大咖说|神州慧安张友平：“道高一尺，魔高一丈”，安全永远在路上，没有永远的安全

张友平：2000年以前，信息安全还是处于“网吧监控”、“邮件病毒过滤”阶段。工业领域当时都是单片机、单板机，都属于模拟控制而少有自动控制，只要控制系统和设备没出问题，就算完成任务，所以几乎没有什么安全可言。后来工业逐步从单生产线升级到自控体系，我们也开始接触和重视安全问题，比如唐山钢铁当时有很多从国外引进的控制系统都是独立的产线，完全没有联通起来。这带来的问题就是有太多的病毒，而且还不敢杀毒。为什么呢？因为很多工控软件跟病毒的原理是相似的，都是直接读内存、读协议栈，所以杀毒软件一杀毒，整个生产线都会出现问题。为了解决这些问题，我们开始考虑安全与生产的关系。

随着逐步的深入研究，我们发现了光解决病毒还不行，因为像炼钢线、轧钢线、DCS都有信息联动了，这意味着只要某一个单点有病毒了，其他联动点也都有病毒了，这个事情就不是那么简单了。经历了这些以后，我们逐渐从传统安全过渡到了工业安全，开启了从单点防护向综合防控过渡的探索之路。

我们发展的下一个阶段就是从外挂式工业安全到工业互联网、工业物联网、工业现场组态的有机融合，做到真正意义上的工业大安全，而不是现在的工业网络安全。

张友平：公司的发展战略，有以下几个转变：

第一，从传统安全的以已知威胁发现防护的理念，转变为以未知威胁为主，已知威胁为辅的理念；从黑名单的机制转变为白名单、白环境、白行为为主，黑名单为辅的发现防控机制。在2010年以前，我们重点放在传统安全，进入工业安全领域以后，我们发现它与传统安全有着太多的不同。首先，工业安全环境生态与传统的IT网络安全在可靠性、实时性、网络带宽、应用软件对象和目的等方面存在着区别。传统安全断网，如果不能立刻恢复影响是有限的，但工业安全上如果断网，可能整条生产线都毁了。其次，传统安全的理念在工业安全上有很多不适用的地方，传统安全实际上都是集中在TcpIP协议上的，但是在工业安全上有太多的工业协议，它追求的是整体的安全性和可靠性，这在理念上与传统安全不同。工业安全需要安置防病毒过滤、入侵威胁、漏洞探测等，这意味着需要很大的带宽、算力和存储能力。如果把工业网络各个节点的流量全部采集下来，第一，采集的工程量非常大；第二，传输占用的带宽也非常大；第三，储存、还原、分析、处理同样需要非常大的工程量。因此，整套的安全系统比原来的工业控制系统投入多太多。再次，工业安全包含着广义的网络安全、组态安全、工业设备安全和工艺工业生产的安全，而传统的安全主要是网络安全。安全企业的技术发展路线最早都是由病毒木马、漏洞、威胁情报等几个威胁类型衍生出来的，但是这里有个问题，就是它们都有一定的滞后性，得先知道他的黑名单、传染方式、识别特征才能实现安全防护。但是从工业安全的角度，95%以上都是未知的东西。如果用这些东西去指导整个的安全理念或者安全技术体系，那么当面对真正的安全武器库里针对我们国家各个行业做的网络攻击武器时，我们几乎不堪一击。因此，这种滞后性的防护已经完全不适合用在现代工业体系上了。

第二，从网络主机为主的防控范围，转变为把网络主机、工业数字设备、工控设备、工业组态、工艺流程等都列为资产的范围，把资产的视角延伸，从资产安全的角度去考量资产的健康状况。因为攻击的目的，包括出安全问题的大部分情况是在资产环节，我们把网络的工业组态也视为资产，等于把这些资产都作为重点的监控对象，用类似大健康的理念，在还没有发生安全问题或问题不太严重时就处理掉。

第三，从静态防控转变到动态防控。要从防线的角度去做防护，不能用把所有威胁挡在外面的思维来做安全。从感知发现异常→分级监管掌控→动态运维修正恢复这一循环往复而实现信息系统乃至工控系统的安全运行。从传统的单机单系统安全转变为工业安全体系化，因为安全木桶化的理念谁都清楚，综合发现、综合防控、动态运维是针对目前工业安全威胁的基本手段，可惜的是太多的工控安全企业和用户都没有看到这一点和落到实处。

第四，我们从常规的Arm、X86硬件架构、Linux、Windows操作系统这些虚拟化的系统转变为龙芯、飞腾、麒麟操作系统、信创云系统，同时把安全按照信创体系化的需求做到了全系统信创体系。企业系列产品完成了从1.0（日志收集、查询分析）到2.0（自定义数据体系、从收集发现到安全管控、简单运维服务）到3.0（以大资产为视角、以未知威胁为主的态势感知、工业安全大脑的分析推演和追溯，以动态运维为基础的服务)的包括工业防火墙、工业入侵检测、工业隔离交换、工业网络审计、工业数据审计、工业主机加固、工业日志审计、工业监测预警平台、工业综合数据采集探头等多个产品线的升级换代，并完成了向龙芯、飞腾、鲲鹏、海光、兆芯等多个硬件平台的移植以及向麒麟、统信、凝思等多个操作系统平台的适配，并完成了多个国产化云平台的开发。下一步准备向4.0（工业资产大安全）、5.0（与工控体系安全融合）出发。

张友平：太多了，我简单说两个方面：

第一是国产化的生态不健全。我们在2013年开始做龙芯二代、三代的开发、适配，当时不像现在能够自动识别，我们几乎没有任何成熟的支持驱动、中间件，所有东西都要自己写，要懂硬件知识，因为它的M0S是披芒，得算好写好硬件的内存栈地址，写好烧在EEROM里，得自己写驱动自己适配中间件。当然这种情况只存在于早期，现在基于3A500、3C500、LoongArc架构等新产品、新技术的推出，龙芯已经在不断完善他的生态建设，现在更能系统性支持厂商的开发和适配。

另外，因为由于各厂商芯片产品每个批次都不同，都需要重新适配。根据我们的经验，有很多种类的固态硬盘都会出现数据量大时读写不准的情况，诸如此类问题，也给我们产品的开发和适配增加了难度和门槛。

国产化的产品体系是一个还不算很成熟的大系统，没有企业愿意承担制作成本和风险。从这个角度来说，神州慧安是先驱者。我们通过试错解决了很多问题，但同时也承担了很多试错成本。比如我们在早期采购了某品牌工控机主板，刚开始测试都正常，测试一段时间后断电再启动，光卡就不能被识别了，厂家也不知道怎么回事，后来我们发现光卡有两个口，先插一下另外的口再回来，就一切正常了，我们与厂家探讨这个问题好久，也不知道到底问题出在哪里。这种类似的问题还有很多，都是产品体系和适配不够成熟导致的，我们想要达到体系的成熟还有好长一段路要走。

张友平：中小企业数字化转型的难点有两个，第一是投入高昂、人才匮乏，第二是短期内难以见到效果，尤其安全更是看不见摸不着的东西。哪怕大型企业都是这样，我们给某港口负责了4到5年的安全托管，从设备到体系全部梳理了一遍，这几年没有出过安全事件，反而他们内部有很多人觉得钱白花了，因为没有看到效果。所以很多企业的意识都是“雨后送伞，贼去关门”，对企业安全这一块的意识较为薄弱。

针对这些问题我们也做了一些工作，比如做云服务安全套餐；做核心资产重点管控方案；做重点管理手段管控等。但我们的核心用户还是针对关键基础设施的企业。

张友平：工业互联网跟物联网安全的引入都是随着工业数字化浪潮的推进，把工控安全的概念加深、拉长了。工业互联网就是用现代手段把不同的行业、产业链、专业串联在了一起。工业物联网是工业数字化的基础，通过万物互联使各种现代数据的采集、分析、处理更具规模化、批量化、智能化、知识化，从而实现人们梦想中的智能、便捷和自动化。但是这些都给我们的安全管控带来了巨大的挑战。

任何东西都有两面性，没有了国界，人与人不见面的交易，信息量的爆炸性的轰炸，仼何人都是媒体，任何人都可能是潜在的破坏者和敌人，信息战的规模和破坏力不可想像，但成本相当低廉，门槛相当低。面对这种情况，安全的成本非常高，如何做好安全与成本的平衡；安全与效率产出的平衡；安全与使用者的观念与意识的平衡；安全与国家利益的平衡，是我们的难题。一句话:要适度安全，要做适应工业实地现场环境的安全。

张友平：现在国内的工业设备软硬件系统绝大部分都是国外生产的，有很多都是成套从国外引进的，我们也不清楚它的内部构造。这些东西在引进的时候绝大部分都没有考虑到安全，欠账严重。有些关键的设备被恶意添加了后门、漏洞、木马等等。甚至还有国际上的敌对国家针对我们的关键工业系统做了专门的网络攻击武器。所以我们的工业安全起步晚，大家的安全意识薄弱。

现在我们国家这方面意识大大提升，对于安全市场也加大了很多关注，这都是我们的优势。举国家信创之力做大事，不允许国外安全企业介入国内安全市场。

张友平：第一是体系化，即按照工业信息安全的体系结构来构建工业安全。而不是现在市场上流行的采购单品，堆砌产品和技术而怱视安全管理和服务。

第二是白环境化，传统安全的黑名单发现机制已经完全不适应现代工业安全的需求，甚至还会起副作用，因为现代对工业系统攻击的方式方法，识别处理，防护预防等全部都是未知的，真正的第一波攻击到来之时对于工业系统来说是完全致命的，就像新冠病毒一样，人体没有对其免疫性，等到发现其攻击渠道、特征、治疗方法时，大部分工业系统已经瘫痪毁掉了。所以根据工控系统的特点通过长时间地釆集各个层面维度的各类日常数据构建白环境白行为数学模型以此为基线利用数学算法的偏离度来发现和监控异常行为和数据。

第三是安全防控动态化。即在现代工业场景中，不可能及时确切的认定非黑即白的威胁所在，也不可能马上就能挖掘追溯其来源和消除办法及手段，基本情况是威胁存在于种种正确的身份和手段及过程中，所以设置不同的防线和种种不同层面的异常发现机制，动态的识别和在不同防线的层层持续监控确认，在最后的防线前将其清除，是我们在今后的工业安全防控中的大部分内容，静态防控的理念和方法已经远远不适应当前复杂的工业环境安全防控的要求。

第四是安全和工控的有机融合，目前公共安全与工控的关系还是外挂的，没有融合在整个工业控制系统中，做到你中有我，我中有你。真正意义的工业安全是广义的而不是工业网络安全。

第五，安全发展的前景要引入大健康理念，把安全的视角向引起安全问题的诸多因素牵引，持续监控它的健康状态，而不是等着发生安全问题再做处理。

第六是信创的基因安全，从可能出现安全问题的硬件、操作系统、中间件和安全应用上做到自主可控可信，尽量减少威胁的产生和存在。

张友平：首先工业安全的主体和受益人是国家，关乎于国家安全。所以政府应强力推进各行业企业的安全标准体系，建立由政府安全基金支撑下的安全测评检测机构。同时，政府要引导建立工业安全数据的标准，保证各安全企业的产品能够互联互通、无缝对接，这是关键。政府应该引导信创生态的良性循环，限定时间支持优先采用信创产品。

对于企业，应该积极发展企业联盟，发挥各自的优势，对接数据、互联互通、携手联盟，而不是现在的各自为战、互不往来、互相制造壁垒、玩概念、各自夸大自己的功能、欺骗用户，实际上都是孤岛一片、不堪一击。 

张友平：首先，我们作为业内的从业者，要深刻地认识到我们的核心价值观是要协助企业保证其工业系统的安全运行，对这一份责任要保持敬畏感。随着产品的交易，把企业的工业安全体系建设，包括安全咨询、安全整改、安全运维服务等一部分安全责任转移到产品提供方，而不是卖完产品、拿钱走人。

其次，工业安全体系的主体是人不是物，有太多的产品提供商和用户都认为只要上了设备就能实现安全，到处强调的都是堆砌设备跟技术。实际上设备和技术只是技术体系的一部分，是工具，真正起决定作用还是具备防护安全经验、能熟练使用这些设备的人。而且安全体系的重要性也巨大，往往出现安全问题的源头是人所犯的错误。

再次，不能指望靠已有的知识来识别威胁、解决所有的安全问题，“道高一尺，魔高一丈”，安全永远在路上，没有永远的安全。安全需要永远在安全→发现不安全→运维修正→安全的学习和斗争中进步而无止境。所以从事安全行业的从业者需要多学科、符合专业知识的储备，比如工业安全，需要懂计算机硬件，工业设备硬件、各种操作系统、中间件、工业协议、电子控制、工业生产工艺、社会工程学等等太多的学科。

张友平，现任神州慧安首席科学家。1984年开始从事计算机技术，曾主持研发过多个信息安全产品和国家级、省部级科研项目并多次获奖，近年来在工控安全和国产化自主可控技术领域有深入研究和多项产品及科技成果。