2018-02-01 16:40

　　王国玮：尊敬的领导，各位嘉宾，大家下午好！富士康在整个工业互联网的发展上其实是守重信息安全，也很难得有这个机会能够来这边分享我们在整个产业里面，实际上在整个工控网络甚至整个工业互联网里面富士康怎么做到它的信息安全。

　　因为今天很多的嘉宾都有跟大家报告有关于安全态势还有趋势发展，我们还是先从富士康看到目前现在存在的工业互联网存在的风险跟威胁，同时呼应今天早上主任说的安全框架，我们说的管理层面、技术层面提出我们的做法和思维，借此透过一个实际案例告诉大家，怎么样实施实现在工业互联网上的安全防御。

　　第一，安全挑战上大概有四个方面，第一部分在于网络边界的模糊化，过去我们针对网络的设计都是通过交换机从边缘上进行防御的设计，但是在整个工业互联网的发展之下，我看到下面刚才有一位同业友商他们也做了大数据的分析，把一些大数据传到云端上，使用3G、4G，像现在我们也有通过一些联线方式，所以会发现第一个在网络边缘思维上已经不再是过去传统交换机或是路由器，而是复合式的多元的传输协议。第二部分是纵深防御架构被破坏了，纵深防御架构一般我们采取保护区隔的方式，过去在所谓的产线网络里面一般都是在企业内部最核心，坦白说那样一个防火墙经过层层防御之后，强烈的严格管控之下，基本上很难有黑客入侵进去，事实上当这些所谓的工控电脑或者是这些工业互联网慢慢接触到互联网或者是一些公众网络的时候，这时候整个纵深防御的思维上就不再是从外面打进来，而是从内部就会开始采用一个新的威胁的情形。第三部分是终端数量的增加，IoT，还有就是你为了采集所谓生产过程的大数据，所以你会装很多的censer，在这里面就暴露出信息安全管理的问题。第四部分是安全监管管控的缺乏，我们在建立SARK（音）的时候，我们知道在做实施监控的时候，找一些专业人员看威胁、看攻击，主要部分是来自于互联网上面，对于工业互联网里面攻击行为、攻击模式、规则目前都是缺乏的。

　　基于以上四个发现的四个问题再进一步延伸，在富士康内部所有产线一旦要进入量产上线的时候都要进入风险评估，在这个风险评估上都要累计几个大的风险点。一是未管制区域，比如说你的办公区域，因为我们知道所有的威胁或者是恶意病毒，甚至一些未知威胁的来源也来自于所谓的透过上网或者是透过Email，Email可能你不知道量有多大，但是一天之内很多大量邮件经常有存在，如果你在办公区里面没有按分类分级建立起适当管控机制的话，很容易它就会是第一个入侵点。还有组织架构的变化导致这些设备，IT维护人员的缺乏，慢慢这些设备变成无人看管的设备，甚至有时候查个IP，这个IP到底是哪一栋楼的可能都搞不大清楚。这时候就会存在如果一旦这些管控区域没有做适当的规划或者持续性的监控，就会导致一个风险点。二是来自于边界，在边界上我们会利用经常的控制定期看，但是在工厂里面厂长是最大的，IT人员算配角，只要把网线拉过来，运行通过没有问题之后生产优先。所以这时候IT人员最大的困难就是如果你要看信息安全的时候，他会没有施不上力，没有权限，尤其是所有的生产都是以生产排程为优先，信息安全在这个过程当中都会被牺牲掉，我们也发现通过双网卡的形式让整个网络串联起来。三是一些维护人员他进到生产环境的时候带的是一些移动设备，也没有经过适当的信息安全检查，或者有没有授权接入产线安全里面，如果在这个部分都没有做的情况很容易就带了一些病毒或者是恶意程式串到工业互联网里面来。四是来自于设备采购，采购人员基本上在做验收的时候只做功能性验收，没有人说里面程式代码或者是安全的检查，或者在整个验收过程当中会不会架构补丁都更新完备？这个都不会做。所以面临的现实状况就是只做功能性的验收。我们也发现渐渐在整个生产环境过程当中会使用大量的IoT设备，会透过一些晶片的设备，在这个设备的情况之下，比如说透过CCVD对接没有对接好，或者总务单位发包施工，施工万是原厂预设的情况下，很容易就造成了环境出问题。还有像比特币的挖矿机，还有整个勒索病毒招致整个产线蓝屏，效能扩张，生产中断这种情况时有发生。

　　所以在整个管理层面的改变上，我们富士康内部已经开始做这样的一个变化。过去我们一直在强调所谓的客户产品安全，客户的外观，我们的研发资料，慢慢的加强不只是在客户产品安全方面，更主要是在供应商安全产品，也就是说我的供应商提供给我的生产设备必须要安全的产品。这个变化第一个来自于体系架构的变化，过去我们在一些监制的管理体系都是规范在所谓的办公区域，生产环境里面比较不大受文件的规范。现在的管理体系架构必须要从原先的办公区域或者IT延伸到生产环境里面。第二是非工业的漏洞依然是存在的，所以在非工业的情况之下包含了厂商的分享或者是一些黑客的分享，这样的数据共享让我们在互联网的工业生产上面比较必要。第三是来自于合约上的要求，对于供应商不单在合约上定制法则，而是在系统监制前、监制中、监制后必须要有实时的验收要项必须定制清楚。第四是来自于工业互联网上面供应商是一个不可或缺的角色，它必须要清楚漏洞、架构，所以当有安全事件暴露出来的时候必须要扮演与客户共同合作，事件通报、事件管理进行相应的处理，这样我们才能在第一时间之内把所有的在产线上所遇到的任何安全风险给解决掉。再呼应刚刚讲到的风险点，我们遇到的实际案例是最后你告诉他说很多电脑补丁没上，很多工控电脑里面没有安装防毒软件，这时候一旦出了事情你跟他讲说你要装防毒软件，你要上补丁，他跟你说你上了到时候生产中断我们不敢保证，最后就形成了三方在角力的情况下把这个问题给解决掉。

　　在技术防御上面我们提出了一个新的想法，事实上也朝着这个方向在做。首先要清楚的知道保护对象，防护对象，也就是在工业互联网里面要清楚的盘点，了解你的防护对象是什么，依据防护对象进行风险评估、风险评鉴，依据三个对象，从整个实体安全和工业互联网的DNZ，工业互联网的边界以逆向思考工业互联网和纵深防御架构，在过去纵深防御架构也是这方面区隔开来，这样一个思维方式在工业互联网时代里面绝对不符合使用。

　　所以富士康在整个工业互联网的发展之下先聚焦以上三个层面，借这三个层面先站住脚步再扩张整个纵深防御架构。一是在数据安全层级上面强调对于勒索病毒的防治或是未知威胁的病毒防治，资料防泄露、访问控制、自动化备份。系统安全层级是动态配置管理，统一部署管理，快速还原。

　　我实际应用一个我们工厂的环境，在整个富士康内部其实自动化机台工控电脑数量非常庞大，首先第一步我们会进行网络的区隔，适当将生产过程当中的分级分类定义好之后，依据整个产线网络的需要进行网络区隔。第二步是我们会去试出保护的对象，保护的标的，还有应用的对象和数据。先识别数据完之后会尝试依据客户所提供资料之后这个数据的流向，还有这个数据产生出来之后的生命周期，我们会绘制一个数据的图片，依据这个图片分析出来的危险，同时建立一个威胁服务器管理，这样好处就是所有的可以统一在一个平台上进行相应的监控，我们将所有研发资料或者核心标的依据强控制标准，透过双因子认证、加密、多元管理进行数据层面的保护。刚刚有提到在整个大量的平台部署情况，工业互联网、工控电脑的部署情况之下，怎样做到快速还原或是快速部署，我们会建立工控电脑虚拟化的镜像，通过这些作业系统的虚拟化镜像达到快速部署，快速解决的问题，这种镜像方式有三个好处，一是当更换生产项目的时候我们可以透过配置快速的切换。二是要跟上补丁，要遇到未知威胁都会遇到一个问题就是当你一旦发生事件入侵的时候怎么快速还原。我们透过windowsXP没有办法更新补丁，当这个事件镜像之后我们很快还原补丁，这样还可以不停地更新。二是当大量部署补丁或是大量部署一些防毒软件的时候有一个时间差，比如800台的工控电脑或者上千台的工控电脑光打补丁就是打一两天，可是这样可以一下子部署上去。在整个终端监控上面会建立一个终端的监控机制，在终端监控机制上采集的不光是资产上面的讯息，包含软件的讯息，更重要的是日志、补丁更新的状态，甚至是软件跟服务的运行情况，这时候当你发现有一些异常的程式在运行的时候，监控中心就会第一时间报警，收到通知，在收到通知的情况下甚至可以远程把这些异常的程式做关闭或是阻断的动作。同时在整个工业互联网里面如果有任何的维护人员或者USB要接入产线网络的时候我们也会自动化侦测到进行相应的阻断，做到入网的存取管控。

　　主要的这些内容因为有很多技术的细节，如果说各位有兴趣的情况下我们在楼下其实跟360有密切的合作，在这个工业互联网领域里面，如果大家有兴趣的话我们可以到楼下进行进一步讨论，谢谢大家！