ZT-IIoT：面向工业信息系统安全IT/OT融合的集成中心式零信任架构

《International Journal of Critical Infrastructure Protection》：ZT-IIoT: An integration-centric zero trust architecture for secure IT/OT convergence in industrial information systems

　　

# 摘要

在工业4.0中，PLC、SCADA、MES、ERP和云层次之间的基于标准的交换信息被视为工业信息集成的核心方面。IT与OT环境的融合使得基于边界的安全控制在运营技术环境中失效。本文介绍了ZT-IIoT架构，用于确保异构工业控制系统中事务级别的信任管理。与以往基于网络级或会话级方法的研究不同，ZT-IIoT考虑到每一次跨层事务（例如，Modbus寄存器读取请求、OPC UA订阅请求、MES订单传输），将对应的每个事务作为一个独立实体来评估其可信度。具体而言，我们考虑了：(a) Modbus TCP、OPC UA和REST协议之间的协议异构性；(b) Class 0–2资源受限设备严格的时序要求；(c) 遗留棕地设备导致的行为变化。我们将该问题建模为一个部分可观测的离散时间马尔可夫决策过程，以利于我们的分析并获得闭式参数边界和稳定性保证。我们使用均方稳定性公式来分析该问题，这保证了在近视阈值策略下信任控制过程的收敛性。AI模块——隔离森林与LSTM自编码器的创新组合——仅用于生成信任信号，同时保证IEC 62443标准的可问责性。通过采用NS3仿真、硬件测试平台和SWaT数据集进行的实验评估，我们观察到攻击可以减少89–94%，F1分数高达0.943，且在我们采用的≤10毫秒实时延迟目标内最大执行延迟为2.7毫秒。

# 引言

现代工业的自动化可以被认为是本质上是一个信息集成问题。工业4.0和工业物联网的兴起推动了IT网络与OT网络前所未有的融合[1, 2, 3]。一个典型的智能工厂持续在四个相互依赖的层次之间执行数据交换操作：(1) 设备层，包括使用Modbus TCP、PROFIBUS或6LoWPAN协议的PLC、传感器和执行器；(2) 边缘/控制层，使用OPC UA或MQTT的SCADA和MES系统；(3) 企业层，使用REST/SOAP over HTTPS协议的ERP系统；(4) 云/分析层，使用AMQP或Apache Kafka的数据湖和机器学习应用。每次在任何层边界之间发生交换时，都会进行一次集成操作：一种受控的、协议驱动的数据传输，执行某种操作语义，如"读取压力寄存器"、"提交批量订单"或"遥测流"。没有有效的集成，工业4.0的能力将得不到充分发挥[1, 2]。

然而，这种日益增长的互连是以安全成本为代价的。虽然连接性促进了集成，但也大大扩展了工业系统的攻击面。IT与OT的融合破坏了OT网络依赖的气隙特性，从而使工业控制系统暴露于以往仅限于企业级IT网络的区域发起的网络攻击[4, 5]。此类入侵的后果是严重的，如2021年Oldsmar水处理设施事件中攻击者利用IT与OT网络之间的远程访问软件改变化学剂量点，以及TRITON/TRISIS攻击通过工程工作站与现场网络之间的边界针对SIS的事件[3]，还有2022年乌克兰事件，其中入侵是通过ERP到SCADA界面实现的，导致多个地点的变电站故障。在每种情况下，所采用的攻击路径都是一个集成边界的例子，而非基于边界的入侵。2023年在1100家工业企业中进行的调查显示，76%的受访者在过去一年内遭受了来自IT/OT集成边界的攻击[3]。

基于气隙、VLAN和防火墙的基于边界的遗留安全机制在架构上与工业物联网固有的数据共享需求不兼容。一旦通过ERP凭证的妥协进入边界内部，攻击者就可以横向移动到MES；通过OPC UA服务器的漏洞移动到SCADA；或者利用未认证的Modbus网关，通过IT背板获得现场网络的完全暴露[5]。相比之下，由NIST SP 800–207[6]提出的零信任架构提供了一个更合适的框架："永不信任，始终验证"，并在每次访问请求时独立于网络拓扑进行验证。然而，尽管在将零信任原则应用于工业物联网系统方面取得了一些进展，现有架构仍存在三个不足。首先，基于网络的解决方案如SDN驱动的 micro-segmentation[7][4] 强加了15–40毫秒的流建立延迟，违反了IEC 61784-2定义的实时工业以太网（如PROFINET RT类）关键控制通信的每周期≤10毫秒的实时流量包络[8]；我们将这个广泛使用的≤10毫秒数字作为我们自身的工程延迟目标，用于Class 1控制流量（第4.1.1节，表9），而不是IEC 62443本身规定的数值，因为IEC 62443-3-3[9]定义了针对对手能力的SL 1–4安全级别，本身并不规定延迟界限[9]。其次，以设备为中心的技术如PUF认证[10]和TLS[11]认证了端点但未验证交互的语义。第三，当前没有任何零信任方法考虑协议转换、语义映射和延迟约束的集成路径建模。

由于工业环境中存在许多遗留棕地设备，例如十多年前安装的可编程逻辑控制器、远程终端单元和传感器，还出现了额外的问题。这些遗留设备缺乏密码能力，无法在不暂停运行的情况下进行补丁或更新，并且具有固定的通信调度，使得在交换过程中无法进行握手[12]。行业报告表明，超过60%的当前运营技术设备可以被归类为棕地设备[12]。所有当前的零信任解决方案都假设在终端设备级别有最低认证支持；因此，在为棕地OT设备部署零信任解决方案时，要么需要进行昂贵的设备升级，要么系统必须容忍不安全的信任关系。工业零信任模型的设计必须考虑到棕地设备，才能使其工作。与工业系统相关的另一个问题是协议不匹配，这由工业的协议多样性引起，而当前的零信任并未解决此问题。

AI驱动异常检测在工业控制系统中的价值已得到证实，在SWaT[13]和BATADAL[14]等基准测试上提供了高度准确的预测，其中基于Transformer的模型（EfficientTransformer[15]）、图神经网络（GRID[16]）、联邦学习基础IDS（FL-IDS[17]）和（FSL-PN[18]）代表了当前最先进水平。然而，所有这些工作都有一个共同的固有缺陷，即它们无法集成到工业物联网的上下文中，因为它们被设计为独立的异常检测模型，产生的是二值或概率分类分数。将AI作为量化资产可信度的信号生成器，而不是独立的决策者，将解决任何延迟问题并确保适当的问责性，而不损害现有机器学习模型的检测能力。

ZT-IIoT是本文提出的一种零信任架构，旨在在工业控制系统集成级别强制执行信任控制。在NS3仿真（包含69个节点）、硬件测试平台和SWaT数据集上进行的实验表明，使用ZT-IIoT可以将攻击成功率降低90–92%，延迟为2.7毫秒。本研究展示了零信任安全已经从车间级PLC一直嵌入到云分析，被整合到了工业信息集成过程中。这正是ERP、MES和SCADA系统之间实现安全实时信息传输的方式，这是现代生产管理的先决条件。

1. **集成事务级零信任与严格的分析框架。** ZT-IIoT独立评估每个跨层数据事务，包括从协议转换日志中派生的语义感知信任信号。我们提供：(a) 具有部分可观测性的离散时间马尔可夫决策过程公式，用于离线参数优化；(b) 用于实时信任状态估计的卡尔曼滤波器；(c) 具有从检测器性能指标中导出的闭式边界的均方稳定性命题；以及(d) 概率漏检界限。

2. **集成层认证与棕地工业物联网的行为代理。** 与RFC 7228 Class 0–2设备约束分类法（第3.1.1节）保持一致，我们提供基于PUF的PSK（测试平台上4.1毫秒）、HMAC令牌和基于证书的DTLS 1.3，加上一个行为代理，使得零信任执行无需对遗留设备进行任何固件修改。

3. **混合AI异常检测作为信任信号生成系统。** 在这种情况下，隔离森林协议级异常检测方案（在1.2毫秒内运行）与LSTM自编码器时间异常检测器（测试平台性能3.1毫秒）相结合，用于Modbus TCP和OPC UA通信。

我们明确陈述ZT-IIoT相对于第2节回顾的三类先前工作有何创新。(i) 相对于工业物联网的网络级和会话级零信任（NIST SP 800-207[6]、SDN-ZTA[7,19]、DistriTrust[20]），后者在网络流或认证会话级别授予或拒绝信任，ZT-IIoT据我们所知是第一个在单次跨层集成事务（一次Modbus寄存器读取、OPC UA订阅或MES批量订单）的粒度上评估信任的架构，因此共享相同会话或流的两个事务可以收到不同的信任决策。(ii) 相对于独立的工业控制系统异常检测器（EfficientTransformer[15]、GRID[16]、FL-IDS[17]、FSL-PN[18]），后者输出孤立的分类分数且无语义策略，ZT-IIoT通过第4.5.4节式(6)中由DTMDP导出的信任融合规则，将检测器输出与可审计的策略决策正式耦合，其决策轨迹在IEC 62443-3-3 SR 6.1的意义上是可审查的，该标准本身既不规定决策规则也不规定阈值（见第5.6节），从而在有限且可证明的延迟内关闭了"检测"异常与"处理"异常之间的差距。(iii) 相对于先前的基于MDP的工业控制系统安全模型[21, 22]，后者假设完全状态可观测性，我们的DTMDP公式是部分可观测的，并且据我们所知，产生了第一个闭式均方稳定性界限（命题1），该界限直接以可测量的检测器操作特性（TPR、FPR）表达，而非以不可观测的真值状态表达。这三要素——事务级（而非流级）粒度、正式可审计的AI到策略耦合、以及部分可观测的稳定性保证——共同构成了本文声称的创新性；三者单独都不充分，我们也不对底层原语（隔离森林、LSTM自编码器、PUF认证）单独声明创新性。

本文的结构如下。第2节进行文献综述。第3节描述系统架构和系统集成模型。第4节开发ZT-IIoT模型。第5节详细说明AI组件设计。第6节提供两个案例研究。第7节提供实验分析。第8节展示实验结果。第9节突出局限性。第10节给出结论。

## 片段章节

### 工业信息集成安全

虽然工业集成中间件（如OPC UA[23]、MQTT-SN和DDS）提供了互操作性方法，但其安全机制在传输层仍然有限，仅通过TLS提供。Wollschlaeger等人[24]讨论了关注协议转换而不考虑信任建模的集成方法。Bangemann等人[25]提供了一种MES–SCADA集成的参考方法，但未进行零信任执行。语义互操作研究的最新进展，如RAMI 4.0

### 工业集成架构

我们将智能工厂建模为一个四层集成架构（图1），遵循IEC 62264制造运营管理层次结构和RAMI 4.0参考架构[26]。它由设备层（T1：由使用Modbus TCP和6LoWPAN通信的PLC、传感器和RTU组成）、边缘/控制层（T2：基于OPC UA的SCADA和边缘网关系统）、企业层（T3：MES和ERP系统）以及云/分析层（T4：由数据湖组成

### 架构概述

图1展示了具有四个层级的ZT-IIoT架构，使用RAMI 4.0层级术语并与IEC 62264层级进行了映射。PEP放置在每个层级之间的每个协议转换点上。ZT-IIoT架构中有五个相互依赖的架构组件：

- **策略决策点**：信任的中央仲裁者，具有分布式边缘缓存（Redis TTL = 30秒）。

系统支持层级化部署；区域级别的组件复制被视为协议感知的特征工程。Modbus TCP特征集包含21个维度，包括：(a) FC01-FC16函数码集合中的函数码(FC)利用率比率（16个维度）；(b) 请求间时间的统计指标，如均值、标准差、最小值和最大值（4个维度）；以及(c) 错误响应率（1个维度）。OPC UA特征空间共有26个维度，分为几个子组：(a) 12种OPC UA服务的比率（12个维度）；(b) 度量指标……智能汽车工厂（车身装配车间）：我们在一条69节点的智能汽车车身装配线上实例化了ZT-IIoT。拓扑结构：50个0/1类节点（焊接机器人、视觉传感器、传送带、Modbus TCP/6LoWPAN），12个2类PLC（区域控制器），4个边缘网关（PEP + OPC UA服务器），1个SCADA/历史数据库组合服务器，1个MES/ERP组合企业主机，以及1个中央PDP/AI推理组合云虚拟机（50+12+4+1+1+1=69个节点；SCADA与历史数据库、MES与ERP、PDP与AI推理引擎各自共部署在一个节点上）。NS3模拟：安装在Linux Ubuntu 26.04上的NS3 v3.38用于两次模拟实验：(i) 69节点工厂拓扑用于主要评估，以及(ii) 150节点拓扑用于初步可扩展性压力测试（第VIII-F节）。主要实验：3600秒持续时间，每个场景10次独立运行。攻击场景S1–S5在t=600秒时注入。配置：C0（仅外围Snort）、C1（无AI的ZT-IIoT）、C2（完整ZT-IIoT）。可扩展性实验：150个节点，无攻击，1800秒，5次运行。硬件测试平台：4台树莓派……攻击缓解（NS3模拟）：表7中列出了使用NS-3模拟进行十次试验的攻击缓解结果；显著性通过配对t检验确定（p < 0.01）。硬件测试平台攻击缓解：表8中呈现了硬件测试平台实验中每种攻击的结果。与NS-3模拟实验结果相比，发现攻击成功率增加了2-3个百分点。表8中呈现的发现构成了本研究的中心实证主张。性能开销和延迟：表9描绘了……局限性：L1 - 稳定性命题的近似：命题1使用了带有O(10??)误差的有界近似。使用Coq进行完全机械化的符号证明被列为未来工作。L2 - 分布偏移问题：ZT-IIoT通过以一个月为周期定期训练iForest来避免此问题，并在检测到LSTM-AE漂移时仅使用iForest作为回退（F1 = 0.904 ± 0.008）。L3 - 可扩展性极限的实证证据：我们基于实证的……结论：本文提出了ZT-IIoT，这是一种以集成交易作为工业IT/OT融合中信任执行单位的零信任架构。作出了三项贡献：(1) 以集成为中心的架构（图1），由严格的DTMDP–Kalman分析框架支持，包括带有闭式界的均方稳定性命题（αL = 0.562, βL = 0.0046）和概率漏检界（Pmiss ≤ 6.7 × 10??，T = 10时）；(2) 分层认证……CRediT作者贡献声明：Uras Panahi：写作——审阅与编辑，写作——原稿，可视化，监督，方法论，调查，概念化。Uras Panahi