工控安全三个基本点

工业世界联网程度的提升有一个关键问题：如果发生网络攻击且攻击成功，后果不堪设想，比如，网络罪犯入侵计算机系统并切断城市供电或供水。而且，不仅网络犯罪团伙会盯上ICS，民族国家黑客也常将ICS列为攻击敌对国关键基础设施的入口点。

正如2017年6月NotPetya数据清除恶意软件爆发所展现的，ICS已经成为网络犯罪的主要目标。然而，很多工控设备都面临安全措施老化过时的风险，需要进行替换或升级。如何应对ICS面临网络攻击风险的事实？公共事业机构该从哪里开始防御这种之前从未考虑过的威胁？

为确保ICS能抵御今天的在线安全威胁，公司企业需采取足够的措施以创建有效工业安全项目并合理排定企业风险优先级。这听起来似乎是令人生畏的浩大工程，但健壮的多层安全方法可以分解为基本的3步：1) 保护网络；2) 保护终端；3) 保护控制器。

一、保护网络

工业公司应确保自身网络设计良好，有着防护周全的边界。企业应按 ISA IEC 62443 标准划分自身网络，保护所有无线应用，部署能快速排除故障的安全远程访问解决方案。公司网络，包括其工业网络基础设施设备，都应列入监视对象范围。

二、保护终端

运营技术(OT)团队可能会觉得公司的终端受到边界防火墙、专利安防软件、专业协议和物理隔离的防护，可以抵御数字攻击。但事实不是这样的，雇员、承包商和供应链员工将他们的笔记本电脑或U盘带入企业网络时，这些安全防护措施就被绕过了。

必须确保所有终端都是安全的，要防止员工将自己的设备接入公司网络。事实上，黑客可以侵入OT环境中基于PC的终端。公司企业还应保护其IT终端不受OT环境中横向移动的数字攻击侵袭。

购买资产发现产品，或者实现网上终端清点过程，是保护终端安全的不错开端。可以定义控制措施和自动化以确保防护到位。然后公司企业必须保证每台终端上的配置是安全的，并监视这些终端以防遭到未授权修改。

总体上，IT和OT环境通用的解决方案是公司企业明智的选择。应定义一个足够灵活的安全平台，既能够深度覆盖IT，又适用于敏感的OT环境。

三、保护控制器

每个工业环境都有其物理系统——致动器、校准器、阀门、温度感应器、压力传感器一类机械装置。这些与现实世界交互的物理系统被称为控制器，也就是桥接物理系统控制和网络指令接收行为的特殊计算机。很多案例中恶意黑客都曾获取过这些设备的控制权，引发设备故障，造成物理破坏，或对公司的损害。不过，如果仅仅是能访问而不能控制，恶意黑客也无法直接造成破坏。

通过加强检测能力和对ICS修改及威胁的可见性，实现脆弱控制器的安全防护措施，监视可疑访问及控制修改，以及及时检测/控制威胁，公司企业可有效防止工业控制器遭到数字攻击。

网络犯罪已成当今世界发展最快的产业之一。其范围涵盖仅仅出于好玩就发起攻击的脚本小子，以及像跨国公司一样运营的犯罪组织。随着ICS成为网络罪犯的主要目标，公司企业需采取措施做好ICS对数字威胁的防护。而要做好防护，就需要重点放在网络安全、终端安全和工业控制器安全的多层安全措施。