21、工业互联网安全与工业4.0：保障与变革

工业互联网安全与工业4.0：保障与变革

工业网络系统构成与安全基础

工业网络系统主要由人机界面（HMI）、可编程逻辑控制器（PLC）和分布式控制系统（DCS）组成。自动化系统供应商数量有限，像西门子、罗克韦尔、通用电气和ABB等。这些供应商提供了大量部署在生产运营技术（OT）网络中的系统、传感器和控制器。这为我们研究和获取相关技术规格、安全文档以及最佳实践提供了便利。

OT网络中的大多数设备和传感器运行在专有的轻量级实时操作系统上，这能满足时间关键型过程控制所需的性能和确定性响应。与信息技术（IT）安全拓扑相比，OT网络拓扑有显著的功能差异。

OT网络安全的复杂性

OT网络和早期的IT企业网络类似，支持多种不同的协议和标准，在以太网和IP方面缺乏标准化。不同地区对网络类型有不同偏好，美国倾向于以太网/IP，欧洲青睐Profinet，亚洲则混合使用两者。

网络拓扑结构对安全至关重要。工业中常用的总线结构虽具有灵活性，但也容易存在安全漏洞，如蠕虫感染。以太网交换网络在小型局域网中表现出色，但由于其广播特性，扩展性不佳。使用虚拟局域网（VLAN）可以隔离网络区域，减少广播域大小，提高效率，但在引入IP时，可能需要循环检测协议。

常见的循环检测协议如生成树协议，在工业生产环境中不可接受，因为其检测循环和恢复网络连接所需时间过长。IT企业常用的分层网络设计依赖IP子网进行隔离和访问控制，但静态路由配置容易出错且扩展性差，而默认设置的路由协议也不适合工业OT环境。

在时间关键型机器对机器（M2M）环境中，OT环境通常使用工业以太网，如以太网/IP或Profinet。Profinet能缓解标准以太网的不足，对O