【儀表網(wǎng) 行業(yè)科普】探索運(yùn)營(yíng)技術(shù)網(wǎng)絡(luò)安全的復(fù)雜性，可能是一項(xiàng)艱巨的任務(wù)；本文深入探討了IT/OT集成所面臨的挑戰(zhàn)、暴露的漏洞，并倡導(dǎo)在數(shù)字化時(shí)代采取平衡的戰(zhàn)略方法來(lái)保護(hù)關(guān)鍵基礎(chǔ)設(shè)施。
 

　　在當(dāng)今的現(xiàn)代工業(yè)環(huán)境中，運(yùn)營(yíng)技術(shù)(OT)和信息技術(shù)(IT)的融合為制造企業(yè)帶來(lái)了諸多好處。OT是指用于控制和監(jiān)控物理設(shè)備和過(guò)程的硬件和軟件，如工廠機(jī)器、印刷機(jī)、機(jī)器人和計(jì)算機(jī)終端等。
 

　　這種集成促進(jìn)了實(shí)時(shí)數(shù)據(jù)分析、預(yù)測(cè)性維護(hù)和增強(qiáng)決策，并徹底改變了工業(yè)運(yùn)營(yíng)。然而，它也帶來(lái)了許多網(wǎng)絡(luò)安全挑戰(zhàn)。OT網(wǎng)絡(luò)面臨的潛在威脅，凸顯了企業(yè)需要優(yōu)先考慮網(wǎng)絡(luò)安全措施，并投資于強(qiáng)大的防御系統(tǒng)，以保護(hù)其關(guān)鍵基礎(chǔ)設(shè)施。本文討論了OT環(huán)境下需要考慮的網(wǎng)絡(luò)安全因素，并概述了IT/OT融合帶來(lái)的挑戰(zhàn)和漏洞。
 

　　01  網(wǎng)絡(luò)安全威脅形勢(shì)的變化
 

　　過(guò)去，OT系統(tǒng)與IT網(wǎng)絡(luò)和互聯(lián)網(wǎng)隔離運(yùn)行，這提供了一定程度的固有機(jī)器和數(shù)據(jù)安全。盡管存在這種隔離，但它們?nèi)匀蝗菀资艿骄W(wǎng)絡(luò)威脅的影響。例如，通過(guò)USB存儲(chǔ)盤(pán)或CD等可移動(dòng)介質(zhì)，很容易將惡意軟件引入到這些孤立的系統(tǒng)中。不過(guò)，這種有限程度的網(wǎng)絡(luò)安全威脅通常被認(rèn)為是溫和的。
 

　　然而，隨著各行業(yè)開(kāi)始集成IT和OT系統(tǒng)(將傳感器、計(jì)算機(jī)和數(shù)據(jù)收集系統(tǒng)放在網(wǎng)絡(luò)上，在某些情況下放進(jìn)云端)，網(wǎng)絡(luò)安全威脅形勢(shì)發(fā)生了變化，使OT系統(tǒng)面臨更廣泛的現(xiàn)代網(wǎng)絡(luò)威脅。許多老舊的OT系統(tǒng)仍在運(yùn)行，加劇了這一問(wèn)題，因?yàn)樵谠O(shè)計(jì)這些系統(tǒng)時(shí)，網(wǎng)絡(luò)安全不是主要問(wèn)題。它們需要更強(qiáng)大的安全功能來(lái)抵御現(xiàn)代網(wǎng)絡(luò)威脅。
 

　　▲圖：在企業(yè)內(nèi)，信息技術(shù)(IT)和運(yùn)營(yíng)技術(shù)(OT)是由兩套不同的平臺(tái)、技術(shù)和組件構(gòu)成。
 

　　IT與OT的集成帶來(lái)了相互沖突的需求和優(yōu)先事項(xiàng)，使網(wǎng)絡(luò)安全形勢(shì)進(jìn)一步復(fù)雜化。在OT環(huán)境中，優(yōu)先考慮的是系統(tǒng)的可用性，因?yàn)槿魏瓮C(jī)都可能導(dǎo)致重大的運(yùn)營(yíng)中斷和潛在的安全隱患。相比之下，傳統(tǒng)上IT系統(tǒng)優(yōu)先考慮機(jī)密性。這種優(yōu)先事項(xiàng)的差異為協(xié)調(diào)IT和OT領(lǐng)域的網(wǎng)絡(luò)安全策略帶來(lái)了獨(dú)特的挑戰(zhàn)，因此需要一種平衡所有關(guān)鍵要素的方法：機(jī)密性、完整性和可用性。
 

　　有許多因素使IT和OT安全威脅具有挑戰(zhàn)性。其中包括使用來(lái)自低成本供應(yīng)商的未經(jīng)測(cè)試的現(xiàn)成商業(yè)組件。網(wǎng)絡(luò)上的機(jī)器和傳感器等OT設(shè)備，會(huì)將OT系統(tǒng)的各個(gè)方面暴露給訪問(wèn)本地網(wǎng)絡(luò)的人。遠(yuǎn)程監(jiān)控和訪問(wèn)的增加使OT系統(tǒng)面臨外部網(wǎng)絡(luò)攻擊和未經(jīng)授權(quán)的訪問(wèn)。
 

　　工業(yè)過(guò)程和關(guān)鍵基礎(chǔ)設(shè)施嚴(yán)重依賴(lài)OT系統(tǒng)。不幸的是，很多類(lèi)似系統(tǒng)都建立在過(guò)時(shí)的技術(shù)之上，不符合當(dāng)前網(wǎng)絡(luò)安全威脅時(shí)代的要求。為了確保OT環(huán)境的安全，必須了解為什么仍在使用這些系統(tǒng)以及它們存在的漏洞。OT系統(tǒng)的設(shè)計(jì)注重使用壽命，這可能導(dǎo)致潛在的高更換成本。此外，這些系統(tǒng)往往缺乏現(xiàn)代安全功能，并使用過(guò)時(shí)的軟件。這些挑戰(zhàn)往往導(dǎo)致這些系統(tǒng)的升級(jí)成本非常高，甚至令人望而卻步。
 

　　02  實(shí)現(xiàn)OT網(wǎng)絡(luò)安全最佳實(shí)踐的關(guān)鍵要素
 

　　將IT和OT系統(tǒng)集成在一起不僅對(duì)運(yùn)營(yíng)至關(guān)重要，也是加強(qiáng)網(wǎng)絡(luò)安全的戰(zhàn)略步驟。首先，在這兩個(gè)領(lǐng)域建立一個(gè)正確的IT/OT策略。安全策略應(yīng)在所有系統(tǒng)中保持一致。OT系統(tǒng)必須同時(shí)遵守IT系統(tǒng)的最佳實(shí)踐，IT和OT安全實(shí)踐必須統(tǒng)一。
 

　　網(wǎng)絡(luò)安全最佳實(shí)踐在OT領(lǐng)域至關(guān)重要，可以保護(hù)關(guān)鍵基礎(chǔ)設(shè)施免受日益增長(zhǎng)的網(wǎng)絡(luò)威脅。在形成最佳實(shí)踐方面，標(biāo)準(zhǔn)起了至關(guān)重要的作用，為確保OT系統(tǒng)的安全提供結(jié)構(gòu)化的指導(dǎo)和框架。OT網(wǎng)絡(luò)安全的通用標(biāo)準(zhǔn)，包括IEC 62443、NIST SP 800-82和ISO 27001。根據(jù)既定標(biāo)準(zhǔn)和準(zhǔn)則，實(shí)現(xiàn)OT網(wǎng)絡(luò)安全最佳實(shí)踐的關(guān)鍵要素包括：
 

　　1  制定風(fēng)險(xiǎn)管理和安全政策
 

　　制定包括所有OT設(shè)備和軟件的資產(chǎn)清單。根據(jù)資產(chǎn)的關(guān)鍵性及其損害對(duì)組織的潛在影響，對(duì)資產(chǎn)進(jìn)行分類(lèi)。然后定期進(jìn)行風(fēng)險(xiǎn)評(píng)估，以識(shí)別OT網(wǎng)絡(luò)中的漏洞，并根據(jù)風(fēng)險(xiǎn)級(jí)別對(duì)其進(jìn)行優(yōu)先級(jí)排序。最后，建立并維護(hù)特定于OT環(huán)境需求的安全政策，明確界定人員之間的安全責(zé)任。
 

　　2  具有持續(xù)的網(wǎng)絡(luò)安全和監(jiān)控
 

　　將OT網(wǎng)絡(luò)與IT網(wǎng)絡(luò)隔離，并使用防火墻和非軍事區(qū)(DMZ)來(lái)控制不同網(wǎng)段之間的流量。然后實(shí)施持續(xù)監(jiān)控策略，實(shí)時(shí)檢測(cè)異常活動(dòng)或未經(jīng)授權(quán)的訪問(wèn)嘗試。這可能涉及為OT環(huán)境量身定制的入侵檢測(cè)系統(tǒng)。
 

　　3  對(duì)整個(gè)OT和IT系統(tǒng)進(jìn)行訪問(wèn)控制和管理
 

　　標(biāo)準(zhǔn)化訪問(wèn)控制、身份驗(yàn)證和授權(quán)(通常稱(chēng)為三A策略)，可以確保關(guān)鍵系統(tǒng)只能由授權(quán)用戶訪問(wèn)。執(zhí)行最低權(quán)限原則，確保用戶只有執(zhí)行其工作所需的訪問(wèn)權(quán)限。利用多因素身份驗(yàn)證(MFA)遠(yuǎn)程訪問(wèn)OT系統(tǒng)，在傳統(tǒng)用戶名和密碼之外額外增加一層安全性。
 

　　4  維護(hù)系統(tǒng)和數(shù)據(jù)的完整性
 

　　考慮OT環(huán)境的運(yùn)行限制，建立應(yīng)用補(bǔ)丁的系統(tǒng)方法。如果打補(bǔ)丁不可行，可實(shí)施補(bǔ)償控制，如虛擬打補(bǔ)丁。通過(guò)實(shí)施備份程序并在適當(dāng)情況下使用加密措施，來(lái)保護(hù)傳輸中和靜止中的敏感數(shù)據(jù)，確保數(shù)據(jù)的完整性。
 

　　5  制定事件響應(yīng)和恢復(fù)計(jì)劃
 

　　制定事件響應(yīng)計(jì)劃，包括OT環(huán)境的具體程序，考慮網(wǎng)絡(luò)事件的潛在物理影響。制定災(zāi)難恢復(fù)計(jì)劃，以便在發(fā)生網(wǎng)絡(luò)安全事件時(shí)恢復(fù)運(yùn)營(yíng)所需的時(shí)間最小。
 

　　6  開(kāi)展持續(xù)的教育和培訓(xùn)
 

　　定期對(duì)所有OT人員進(jìn)行網(wǎng)絡(luò)安全意識(shí)培訓(xùn)，重點(diǎn)關(guān)注OT網(wǎng)絡(luò)安全的獨(dú)特方面。為IT和OT安全團(tuán)隊(duì)提供技術(shù)培訓(xùn)，涵蓋OT環(huán)境中使用的特定技術(shù)和流程。
 

　　03  從何處開(kāi)始著手？
 

　　為了加強(qiáng)OT的網(wǎng)絡(luò)安全，制造企業(yè)應(yīng)對(duì)其系統(tǒng)進(jìn)行全面審計(jì)，以識(shí)別和評(píng)估所有資產(chǎn)中的任何漏洞。這一關(guān)鍵步驟將為針對(duì)獨(dú)特的OT環(huán)境定制安全策略鋪平道路。重點(diǎn)應(yīng)放在將技術(shù)保障與以人為中心的要素(如培訓(xùn)計(jì)劃)相結(jié)合，以確保人員具備識(shí)別和應(yīng)對(duì)網(wǎng)絡(luò)威脅和事件的能力。
 

　　在計(jì)劃和執(zhí)行系統(tǒng)升級(jí)等長(zhǎng)期解決方案的同時(shí)，必須立即采取措施。投資應(yīng)優(yōu)先考慮虛擬補(bǔ)丁和其它風(fēng)險(xiǎn)緩解技術(shù)，以解決老舊系統(tǒng)的漏洞問(wèn)題。這些短期防御將是保持系統(tǒng)完整性以應(yīng)對(duì)持續(xù)網(wǎng)絡(luò)威脅的關(guān)鍵緩沖。此外，網(wǎng)絡(luò)安全預(yù)算應(yīng)被視為運(yùn)營(yíng)投資的一個(gè)組成部分，對(duì)確保安全和連續(xù)性至關(guān)重要。最后，組織還應(yīng)培養(yǎng)協(xié)作和信息共享的文化。必須保持積極主動(dòng)，不斷更新網(wǎng)絡(luò)安全戰(zhàn)略和事件應(yīng)對(duì)計(jì)劃，以適應(yīng)快速變化的威脅形勢(shì)。