七步提高ICS和SCADA安全

    網(wǎng)絡(luò)安全在過去的兩年時間為工業(yè)自動化行業(yè)真正敲響了警鐘。有史以來工業(yè)自動化行業(yè)首次成為Stuxnet，Nignt Dragon和Dugu等復雜網(wǎng)絡(luò)攻擊的目標。

    另外，工業(yè)控制產(chǎn)品也出現(xiàn)了前所未有的大規(guī)模的安全漏洞。對制造業(yè)和關(guān)鍵基礎(chǔ)設(shè)施行業(yè)的專業(yè)人員來說，網(wǎng)絡(luò)安全很快就成為了一個最嚴重的棘手問題。

    如果你是一名過程控制工程師，或者公司自動化部門的IT專業(yè)人員，或是負責安全保障的業(yè)務(wù)經(jīng)理，你可能很想知道你的企業(yè)如何才能實施更穩(wěn)健的網(wǎng)絡(luò)安全措施。

    為了提供一些這方面的指導，John和我從多個工業(yè)標準和最佳措施文檔中收集總結(jié)了一些資料，同時結(jié)合我們在評估多個工業(yè)控制系統(tǒng)后得到的經(jīng)驗，給出了以下7個易于遵循的步驟。

第一步—評估現(xiàn)有系統(tǒng)

    你需要做的第一步是進行風險評估，量化并評定對你的業(yè)務(wù)有威脅的風險等級。這一點很重要，這樣的話你就能知道如何重點合理地安排你的安全資金和工作方向。我們經(jīng)常看到一些跳過風險評估這一步的做法，結(jié)果導致公司將錢投入到解決次要風險的方案中，一些更嚴重的主要風險卻未被解決。

    風險評估似乎是一項令人頭疼的工作，然而如果你采取一個簡單的、輕量級方法，風險評估其實是很容易進行的。我們的白皮書提供了一個范例，以及如何進行評估的一些技巧。

第二步—制定政策和規(guī)程

    我們強烈建議組織機構(gòu)制定針對ICS的文檔，描述和控制系統(tǒng)安全相關(guān)的公司政策，標準和規(guī)程。根據(jù)我們的經(jīng)驗，分開的ICS安全文檔對那些負責ICS安全的人員很有用，能夠幫助他們清楚的理解他們的期望值和責任。

    同樣，你也應該熟悉一些行業(yè)相關(guān)的安全規(guī)程和標準。

第三步—對員工和承包商進行培訓

    制定策略和規(guī)程后，需要確保員工能熟悉并遵守這些規(guī)程。在高層管理人員的支持下，對所有合適的員工制定一個培訓計劃。接下來就是實施培訓。我們強烈建議對控制系統(tǒng)安全進行基于角色的培訓，同樣，在白皮書中我們也提供了一個范例。

第四步—對控制系統(tǒng)網(wǎng)絡(luò)進行分區(qū)

    網(wǎng)絡(luò)分區(qū)是提高工業(yè)自動化系統(tǒng)安全的最重要的具有策略性的一步。在 “No More Flat Networks Please”一文中，我已談?wù)撨^這點。白皮書結(jié)合一個高級的網(wǎng)絡(luò)結(jié)構(gòu)圖，對“區(qū)域”和“通道”的概念進行了解釋。

第五步—控制對系統(tǒng)的訪問

    將系統(tǒng)劃分成不同的安全區(qū)域后，下一步就是要控制對這些分區(qū)中的設(shè)備的訪問。同時提供物理上和邏輯上的訪問控制是很重要的。

    典型的物理訪問控制包括柵欄、上鎖的門和上鎖的機柜。這樣做的目的就是限制只有出于工作需要的人才能訪問關(guān)鍵的ICS設(shè)備。

    同樣的概念也適用于邏輯訪問控制，包括多級控制和身份驗證的理念。一旦驗證通過，就授權(quán)用戶執(zhí)行特定的功能。

第六步—增強組件

    增強系統(tǒng)組件的意思包括鎖定系統(tǒng)中各組件的功能，防止未經(jīng)授權(quán)的訪問或更改，移除不必要的功能特性，修補任何已知漏洞。

    在廣泛使用現(xiàn)成的商業(yè)化技術(shù)的現(xiàn)代控制系統(tǒng)中，這點尤為重要。在這類系統(tǒng)中，禁用未使用的功能，確保將配置選項設(shè)定為最安全的設(shè)置是很重要的。

第七步—監(jiān)控并維護系統(tǒng)安全

    作為一名工業(yè)控制系統(tǒng)的所有者或操作者，在監(jiān)控并維護系統(tǒng)整個生命周期的安全時必須時刻保持警惕。不僅需要更新殺毒軟件以及在Windows服務(wù)器上安裝安全補丁，同時還需要監(jiān)控系統(tǒng)的可疑活動。

    最后，定期檢測并評估系統(tǒng)也很重要。評估系統(tǒng)包括定期審計系統(tǒng)配置是否仍然安全，也包括依據(jù)最新的標準和最佳實踐更新安全措施。

并非一次性工程

    現(xiàn)在的問題是有效的ICS和SCADA安全并不是一次性工程，而是一個持續(xù)的、反復的過程。當系統(tǒng)、人員、商業(yè)目標或系統(tǒng)威脅發(fā)生改變時，你需要重復這七個步驟，更新相應的材料和措施。

    你的努力工作將會使你的企業(yè)運營得到最大的保護，從而預防各種破壞、安全事件和最新網(wǎng)絡(luò)安全威脅給企業(yè)造成損失。