工业网络安全

通过三个步骤实现网络安全

加里多阿齐奥

生产是每个离散的制造企业的生命线,专业人员致力于在有限的预算内快速生产出高质量的产品。操作技术和工厂车间网络的进步为操作技术(OT)专业人员提供了强大的工具,以提高产量和减少浪费。然而,如果不了解这些工具所造成的网络安全风险,就不能实施这些工具。


以下是OT环境中经常发现的漏洞的概述,以及可以采取哪些预防措施。


内部威胁

网络安全的努力往往聚焦于外部威胁。员工恶意行为的可能性——通常更容易实现,也更容易发生——可以完全忽略。如果敌人已经在里面了,建立一个坚固的周界几乎没有什么作用。

员工诱导的网络攻击的原因包括由于真实或想象的公司轻微的丧心和复仇的欲望;被贿赂或货币增益驱动的背叛;由于威胁或勒索而不情愿地妥协;便宜的刺激;或无聊。

另一种内部威胁是由犯罪分子使用窃取的凭证欺骗受信任的员工。例如,即使他们正在检查日志,运营商可能视而不见,不怀疑更改生产规格由老板或同事,没有意识到这些变化是由某人伪装自己的身份通过滥用他们的凭证。

无论消息来源是什么,防范内部网络事件的措施都是从可见性开始的。如果每次进行更改时,都会向操作员发送警报,那么每个更改都可以对授权的工作订单进行验证。意外的、未经授权的更改,无论是否带有恶意,都可以立即恢复到预期的操作配置。

恶意软件 - 赎金软件,病毒,特洛伊木马,蠕虫等

恶意软件描述了许多人造的、基于代码的现象,这些现象可以感染OT网络并以多种方式影响生产。这可能是愚蠢和恼人的,也可能是无限期地完全停止生产。

恶意软件可以通过许多不同的方式引入到OT网络中。感染用户PDF手册和原理图是一个公共通道。当承包商在工厂车间打开这样一个文件来处理设备时,恶意软件就会启动,并在整个OT网络中传播。恶意软件可以通过电子邮件中打开的附件进入,这也是为什么联网设备不应该连接到工厂地面设备的另一个原因。

不幸的是,恶意软件本身往往不是目的,而是恶意行为的第一步。恶意软件可以被设计成改变配置、获取密码、打开与外部设备的连接等等。有了积极主动的网络安全意识,这些变化是可以看到和预防的。

人为错误

并非所有的网络事件都是恶意的——在离散的制造环境中,无意的错误在很大比例的有害网络影响中扮演着角色。想想对于一个忙碌的操作员来说输入60 psi而不是6.0 psi的扭矩值是多么容易。检测这些错误,然后修复它们是网络安全计划的另一个重要部分。

没有设备

另一种可能影响生产网络完整性的常见、非恶意的场景源于物理基础设施(如电缆、交换机或PLC或人机界面等设备)中即将发生的故障。所有这些都可能对离散制造环境中的质量和产量产生影响。这些设备通常可以传输诊断数据,但大多数时候,没有人会主动查看这些数据。

众多的网络安全威胁——一种保护策略

任何对网络的改变——无论是有意的、意外的还是恶意的——都会立即留下输入的证据。问题是,在默认情况下,这些证据通常是不完整的,孤立的,隐藏在设备日志的某个地方,或者根本就没有收集。这就是为什么运营商考虑实施旨在为其网络运营提供连续实时可见性的解决方案。一般来说,这些策略有三个部分:

  • 盘点你所拥有的和它能做什么
  • 建立保护控制
  • 监控变化或异常的网络行为

您现在就可以开始实施基本的网络安全控制,以帮助降低操作风险,并检测和避免上述所有威胁的影响。

步骤1.获得可见性

马上把这个猜谜游戏从等式中去掉。你需要知道你拥有什么,因此你需要确保什么。

可见性功能包括:

  • 了解并记录工业控制网络和企业IT网络之间的所有网络通信
  • 了解并记录工业控制网络的所有远程访问,即通过拨号调制解调器、VPN和蜂窝网络连接的供应商访问
  • 创建和更新硬件和软件资产清单信息,包括供应商、制造商、型号、序列号、固件版本和已安装软件的版本
  • 创建和维护网络拓扑图
  • 了解什么工业协议是通信的&什么资产之间,如HMIs plc
  • 了解资产和设备如何配置,如果这些配置正在发生变化
  • 确定环境中存在哪些漏洞(弱点)
  • 实现集中的日志管理,以捕获所有自动化设备的日志,包括交换机、plc、路由器、防火墙、人机交互系统等。

步骤2。实现保护控制

保护性控制有助于防止或减轻网络事件的影响。确保企业IT网络和工业控制网络之间的网络分割是一个伟大的第一步。这将拒绝所有未经授权的网络通信,通过使用防火墙或网络设备上的访问控制列表。


另一种有效的保护控制是系统/设备加固,通过它:

  • 禁用不显式需要运行工业流程的服务(例如,禁用不安全的协议,如telnet,它不加密流量)
  • 启用网络安全功能,如登录,SSH, SNMPv3和其他功能
  • 检查设备/系统的正确配置(例如,更改默认密码/启用密码管理(长度、强度、复杂性等)

步骤3。持续的监控

第三步是实施持续监控。正如您有一个SCADA来帮助优化和控制您的工业过程一样,您也需要一个网络安全解决方案来帮助优化和控制工业网络安全事件的可见性,并确保您实施的保护控制正在正确运行。这不是一个一次性的活动,它需要持续执行,因为自动化系统在不断发展,网络威胁也在不断变化。

工业网络安全监控有助于不断回答“我如何知道”的问题,例如:

  • 我如何知道我的设备/资产配置是否改变了?这些更改是否使设备处于不安全状态或与我的技术构建规范不一致?
  • 我如何知道我的运行基线(特定于运行环境的系统/设备配置)是否发生了变化?
  • 我如何知道我的一个设备是否在失败的边缘?
  • 我如何知道我的控制网络上现在是否存在流氓资产或协议?
  • 我如何知道我的漏洞风险配置文件是否已更改?

如果您可以回答所有这些问题,您将能够保持工业流程,而不会从网络安全事件中干扰干扰。

现在实现了可见性,保护控制和连续监测的时间是每分钟,您没有您的一分钟,让您的网络容易受到一系列昂贵的威胁。