【儀表網(wǎng) 行業(yè)科普】零信任架構(gòu)可以顯著增強制造企業(yè)的網(wǎng)絡(luò)彈性，有助于提升OT系統(tǒng)的安全性。
 

　　隨著信息技術(shù)(IT)、運營技術(shù)(OT)和人工智能(AI)的融合，工業(yè)控制系統(tǒng)和運營技術(shù)正在發(fā)生前所未有的變化。這推動了工業(yè) 4.0 計劃的實施，但這些變化也帶來了更大的網(wǎng)絡(luò)安全風(fēng)險和新的運營挑戰(zhàn)。
 

　　這種融合導(dǎo)致攻擊面的擴大，也就是說，現(xiàn)在有更多的潛在系統(tǒng)可能被網(wǎng)絡(luò)黑客攻擊。Palo Alto Networks公司的一項研究顯示，制造業(yè)和關(guān)鍵基礎(chǔ)設(shè)施行業(yè)面臨的安全威脅是其他行業(yè)的三倍。
 

　　01  三個重要的OT威脅洞察
 

　　這項調(diào)查研究的重點是關(guān)注OT系統(tǒng)當(dāng)前面臨的威脅狀況。有三個重要的OT威脅洞察包括：
 

　　■ 惡意軟件在OT環(huán)境中增長。在過去一年中，針對OT組織的惡意軟件，在所有會話中的比例增加了27.5%，每個客戶的平均攻擊次數(shù)增加了238%。
 

　　■ 針對OT的漏洞攻擊擴大。去年，每個OT客戶平均每月受到的攻擊次數(shù)從2.2萬次增加到7.2萬次。針對OT行業(yè)的平均攻擊次數(shù)，在增長率和數(shù)量上都超過了所有其它行業(yè)的平均水平。能夠遠(yuǎn)程訪問和橫向移動到OT系統(tǒng)的、受損的互聯(lián)網(wǎng)連接辦公設(shè)備，仍然是工業(yè)部門的最大威脅。
 

　　■ OT系統(tǒng)中受損的資產(chǎn)可能需要超過24小時才能恢復(fù)。隨著攻擊面的擴大，每一秒都很重要。三分之一受損的OT資產(chǎn)需要一天以上的時間才能恢復(fù)。此外，超過10%的受損資產(chǎn)，在一個多月內(nèi)仍處于泄露狀態(tài)。利用率最高的漏洞和威脅，是供應(yīng)鏈、遠(yuǎn)程訪問和橫向移動。
 

　　02  提升OT系統(tǒng)的網(wǎng)絡(luò)彈性
 

　　工業(yè)企業(yè)需要不斷提高應(yīng)對網(wǎng)絡(luò)攻擊和從網(wǎng)絡(luò)攻擊中恢復(fù)的能力，同時還要保持其運營的連續(xù)性。他們需要有一個綜合的、具有網(wǎng)絡(luò)彈性的IT/OT組織來應(yīng)對這種日益復(fù)雜的威脅。一個具有網(wǎng)絡(luò)彈性的組織在戰(zhàn)術(shù)上做好了準(zhǔn)備，即使發(fā)生網(wǎng)絡(luò)安全事件，也能維持業(yè)務(wù)運營并最大限度地減少干擾。
 

　　隨著OT環(huán)境變得更具動態(tài)，“什么都不信任、什么都需驗證”的零信任方法，為安全系統(tǒng)和流程提供了一種有效的方法。為了從零信任中受益并創(chuàng)造網(wǎng)絡(luò)彈性，OT組織需要開發(fā)一種全面的資產(chǎn)盤點、風(fēng)險評估和風(fēng)險管理方法。
 

　　一般來說，OT系統(tǒng)零信任的最佳實踐包括以下五個步驟：定義保護面、映射事務(wù)流、構(gòu)建零信任OT網(wǎng)絡(luò)、創(chuàng)建零信任策略以及持續(xù)監(jiān)控和維護。
 

　　步驟1：定義保護面
 

　　這一步驟包括識別對業(yè)務(wù)運營至關(guān)重要的關(guān)鍵領(lǐng)域。IT和OT團隊?wèi)?yīng)共同確定這些攻擊面及其風(fēng)險，其中可能包括整體系統(tǒng)/網(wǎng)絡(luò)、特定線路，甚至特定PLC。保護服務(wù)還可以包括OT賴以維持生產(chǎn)運行的IT系統(tǒng)，例如計費和托管轉(zhuǎn)移系統(tǒng)。具有彈性的組織應(yīng)通過這一步，確保安全規(guī)劃、投資和事件響應(yīng)，首先應(yīng)用于最具影響力的資產(chǎn)，而不是平等對待所有資產(chǎn)，平等對待所有資產(chǎn)可能會在發(fā)生網(wǎng)絡(luò)攻擊時增加實施和恢復(fù)時間。
 

　　步驟2：映射事務(wù)流
 

　　接下來是了解與保護面之間的具體情況。在這里，對OT資產(chǎn)及其通信(包括特定于OT的工業(yè)協(xié)議和應(yīng)用程序)的可見性是關(guān)鍵。下一代防火墻等工具具有深度數(shù)據(jù)包檢查功能，可用于獲得OT/IIoT應(yīng)用、協(xié)議和設(shè)備以及用戶的可見性。此外，新的機器學(xué)習(xí)功能的應(yīng)用，使組織能夠理解基線，更容易地檢測異常，從而提高組織檢測攻擊和響應(yīng)的能力。
 

　　步驟3：為OT構(gòu)建零信任網(wǎng)絡(luò)
 

　　隨著對事務(wù)流程的深入了解，現(xiàn)在OT安全團隊可以定義實際的分區(qū)方案，從而實現(xiàn)適當(dāng)?shù)膬?nèi)聯(lián)控制和威脅預(yù)防。再次通過新一代防火墻實現(xiàn)分段網(wǎng)關(guān)或管道，用于創(chuàng)建區(qū)域和區(qū)域間的策略。重要的是要在風(fēng)險管理和降低操作復(fù)雜性以及基于風(fēng)險的方法之間找到平衡，如危險與可操作性研究，這有助于確定所需的細(xì)分水平。
 

　　步驟4：創(chuàng)建零信任策略
 

　　這一步是編寫細(xì)化的規(guī)則。它包括使用Kipling方法，來確定政策的制定者、內(nèi)容、原因、時間、地點和方式。它還利用NGFW的策略引擎，通過應(yīng)用程序ID、用戶ID、設(shè)備ID和內(nèi)容ID技術(shù)，建立應(yīng)用程序控制、基于角色的訪問、設(shè)備策略和威脅預(yù)防。此外，解密和威脅服務(wù)可與訪問控制策略相結(jié)合，以識別和阻止任何可能通過允許的流量進入的惡意流量。這樣做的目的首先是通過使用針對OT的策略來加固系統(tǒng)，從而降低OT遭到破壞和惡意使用的可能性。
 

　　步驟5：監(jiān)控和維護網(wǎng)絡(luò)
 

　　OT環(huán)境不斷變化，特別是在現(xiàn)有OT資產(chǎn)中改造項目時。因此，必須定期清點保護面和事務(wù)流，并根據(jù)需要調(diào)整相關(guān)的分區(qū)和策略方案。從風(fēng)險的角度來看，也許更重要的是，IT和OT的這種轉(zhuǎn)型和融合往往會導(dǎo)致無法打補丁的老舊資產(chǎn)暴露在風(fēng)險更高的環(huán)境中(例如在公司和第三方網(wǎng)絡(luò))。這種情況雖然不受歡迎，但通常是企業(yè)為了最大限度地提高生產(chǎn)力而做出的決定。在這種情況下，至關(guān)重要的是，各組織應(yīng)實施先進的威脅監(jiān)測和預(yù)防能力，以檢測并阻止利用此類漏洞的企圖。
 

　　此外，最終用戶應(yīng)盡可能部署補償控制措施來管理/消除這些威脅媒介。同樣，具有細(xì)粒度可見性、細(xì)粒度策略支持、機器學(xué)習(xí)功能和一系列威脅服務(wù)的新一代防火墻，在監(jiān)控網(wǎng)絡(luò)、保持零信任以及在IT和OT融合時保護易受攻擊的OT環(huán)境免受威脅的過程中將發(fā)揮重要作用。
 

　　零信任架構(gòu)(ZTA)在準(zhǔn)備、響應(yīng)、恢復(fù)以及支持正常運行時間和安全方面采用整體方法，可以顯著增強OT組織的網(wǎng)絡(luò)彈性。在準(zhǔn)備過程中，零信任架構(gòu)確保從不假定可信，要求對資產(chǎn)、數(shù)據(jù)、應(yīng)用程序和服務(wù)進行持續(xù)的安全訪問，從而最大限度地減少攻擊面。
 

　　在響應(yīng)和恢復(fù)方面，零信任架構(gòu)的細(xì)粒度訪問控制和實時監(jiān)控能夠快速檢測和遏制威脅，而其最小特權(quán)原則可以限制潛在的損害。特別是在傳統(tǒng)的OT環(huán)境中，網(wǎng)絡(luò)通常是松散分割的，零信任架構(gòu)可以幫助減少“爆炸半徑”。最終，零信任架構(gòu)通過保持警惕、積極主動的安全立場，加強OT環(huán)境以抵御不斷演變的網(wǎng)絡(luò)威脅，從而增加企業(yè)不間斷的正常運行時間。