解析工业环境中的7大安全缺口

运营技术(OT)人员需要积极主动地进行安全防护。

刚刚过去的10月份，是法定的国家网络安全意识月，今年，该计划的一项关键信息就是共同努力，以保护关键基础设施免受网络威胁。

显然，运营技术(OT)网络中的安全缺口正成为主流关注点。

例如，根据卡巴斯基最近发布的一项研究指出，77%的工业环境安全专业人士认为，他们的组织很可能成为网络安全事件的攻击目标;与此同时，48%的受访者表示，他们没有特定的OT / ICS事件响应计划，而31%的受访者表示，他们的组织在2017年经历过一次或多次安全事件。

事实上，任何系统面临的安全性问题，归根结底都由系统所具有的价值而决定。国家基础工业领域中分布着大量工业控制系统，涵盖了电力，石油，交通，水利等诸多方面，在国计民生中占据着重要的地位，其中的数据价值，持续运行价值都不可估量。出现任何安全问题，影响都不容小觑。国内外各行业工业控制系统正受到越来越多的安全关注，也越来越多地成为攻击者的目标。

所以说，目前正是讨论工业环境中7大安全缺口的最佳时机，难道不是吗?接下来就为大家总结工业环境中面临的最主要的7大安全缺口问题，及其最佳实践：

1. 恶意软件从IT转向OT

WannaCry和Petya是过去几年中两个最大的恶意软件威胁，虽然它们并没有专门针对工业网络实施攻击，但也确实对工业网络安全造成了严重影响。这些威胁表明，IT和OT网络中/之间的安全防御能力较为薄弱，这也使得OT网络会不可避免地受到攻击。

WannaCry之所以如此具有破坏性的主要原因是，它主要针对运行过时Windows版本的组织实施攻击，这些版本可谓和Windows XP一样久远——已经不再接收任何安全更新和补丁。如此一来，也就造成这些组织在WannaCry面前变得不堪一击。

最佳实践：

同时致力于保护IT和OT网络。这主要包括及时更新所有操作系统和应用程序;安装强大的防病毒软件;以及监控IT和OT环境中的所有威胁等等。

2. “物理隔离”安全神话始终存在

物理隔离指的是一个主机或网络不得直接或间接地连接另一个网络。具体场景包括内外网之间的隔离，也可以用于内网间分段、分区、分层隔离。

直至目前，在工业控制领域生产环境中，仍然普遍采用物理隔离措施作为基础安全防范方案。理论上来说，物理隔离是一种很好的安全措施，因为它将工业网络和业务网络分隔开来，由此实现保护工业网络的目的，而且它成本相对较低，针对普通的实时性攻击行为效果好。

但是，物理隔离的网络真的就高枕无忧了吗?事实上，物理隔离往往做不到真正的隔离，许多号称物理隔离的系统中，可能存在与外网的联通点。这是由于网络的建设和规划是一项复杂长期的工作，私自接入设备或改变网络拓扑的情况有时很难避免，也很难发现。例如，2017年5月中旬，WannaCry勒索病毒爆发。很多号称物理隔离的内网主机也遭遇中毒，数据被毁。其次，物理隔离的难度正在大大提高，随着物联网技术不断进步，各种新型智能设备正逐步普及，移动可联网的终端设备更加高效和智能，IT和OT世界日趋融合。传统的物理隔离网络正在面临更大的挑战，过去可以认为安全的网络环境，正在逐步变得不再安全。

最佳实践：

实施专注于“基于互联网威胁”的安全措施，这些威胁主要指那些跨越IT和OT世界的工业物联网(IIoT)设备所产生的威胁。

3. 针对流行OT工具的攻击活动不断增加

今年5月，网络安全公司Tenable Research披露称，两款施耐德电气软件存在远程代码执行漏洞，可能会被黑客利用干扰或破坏发电厂、供水系统和太阳能设施等基础设施。更令人担忧的是，这两款应用(InduSoft Web Studio和InTouch Machine Edition)正广泛部署于美国石油、天然气以及其他行业的工业流程中。

这些漏洞突显了网络安全供应商和内部安全团队的弱点，两者都只是为IT环境投入了大量资源，而忽略了工业环境。此外，对关键基础设施行业而言，漏洞修复通常也比较麻烦和困难，因为工厂和发电厂无法花时间关闭系统来应用安全补丁。

最佳实践：

必须对OT操作系统及其上安装的所有软件进行修补。在无法修补关键设备的情况下，部署可以检测行为变化的监控工具至关重要。

4. 不安全的控制器普遍存在

如今，许多拥有OT网络的组织正面临这样一种巨大的挑战，即在保持运营效率的同时提高网络安全性。之所以说是挑战主要源于这样一个事实，即组织混合了易受攻击的传统控制器和较新的基于互联网的控制器。

传统控制器易受攻击，因为它们缺乏新技术中常见的关键安全功能。但是由于更新或修补旧系统需要工厂花费大量时间关闭系统来实现，所以组织通常会选择不更新或修补旧系统的方式，而不是通过提升网络安全的方式，来维持或提升其运营效率。

最佳实践：

组织需要实时了解网络的每个方面以及每个设备上的每个操作——能够查看受信任的内部人员和未知来源执行的所有活动，并能够确定所有这些活动是否属于授权操作。

5. 内部人员威胁

当OT网络发生意外或疏忽等因素所造成的更改行为时，其可能会产生与外部攻击一样具有破坏性的后果。更改行为的源头(无论是源自内部员工还是第三方承包商)都无关紧要，重要的是其造成的影响。

最佳实践：

保持对详细警报系统支持的网络活动和设备完整性的实时可见性——及时检测更改行为。此外，组织还必须拥有综合/全面的意外保险。

6. 心怀不满的员工

作为一名心怀不满的员工，无论其是窃取代码、破坏生产线还是投毒，都会为组织造成灾难性的影响。

最佳实践：

实时了解网络不能阻止心怀不满的人员执行恶意活动，但能迅速识别威胁。在理想情况下，可见性应包括用于分析网络流量和活跃设备完整性检查的入侵检测系统，以及时识别各类威胁。

7. 正在等待一个需要付诸实践的理由

如今，CISO们关注的主要问题之一就是商业风险。为了最大限度地降低这种风险，组织通常会采取自上而下的方法尽可能有效地保护所有技术。然而，在OT世界中，组织却很少遵循这种强大的方法，因为许多人认为他们没必要担心工业网络安全问题，直至某些意外事件发生时才会给他们当头一棒，刺激他们采取行动保护工业网络。

最佳实践：

OT人员需要改变他们的想法，并积极主动地保障工业网络安全。他们应该像防范商业风险一样，采取自上而下的方式尽可能有效地降低工业网络中所有设备和应用程序的风险。

卡巴斯基最近发布的一项研究：

https://ics.kaspersky.com/media/2018-Kaspersky-ICS-Whitepaper.pdf

【本文是51CTO专栏作者“”李少鹏“”的原创文章，转载请通过安全牛（微信公众号id:gooann-sectv）获取授权】