隨著我國(guó)“智能制造”政策的推進(jìn)和企業(yè)數(shù)字化轉(zhuǎn)型的內(nèi)生需求，工業(yè)互聯(lián)網(wǎng)系統(tǒng)已經(jīng)在國(guó)家重大關(guān)鍵基礎(chǔ)實(shí)施建設(shè)中有良好的應(yīng)用。工業(yè)互聯(lián)網(wǎng)系統(tǒng)將計(jì)算和通信能力與物理系統(tǒng)交織在一起，用于監(jiān)視和控制系統(tǒng)功能和狀態(tài)，以實(shí)現(xiàn)數(shù)據(jù)的統(tǒng)一化和業(yè)務(wù)流程的高度自動(dòng)化，最終實(shí)現(xiàn)降本增效的目的。

但是，互聯(lián)互通的情況下，各種網(wǎng)絡(luò)組件使得工業(yè)互聯(lián)網(wǎng)系統(tǒng)非常容易受到網(wǎng)絡(luò)威脅的攻擊，這些攻擊或是內(nèi)部產(chǎn)生的，或是由惡意外部實(shí)體、參與者發(fā)起的。在將系統(tǒng)要求轉(zhuǎn)化為設(shè)計(jì)、部署和維護(hù)網(wǎng)絡(luò)組件時(shí)（例如，操作員設(shè)備或關(guān)鍵系統(tǒng)組件上的軟件更新），或?qū)⑷魏瓮獠?USB 設(shè)備連接到工作站時(shí)，可能會(huì)在不知不覺(jué)中植入不同的漏洞，這可能被用作新的攻擊媒介。

使用這些攻擊向量，攻擊者可以在任何攻擊面（包括本地或遠(yuǎn)程的傳感器和通信網(wǎng)絡(luò)） 上安裝和執(zhí)行惡意有效負(fù)載，以攻擊和破壞高價(jià)值目標(biāo)。控制中心的節(jié)點(diǎn)通常不太容易受到影響，因?yàn)樗鼈儾渴鹪谖锢硎芟薜沫h(huán)境中以防止篡改。通過(guò)發(fā)起網(wǎng)絡(luò)攻擊， 網(wǎng)絡(luò)級(jí)漏洞（不安全的通信通道、對(duì)企業(yè)網(wǎng)絡(luò)的遠(yuǎn)程訪問(wèn)或節(jié)點(diǎn)欺騙）相對(duì)更容易被利用。

在系統(tǒng)中，網(wǎng)絡(luò)攻擊是違反安全目標(biāo)并阻礙預(yù)期系統(tǒng)功能的、故意使系統(tǒng)故障的誤用或?yàn)E用條件。這些可能是主動(dòng)的或被動(dòng)的， 其中主動(dòng)攻擊對(duì)于工業(yè)互聯(lián)網(wǎng)系統(tǒng)來(lái)說(shuō)造成的危害更為嚴(yán)重。

由此可見(jiàn)，即使是安全關(guān)鍵型網(wǎng)絡(luò)物理系統(tǒng)也成為了重要目標(biāo)。在主要關(guān)注安全保證的此類系統(tǒng)中，安全建模通常沒(méi)有得到適當(dāng)?shù)年P(guān)注，增加了導(dǎo)致嚴(yán)重后果的重大損害的風(fēng)險(xiǎn)。在這類復(fù)雜且資本密集的系統(tǒng)中，在需求分析和設(shè)計(jì)階段解決安全特性，能夠降低成本、減少工作量，而不是在系統(tǒng)開(kāi)發(fā)取得實(shí)質(zhì)性進(jìn)展后考慮，此時(shí)變更設(shè)計(jì)成本更高。因此，最好在系統(tǒng)開(kāi)發(fā)生命周期的早期階段識(shí)別和發(fā)現(xiàn)可能的漏洞，要在設(shè)計(jì)階段對(duì)預(yù)期系統(tǒng)進(jìn)行建模和分析，防止后續(xù)系統(tǒng)故障。

本文所提出的方法可以幫助工業(yè)互聯(lián)網(wǎng)服務(wù)商和應(yīng)用商了解PetriNet（對(duì)離散并行系統(tǒng)的數(shù)學(xué)表示）的安全建模方式，即在工業(yè)互聯(lián)網(wǎng)系統(tǒng)平臺(tái)中如何有效保證其構(gòu)建和應(yīng)用能力及其屬性的安全性。通過(guò)分析模型屬性并識(shí)別安全威脅及其影響，在建模級(jí)別過(guò)濾安全問(wèn)題。

數(shù)學(xué)描述

2.1 　工業(yè)互聯(lián)網(wǎng)系統(tǒng)

工業(yè)互聯(lián)網(wǎng)系統(tǒng)實(shí)際可以描述為一個(gè)三元組｛S；C；A｝。其中，S 是一組傳感器，C 是一組控制器，A 是一組執(zhí)行器。工業(yè)互聯(lián)網(wǎng)系統(tǒng)的動(dòng)態(tài)行為的數(shù)學(xué)方程可以描述為?

式中，a，b 為常數(shù)；表示傳感器Sx 的測(cè)量值，Smx (t) 表示t 時(shí)刻執(zhí)行器A 的x 點(diǎn)位傳感器的均值；Cx (t) 表示控制器Cx 在t 時(shí)刻的測(cè)量值。

2.2 　隨機(jī)PetriNet 網(wǎng)格模型

隨機(jī) PetriNet（Stochastic PetriNet，SPN） 是PetriNet 的擴(kuò)展形式。它是一種圖形和數(shù)學(xué)工具，可以對(duì)分布式、非確定性、并行和異步系統(tǒng)進(jìn)行建模。它表示具有兩組不相交節(jié)點(diǎn)的有向二分圖：位置節(jié)點(diǎn) P 和過(guò)度節(jié)點(diǎn)T，建模為一個(gè)圓圈，表示狀態(tài)或條件。轉(zhuǎn)換節(jié)點(diǎn)， 建模為條形，表示離散事件或函數(shù)。轉(zhuǎn)換與特定數(shù)量的輸入和輸出位置相連，以表達(dá)事件的前后條件。系統(tǒng)行為以可能的系統(tǒng)狀態(tài)（標(biāo)記）及其轉(zhuǎn)換的形式進(jìn)行描述， 這些狀態(tài)以圖形表示為標(biāo)記，即非負(fù)數(shù)的點(diǎn)。每個(gè)轉(zhuǎn)換都與一個(gè)正的、指數(shù)分布的隨機(jī)變量相關(guān)聯(lián)，該變量表示從啟用到觸發(fā)該特定轉(zhuǎn)換的延遲。形式上，將位置等被定義為一個(gè)五元組。?

式中，P 表示位置集合；T 表示轉(zhuǎn)換節(jié)點(diǎn)集合；A 表示建模的模型弧度集合；M0 表示初始標(biāo)識(shí)；γ 表示與轉(zhuǎn)換相關(guān)的平均觸發(fā)延遲倒數(shù)的觸發(fā)率集合。

如果啟用了多個(gè)轉(zhuǎn)換，則延遲最短的轉(zhuǎn)換將在觸發(fā)中獲得優(yōu)先權(quán)?；?SPN 模型如圖 1 所示。由于觸發(fā)延遲指數(shù)分布的無(wú)記憶特性，SPN 的可達(dá)性圖可以轉(zhuǎn)換為如圖 2 所示的有限馬爾可夫鏈，其 λ0 是觸發(fā)率與轉(zhuǎn)換節(jié)點(diǎn)之間的關(guān)聯(lián)系數(shù)。因此，SPN 結(jié)合了 PN 和馬爾可夫過(guò)程的強(qiáng)大功能。這可能有助于計(jì)算系統(tǒng)的不同性能度量， 以分析工業(yè)互聯(lián)網(wǎng)平臺(tái)在正常條件、攻擊和應(yīng)用緩解下的動(dòng)態(tài)行為。

建模方法

本節(jié)簡(jiǎn)要介紹了基于PetriNet 的工業(yè)互聯(lián)網(wǎng)安全建模和分析的建議方法，該方法包括五個(gè)階段。

3.1 　需求分析

此階段確定工業(yè)互聯(lián)網(wǎng)的技術(shù)、功能、場(chǎng)景和非功能要求。識(shí)別系統(tǒng)組件及其交互以交付符合安全要求的預(yù)期功能是此階段的輸出。

組件仿真模塊為虛擬化設(shè)備的邏輯體現(xiàn)，支持真實(shí)或虛擬的主機(jī)設(shè)備、網(wǎng)絡(luò)設(shè)備、安全設(shè)備和電力工控設(shè)備等多種類型組件組合配置，將可仿真的電力工控設(shè)備或軟件安裝到不同類型的操作系統(tǒng)上，從而實(shí)現(xiàn)不同設(shè)備功能的仿真，提供PLC、DCS、通信網(wǎng)絡(luò)、SCADA 組態(tài)軟件、通信軟件及各種中間件資源，用于構(gòu)建或復(fù)現(xiàn)電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)環(huán)境中的資源節(jié)點(diǎn)。

3.2 　功能模型分析

此階段對(duì)系統(tǒng)組件之間的交互進(jìn)行建模，以使用 SPN 提供預(yù)期的功能。基于Web 開(kāi)發(fā)的核心網(wǎng)絡(luò)場(chǎng)景構(gòu)建模塊，實(shí)現(xiàn)組件、場(chǎng)景的拖拽組網(wǎng)及虛擬化訪問(wèn)交互。通過(guò)在Web 界面選擇網(wǎng)絡(luò)拓?fù)浣M件，實(shí)現(xiàn)自由拖拽組網(wǎng)功能，待網(wǎng)絡(luò)環(huán)境組建完畢后，點(diǎn)擊一鍵生成環(huán)境，該系統(tǒng)自動(dòng)將Web 端的可視化拓?fù)鋱D轉(zhuǎn)化為可自動(dòng)化配置的虛擬化網(wǎng)絡(luò)環(huán)境，實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)拓?fù)鋱D中的虛擬機(jī)以及網(wǎng)絡(luò)的自動(dòng)化配置，并在分鐘級(jí)內(nèi)完成整個(gè)環(huán)境的構(gòu)建工作。構(gòu)建完成后，整個(gè)拓?fù)鋱D需要利用組件監(jiān)控系統(tǒng)實(shí)時(shí)展示網(wǎng)絡(luò)流量狀態(tài)以及組件的實(shí)時(shí)狀態(tài)、異常狀態(tài)等。同時(shí)，基于該拓?fù)鋱D還可以直接點(diǎn)擊組件，進(jìn)入相應(yīng)的組件SSH、RDP 界面或VNC 界面。

場(chǎng)景構(gòu)建模塊主要由可視化拓?fù)渚庉嫯嫲寮昂笈_(tái)的電力業(yè)務(wù)處理邏輯構(gòu)成，拓?fù)洚嫲遑?fù)責(zé)與用戶交互，將用戶預(yù)想的網(wǎng)絡(luò)結(jié)構(gòu)通過(guò)JSON 格式數(shù)據(jù)傳輸?shù)胶笈_(tái)，后臺(tái)經(jīng)過(guò)邏輯處理并存入數(shù)據(jù)庫(kù)。

3.3 　威脅模型生成

此階段識(shí)別傳感器網(wǎng)絡(luò)的漏洞并識(shí)別可以利用它們?nèi)肭趾推茐墓I(yè)互聯(lián)網(wǎng)的威脅類型。威脅建模構(gòu)建如圖3 所示。

威脅建模通常從三個(gè)維度來(lái)建立模型：以資產(chǎn)為核心、以攻擊者為核心和以軟件系統(tǒng)為核心。結(jié)合數(shù)據(jù)流圖的基本元素，使用STRIDE 方法作為威脅維度來(lái)對(duì)各基本元素進(jìn)行威脅分析，可以得出STRIDE 方法威脅建模見(jiàn)下表。

3.4 　應(yīng)急處置模型生成

應(yīng)用安全緩解措施來(lái)報(bào)復(fù)或消除威脅的影響。

3.5 　安全驗(yàn)證

模型的每次成功運(yùn)行都可確保系統(tǒng)在沒(méi)有任何沖突和安全違規(guī)的情況下執(zhí)行。此階段根據(jù)不同的安全指標(biāo)定性和定量地評(píng)估模型行為。定性分析顯示威脅的影響是什么，定量分析顯示應(yīng)用緩解措施降低了攻擊概率的程度。

基于PetriNet 的工業(yè)互聯(lián)網(wǎng)模型的 電力領(lǐng)域工業(yè)互聯(lián)網(wǎng)平臺(tái)的應(yīng)用

基于PetriNet 的工業(yè)互聯(lián)網(wǎng)安全模型的工業(yè)互聯(lián)網(wǎng)平臺(tái)在電力領(lǐng)域的應(yīng)用，主要由實(shí)訓(xùn)平臺(tái)、競(jìng)賽系統(tǒng)、應(yīng)急演練、開(kāi)發(fā)測(cè)試和測(cè)試驗(yàn)證構(gòu)成，每個(gè)應(yīng)用系統(tǒng)有自己?jiǎn)为?dú)的劇本任務(wù)系統(tǒng)，同時(shí)業(yè)務(wù)上依賴于場(chǎng)景構(gòu)建提供的電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)場(chǎng)景。

實(shí)訓(xùn)平臺(tái)面向電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全領(lǐng)域的人員教學(xué)實(shí)踐需求，教育、培訓(xùn)理論與實(shí)踐結(jié)合，以實(shí)戰(zhàn)化電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全建設(shè)為目標(biāo)，為理論學(xué)習(xí)、測(cè)試、實(shí)戰(zhàn)訓(xùn)練和網(wǎng)絡(luò)新技術(shù)研發(fā)提供支撐。

競(jìng)賽系統(tǒng)面向電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)構(gòu)建、選手競(jìng)賽網(wǎng)絡(luò)設(shè)計(jì)、選手攻擊行為分析等提供解決方案，提供選手接入能力、網(wǎng)絡(luò)承載能力、環(huán)境仿真能力和數(shù)據(jù)分析能力。

應(yīng)急演練針對(duì)各類電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全應(yīng)急事件發(fā)生及處理全過(guò)程的模擬演練，實(shí)現(xiàn)對(duì)應(yīng)急事件處理的多角度、全方位的演練和評(píng)估。通過(guò)配置仿真模型、用戶操作界面和部署仿真場(chǎng)景，可快速構(gòu)建面向各類應(yīng)急預(yù)案的模擬演練系統(tǒng)，在突發(fā)事件事先預(yù)防、事發(fā)應(yīng)對(duì)、事中處置和善后恢復(fù)過(guò)程中，建立必要的應(yīng)對(duì)機(jī)制，保障電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)安全。

開(kāi)發(fā)測(cè)試為電力監(jiān)控系統(tǒng)軟件開(kāi)發(fā)提供云開(kāi)發(fā)環(huán)境、使用場(chǎng)景和軟件測(cè)試環(huán)境等，真實(shí)復(fù)現(xiàn)電力系統(tǒng)的生產(chǎn)過(guò)程、流程工藝，在真實(shí)的網(wǎng)絡(luò)環(huán)境和仿真硬件環(huán)境中完成開(kāi)發(fā)、匹配和測(cè)試等工作。

測(cè)試驗(yàn)證為基于電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)信息安全威脅情報(bào)、態(tài)勢(shì)感知、安全可視化、漏洞驗(yàn)證和安全分析等研究方向提供虛擬化電力監(jiān)控系統(tǒng)網(wǎng)絡(luò)沙箱環(huán)境，可接入安全測(cè)試工具、綜合實(shí)驗(yàn)分析工具和漏洞測(cè)試腳本集等。形成電力特色的研究能力、攻防能力和漏洞挖掘能力。

結(jié)束語(yǔ)

本文提出了一種基于隨機(jī) PetriNet 網(wǎng)格模型的工業(yè)互聯(lián)網(wǎng)系統(tǒng)的安全建模方法，定性和定量地研究和分析工業(yè)互聯(lián)網(wǎng)系統(tǒng)在關(guān)鍵基礎(chǔ)設(shè)施領(lǐng)域應(yīng)用的安全性，可以有效解決關(guān)系國(guó)計(jì)民生的重大關(guān)鍵基礎(chǔ)設(shè)施建設(shè)在可行性研究階段的網(wǎng)絡(luò)安全建模問(wèn)題，可有效分析和評(píng)估重大基礎(chǔ)實(shí)施的安全能力，為保障國(guó)內(nèi)企業(yè)安全運(yùn)營(yíng)提供有效的技術(shù)手段。

審核編輯：劉清