能源行業最需要的七項網絡安全技能

想要投身抗擊網絡攻擊的永恒事業？那你可能需要提升或獲得一些（或全部）市場上最熱門的技能。

盡管圍繞老舊脆弱基礎設施保護法案的爭論十分激烈，公用事業公司正在尋找各種方法止血。類似Colonial Pipeline這樣的事件昭示了網絡攻擊會對能源行業產生如何廣泛而現實的影響。 

FireEye、邁克菲和賽門鐵克前高管，Attivo Networks首席技術官Tony Cole稱：“即使資金雄厚，現代化和保護電力部門都是一項艱巨的任務，更不用說保護整個公用事業部門了。”

咨詢公司West Monroe能源和公用事業高級主管Paul DeCotis表示，具體而言，能源行業還在另一條關鍵戰線上作戰。

他說：“能源行業運營和資產面臨的威脅越來越多，其中一些可能帶來非常嚴重的后果，而隨著人才爭奪戰的繼續，這個行業越來越難以招到安全和隱私人才，同時也面臨著留住現有人才的挑戰。”

無論是招聘網絡安全員工還是提升現有員工的技能，特定技能在該行業亟需職業技能清單中排名靠前。想要投身抗擊網絡攻擊的永恒事業？那你可能需要提升或獲得一些（或全部）市場上最熱門的技能。

1、能源行業工作經驗

Owl Cyber Defense首席創新官Brian Romansky認為，相較于其他行業用來保護電子郵件服務器、文件共享設備和瀏覽器的技能，保護能源行業各種運行環境所需的技能集截然不同。能源行業的CISO想要尋找的是了解工廠、管道、變電站、煉油廠等運營技術（OT）環境工作機制的人才。同時，他們希望招募到的人才在保護數字控制系統、SCADA系統，以及數字傳感器/監視器與操作系統（如泵、閥門和執行器）方面有經驗。

Romansky稱，理想的候選者“了解Modbus、OPC、DNP3等工業協議的工作原理、其所支持的設備、需要連接（和不可連接）的內容，以及相關的風險”。

2、嵌入式系統技能

Verve Industrial網絡安全洞察總監Ron Brash指出，在恰當保護或評估嵌入式系統方面，存在著巨大且不斷擴大的技能缺口。

他說：“這確實很危險，因為OT/ICS中的大多數系統都是嵌入式的，而不是Windows或路由器之類的商用設備。然而，盡管明知隨著可繞過防火墻等傳統控制措施的5G、LTE和IoT/IIoT的出現，補償性控制措施越來越難應用，我們還是一直在部署這些東西。”

針對關鍵基礎設施中嵌入式系統的攻擊很常見，但往往不出現在新聞報道中。其中一個例子就是佛羅里達州奧爾茲馬供水廠遠程投毒事件。縣治安官Bob Gualtieri在《坦帕灣時報》的新聞報道中表示，這起攻擊事件中，黑客修改了系統設置，將氫氧化鈉（也叫堿液）的含量短時增加了超過100倍。  

報道稱：“星期五早上8點的時候，一名工廠操作員正在監控該系統，并且注意到有人短暫訪問了該系統。他并未覺得這一現象反常，因為他的主管經常遠程登錄這個系統。”

3、了解數據流

Romansky表示，CISO也在尋找了解能源行業數據及數據流的網絡安全人才。更具體講，此類人才應該：

● 了解第三方滿足支持協議、執行分析、監控占空比等所需的數據，并具備OSIsoft和Aveva等老牌工業應用的知識。

● 了解外部數據消費者的數據需求，并安全提供所需操作數據。 

● 具有軍方或政府機構網絡安全經驗，因為“這類人才經過訓練，懂得如何運用各種技術防御黑客國家隊的攻擊，包括跨域解決方案”。

4、深入了解關鍵基礎設施網絡安全法規

北美能源標準委員會前委員，GlobalSign美洲區總經理Lila Kee表示，鑒于行業的許多安全和合規要求，深入了解影響能源行業的聯邦、州和外國法規及聯邦指南（如總統政策指令21和2015年國家基礎設施保護計劃（NIPP）能源部門具體計劃），是非常有利的加分項。

對安全專業人員而言，另一大優勢是能夠按照拜登總統的14028號行政令實現軟件物料清單（SBOM），基本“防止惡意軟件安裝，阻止其實施故意傷害。”

5、向后工作的能力

OnSolve首席技術官Dustin Radtke稱，安全專家預計，基礎設施危機和持續中斷將顯著增加，“無論是由惡劣天氣（如得克薩斯州雪災）還是Colonial Pipeline那樣的網絡攻擊造成的”。

因此，能源行業的安全專家必須“深入了解自家公司面臨的特定風險”。通過了解公司最脆弱的地方或危機期間受影響最大的領域，安全團隊可以向后工作，以完善自身正在監控的威脅以及監控方法。

在風險情報和危機管理方面，這種類型的“目的性知情輸入，可形成更具可操作性和相關性的輸出”。

6、更新的技術技能

當然，能源行業也轉向技術來尋求填補人才空缺，尤其是人工智能驅動的那些技術。而這些技術也要求安全團隊了解該如何恰當使用。

IronNet Cybersecurity能源副總裁Shawn Wallace表示，部署行為檢測技術也有類似的技術訣竅需求。實時集體防御也是必須的。

他說，“集體防御可形成跨部門的安全團隊協同工作和實時協作。這么做可縮短檢測時間，同時更好地利用現有資源，從而使公司能夠快速增強防御態勢。”  

7、強大的項目管理和“老舊技術”技能

能源行業傾向于使用過時的老舊系統，比如制造商不再支持的操作系統。安全人員如果具備保護老舊技術的技能，同時能夠支持更安全的升級，就成了能源行業的搶手貨。

安全消息平臺Wire首席執行官Morten Br?gger表示：“考慮到這些公司仍在使用大量老舊硬件和軟件，他們必須尋找具有強大項目管理和領導技能，且具有前瞻性眼光的安全人員來推動新的計劃。市場上并不缺乏可用的工具，但他們需要強有力的領導者來恰當使用這些工具。”

前瞻

即使你不具備這個行業的全部或多項熱門技能也不用擔心。面對這么多風險，能源公司可能愿意更新你的現有技能。  

Jo Webber博士曾任網絡安全公司Sprion的首席執行官，也是全球諸多主要油氣管道運營商的軟件供應商艾默生Energy Solutions International的前CEO，她指出，盡管類似舊前線，但新前線依然形勢嚴峻。

她表示：“有一次，一位美國政府前能源部長問我，有沒有辦法檢測到有人靠近油氣管道。當時我們想的是帶著炸彈的恐怖分子。但俄羅斯人對Colonial Pipeline的攻擊也是同一類威脅。我們有幾條主要油氣管道穿越美國，將天然氣從得克薩斯州輸送到東北部。如果這些主要干線在冬季出故障了，那后果將會是災難性的。”