近年来，5G 由于高可靠低延时、低功耗、支持海量连接的特性，对工业互联网的发展意义重大。5G 与工业互联网的融合，必将带来更为深刻的产业变革。但是，5G 也同时打破了传统工业互联网的封闭性，将更多的工业设备暴露于公网中。相比于传统互联网，5G+工业互联网场景下的网络攻击，更加多样化和复杂化，应对传统互联网的网络安全技术手段远不能满足高危复杂多变的工业生产应用需求。本文较为系统的总结了 5G+工业互联网网络安全威胁来源，并进一步给出了应对策略。
一、前言
随着我国通信技术的不断发展，尤其是 5G 通信技术的成熟落地，新型通信技术与工业互联网的融合，必将引发深刻的技术变革，对于提高工业的生产效率、智能化等方面都具有重大的现实意义，必将加快我国新型工业化进程，为中国乃至世界的经济创造源源不断的发展机遇。正因如此，工业互联网领域的网络攻击造成的影响非常大，相比于传统互联网，5G+工业场景下的网络攻击，更为多样化和复杂化，传统网络安全技术手段在针对5G+工业互联网环境下，远不能满足工业生产应用需求，因此针对工业互联网的网络安全研究越加受到人们的关注。
二、5G+工业互联网网络安全威胁分析
5G 通信技术与工业互联网的融合，为万物互联提供可能，但同时开放的网络环境也改变了工业生产环境原有的封闭性。随着工业互联网设备的持续投入，越来越多的工业联网设备面临着遭受网络攻击的风险。加之企业尚需时间从封闭的工业互联网维护思维转变过来，导致网络安全意识淡薄、防护手段重视不足、应急支撑能力不足，5G+工业互联网安全方面面临诸多挑战。
2.1 5G 环境下工业互联网虚拟化技术安全威胁
2.1.1 网络虚拟化威胁
工业互联网业务需求存在很大的差异，难以制定统一标准，这也要求5G采用更灵活的按需组网方式-网络切片，网络切片技术将物理网络划分成多个独立虚拟网络，以此保证网络间的独立性，而不会影响整个网络传输。但现有的网络切片规范，没有对不同网络切片间做出匹配要求，因而在实际应用中，虚拟网络难以做到真正的独立，攻击人员一旦攻破其中一个切片的数据，通过不同安全域间的非法发文、数据窃听、木马等攻击手段，就很有可能获得访问其他切片的权限。另一方面，5G为满足工业互联网海量接入的需求，5G核心网部分UPF网元会下沉到基站侧，这导致传统的网络安全防护手段难以应用，一定程度上更容易遭受攻击。
2.1.2 平台虚拟化威胁
随着云计算、虚拟化平台技术不断成熟，大量系统开始部署于云端，这增大了工业数据保护的难度。相比于传统系统部署方案，基于虚拟化技术的工业互联网平台中多个客户共享同一个计算资源，虚拟机之间的隔离和防护通常成为黑客攻击的重点，跨虚拟机的非授权访问风险尤为突出。多数企业在设计平台之初，还是依照传统的设计思维，投放较大的精力用于业务平台的功能性，而很少投入到平台的安全架构上，这导致黑客常常利用虚拟化平台的设计缺陷，进行权限绕过、缓冲区溢出、未授权访问等攻击。
2.2 5G 环境下工业互联网终端安全威胁
5G的海量接入能力，为各种各样的工业智能终端接入工业互联网提供了方案。但随之而来的，工业智能终端的各种网络安全缺陷与漏洞也同样引入到工业互联网中，进而将5G+工业互联网的网络安全问题复杂化。工业智能终端通常都配有调试端口，通过调试端口登入的账户，通常具备很高的系统权限，一旦成功接入系统，攻击者就可利用系统级权限进行内网的入侵渗透，这为实施攻击者提供了有力入侵条件；大量物联网设备采用相同或相似的嵌入式操作系统，这为实施大规模网络攻击提供了便利条件。物联网设备由于安装位置分散，数量庞大，很难其系统漏洞进行及时的更新升级，攻击者利用已经披露的系统漏洞进行批量入侵操作，即可造成大规模的网络攻击，甚至直接影响工业的生产活动；物联网终端设备为节约计算资源，很少采用复杂的认证机制或额外增加认证等安全芯片来实施访问控制，导致通信往往直接使用http之类未加密的协议，一旦通讯流量被截获，对流量进行解析并实施中间人攻击很容易实现。
2.3 5G 环境下工业互联网数据安全威胁
5G与工业互联网的深度融合产生的海量数据，具有十分广泛的应用前景，通过大数据挖掘技术，可以促进新的业务模式与数字经济发展。但同时，我们也需要将更多的数据信息开放在互联网上，这导致工业数据的未授权访问、数据泄露等风险增大[6]。一方面工业生产中，在生产管理、生产操作、产品销售等各个环节都会产生大量数据，与传统的互联网流量数据相比，工业互联网中，工业通信协议（S7、Modbus等）让工业互联网数据更为复杂、种类繁多，其对安全防护需求等级也不同，导致针对数据的分类分级非常困难，难以开展差异化分级防护。另一方面，工业数据一部分通过云平台进行存储，一部分直接存储在终端设备上。但无论哪种存储方式，都存在数据丢失、泄露、篡改的安全风险。云平台的虚拟化技术难以做到完全可靠的隔离，导致跨虚拟机的非授权访问，从而引发数据泄露、篡改等问题。而对于存储在终端的数据，考虑到工业生产环境相对恶劣的条件，会影响工业互联网设备的平稳运行，导致数据丢失。
2.4 5G 环境下工业互联网管理人员能力不足安全威胁
相比于传统的互联网环境，5G+工业互联网网络和系统的集成部署复杂程度要大大高于前者。这也给工业互联网的管理者带来的巨大的挑战。作为工业互联网的安全管理人员，应充分重视工业互联网的安全性。除关注传统互联网安全漏洞外，对物联网设备的安全漏洞也应及时了解并学会应急处置。同时，工业互联网的管理者也应合理地制定海量物联网设备的快速更新升级的方案。一旦物联网设备出现严重的网络安全漏洞，管理人员将不得不面对海量设备的升级更新问题。如何在对物联网设备进行升级的同时，确保生产环境的稳定安全运行，是管理者必须面对和解决的问题。
三、5G+工业互联网网络安全应对措施
3.1 提高虚拟化技术的安全性
首先工业互联网复杂的网络需求对5G网络切片的安全性引入了诸多风险。因此网络切片应尽可能提供差异化的安全认证机制，以满足不同类型的工业互联网接入设备的安全需求。安全的5G的网络切片应充分考虑不同算力的工业互联网设备（如低性能的物联网传感设备、高性能的上位机工控设备等）在安全机制上的不同需求，提供差异化的认证方法、隔离策略、完整性保护算法、加密算法、凭证类型。其次，确保切片网络之间的传输安全性。工业互联网环境下，网络切片间的通信更为复杂，为确保数据在传输过程中的安全性得到保障，要考虑为每个网络切片定义不同的访问安全机制以及会话安全机制，在NRF与不同层级之间进行通信时需要增加信息验证。最后，安全隔离需要根据网络切片的实际使用场景，确保网络切片实例之间资源不会相互影响。从物理层面看，基于虚拟化技术的网络切片共享着相同的硬件资源，提高端到端的切片隔离，可以防止某个切片的安全漏洞对其他切片造成影响，消除攻击扩散、数据泄露的风险。
3.2 提高工业互联网终端的安全性
5G+工业互联网场景下，联网终端设备种类繁多，对于传统传感器、新型智能节点、网络设备、服务器设备等需提供差异化的网络安全防护手段，将安全防护功能应用到工业控制设备、边缘计算节点、通用计算设备上，提供基于硬件的网络安全防护能力。对于物联网设备，可通过增加安全加密芯片，保证数据安全；对于通用类计算设备，研发集成安全能力的工业控制设备、安全路由、安全网关、安全边缘节点、可信服务器等，为工业互联网平台提供基于硬件的安全防护能力。如安全增强型PLC、安全网关、安全路由器、可信服务器，构建从基础设施层到应用系统层的安全计算环境。
以下为隐藏内容，登录后可见。