運營技術(OT)人員需要積極主動地進行安全防護。

剛剛過去的10月份，是法定的國家網絡安全意識月，今年，該計劃的一項關鍵信息就是共同努力，以保護關鍵基礎設施免受網絡威脅。

顯然，運營技術(OT)網絡中的安全缺口正成為主流關注點。

例如，根據卡巴斯基最近發布的一項研究指出，77%的工業環境安全專業人士認為，他們的組織很可能成為網絡安全事件的攻擊目標;與此同時，48%的受訪者表示，他們沒有特定的OT / ICS事件響應計劃，而31%的受訪者表示，他們的組織在2017年經歷過一次或多次安全事件。

事實上，任何系統面臨的安全性問題，歸根結底都由系統所具有的價值而決定。國家基礎工業領域中分布著大量工業控制系統，涵蓋了電力，石油，交通，水利等諸多方面，在國計民生中占據著重要的地位，其中的數據價值，持續運行價值都不可估量。出現任何安全問題，影響都不容小覷。國內外各行業工業控制系統正受到越來越多的安全關注，也越來越多地成為攻擊者的目標。

所以說，目前正是討論工業環境中7大安全缺口的最佳時機，難道不是嗎?接下來就為大家總結工業環境中面臨的最主要的7大安全缺口問題，及其最佳實踐：

1. 惡意軟件從IT轉向OT

WannaCry和Petya是過去幾年中兩個最大的惡意軟件威脅，雖然它們并沒有專門針對工業網絡實施攻擊，但也確實對工業網絡安全造成了嚴重影響。這些威脅表明，IT和OT網絡中/之間的安全防御能力較為薄弱，這也使得OT網絡會不可避免地受到攻擊。

WannaCry之所以如此具有破壞性的主要原因是，它主要針對運行過時Windows版本的組織實施攻擊，這些版本可謂和Windows XP一樣久遠——已經不再接收任何安全更新和補丁。如此一來，也就造成這些組織在WannaCry面前變得不堪一擊。

最佳實踐：

同時致力于保護IT和OT網絡。這主要包括及時更新所有操作系統和應用程序;安裝強大的防病毒軟件;以及監控IT和OT環境中的所有威脅等等。

2. “物理隔離”安全神話始終存在

物理隔離指的是一個主機或網絡不得直接或間接地連接另一個網絡。具體場景包括內外網之間的隔離，也可以用于內網間分段、分區、分層隔離。

直至目前，在工業控制領域生產環境中，仍然普遍采用物理隔離措施作為基礎安全防范方案。理論上來說，物理隔離是一種很好的安全措施，因為它將工業網絡和業務網絡分隔開來，由此實現保護工業網絡的目的，而且它成本相對較低，針對普通的實時性攻擊行為效果好。

但是，物理隔離的網絡真的就高枕無憂了嗎?事實上，物理隔離往往做不到真正的隔離，許多號稱物理隔離的系統中，可能存在與外網的聯通點。這是由于網絡的建設和規劃是一項復雜長期的工作，私自接入設備或改變網絡拓撲的情況有時很難避免，也很難發現。例如，2017年5月中旬，WannaCry勒索病毒爆發。很多號稱物理隔離的內網主機也遭遇中毒，數據被毀。其次，物理隔離的難度正在大大提高，隨著物聯網技術不斷進步，各種新型智能設備正逐步普及，移動可聯網的終端設備更加高效和智能，IT和OT世界日趨融合。傳統的物理隔離網絡正在面臨更大的挑戰，過去可以認為安全的網絡環境，正在逐步變得不再安全。

最佳實踐：

實施專注于“基于互聯網威脅”的安全措施，這些威脅主要指那些跨越IT和OT世界的工業物聯網(IIoT)設備所產生的威脅。

3. 針對流行OT工具的攻擊活動不斷增加

今年5月，網絡安全公司Tenable Research披露稱，兩款施耐德電氣軟件存在遠程代碼執行漏洞，可能會被黑客利用干擾或破壞發電廠、供水系統和太陽能設施等基礎設施。更令人擔憂的是，這兩款應用(InduSoft Web Studio和InTouch Machine Edition)正廣泛部署于美國石油、天然氣以及其他行業的工業流程中。

這些漏洞突顯了網絡安全供應商和內部安全團隊的弱點，兩者都只是為IT環境投入了大量資源，而忽略了工業環境。此外，對關鍵基礎設施行業而言，漏洞修復通常也比較麻煩和困難，因為工廠和發電廠無法花時間關閉系統來應用安全補丁。

最佳實踐：

必須對OT操作系統及其上安裝的所有軟件進行修補。在無法修補關鍵設備的情況下，部署可以檢測行為變化的監控工具至關重要。

4. 不安全的控制器普遍存在

如今，許多擁有OT網絡的組織正面臨這樣一種巨大的挑戰，即在保持運營效率的同時提高網絡安全性。之所以說是挑戰主要源于這樣一個事實，即組織混合了易受攻擊的傳統控制器和較新的基于互聯網的控制器。

傳統控制器易受攻擊，因為它們缺乏新技術中常見的關鍵安全功能。但是由于更新或修補舊系統需要工廠花費大量時間關閉系統來實現，所以組織通常會選擇不更新或修補舊系統的方式，而不是通過提升網絡安全的方式，來維持或提升其運營效率。

最佳實踐：

組織需要實時了解網絡的每個方面以及每個設備上的每個操作——能夠查看受信任的內部人員和未知來源執行的所有活動，并能夠確定所有這些活動是否屬于授權操作。

5. 內部人員威脅

當OT網絡發生意外或疏忽等因素所造成的更改行為時，其可能會產生與外部攻擊一樣具有破壞性的后果。更改行為的源頭(無論是源自內部員工還是第三方承包商)都無關緊要，重要的是其造成的影響。

最佳實踐：

保持對詳細警報系統支持的網絡活動和設備完整性的實時可見性——及時檢測更改行為。此外，組織還必須擁有綜合/全面的意外保險。

6. 心懷不滿的員工

作為一名心懷不滿的員工，無論其是竊取代碼、破壞生產線還是投毒，都會為組織造成災難性的影響。

最佳實踐：

實時了解網絡不能阻止心懷不滿的人員執行惡意活動，但能迅速識別威脅。在理想情況下，可見性應包括用于分析網絡流量和活躍設備完整性檢查的入侵檢測系統，以及時識別各類威脅。

7. 正在等待一個需要付諸實踐的理由

如今，CISO們關注的主要問題之一就是商業風險。為了最大限度地降低這種風險，組織通常會采取自上而下的方法盡可能有效地保護所有技術。然而，在OT世界中，組織卻很少遵循這種強大的方法，因為許多人認為他們沒必要擔心工業網絡安全問題，直至某些意外事件發生時才會給他們當頭一棒，刺激他們采取行動保護工業網絡。

最佳實踐：

OT人員需要改變他們的想法，并積極主動地保障工業網絡安全。他們應該像防范商業風險一樣，采取自上而下的方式盡可能有效地降低工業網絡中所有設備和應用程序的風險。

卡巴斯基最近發布的一項研究：

https://ics.kaspersky.com/media/2018-Kaspersky-ICS-Whitepaper.pdf

【本文是51CTO專欄作者“”李少鵬“”的原創文章，轉載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權】