國家工業信息安全發展研究中心：工業互聯網邊緣計算安全白皮書(2020)(54頁).pdf

1、工業互聯網邊緣計算 安全白皮書 （2020） 工業互聯網安全系列研究報告 國家工業信息安全發展研究中心 CHINA INDUSTRIAL CONTROL SYSTEMS CYBER EMERGENCY RESPONSE TEAM 工業信息安全產業發展聯盟 National Industrial Security Industry Alliance 國家工業信息安全發展研究中心 國家工業信息安全發展研究中心 國家工業信息安全發展研究中心 （工業和信息化部電子 第一研究所）簡稱國家工信安全中心， 是工業和信息化部直 屬事業單位， 是我國工業領域國家級信息安全研究與推進機 構。 為加快推進工業信息安

2、全技術研發和保障能力建設， 更 好地推動工業信息安全事業發展， 國家工信安全中心于2018 年9月成立保障技術所。 自成立以來， 保障技術所始終堅持貫徹落實總體國家安 全觀， 以護航制造強國和網絡強國建設為重點， 圍繞新一代 信息技術與制造業融合帶來的安全需求， 以 “風險可發現、 可 防范、 可處置” 為保障目標， 面向工業控制系統、 工業互聯網、 工業云、 工業大數據、 新一代信息技術等領域開展核心安全 技術攻關， 2018年以來承擔40余個工控安全、 工業互聯網安 全專項和重大課題， 構建保障技術平臺和專業技術力量， 有 力支撐主管部門完成工控安全、 工業互聯網安全等相關監督 指導工作，

3、 幫助工業互聯網企業提升安全保障能力。 保障技 術所建立了扎實的技術與服務能力， 包括工業信息安全技術 保障平臺建設、 工業信息安全實驗室建設支撐、 工業互聯網 安全技術服務與咨詢、 工業互聯網數據安全監測與防護、 工 業數據安全交換共享、 工業互聯網標識解析建設與安全認 證、 標準研究與對標評估、 安全評估評測等。 序 國家工業信息安全發展研究中心 保障技術所聯合業界單位， 推出了 工業互聯網平臺安 全 工業互聯網邊緣計算安全 工業互聯網標識解析安 全 工業互聯網數據安全 等系列白皮書， 可為業界開展工 業互聯網安全相關工作提供參考。 由于成稿倉促， 加之水平 有限， 報告中難免有疏漏和錯誤

4、之處， 懇請批評指正。 在此 對于給予白皮書編制和發布等提供指導、 支持、 幫助的單位 和個人 一并表達感謝。 編寫組 2020年12月 國家工業信息安全發展研究中心 國家工業信息安全發展研究中心 隨著工業互聯網的快速發展， 接入網絡的工業設備數 量不斷增加， 網絡規模不斷擴大， 海量數據的實時分析要求 越來越高。 作為更靠近工業數據源的計算模式， 邊緣計算逐 漸成為工業互聯網領域關注的焦點。 2018年6月， 工信部發布 工業互聯網發展行動計劃 （20182020年） ， 明確指出 “開展工業互聯網關鍵核心技術研發和產品研制， 推進邊緣 計算、 深度學習、 區塊鏈等新興前沿技術在工業互聯網的

5、應 用研究” ； 2020年3月， 印發 關于推動工業互聯網加快發展 的通知 ， 鼓勵相關單位在時間敏感網絡、 邊緣計算、 工業 智能等領域加快技術攻關， 打造智能傳感、 智能網關、 協議 轉換、 工業機理模型庫、 工業軟件等關鍵軟硬件產品， 加快 部署應用。 然而， 邊緣計算在助力工業互聯網發展的同時， 也帶來了 關聯數據泄露、 底層風險滲透等安全問題， 安全用好這把 “ 雙刃劍” 迫在眉睫。 2019年， 中國科學院沈陽自動化研究所、 國家工業信息安全發展研究中心等十余家單位聯合發布 邊 緣計算安全白皮書 。 其中， 邊緣安全參考框架1.0中指出工 業邊緣計算是邊緣計算典型的價值場景之 一

6、， 并就邊緣基礎 設施安全、 網絡安全、 數據安全、 應用安全、 邊云協同安全提 出防護措施， 但尚未針對邊緣計算應用到工業互聯網內網、 工業現場提出具體的防護措施。 然而， 邊緣計算作為工業互 白皮書編寫說明 國家工業信息安全發展研究中心 聯網內網智能化、 實時化改造的重要手段， 部署在工業互聯 網中的邊緣設備、 邊緣網絡、 邊緣應用、 邊緣平臺等面臨不 同的安全風險， 需要根據其不同特點有針對性地部署安全防 護措施。 為了進一步明確邊緣計算應用到工業互聯網場景下存 在的安全保護對象及風險、 安全防護措施和相關安全角色， 國家工業信息安全發展研究中心在 邊緣計算安全白皮書 工業信息安全標準化

7、白皮書 等已有成果的基礎上， 組織 十余家單位編寫 工業互聯網邊緣計算安全白皮書 ， 提出了 工業互聯網場景下的邊緣計算架構及安全框架， 旨在為工業 企業、 工業互聯網平臺企業、 安全企業等相關單位安全部署 邊緣計算提供參考。 國家工業信息安全發展研究中心 國家工業信息安全發展研究中心 編寫組 國家工業信息安全發展研究中心 和利時科技集團有限公司胡鵬飛、 何春明 上海觀安信息技術股份有限公司謝江 北京百度網訊科技有限公司季石磊、 王建奎 杭州?？低晹底旨夹g股份有限公司 王濱、 王星 中國科學院大學張玉清、 楊毅宇 長揚科技 （北京） 有限公司汪義舟、 張亞京 杭州安恒信息技術股份有限公司李劍

8、鋒、 葉鵬 北京東方國信科技股份有限公司敖志強、 孫廣明 北京亞控科技發展有限公司張碩、單維旺 北京科技大學林福宏 中國電子信息產業集團有限公司第 六研究所 中國鐵道科學研究院集團有限公司 電子計算技術研究所 孫巖、 柳彩云、 楊帥鋒、 張雪瑩、 畢婷、 王沖華、 江浩、 李耀兵、 張偉 王紹杰、 衣然 姚洪磊、 楊軼杰 主編： 陳雪鴻、 李俊 編寫單位和成員： 國家工業信息安全發展研究中心 上海電力大學 上海電力大學 王勇 上海云劍信息技術有限公司 上海云劍信息技術有限公司 王威 北京亞鴻世紀科技發展有限公司 北京亞鴻世紀科技發展有限公司 李俠、 喬偉 工業信息安全 （四川） 創新中心有限公

9、司 工業信息安全 （四川） 創新中心有限公司 劉尚麟 中國電子科技網絡信息安全有限公司 中國電子科技網絡信息安全有限公司 幸享宏 安天科技集團股份有限公司 安天科技集團股份有限公司 馬景輝 哈爾濱工程大學 哈爾濱工程大學 王勇 目 錄 一、 工業互聯網邊緣計算概述. 1 （一）工業互聯網邊緣計算概念與內涵 . 1 （二）工業互聯網邊緣計算研究現狀 . 3 （三）邊緣計算助力工業互聯網發展 . 9 二、 工業互聯網邊緣計算安全風險與挑戰 . 11 （一）工業互聯網邊緣計算面臨典型風險 . 11 （二）工業互聯網邊緣計算安全防護面臨挑戰 . 19 三、 工業互聯網邊緣計算安全防護 . 21 （一）

10、 國內外工業互聯網邊緣計算安全防護框架 . 21 （二）工業互聯網邊緣計算安全參考框架 . 22 （三）防護措施 . 27 四、 工業互聯網邊緣計算安全未來展望 . 40 附件：術語 . 43 參考文獻 . 45 國家工業信息安全發展研究中心 1 一、工業互聯網邊緣計算概述 （一）工業互聯網邊緣計算概念與內涵 工業互聯網邊緣計算是一種將部分數據處理和數據存儲放 在工業互聯網邊緣節點的分布式計算方式， 其通過融合工業互聯 網邊緣側的計算、通信和存儲能力，就近提供邊緣智能服務，并 可通過云邊協同機制為工業互聯網平臺提供數據支撐， 從而實現 工業互聯網泛在互聯、實時業務、可靠服務、數據優化、邊緣應

11、用智能、安全和隱私保護等多方面應用需求。工業互聯網邊緣計 算架構如圖 1 所示。 工業云工業云 MES 工業視覺識別工業視覺識別 邊 緣 平 臺 邊 緣 平 臺 邊 緣 節 點 邊 緣 節 點 DCSPLC邊緣計算盒子邊緣計算盒子邊緣控制器邊緣控制器 產品質量檢測產品質量檢測設備故障診斷設備故障診斷 邊 緣 應 用 邊 緣 應 用 預測性維護預測性維護 企業私有云企業私有云 /邊緣云邊緣云 邊緣服務器邊緣服務器 SCADA MOM RTU 邊緣網絡邊緣網絡 現場總線現場總線 互聯網互聯網/專線專線 邊緣數據上傳邊緣數據上傳/反饋反饋 邊緣數據邊緣數據 云邊協同云邊協同 邊緣接邊緣接 入平臺入平

12、臺 終端終端 設備設備 智能網關智能網關 智能終端設備智能終端設備 工業以太網工業以太網/工業無線工業無線/OPC UA AI模型推理 圖 1 工業互聯網邊緣計算架構 工業互聯網邊緣計算架構主要包括以下內容： a）終端設備。終端設備。終端設備主要包括可實現工業現場數據采集 國家工業信息安全發展研究中心 2 的各種傳感器和儀器儀表、 可執行工業控制命令的執行器和伺服 電機等，終端設備可通過工業現場總線、實時以太網等通信協議 與邊緣節點連接，實現數據、控制命令等內容的傳輸； b）邊緣節點。邊緣節點。邊緣節點主要包括具有邊緣算力的智能終端 設備、 工業控制設備、 邊緣控制器、 邊緣網關、 邊緣計算盒

13、子等， 通常部署在工業現場，實現智能感知、工業控制、實時數據處理 和實時決策。其中，智能終端設備包括搭載邊緣算力的智能攝像 頭、智能機器人、智能 AGV 小車等；工業控制設備包括 PLC、 DCS、RTU 等，它們執行工業控制規則和邏輯，實現對底層終端 設備的控制；邊緣控制器既具有邊緣計算能力，也具有實時工業 控制能力； 邊緣網關兼具通用網關的數據轉發功能和邊緣側數據 處理功能； 邊緣計算盒子是專門用于執行邊緣計算任務的算力設 備。邊緣節點作為邊緣側的算力硬件載體，為邊緣側的實時數據 處理、 AI 模型推理、 實時工業控制、 應用部署等提供計算能力； c）邊緣網絡。邊緣網絡。邊緣網絡指在網絡邊

14、緣側負責連接各種工業 設備、工業系統、工業數據，并將其接入工業互聯網邊緣平臺的 通信技術和協議。主要協議包括現場總線、工業以太網、時延敏 感網（TSN）、OPC UA、5G、WiFi、NB-IoT、LoRa、MQTT 等； d） 邊緣平臺。邊緣平臺。 邊緣平臺通常部署在企業私有云、 邊緣云、 邊 緣服務器等邊緣基礎設施上， 主要負責管理邊緣側的各種資源并 提供邊緣側的基礎平臺能力。 邊緣資源管理主要是針對邊緣節點 資源、邊緣計算資源、邊緣網絡資源和邊緣存儲資源進行調度和 國家工業信息安全發展研究中心 3 協同，最大化資源的使用；邊緣基礎能力主要提供業務編排、統 一服務接口 API 的定義和封裝

15、、 輕量級容器和微服務組件等基礎 核心能力，支撐工業邊緣智能應用和服務的開發和部署； e）邊緣應用。邊緣應用。利用邊緣側的基礎設施和邊緣平臺提供的基 礎能力，可以開發和部署各種邊緣側的工業應用和工業服務，包 括：產品質量檢測、設備故障診斷、預測性維護、工業視覺等； f） 邊緣接入邊緣接入平臺平臺。 邊緣接入平臺位于云端， 主要實現工業云 平臺對邊緣平臺基礎設施、邊緣設備等資源的管理，提供將工業 云上的應用和服務延伸到邊緣的能力， 實現邊緣和云端的數據和 能力的協同， 提供完整的邊緣和工業云平臺一體化協同服務能力； g）邊緣數據。邊緣數據。邊緣數據是工業互聯網的生產制造、運行服 務等環節在邊緣側

16、產生的機器數據、配置數據、決策數據、狀態 數據、模型數據等原始或衍生數據。這些數據呈現結構化、半結 構化、非結構化等多種格式，具有分布廣泛、數量巨大、時序性 強等特點。 （二）工業互聯網邊緣計算研究現狀 當前，相較于邊緣計算技術在其他領域的應用，工業互聯網 邊緣計算處于起步階段。 1 國外國外研究現狀研究現狀 國外在工業互聯網邊緣計算方面的研起步較早，發展較快 （如圖 2 所示）。 國家工業信息安全發展研究中心 4 2015 ETSI發布移動邊緣計算白皮 書; OpenFog聯盟成立，編寫Fog Reference Architecture。 2016 IEEE和ACM成立邊緣計算聯合 會。

17、2017 Amazon發布“Greengrass”軟件; Google推出“Cloud IoT Core”服 務和“Edge TPU”硬件芯片。 2018 IIC發布工業物聯網邊緣計算介 紹白皮書； ETSI發布標準多接入邊緣計算 （MEC）；第二階段：用例與需 求； Microsoft推出“Azure IoT Edge” 服務； ARM公司推出“Trillium”項目。 2019 ETSI發布標準多接入邊緣計算 （MEC）；MEC服務API的通用模 型。 圖2 國外工業互聯網邊緣計算發展現狀概覽 標準研制方面， 2015 年 9 月， 歐洲電信標準化協會 （ETSI） 發 布 了 移 動 邊

18、 緣 計 算 白 皮 書 （ Mobile-Edge Computing Introductory Technical White Paper） ， 該白皮書給出了移動邊緣計 算的頂層架構設計， 同時還介紹了與其他工業技術之間的接口關 系。此后，該協會又分別于 2018 年 10 月和 2019 年 1 月發布了 多接入邊緣計算（MEC）、第 2 階段：用例與需求（Multi- access Edge Computing (MEC) 、 Phase 2: Use Cases and Requirements）和多接入邊緣計算（MEC）；MEC 服務 API 的 國家工業信息安全發展研究中心 5

19、 通 用 原 則 （ Multi-access Edge Computing (MEC); General principles for MEC Service APIs）等多項 MEC 的相關標準，致力 于更好地滿足邊緣計算的應用需求和相關標準制定。 第三代合作 伙伴計劃（3GPP）也將邊緣計算列入未來 5G 時代的關鍵技術， 并且在 3GPP 系統化架構的標準化進程中，將邊緣計算的需求作 為重要設計因素。此外，3GPP 還將未來基于控制面和用戶面分 離的 5G 服務化架構寫入標準，并給出了針對邊緣計算的流量疏 導方案和業務連續性方案。由于 3GPP 的標準化工作主要針對網 絡架構，因此更加

20、注重邊緣計算平臺和網絡架構設計相關內容， 對于具體的業務場景則未做出規定。 2018 年， 美國工業互聯網聯 盟（IIC）發布了工業物聯網邊緣計算介紹白皮書，闡述了邊 緣計算技術應用在工業物聯網領域中的特性和價值， 并提出了工 業物聯網邊緣計算中的 5 條安全事項，包括：設備以及設備之上 的每一層架構都應內含安全要素、 計算和通信節點應被妥善監測 和管理、及時應用最新的安全補丁、隔離出現的攻擊、受攻擊影 響的組件必須及時獲得處理和恢復。 組織建設方面， 2015 年 11 月， 思科、 ARM、 戴爾、 英特爾、 微軟和普林斯頓大學聯合成立了 OpenFog 聯盟，主要致力于霧 計算參考架構的

21、編寫； 2016 年， 電氣和電子工程師協會 （IEEE） 和國際計算機學會 （ACM） 共同發起并成立了邊緣計算聯合會。 產業應用方面，亞馬遜（Amazon）公司于 2017 年發布了支 持邊緣端機器學習的軟件“Greengrass”；谷歌（Google）公司于 國家工業信息安全發展研究中心 6 2017 年推出了管理邊緣設備的服務“Cloud IoT Core”和運行在 邊緣端的硬件芯片 “Edge TPU” ， 提升邊緣設備的數據處理能力； 微軟 （Microsoft） 公司于 2018 年推出了邊緣計算服務 “Azure IoT Edge”，將云分析和自定義業務邏輯下移到設備端；ARM

22、 公司 于 2018 年推出“Trillium”項目，可以在邊緣設備上運行機器學 習算法。 2 國內國內研究現狀研究現狀 2016 年以后，我國逐步在工業互聯網邊緣計算領域開展研 究工作。主要工作如表 1 所示。 表1 國內工業互聯網邊緣計算發展現狀概覽 范圍范圍 時間時間 重要事件重要事件 政策政策 2017 年 11 月 深化“互聯網+先進制造業”發展工業互聯網的 指導意見發布 2018 年 6 月 工信部發布工業互聯網發展行動計劃（2018 2020 年） 標準標準 2019 年 11 月 邊緣計算安全白皮書發布 2020 年 5 月 工業互聯網邊緣計算總體架構與要求 等 7 項邊 緣計

23、算聯盟標準獲得立項 2020 年 8 月 信息安全技術 邊緣計算安全技術要求在信安 標委立項 組織組織 2016 年 11 月 邊緣計算產業聯盟（ECC）成立 2017 年 10 月 首屆中國自動化學會邊緣計算專業委員會會議在 沈陽舉行 技術技術 2017 年 中國科學院沈陽自動化研究所開展 “工業互聯網應 用協議及數據互認標準研究與試驗驗證” 項目研究 2018 年 工信部工業互聯網創新發展工程系列項目專門設 立了“工業互聯網邊緣計算基礎標準和試驗驗證” 等 8 個項目 2018 年 科技部國家重點研發計劃 “網絡協同制造和智能工 廠”重點專項專門針對邊緣計算設置了“工業互聯 網邊緣計算節點

24、設計方法與技術”等多個項目 國家工業信息安全發展研究中心 7 產業產業 2017 年 華為公司發布邊緣計算解決方案“EC-IOT” 2018 年 3 月 阿里巴巴公司發布物聯網邊緣計算產品“Link Edge” 2018 年 百度公司發布邊緣計算智能解決方案“ IoT Intelligence Edge” 2018 年 10 月 中國移動成立“邊緣計算開放計算實驗室” 政策指導方面， 2017 年 11 月， 國務院發布了關于 深化 “互 聯網+先進制造業”發展工業互聯網的指導意見，這是我國針 對工業互聯網發展的首個規范性意見， 指明了未來發展先進制造 業的方向。2018 年 6 月 7 日，

25、 工信部公布了工業互聯網發展行 動計劃（20182020 年），文件明確指出，開展工業互聯網關 鍵核心技術研發和產品研制，推進邊緣計算、深度學習、區塊鏈 等新興前沿技術在工業互聯網的應用研究。 標準研制方面， 2019 年 11 月， 邊緣計算產業聯盟發布了 邊 緣計算安全白皮書，該白皮書的目的是識別、解釋和定位與邊 緣安全相關的體系結構、設計和技術，并提出了邊緣安全的參考 框架和確保處理相應安全問題的方法組合。2020 年 5 月， 工業 互聯網邊緣計算總體架構與要求 等 7 項邊緣計算聯盟標準立項， 8 月，國家標準信息安全技術 邊緣計算安全技術要求 在信安 標委立項。 組織建設方面，20

26、16 年 11 月，由中國科學院沈陽自動化研 究所、 華為技術有限公司等單位聯合倡議成立了邊緣計算產業聯 盟（Edge Computing Consortium）；中國自動化學會成立了邊緣 計算專業委員會， 并于 2017 年 10 月舉行了首屆中國自動化學會 國家工業信息安全發展研究中心 8 邊緣計算專業委員會會議。 技術研究方面， 2017 年， 中國科學院沈陽自動化研究所承擔 “工業互聯網應用協議及數據互認標準研究與實驗驗證”項目， 對工業互聯網智能制造邊緣計算標準的制定進行了探索； 2018年， 工信部針對工業互聯網邊緣計算專門設立了 “工業互聯網邊緣計 算基礎標準和試驗驗證”等 8

27、個研究項目，通過軟硬件等方式對 邊緣計算架構技術標準的可行性與科學性進行試驗驗證； 2018年， 科技部國家重點研發計劃“網絡協同制造和智能工廠”中針對工 業互聯網邊緣計算設置了 “工業互聯網邊緣計算節點設計方法與 技術”等多個項目，主要研究邊緣計算技術在工業互聯網場景中 實現時各環節的關鍵技術。 產業應用方面，2017 年華為公司發布邊緣計算解決方案 “EC-IOT”，通過結合邊緣計算和 PLC 技術為電力、交通等行 業邊緣智能數據處理需求提供服務；2018 年 3 月阿里巴巴公司 發布物聯網邊緣計算產品“Link Edge”，該產品是一種可以在設 備上運行本地計算、消息通信、數據緩存等功能

28、的軟件，使設備 具備存儲、 計算、智能等能力；2018 年百度公司發布邊緣計算智 能解決方案“IoT Intelligence Edge”，通過在設備上安裝智能邊 緣核心軟件，將云計算的能力賦予本地；2018 年 10 月中國移動 成立“邊緣計算開放計算實驗室”，百度、騰訊、阿里、華為、 中興等多家合作商共同參與， 研究邊緣計算產業生態的構建和協 同發展。 國家工業信息安全發展研究中心 9 （三）邊緣計算助力工業互聯網發展 近年來，邊緣計算市場規模逐漸擴大，根據 Grand View Research 的最新報告，到 2027 年，全球邊緣計算市場規模預計 將達到 154 億美元，預測期內復合

29、年增長率為 38.6%。邊緣計算 通過將 ICT 基礎設施“下沉”，為工業企業在邊緣側處理數據提 供計算能力，有力推動工業互聯網的發展。 一是邊緣計算能夠實現工業互聯網設備、 協議、 數據的互聯一是邊緣計算能夠實現工業互聯網設備、 協議、 數據的互聯 互通?；ネ?。工業設備的連接是 OT 和 IT 融合的基礎。目前企業內網 主要存在現場總線、工業以太網、時延敏感網（TSN）等多種連 接方式，工業設備來自不同供應商且通信協議、接口互不兼容， 導致不同的設備無法互聯，設備中的工業數據無法有效采集、使 用、共享，從而數據價值難以充分釋放，預測性維護分析、整體 設備利用率分析等面臨困難。 邊緣計算節點通

30、過部署協議轉換功 能模塊，實現通信協議相互轉換、異構設備互聯互通。 二是二是邊緣計算邊緣計算能夠保證能夠保證工業互聯網的實時性和工業互聯網的實時性和可靠性可靠性。 相比 于傳統互聯網，工業互聯網由于涉及 OT 網絡和實時控制，對系 統的時延敏感度較傳統互聯網要高得多， 工業生產線上的工業傳 感器、機器人、工業 AR/VR，都需要毫秒或百納秒級的實時響 應。然而，由于復雜的工業現場網絡環境以及廣域網數據傳輸過 程存在的鏈接和路由不穩定等問題，這些因素造成的延遲過高、 抖動過強等問題嚴重影響工業互聯網服務的實時響應能力。 邊緣 計算節點可部署在工業生產現場， 通過提供不受網絡傳輸帶寬和 國家工業信

31、息安全發展研究中心 10 負載影響的“現場級”計算能力，避免斷網、時延過大等因素對 實時性工業生產造成影響。 三是三是邊緣計算邊緣計算能夠緩解云中心的能夠緩解云中心的帶寬壓力帶寬壓力。近年來， 接入工 業互聯網的終端設備日益增多。據 GE 預計，2020 年將有超過 500 億臺機器連入工業互聯網。高檔數控機床等工業生產設備、 傳感器等工業現場數據采集設備、 PLC 等控制設備產生大量原始 及衍生工業數據。隨著萬物互聯趨勢不斷加深，工業數據的增長 速度遠遠超過了網絡帶寬的增速， 工業互聯網平臺面臨巨大的數 據處理、 存儲壓力。 邊緣計算通過在本地緩存、 過濾和處理數據， 能夠有效緩解工業互聯網

32、平臺的帶寬壓力。 四是邊緣計算能夠四是邊緣計算能夠降低降低企業生產企業生產成本。成本。目前，中小企業一般 傾向使用公有的中心云和私有的邊緣云的方式處理工業數據。 使 用中心云的方式， 企業的數據容易在未授權的情況下被第三方使 用，存在巨大的風險成本；而使用私有的邊緣云方式，可以避免 或減少企業部署大型服務器帶來巨大的能耗、運營成本。邊緣計 算在工業現場通過將異構設備互聯互通，大量數據被釋放，為引 入大數據和機器學習等先進分析算法提供了充足的來源。 搭載這 些分析算法的智慧邊緣節點可以有效提高生產效率， 降低人工成 本。 據 IDC 預測， 未來將有超過 50%的數據在邊緣側處理， 2020 年

33、邊緣計算支出占物聯網基礎設施總支出的 18%， 成本僅為單獨 使用中心云計算的 39%。 國家工業信息安全發展研究中心 11 二、工業互聯網邊緣計算安全風險與挑戰 （一）工業互聯網邊緣計算面臨典型風險 邊緣計算在助力工業互聯網發展的同時， 也帶來了新的安全 問題，安全用好這把雙刃劍迫在眉睫。工業互聯網邊緣計算中的 安全保護對象包括：工業邊緣應用、工業邊緣平臺、工業邊緣網 絡、工業邊緣節點、工業邊緣數據和邊緣接入平臺。其面臨的安 全風險如下： 1 工業邊緣應用安全工業邊緣應用安全 工業邊緣應用部署各類專業化工業軟件， 主要圍繞設備管理、 研發設計、運營管理、生產執行、產品全生命周期管理、供應鏈

34、協同等工業應用場景， 提供傳統云化工業軟件和新型輕量化工業 應用及服務。 工業邊緣應用以工業APP服務的方式提供給用戶， 主要部署在靠近工業現場的邊緣側， 由于邊緣側設備計算及存儲 資源有限，且工業領域可用性及可靠性要求更高，因此難以為邊 緣應用部署高復雜安全算法及安全防護設備， 導致邊緣應用面臨 著應用身份鑒別、應用訪問控制、應用安全審計、通信保密性、 應用資源控制、應用接口安全等措施不足的安全風險，極易被當 做跳板攻入邊緣服務器等核心基礎設施中，引發重大損失。其面 臨的風險主要包括： a）單一憑證身份鑒別安全風險。如單鑒別技術破解攻擊； b）邊緣用戶安全風險。如用戶信息泄露； c）訪問控制

35、安全風險。 如未授權訪問、越權訪問、未經系統 國家工業信息安全發展研究中心 12 運營方許可的情況下對外傳輸數據； d）應用行為安全風險。如誤操作、根指令刪除等； e）應用監測與審計風險。如封閉的工業應用和協議難以實 時被識別，應用被篡改和入侵后難以及時發現等； f） 應用資源控制安全風險。 如資源不合理利用而引發的各種 攻擊； g）補丁安全風險。如虛假補丁、不可靠補丁等； h）測試安全風險。如源代碼泄露、錯誤和異常處理等； i）開發安全風險。如代碼漏洞、惡意后門、API 誤調用、惡 意入侵等； j）邊緣管理風險。如訪問控制不嚴、管理接口破壞、資源配 置不當和管理人員惡意操作等。 2 工工業邊

36、緣平臺安全業邊緣平臺安全 工業邊緣平臺提供邊緣資源管理和邊緣基礎能力。 工業邊緣 平臺集成了大量邊緣側生產控制數據等重要數據， 同時對部分邊 緣節點具有調度功能，一旦遭受攻擊或滲透，將導致重要數據泄 露、生產失控等安全問題。其面臨的風險主要包括： a） 物理安全風險。 相對于核心設施， 對于部署邊緣平臺的邊 緣服務器的物理防護相對薄弱，容易導致物理損壞等風險； b）服務操縱風險。邊緣服務器通過在特定地理區域部署邊 緣數據中心來提供虛擬化服務和各種管理服務， 攻擊者可獲得足 夠的控制權限，并濫用其特權作為合法的管理員操縱服務； 國家工業信息安全發展研究中心 13 c）接口安全風險。如底層風險通過

37、非安全接口滲透至邊緣 平臺； d）邊界隔離安全風險。包括邏輯隔離安全風險及物理隔離 安全風險等。其中，邊緣平臺面臨自然災害、人為破壞、竊聽攻 擊等安全風險， 邊緣平臺上的特定應用或者數據存在被非法調用 和訪問的風險； e）邊緣分析安全風險。邊緣設備在實際運行中會產生大量 實時動態數據，為攻擊者提供了數據關聯性、整合分析和隱私挖 掘的可能性； f） 容器安全風險。 包括虛擬機操縱、 虛擬鏡像泄露等。 其中， 虛擬機軟件自身安全漏洞導致虛擬機逃逸風險， 引發虛擬機之間、 容器之間的非授權訪問； g）微服務組件安全風險。包括微服務組件自身漏洞導致的 安全事故， 微服務組件不夠健壯導致的服務失敗或者服

38、務質量下 降，微服務組件內部使用人員的惡意破壞等； h）業務數據泄露。包括內部人員未遵從安全策略導致數據 泄露的風險、內部人員主動泄露的風險，外部目標性攻擊導致數 據泄露的風險等； i） 邊緣協同安全風險。 如因邊緣節點的自私行為導致服務失 敗、服務質量下降。隨著網卡可編程能力的提高，自私節點可以 通過控制競爭窗口大小的方式進行作弊， 使自己獲得更多的帶寬。 國家工業信息安全發展研究中心 14 3 工業邊緣網絡安全工業邊緣網絡安全 工業邊緣網絡涉及蜂窩網絡（GSM、4G、5G）、工業以太 網 （Modbus TCP/IP、 Profinet、 Ethernet/IP、 EtherCat、 Po

39、werLink、 SERCOSIII） 、 低功耗網絡協議 （Wifi、 BLE、Zigbee、LoRa、 NB- lot）、OPC UA 協議等多種網絡通信協議，各協議安全性不一， 增加了網絡防護難度，此外，工業網絡基礎設施的多樣性也導致 網絡安全防護困難。工業邊緣網絡面臨的風險主要包括： a）5G 環境下的安全風險。5G 采用公鑰加密接入認證，LTE 接入到 5G 網絡將帶來隱私泄露風險。此外，由于邊緣計算設備 計算能力較弱，而聯網通信具有超高可靠，低時延特性的場景， 如果采用單獨認證，可能會引發終端信令請求無法得到響應； b）通信協議漏洞風險。如 Modbus、Profinet、Zigb

40、ee 等工業 協議頻繁爆出漏洞，極易被黑客利用，引發脆弱性攻擊； c）網絡基礎設施安全風險。邊緣計算物聯網終端設備大量 使用 GSM/GPRS 物聯網卡，由于 GSM 只能認證移動端的合法 性，而移動端無法甄別基站的真偽，移動端用戶接入偽基站后， 數據信息可被偽基站截獲； d）邊界安全風險：邊緣設備通過各種協議采集數據、接入 網關， 當前常用的有 LoRa、 NB-IoT。 其中 LoRa 是非授權組網， NB-IoT 需要運營商授權。 我國有諸多設備采用了 LoRa 協議， 由 于 LoRa 具有非授權組網特性，面臨報文偽造、惡意擁塞、身份 偽造等安全風險。 國家工業信息安全發展研究中心 1

41、5 4 工業邊緣工業邊緣節點節點安全安全 部署在工業現場的邊緣節點承擔著工業現場的數據采集、 控 制反饋、算力承載等任務。其面臨的安全風險主要包括邊緣設備 自身安全風險和邊緣設備衍生安全風險兩大類， 其中自身安全風 險又主要包括物理安全風險、 系統安全風險、 設備非法接入風險、 數據安全風險等。 a） 設備物理安全風險。 首先， 部署在工業現場的缺乏物理安 全控制的邊緣設備可能被盜竊或破壞。其次，若邊緣設備的物理 接口直接暴露在設備外部， 沒有做安全防護， 則易導致非法訪問； b）操作系統安全風險。首先，邊緣算力設備可能采用通用 的嵌入式 Linux、Windows、Android 等操作系統

42、，而相關邊緣設 備操作系統可能存在系統漏洞、過期的組件、不恰當的配置以及 不安全的更新等安全問題。 一旦操作系統自身漏洞被攻擊者利用， 將導致大規模網絡攻擊等安全事件；其次，邊緣設備應用層所依 賴的組件若更新不及時，組件本身漏洞也可能被利用發起攻擊； 再次，操作系統安全配置可能存在長期不更新、不核查等問題， 不恰當的系統配置也可能使攻擊成功；最后，操作系統在更新過 程中，更新包等應當經過驗證，未經驗證非官方更新包可能是被 篡改過的，其中可能存在漏洞或惡意軟件； c）設備非法接入風險。為了集成或支持新的 IT 能力，工業 現場的邊緣設備與外界的隔離大大減少甚至提供了遠程訪問的 能力。然而工業現場

43、的邊緣設備可能使用了默認密碼、弱密碼， 國家工業信息安全發展研究中心 16 或采用了容易被繞過的認證機制， 甚至未采用任何訪問認證機制； 此外， 邊緣設備的固件中可能保留了調試測試接口等而沒有采用 合適的安全保護措施， 上述這些因素均可能導致攻擊者遠程非法 接入到邊緣設備； d）邊緣設備數據安全風險。邊緣設備上的數據在存儲、傳 輸等環節存在涉及用戶隱私或系統安全的敏感數據泄露、 未授權 讀取或篡改等風險。此外，邊緣設備與云端或移動應用端進行通 信時，若控制指令或采集的數據未經加密，則攻擊者可能通過監 聽獲取敏感數據； e）邊緣設備衍生安全風險。工業現場邊緣設備安全存在許 多區別于傳統的 IT

44、系統的安全風險，其中一個重要的區別體現 在邊緣設備的衍生安全風險上。 邊緣設備衍生安全指邊緣設備因 自身脆弱性而導致其他領域安全。 工業現場邊緣設備可能帶來對 生命安全或健康的風險，甚至對環境產生嚴重的破壞、造成生產 損失從而導致對金融乃至國家經濟正常運行帶來嚴重影響。 5 工業邊緣數據安全工業邊緣數據安全 工業邊緣數據的安全問題貫穿整個工業系統， 是創建安全邊 緣計算環境的基礎，其根本目的在于保障數據的可用性、保密性 和完整性。其面臨的風險主要包括： a） 隱私泄露風險。 在邊緣計算網絡中， 數據隱私保護算法通 常在資源受限的工業終端設備上失效， 引發如工況狀態泄露等風 險； 國家工業信息安

45、全發展研究中心 17 b） 工業數據被盜風險。 針對黑客慣用的設備身份偽造、 OTA 固件劫持、設備重放攻擊、口令破解、逆向固件、設備控制、資 源消耗等攻擊手段，沒有防護策略，導致工業數據被盜； c）工業數據因泄露和仿冒攻擊導致的數據保密性風險。邊 緣設備作為數據的第一入口，采集大量實時高價值數據，且安全 功能有限，使得工業互聯網數據泄露給未獲授權的人，例如防范 仿冒攻擊，易引發重要生產數據泄露等安全風險； d） 數據傳輸安全風險。 由于邊緣數據的存儲是動態變化的， 傳統的數據完整性校驗方法并不能完全適用于邊緣計算環境， 造 成傳輸數據被劫持，完整性被破壞等傳輸安全風險。此外，如果 邊緣設備的

46、數據上報沒有采用加密鏈路， 也會引起數據在傳輸中 的數據泄露風險； e）數據使用安全風險。邊緣數據中心在數據使用過程中， 因內外部安全風險會導致數據越權使用，源數據污染，敏感數 據泄露等數據使用安全風險。邊緣數據中心自身的安全性，也 會引發數據泄露等數據安全風險； f） 工業設備內存泄露風險。 在工業邊緣計算場景下， 邊緣節 點遠離云中心的管理，被惡意入侵的可能性大大增加，而且邊緣 節點更傾向于使用輕量級容器技術，但容器共享底層操作系統， 隔離性更差，安全威脅更加嚴重。因此，僅靠軟件來實現安全隔 離，很容易出現內存泄露或篡改等問題； g）APT 攻擊風險。APT 攻擊屬于寄生形式的攻擊，通過在 國家工業信息安全發展研究中心 18 邊緣基礎設施目標基礎設施中建立立足點， 可以從中秘密地竊取 數據，并能適應防備 APT 攻擊的安全措施； h） 外包安全風險。 當用戶對數據的控制權交給邊緣設備時， 由于數據源在物理上不再擁有數據， 部分需要本地數據拷貝的傳 統密碼學算法失效； i）交換/共享安全風險。邊緣節點處于不同安全域中，不同 信任域節點數據交換共享易引發重要數據泄露。 6 工業邊緣工業邊緣接入平臺接入平臺安全安