尊敬的鄭院士、曹書記、張秘書長，各位學術界的同仁們，很高興在第一屆工業(yè)互聯(lián)網(wǎng)學術專題論壇上發(fā)言。我今天想談的問題是工業(yè)互聯(lián)網(wǎng)，這個概念很熱，前景也很美好，很誘人。但是我認為工業(yè)互聯(lián)網(wǎng)的安全挑戰(zhàn)更嚴峻，從某種意義上來說，一個沒有完全保證的工業(yè)互聯(lián)網(wǎng)，是不會有什么美好前景的。

我今天想談一下工業(yè)互聯(lián)網(wǎng)的安全有什么共性的解決方案。

首先，工業(yè)互聯(lián)網(wǎng)也是網(wǎng)絡空間Cyberspace的一部分，因此對Cyberspace目前的這樣一種安全問題的本源性認知就變得非常重要了。就是到底安全的問題，它的本源問題是什么，這樣的現(xiàn)象有很多。

我歸納為四個本源性認知，第一個問題就是軟硬構件，不管是OT還是IT，或者是OT加IT，軟硬件構件的設計缺陷導致的安全漏洞不可避免。因為人類科學技術發(fā)展和認知水平的階段性特征導致的，所以漏洞問題不可能徹底避免，是因為這個原因，與是否擁有自主知識產權和國產化程度弱相關。

第二，信息技術產品生態(tài)圈中存在的軟硬件后門無法杜絕，這又是什么原因？是因為全球化時代，開放式的產業(yè)生態(tài)環(huán)境，開源的技術模式和你中有我，我中有你的產業(yè)鏈，造成了軟硬件后門問題不可能完全杜絕。只要不能掌握整個生態(tài)圈，即便你擁有自主知識產權也不能完全解決問題，這不是自主知識產權就可以解決的問題。

第三，現(xiàn)階段人類科技人類尚不能徹查漏洞后門問題，就一般意義而言，窮盡和徹查目標系統(tǒng)軟硬件代碼問題，在可預見的將來，依然是難以克服的科技難題，我們不能也不可能構建一個無毒無菌絕對安全的理想場景，工業(yè)互聯(lián)網(wǎng)也如此。

第四，信息產品安全質量尚無有效的控制辦法，比如說一塊幾萬乃至上百億晶體管的集成電路，幾萬乃至上億行代碼的軟件版本，一個復雜的信息系統(tǒng)，一個工業(yè)控制裝置，只要存在一個漏洞，或者植入一個后門，就可能導致整個信息系統(tǒng)乃至所有相同的設施都遭殃。

因此，軟硬件產品安全質量因為無法從源頭控制與保障，導致Cyberspace快速膨脹過程中，基本安全問題呈幾何級數(shù)擴散，網(wǎng)絡空間生態(tài)圈陷入了循環(huán)污染的狀態(tài)，這是必然結果。于是我們就知道了，為什么Cyberspace空間安全問題越來越多，因為信息化這個美女打開了網(wǎng)絡安全的魔盒。

基于這四個本源性認知，我們可以有四個重要推論，第一，凡是采用資源共享機制和層次化垂直處理構造的系統(tǒng)，其服務的可信性都無法自證。也就是說，底層或者低層的漏洞后門、病毒木馬可能導致上層安全措施失效，包括加密。第二的一個復雜系統(tǒng)，附加式安全措施通常不能有效防范目標對象或者主系統(tǒng)當中存在的問題。就是外部的警衛(wèi)不知道無法管控目標對象內部發(fā)生的安全問題。第三，基于攻擊者先驗知識和行為特征的防護技術，無法實時應對基于未知漏洞、未知后門的未知威脅，我叫做3U問題。于是，亡羊補牢的態(tài)勢不可能避免，代價高昂不說，還不一定能夠補牢。

第四個問題只要不走旁門外道，前門攻擊總是可以設防，我可以增強密碼，我可以增強刷臉的識別度，只要不走旁門外道，漏洞后門就是走旁門外道的。所以我們說，傳統(tǒng)安全技術應對3U威脅存在著基因缺陷，右邊的圖很漂亮，里面是硬件，然后是服務與應用，還有安全模型，但是每一層我們都可以提出左邊的三個問題，就是存在著未知的軟硬件的漏洞，是不是存在預設的軟硬件后門？是不是存在著短板效應？這樣的一個問題，無論是被保護對象，還是安全守護者，自身都無法回答這些問題。一個360的安全衛(wèi)士，他沒有漏洞嗎？他沒有后門嗎？我想，無論是誰都不能回答各問題。所以缺乏有效的感知認知就無法對不確定威脅實施有效防御。

這是我們對前面Cyberspace問題的基本認知，實際上也是我們對工業(yè)互聯(lián)網(wǎng)安全的基本認知。于是，工業(yè)互聯(lián)網(wǎng)存在著更為嚴峻的安全威脅，如果說我們現(xiàn)在的消費互聯(lián)網(wǎng)是對人，人還是有很大的抗干擾能力盡管有受騙上當?shù)男袨椤５菣C器幾乎是沒有太多的認知的，所以不僅是受騙上當，任何一個指令都會做。

我們首先看工業(yè)互聯(lián)網(wǎng)的內涵，這里面有各種各樣的說法，核心是信息化與工業(yè)化兩化融合背景下，IT技術加OT技術加互聯(lián)網(wǎng)技術，就是工業(yè)互聯(lián)網(wǎng)，我特別把IT技術和互聯(lián)網(wǎng)分開，因為IT技術早于互聯(lián)網(wǎng)，OT技術早于IT技術。

這是融合發(fā)展的創(chuàng)新產物。這條線上我們可以看到，上側是IT，是互聯(lián)網(wǎng)發(fā)展的軌跡，50年的發(fā)展軌跡。下面是OT網(wǎng)絡，是從工業(yè)革命2.0開始之后的概念，所以發(fā)展得更早。我們可以看到，他們在2000年前后出現(xiàn)了融合和交匯的部分，這也是我們看到的技術發(fā)展的趨勢，正在向融合方向邁進。

因為我們可以看到從當初的文檔信息到互聯(lián)網(wǎng)+，工業(yè)從數(shù)控、計算機輔助設計與制造，最后成為了工業(yè)互聯(lián)網(wǎng)。這里的工業(yè)是IT+OT+互聯(lián)網(wǎng)，于是我們可以看到，在工業(yè)里面原來是有自動控制，領域專用，物理隔離、確定性能服務、高可靠、高可用，有合規(guī)性操作問題，不考慮蓄意破壞的問題，工業(yè)互聯(lián)網(wǎng)是人機物互聯(lián)，高可用，高可靠，但是服務確定性有怎么保證，低時延大連接怎么保證，尤其是高可信數(shù)據(jù)安全怎么保證？如果沒有這一條。因此，工業(yè)互聯(lián)網(wǎng)安全問題，也屬于網(wǎng)絡空間安全范疇，漏洞后門的危害可能比傳統(tǒng)互聯(lián)網(wǎng)大，我們看一下它的演進趨勢，三個網(wǎng)在一個企業(yè)內部，有一個企業(yè)信息網(wǎng)，有一個工業(yè)控制網(wǎng)，還有外部的互聯(lián)網(wǎng)，工業(yè)控制網(wǎng)里面盡管存在著漏洞后門問題，因為它是物理隔離的，如果要遵守這個規(guī)則，外來的攻擊通常不可達。所以除非人為操作失誤，系統(tǒng)安全是基本可控的，所以我們說人為操作失誤是最大的安全隱患，在OT的情況下。

企業(yè)信息網(wǎng)漏洞后門問題同樣存在，但是物理隔離使之很難被利用，除非有內鬼通過不合規(guī)操作，利用U盤，把攻擊代碼植入企業(yè)信息網(wǎng)內，但是基本上還是安全的。所以因此，內鬼是企業(yè)網(wǎng)最主要的安全威脅。

再來看互聯(lián)網(wǎng)，互聯(lián)網(wǎng)的問題大家很清楚，它的核心問題就是基于漏洞后門的未知攻擊是最難防范的安全，也是目前最大的安全威脅，沒有之一。在這種情況下我們看到，企業(yè)內部面向三個網(wǎng)有融合了，首先是兩化融合的需要，使企業(yè)信息化不可避免地要與工業(yè)控制網(wǎng)絡實現(xiàn)互聯(lián)互通，網(wǎng)關成為剛需的同時，網(wǎng)間物理隔離不再能被確保，也就是供給可達性的問題，工廠內信息信息化和工業(yè)控制網(wǎng)通過了網(wǎng)關進行了連接。

隨著全球化、互聯(lián)網(wǎng)+的時代到來，信息孤島的狀況無法適應生產和管理模式的轉變，連接互聯(lián)網(wǎng)成為剛需，泛在化的安全威脅隨之而來，突出問題就是攻擊可達性，使得企業(yè)網(wǎng)和工業(yè)控制網(wǎng)內原生的漏洞后門問題凸顯，包括防火墻、網(wǎng)關、附加安全設施、自身的軟件代碼問題。也就是說，原來的企業(yè)網(wǎng)不是安全的，有內生安全缺陷，有大量的漏洞和后門，就像奧巴馬跟習主席說的一樣。奧巴馬說你們這些東西我動動手腳你們就完了，所以我們在三峽的檢查中發(fā)現(xiàn)有2000多漏洞。

所以我從三級網(wǎng)絡結構來講，互聯(lián)網(wǎng)有現(xiàn)場級、車間級、工廠級，大量的信息技術的東西，由于通了，攻擊可達性達成了，原生的漏洞和后門問題將成為新的攻擊可利用的資源。所以僅靠自身安全性都無法保證的防火墻、身份認證、合規(guī)性檢查等附加型的或者外掛式的軟硬件的防護措施，有些甚至會影響服務的確定性，難以有效應對基于軟硬件未來漏洞后門等的不確定威脅，所以一看到工業(yè)系統(tǒng)的時候，我真的是很震驚，但是也沒有什么好震驚的，因為原來是一個生活在一個隔離圈里的人，是一個無菌房間。

現(xiàn)在突然暴露在充滿細菌的環(huán)境下，這是很自然的一個情況，對于我們來說很驚訝。尤其是在全球化時代下，怎么去解決這些問題？特別是分布在全球的分工的協(xié)作，分布在全球的上下游企業(yè)件的協(xié)作，分布在全球的企業(yè)分支、云端服務、移動辦公，包括支撐工廠運行的運營環(huán)境，物流、水電汽暖、金融，全球化的接入需求每一個節(jié)點都暴露在充滿各種安全威脅的網(wǎng)絡空間環(huán)境下，大量成功攻擊案例表明，邊界防護模式已經(jīng)無法再延續(xù)物理隔離的奇跡了。所以，谷歌提出了零信任架構，就是從邊界防護到重點防護的轉變，核心思想是基于用戶身份受管設備的動態(tài)多輪認證，和基于實時指紋與用戶歷史行為的打分機制，包括精準化、層次化的資源訪問控制，架構是一種網(wǎng)絡部署方式，從邊界防護到重點防護。但是，零信任架構依然面臨著嚴峻的安全挑戰(zhàn)，比如說這些設施唯一身份標識的各種數(shù)據(jù)庫，3U問題同樣存在，一旦數(shù)據(jù)庫被攻陷，零信任架構就會崩塌。同樣的道理，訪問控制引擎中的未知漏洞后門，一旦被攻擊者成功利用，訪問授權控制功能就可能被旁路或者繞過。如何應對基于訪問控制引擎和認證數(shù)據(jù)庫未知漏洞后門的不確定攻擊？零信任架構自身不可能給出滿意答案。在全球化、大規(guī)模應用部署導致了網(wǎng)絡物理邊界的不確定。

我們可以看到，在一個工廠，IT、OT扁平化的融合網(wǎng)絡，當連接的網(wǎng)絡設備激增我們看到設備接入種類繁多，有線、無線等接入方式的靈活，在這種情況下我們可以看到，網(wǎng)絡扁平化的演進與泛在化的接入需求導致了邏輯邊界模糊化。在這樣的情況下，物理邊界的不確定，加上邏輯邊界的模糊化，接入方式的多樣化，加上設備數(shù)量的規(guī)模化，漏洞后門資源極大豐富，基于軟硬件代碼缺陷的攻擊就成為了最大的安全威脅，所以說，為什么更加嚴峻？對安全毫無知識的領域要去面對那么復雜的互聯(lián)網(wǎng)環(huán)境，不嚴峻是不可能的。

我們該怎么辦？導入擬態(tài)理論和構造，就是廣義魯棒控制和內生安全，是IT的新技術。內生安全缺陷要通過內生安全功能來克服，用8122來描述一下擬態(tài)。針對一個前提，就是防范未來漏洞后門等不確定威脅，基于一個公理，相對正確的公理，依據(jù)一個發(fā)現(xiàn)，熵不減系統(tǒng)能穩(wěn)定抵抗未知攻擊，借鑒兩種理論，可靠性理論與自動控制理論，發(fā)明一種構造，動態(tài)異構冗余構造，我們導入一種機制，叫做擬態(tài)偽裝機制，形成一種效益，測不準效應。

獲得一種功能，內生安全功能，達到了一種效果，融合現(xiàn)有安全技術可以指數(shù)量級提升防御增益，實現(xiàn)兩個目標，歸一化處理傳統(tǒng)安全和非傳統(tǒng)安全問題，獲得了廣義魯棒控制的屬性，所以擬態(tài)防御不僅僅是防御技術，應該是一個內生的構造技術，我們叫做廣義控制技術，產生的效果是內生安全效果，就是系統(tǒng)設計出來的時候就有這個，而不是靠你加防火墻才可以解決的問題。

可以提供一種在不依賴攻擊者先驗知識和行為特征信息情況下，將網(wǎng)絡空間不確定安全威脅問題，歸一化為可靠性與魯棒控制理論和技術能夠解決的問題。我們知道可靠性和魯棒控制理論發(fā)展得相當成熟，把這個不確定威脅問題歸一化，這個解決問題建立在堅實的理論基礎上。

這是擬態(tài)構造的模型，這個發(fā)行里面很簡單，中間是各種執(zhí)行體，外層是擬態(tài)框，對基于反饋函數(shù)的控制器，我們可以賦予各種算法，就像控制OT里面的話，賦予不同的控制率，控制效果就不同。在這種情況下，導入這類機制就可以使擬態(tài)構造產生一種類似于擬態(tài)偽裝的機制，這個圖很著名，這是擬態(tài)章魚，如果我不說大家可能不知道這是章魚，但是這個章魚所表現(xiàn)出的形態(tài)是各種各樣的。

在這種情況下我們又構造了一個基于一致性判別，可迭代收斂的反饋控制場景，我們將單一場景變換到多維場景將靜態(tài)場景變換到動態(tài)場景將同構場景變換到異構場景，將開環(huán)場景變換到閉環(huán)場景，極大的增強了內外勾結、協(xié)同作弊的難度。所以形成了一種效益，我叫做測不準效應。獲得了一種功能叫做內生安全功能。

它的指數(shù)量級提升了攻擊門檻任何利用個性化漏洞后門的攻擊在機理上無效。任何試錯或盲攻擊都將導致當前防御場景改變，也就是說任何協(xié)同攻擊即便成功也很難穩(wěn)定地維持和重復再現(xiàn)，某種意義上宣判了基于軟硬件代碼整個漏洞后門的攻擊理論和方法的終結。我們給了一個可視化的表達，最左邊是異構庫，生成異構執(zhí)行體，通過調度，來提供服務，然后通過策略裁決，得到一個結果，這個動態(tài)是基于裁決的動態(tài)，不是盲目的動態(tài)。

在這種情況下，我們能夠把傳統(tǒng)和非傳統(tǒng)安全問題，通過擬態(tài)構造，變換為一個擬態(tài)界內同時出現(xiàn)多數(shù)一致性錯誤的概率問題，這個可以通過量化控制來調整。所以我們導入基于擬態(tài)偽裝的策略的反饋控制函數(shù)，就能夠有效地阻止試錯式的協(xié)同或非協(xié)同攻擊，使得攻擊效果無法評估，攻擊經(jīng)驗難以繼承，攻擊場景難以復現(xiàn)。獲得的廣義魯棒控制的屬性，能夠防范已知的未知風險，也能防范不確定風險，也能抑制隨機性差模和共模故障產生的擾動，它是用系統(tǒng)架構技術滿足高可靠、高可信、高可用一體化的應用要求，這是工業(yè)互聯(lián)網(wǎng)的必須的性質。

我介紹一下擬態(tài)技術的狀態(tài)，擬態(tài)防御是可量化設計、可驗證度量的。所以對于不確定性威脅的防御和感知能力，是可以設計的，能夠顯著地增加攻擊者的成本和代價，具有獨特的內生安全效應，能夠適應全球化產業(yè)生態(tài)環(huán)境，我們不使用美國人的東西，因為它是構造形東西做的，可以自然繼承或融合信息技術和安全技術成果，具有全生命周期高性價比優(yōu)勢，不需要每天殺毒，這些在擬態(tài)里就不是什么事了，每年有一個例檢就可以了。所以擬態(tài)的防御，可靠性、可用性、抗攻擊型可量化設計，我們借助可靠性驗證理論和注入測試方法定量檢定，全球迄今尚沒有一種ICT或者CPS或者IT產品，可以利用白盒實驗進行安全性測試和度量我們知道可靠性技術需要通過白盒驗證，而不是用黑盒測試。

應該說，擬態(tài)技術顛覆了基于目標對象軟硬件漏洞后門等暗功能的攻擊理論和方法，抵消了技術和市場先行者在網(wǎng)安領域的戰(zhàn)略優(yōu)勢，比如美國人在這一方面具有安置后門和漏洞的優(yōu)勢，這種在擬態(tài)是蕩然無存的，所以改變了網(wǎng)絡空間游戲規(guī)則。我們現(xiàn)在已經(jīng)產生了各種交換機、陸游及、網(wǎng)關、文件系統(tǒng)，大概有10余類20多種擬態(tài)構造產品，涉及IT、ICT、CPS多個領域，實踐證明，產品性能穩(wěn)定可靠，技術具有普適性，費效比顯著。

在工信部的指導下，從去年1月份開始了系列化的構造設備的提供和驗證。目前所有的設備已經(jīng)得到了全面驗證，產生了一個PB的數(shù)據(jù)，工信部起范了示范試點工程作為驗收。我們對工業(yè)互聯(lián)網(wǎng)的各種部件，我們要賦予一種內生安全，我們提出了以工業(yè)互聯(lián)網(wǎng)擬態(tài)化的技術體系，我稱之為擬態(tài)之樹，就像曹書記說的5G之花，現(xiàn)在是擬態(tài)之樹。

從土壤層分、樹根、樹干、樹枝、樹葉、果實，每一個層面都有完整的生態(tài)，而不是靠一兩件法寶解決，而是一個生態(tài)。我們可以看到，在這樣的生態(tài)下，工業(yè)互聯(lián)網(wǎng)擬態(tài)產品的布局非常豐富，從下面的芯片、設備、模組，都可以做。所以富有吸引力的產業(yè)前景和五巨大的市場容量，足夠寬廣的技術與產品創(chuàng)新空間，賦予工業(yè)互聯(lián)網(wǎng)軟硬件產品不可或缺的內生安全基因，因此我們有可能在引領全球OT和IT技術和產業(yè)發(fā)展的新潮流。在這種情況下我強調一點，擬態(tài)構造的案與軟硬構件的多樣性呈指數(shù)關系，從技術上解決了開放性與安全性統(tǒng)一問題，回答了習總書記提出的一體兩翼、雙輪驅動的抓手問題。

去年5月份成立了擬態(tài)技術產業(yè)聯(lián)盟，會員已經(jīng)達到了100多家，希望我們實現(xiàn)換道超車，我本人是理事長，所以有愿意參加的都可以來報名，謝謝。

本文來源：中國信息產業(yè)網(wǎng)

總結

以上是生活随笔為你收集整理的邬江兴院士：工业互联网安全&拟态防御的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內容還不錯，歡迎將生活随笔推薦給好友。