工业互联网供应链安全风险研究

张晓菲 卢春景 于盟

摘   要：随着工业互联网的发展，现实世界和网络世界深度联通，网络攻击穿透虚拟空间，直接影响到工业运行安全的可能性逐步提升，供应链安全作为保障工业互联网安全的重要部分应得到进一步重视。针对工业互联网供应链安全风险，文章从产品的开发、交付、使用等方面，分析了供应链环节潜在安全风险，并对供应链存在的问题进行分析，参照网络安全审查相关规定，提出了针对性的防护建议。

关键词：工业互联网;供应链;安全防护;网络安全审查

中图分类号： TP399          文献标识码：A

Abstract： With the development of the industrial internet， the real world and the network world are deeply connected， The possibility of cyberspace attacking that can penetrate the virtual space and affect the security of industrial operation is gradually increasing，the security of the industrial internet supply chain as an important part of the security of the industrial internet deserves more attention. In view of the security risks of industrial internet supply chain， this paper analyzes the potential security risks of industrial internet products in the supply chain from the aspects of product development， delivery and use， analyzes the problems existing in the supply chain， and puts forward targeted protection suggestions referring to the relevant provisions of cyber security review.

Key words： industrial internet;supply chain;protection suggestions;cyber security review

1 引言

2012年，自通用電气首次提出“工业互联网”概念以来，工业互联网在全球范围高速发展。2015年，国务院发布《关于积极推进“互联网+”行动的指导意见》，推动互联网与制造业融合，国内工业互联网发展进入高速车道。工业互联网作为传统网络平台和工业控制系统的融合，把工业现场设备、生产线、工厂、供应商、产品和客户紧密地连接起来，其组成包括了服务器、操作系统、数据库、虚拟设备、PLC、DCS系统、MES系统、SIS系统、SCADA系统等。

工业互联网作为新基建的重要组成部分，其供应链安全将直接影响着工业互联网的安全。工业互联网的供应链是指工业互联网相关的软硬件产品，或工业互联网平台生产及流通过程中，相关的设备开发商、元器件提供商、生产商、分销商以及最终用户等，通过与上游、下游连接组成的链路结构。如果工业互联网平台的软硬件的研发、供应、交付等供应链环节，缺乏科学的安全管理手段，存在先天安全隐患甚至被恶意攻击，将使得工业互联网平台软硬件设备存在安全隐患，间接影响着工业互联网平台的正常运转，为此工业互联网平台供应链安全亟需重点关注。

2 工业互联网供应链安全风险

工业互联网供应链安全是指工业互联网产品在开发、交付、验收、使用、维护整个生命周期内的安全[1]，任何一个环节出现安全风险，都可能会给最终构建的工业互联网安全稳定运行带来影响。其中，工业互联网平台侧的网络设备、虚拟设备、操作系统、数据库、工业互联网APP等信息技术软硬件更新迭代速度较快，工业侧的PLC、DCS系统、SCADA系统等工业控制系统软硬件更新迭代速度较慢，需要在网络安全管理过程中区别处理和对待，且需要更全面的知识储备开展安全保障工作，以增加了工业互联网安全防护难度。因此，需要从各个环节对工业互联网供应链安全保障进行深入剖析[2]，找出症结，提出对策。

2.1 开发环节安全风险

开发环节是供应链最上游环节，如果在这个环节引入安全隐患、受到网络攻击或者被病毒感染，产品在后续交付或使用环节中必然受到影响，造成产品所在系统信息泄露或者系统被远程控制等安全风险。

开发环节安全风险是由于开发工具、开发人员、开发环境受到攻击或者不规范操作导致的，官方第三方支持库下载渠道被篡改、开发工具不安全、开发人员安全意识淡薄、代码不规范、代码共享、开发环境隐藏病毒等都是影响开发环节产品安全的因素。例如，Xcode工具，它是苹果公司发布的一款iOS和OSX应用程序开发工具（IDE），适用于Mac OSX操作系统。2015年9月14日，非官方途径获取的Xcode工具被攻击者植入恶意代码（Xcode Ghost），导致部分应用开发者使用被感染病毒的Xcode工作，编译出的APP应用程序均被植入恶意代码，因此造成至少692种APP被感染，过亿用户受到影响，包括微信、滴滴、网易云音乐等应用[3]。在工业互联网应用场景中，一旦应用于现场控制场景的工业互联网APP的开发环节遭受攻击或被植入恶意代码，将间接威胁工业企业的现场生产，甚至导致现场设备宕机，造成生产事故。

2.2 交付环节安全风险

产品交付位于供应链中游环节，产品或系统来源一旦被篡改或从非官方获取，将会导致获取的产品安全不可信，使产品感染病毒或不可用。

交付环节问题是由于产品获取来源被篡改（即官方域名被劫持或者官方网站存在安全风险导致产品被替换），或者被截获后进行二次编译植入病毒后通过非官方发布，在产品使用过程中感染整个系统导致敏感信息丢失。例如，2015年2月卡巴斯基安全实验室披露的方程式，组织使用一套用于植入恶意代码的超级信息武器库，能够对特定目标或行业在采购、返修主机或硬盘的过程中对硬盘固件进行修改，进而将恶意代码植入硬盘固件中实施攻击。这个超级信息武器库包含两个恶意模块，是第一个已知能够感染硬盘固件的恶意代码，能够对数十种常见品牌的硬盘固件进行重新编程。一旦工业互联网平台中服务器的硬盘固件被攻击者改写，整个工业互联网平台将会受到影响，攻击者甚至可以获取整个互联网平台的任意权限[4]。

2.3 使用环节安全风险

产品使用位于供应链下游环节，该环节存在安全风险因素较多，如在更新、修复、使用、维护等情况下，均存在不安全因素，导致产品易遭受攻击或破坏。

使用环节由于产品使用环境的不安全性，导致产品在安装、升级等操作过程中易被攻击者篡改，导致产品感染病毒或木马。例如，2020年4月境外APT组织Darkhotel（APT-C-06）利用国内某知名厂商SSL VPN服务器漏洞或弱口令实现入侵劫持，修改并控制服务器配置下发伪造升级程序SangforUPD.exe（已感染木马），进而获取受害主机控制权，收集重要科研、政策情报，或盗取、破坏重要数据资产和基础设施。目前，工业互联网平台工厂侧的PLC、DCS、SCADA系统等自身安全防护能力较低，一旦用于访问工厂侧的VPN等安全设备在更新时被植入恶意代码，攻击者可以绕过工业互联网平台直接进入工厂的控制系统，对工业控制系统发起攻击，严重影响工业控制系统的正常运行。

3 工业互联网供应链安全分析

工业互联网相关的设备及系统构成日益复杂，从不同国家或厂商处获取一台设备或系统不同的配件，由不同地方的人员共同设计完成一套复杂的生产系统，因此供应链安全已成为保障工业互联网持续稳定运转不可或缺的一部分，任何环节被篡改都会影响工业互联网的正常运转，极大地增加了工业互联网的安全防护系数[5]。

3.1 供应链安全保障体系尚不健全

供应链存在开发、交付、使用等多个环节。目前，在各个环节有相应的制度规范，但缺少供应链各个环节衔接部分的管理要求，无法对各个环节中产品供应商、企业使用者、产品维护者的交互进行规范约束，导致供应链安全风险增加。在工业企业评估中发现，大部分企业在产品或系统的采购中，还没有意识到网络安全的问题，采购协议中未明确产品供应商的网络安全责任和义务，仅部分企业在维保期内定义了产品服务商的安全责任和义务。同时，部分企业缺少管理制度对产品供应链环节安全进行规范，导致在产品采购、使用、运维过程无法保障企业的权益，一旦因产品存在后门或已被植入病毒导致安全事件，所造成的损失就只能由企业自行承担。例如，目前工业互联网企业生产现场控制设备PLC等大多为国外设备，在运维过程中受制于国外厂商，设备产生的安全风险均由企业自身承担，极大地增加了企业的负担。供应链各个环节是由不同供应商、产品使用企业、外包提供商、外包服务商等各种角色人员参与进行的，无法有效地对不同角色人员的交互进行约束，导致因人员交互、产品交互等产生网络安全隐患[6]。

3.2 产品入市缺乏安全检测

据调查，国内工业互联网企业的生产系统如PLC、DCS、SCADA等国产设备占有率较低，国外知名品牌在大型、关键项目中的优势明显。在用高端数控机床设备中，80%以上的数控系统中的核心技术和关键零部件依赖国外进口，对国外硬件产品存在依赖。国内外厂商对产品安全要求尚未达成一致共识，相关标准尚在推动制定过程中。这样，导致目前国内工业互联网现场控制设备未经过安全检测就上线运行，导致大多数控制设备或系统“带病上岗”，严重影响到工业互联网的稳定运转。研究发现，许多工业控制设备存在安全隐患，其中较多设备存在高危漏洞，一旦成为被攻击目标，将会导致企业停工停产、停水停电、经济损失巨大等严重后果。

3.3 产品后期维护风险较高

近年来，工业控制系统产品被曝存在后门、漏洞的情况频繁出现。虽然工业设备供应商声称这些仅是设计缺陷，但对于国内关键设备或重要生产系统而言，这些“设计缺陷”将会使企业在不知情的情况下成为网络攻击的目标，成为恶意攻击者对工业互联网和关键基础设施进行窥探的隐蔽通道。由于国内部分工业互联网的工业控制系统与企业办公网络、内部移动网络甚至与互联网直接相连，国外恶意攻击者或APT组织，能够轻易地通过获取的预设产品后门进行网络入侵。攻击者甚至可以借助提前植入的恶意模块，通过无线信号窃取工业控制系统的敏感数据或者操作权限，即便与网络隔离的工业控制系统也无法确保安全。此外，因为工业控制系统在调试、安装、系统维护更新过程中，企业高度依赖服务商的能力，在无法进行现场维护时，通常都会按照服务商要求采取远程维护操作，不能确保服务商对系统的操作过程安全可控，导致工业控制系统处于未知的安全风险中。

4 工业互联网供应链安全对策

2020年6月，《网络安全审查办法》正式实施，聚焦于关键信息基础设施供应链安全，提出网络安全审查工作程序，为推动保障供应链安全相关工作指明了方向。為了保障工业互联网平台产品、系统等从开发、交付等环节的安全，提高工业互联网供应链的安全防护能力，建议从三个方面入手。

4.1 明确工业互联网供应链安全要求和标准

参照《网络安全审查》相关规定，为工业互联网平台的服务器、操作系统、数据库、应用系统、工业控制设备PLC、DCS等软硬件设备相关联的产品开发商、供应商、提供商、服务商、使用单位，明确网络安全责任和义务，建立规范对工业互联网产品在开发商、供应商、服务商等不同角色交互行为进行约束，从需求侧推动供应侧安全水平提升，切实保障工业互联网产品在从源代码阶段到后期对产品维护阶段的安全。例如，对工业互联网平台企业，建议建立管理制度，明确要求采购的产品需经权威第三方机构安全检测，产品服务商在发现产品存在重大安全漏洞时应及时告知使用方，便于使用者及时采用有效措施降低风险。另外，应明确将供应链安全管理职责，纳入工业互联网平台网络安全防护要求;对可能影响国家安全的重要工业互联网平台，应纳入网络安全审查范围，尤其涉及国家经济和人民生活的企业核心设备，在采购前应开展安全审查。

4.2 健全工业互联网安全测评体系

进一步完善工业互联网安全测评体系，补充工业互联网供应链安全测评要求，加强工业互联网检测标准研究，推动一批市场认可度较高的工业控制系统与产品检测认证，帮助国内外企业研发安全性较高的工业互联网检测设备。加强工业互联网数据安全防护技术研究，避免核心数据或敏感信息外泄;明确工业互联网供应链安全管理要求，针对不同工业互联网应用场景，提出简单高效的安全测评方法，定期开展整体安全评估，确保工业互联网应用安全。

4.3 依据网络安全审查规定，积极落实企业主体责任

结合《网络安全审查》相关规定，工业互联网平台企业应积极构建多部门协调配合的管理体系，建立网络安全产品和服务安全的风险预判机制。根据工业互联网平台实际情况，细化工业互联网产品采购、使用等供应链流程，对存在网络安全风险的行为进行约束，定期进行网络安全评估;掌握工业互联网平台安全防护状况，并对存在的网络安全风险进行修复。工业互联网设备提供商和服务商，应加强自身安全开发、安全集成、安全运维能力，将网络安全作为能力输出，提升产品研发、集成、运维服务过程中的安全保障能力。

5 结束语

面对日趋复杂的工业互联网应用，其供应链安全风险应纳入网络安全管理体系，相关平台企业、工业企业、设备商、服务商和安全厂商应积极合作，从工业互联网产品开发、交付、维护等环节加强网络安全管理，明确各自的网络安全责任和义务，加强工业互联网供应链的安全防护。尤其作为工业互联网平台企业，应从安全管理和技术核查入手，加强工业互联网供应链管理，采取技术措施提升工业互联网防护能力，积极做好工业互联网产品全生命周期的网络安全防护。

参考文献

[1] 何昊坤，李璐.ICT供应链安全管理风险识别研究[J].网络空间安全，2019，10（4）：1-6.

[2] 武新沂.揭秘新发现的供应链攻击[J].计算机与网络， 2018，44（22）：56.

[3] 本刊编辑部.典型的软件供应链攻击安全事件[J].中国信息安全，2018，107（11）：74-76.

[4] 刘权，王超.加强软件供应链安全保障的对策建议[J].中国信息安全，2018年11期.

[5] Jen A， Miller Charles.大数据撼动供应链系统的4种方式[N].计算机世界，2018年.

[6] 王颉，万振华，王厚奎.从软件安全开发生命周期实践的角度保障软件供应链安全[J].网络空间安全， 2019， 10（6）： 1-6.

作者简介：

张晓菲（1990-），男，汉族，河南登封人，北京电子科技學院，硕士，国家工业信息安全发展研究中心，助理工程师;主要研究方向和关注领域：工业互联网安全、工业信息安全。

卢春景（1994-），女，汉族，浙江温州人，北京邮电大学，硕士，国家工业信息安全发展研究中心，助理工程师;主要研究方向和关注领域：工业互联网安全、工业信息安全。

于盟（1984-），男，汉族，山东德州人，北京邮电大学，硕士，国家工业信息安全发展研究中心检查评估所，高级工程师;主要研究方向和关注领域：工业互联网安全、工业信息安全。