運營技術(OT)人員需要積極主動地進行安全防護。

剛剛過去的10月份，是法定的國家網(wǎng)絡安全意識月，今年，該計劃的一項關鍵信息就是共同努力，以保護關鍵基礎設施免受網(wǎng)絡威脅。

顯然，運營技術(OT)網(wǎng)絡中的安全缺口正成為主流關注點。

例如，根據(jù)卡巴斯基最近發(fā)布的一項研究指出，77%的工業(yè)環(huán)境安全專業(yè)人士認為，他們的組織很可能成為網(wǎng)絡安全事件的攻擊目標;與此同時，48%的受訪者表示，他們沒有特定的OT / ICS事件響應計劃，而31%的受訪者表示，他們的組織在2017年經(jīng)歷過一次或多次安全事件。

事實上，任何系統(tǒng)面臨的安全性問題，歸根結底都由系統(tǒng)所具有的價值而決定。國家基礎工業(yè)領域中分布著大量工業(yè)控制系統(tǒng)，涵蓋了電力，石油，交通，水利等諸多方面，在國計民生中占據(jù)著重要的地位，其中的數(shù)據(jù)價值，持續(xù)運行價值都不可估量。出現(xiàn)任何安全問題，影響都不容小覷。國內(nèi)外各行業(yè)工業(yè)控制系統(tǒng)正受到越來越多的安全關注，也越來越多地成為攻擊者的目標。

所以說，目前正是討論工業(yè)環(huán)境中7大安全缺口的最佳時機，難道不是嗎?接下來就為大家總結工業(yè)環(huán)境中面臨的最主要的7大安全缺口問題，及其最佳實踐：

1. 惡意軟件從IT轉(zhuǎn)向OT

WannaCry和Petya是過去幾年中兩個最大的惡意軟件威脅，雖然它們并沒有專門針對工業(yè)網(wǎng)絡實施攻擊，但也確實對工業(yè)網(wǎng)絡安全造成了嚴重影響。這些威脅表明，IT和OT網(wǎng)絡中/之間的安全防御能力較為薄弱，這也使得OT網(wǎng)絡會不可避免地受到攻擊。

WannaCry之所以如此具有破壞性的主要原因是，它主要針對運行過時Windows版本的組織實施攻擊，這些版本可謂和Windows XP一樣久遠——已經(jīng)不再接收任何安全更新和補丁。如此一來，也就造成這些組織在WannaCry面前變得不堪一擊。

最佳實踐：

同時致力于保護IT和OT網(wǎng)絡。這主要包括及時更新所有操作系統(tǒng)和應用程序;安裝強大的防病毒軟件;以及監(jiān)控IT和OT環(huán)境中的所有威脅等等。

2. “物理隔離”安全神話始終存在

物理隔離指的是一個主機或網(wǎng)絡不得直接或間接地連接另一個網(wǎng)絡。具體場景包括內(nèi)外網(wǎng)之間的隔離，也可以用于內(nèi)網(wǎng)間分段、分區(qū)、分層隔離。

直至目前，在工業(yè)控制領域生產(chǎn)環(huán)境中，仍然普遍采用物理隔離措施作為基礎安全防范方案。理論上來說，物理隔離是一種很好的安全措施，因為它將工業(yè)網(wǎng)絡和業(yè)務網(wǎng)絡分隔開來，由此實現(xiàn)保護工業(yè)網(wǎng)絡的目的，而且它成本相對較低，針對普通的實時性攻擊行為效果好。

但是，物理隔離的網(wǎng)絡真的就高枕無憂了嗎?事實上，物理隔離往往做不到真正的隔離，許多號稱物理隔離的系統(tǒng)中，可能存在與外網(wǎng)的聯(lián)通點。這是由于網(wǎng)絡的建設和規(guī)劃是一項復雜長期的工作，私自接入設備或改變網(wǎng)絡拓撲的情況有時很難避免，也很難發(fā)現(xiàn)。例如，2017年5月中旬，WannaCry勒索病毒爆發(fā)。很多號稱物理隔離的內(nèi)網(wǎng)主機也遭遇中毒，數(shù)據(jù)被毀。其次，物理隔離的難度正在大大提高，隨著物聯(lián)網(wǎng)技術不斷進步，各種新型智能設備正逐步普及，移動可聯(lián)網(wǎng)的終端設備更加高效和智能，IT和OT世界日趨融合。傳統(tǒng)的物理隔離網(wǎng)絡正在面臨更大的挑戰(zhàn)，過去可以認為安全的網(wǎng)絡環(huán)境，正在逐步變得不再安全。

最佳實踐：

實施專注于“基于互聯(lián)網(wǎng)威脅”的安全措施，這些威脅主要指那些跨越IT和OT世界的工業(yè)物聯(lián)網(wǎng)(IIoT)設備所產(chǎn)生的威脅。

3. 針對流行OT工具的攻擊活動不斷增加

今年5月，網(wǎng)絡安全公司Tenable Research披露稱，兩款施耐德電氣軟件存在遠程代碼執(zhí)行漏洞，可能會被黑客利用干擾或破壞發(fā)電廠、供水系統(tǒng)和太陽能設施等基礎設施。更令人擔憂的是，這兩款應用(InduSoft Web Studio和InTouch Machine Edition)正廣泛部署于美國石油、天然氣以及其他行業(yè)的工業(yè)流程中。

這些漏洞突顯了網(wǎng)絡安全供應商和內(nèi)部安全團隊的弱點，兩者都只是為IT環(huán)境投入了大量資源，而忽略了工業(yè)環(huán)境。此外，對關鍵基礎設施行業(yè)而言，漏洞修復通常也比較麻煩和困難，因為工廠和發(fā)電廠無法花時間關閉系統(tǒng)來應用安全補丁。

最佳實踐：

必須對OT操作系統(tǒng)及其上安裝的所有軟件進行修補。在無法修補關鍵設備的情況下，部署可以檢測行為變化的監(jiān)控工具至關重要。

4. 不安全的控制器普遍存在

如今，許多擁有OT網(wǎng)絡的組織正面臨這樣一種巨大的挑戰(zhàn)，即在保持運營效率的同時提高網(wǎng)絡安全性。之所以說是挑戰(zhàn)主要源于這樣一個事實，即組織混合了易受攻擊的傳統(tǒng)控制器和較新的基于互聯(lián)網(wǎng)的控制器。

傳統(tǒng)控制器易受攻擊，因為它們?nèi)狈π录夹g中常見的關鍵安全功能。但是由于更新或修補舊系統(tǒng)需要工廠花費大量時間關閉系統(tǒng)來實現(xiàn)，所以組織通常會選擇不更新或修補舊系統(tǒng)的方式，而不是通過提升網(wǎng)絡安全的方式，來維持或提升其運營效率。

最佳實踐：

組織需要實時了解網(wǎng)絡的每個方面以及每個設備上的每個操作——能夠查看受信任的內(nèi)部人員和未知來源執(zhí)行的所有活動，并能夠確定所有這些活動是否屬于授權操作。

5. 內(nèi)部人員威脅

當OT網(wǎng)絡發(fā)生意外或疏忽等因素所造成的更改行為時，其可能會產(chǎn)生與外部攻擊一樣具有破壞性的后果。更改行為的源頭(無論是源自內(nèi)部員工還是第三方承包商)都無關緊要，重要的是其造成的影響。

最佳實踐：

保持對詳細警報系統(tǒng)支持的網(wǎng)絡活動和設備完整性的實時可見性——及時檢測更改行為。此外，組織還必須擁有綜合/全面的意外保險。

6. 心懷不滿的員工

作為一名心懷不滿的員工，無論其是竊取代碼、破壞生產(chǎn)線還是投毒，都會為組織造成災難性的影響。

最佳實踐：

實時了解網(wǎng)絡不能阻止心懷不滿的人員執(zhí)行惡意活動，但能迅速識別威脅。在理想情況下，可見性應包括用于分析網(wǎng)絡流量和活躍設備完整性檢查的入侵檢測系統(tǒng)，以及時識別各類威脅。

7. 正在等待一個需要付諸實踐的理由

如今，CISO們關注的主要問題之一就是商業(yè)風險。為了最大限度地降低這種風險，組織通常會采取自上而下的方法盡可能有效地保護所有技術。然而，在OT世界中，組織卻很少遵循這種強大的方法，因為許多人認為他們沒必要擔心工業(yè)網(wǎng)絡安全問題，直至某些意外事件發(fā)生時才會給他們當頭一棒，刺激他們采取行動保護工業(yè)網(wǎng)絡。

最佳實踐：

OT人員需要改變他們的想法，并積極主動地保障工業(yè)網(wǎng)絡安全。他們應該像防范商業(yè)風險一樣，采取自上而下的方式盡可能有效地降低工業(yè)網(wǎng)絡中所有設備和應用程序的風險。

卡巴斯基最近發(fā)布的一項研究：

https://ics.kaspersky.com/media/2018-Kaspersky-ICS-Whitepaper.pdf

【本文是51CTO專欄作者“”李少鵬“”的原創(chuàng)文章，轉(zhuǎn)載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權】