物聯(lián)網帶來很多安全隱患，包括在攝像頭使用默認密碼或硬編碼密碼，到資源有限的傳感器無法運行安全機制（例如加密），這些都引起人們關注。

然而，最大的安全挑戰(zhàn)之一可能是IT / OT融合，即信息技術與運營技術的融合。IT團隊對信息安全并不陌生，但是通常在工業(yè)控制系統(tǒng)（ICS）中工作的OT同行從未在連接互聯(lián)網的網絡中工作過。隨著物聯(lián)網和工業(yè)物聯(lián)網（IIoT）的好處變得顯而易見，現(xiàn)在越來越多的ICS和OT環(huán)境開始緊密相連–這帶來了很多好處，同時也帶來很多安全威脅。更嚴重的問題是，IT團隊不知道如何在此類環(huán)境中處理威脅，從而使很多IT和OT團隊不確定確切的安全責任在哪里。

在本文中，電氣與電子工程師協(xié)會（IEEE）的成員Kayne McGladrey概述了ICS安全性的挑戰(zhàn)，并解釋了OT環(huán)境如何在抵御此類威脅，同時仍能從物聯(lián)網中受益。

很多研究都預測ICS環(huán)境中最嚴重的安全攻擊和問題。你認為最大的OT安全威脅是什么？

Kayne McGladrey：我們處在OT安全威脅的‘潘多拉魔盒’時代。多年來，IT系統(tǒng)和專業(yè)人員一直在觀察針對IT系統(tǒng)的攻擊，并制定對策，但是尚未為ICS環(huán)境做出類似的廣泛努力。因此，每次安全研究人員打開OT環(huán)境進行檢查時，都會不斷發(fā)現(xiàn)新的威脅。

例如，在很多報告中提到頭號威脅之一是缺少設備清單。盡管對于IT專業(yè)人員而言，IT資產管理并不是一個新領域，它還是互聯(lián)網安全中心的20項關鍵安全控制之一，但為OT和控制系統(tǒng)建立自動化清單卻是相對較新的做法。企業(yè)無法保護其看不到的東西，他們也無法針對未知且不可見的系統(tǒng)部署補丁或進行安全審核。這種可見性的缺乏還意味著很難抵御配置錯誤、通過技術攻擊側面載入惡意軟件或通過惡意網絡元素的命令注入攻擊。

為什么ICS如此缺乏應對此類攻擊的能力？

McGladrey：人員和資金。網絡安全正成為各大新聞媒體的頭條新聞，這吸引著新人們加入該領域，也吸引風險資本家為從事網絡安全工作的公司提供資金。OT和ICS安全是大多數(shù)人聞所未聞的領域。

伴隨IoT的部署，過去的ICS或監(jiān)管控制及數(shù)據(jù)采集威脅在如何演變？

McGladrey：Stuxnet就是這些攻擊的很好的例子，其中由于氣隙，USB記憶棒被用來部署惡意軟件。物聯(lián)網設備沒有這種氣隙，相反，它們不斷連接到互聯(lián)網。再加上普遍缺乏設備或傳感器清單，物聯(lián)網設備使攻擊者更容易在目標網絡中建立長期立足點，以進行數(shù)據(jù)滲透、命令注入、協(xié)議操縱和其他技術攻擊。

IT/OT融合如何擴大對增強ICS安全的需求？

McGladrey：人們意識到，水和電等關鍵公用事業(yè)正在互聯(lián)，這推動了對增強ICS安全性的需求。今年夏天，在南非，勒索軟件攻擊使一家電力公司的IT系統(tǒng)中斷，讓消費者無法支付電費，而導致消費者斷電。同時，在烏克蘭，針對電網的ICS攻擊，造成廣泛的破壞性影響。

隨著ICS安全威脅成為頭條新聞，攻擊者的行為是否正在改變？

McGladrey：如果有的話，暴露的增加導致攻擊者現(xiàn)在更加積極地嘗試建立長期立足點，以作為戰(zhàn)斗空間準備工作的一部分，以防被檢測。2019年聯(lián)合國推動建立網絡規(guī)范是間接承認多個國家在彼此的公用事業(yè)中建立了立足點。

面對這些問題，構建ICS安全框架有哪些最佳做法？

McGladrey：為了構建ICS安全框架，請從主動和被動清單收集的基礎工作開始。另外，請確保修復可修復的系統(tǒng)，并對這些系統(tǒng)部署一致的配置。最后，收集網絡數(shù)據(jù)以設置‘正常’流量的基準，以便將來進行分析并檢測異常活動。

責任編輯：ct