OT/ICS網絡安全態勢不容回避的10個事實

美國國家安全局 (NSA) 和網絡安全和基礎設施安全局 (CISA)于9月22日發布了一份網絡安全咨詢（ CSA），重點介紹了惡意行為者通常采取的攻擊破壞操作技術 (OT)/工業控制系統 (ICS) 資產的步驟并提供有關如何防御它們的建議。這份題為《 控制系統防御：了解對手》（Control System Defense: Know the Opponent）的咨詢建議 指出對運營、控制和監控日常關鍵基礎設施和工業流程的OT和ICS資產的威脅越來越大。基于當前的安全態勢 ，該指南文件認為惡意網絡行為者給ICS網絡帶來了越來越大的風險。保護OT/ICS的傳統方法不能充分解決當前對這些系統的威脅。了解網絡威脅行為者的戰術、技術和程序(TTPs)的所有者和運營商可以在優先加強OT/ICS措施時使用這些知識。

近日，Industrial Cyber采訪了IBM全球安全服務部OT/IoT安全服務業務負責人Rob Dyson、Dragos服務副總裁Ben Miller和儀器儀表、控制和控制系統網絡安全專家Joe Weiss這三位OT/ICS網絡安全專家，以征求他們對CISA-NSA指南的結果及其對關鍵基礎設施和 OT環境可能產生的影響的看法。編者整理了專家們的基本觀點和認識。

1、隨著IT和OT（運營技術）環境中的數字化轉型呈指數級增長，關鍵基礎設施資產所有者和運營者保護OT/ICS環境的傳統方法不足以應對當前網絡安全威脅。

2、組織的ICS安全決策是基于網絡安全攻擊迫在眉睫以及他們的系統被各類攻擊者瞄準以實現政治利益、經濟利益或破壞性影響這一殘酷事實。

3、既然系統所有者和運營者無法改變網絡攻擊者已瞄準他們的系統這一事實，那么假設系統成為攻擊目標并預測攻擊者可能造成的影響后果并優先考慮緩解措施，顯然更具現實意義。也就是說這些關鍵基礎設施部門再也無須糾結或心存僥幸“我是不是攻擊目標”問題，而是考慮“何時被攻陷”的問題。

4、典型的工業環境不僅包括員工，還包括許多第三方，如承包商和供應商，放大的攻擊面和復雜的供應鏈使得安全態勢更加復雜，“工業 4.0”數字化背景下，網絡攻擊的風險呈指數級增長。盡管如此，防御者也并不是毫無作為，他們仍然有機會采取措施來減輕任何惡意活動的影響。

5、關鍵基礎設施所有者、運營者和網絡防御者所做的努力著重在于提高攻擊對手的時間、成本和技術壁壘。此外，他們必須通過解決系統性弱點/漏洞來建立流程以維持系統的運營彈性，使控制系統能夠承受網絡攻擊事件，進而將對關鍵基礎設施的影響最小化。

6、承認圍繞OT系統的威脅正在增加，而且變得更加多樣化。認識到OT與IT不同，防御者不能只復制其IT安全方案、安全程序到OT環境，這對于關鍵基礎設施和任何制造商來說都很重要。網絡安全學科過于復雜，關基基礎設施運營者或所有者無法獨自完成，尋求專業安全廠商的幫助，更快、更具成本效益地實現其OT網絡安全風險管理目標是關鍵。

7、事實上，IT和OT網絡安全企業正試圖將網絡安全的方釘強加到工程系統的圓孔中，由于技術原因，許多網絡安全技術無法實現。IT和OT網絡安全側重于CISO職權范圍內的互聯網協議網絡。過程傳感器等控制系統現場設備需要了解系統和組件的工作原理。控制系統網絡安全側重于現場設備，例如過程傳感器及其相關的低級網絡，這些網絡通常是串行的。這些現場設備沒有網絡安全，屬于工程范圍。因此，保護這些現場設備不同于保護IT或OT網絡，需要不同的技術和培訓。

8、網絡安全與功能安全/業務安全是不同的卻是融合的，它們在知識、組織、人員、管理、流程等方面，兩張皮的現狀依舊。工程人員不懂網絡安全，安全人員缺乏工程知識。系統工程思想回歸成為必然，系統安全工程應運而生。

9、氣隙隔離（或物理隔離）與漏洞無法修復的借口，不再那么理直氣壯，也不會再長期延續

10、控制系統受到影響時，結果是顯而易見的——火車或飛機墜毀、管道破裂、電力中斷。由于缺乏控制系統網絡取證和培訓，這些事件通常不被認定（或無法確定）為與網絡相關。這是控制系統網絡安全的最后一公里，通常的基于IP網絡數據的監控方案是無能為力的。