流程工業(yè)是不允許出現(xiàn)任何不確定性因素和風險的。石油天然氣行業(yè)、煉油行業(yè)、石化行業(yè)、發(fā)電行業(yè)等在內(nèi)的各個行業(yè)的企業(yè)必須防止并消除任何可能出現(xiàn)的網(wǎng)絡(luò)安全威脅，因為這些威脅不僅會損害企業(yè)的正常運轉(zhuǎn)，還會對工廠基礎(chǔ)設(shè)施、資產(chǎn)設(shè)備、人員和環(huán)境帶來威脅。
工業(yè)企業(yè)需要采取一些步驟來保護其關(guān)鍵的設(shè)施設(shè)備。如果了解了當前和未來的網(wǎng)絡(luò)安全威脅、過程領(lǐng)域已經(jīng)發(fā)生的事故以及不斷變化的安全挑戰(zhàn)，那么企業(yè)采取保護措施會更加的簡單。
網(wǎng)絡(luò)安全形勢嚴峻
近年來，工業(yè)網(wǎng)絡(luò)安全威脅已經(jīng)從專家的深奧實踐變成了普遍關(guān)注的問題。所有的利益相關(guān)者現(xiàn)在有了一份新責任，就是為關(guān)鍵的工業(yè)基礎(chǔ)設(shè)施提升安全性、可靠性和穩(wěn)定性。
現(xiàn)在，隨著惡意軟件在開放計算平臺上帶來越來越多的威脅，典型的工業(yè)控制系統(tǒng)（ICS）越來越容易受到來自外部的篡改。近年來，針對工廠自動化系統(tǒng)的網(wǎng)絡(luò)攻擊不僅大幅度增加，而且變得越來越復(fù)雜。從收集和竊取目標信息到消除關(guān)鍵數(shù)據(jù)，這種種的網(wǎng)絡(luò)攻擊對工廠的生產(chǎn)能力、可靠性和安全性造成了嚴重的損害。
采取措施應(yīng)對ICS網(wǎng)絡(luò)安全問題，不僅會提高控制系統(tǒng)應(yīng)對其他不良事件的恢復(fù)能力，還會減少非計劃停機時間，有助于設(shè)備在突發(fā)狀況后快速恢復(fù)到“正常工作”的狀態(tài)。
引發(fā)網(wǎng)絡(luò)攻擊的漏洞
現(xiàn)在越來越多的人開始關(guān)注工廠設(shè)備和工藝單元的網(wǎng)絡(luò)安全領(lǐng)域。在大部分工業(yè)基地，模擬控制的時代已經(jīng)成為過去，計算機網(wǎng)絡(luò)、自動化機械以及無處不在的傳感器成為工業(yè)生產(chǎn)的主流，工廠可以通過技術(shù)數(shù)據(jù)（生產(chǎn)和工藝信息）驅(qū)動設(shè)備生產(chǎn)運行，而且這些數(shù)據(jù)受到了嚴格的保護，可以在整個企業(yè)內(nèi)部實現(xiàn)共享。
在IT系統(tǒng)和網(wǎng)絡(luò)領(lǐng)域，人們非常關(guān)注技術(shù)信息的保護。但是保護一家生產(chǎn)制造企業(yè)的運行系統(tǒng)不得不面對新的挑戰(zhàn)。不僅僅要保護技術(shù)數(shù)據(jù)免受竊取，而且還要保護技術(shù)數(shù)據(jù)免受篡改，避免對工藝操作的正常功能造成損害或者影響生產(chǎn)系統(tǒng)的安全性和可用性。這些擔憂對于中小型企業(yè)來說尤其具有挑戰(zhàn)性。對于工業(yè)現(xiàn)場來說，引發(fā)網(wǎng)絡(luò)攻擊的漏洞包括：
● 缺乏安全策略和措施；
● 互聯(lián)網(wǎng)與企業(yè)之間的通訊；
● 工業(yè)局域網(wǎng)（LAN）與過程控制網(wǎng)絡(luò)之間的通訊；
● 網(wǎng)絡(luò)安全控制不充分或者過時，例如防止惡意軟件的安全軟件；
● 安全補丁過時或者缺失；
● 安全配置不夠強大；
● 備份不完整或頻率低。
為了恰當?shù)乇ＷC他們的復(fù)雜性，包括關(guān)鍵系統(tǒng)ICS在內(nèi)，流程工業(yè)企業(yè)必須盡量保證每個聯(lián)網(wǎng)設(shè)備的安全，使其免受來自本地端口和LAN接口的惡意軟件的入侵以及惡意指令的控制。與此同時，所有的工廠網(wǎng)絡(luò)都需要采取入侵防護手段，并合理的進行分區(qū)，這樣有助于降低網(wǎng)絡(luò)攻擊的威脅。
網(wǎng)絡(luò)安全影響重大
針對一個工廠的自動化系統(tǒng)的攻擊可能僅僅涉及網(wǎng)絡(luò)組件及其運行，但是其產(chǎn)生的影響卻可以擴展到與之相關(guān)聯(lián)的實體、商業(yè)、人員以及環(huán)境系統(tǒng)。對于一個網(wǎng)絡(luò)事件，無論是外部發(fā)起的還是內(nèi)部發(fā)起的，或者是由于防護措施和程序不充分引起的，都會導(dǎo)致系統(tǒng)控制的缺失，帶來嚴重的負面影響。
所有這些都給我們提出一個最重要的問題：流程工業(yè)企業(yè)是否已經(jīng)準備好如何應(yīng)對網(wǎng)絡(luò)攻擊了？
工業(yè)領(lǐng)域成為攻擊目標
近些年來，工業(yè)領(lǐng)域已經(jīng)網(wǎng)絡(luò)攻擊的主要目標。美國國土安全部(DHS)的報告指出在2014財年，ICS基礎(chǔ)設(shè)施經(jīng)歷了至少245次網(wǎng)絡(luò)安全事件。能源領(lǐng)域被攻擊的次數(shù)最多，其次是加工制造行業(yè)。
DHS工業(yè)控制系統(tǒng)網(wǎng)絡(luò)應(yīng)急響應(yīng)團隊(ICS-CERT)給出的報告顯示，55%的事件是與進階持續(xù)性滲透攻擊或威脅演員有關(guān)。大部分的事件被確定為“未知”的訪問，因為沒有足夠的證據(jù)來證明這些事件是非法入侵。
2010年，Stuxnet對伊朗的鈾濃縮設(shè)備攻擊事件發(fā)生以后，很多公司開始意識到他們的ICS設(shè)備也會受到不法分子的攻擊，包括網(wǎng)絡(luò)犯罪分子、恐怖主義者以及不友好的國家。從那時起，我們能夠看到，針對工業(yè)網(wǎng)絡(luò)的攻擊事件逐漸增加。隨著越來越多的復(fù)雜的惡意軟件的使用，Stuxnet所開啟的網(wǎng)絡(luò)攻擊事件愈演愈烈。Duqu、Shamoon、蜻蜓、黑色能源以及其他的網(wǎng)絡(luò)攻擊不斷的將能源和工業(yè)機構(gòu)設(shè)為攻擊目標。這些攻擊也不再是投機性質(zhì)的，而是已經(jīng)被事實證明了的：針對諸如煉油廠、海上平臺、電網(wǎng)和管道等關(guān)鍵基礎(chǔ)設(shè)施的網(wǎng)絡(luò)攻擊顯著增加。
提高網(wǎng)絡(luò)安全等級
對于所有的工業(yè)企業(yè)來說，為了防止網(wǎng)絡(luò)攻擊，都必須根據(jù)其不同的網(wǎng)絡(luò)安全等級制定不同的應(yīng)對策略。盡管大多數(shù)一線公司都有應(yīng)對網(wǎng)絡(luò)攻擊的安全計劃，但是對于那些視產(chǎn)量比安全更重要的小型企業(yè)來說，情況就不同了。這些公司要么陷入網(wǎng)絡(luò)安全問題中苦苦掙扎，要么就是把網(wǎng)絡(luò)攻擊和造成大規(guī)模殺傷的恐怖組織聯(lián)系在一起。
在流程制造領(lǐng)域中，不論其企業(yè)的規(guī)模和類型，只有接受最新的技術(shù)才能保證自身的競爭力，越是信息化發(fā)展較好的企業(yè)越依賴數(shù)字化設(shè)備。正是由于數(shù)字化設(shè)備的大量應(yīng)用，給了網(wǎng)絡(luò)攻擊者破壞網(wǎng)絡(luò)安全的機會，所以，要想保證網(wǎng)絡(luò)的安全，只能制定更高等級的、更加全面的網(wǎng)絡(luò)安全計劃。
因此，對于流程工業(yè)企業(yè)來說，需要重視下面兩個關(guān)鍵舉措：
● 提高運行數(shù)據(jù)的可用性，實現(xiàn)更加智能和有效的生產(chǎn)；
● 保證企業(yè)對于網(wǎng)絡(luò)安全的靈敏性，實現(xiàn)網(wǎng)絡(luò)安全控制與智慧企業(yè)和運行實踐的結(jié)合。
當然，實際應(yīng)用當中并沒有這么簡單，一些重要的因素使得供應(yīng)商和用戶在實施網(wǎng)絡(luò)安全計劃時有點捉襟見肘。因為一套ICS安全解決方案不是一個單一產(chǎn)品；相反，它是一個體系結(jié)構(gòu)、實際操作、行為模式、安全組件（硬件及軟件）以及第三方服務(wù)的組合。
網(wǎng)絡(luò)安全防護措施
想要實現(xiàn)有效的網(wǎng)絡(luò)安全保護有很多因素，包括：更好的網(wǎng)絡(luò)隔離；更強的授權(quán)和訪問控制；更加嚴格的控制便攜式文件和媒體處理；增加組策略執(zhí)行；以及格外嚴格的對網(wǎng)絡(luò)事件的遏制、安全管理、變更控制、配置以及維護。
在實際應(yīng)用中，很少有企業(yè)能夠獨自把這些網(wǎng)絡(luò)安全因素全覆蓋到，而是通過尋求外部幫助來處理不斷增加的網(wǎng)絡(luò)威脅。雖然電氣設(shè)備保護方案已經(jīng)實施，但是只有全面的、完整的信息安全解決方案才能保證員工、設(shè)備和知識產(chǎn)權(quán)的安全。
網(wǎng)絡(luò)安全策略的實施步驟
將有效的網(wǎng)絡(luò)安全策略付諸實施包括以下幾個關(guān)鍵的步驟：
了解風險：一套綜合的網(wǎng)絡(luò)安全風險評估對于評估當前的安全形勢很有價值，可以通過行動排列的優(yōu)先次序來降低風險。循環(huán)評估可以用來跟蹤重要事件以及安全計劃的成熟度，在達到期望的安全保證級別過程中提供進程提示信息。使用新型的工業(yè)風險管理安全監(jiān)控工具可以實現(xiàn)技術(shù)控制的持續(xù)評估。
通過審計判定趨勢：工業(yè)企業(yè)也應(yīng)該建立獨立的審計制度來評估系統(tǒng)控制的充分性，不僅可以確定安全策略與操作程序的協(xié)同性，還可以針對各種調(diào)整提出建議。這種方式不僅提供了視圖的趨勢，并且將實際表現(xiàn)與預(yù)設(shè)標準做出了精確的比較。
部署安全可靠的體系結(jié)構(gòu)：一個安全的體系結(jié)構(gòu)可以為控制系統(tǒng)的可用性、可靠性和安全性提供長期的基礎(chǔ)保證。重要的是要認識到不同網(wǎng)絡(luò)安全體系結(jié)構(gòu)之間的優(yōu)勢和劣勢，并基于正確的安全區(qū)域和渠道的劃分，了解不同拓撲結(jié)構(gòu)的優(yōu)缺點。
建立適當?shù)木W(wǎng)絡(luò)安全：網(wǎng)絡(luò)安全一般都扮演著抵御網(wǎng)絡(luò)威脅第一道防線的角色。所以，公司應(yīng)該認真部署網(wǎng)絡(luò)安全應(yīng)對措施，例如防火墻、威脅檢測以及安全分析，以此來強化和限制未經(jīng)授權(quán)的訪問。
保護網(wǎng)絡(luò)端點：在允許設(shè)備訪問之前，針對過程控制網(wǎng)絡(luò)各端點的有效保護至關(guān)重要。ICS部門可以通過修補、防毒保護、應(yīng)用白名單、端節(jié)點強化以及便攜式存儲設(shè)備安全管理等手段保證其網(wǎng)絡(luò)的安全。
辨識危險狀況：對于連續(xù)不斷的網(wǎng)路攻擊和威脅，要保證足夠高的警惕性。工廠人員通過不斷地監(jiān)控、遵守規(guī)定和報告、安全分析、安全信息、時間管理以及安全警覺培訓(xùn)來增強在控制網(wǎng)絡(luò)方面進行說明和理解行為的能力。
加速恢復(fù)和響應(yīng)：對于任何的工業(yè)運行來說，安全的系統(tǒng)備份一定要保證是最新的，這樣它們才可以迅速恢復(fù)。為了將停機時間降到最低和控制潛在的危害，這些防范措施應(yīng)該成為廣泛事件和災(zāi)害恢復(fù)計劃的一部分。
積極制定網(wǎng)絡(luò)安全計劃
流程工業(yè)企業(yè)必須采取積極主動的網(wǎng)絡(luò)安全措施，包括持續(xù)不斷的風險評估、制定有效的安全策略。同時還要保持高度警覺，因為網(wǎng)絡(luò)攻擊可能會造成無法承受的后果。（作者：Eric Knapp）
聯(lián)系客服
