運(yùn)營技術(shù)(OT)人員需要積極主動(dòng)地進(jìn)行安全防護(hù)。

剛剛過去的10月份，是法定的國家網(wǎng)絡(luò)安全意識月，今年，該計(jì)劃的一項(xiàng)關(guān)鍵信息就是共同努力，以保護(hù)關(guān)鍵基礎(chǔ)設(shè)施免受網(wǎng)絡(luò)威脅。

顯然，運(yùn)營技術(shù)(OT)網(wǎng)絡(luò)中的安全缺口正成為主流關(guān)注點(diǎn)。

例如，根據(jù)卡巴斯基最近發(fā)布的一項(xiàng)研究指出，77%的工業(yè)環(huán)境安全專業(yè)人士認(rèn)為，他們的組織很可能成為網(wǎng)絡(luò)安全事件的攻擊目標(biāo);與此同時(shí)，48%的受訪者表示，他們沒有特定的OT / ICS事件響應(yīng)計(jì)劃，而31%的受訪者表示，他們的組織在2017年經(jīng)歷過一次或多次安全事件。

事實(shí)上，任何系統(tǒng)面臨的安全性問題，歸根結(jié)底都由系統(tǒng)所具有的價(jià)值而決定。國家基礎(chǔ)工業(yè)領(lǐng)域中分布著大量工業(yè)控制系統(tǒng)，涵蓋了電力，石油，交通，水利等諸多方面，在國計(jì)民生中占據(jù)著重要的地位，其中的數(shù)據(jù)價(jià)值，持續(xù)運(yùn)行價(jià)值都不可估量。出現(xiàn)任何安全問題，影響都不容小覷。國內(nèi)外各行業(yè)工業(yè)控制系統(tǒng)正受到越來越多的安全關(guān)注，也越來越多地成為攻擊者的目標(biāo)。

所以說，目前正是討論工業(yè)環(huán)境中7大安全缺口的最佳時(shí)機(jī)，難道不是嗎?接下來就為大家總結(jié)工業(yè)環(huán)境中面臨的最主要的7大安全缺口問題，及其最佳實(shí)踐：

1. 惡意軟件從IT轉(zhuǎn)向OT

WannaCry和Petya是過去幾年中兩個(gè)最大的惡意軟件威脅，雖然它們并沒有專門針對工業(yè)網(wǎng)絡(luò)實(shí)施攻擊，但也確實(shí)對工業(yè)網(wǎng)絡(luò)安全造成了嚴(yán)重影響。這些威脅表明，IT和OT網(wǎng)絡(luò)中/之間的安全防御能力較為薄弱，這也使得OT網(wǎng)絡(luò)會不可避免地受到攻擊。

WannaCry之所以如此具有破壞性的主要原因是，它主要針對運(yùn)行過時(shí)Windows版本的組織實(shí)施攻擊，這些版本可謂和Windows XP一樣久遠(yuǎn)——已經(jīng)不再接收任何安全更新和補(bǔ)丁。如此一來，也就造成這些組織在WannaCry面前變得不堪一擊。

最佳實(shí)踐：

同時(shí)致力于保護(hù)IT和OT網(wǎng)絡(luò)。這主要包括及時(shí)更新所有操作系統(tǒng)和應(yīng)用程序;安裝強(qiáng)大的防病毒軟件;以及監(jiān)控IT和OT環(huán)境中的所有威脅等等。

2. “物理隔離”安全神話始終存在

物理隔離指的是一個(gè)主機(jī)或網(wǎng)絡(luò)不得直接或間接地連接另一個(gè)網(wǎng)絡(luò)。具體場景包括內(nèi)外網(wǎng)之間的隔離，也可以用于內(nèi)網(wǎng)間分段、分區(qū)、分層隔離。

直至目前，在工業(yè)控制領(lǐng)域生產(chǎn)環(huán)境中，仍然普遍采用物理隔離措施作為基礎(chǔ)安全防范方案。理論上來說，物理隔離是一種很好的安全措施，因?yàn)樗鼘⒐I(yè)網(wǎng)絡(luò)和業(yè)務(wù)網(wǎng)絡(luò)分隔開來，由此實(shí)現(xiàn)保護(hù)工業(yè)網(wǎng)絡(luò)的目的，而且它成本相對較低，針對普通的實(shí)時(shí)性攻擊行為效果好。

但是，物理隔離的網(wǎng)絡(luò)真的就高枕無憂了嗎?事實(shí)上，物理隔離往往做不到真正的隔離，許多號稱物理隔離的系統(tǒng)中，可能存在與外網(wǎng)的聯(lián)通點(diǎn)。這是由于網(wǎng)絡(luò)的建設(shè)和規(guī)劃是一項(xiàng)復(fù)雜長期的工作，私自接入設(shè)備或改變網(wǎng)絡(luò)拓?fù)涞那闆r有時(shí)很難避免，也很難發(fā)現(xiàn)。例如，2017年5月中旬，WannaCry勒索病毒爆發(fā)。很多號稱物理隔離的內(nèi)網(wǎng)主機(jī)也遭遇中毒，數(shù)據(jù)被毀。其次，物理隔離的難度正在大大提高，隨著物聯(lián)網(wǎng)技術(shù)不斷進(jìn)步，各種新型智能設(shè)備正逐步普及，移動(dòng)可聯(lián)網(wǎng)的終端設(shè)備更加高效和智能，IT和OT世界日趨融合。傳統(tǒng)的物理隔離網(wǎng)絡(luò)正在面臨更大的挑戰(zhàn)，過去可以認(rèn)為安全的網(wǎng)絡(luò)環(huán)境，正在逐步變得不再安全。

最佳實(shí)踐：

實(shí)施專注于“基于互聯(lián)網(wǎng)威脅”的安全措施，這些威脅主要指那些跨越IT和OT世界的工業(yè)物聯(lián)網(wǎng)(IIoT)設(shè)備所產(chǎn)生的威脅。

3. 針對流行OT工具的攻擊活動(dòng)不斷增加

今年5月，網(wǎng)絡(luò)安全公司Tenable Research披露稱，兩款施耐德電氣軟件存在遠(yuǎn)程代碼執(zhí)行漏洞，可能會被黑客利用干擾或破壞發(fā)電廠、供水系統(tǒng)和太陽能設(shè)施等基礎(chǔ)設(shè)施。更令人擔(dān)憂的是，這兩款應(yīng)用(InduSoft Web Studio和InTouch Machine Edition)正廣泛部署于美國石油、天然氣以及其他行業(yè)的工業(yè)流程中。

這些漏洞突顯了網(wǎng)絡(luò)安全供應(yīng)商和內(nèi)部安全團(tuán)隊(duì)的弱點(diǎn)，兩者都只是為IT環(huán)境投入了大量資源，而忽略了工業(yè)環(huán)境。此外，對關(guān)鍵基礎(chǔ)設(shè)施行業(yè)而言，漏洞修復(fù)通常也比較麻煩和困難，因?yàn)楣S和發(fā)電廠無法花時(shí)間關(guān)閉系統(tǒng)來應(yīng)用安全補(bǔ)丁。

最佳實(shí)踐：

必須對OT操作系統(tǒng)及其上安裝的所有軟件進(jìn)行修補(bǔ)。在無法修補(bǔ)關(guān)鍵設(shè)備的情況下，部署可以檢測行為變化的監(jiān)控工具至關(guān)重要。

4. 不安全的控制器普遍存在

如今，許多擁有OT網(wǎng)絡(luò)的組織正面臨這樣一種巨大的挑戰(zhàn)，即在保持運(yùn)營效率的同時(shí)提高網(wǎng)絡(luò)安全性。之所以說是挑戰(zhàn)主要源于這樣一個(gè)事實(shí)，即組織混合了易受攻擊的傳統(tǒng)控制器和較新的基于互聯(lián)網(wǎng)的控制器。

傳統(tǒng)控制器易受攻擊，因?yàn)樗鼈內(nèi)狈π录夹g(shù)中常見的關(guān)鍵安全功能。但是由于更新或修補(bǔ)舊系統(tǒng)需要工廠花費(fèi)大量時(shí)間關(guān)閉系統(tǒng)來實(shí)現(xiàn)，所以組織通常會選擇不更新或修補(bǔ)舊系統(tǒng)的方式，而不是通過提升網(wǎng)絡(luò)安全的方式，來維持或提升其運(yùn)營效率。

最佳實(shí)踐：

組織需要實(shí)時(shí)了解網(wǎng)絡(luò)的每個(gè)方面以及每個(gè)設(shè)備上的每個(gè)操作——能夠查看受信任的內(nèi)部人員和未知來源執(zhí)行的所有活動(dòng)，并能夠確定所有這些活動(dòng)是否屬于授權(quán)操作。

5. 內(nèi)部人員威脅

當(dāng)OT網(wǎng)絡(luò)發(fā)生意外或疏忽等因素所造成的更改行為時(shí)，其可能會產(chǎn)生與外部攻擊一樣具有破壞性的后果。更改行為的源頭(無論是源自內(nèi)部員工還是第三方承包商)都無關(guān)緊要，重要的是其造成的影響。

最佳實(shí)踐：

保持對詳細(xì)警報(bào)系統(tǒng)支持的網(wǎng)絡(luò)活動(dòng)和設(shè)備完整性的實(shí)時(shí)可見性——及時(shí)檢測更改行為。此外，組織還必須擁有綜合/全面的意外保險(xiǎn)。

6. 心懷不滿的員工

作為一名心懷不滿的員工，無論其是竊取代碼、破壞生產(chǎn)線還是投毒，都會為組織造成災(zāi)難性的影響。

最佳實(shí)踐：

實(shí)時(shí)了解網(wǎng)絡(luò)不能阻止心懷不滿的人員執(zhí)行惡意活動(dòng)，但能迅速識別威脅。在理想情況下，可見性應(yīng)包括用于分析網(wǎng)絡(luò)流量和活躍設(shè)備完整性檢查的入侵檢測系統(tǒng)，以及時(shí)識別各類威脅。

7. 正在等待一個(gè)需要付諸實(shí)踐的理由

如今，CISO們關(guān)注的主要問題之一就是商業(yè)風(fēng)險(xiǎn)。為了最大限度地降低這種風(fēng)險(xiǎn)，組織通常會采取自上而下的方法盡可能有效地保護(hù)所有技術(shù)。然而，在OT世界中，組織卻很少遵循這種強(qiáng)大的方法，因?yàn)樵S多人認(rèn)為他們沒必要擔(dān)心工業(yè)網(wǎng)絡(luò)安全問題，直至某些意外事件發(fā)生時(shí)才會給他們當(dāng)頭一棒，刺激他們采取行動(dòng)保護(hù)工業(yè)網(wǎng)絡(luò)。

最佳實(shí)踐：

OT人員需要改變他們的想法，并積極主動(dòng)地保障工業(yè)網(wǎng)絡(luò)安全。他們應(yīng)該像防范商業(yè)風(fēng)險(xiǎn)一樣，采取自上而下的方式盡可能有效地降低工業(yè)網(wǎng)絡(luò)中所有設(shè)備和應(yīng)用程序的風(fēng)險(xiǎn)。

卡巴斯基最近發(fā)布的一項(xiàng)研究：

https://ics.kaspersky.com/media/2018-Kaspersky-ICS-Whitepaper.pdf

【本文是51CTO專欄作者“”李少鵬“”的原創(chuàng)文章，轉(zhuǎn)載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權(quán)】