推动智能工业安全“证无” | 永信至诚助力工业互联网安全测试评估

　　当前，我国工业互联网产业生态不断壮大，已经全面融入45个国民经济大类，重点平台连接工业设备超过8100万台（套）。工业互联网融合应用加速纵深拓展的同时，也带来了日益严峻的网络和数据安全挑战。

　　本文以保卫工业互联网安全为出发点，聚焦测试评估业务需求，结合当前工业互联网安全现状，分析测试评估对于工业互联网安全发展的必要性;同时，基于永信至诚多年来在网络靶场、人才建设、测试评估领域的技术积累和在工控领域的实践沉淀，提出四点建议为工业互联网安全测试评估体系建设提供参考。永信至诚也将持续基于数字风洞、网络靶场等产品以及攻防演练、赛事运营、春秋云境.com等开放性测试评估模式和社区，持续推动工业互联网安全向实质合规加强，助力智能工业安全风险“证无”。

　　工业互联网需要定期体检，通过持续测试评估保障生产连续运行

　　工业互联网在工控系统中扮演着重要角色，它将物理设备、传感器和控制系统连接起来，实现了自动化和智能化。任何对工业互联网的攻击或安全漏洞都很有可能导致生产中断、设备故障或生产质量问题，严重影响生产连续性和稳定性。

　　近年来，《工业互联网创新发展行动计划(2021-2023年)》《“工业互联网+安全生产”行动计划(2021-2023年)》《“十四五”信息化和工业化深度融合发展规划》《工业和信息化领域数据安全管理办法(试行)》《工业互联网企业网络安全分类分级管理指南(试行)》等工业互联网相关法律规范密集出台，要求“增强工业安全生产的感知、监测、预警、处置和评估能力”“基于工业互联网平台开展安全生产风险仿真、应急演练和隐患排查，推动应急处置向事前预防转变”等。加强工业互联网安全保护，开展工业互联网安全测试评估，已经成为相关企业加强实质合规、保障连续生产经营的必然要求。

　　不仅如此，随着数字化和工业化的深度融合，越来越多的工业设备和系统与互联网连接，形成了庞大的工业互联网生态系统。传统封闭的工业控制系统暴露面逐渐增加，APT攻击、勒索病毒等导致的网络和数据安全威胁事件频繁发生。据国家工业信息安全发展研究中心指出，2022年公开披露的工业领域勒索事件较2021年增长78%，工业互联网成为网络攻击重灾区。持续性开展安全测试评估，比如风险评估、防护验证、应急演练、靶场演练、风险诱捕、人才培训等，可以及时发现潜在的安全风险和漏洞，增强安全防护能力，降低遭受勒索病毒攻击的风险。

　　由此看来，作为对生产连续性有着极高要求的工业互联网领域，生了病再去看医生很有可能导致严重的经济损失和生产线的中断，而类似定期体检、疫苗接种的测试评估，可以在预防和发现问题、确保系统和网络的健康运行、预防未来风险等方面发挥重要作用，正在成为工业互联网安全体系建设的关键环节。

　　四点建议，为工业互联网安全测试评估体系建设提供参考

　　在法规监管与市场需求的双向驱动下，该如何开展工业互联网安全测试评估?作为网络靶场、人才建设领军者及测试评估赛道的领跑者，永信至诚认为应该从以下四个方面入手：

　　1.理解业务流程和场景是测试评估的重要前提

　　工业互联网应用涉及通信、电力、石油、化工、交通等各个重要行业领域，每个专业领域的工作原理和关键业务场景都相对比较复杂。在“以保护关键业务为目标”的基础上，构建整体安全防控体系，决定了我们需要理解工控系统运行的基本原理和工作方式，了解工控系统在实际工业过程中的应用和关键业务场景，这样可以更好地理解安全需求，有助于构建更加贴近业务场景的仿真环境，以及在安全测试评估过程中确定重点测试区域、制定测试方案，并更准确地评估系统的安全性能。

　　2.构建高仿真业务环境是测试评估的核心要求

　　在工信部印发的《工业互联网专项工作组2022年工作计划》中强调，“搭建一批网络安全测试环境和攻防演练靶场。”工控系统对于生产环境的连续性要求非常高，如果在真实的生产环境中进行安全测试或演练，可能会导致生产中断、设备故障或数据丢失等严重问题。通过建设高仿真的测试环境和演练靶场，将测试和演练从实际生产环境中隔离出来，在有效控制风险的前提下，对人、系统、数据以及各业务流程阶段等进行全场景测试评估，以确保其在实际生产环境中的正常运行和安全性。

　　3.部署专有云平台是测试评估高效稳定开展的根本保障

　　在安全测试、风险评估、实战演练等测试评估业务中，通常对场景的快速部署与回收、资源释放与调⽤及多⻆⾊在同⼀场景进⾏联合交互和测试等有较⾼要求。平台的高效稳定是测评任务顺利开展的根本保障。各种突发问题难以预计的测评过程，无法保证有效的验证结果。所以需要具备先进资源管理、灵活调配和工程化运营服务能力的专有云平台进行支撑，弹性伸缩、自动调整计算资源服务，对计算、网络、存储等资源进行高频繁调用和释放，确保在大规模、大流量、高波动情况下平台稳定、高效、安全运行。

　　4.建立持续运营机制是实现测试评估价值实效的关键举措

　　随着新技术、新场景的不断应用，工业生产面临的安全威胁和攻击技术也在不断演变和发展，工控系统所处的环境和业务需求也会随之发生变化，例如系统的扩展、更新、升级或业务流程的调整、新技术的引入、人员的变动等。为确保工控系统在不断变化的环境中持续运行并保持高水平的安全性，需要持续性进行测试评估，定期对人、系统、数据、方案、流程等进行量化评估，并贯穿规划建设、运营和处置等全生命周期的各个阶段，形成持续的风险验证机制，和业务相互融合促进，不断发现安全并消除隐患，直到验证没有问题，实现安全风险“证无”。

　　作为测试评估专业赛道的开启和领跑者，永信至诚凭借深厚的网络靶场技术和7+1靶场应用场景拓展实践、平行仿真技术和春秋云专有云平台支撑能力，已经助力电力、石油、石化、通信、交通等多个涉及工业互联网应用的行业领域的网络靶场落地，以智能工业“数字风洞”打造具备高仿真、高并发能力的工控靶场训练环境;落实响应国家能源局2023电力网络安全靶场建设要求，支撑国家级电力网络安全靶场建设;支持了工信部主办的全国工业互联网技术技能大赛（国家级一类职业技术技能赛事）等在内的450多场网络安全赛事演练，为国家级工业互联网技术人才提供高质量测试评估演练场等等。

　　丰富的行业实践，让永信至诚有更多机会与工业互联网领域用户交流业务，理解业务流程、工作原理、网络架构等，并在工业互联网场景仿真、平台支撑、持续运营等方面形成技术沉淀，同时积累大量业务场景，为持续进行“以保护关键业务为目标”的工业互联网安全测试评估打下扎实基础。

　　首创开放性测试评估社区，助力工控靶场实战更加常态化

　　为了进一步促进工业互联网领域人才、技术交流，助力工业互联网技术人才实战更加普及化和常态化，永信至诚在国内首家云上靶场社区春秋云境.com平台中正式上线工控靶场场景，场景高度还原，操作简单易上手。欢迎登录https://yunjing.ichunqiu.com进行体验与历练，在开放性测试评估社区中，练习技能、提升安全防护本领。

　　作为重要的工业基础设施之一，电力系统一旦受到攻击，极有可能会对国家安全，人民安全产生巨大威胁。此次工控靶场聚焦电力行业，基于平行仿真技术，将办公区、工业生产区等关键业务场景及相关业务流程映射至靶场中。通过模拟信息搜集、特权提升、横向移动、勒索病毒和钓鱼邮件等手段，对办公区内网以及传感器、PLC（可编程逻辑控制器）、SCADA（监控与数据采集系统）等各种工控设备和系统的安全性和运行交互逻辑进行测试评估，对相应防护策略的有效性进行验证，模拟各种攻击和紧急情况，让演练人员学习如何应对和应急，提高风险发现、防范和化解能力。

　　春秋云境.com是国内首家云上靶场社区，内置漏洞环境和仿真场景两大体系，通过在线开放性测试评估社区模式，广泛支撑个人、企业、学校、科研院所等社会各类群体和组织体系化进行网络安全学习、测试评估、漏洞研究、案例复现、实战演练等。依托网络靶场、人才建设领军优势和大量场景积累以及霄壤实验室的技术研究能力，永信至诚将持续对春秋云境.com社区内的学习内容、仿真场景进行更新补充，为各行业用户提供源源不断的高质量测试评估场景和实战演练资源。

　　欢迎咨询，共同推动智能工业安全“证无”

　　近年来，工业互联网作为数字基础设施，已经成为我国产业数字化转型升级、建设制造强国的关键支撑，工业互联网安全关系到国家经济社会可持续发展，是事关国家长治久安的重大战略问题。

　　作为专业的网络安全企业，永信至诚将充分发挥网络靶场、人才建设领军优势，基于“数字风洞”产品体系，持续支撑工业互联网领域的行业用户开展风险验证、实战攻防、赛事演练、人才培训等安全测试评估业务，为政企数字化转型提供专业的安全保障及专有人才输送。在推动安全风险“证无”的路上，永信至诚将竭诚为您提供专业支持，更多问题，欢迎随时联系我们，将有专业人员为您服务!