趨勢：工業控制正在走向虛擬化

“軟件正在吞噬世界，所有過去特定硬件實現的功能，現在都會通過軟件實現”，傳統封閉的工業控制系統，其通過特定硬件實現的功能在工業互聯網或工業4.0時代都將被軟件所取代。特別是在工業領域，關鍵基礎設施平臺，都已走上軟件定義化的旅程，而這一旅程的核心就是網絡虛擬化。

網絡虛擬化可以指一個大型的集中式云基礎設施，也可以指工業控制設備的現場設施，以及上述兩點之間的設施。其中的重點是，要將從前運行在特定專用硬件上的應用軟件遷移到虛擬化運行環境中，以便優化效率、降低成本、提高部署的靈活性與速度。

擔憂：工控網絡安全角勢不容樂觀

然而，在這種朝向虛擬化基礎設施的轉變趨勢中，關于安全性的擔憂卻在提升。基于軟件的系統越來越多地部署在網絡邊緣。這些地方通常并沒有人員在守護，其物理安全也沒有保障。如果遭到攻擊的是工業控制應用，就可能造成更大的災難性事件。例如，近年來的“震網”、“火焰”、“毒區”、“Havex”等惡意軟件嚴重影響了關鍵工業基礎設施的穩定運行，特別是近期 “臭名昭著”的勒索軟件——WannaCry和NotPetya，為國際社會造成了異常慘重的損失。

博思艾倫咨詢公司于近期發表一份針對全球314 家運營有工業控制系統的公司的調查報告，發現其中有34% 的企業都在一年內遭遇了2次以上的數據泄露。因此，隨著云計算、工業物聯網、軟件定義等這些新興技術的快速發展，雖然工業控制領域正面臨著顛覆性的變革；但是，工業控制系統運營者所面對的威脅的規模、類型和嚴重性都在快速增加。

曙光：風河系統開始“現崢嶸”

那么，在工業控制系統走向虛擬化的進程中，該如何保護其安全性呢？

對于各種關鍵基礎設施應用，工業企業都需要確保所部署基于軟件的系統全都置于高魯棒性安全體系架構的保護傘之下，有能力防止未授權的軟件被安裝進來，無論它們是惡意的還是無意的。而且整個系統一旦上電啟用，就應該被全面保護起來，同時又應該支持經過認證授權的軟件方便地進行遠程安裝與更新，以便應對隨時出現的任何新的威脅。

針對這種工控安全風險和安全需求，國內外安全廠商、科研機構紛紛投入力量，著手開始工控安全技術的研究和相關安全產品的研發。而風河系統（Wind River），一家可以為工業控制領域提供全面的邊緣到云軟件產品組合的公司，30年來一直為業界提供信息安全技術和專業知識，面對工控網絡安全的種種挑戰，憑借其虛擬化軟件和工作負載整合解決方案的安全可靠性，發揮出了其獨特的優勢，開始嶄露頭角，為工控網絡安全領域帶來了一抹曙光。

那么，風河系統公司具體是如何做的呢？

對策一： Titanium Cloud虛擬化平臺

首先，風河將一整套全面的安全機制納入最新版本的Wind River Titanium Cloud虛擬化平臺之中，為關鍵性基礎設施提供可靠的保障。

面向工業控制應用，這些增強的安全機制已被集成到Titanium Control產品之中，任何提供與管理關鍵基礎設施業務的工業企業，都可借助于Wind River Titanium Cloud產品集，確保其云環境的安全，并且為其業務運維提供最可信賴的防護保障。

在更新或修補期間，當導入補丁和ISO映像時，Titanium Cloud 使用加密簽名來對文件的真實性和一致性進行驗證。只有被風河加密簽名的補丁和ISO才可以在Titanium Cloud之中安裝。使用這種密碼簽名，可靠地實現了軟件平臺在維護操作期間的全面保護。

另外，Titanium Cloud 的一致性測量體系架構（IMA）使用安全引導過程來確保初始引導加載程序和主機平臺內核的完整性，保證用戶空間環境的一致性，同時檢測和報告已經執行過的可執行文件，不論這項執行出自惡意為之還是無意間偶然發生。IMA對主機文件關鍵子集的完整一致性持續進行監控，當文件被訪問時，測量和保存文件的哈希值，以便檢測文件是否曾經被篡改，同時記錄下任何可能表明主機平臺文件完整一致性已遭到破壞的跡象。

不僅如此，在Titanium Cloud中的虛擬可信平臺模塊（vTPM）功能確保虛擬化功能的安全性至少達到與最新硬件技術所提供的安全級別一樣高。對于關鍵的工業基礎設施應用，Titanium Cloud vTPM 功能可以確保完全安全的端到端引導過程。而且，通過Titanium Cloud合作伙伴生態系統，風河與供應商合作還可以提供豐富的安全功能，例如防火墻、安全網關、深度包檢測（DPI）和入侵防御系統（IPS）。

可以說，Wind River Titanium Cloud產品集包括業界唯一的全集成化且可即刻部署的虛擬化平臺，其正常運行時間、性能和安全性足以滿足任何規模的工業應用及控制業務要求。

對策二： 支持ARM架構的VxWorks 653平臺

其次，風河升級了VxWorks 653多核版本，現在已經可以支持ARM架構。換句話說，無論你選擇Intel架構、Power架構還是ARM架構，都可以使用基于標準的開放型虛擬化平臺，來構建新一代工業系統平臺，而且運行多種操作環境。

在整個工業控制系統中，大多數工控軟件都是運行在通用操作系統上，例如操作員站一般都是采用Linux或Windows平臺，由于考慮到系統運行的穩定性，一般系統運行后不會對Linux或Windows平臺打補丁；另外，大多工業控制網絡都屬于專用內部網絡，不與互聯網相連，即使安裝反病毒軟件，也不能及時地更新病毒數據庫，并且殺毒軟件對未知病毒和惡意代碼也無能為力。操作系統漏洞無法避免，加之傳統防御技術和方式的滯后性，給病毒、惡意代碼的傳染與擴散留下了空間。

而已通過認證的VxWorks 653平臺，風河納入了獨特的功能安全性和信息安全性平臺產品集，為所有的主流硬件架構提供支持。能夠抽象和運行任何類型的工作負載，既包括傳統負載，也包括新型負載，而且具備多種安全級別能夠滿足最具挑戰性的環境需求。這就使得客戶能夠快速適應不斷變化的業務需求，并在基礎層面上滿足日益增長的創新和工作負載集中化的需求，并從一開始就為安全關鍵系統的體系結構打下良好的基礎。

一直以來風河的戰略核心就是基于多年來的客戶信任，旨在將其具備功能安全性和防護安全性的軟件產品集應用于工業控制系統和架構之中，這一點一直不斷的被證實。2018年，工控網絡安全角勢依然不容樂觀，而風河具備魯棒性、開放性的多核集中化平臺已經日趨成熟，所需的硬件架構和開放的虛擬化平臺，都已整裝待發。