您所在的位置: 首頁 >
新聞資訊 >
技術(shù)前沿 >
工業(yè)企業(yè)如何保護OT系統(tǒng)
隨著企業(yè)投資數(shù)字化轉(zhuǎn)型,工業(yè)網(wǎng)絡安全將越來越成為通過技術(shù)創(chuàng)新安全可靠推進業(yè)務目標的關鍵推動因素。雖然運營技術(shù)(OT)的轉(zhuǎn)型帶來了巨大好處,但也隨之帶來了網(wǎng)絡安全風險。
對此,Dragos發(fā)布了《工業(yè)網(wǎng)絡安全管理指南》報告,詳細分析了企業(yè)如何更好地保護運營技術(shù)系統(tǒng),具體包括:ICS/OT系統(tǒng)成為業(yè)務運營的關鍵、數(shù)字化轉(zhuǎn)型及連通性增加OT系統(tǒng)風險及暴露程度、OT與IT網(wǎng)絡安全的不同之處、OT威脅形勢快速增長且日益復雜、與IT相關的威脅仍然影響OT、修復OT漏洞及IT漏洞的不同方法、評估及應對獨特的OT網(wǎng)絡安全威脅。
一、工業(yè)網(wǎng)絡安全的重要性
隨著企業(yè)大力投資數(shù)字化轉(zhuǎn)型,工業(yè)網(wǎng)絡安全將越來越成為通過技術(shù)創(chuàng)新安全可靠地推進業(yè)務目標的關鍵推動因素。推進運營技術(shù)(OT)的連接性和數(shù)字化可為企業(yè)帶來重大利益,包括:
● 提高自動化程度;
● 提高流程效率;
● 更好地利用資產(chǎn);
● 增強用于業(yè)務預測和設備可維護性的機械遙測功能。
但是,當這種連接的網(wǎng)絡風險沒有與創(chuàng)新同步解決時,安全事件的影響可能會加劇,從而減少收益。
近期發(fā)生了一些關鍵基礎設施的事件,如發(fā)電廠使用易受攻擊的IT遠程管理工具、Oldsmar水處理設施及Colonial天然氣管道遭受破壞性網(wǎng)絡攻擊。這些風險因缺乏有效的OT網(wǎng)絡安全準備而加劇。
二、主要趨勢
● 90%的組織對其OT環(huán)境(包括ICS網(wǎng)絡、資產(chǎn)及其之間的信息流)的可見性非常有限,甚至無法了解;
● 88%的組織在ICS網(wǎng)絡周圍表現(xiàn)出較差的安全邊界,這意味著通過IT網(wǎng)絡或整個互聯(lián)網(wǎng)遭受攻擊的風險增加;
只有五分之一的組織每年進行一次以上的ICS網(wǎng)絡安全評估;
● 近一半甚至不做年度評估;
● 63%的受訪者表示,OT和IT安全風險管理工作沒有協(xié)調(diào),因此難以在OT環(huán)境中實現(xiàn)強大的安全態(tài)勢。
三、工業(yè)環(huán)境中的OT
工業(yè)控制系統(tǒng)(ICS)和運營技術(shù)(OT)是控制整個企業(yè)物理流程的系統(tǒng)和網(wǎng)絡。ICS/OT系統(tǒng)架起了從軟件世界到物理世界的橋梁。
在工業(yè)環(huán)境中普遍存在的ICS/OT系統(tǒng)是控制物理過程的系統(tǒng),包括發(fā)電、石油和天然氣精煉和管道、自動化采礦設備和工廠自動化。但OT實際上存在于比這更廣泛的用例中。它對于在數(shù)據(jù)中心、大型建筑和校園中運行倉儲和配送系統(tǒng)、運輸線路,甚至HVAC系統(tǒng)至關重要。簡而言之,OT之于物理系統(tǒng)就像IT之于業(yè)務系統(tǒng)。
OT和IT通常共享相似的技術(shù),運行在相似的操作系統(tǒng)、網(wǎng)絡連接和數(shù)字架構(gòu)上。但是OT并不是直接與IT一一對應。OT工作環(huán)境與IT非常不同,并且與業(yè)務的核心功能相關:生產(chǎn)電力、制造產(chǎn)品、運輸產(chǎn)品以及保持設施的開放性和功能性。
因此,OT的業(yè)務風險不同,OT的業(yè)務連續(xù)性要求要更為嚴格,并且增加了物理安全考慮因素和監(jiān)管義務。
OT系統(tǒng)也經(jīng)過嚴格設計,與專用機器密緊密相連,采用獨特的協(xié)議運行,并且比IT設備的生命周期長得多。OT系統(tǒng)運行的流程需要來自運營商的極其深厚的領域?qū)I(yè)知識,才能勝任管理和監(jiān)督。此外,OT中復雜的供應商關系通常會在合同中規(guī)定如何以及何時更改系統(tǒng)配置,甚至誰可以進行這些更改。
這些OT系統(tǒng)首先在“氣隙”環(huán)境中發(fā)展,并且不與外部IT系統(tǒng)連接。即使這種情況發(fā)生了變化,OT仍然在一個遠離IT的世界中運行。直到最近,也很少有IT供應商能夠根據(jù)OT環(huán)境的獨特需求定制網(wǎng)絡安全解決方案,因此與IT相比,OT網(wǎng)絡中潛在風險的可見性通常非常有限。
四、OT網(wǎng)絡安全的重要性
隨著數(shù)字化轉(zhuǎn)型計劃的加速,依賴工業(yè)流程推動核心業(yè)務的企業(yè)集體站在了網(wǎng)絡風險的十字路口。在數(shù)字時代,公司領導層推動其組織使用先進技術(shù)來提高生產(chǎn)力、效率、質(zhì)量和安全性。然而,實現(xiàn)這些目標所需的數(shù)字化進步和超連接性為新的網(wǎng)絡風險打開了大門,并加劇了現(xiàn)有的風險。
雖然IT和OT系統(tǒng)多年前使用類似的技術(shù)融合,但網(wǎng)絡安全主要集中在IT系統(tǒng)上,造成了IT與OT的網(wǎng)絡安全差距。這種滯后的原因是多方面的,因為許多利益相關者都有這些誤解:
● OT系統(tǒng)保持氣隙,或氣隙仍然足夠;
● 物理風險管理措施足以保證工業(yè)系統(tǒng)的安全;
● 網(wǎng)絡安全措施總是會帶來不成比例的運營風險;
● 現(xiàn)有工具未能解決OT網(wǎng)絡安全的獨特性。
面對這些持續(xù)存在的OT網(wǎng)絡安全誤解,數(shù)字化轉(zhuǎn)型繼續(xù)推進,進一步增加了OT系統(tǒng)與更廣泛的企業(yè)和互聯(lián)網(wǎng)的連接性。因此,OT網(wǎng)絡風險和暴露不斷增加。
許多IT網(wǎng)絡安全策略人員專注于隱私問題,將稀缺資源從OT中更多的生存風險中轉(zhuǎn)移,例如安全風險、業(yè)務連續(xù)性風險、知識產(chǎn)權(quán)風險、以及公司聲譽和品牌的風險。
根據(jù)2020年IDC對1,014家制造商的調(diào)查結(jié)果顯示,79%的全球運營資產(chǎn)連接到網(wǎng)絡,高于2016年的60%。其余的21%運營資產(chǎn)中,大部分根本沒有數(shù)字功能。
Forrester Research研究人員Allie Mellen及Steve Turner表示,“關鍵基礎設施提供商正成為勒索軟件攻擊者的目標,因為當受到勒索軟件攻擊時,他們需要在關鍵業(yè)務流程無限期暫?;蛑Ц囤H金之間做出選擇?!?/span>
Gartner分析師Barika Pace表示,“IT和OT系統(tǒng)的融合正在挑戰(zhàn)許多安全實踐,以定義與轉(zhuǎn)型和現(xiàn)代化環(huán)境保持一致的最佳安全架構(gòu)。OT所有者的氣隙受到侵蝕?!?/span>
新書《網(wǎng)絡危機》作者、前奧巴馬政府網(wǎng)絡安全專員Eric Cole表示,“關鍵基礎設施始終設計為將控制系統(tǒng)與企業(yè)網(wǎng)絡和互聯(lián)網(wǎng)隔離并在物理上分開。這些系統(tǒng)最初是為了實現(xiàn)自動化,并因新冠疫情而加速,現(xiàn)在已連接到互聯(lián)網(wǎng)。已知的漏洞使它們很容易成為目標?!?/span>
五、工業(yè)網(wǎng)絡威脅形勢
與此同時,工業(yè)攻擊的頻率和復雜性正在增加。不僅存在針對IT資產(chǎn)的威脅和攻擊載體的交叉,而且存在越來越多的專門針對ICS/OT環(huán)境的威脅行為者。在2020年Dragos威脅情報團隊報告表示,明確試圖訪問ICS網(wǎng)絡和運營的主動威脅的增長速度是處于休眠狀態(tài)時的三倍。
針對OT的勒索軟件的興起預示著該領域目前正在加速發(fā)生的風險。2020年,Dragos情報分析人員發(fā)現(xiàn)了第一個針對ICS資產(chǎn)的勒索軟件證據(jù),攻擊頻率在一年中不斷增加。到2021年上半年,工業(yè)界遭受了兩次勒索軟件攻擊。在過去的18個月中,Dragos目睹了一系列針對工業(yè)環(huán)境的其他威脅活動,包括:
● 水坑憑證獲取攻擊和隨后使用有效賬戶對歐洲關鍵基礎設施發(fā)起入侵;
● 針對美國電力行業(yè)的初步訪問和偵察活動;
● 針對涉及遠程訪問木馬(RAT)惡意軟件的美國公用事業(yè)公司的活動;
● 完全入侵歐洲能源組織的IT網(wǎng)絡及其Active Directory。
美國CISA表示,“與OT網(wǎng)絡和設備的遠程連接提供了可被網(wǎng)絡參與者利用的已知路徑。應盡可能減少外部接觸?!?/span>
現(xiàn)如今,很多OT攻擊者的行為都集中在安靜的前置和偵察工作上,如果沒有適當?shù)目梢娦?,這些攻擊就不會被發(fā)現(xiàn)。隨著時間的推移,威脅行為者通常會緩慢地制定計劃和活動,由于先前的努力,后續(xù)的活動會更成功且更具破壞性。Dragos分析人員追蹤的許多威脅可能不會引起重大破壞,但它們通常為演變成未來可能具有破壞性的攻擊奠定了基礎。
六、OT及IT安全性差異
許多網(wǎng)絡安全風險管理模式和實踐都與OT和IT領域相關。例如,通過減少重要資產(chǎn)周圍的攻擊面和強化配置來限制風險暴露的方式在OT環(huán)境中同樣適用。
但是,許多根本差異對OT中的網(wǎng)絡安全戰(zhàn)略和執(zhí)行產(chǎn)生了重大影響。有效管理OT環(huán)境中的網(wǎng)絡安全風險需要認識到一些關鍵差異。
風險狀況不同:OT漏洞帶來的最高風險往往是威脅系統(tǒng)可用性或完整性的風險,而不是威脅系統(tǒng)處理數(shù)據(jù)的機密性的風險。雖然IT經(jīng)常被隱私和數(shù)據(jù)泄露問題所困擾,但讓OT運營商夜不能寐的是系統(tǒng)中斷或故障,這可能威脅到業(yè)務甚至人員的安全。
策略及方法不同:不適合OT的安全措施導致的安全事件和停機的后果比IT系統(tǒng)的要嚴重得多。雖然在IT中仍有可能,但OT攻擊可能更容易影響品牌、股票價格和創(chuàng)收。但是,暫停水電大壩的運行或制造設施中的連續(xù)過程以實施安全控制或修補操作系統(tǒng)根本不可行。此外,嚴格的安全法規(guī)對系統(tǒng)的處理方式增加了額外的限制。
技術(shù)不同:OT系統(tǒng)使用不同的協(xié)議,適用于特定用途的硬件和軟件,每個組織具有特有的配置、神秘的嵌入式技術(shù)和各種端點,其中許多端點運行不受支持的版本,由于運營風險而無法更改。昂貴的OT機器的生命周期以幾十年來衡量,遺留的系統(tǒng)根深蒂固。
漏洞及補丁方法不同:對于許多OT和ICS系統(tǒng),沒有每周或每月的維護窗口,管理員可以輕松地推送補丁。在許多情況下,通過側(cè)重于網(wǎng)絡配置更改而不是修補的緩解措施,可以更好地解決ICS環(huán)境中的漏洞。此外,用于檢測IT系統(tǒng)漏洞的傳統(tǒng)主動掃描方法可能會導致OT環(huán)境中的重大流程中斷。
所需技能不同:OT系統(tǒng)的獨特性質(zhì)意味著操作人員必須具備一套非常專業(yè)的流程管理和工程領域?qū)I(yè)知識。這意味著安全團隊需要特別小心地與專家密切合作以協(xié)調(diào)安全執(zhí)行。
利益相關者不同:由于業(yè)務風險如此之高,OT網(wǎng)絡風險管理是一項組織范圍的活動。CISO作為風險顧問發(fā)揮著關鍵作用,但風險由各業(yè)務部門領導以及最終由CEO和董事會承擔。規(guī)劃和戰(zhàn)略必須與所有相關利益相關者持續(xù)合作,特別是在保持OT設備運行和維護復雜ICS供應商關系方面具有專業(yè)知識的運營工程師。
七、評估及應對風險
由于OT安全的獨特性質(zhì),工業(yè)網(wǎng)絡安全計劃不能是IT網(wǎng)絡安全計劃的復制粘貼。ICS環(huán)境需要專門針對工業(yè)組織面臨的不同任務、挑戰(zhàn)和威脅量身定制的網(wǎng)絡安全策略和工具。
制定OT網(wǎng)絡安全規(guī)劃:有效的工業(yè)網(wǎng)絡安全計劃往往由OT資產(chǎn)的威脅和后果驅(qū)動,優(yōu)先考慮資產(chǎn)的業(yè)務價值和給定攻擊場景的可能性。
理想情況下,組織應該能夠在整個OT環(huán)境中獲得可見性、控制和最低限度的網(wǎng)絡安全衛(wèi)生,但這需要時間和金錢。為了制定可以逐步采用良好網(wǎng)絡安全實踐的可靠網(wǎng)絡安全路線圖,組織應首先從發(fā)現(xiàn)流程開始,從董事會、高管利益相關者和資產(chǎn)所有者那里收集與OT流程相關的最高業(yè)務優(yōu)先級的意見,然后進行調(diào)查,了解所有現(xiàn)有OT資產(chǎn)以及這些資產(chǎn)如何映射到高優(yōu)先級流程的環(huán)境。
然后,團隊根據(jù)業(yè)務重要性識別并排列所涉及的OT資產(chǎn)。在此基礎上,團隊應繪制出最有可能影響高優(yōu)先級資產(chǎn)的威脅驅(qū)動和后果驅(qū)動的場景。
威脅驅(qū)動場景是威脅情報報告顯示會影響組織的場景。結(jié)果驅(qū)動場景是通過從管理層希望在ICS環(huán)境中避免的高優(yōu)先級的攻擊的導致的最壞結(jié)果,然后向后移動,并勾勒出可用于觸發(fā)它們的常見攻擊技術(shù),來構(gòu)建結(jié)果驅(qū)動場景。
考慮到這些情況,團隊應該檢查現(xiàn)有的控制措施,以及它們?nèi)绾闻c攻擊者在每種情況下使用的戰(zhàn)術(shù)、技術(shù)和程序(TTP)相抗衡。使用它來識別與理想控制相比的差距,這為制定路線圖提供了基礎。隨后將其分解為持續(xù)改進的多年計劃,根據(jù)從利益相關者那里收集的資產(chǎn)排名,優(yōu)先考慮投資范圍和速度。
獲取正確工具:許多IT檢測和監(jiān)控工具無法很好地轉(zhuǎn)換到ICS環(huán)境。IT檢測工具通常無法與OT系統(tǒng)很好地交互,或者在ICS環(huán)境中不實用。例如,端點保護不適用于PLC。
更重要的是,檢測機制和輸出都是基于以IT為中心的威脅,因此對于OT運營商來說重要的上下文和相關性將丟失。機器學習模型在ICS環(huán)境中沒有用處,因為它們是為IT環(huán)境設計和調(diào)整的。Dragos研究人員發(fā)現(xiàn),Windows防病毒軟件經(jīng)常誤報ICS應用程序,因為其不習慣ICS功能運行方式,對于啟發(fā)式引擎來說很奇怪。
這就是組織需要特定于OT的網(wǎng)絡安全工具的原因,支持工業(yè)環(huán)境中最重要的風險管理。
技能提升:OT網(wǎng)絡安全是一項專門的工作。雖然企業(yè)網(wǎng)絡安全團隊可以牽頭制定戰(zhàn)略規(guī)劃,與大量的OT利益相關者協(xié)作,甚至承擔一些日常工作,但該團隊將需要額外的資源來執(zhí)行計劃。對于許多組織而言,快速建立必要技能的最佳方法是利用合作伙伴和第三方來彌補內(nèi)部差距,例如聘請公司進行快速事件響應。
IDC研究報告顯示,由于董事會層面對安全風險的要求,到2023年,90%的工業(yè)公司將開發(fā)IT驅(qū)動的OT安全治理,以支持工程師通過關聯(lián)資產(chǎn)進行快速創(chuàng)新。
參考資源:
【1】Dragos,An Executive’s Guide to Industrial Cybersecurity,Nov.2021
【2】https://www.cyberscoop.com/the-benefits-of-understanding-industrial-technology/
來源:天地和興