一、 区块链技术在工业互联网安全领域的落地应用
区块链具有可信协作、隐私保护等技术优势，可与工业互联网实现深度融合，尤其是在工业互联网数据的确权、确责和交易等领域有着广阔应用前景，为构建国家工业互联网数据资源管理和服务体系提供了坚实技术基础。区块链技术具有促进数据共享、优化业务流程、降低运营成本、提升协同效率、建设可信体系等优点。工业互联网连接了工业全要素、全产业链，实时采集海量工业数据并支持自由流转和精准分析，需要实现在标识解析、协同制造等多类分布式场景里的多方协同。区块链的分布式网络技术、共识机制、可信数据交互模式可以在其中发挥优势。
运用区块链技术能够从数据安全、可信协作、监管审计、响应联动、加快恢复几个方面保障工业互联网安全。
a）区块链技术可用于保障工业互联网中各类数据的真实性与完整性，实现数据权益保护。将工业互联网采集数据存储在区块链上，能够从源头保护工业互联网数据完整性，方便对工业互联网数据的取证、鉴定、保全以及出证，保障数据在全生命周期的证明力。将工业互联网标识数据存储在区块链上，方便对标识身份进行分布式验证，支撑对标识数据进行全生命周期的可信管理，包括注册、主体身份信息变更、属性数据更新、注销回收等。
b）区块链技术可用于实现工业互联网中的信息可信共享协作，通过智能合约实现工业互联网信息的多方共识验证，防止信息的篡改，同时结合匿名隐私保护技术，实现信息的安全共享与可信的价值交换，提升工业互联网安全可信生产能力。利用区块链技术打通跨企业、跨平台的可信数据交互渠道，实现可信、可追溯的数据录入和基于身份认证及访问控制的数据共享，保障企业及平台方的数据权属，支撑工业互联网数据治理，促进工业互联网企业及平台的互联互通。
c）传统的信息化模式对于已经形成的数字化文件信息在各个节点的传递过程中，缺乏强大的数据保护措施，会出现数据文件的失窃和篡改的可能性。利用区块链多方参与的特性，在区块链网络中接入监管节点，可以在不影响原有生产及操作流程的基础上，快速同步区块链存储数据，支撑监管部门对工业互联网数据进行柔性监管与合规审计。
d）区块链技术可用于对安全信息与安全事件进行记录，有助于信息共享、攻击溯源以及事件关联分析，通过智能合约设计安全风险的识别与响应策略，能够实现全网快速的安全信息更新与安全事件响应联动，能够更好地落实应急响应策略，提升了自动化响应效率。
e）区块链技术可用于对被破坏系统进行灾难恢复，通过全节点备份为其中存储的数据提供快速恢复的能力，改变了原有体系的备份模式，能够实现异地多节点的快速共识与备份，降低了攻击、灾害的影响程度，提升了攻击者造成大规模攻击伤害的难度。
通过密码算法的国产化替代能够把握区块链技术的自主权，从而提升区块链技术应用的可控性与可靠性。加强区块链技术的创新、试验和应用，有利于抢占新一代信息技术主导权。当前正处于信息化引领全面创新、构筑国家竞争新优势的重要战略机遇期，是我国从网络大国迈向网络强国、成长为全球互联网引领者的关键窗口期，是信息技术从跟跑并跑到并跑领跑、抢占战略制高点的激烈竞逐期。通过布局区块链前沿技术，研究及其在工业互联网安全方面的应用，有助于打造自主先进的技术体系，提升国际竞争力和安全可控能力，推动工业互联网安全产业协同创新。
二、 标识解析技术在工业互联网安全领域的研究
工业互联网标识解析是工业互联网的重要网络基础设施，为工业设备、机器、物料、零部件和产品提供编码、注册与解析服务，并通过标识实现对异主、异地、异构信息的智能关联，是我国工业互联网建设的重要任务。我国积极推进标识解析国际根节点、国家顶级节点、二级节点建设。
随着工业互联网标识解析的普及应用，除考虑标识解析自身安全的同时，标识的不可篡改、不可伪造、全球唯一的安全属性优势逐渐凸显，在数据可信采集、统一身份认证、安全接入认证、密码基础设施、恶意行为分析等方面可赋能工业互联网安全保障能力建设。
a）可信数据采集。工业数据采集是智能制造和工业互联网的基础，但数据采集传输时存在被破坏、泄露、篡改的安全风险，建立基于工业互联网标识的数据可信采集系统，能增强工业数据从产生到传输贯穿模组生产商、通信服务商、网络运营商、工业企业等多参与方的可信性，为数据可信采集提供保障。
b）统一身份认证。工业生产、智能制造、能源电力等不同业务场景下应用对设备都存在鉴权需求，针对现有工业互联网应用单独进行身份认证、不能互通、对数据开放共享造成障碍的问题，基于标识的工业互联网应用统一身份认证，能实现多应用身份交叉互信，简化账号管理、身份认证、权限管理和审计过程，加强工业互联网应用的安全防范能力。
c）安全接入认证。工业互联网设备规模巨大、种类众多、质量参差不齐、缺乏统一规范，容易出现固件漏洞、恶意软件感染等问题，为缓解工业互联网设备带来的安全风险，利用标识，结合可信计算和密码技术，能为设备提供安全认证、安全连接、数据加密等端到端的安全接入认证能力。
d）密码基础设施。针对传统PKI密钥体系中，数字证书分发、管理和维护需要大量成本，在对实时性要求较高的工业互联网环境中难以部署的问题，基于标识筑建工业互联网密码基础设施，融合国家密码算法，实现密钥申请、分发、更新、销毁等全生命周期的管理，能有效保护工业互联网数据的不可抵赖性、完整性和保密性，实现对工业互联网敏感信息的防护控制。
e）恶意行为分析。通过提取工业互联网标识解析体系网络行为的流量特征，进行网络测量、网络行为分析，针对的网络行为包括且不限于注册（分配）、解析、数据更新（配置）、数据管理、同步等。充分利用先验知识、机器学习方法从流量中进行挖掘，可支持典型工业互联网标识解析体系的异常网络行为检测、恶意行为发现等。
加强基于标识解析的工业互联网数据可信采集、统一身份认证、安全接入认证、密码基础设施、恶意行为分析、资源安全治理、攻击归因溯源、态势感知、资源测绘等安全保障能力建设技术研究和安全科技创新应用。充分发挥我国工业互联网标识解析建设的领先优势，整合相关行业资源，打造标识数据、标识载体、标识解析节点、标识解析系统赋能工业互联网安全的应用生态新模式，助力基于标识解析体系的工业互联网安全能力建设。
三、可信计算技术在工业互联网安全领域的研究
可信计算具有安全芯片自主可控、防护设计主动免疫的优点，其理念能覆盖工业互联网多种设备和网络环境，满足工业互联网业务和应用相对稳定的运行特点。应用可信计算技术保障工业互联网安全具有优势。
a）我国工业互联网产业空心化问题突出，工控MCU、DSP、FPGA等核心元器件和SCADA、PLC、DCS等系统国外产品占领大部分国内市场。在工业芯片、核心部件、系统产品无法全部实现国产化替代时，以国产可信计算芯片为信任根，作为工业互联网环境中保障从系统到应用可信执行的信任源头，能从根上解决工业互联网环境的信任问题。此外，与各类复杂的智能算法相比，可信计算技术算法简单、运行效率高，硬件芯片加速算法执行，能更好的满足工业互联网的实时性要求。
b）目前工业互联网主要采用传统IT扫描、检测、监控、病毒查杀等被动防御手段，无法有效抵御网络攻击。可信计算采用“度量+管控”的思路，其目标不是消除系统中的漏洞或缺陷，而是阻止一切未知的或非法的程序执行，防患于未然，确保系统按照预定期望执行，从而构建主动免疫的工业互联网防护体系。
c）典型的工业互联网包含业务网络、办公网络、生产网络（控制网）等多个层次，涵盖工业主机、控制器、PLC、智能仪表等多种终端设备。可信计算隔离执行、安全存储和远程证明的思想适合对工业互联网各种终端设备和网络环境进行安全增强，能形成统一的安全解决方案和管理体系。
d）工业互联网应用和业务通常要求较高的稳定性、可用性和可靠性，工业设备和系统相对稳定、单一，没有频繁的更新。可信计算安全策略依赖先验的度量值信息，非常适合相对稳定的工业互联网环境，可根据工业应用的业务环境，执行更严格细粒度的安全策略。
基于可信计算技术能构建可信的工业互联网安全防护体系，增强未来工业互联网抵御未知威胁的能力。面向工业设备、主机、网络、应用的安全防护需求，提出工业设备可信验证、工业主机可信执行、工业网络可信连接和工业应用可信防护的构建思路。
四、人工智能技术在工业互联网安全领域的研究
随着数据量的爆发式增长、深度学习算法优化改进、计算能力的大幅提升，促使人工智能技术呈现出跨越式发展趋势。将人工智能与工业互联网安全融合应用，充分发挥人工智能的优势，可以在某种程度上解决一些传统方式难以解决的问题。
a）工业互联网网络的安全管理要求解决网络的使用中出现的安全威胁，有时威胁是不确定、不可知的，传统的特征匹配方法对未知威胁几乎无能为力。人工智能技术具有处理不确定信息的能力，不需要先验知识，在引入人工智能技术之后，可以在不明确信息的情况下进行相应的处理，对未知威胁的检测能力较强。
b）人工智能最大的优势是具备一定的学习能力，可以不断提升自身的知识水平。传统的应对网络安全的方法依赖于人工硬编码定义、提取恶意行为特征的方式完成相关任务，然而由于工业互联网数据的复杂性，模式匹配库很难获得及时更新。利用人工智能强大的自学习能力，既可以提高工业互联网安全检测中预测、防范、检测等各个风险环节的自动化和智能化程度，又能提升响应速度和判定的准确率。
c）人工智能方法在解决工业互联网领域中人力所不及的安全大数据统计分析和抽取规律方面具备天然优势，可以在第一时间发现和识别预防威胁，并立即启动应急响应，进而全面提高威胁攻击的识别、响应和反制速度，提升风险防范的预见性和准确性，有助于减少人工参与、简化流程、降低成本、减小损失。特别是在工业互联网异常行为检测等应用场景的模糊识别和匹配方面，更是如此。
运用人工智能赋能工业互联网安全，主要体现在主动防御、威胁分析、策略生成、态势感知、攻防对抗等诸多方面。其中包括采用人工神经网络技术检测入侵行为、恶意代码等安全风险，采用专家系统技术进行安全规划、安全运行中心管理等。
作者 戴嘉昊 高级工程师、中国民主建国会上海委员、微软与思科全球最高认证系统开发与网络安全专家
