工业物联网数据流和安全架构
“确保工业运行安全性和可靠性的关键在于确保连接到互联网的设备和系统是安全的。”
—工业互联网联盟（IIC）执行理事Dr. Richard Soley
工业物联网（IIoT）的庞大规模和复杂性要求采用系统的方法来保护其系统架构。当复杂程度较高时，将安全范畴分解为多个子域有助于管理和降低风险，这种分解对于涉及多种技术、多个组织边界（工业物联网中的常见场景）的案例特别有用。
工业系统已经发展了数十年，其进步使我们提出保护工业物联网系统和资产的计划以避免现在或未来的威胁。本章深入介绍了工业物联网数据流和工业物联网参考架构，并介绍了IIC提出的工业互联网安全框架。随后这些讨论将引导读者了解简化的四层工业物联网安全模型，该模型将基本的工业物联网安全措施分解为四个主要的层面。
但是，在开始讲解这些细节之前，我们将简单介绍工业物联网攻击、对策和威胁建模。
本章涉及的主要内容如下：
掌握工业物联网攻击的动态对安全风险的分析和缓解来说至关重要。威胁建模通常是一种安全对策，本章稍后将对此进行讨论。攻击树和故障树是建立安全威胁模型和表述攻击风险的两种有效方法。
在现实世界中，大多数攻击都是针对物联网产品和连接中的特定漏洞。许多攻击都针对零日漏洞，对于这种漏洞，不仅可以利用漏洞进行攻击，还可以通过互联网或企业网轻松扩散攻击影响，从而产生雪球效应。由于IIoT攻击需要巨大投入和专业技能，因此大多数攻击都涉及民族、国家，足以造成重大影响。
IIoT环境中的一些常见攻击类型如下所示：
此外还存在许多其他攻击类型。如今，勒索病毒攻击事件的数量正在急剧上升。在IIoT中，如果勒索病毒将控制系统中的数据加密，则可能导致巨大的灾难。例如，医院的医疗数据被加密（参见1.10.6节）可能会导致大规模的致命后果。因此，我们需要仔细研究部署中的可能攻击，以便更好地管理安全风险。
图2-1显示了漏洞、攻击和对策的相关性。
在第1章，我们讨论了工业安全风险。为了评估攻击对系统造成的风险，我们使用了两个常用的术语攻击面和攻击向量，这两个术语与系统所针对的行业、特定部署用例以及相关的业务目标有着密切联系。
攻击面涉及可能导致攻击的各类系统组件。例如，在连接到SCADA网络的传统工控系统中，攻击面包括内部威胁、物理威胁、SCADA专用协议中的漏洞等。但是，当工控系统连接到云平台时，云技术中存在的漏洞（例如，基于IP的WAN连接、远程配置以及设备管理等）也成了攻击面。总之，IIoT显著地扩大了工业系统和基础设施的攻击面。
攻击向量包括攻击所用的工具和技术，这也与行业和所涉及的技术密切相关。攻击者可以利用各种工具和技术对系统发起攻击。因此，针对IIoT系统的攻击向量可能是物理层面的，或者是与网络、软件及供应链相关的。常见网络攻击向量的示例包括网络钓鱼、不安全的无线网络、可移动媒介、移动设备、恶意Web组件、病毒以及恶意软件。
鉴于IIoT涉及的风险具有网络和物理双重性质，在评估与任何IIoT部署相关的总体风险时，安全从业者必须考虑威胁、攻击面和攻击向量的物理后果。
OWASP物联网攻击面
OWASP已经为物联网系统总结了一份攻击面列表，并将其作为OWASP物联网项目的一部分。其如下所示，它提供了物联网系统攻击面的基本概念，同时也适用于IIoT，并且可用在基于攻击面的分析上。你还可以访问参考部分提供的OWASP网站，那里提供了进一步的详细说明。
攻击树提供了一种结构化、层次化的方式来收集和记录对指定组织的攻击，以便进行威胁分析。从根本上说，通过攻击树，我们可推断资产或目标受攻击的可能方式。
攻击树已被用于各行各业，特别是用于分析针对防篡改电子系统和电网数字控制系统的威胁，这个概念也可以被扩展用于相关行业。
如图2-2所示，攻击树是由一个根节点和多个叶子节点组成的多层图。从下到上，子节点是使直接父节点成立必须满足的条件。从下到上的每条路径，当满足根节点的条件时，攻击完成，其中每个节点的条件是否被满足只能由其直接子节点决定。
攻击树通过推理方法来考虑所有攻击和威胁，而且这些推理可以与其他威胁模型集成，以创建一种透明且直接的攻击和攻击者的分析模式。
在传统的网络安全事件中，攻击目标可能是身份盗取、数据泄露、拒绝服务等。然而，对于涉及网络物理系统的案例来说，攻击目标可能涉及物理灾难：“从关闭灯泡到关闭人类心脏”（IOT-SEC）。同样，由于与物理世界的交互，我们还需要考虑针对根节点的新的威胁和攻击方式。
对IIoT而言，攻击从本质上具有网络和物理属性，且与安全性和可靠性工程密切相关，因此，故障树分析可以作为一种有效的工具来使用。
IIoT系统和技术具有一定程度的复杂性，因此任何子系统发生故障都可能导致系统级故障。然而，我们通常可以通过改进系统设计来降低宕机的可能性。在故障树分析（FTA）中，我们对整个系统创建逻辑图，映射故障、子系统和冗余安全设计元素之间的关系。图2-3展示了故障树的示例。
与攻击树不同，FTA是自上而下的。在这里，我们通过组合一系列较低级别的事件（包括子系统故障）来进行分析。通过使用布尔逻辑，组合这些事件来分析非预期的系统状态。这也是安全性和可靠性工程中常用的演绎故障分析方法，用于理解系统如何发生故障，从而找到降低故障风险的方法。
FTA最初用于航空航天工业，其对安全保障的要求非常高。对于商用飞机，故障概率为10-9（十亿分之一）（IOT-SEC）。如今，除航空航天外，FTA还用于其他行业，如核电、化学工程、制药、能源等。FTA也用于软件工程，用于调试寻找漏洞，并且与错误排除技术密切相关。
以下一些行业和政府标准中描述了FTA方法：
完全根除安全威胁几乎不可能，无论我们采取何种安全措施来降低攻击风险，威胁都将存在。在实际部署中，安全措施都是在掌握已知威胁的基础上进行的风险管理。但是，除非我们掌握特定场景中的威胁，否则无法缓解风险（OWA-TRM）。
威胁建模是一种有效管理和展示风险的系统技术，在威胁建模中，基于对系统架构和实现的深刻理解，我们根据威胁的发生概率来识别和评估威胁，这使我们能够按照优先级顺序降低风险，既经济又有效（MST-TRM）。
微软公司为应用程序开发了一种威胁建模方法，该方法也可应用于IIoT系统。因此，我们将根据微软公司的方法来处理本节中的IIoT威胁建模，其中包括如图2-4所示的步骤。
步骤解释如下：
1.资产识别：确定必须受到保护的资产列表。
2.建立架构概览：记录整个IIoT系统的架构，其中包括子系统、平台、应用程序、信任边界、控制流以及数据流等。
3.架构分解：将架构分解为系统（应用程序、物联网端点）和基础设施（通信协议、数据中心、网络协议）组件。为该特定场景的IIoT创建安全配置文件，旨在发现设计、实现或部署配置中的漏洞。
4.威胁识别：基于攻击面和攻击向量，并使用攻击树和FTA（在本章前面讨论过）来进行威胁识别。常用的威胁识别技术有STRIDE和DREAD（接下来讨论），这两种技术都是由微软公司开发的。
5.威胁记录：使用通用威胁模板记录每个威胁，该模板定义了针对每个威胁的核心属性集。
6.威胁评级：对每个威胁进行评级，并根据威胁的影响确定威胁的优先级。评级过程会对威胁的可能性进行权衡，以指导我们有效地分配资源。
威胁的评级和排名可以根据几个因素来确定，图2-5展示了一种以风险为中心的方法，该方法可以应用于IIoT部署用例。
STRIDE威胁模型
由微软公司开发的STRIDE是对威胁进行识别和分类的一种模型，STRIDE模型还被扩展到了物联网威胁（MST-STR），并且可以应用于IIoT用例。STRIDE首字母缩略词代表以下类型的威胁：
DREAD威胁模型
在识别并对威胁分类后，对它们进行排序和设定优先级也很重要，优先级较高的威胁应优先被解决。DREAD方法旨在对威胁进行排名（MS-DREAD）。虽然DREAD最初是为子系统组件（软件、固件等）开发的，但其概念可用于IIoT系统各种粒度级别的威胁评估。
DREAD是一个首字母缩略词，代表威胁评估的五个标准：
在DREAD分类方案中，我们将根据威胁的风险值来对其进行量化、对比和优先排序。风险值可使用以下公式计算：
正如本书中已经提到的，保护网络物理系统（CPS）的概念是我们通常理解的网络安全和信息安全概念的超集。
为了确定IIoT安全的范围，我们使用术语可信度（NIST-CPS）（IIC-IISF）。根据NIST-CPS，CPS可信度的定义是：“可信度是指系统在其特征所对应的任何条件下都能够根据既有设计准则执行的可能性，其特性包括但不限于物理安全性、信息安全性、私密性、可靠性和弹性。”
工作人员高度重视IIoT系统的可信度，为使IIoT系统可信，我们必须结合IT和OT域的安全特性（IIC-IISF）。如图2-6所示，可靠的IIoT系统的关键特性结合了IT可信度（私密性、信息安全性、可靠性和弹性）和OT可信度（物理安全性、可靠性、信息安全性和弹性）等元素。本书中对IIoT安全的所有引用都建立在IIoT可信度的概念之上。
在一个机构中，企业IT和OT团队对风险的看法完全不同，我们需要平衡考虑OT和IT，以确保IIoT系统的可信度。就IIoT来说，控制流和数据流可能跨越多个中间者，信任还应贯穿整个系统生命周期，涉及各种参与者和功能实体：从硬件和软件组件构建、系统平台构建、供应链，一直到终端用户。第7章将进一步阐述这一关键概念。
在本章后续几节中，我们将分析工业大数据流，并讨论各种IIoT架构模式，然后提出一个简化的四层安全模型作为IIoT可信度的实践基础。
数据是IIoT价值链中的主要资产，传感器、执行器和控制器等工业设备会生成状态并运行相关数据，这些工业大数据中固有的信息可用于实现各种描述性、规范性和预测性的应用以及进行商业洞察。从数据处理的角度看，针对这种端到端的数据流，首先使用提取、转换和加载（ETL）方法进行预处理，然后使用人工智能和机器学习，最后应用于数据可视化和业务应用，这一过程统称为工业大数据管道（如图2-7所示）。
针对上图的解释如下：
大数据管道和数据流的具体实现可根据特定的数据管理和所有权模型变化，端到端管道可以完全由工业组织（如智能风车）拥有，或者可以利用私有云或公有云基础设施来提高应用和业务领域的效率。
当资产位于远端时（例如，风电场中的涡轮发动机和油田中的石油钻井平台），我们可能需要在资产附近进行数据处理和计算，以进行本地分析和控制。本章后续几节将进一步阐述这一过程。
从IIoT系统可信度的角度来看，大数据管道的每个元素都需要通过集成数据私密性、可靠性和机密性控制来进行设计，同时也要考虑安全性、可用性和弹性。
随后的几章，我们将讨论在这个工业数据管道和数据流中集成安全控制（如安全传输、存储和更新、安全监控等）的实用机制。
2015年，IIC发布了IIoT系统的工业互联网参考架构（IIRA）（IIC-IIRA），它采用“ISO/IEC/IEEE 42010:2011系统和软件工程—架构描述”作为通用架构和实践的标准。IIRA结合架构框架与多维抽象来分析焦点、视图、模型等，使用该参考架构有助于通过设计整合安全，架构师可以在这些参考架构之上构建特定场景的IIoT架构。
本节简要讨论IIC参考架构的四个视角，这些视角简化了对IIoT架构的理解和分解。你可以在IIC-IIRA中找到对这些视角的深入讨论。
IioT架构的业务视角有助于分析和评估面向业务的焦点，如采用IIoT解决方案的业务目标及其价值、投资回报、生命周期维护成本等，它进一步确定了IIoT系统如何通过映射到基本系统功能来实现既定目标。根据IIC:PUB:G1:V1.80:20170131：“?为了验证最终的系统确实能够满足目标需求，它们应该具有详细的可量化属性，如安全程度、安全性和弹性、衡量系统成功的基准，以及通过证据证实所声明的系统特性存在的标准。”
该视角分析了使用IIoT系统实现关键系统和业务目标所涉及的活动和工作流程。示例工作流程如下所示：
1.将新设备注册到边界网关。
2.通过自动发现和查询所有网关，在基于云的管理平台中注册新设备。
3.运行适合此设备类型的远程测试过程，并验证生成值是否在预期范围内以及是否与附近的类似设备保持一致。
此分析将使用元素映射到整体架构中对应的功能和实现上，安全性是IIoT系统使用的除了数据完整性、数据机密性和弹性之外重要的可信赖因素，我们需要在整个使用周期中予以考虑。
功能视角提供了一个基本抽象表示，以便设计IIoT端到端架构的重要功能组件。IIoT涉及多个关键任务功能组件，具有复杂的结构、交互、接口和连接，这些需要适当设计以确保其安全性和弹性。
IIRA将这个功能视角分解为五个功能域，以更好地解决分析、设计和安全集成问题，这些功能域适用于所有行业的垂直领域。虽然可能有其他方法来分解特定功能的用例，但以下五个域提供了概念功能架构的出发点：
如图2-8所示，这些功能域跨过了多种系统可信度的特性。根据具体用例的要求，这些功能域可以在逻辑上和物理上集中或分散。例如，我们可以在处于边缘的工业厂房（用于更快的处理和决策），或是在远程数据中心，或是与云服务提供商一起配置信息域。
实现视角合成了其他三类视角，其需要考虑业务目标，例如，成本和上市时间限制，与产品使用、协议、网络拓扑相关的活动，等等。这些都是满足功能特性所必需的。
这也是需要实施安全策略（如设计安全性、深度防御性和基于威胁的风险分析）的视角。
在下一节中，我们将回顾一些常见的IIoT架构，以便在详解安全分析之前建立基础的理解。
IIoT的部署包括前文讨论的各种功能域（控制、操作、信息、应用和业务），这些域的实现可以产生许多种架构模式（IIC-IIRA）。通过抽象各种IIoT部署的细节，我们可以推导出一些通用模式。我们将讨论两种常见模式以推出一种安全架构模型。
模式1：三层架构模型
三层架构非常常见，它涉及以下层的连接、数据和控制流：
图2-9显示了一个三层IIoT架构。
三层模式结合了IIoT的主要组件，如传感和控制、数据处理和转换、智能、通信和连接，以及管理服务和业务应用。它还可映射到功能视角中；例如在图2-8中，控制域功能被映射到边界层、平台层中的信息和操作上，以及企业层中的应用和业务上。
该映射可以根据实现而变化，例如在一些情况中，为了实现智能边界计算，我们可以在边界层中实现与信息处理及某些应用逻辑和规则相关的一些功能。
边界层中连接当地设备、传感器、执行器和控制系统（也称为边缘节点）的邻近网络，可以是有线或无线的形式。邻近网络可以利用网状或LAN网络拓扑，创建一个或多个集群，然后将这些集群与桥接到WAN或企业网络的边界网关相连。从边界层的节点收集的数据可以在本地处理或通过网关发送到云平台。
接入网络连接边界层和平台层，平台层整合和分析从边缘层来的数据流，还将管理和控制管理命令从企业层转发到边缘层。接入网络可以是企业网络，也可以是公共互联网上的WAN虚拟专用网络（VPN），或3G/4G/5G蜂窝网络。
企业层是管理功能的抽象层，它接收来自边缘层并在平台层中处理的数据流，这些数据可用于可视化或业务决策的分析。企业层中的操作用户还可以生成控制、配置和设备管理命令，这些命令被下传到边界节点。平台层和企业层通过服务网络连接；服务网络可以通过公共互联网或配备有企业级安全的专用网络来使用VPN。
模式2：分层数据总线架构
数据总线是连接的逻辑抽象表示，实现了一组通用模式和通用数据模型。在分层数据总线模型中，指定层中的每个端点都使用该通用模式集进行通信。
分层数据总线架构在IIoT部署的逻辑层内和逻辑层之间提供低延迟（实时）、安全、对等的数据通信，这种模式在控制和监控分布于不同层的工业案例中很有用。例如在石油钻井平台的SCADA系统中，部署于远程位置的智能机器和控制器需要直接传送控制和监控数据，这可以实现更快的本地分析。
监督层包含监督控制、监控和分析。
单独的数据总线可以连接各个系统，以便在下一个更高层进行协调控制、监控和分析。
在分层架构中，各层的数据总线可能具有不同的模式或数据模型集。为使用不同的数据模型，跨越不同层进行通信，较低级别的数据总线仅导出一组可控的内部数据。
为了匹配不同层的数据模型，我们还可以使用数据总线网关或适配器，适配器还可以隔离和桥接安全域，或充当用于兼容旧系统或不同协议（IIC-IISF）的接口点。
层与层之间的数据转发可以过滤和减少数据，由于控制和分析的范围从下到上逐层增加，因此减少跨层传输的数据量以适应范围、延迟和抽象级别内的增量则非常重要。
以数据为中心的“发布-订阅”通信模型对数据总线来说较常见，在给定层中的应用程序，通过简单地“订阅”所需的数据作为输入，并“发布”它们产生的信息。该“发布-订阅”通信模型对于快速分发大量时间关键信息来说是有效的，尤其是当传送机制不是非常可靠时。
对象管理组（OMG）的数据分发服务（DDS）标准使用此分层数据总线模型，消息队列遥测传输（MQTT）则使用基于代理的“发布-订阅”模型。DDS和MQTT及其安全功能将在第5章中讨论。
在图2-10中，我们用分层数据总线架构的示例实现来表示用于石油监测和操作控制的大型SCADA系统。
对于上一节中讨论的三层架构，IIoT安全架构必须从端到端跨越三层—从边界设备终端到平台层，最终到企业层。在分层部署数据总线的情况下，安全体系框架需要包含数据总线通信和模式、每层的端点，以及通过数据总线网关的层间通信，这表明了IIoT安全的普遍性。此外，我们应该在部署生命周期的早期评估安全风险，而且必须在设计中加入应对方案。然而，由于IIoT的一些显著特征，这些安全要求在现实世界的工业物联网部署中并不容易实现，如下面摘录自IIC的工业互联网安全框架（IIC-IISF）文档的内容：
基于前面的区别特征，图2-11显示了由IIC-IISF提出的从边界到云的多层IIoT安全框架的功能构建块；它映射到IIC参考架构的功能视角。
安全框架的功能视角由六个交互构建块组成，这些构建块分为三层，顶层包括四个核心安全功能：端点保护、通信和连接保护、安全监控和分析以及安全配置管理。
这四个功能由数据保护层以及系统级的安全模型和策略层支持。
摘自IIC-IISF对每个层的简要描述：
前四个构建块由通用数据保护功能支持，该功能涉及的数据从端点中的静态数据扩展到通信中的动态数据，还包括监控和分析功能中产生的数据，以及所有系统配置和管理数据。
工业物联网系统较复杂，涉及多个动态部件。为了简化安全性分析和实现，我们可以通过多种方式将IIoT架构分解为组件。由于大多数常见的部署模型由边界层、平台层和企业层组成，并且安全研究和发展与技术堆栈更加一致，因此在本书中，为了便于安全性分析、规划和实现，我们剖析了一个四层安全模型的整体架构：
这种分层遵循之前讨论的IIoT的安全性原则，即：
这种四层安全模型考虑了IISF中的数据保护层功能（见图2-11），其中包含静态、使用和动态数据。安全框架顶层的功能映射到此四层安全模型的第1～3层；安全框架的安全性和策略层映射到此模型的处理和管理层（如图2-12所示）。
四层模型解释如下：
采用工业物联网的组织都可以通过威胁预防和风险管理的相关政策和指南受益，这是工业物联网安全目标和业务目标的重要组成部分。由NIST、IEEE等行业组织制定的安全标准以及开放的行业标准，都需要在任何物联网部署的设计规划阶段进行评估和应用。此外，需要围绕配置和管理、数据保护、连接、端点保护、威胁分析等制订专用的安全模型和策略。
第7章会提供有关工业物联网风险管理的更多见解，并回顾现有标准和管理原则，以便为企业开发成功的安全管理模型。
本章介绍了攻击、对策和威胁建模的入门知识，为风险分析和缓解奠定了基础，还为读者介绍了有关IIoT系统可信度和工业大数据管道功能组件特征的观点。
IIoT系统非常复杂，本章介绍了由IIC开发的IIoT架构观点和模式，为你提供对端到端IIoT系统组件的清晰理解。基于使用、操作和功能域，IIoT安全架构被分解为四层安全模型，后续章节会对此进行详细阐述。
简体中文
