維提供最可信賴的防護保障。

在更新或修補期間，當導入補丁和ISO映像時，TitaniumCloud使用加密簽名來對文件的真實性和一致性進行驗證。只有被風河加密簽名的補丁和ISO才可以在TitaniumCloud之中安裝。使用這種密碼簽名，可靠地實現(xiàn)了軟件平臺在維護操作期間的全面保護。

另外，TitaniumCloud的一致性測量體系架構(gòu)（IMA）使用安全引導過程來確保初始引導加載程序和主機平臺內(nèi)核的完整性，保證用戶空間環(huán)境的一致性，同時檢測和報告已經(jīng)執(zhí)行過的可執(zhí)行文件，不論這項執(zhí)行出自惡意為之還是無意間偶然發(fā)生。IMA對主機文件關(guān)鍵子集的完整一致性持續(xù)進行監(jiān)控，當文件被訪問時，測量和保存文件的哈希值，以便檢測文件是否曾經(jīng)被篡改，同時記錄下任何可能表明主機平臺文件完整一致性已遭到破壞的跡象。

不僅如此，在TitaniumCloud中的虛擬可信平臺模塊（vTPM）功能確保虛擬化功能的安全性至少達到與最新硬件技術(shù)所提供的安全級別一樣高。對于關(guān)鍵的工業(yè)基礎(chǔ)設(shè)施應用，TitaniumCloudvTPM功能可以確保完全安全的端到端引導過程。而且，通過TitaniumCloud合作伙伴生態(tài)系統(tǒng)，風河與供應商合作還可以提供豐富的安全功能，例如防火墻、安全網(wǎng)關(guān)、深度包檢測（DPI）和入侵防御系統(tǒng)（IPS）。

可以說，WindRiverTitaniumCloud產(chǎn)品集包括業(yè)界唯一的全集成化且可即刻部署的虛擬化平臺，其正常運行時間、性能和安全性足以滿足任何規(guī)模的工業(yè)應用及控制業(yè)務要求。

對策二：支持ARM架構(gòu)的VxWorks653平臺

其次，風河升級了VxWorks653多核版本，現(xiàn)在已經(jīng)可以支持ARM架構(gòu)。換句話說，無論你選擇Intel架構(gòu)、Power架構(gòu)還是ARM架構(gòu)，都可以使用基于標準的開放型虛擬化平臺，來構(gòu)建新一代工業(yè)系統(tǒng)平臺，而且運行多種操作環(huán)境。

在整個工業(yè)控制系統(tǒng)中，大多數(shù)工控軟件都是運行在通用操作系統(tǒng)上，例如操作員站一般都是采用Linux或Windows平臺，由于考慮到系統(tǒng)運行的穩(wěn)定性，一般系統(tǒng)運行后不會對Linux或Windows平臺打補??；另外，大多工業(yè)控制網(wǎng)絡都屬于專用內(nèi)部網(wǎng)絡，不與互聯(lián)網(wǎng)相連，即使安裝反病毒軟件，也不能及時地更新病毒數(shù)據(jù)庫，并且殺毒軟件對未知病毒和惡意代碼也無能為力。操作系統(tǒng)漏洞無法避免，加之傳統(tǒng)防御技術(shù)和方式的滯后性，給病毒、惡意代碼的傳染與擴散留下了空間。

而已通過認證的VxWorks653平臺，風河納入了獨特的功能安全性和信息安全性平臺產(chǎn)品集，為所有的主流硬件架構(gòu)提供支持。能夠抽象和運行任何類型的工作負載，既包括傳統(tǒng)負載，也包括新型負載，而且具備多種安全級別能夠滿足最具挑戰(zhàn)性的環(huán)境需求。這就使得客戶能夠快速適應不斷變化的業(yè)務需求，并在基礎(chǔ)層面上滿足日益增長的創(chuàng)新和工作負載集中化的需求，并從一開始就為安全關(guān)鍵系統(tǒng)的體系結(jié)構(gòu)打下良好的基礎(chǔ)。

一直以來風河的戰(zhàn)略核心就是基于多年來的客戶信任，旨在將其具備功能安全性和防護安全性的軟件產(chǎn)品集應用于工業(yè)控制系統(tǒng)和架構(gòu)之中，這一點一直不斷的被證實。2018年，工控網(wǎng)絡安全形勢依然不容樂觀，而風河具備魯棒性、開放性的多核集中化平臺已經(jīng)日趨成熟，所需的硬件架構(gòu)和開放的虛擬化平臺www.cechina.cn，都已整裝待發(fā)。