5G 工业互联网一体化全程可信—“元信任”安全解决方案白皮书.docx

中国移动ChinaMobile5G+工业互联网一体化全程可信“元信任”安全解决方案白皮书参与编写单位：中国移动通信集团有限公司中国信息通信研究院国家工业信息安全发展研究中心中国人民财产保险股份有限公司北京启明星局言息安全技术有限公司华为技术有限公司江苏洋河酒厂股份有限公司编写组人员：袁捷、魏冰、谢玮、张峰、文静、冯媛、朱同先、杨腿、邱勤、王国宇、何异舟、孙倩文、董航、李晓婷、丁雨哈、江为强、夏羿、熊诚锋、韩明伟、姚卓、谷宝晶、高亮、于乐、郑国忠、徐迪、廖婷、梁豪斌、朱运发、赵威、付超、岳玲、常珊珊、张紫光、秦岩、姜一娇、石磊、马禹昇、王昊、郝森参、李楠、史修报、徐思嘉、徐天妮、王光涛、郭中元、祁文博、徐嘉伟、李明培、苑雪梅、李雅璇刖百当前，以5G、工业互联网为代表的新技术和新型基础设施，谱写着各自的使命与能力，不断推动数字经济与实体经济进一步融合。近期，工业和信息化部在"2023全球工业互联网大会"公布了我国5G+工业互联网产业规模基本情况，截至2023年10月，我国5G行业虚拟专网超2万个,工业互联网核心产业规模超1.2万亿元"，充分说明5G+工业互联网融合创新模式已经成为新型工业化的关键基础设解口重要驱动力量。5G大带宽、低时延、海量连接等特性极大丰富了工业互联网的功能和场景，推动工业互联网转型升级。在5G与工业互联网融合创新发展中，推动制造业从单点、局部的信息技术应用向数字化、网络化和智能化转变，其叠加倍增效应和巨大应用潜力正在持续释放。与此同时，5G也打破了传统工业互联网封闭的网络环境，工业网络的边界不断外延，更多的工业设备暴露于公网之中，网络系统的硬件、软件及其系统数据更易遭受破坏、更改、泄露，工业系统连续可靠运行、工业网络的持续服务面临越来越多的挑战，工业互联网安全亟需突破传统打补丁的防护方式，进入全新的安全防护阶段。2020年，中国移动牵头发布5G+工业互联网安全白皮书，面向5G+工业互联网安全需求提出"定制的5G+工业互联网场景化安全能力。在此基础之上，中国移动基于对5G网络和工业互联网融合发展中面临的网络安全挑战与深刻理解，突破传统安全防护理念，洞为核心"转向以身份为核心"一.-i-"从运营商全程全网的角度出发，安全防护从"以漏体化全程可信"元信任"安全解决方案，从9个方面构建安全防护机制，推动5G+工业互联网安全由“单点可控"迈向全程可信"。目录、5.1./j耳,去*S()仝球超热5()我国的热5二、5G+工业互联网安全政策与标准6()6(二)安全标准8三、5G+I互联网安全挑战9(二)终端安全成B战10(三)数据安全挑战10()-U()*11(七)运营安全挑战12四、5G+工业互联网"兀信任"安全解决方案12（二）网络可信保障.终端可信保障.数据可信保障.应用可信保障.14（I,）It«1（/I）.C.”.”.”.”.”.（）£网险.C23五、典型案例实践26（一）应用简介26（二）安全需求26（三）安全方案27（四）实施效果28六展望28八、附录2（参考文献）31一、5G+工业互联网发展趋势（一）全球趋势国际电信联盟定义了5G的八大关键性能指标，主要典型应用场景有三类，一是增强移动宽带（满足流量暴涨时极致体验需求）、二是低时延高可靠（满足垂直行业应用需求）、三是海量机器类通信（满足以传感和数据采集应用需求），其中，低时延高可靠和海量机器类通信两类应用场景主要面向工业需求设计。随着5G的能力不断发展，以及客观的工业无线化诉求驱动，5G将逐步深入到核心生产环节，成为主要的生产网络技术之一。目前5G+工业互联网的融合应用已在智慧矿山、智慧城市、智慧交通、智慧工厂和应急等多个垂直行业落地应用，并逐步走向成熟。随着以5G、工业互联网为代表的新基建加速落地，全球范围内工业无线网络以每年30%的速度增长，各大企业对于''5G+工业互联网的认知度快速提升，全球移动产业探索"5G+工业互联网”步伐逐步加快。欧盟将发展5G作为构建"单一数字市场”的关键举措，重点放在5G垂直行业如汽车、医疗及电力领域的应用。美国5G发展规划重点在于建立共通的5G软件标准,使之适用于任何5G硬件设备，以摆脱对5G设备商的依赖。（二）我国趋势2023年中国5G发展大会上，工业和信息化部公布5G行业虚拟专网超2万个，其中29%的虚拟专网都跟工业互联网相关。全国各地积极引导利用5G技术进行产业集群网络升级改造、推进融合应用，加速培育5G+电子信息、5G+装备制造等优势行业和特色产业，带动新型工业设备、网络、软件加快创新突破，有力支撑产业基础高级化和产业链现代化。IJ5MBMHBB*¾m*j*at.h-_I&-t当下，5G网络应用已在工业互联网领域深度渗透，进入高价值核心业务场景，面向原材料、装备、消费品、电子等制造领域，以及采矿、港口、电力等重点垂直行业。"5G+工业互联网”融合应用从垂直大类走向细分集群，从服务企业走向融入生产，从改变通信模式走向重塑生产流程。表1.5G+工业互联网典型业务场景描述业务资产萱理远程控制-机器视远程控远程控制远程控AR婕全方位场景场内产线设觉质检制-场内-AGV控制-场内协作园区安备控制产线设制产线设防备控制备控制业务1.室内定位2.设备剪辫3.边缘4.自动5智睇6.P1.C控7.AR应8.园区安场景子AI检测测试流制用防名分类细分资产盘点通用设备程产品质自动老AGV调P1.C实时AR速园区智场景资源实时序加载；量检测化测试；度；采集；指导；能安防描述调度；自动化设备（来自动加物配送P1.C婕AR本地（身份物料透明程序加载；料、印载OS;调度；控制。导引；识别）；可视；视频监控刷、组自动加园区自动在线维移动巡人员定位。5G化；装、包载测试。驾驶。修。逻；手持终端装等）；生产安5G化。智育绢全雌。码。二、5G+工业互联网安全政策与标准（一）安全政策近年来，世界各国都在积极开展5G融合应用探索,垂直行业融合应用已经开始落地商用。纵观全球各国,产业政策出台早、推动力度大的国家/地区，5G行业应用发展也相对较快,成熟应用落地的成功案例较多。韩国以国家战略的形式布局5G创新应用，政府层面大力推动5G行业应用发展,致力于促进相关新兴产业发展，引领全球市场。欧盟各国、日本、澳大利亚、新加坡等通过设立创新计划、专门项目，引导先进制造企业开展5G应用的试点示范。我国高度重视5G行业应用发展，先后出台了多项促进5G行业应用发展的政策性文件，5G与垂直行业的融合应用蓬勃发展，已形成系统领先优势。表2.我国近年来5G+工业互联网相关政策旬被，×rt>¾'的T学a：鱼喀公腐烫大时间政策名称要求深化"5G+工业互联网”发展，制定实施"5G+工2023年7月工信部印发工业互联网专项工作业互联网"512升级版工作方案。推动不少于3000家组2023年工作计划企业建设5G工厂，建成不少于300家5G工厂，打造30个试点标杆。要推进“双千兆"网络统筹集约建设，强化5G基2023年5月工信部等14部门联合印发关于进站一步深化电信基础设施共建共享促站址及机房、室内分布系统的建设需求统筹。进“双千兆"网络高质量发展的实施意见将5G作为经济发展的新动能，提出要"深化2022年11月工信部、发改委、国资委联合印发5G+工业互联网融合应用，加快5G全连接工厂建关于巩固回升向好趋势加力振作设，工业经济的通知推动各地高质量建设工业互联网示范区和'5G+I业互联网融合应用先导区".2022年9月工信部印发5G全连接工厂建设指建设内容中明确要求网络安全三同步建设，支持企南业建设产线级、车间级、工厂级等不同类型5G全连接工厂，着重在单一生产环节、业务单元的设备连接、数据采集和5G融合应用创新方面能力建设。推动5G与工业应用的融合向纵深发展，为"5G+工业互联网”发展的下一阶段指明了方向。2022年6月工信部、发改委、财政部、生态环境推动5G、云计算、边缘计算、物联网、大数据、部、国务院国资委、市场监管总局联人工智能等数字技术在节能提效领域的研发应用，合印发工业能效提升行动计划积极构建面向能效管理的数字李生系统；提高"工业互联网+能效管理"创新能力。提出"加快发展工业互联网"，"推进5G规模化2022年3月国务院印发2022年政府工作报商用"，"强化网络安全、数据安全和个人信息保告护"。2022年2日工信部印好关干做好工业领域数B日确程出决定在原计划越础卜扩大工业领域幼抿三三51据安全管理试点工作的通知安全管理试点范围。工信部印发"5G+工业互联网">>»一J.'.2021年5月典对5G在工业中的应用落地起到了重要的指导作型应用场景和重点行业实践用。内网建设改造覆盖10个重点行业，形成至少20大典型工业应用场景。明确将"5G+工业互联.*2-<2MH>3ir7"Jr/KRwpflK网"的网络和数据安全作为关键问题进行深入研究。,，一，,一一一一I一一-l一在10个重点行业打造30个5G全连接工厂；推2020年12月工信部印发工业互联网创新发展动彳锄计划(2021-2023年)5G应用从外围辅助环节向核心生产环节渗透，加快典型场景推广；建设10个"5G+工业互联网"融合应用先导区等.(二)安全标准标准化工作是指导工业互联网安全关键技术发展的重要手段。国际层面，以美国为代表的发达国家和国际组织早已发布多项相关政策。我国的工业互联网安全领域标准体系建设虽然起步较晚但发展迅速，至今已相继出台工业控制系统网络安全管理体系标准、工业控制系统信息安全防护指南、信息安全技术网络安全等级保护基本要求等多部工业网络安全标准规范，涉及工控安全、工业互联网安全等多个细分领域。各项标准落地实施，极大促进了工业企业数智化转型，强化了工业互联网企业安全防护能力，助力了工业互联网企业健康发展，本白皮书中主要罗列了当前各行业应用较多的相关标准和标准要求概述。表3.国内外工业互联网相关标准规范国外标准标准名称标准要求NIST制造业与工业控制系统安全保障能力评估指导企业从异常行为检测、应用程序白名单等方面开展设备防护和系统评估。NIST制造业网络安全框架简介从风险管理的角度指导工业企业开展网络安全防护。IEC62443工业过程测量、控制和自动化网络与系统信息安全标准分为四个部分，12个文档。第一部分是通用标准，第二部分是策略和规程，第三部分提出系统级的措施，第四部分提出组件级的措施。NISTSP800-82工业控制系统(ICS)安全指南指南概述了ICS和典型的系统拓扑结构，指出了对于这些系统的典型威胁和脆弱点所在，为消减相关风险提供了建议性的安全对策.同时，根据ICS的潜在风险和影响水平的不同，指出了保障的不同方法和技术手段。该指南适用于电力、水利、石化、交通、化工、制药等行业的ICS系统。国内标准标准名称标准要求工业控制系统网络安全管理体系标准(GB/T20690-2006)明确了工业控制系统网络安全管理体系，指导企业采取必要的措施确保工业网络安全.一信息安全技术网络安全等级保工业企业网络安全建设需满足等保2.0的相关要求十公安部门依_护基本要求(GB/T22239-2019)法进行安全检直.工业控制系统信息安全防护指指南注重防护要求的可执行性，从管理、技术两方面明确工业企南业工控安全防护要求。工业控制系统信息安全第1部规定了工业控制系统(SCADA、DCS,P1.C,PCS等)信息安全分：评估规范(GB30976.1-2014)评估的目标、评估的内容、实施过程等。工业控制系统信息安全第2部分规定了对工业控制系统的信息安全解决方案的安全性进行验收的验收规范(GB/T30976.2-2014)流程、测试内容、方法及应达到的要求。GB/T33009.4-2016工业自动化规定了集散控制系统(DCS)在投运前,后的风睑和脆弱性检测,对和控制系统网络安全集散控制系DCS软件、以太网网络通信协议与工业控制网络协议的风险与脆统(DCS)弱性检测提出具体的要求。GB/T33009.1-2016:DIk自动化和规定了集散控制系统在运行和维护过程中应具备的安全能力、防控制系统网络安全集散控制系护技术要求和安全防护区域的划分，并对过程监控层、现场控制统(DCS)第1部分：防护要求层和现场设备层的防护要点、防护设备以及防护技术提出了具体的要求。GB/T33009.2-2016:DIk自动化和规定了集散控制系统信息安全管理体系及其相关安全管理要素的控制系统网络安全集散控制系统(DCS)第2部分：管理要求具体要求。GB33009.3-2016ZD1E自动化和规定了集散控制系统的安全风险评估等级划分、评估的对象及实控制系统网络安全集散控制系统(DCS)第3部分：iTO三南施流程，以及安全措施有效性测试。GB/T33008.1-2016:DIk自动化和规定了可编程序控制器(P1.C)系统的信息安全要求，包括P1.C直接控制系统网络安全可编程序控制器(P1.C)>或间接与其他系统通信的信息安全要求。工业互联网企业网络安全分类分级防护系列规范：工业互联网平台企业安全防护规范规范面向重点行业、重要工业领域的工业互联网企业，根据企业联网工业企业安全防护规范所属行业网络安全影响程度分级评定，根据不同的分级结果，要工业互联网标识企业安全防护求落实与自身等级相适应的安全防护措施。指导企业开展分类分规范级管理，落实安全主体责任，增强网络安全意识、提升网络安全工业互联网企业数据安全防护规范防护能力。三、5G+工业互联网安全挑战5G与工业互联网的深度融合势必将大量的ICT系统威胁和挑战带入工业网络，因此5G+工业互联网与传统的工控系统安全和互联网安全相比，其安全挑战更为复杂。(一)网络安全挑战5G网络的服务化架构使网络功能以通用接口对外呈现，可以实现灵活的网络部署和管理，伴随接口开放，通用接口在身份认证、访问控制、通信加密等方面都面临潜在的风险，安全方案设计的缺陷会导致泛洪攻击、资源滥用等风险。此外，边缘计算节点的安全机制缺失或策略错误配置可能导致非授权的边缘计算网关接入、边缘节点过载、边界开放API接口滥用等风险；网络切片技术的使用可能面临非授权用户接入网络切片等风险。整体来看，随着5G网络与工业业务发展，工业系统、应用逐步云化部署,5G网络切片、SDN/NFV等新技术在工业网络中逐步应用，切片安全、链路安全、云网安全等相关风险也在不断提高。（二）终端安全挑战5G+工业互联网接入终端种类增多、数量巨大，工业互联网终端设备计算能力和安全防护措施较弱。工业网关、机器人等终端设备与平台的交互，涉及工业控制协议、控制软件等风险点，在设计之初可能未考虑完整性、身份校验等安全需求，持续面临病毒、木马、漏洞等安全挑战。伴随工业互联网终端的大量接入,伪造的、被劫持的、包含病毒或恶意程序的、缺少基本安全防护能力的终端可能将终端安全风险通过5G网络进行传播和扩大。（三）数据安全挑战随着5G网络在工业互联网领域的大规模推广应用，数据安全风险不断多样化。5G网络基于NFV.云计算、虚拟化技术使得安全边界模糊，流量不可见。边缘计算造成网络及用户数据下沉至网络边缘，数据安全管理责任界定、网络边缘数据隔离与保护的挑战明显；虚拟化技术带来的网络边界模糊增加了数据保护的难度；网络切片技术对数据的安全隔离与保护提出更高要求；接入设备数量的快速增长和防护措施能力的差异导致数据泄漏风险点增多、违法有害信息管控难度增大。MEC节点位于网络边缘，处于运营商控制较弱的开放网络环境中，数据窃取、泄露的风险相对较高，对数据采集、存储、传输、处理等方面的安全性提出了更高的要求。近年来，在工业互联网领域，供应链攻击、勒索软件攻击、地缘政治相关黑客攻击等网络威胁持续上升，尤其是针对工业互联网领域的勒索攻击逐渐成为黑客获利的最佳途径，工控系统一旦被入侵轻则会破坏生产环境、造成设备停机、被勒索钱财，重则会直接上升到国家安全层面。（四）工业Al安全挑战随着AI技术在工业领域逐步应用，由于AI模型的不可解释性，在模型中植入的恶意后门难以被检测；AI芯片和软件编码都可能存在漏洞或后门；训练模型时，面对恶意样本无法给出正确的判断结果，工业领域在享受AI带来的便利和高效的同时,也为传统工业控制系统带来的网络安全问题,尤其是隐私泄露。一旦企业敏感数据被泄露，可能会被网络黑客用于恶意用途。（五）工业云安全挑战工业云相对于传统的云平台更易成为网络攻击的目标，工业云承载着重点工业领域的关键业务系统，同时越来越多生产组件、控制系统直接或间接与互联网连接，工业云及虚拟化平台自身的安全脆弱性及漏洞日渐突出，所使用的开源软件安全问题层出不穷。此外，工业云在提供服务时向用户开放API接口，在一定程度上加大了暴露面风险；工业云环境下安全风险跨域传播的级联效应愈发明显，包括工业云中，研发、生产、管理、消费各环节的横向风险传播，以及互联网通过工业云向工业企业管理网、生产网的纵向风险传播。（六）软件供应链安全挑战我国工业互联网中大量的工业软件和中间件开源部分占比较大，开源技术在推动工业互联网快速发展的同时也引入了大量的安全风险。根据新思科技(Synopsys)2023年开源安全和风险分析(OSSRA)报告数据显示,检查的开源代码库中有48%包含高风险漏洞。因此，位于软件供应链(软件生产到交付运营的全过程)源头位置的开源软件一旦存在安全问题，与之存在依赖关系的工业互联网业务系统也将同样存在安全缺陷并随着不断复用造成安全问题烈性传播，呈现典型攻击一点、伤及一片的特点。此外，开源软件作者主要通过开源许可协议对其知识产权进行许可与约束,若开源软件使用者未依照相应的开源许可协议使用开源软件，将可能面临知识产权及合规风险。当前最常用的6个开源许可协议,没有在知识产权层面上对我国进行管制。需重点关注在当今复杂国际形势下，开源许可被重新制定，以致开源项目只能在一定范围内被使用和发布，从而给我国造成知识产权方面的风险。(七)运营安全挑战5G技术与工业互联网深度融合，涉及端到端安全、通信网络安全、应用安全、终端安全等问题，导致相关方安全责任界定困难；5G网络面临的IT化网络设施安全风险、通信网络安全风险会影响工业互联网系统的稳定运行；同时，工业互联网系统的安全漏洞、错误安全配置等原因可能将应用自身安全风险向5G网络传导。四、5G+工业互联网“元信任”安全解决方案工业互联网体系将连接对象延伸到工业全系统、全产业链、全价值链，打通了"人、机、料、法、环"全要素,实现工业制造各流程的深度互联，促进了端到端网络、5G、边缘计算等关键技术与工业互联网的融合应用，以致单一的解决方案无法满足工业互联网的整体安全需求。中国移动立足通信运营商全程全网的优势，创新提出了以"身份为核心"，"+CT联防联控"的5G+工业互联网一体化全12迦jII.jt>李1.rj*lP_I乩.彩学r;至芸卷旗或w-'_程可信"元信任"安全解决方案。本白皮书从身份可信、网络可信、终端可信、数据可信、应用可信、Al可信、软件供应链可信、运营可信、"元信任网络安全保险9个方面提供了"元信任"安全技术实现方案。W访SX6第Ee型丹n(IW网全6*4JWS;ktarnrt图1.5G+智慧工厂安全的"元信任”解决方案架构(一)身份可信保障元信任安全解决方案身份认证防护体系提供可信的来访身份核验能力和入口级保障。基于移动核心网+SIM卡安全芯片为工业互联网用户及相关设备提供便捷、安全的号卡身份准入认证。结合安全网关先认证后连接、动态访问控制等特性，建立可信通信链路并分配对应的访问权限，未经授权不能访问业务信息，利用通信网络全链路可管、可控的特点，实现身份可信、过程可溯源的安全需求,身份准入认证流程采用二次认证机制，可分为设备准入认证与网关访问鉴权两部分：设备准入认证(一次认证)：设备入网阶段，工业互联网设备中的SIM卡与运营商移动网核心网关启动AKA鉴权认证，并通过安全网关连接统一身份认证平台，识别并获取SIM卡关联的设备标识，完成设备准入认证。网关访问鉴权（二次认证）：在设备准入认证完成后，此时设备尚未能与业务系统建立连接，而需根据设备身份验证凭据，通过数据流传递到安全网关侧，再次与统一身份认证平台确认凭据有效性，确权通过后建立可信通信链路，同时分配权限策略与访问范围，完成二次认证。图2."元信任"身份可信保障机制（二）网络可信保障"元信任"安全解决方案在工业互联网电信设备网元级可信保障中，通过安全加固、安全校验、安全监控、安全响应机制，确保电信设备全生命周期安全。1、安全加固安全根技术：硬件芯片安全（硬件安全根、芯片自身安全），系统安全（指令安全、安全保护），开源组件安全（开源组件管理、漏洞追踪管理），数据安全（可信计算/机密计算、证书/密钥管理）。安全左移：安全全面融入开发流程，通过明确责任、开展培训、开发工郸口建立流程确保安全战略执行到位。最小裁剪：冗余代码裁剪、冗余端口关闭、冗余账号删除、低安全级别加密功能去除等。2、安全校验软件校验：确保软硬件被正确按照设计集成。通过硬件可信根逐层校验，对固件、操作系统、虚拟化软件和电信软件、补丁等进行校验，判断是否被正确的加载，确保没有被篡改。远程校睑：确保软硬件被正确按照预期运行。进程运行状态，静态数据库链接/动态数据库链接状态，内核模块运行状态的校验和比对。配置核查：确认设备安全功能按照设计配置。提供安全配置工具，确保安全功能被正确开启，保证设备满足安全合规。3 .安全监控系统层面：系统内部数据,文件、进程、端口、账号按需访问，精细化控制。基于业务需要，对于账户、文件、进程进行按需白名单创建和访问监控，提供系统内部的操作系统级别的安全监控。网络层面：设备、网元、虚拟机的TCP/IP层面按需访问，精细化控制。基于业务需要，对于通信端口进行白名单访问监控，网络层访问层面微隔离按需访问。信令层面：网元信令（应用层）按需访问，精细化控制。基于业务需要和特征，对于信令流量进行白名单访问监控,实现信令层面安全保护。4 .安全响应威胁处置：网元层面发现威胁，安全管理模块根据业务需要和特征提出可信检验、异常分析、威胁处置建议。威胁同步：上送中国移动安全中台，安全中台决策通过SOAR机制，决定安全事件威胁成立方式。漏洞通知：发现安全漏洞，会基于自身漏洞管理体系，进行漏洞组漏，并且给出修改建议，提升运维效率。安全加固（先天性r除性）安全校唯（先天性,显性）安全帽帔木：效玲校脸：至七色片，守严留.干了逗杵,忒雯什EE牛.早6EU化系机.妗补丁安金在酸确?证明：工王卜什.在工二竽保厂口密沽地表;3、力检粉烟仃公公三*h!E:去全配：元金代再口用蛆依全现X三e玄主上铤舌法突求.二关壬开£雨3环，情报怜逸：于第安重拄：尸-E七匕”SMF.SMF却斤七的坏UC三件，湃N.本机行洸依刷货0ri铲步，Ans分；：网飨毁JE控：i5Ufjr卜同J±q*蛉璃7而中台行环TCPIPwM5E.-IK午：里优&Sfflt三三:C4UKK:i珀网：:供砥同性一件而先以机；;I彳令第口t送双二恬1.4K<安全一而（获得性，显性）,安全监测（先天性，显慢）图3.“元信任"网元级可信机制（三）终端可信保障元信任"安全解决方案在保障工业互联网终端安全可信方面，考虑了工业控制系统专用设备的安全防护，也做好通用PC、服务器的安全防护，面向终端设备实施分层分域安全策略，构建多技术融合安全防护体系。终端设备安全：对于智能终端设备可采用"元信任"安全解决方案中本质内生的号、卡及通信安全体系加强终端设备身份鉴别与访问控制，同时采用固件安全增强、漏洞修复等安全策略,确保终端设备自身的安全。对于传统PC、服务器等终端，也可采用轻量级无U1.无感知终端代理的终端安全防护方案，通过白名单、身份认证、安全基线检测和终端安全事件审计等技术进行智能终端的安全防护；对于传感器、专用工控设备、物联网终端等可采用轻量化标识密钥技术，通过设备专用标识，进行工业互联网资产标识识别、接入安全认证，通过设备标识、违规介入管控等，实现工业互联网专用终端设备的资产梳理和可信接入管理。终端控制安全：通过采取控制协议安全机制、终端内置控制软件安全加固、指令安全审计、确保控制软件安全和控制协议安全。通过采用专用通信协议、密码技术进行身份认证、数据加密技术确保控制系统执行的控制命令来自合法用户，对通信双方进行身份认证，未经认证的控制命令不被执行。在控制协议通信过程中加入身份认证，避免攻击者通过截获报文获取合法地址建立会话，影响控制过程安全。保证通信双方的信息不被第三方非法获取，业务运行环境安全可靠。终端通信安全：通过通信双方的双向设备认证、数据源真实性与完整性认证、数据的安全传输、数据的安全共享，终端设备指纹识别等技术，对工控网络内部各类应用数据的采集与监控，保障通信网络设备可信接入。对于自主可控终端,在方案设计时可考虑采用标识密码技术，使接入网络的设备具有唯一性标识，网络应对接入的终端设备进行身份认证，保证合法接入和合法连接，对非法终端设备的接入行为进行阻断与告警,形成通信可信接入机制。对于服务器、通用PC等终端设备可采用先认证后连接的入网管控方式，对于终端设备接入进行验证的管理，实现终端设备安全接入认证、传输加密、安全基线扫描、环境感知数据上报等，保证接入终端的可靠性，数据传输的机密性和完整性。实现在终端访问应用资源的动作是一个安全的、可溯源的、可管可控的过程。通过终端设备自身安全、终端控制安全、终端通信安全，确保接入到网络中的设备具有唯一标识、违规接入进行管控等，实现工业互联网终端设备资产6（四）数据可信保障在5G+工业互联网场景下，数据的生命周期包括数据采集、数据传输、数据存储、数据处理、数据交换和数据销毁六个阶段。不同生命周期阶段面临不同的安全风险，元信任安全解决方案采取不同的技术手段应对安全风险。数据采集：在组织机构内部系统中新生成数据，或从外部收集数据的过程。5G+工业互联网中的数据主要分为三部分：各类生产资料的实时工况数据、各类信息化系统产生的数据、各类产品的设计研发数据。可通过开展数据采集合规性检查，部署工业防火墙、数据标识与溯源、传感器可信安全检测等能力来降低数据被劫持、控制指令被恶意篡改、传感器失效导致数据失真等风险。数据传输：数据依托5G传输网络、工业现场总线、工业以太网等信道资源，数据在组织机构内部，从一个实体流动到另一个实体的过程，进而通过传输实现数据的迁移、汇聚、扩散等功能。可通过部署VPN、加密机、工业防火墙、完整性校验、工业防病毒等能力来降低传输数据被嗅探、被攻击者拦截和传输数据包被修改等风险。数据存储：数据以任何数字格式进行物理存储或云存储的持久化阶段。可通过部署工业防火墙、身份认证与访问控制、数据脱敏、工业审计、存储数据加密、数据水印、数据灾备等能力来降低工业数据被嗅探和窃取、未授权访问、云平台数据泄露和被篡改等风险。数据处理：在5G+工业互联网系统内针对数据进行计算、分析、可视化等操作的阶段。可通过部署存储数据加密、机密计算、身份认证与访问控制、IDS等4.数据交换：数据由工业组织机构与外部组织机构或个人交互的阶段。可通过部署隐私计算服务、数据水印、数据脱敏等能力来降低工业数据被逾期交易、共享数据未授权交易、数据合作共享使用等风险。数据销毁：对数据及数据的存储介质通过相应的操作，使数据彻底消除且无法恢复。具体的安全应对措施包括使用专业多次逻辑擦除工具、效果检查工具，完善数据销毁流程管理制度，做好数据销毁过程记录等来降低数据被刻意恢复、数据销毁不彻底等风险。（五）应用可信保障基于中国移动云网的内生安全能力，"元信任"安全解决方案从安全扫描、安全监测、安全防护、安全可视化四个方面建设覆盖应用系统全生命周期的可信防护体系。安全运营中El应走全法防护应JE罗唯匕0朝就近功问运喜金琮可视应用彳麻，应用系琉图4."元信任"应用安全可信防护安全扫描：在保证应用系统正常对外提供服务的前提下,建立定期“漏洞扫描+人工稽核应用安全评估机制，提前发现应用系统隐藏的安全隐患，及时打补OIRPIBW丁修复。安全监测：利用分布式拨测节点，为应用提供多维度的带外安全监测，监测能力覆盖网页篡改监测、DNS劫持检测、钓鱼网站检测等多个维度,实现对业务平台安全风险的实时预警。安全防护：分析应用系统的流量特征，通过高级威胁检测引擎,识并拦截恶意攻击请求,保证正常的业务流量安全到达业务服务器。安全可视化：面向应用系统提供态势感知、安全报表及攻击溯源功能，满足多样化安全运营管理要求。（六）工业Al可信保障人工智能技术广泛地应用于预测维护、过程优化、质量控制、自动化机器人、智能监控等领域。人工智能技术在工业互联网中有助于提高生产效率、降低成本、提高安全性和可持续性，从而推动工业领域的数字化转型和智能化。然而由于人工智能技术自身的脆弱性，元信任"安全解决方案通过增强模型算法鲁棒性、防范模型算法窃取攻击和防范模型算法篡改攻击三种技术手段保障工业互联网中人工智能技术的安全性。增强模型算法鲁棒性：在开发阶段，采取预防措施，包括进行对抗性训练、过滤恶意样本等，以增强模型的防御能力；在测试阶段，综合使用含有对抗噪声、自然噪声、系统噪声、伪造、模仿、随机、无意义等类型的数据以测试算法的鲁棒性；在运行阶段，持续监控和修复模型的漏洞，以确保其稳定和可靠地运行。防范模型算法窃取攻击：防涵E法获取，加密存储和传输模型文件，设置权限和访问控制，定期检测模型保护措施，防止非法获取,实施安全保障和审计日志，并定期检测安全系统和防护配置；防范逆向攻击，限制信息反馈量，遵循最小特权原则,设置算法探测频率限制。防范模型算法篡改攻击：防范后门攻击，设计输入预处理方案,过滤可能触发后门攻击的输入，引入算法应用预处理模块，对输入进行预处理，建立后门检测机制，定期扫描和检测算法后门。（七）软件供应链可信保障面向工业互联网软件供应链安全挑战，元信任安全解决方案通过提供软件供应链资产透明化，安全漏洞检测精准化、知识产权合规化和运行监测动态化四大技术能力，实现软件源头清晰化、使用过程标准化、运行监测动态化。图5."元信任"软件供应链开源安全治理透明化的软件资产：支持以"最小化元素清单”为单位，提取供应链开源软件的成分单元，输出软件物料清单（SBOM）,理清源头资产清单，包括软件成分中各种依赖关系（包括直接依赖、间接依赖、多层依赖），并支持生成完整的软件成分全量树，确保软件供应链资产透明化、可视依口完整性。精准化的漏洞检测：依托指纹识别、模糊Hash匹配、关键污染源调用等核心检测技术，实现对供应链开源软件精准化的安全检测，保障供应链开源软件的安全性，同步实现对检出漏洞提供全路径定位信息和详细的修复方案，为安全漏洞精准定位和快速修复提供保障。合规化的软件许可：实现基于软件物料清单对供应链软件成分中的软件许可协议的全面梳理,理清软件成分中的许可协议，针对高风险开源软件许可成分及时替换或隔离，做到工业互联网软件许可风险的提前卡位布局。动态化的运行监测：与CVE、CNNVD.CNVD等权威情报机构和知名社区进行联动,定时收集各类漏洞信息，动态化的对软件物料清单中的开源软件成分进行轮询,根据安全漏洞等级发出不同等级的预警，实现威胁常态化的监测与漏洞一键式排查,精准定位到产品/责任人，助力提升安全运维效率。（八）运营可信保障"元信任"安全解