【儀表網(wǎng) 行業(yè)科普】隨著OT系統(tǒng)與IT網(wǎng)絡(luò)的持續(xù)集成，制造企業(yè)需要更強(qiáng)大的網(wǎng)絡(luò)安全措施來降低風(fēng)險(xiǎn)。
 

　　不可否認(rèn)，在工業(yè)物聯(lián)網(wǎng)(IIoT)的推動(dòng)下，從設(shè)備層面到云端的連接性的提升增加了自動(dòng)化設(shè)施的攻擊面。雖然直接連接到云有令人信服的商業(yè)理由，包括遠(yuǎn)程維護(hù)監(jiān)控、關(guān)鍵性能指標(biāo)(KPI)跟蹤和流程優(yōu)化，但這些優(yōu)勢(shì)的實(shí)現(xiàn)是以削弱安全性為代價(jià)的。ODVA營銷總監(jiān)Steve Fales解釋說：“這些新的連接可能會(huì)讓不良行為者進(jìn)入工業(yè)網(wǎng)絡(luò)，這促使人們?cè)絹碓疥P(guān)注零信任(Zero Trust)等安全概念，即總是需要驗(yàn)證才能連接到設(shè)備。此外，部署多種安全方法來覆蓋網(wǎng)絡(luò)的所有部分的重要性也顯著增加。”
 

　　零信任概念假設(shè)網(wǎng)絡(luò)已經(jīng)泄露。這意味著，無論來源如何，都必須驗(yàn)證每個(gè)連接，并在最短的時(shí)間內(nèi)提供所需的最小訪問量。此外，所有通信都必須是安全的。若要向零信任邁進(jìn)，必須能夠加密通信、提供基于角色的訪問、能夠?qū)Χ它c(diǎn)進(jìn)行身份驗(yàn)證，并確保通信不會(huì)被篡改。
 

　　除了采用零信任，Steve還建議采用多種安全方法，作為縱深防御安全策略的一部分，以確保工業(yè)控制網(wǎng)絡(luò)的安全。作為以流程為導(dǎo)向的整體方法的一部分，物理安全和員工培訓(xùn)是很好的起點(diǎn)。這是阻止不良行為者兩種簡單且有效的方法。
 

　　實(shí)施威脅建模是了解網(wǎng)絡(luò)漏洞并制定應(yīng)對(duì)計(jì)劃的另一種重要方式。在此基礎(chǔ)上，基于交換機(jī)的防火墻、深度數(shù)據(jù)包檢查、批準(zhǔn)列表和其它網(wǎng)絡(luò)保護(hù)都將有序進(jìn)行。Steve繼續(xù)說道：“如果因?yàn)橹边B的第二通道網(wǎng)絡(luò)被打開，那么保護(hù)設(shè)備層也很重要。設(shè)備層保護(hù)的一個(gè)例子是EtherNet/IP的CIP Security，它提供設(shè)備身份驗(yàn)證和身份、數(shù)據(jù)完整性和機(jī)密性、用戶身份驗(yàn)證和策略執(zhí)行。CIP Security還通過配置文件提供靈活的保護(hù)，這些配置文件可以根據(jù)使用情況按需實(shí)施。最后，由于網(wǎng)絡(luò)攻擊行為和方法在不斷演變，因此必須不斷定期審查和修訂安全策略、培訓(xùn)和保護(hù)措施。”
 

　　隨著網(wǎng)絡(luò)扁平化以及直接連接到云的自動(dòng)化設(shè)備數(shù)量的不斷增加，擁有資源充足且有計(jì)劃的安全策略很重要。“新的現(xiàn)實(shí)情況是，漏洞很可能發(fā)生，這導(dǎo)致了零信任安全方法的興起，這種方法要求對(duì)每一個(gè)連接進(jìn)行驗(yàn)證，只允許需要的訪問。同樣重要的是要記住，物理安全、員工培訓(xùn)和基于流程的方法，可以提供非常高的投資回報(bào)。”Steve認(rèn)為，必須在最低水平上保護(hù)設(shè)備。安全性是自動(dòng)化設(shè)備連接到云的推動(dòng)因素，它正在推動(dòng)生產(chǎn)力的大幅提高，因此它是對(duì)未來工業(yè)運(yùn)營的寶貴投資。
 

　　01  實(shí)現(xiàn)設(shè)計(jì)安全
 

　　傳統(tǒng)上，工業(yè)企業(yè)所用的Perdue(普渡)結(jié)構(gòu)模型，通過分割物理過程、傳感器、監(jiān)視控制、運(yùn)營和物流來實(shí)現(xiàn)安全OT環(huán)境的解決方案。然而，正如我們已經(jīng)聽說的，現(xiàn)在更開放的平臺(tái)使OT網(wǎng)絡(luò)安全受到更多關(guān)注。
 

　　艾默生網(wǎng)絡(luò)安全戰(zhàn)略、治理和架構(gòu)總監(jiān)Michael Lester說：“組織現(xiàn)在需要在控制系統(tǒng)項(xiàng)目的前端工程和設(shè)計(jì)階段就考慮網(wǎng)絡(luò)安全——使系統(tǒng)設(shè)計(jì)安全。過去，網(wǎng)絡(luò)安全防御往往是后來才添加的。這比從一開始就將網(wǎng)絡(luò)安全納入項(xiàng)目更昂貴，且效果欠佳。”
 

　　因此，現(xiàn)在制造企業(yè)需要根據(jù)零信任原則，從頭開始設(shè)計(jì)OT軟件應(yīng)用，以通過設(shè)計(jì)來創(chuàng)建安全工廠。艾默生首席技術(shù)官Peter Zornio認(rèn)為，通過設(shè)計(jì)實(shí)現(xiàn)工廠的固有安全不會(huì)一蹴而就，而是需要多年的努力，只有在系統(tǒng)軟件逐步更新，以將安全結(jié)構(gòu)納入到軟件后才能完全實(shí)現(xiàn)。每次與另一個(gè)軟件通信時(shí)，它都需要尋求身份驗(yàn)證，并且需要擁有正確的數(shù)據(jù)訪問權(quán)限。艾默生一些最新產(chǎn)品已經(jīng)包含了固有設(shè)計(jì)安全的軟件，但實(shí)際上，我們可能需要 5 到 10 年的時(shí)間才能使工廠中的所有軟件都能支持零信任。不過，當(dāng)這成為現(xiàn)實(shí)時(shí)，它將成為網(wǎng)絡(luò)安全問題的最終解決方案。
 

　　此外，網(wǎng)絡(luò)安全需要的不僅僅是技術(shù)。Michael認(rèn)為，網(wǎng)絡(luò)安全也需要行為和文化的改變。整個(gè)組織需要需要對(duì)為什么要實(shí)現(xiàn)網(wǎng)絡(luò)安全以及如何實(shí)現(xiàn)網(wǎng)絡(luò)安全有著深入的理解，這對(duì)于推動(dòng)有意義的行為改變至關(guān)重要。因此，建立一種包括人員、過程和技術(shù)的網(wǎng)絡(luò)安全文化很重要。
 

　　02  更有力的措施
 

　　隨著OT系統(tǒng)持續(xù)與IT網(wǎng)絡(luò)集成，例如引入基于互聯(lián)網(wǎng)的通信協(xié)議(如MQTT)以及現(xiàn)有的數(shù)據(jù)傳輸協(xié)議(如WebMI的HTTPS、CsCAN和Modbus)，攻擊面也不斷擴(kuò)大，并引入了新的攻擊載體。這就需要一套更強(qiáng)有力的網(wǎng)絡(luò)安全措施來降低風(fēng)險(xiǎn)。Horner愛爾蘭公司網(wǎng)絡(luò)安全工程師Séan Mackey建議，以下措施可以幫助控制工程師更好地保護(hù)其OT環(huán)境：
 

　　1. 了解環(huán)境：首先要徹底了解OT基礎(chǔ)設(shè)施，包括工業(yè)控制系統(tǒng)、監(jiān)控和數(shù)據(jù)采集系統(tǒng)(SCADA)、可編程邏輯控制器(PLC)和其它互連的設(shè)備。通過記錄資產(chǎn)、網(wǎng)絡(luò)架構(gòu)、協(xié)議和通信路徑等組件來識(shí)別可能的漏洞。
 

　　2. 風(fēng)險(xiǎn)評(píng)估和資產(chǎn)清單：進(jìn)行徹底的風(fēng)險(xiǎn)評(píng)估，以確定關(guān)鍵資產(chǎn)和潛在漏洞。制定資產(chǎn)清單，根據(jù)關(guān)鍵程度對(duì)系統(tǒng)進(jìn)行分類，并評(píng)估相關(guān)風(fēng)險(xiǎn)。根據(jù)此評(píng)估確定安全措施的優(yōu)先級(jí)。
 

　　3. 網(wǎng)絡(luò)分割：實(shí)施穩(wěn)健的網(wǎng)絡(luò)分割，如空氣間隙、防火墻以過濾和跟蹤流量，以及關(guān)鍵系統(tǒng)隔離以將關(guān)鍵OT資產(chǎn)與非關(guān)鍵系統(tǒng)和外部網(wǎng)絡(luò)隔離。通過將漏洞或攻擊包含在特定的網(wǎng)段中來限制其影響，并減少攻擊面。
 

　　4. 訪問控制和身份驗(yàn)證：實(shí)施強(qiáng)有力的訪問控制和驗(yàn)證機(jī)制，以限制對(duì)OT系統(tǒng)未經(jīng)授權(quán)的訪問。應(yīng)實(shí)施多因素身份驗(yàn)證、基于角色的訪問控制和最低權(quán)限原則，以確保只有授權(quán)人員才能訪問關(guān)鍵系統(tǒng)。
 

　　5. 補(bǔ)丁管理：開發(fā)并實(shí)施嚴(yán)格的補(bǔ)丁管理流程，以使OT系統(tǒng)針對(duì)已知漏洞保持最新狀態(tài)。這包括與PLC/HMI的任何漏洞修復(fù)相關(guān)的固件和軟件更新。根據(jù)關(guān)鍵程度對(duì)修補(bǔ)程序進(jìn)行優(yōu)先級(jí)排序。
 

　　6. 網(wǎng)絡(luò)監(jiān)控和入侵檢測(cè)：部署強(qiáng)大的網(wǎng)絡(luò)監(jiān)控工具和入侵檢測(cè)系統(tǒng)(IDS)，實(shí)時(shí)檢測(cè)和響應(yīng)異?；顒?dòng)。監(jiān)控網(wǎng)絡(luò)流量、系統(tǒng)日志和行為模式，以及時(shí)識(shí)別潛在威脅或安全漏洞。
 

　　7. 端點(diǎn)安全：與對(duì)上述工業(yè)設(shè)備所采取的措施一樣，對(duì)同一網(wǎng)絡(luò)中的類似設(shè)備實(shí)施端點(diǎn)保護(hù)解決方案，如防火墻、防病毒軟件和入侵預(yù)防系統(tǒng)，保護(hù)您的工業(yè)設(shè)備免受惡意軟件和未經(jīng)授權(quán)的訪問。
 

　　8. 加密：數(shù)據(jù)在傳輸和靜止時(shí)都應(yīng)加密，以防止未經(jīng)授權(quán)的攔截或篡改。為網(wǎng)絡(luò)通信實(shí)施強(qiáng)大的加密協(xié)議，如傳輸層安全性(TLS)，特別是在行業(yè)內(nèi)大量使用MQTT的情況下使用X.509證書，并加密存儲(chǔ)在OT設(shè)備上的敏感數(shù)據(jù)。
 

　　9. 事件響應(yīng)計(jì)劃：制定全面的事件響應(yīng)計(jì)劃，概述檢測(cè)、控制和緩解網(wǎng)絡(luò)安全事件的程序。定義角色和責(zé)任，建立通信協(xié)議，并定期進(jìn)行演習(xí)，以確保為網(wǎng)絡(luò)攻擊做好準(zhǔn)備。
 

　　10. 員工培訓(xùn)和意識(shí)：對(duì)OT人員進(jìn)行網(wǎng)絡(luò)安全最佳實(shí)踐培訓(xùn)，包括識(shí)別網(wǎng)絡(luò)釣魚企圖、識(shí)別可疑活動(dòng)和應(yīng)對(duì)安全事件。培養(yǎng)網(wǎng)絡(luò)安全意識(shí)文化，使員工能夠積極參與OT系統(tǒng)的安全保護(hù)。
 

　　11. 供應(yīng)商風(fēng)險(xiǎn)管理：評(píng)估和管理與提供OT組件或服務(wù)的第三方供應(yīng)商和供應(yīng)商相關(guān)的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。制定合同協(xié)議，同時(shí)規(guī)定安全要求并定期審計(jì)供應(yīng)商。
 

　　12. 合規(guī)性和監(jiān)管要求：掌握與OT網(wǎng)絡(luò)安全相關(guān)的行業(yè)特定法規(guī)和合規(guī)標(biāo)準(zhǔn)，如NIST SP 800-82和ISA/IEC 62443。確保OT系統(tǒng)遵守這些要求，以避免法律和監(jiān)管影響，并最大限度地減少因網(wǎng)絡(luò)安全實(shí)施不力而導(dǎo)致的OT違規(guī)的可能性。
 

　　03  充分保護(hù)OT系統(tǒng)
 

　　在OT環(huán)境中，大多都是關(guān)鍵系統(tǒng)，這意味著任何中斷或妥協(xié)都可能產(chǎn)生深遠(yuǎn)的影響。Paessler公司全球業(yè)務(wù)發(fā)展IIOT Daniel Sukowski表示,考慮到利害關(guān)系，有效保護(hù)OT環(huán)境從未像現(xiàn)在這樣重要。然而，實(shí)現(xiàn)這一目標(biāo)也從未像現(xiàn)在這么困難。在一個(gè)互聯(lián)和數(shù)字化的世界里， IIOT設(shè)備的激增呈指數(shù)級(jí)增長，導(dǎo)致系統(tǒng)變得越來越復(fù)雜。以前孤立的OT網(wǎng)絡(luò)正在開放，以便從外部連接新的系統(tǒng)和設(shè)備，通常是跨區(qū)域連接。雖然這種互聯(lián)有很多優(yōu)勢(shì)，但也帶來了巨大的風(fēng)險(xiǎn)。
 

　　為了充分保護(hù)OT系統(tǒng)，企業(yè)應(yīng)該投資于監(jiān)控技術(shù)。Daniel建議：“擁有一個(gè)具有集中的儀表盤和報(bào)警功能的有效監(jiān)控系統(tǒng)，可以為企業(yè)提供更全面的畫面。它能把來自所有位置的數(shù)據(jù)(OT環(huán)境、IIoT傳感器、有線和無線網(wǎng)絡(luò)以及傳統(tǒng)IT設(shè)備和系統(tǒng))集中在一個(gè)保護(hù)平臺(tái)下。它提供了全面的可視性，隨著網(wǎng)絡(luò)犯罪分子的不斷發(fā)展和成熟，這一點(diǎn)比以往任何時(shí)候都更加重要。”
 

　　除此之外，企業(yè)需要定期對(duì)操作系統(tǒng)進(jìn)行安全審計(jì)和風(fēng)險(xiǎn)評(píng)估，以幫助識(shí)別漏洞。這應(yīng)包括信息安全風(fēng)險(xiǎn)和網(wǎng)絡(luò)風(fēng)險(xiǎn)，以及所有常見的OT運(yùn)營風(fēng)險(xiǎn)。難題的另一部分，是對(duì)所有相關(guān)員工的持續(xù)培訓(xùn)。應(yīng)定期更新培訓(xùn)內(nèi)容以確保企業(yè)按照最新的指導(dǎo)和法規(guī)運(yùn)營。例如，當(dāng)即將出臺(tái)的NIS-2指令于2024年10月在所有歐盟成員國成為國家法律時(shí)，員工需要確保他們及其廣泛業(yè)務(wù)保持合規(guī)。
 

　　NIS2指令在最初的NIS指令(NISD)的基礎(chǔ)上，更新現(xiàn)行的歐盟網(wǎng)絡(luò)安全法。目標(biāo)是加強(qiáng)OT安全，簡化報(bào)告，并在整個(gè)歐盟范圍內(nèi)制定一致的規(guī)則和處罰。通過擴(kuò)大其范圍，NIS2將要求更多的企業(yè)和部門采取網(wǎng)絡(luò)安全措施。