百通赫斯曼關(guān)于工業(yè)安全的應(yīng)用及思考

1、工業(yè)網(wǎng)絡(luò)安全關(guān)于工業(yè)安全的應(yīng)用及思考網(wǎng)絡(luò)安全風(fēng)險(xiǎn)真實(shí)存在嗎？技術(shù):攻擊行為高度自動化，并且不需要攻擊者具備很強(qiáng)的技術(shù)能力攻擊頻率在增加攻擊復(fù)雜度在提高攻擊者的技術(shù)能力在減退信息:尤其是ICS系統(tǒng)，今天我們可以從網(wǎng)絡(luò)上找到大量的相關(guān)知識和信息ICS Cert website, ScadaHacker, Kalitutorials, 等等。工具: 免費(fèi)的，或者很便宜的穿越軟件和腳本工具：Kali Linux, Raspberry Pis, 等等。.來源: Lipson, Howard F.: 網(wǎng)絡(luò)攻擊跟蹤: 技術(shù)挑戰(zhàn)及全球策略，發(fā)行與 CMU/SEI-2002-SR-009 當(dāng)前的網(wǎng)絡(luò)攻擊Note

2、: OSVDB appears to have stopped collected ICS-specific vulnerables in late-May 2015. Data for 2015 should not be used for annual comparative analysis.來源: ICS弱點(diǎn)統(tǒng)計(jì) Source: ICS CertStuxnet被發(fā)現(xiàn)之前:5個安全建議3家供應(yīng)商產(chǎn)品2011:215個已被公開的系統(tǒng)漏洞104個安全建議39家供應(yīng)商產(chǎn)品40%已被發(fā)現(xiàn)的系統(tǒng)漏洞均有針對的攻擊代碼2012: 500系統(tǒng)漏洞“含糊的安全性” :US ICS-CERT 的安全建議I

3、CS-CERT (網(wǎng)絡(luò)安全應(yīng)急反應(yīng)小組)ICS-CERT Website真實(shí)世界的網(wǎng)絡(luò)安全事件石油石化行業(yè):委內(nèi)瑞拉石油廠的電氣系統(tǒng)遭到破壞CIA的木馬病毒到成西伯利亞油氣管道保障防病毒軟件成功防護(hù)了鍋爐被關(guān)停受病毒感染的筆記本電腦造成DCS系統(tǒng)宕機(jī)病毒攻擊影響到操作人員培訓(xùn)的模擬系統(tǒng)油氣處理廠的電氣系統(tǒng)遭到破壞病毒感染影響到海上鉆井平臺針對SQL數(shù)據(jù)庫漏洞的攻擊造成鉆井設(shè)備停工紅色代碼蠕蟲攻擊造成自動化控制服務(wù)器訪問頁面出錯穿透性測試發(fā)現(xiàn)油氣廠的SCADA系統(tǒng)存在漏洞集成商工程師的筆記本電腦感染了病毒，從而在工作中影響了控制系統(tǒng)來源： RISI (工業(yè)安全事件知識庫)為什么僅僅只部署邊界防護(hù)

4、是不夠的？震網(wǎng)病毒2010年7月: 發(fā)現(xiàn)全世界范圍內(nèi)大量的Siemens PCS7, S7 PLC以及WIN-CC系統(tǒng)受到震網(wǎng)病毒的攻擊超過100,000臺計(jì)算機(jī)被感染和至少22個工業(yè)站點(diǎn)受到影響震網(wǎng)病毒被開發(fā)出來的初衷是計(jì)劃用來打擊伊朗的鈾濃縮設(shè)備 震網(wǎng)病毒可以被重復(fù)使用，而且使用它的人并不需要具備專業(yè)的知識震網(wǎng)病毒給ICS/SCADA系統(tǒng)帶來了安全風(fēng)險(xiǎn)民眾、政府、企業(yè)高層安全研究機(jī)構(gòu)正在為ICS和SCADA系統(tǒng)中的每個部件制定安全策略震網(wǎng)病毒 深度潛伏“震網(wǎng)病毒”這個名字是由安全分析者起的。最初該病毒的名字謠傳是“奧林匹克游戲”鈾濃縮設(shè)施是物理隔離的，因此攻擊的來源是通過U盤病毒程序代碼：

5、代碼非常復(fù)雜，同時目的性很強(qiáng)。世界頂級的研究人員們花了30天才完成了初步的破解（通常只需幾分鐘）復(fù)雜程度近乎普通惡意代碼的20倍，但是幾乎不存在任何bug包括4零代碼攻擊 病毒會自行傳播和自我復(fù)制，一旦發(fā)布就不會停止一旦病毒接觸到攻擊目標(biāo)，它會等待13天以后再發(fā)動攻擊第一輪攻擊 將頻率從1000赫茲增加到1400赫茲 離心機(jī)撞擊產(chǎn)生共鳴而破裂第二輪攻擊 將頻率降到2赫茲 離心機(jī)轉(zhuǎn)子失去平衡并開始搖晃，最終導(dǎo)致離心機(jī)破損SCADA系統(tǒng)上顯示的是假的模擬出的數(shù)值安全關(guān)閉的指令也被攔截了病毒暗中破壞生產(chǎn)/控制系統(tǒng)導(dǎo)致其出錯而造成損失震網(wǎng)病毒向人們展示了攻擊可以從線下到線上，從物理世界到虛擬的網(wǎng)絡(luò)世界

6、為什么人們對ICS網(wǎng)絡(luò)安全投入的關(guān)注度如此之少？IT和OT在網(wǎng)絡(luò)安全上的關(guān)注重點(diǎn)分別是什么PriorityITOT / ICS#1ConfidentialityAvailability#2IntegrityIntegrity#3AvailabilityConfidentiality“CIA” 設(shè)計(jì)標(biāo)準(zhǔn)： Confidentiality保密性, Integrity完整性, Availability可用性根據(jù)重要性來排序：以上內(nèi)容清晰的解釋了如下觀點(diǎn)：不同的觀點(diǎn)企業(yè)IT vs 工業(yè)OTIT: 首先保證隱私性 “保護(hù)數(shù)據(jù)”，比如保護(hù)服務(wù)器和用戶的數(shù)據(jù)OT/SCADA/ICS: 首先保障安全 “保護(hù)生

7、產(chǎn)流程”，比如保護(hù)人員的安全，工廠設(shè)備的安全以及環(huán)境的安全安全控制挑戰(zhàn)企業(yè)IT安全工業(yè)控制系統(tǒng)評估設(shè)備清單和變更管理定期的、計(jì)劃的、自動的間歇性的，無計(jì)劃的，手動的防病毒廣泛使用中防病毒文件的更新可能會對設(shè)備造成意想不到的網(wǎng)絡(luò)延遲補(bǔ)丁部署定期升級/緊急事件應(yīng)對測試部署都相對較慢，而且機(jī)器、設(shè)備也無法重啟網(wǎng)絡(luò)通信標(biāo)準(zhǔn)常規(guī)的網(wǎng)絡(luò)協(xié)議(IP/UDP)私用協(xié)議，工業(yè)通訊協(xié)議 DNP/ICCP/Modbus/Legacy安全監(jiān)控針對事件、日志的發(fā)現(xiàn)，變更都有監(jiān)控- 但是監(jiān)控主要是由事件來觸發(fā)只記錄日志 監(jiān)控性能和可用性弱點(diǎn)管理“先發(fā)現(xiàn)-后解決” 的模式弱點(diǎn)掃描會使設(shè)備、機(jī)器宕機(jī)網(wǎng)絡(luò)區(qū)域劃分有時要滿足一些

8、網(wǎng)絡(luò)安全規(guī)范中的要求，基本上都會將網(wǎng)絡(luò)劃分為不同區(qū)域偶爾會劃分，但是多數(shù)情況下未劃分關(guān)注點(diǎn) 企業(yè)IT vs 工業(yè)OT黑客是唯一的威脅嗎？ 2012安全事件組織外部黑客 軟硬件或線路故障人為錯誤病毒感染不滿員工 相比起來自外部的專業(yè)黑客，你更容易被來自內(nèi)部的人攻擊攻擊更多的是來自人為誤操作或者設(shè)備故障我們更應(yīng)該關(guān)注的是整個工廠的平均無故障時間和可靠性，而不應(yīng)該僅僅只關(guān)注那些黑客工業(yè)網(wǎng)絡(luò)安全應(yīng)該是關(guān)注如何提高網(wǎng)絡(luò)的可用性性能、可靠性、網(wǎng)絡(luò)安全以及人員的安全I(xiàn)CS網(wǎng)絡(luò)攻擊來源統(tǒng)計(jì)分析RISI發(fā)生故障的設(shè)備也同樣是一個攻擊源解決方案定位深度包檢測網(wǎng)絡(luò)發(fā)生故障的位置。針對OSI 7層模型中的每一層都實(shí)施

9、安全防護(hù)18數(shù)據(jù)來源: Datacom, Network Management Special 8 %10 %35 %25 %12 %7 %3 %物理層數(shù)據(jù)鏈路層網(wǎng)絡(luò)層傳輸層會話層表示層應(yīng)用層你可以實(shí)施的解決方案線纜交換機(jī)路由器 & 防火墻 Byres Security Inc.深度防護(hù)戰(zhàn)略Yokogawa日本橫河系統(tǒng)安全標(biāo)準(zhǔn)(TI 33Y01B30-01E)“深度防護(hù)戰(zhàn)略，是指通過多種、多層（而不是僅僅只依靠邊界防護(hù)）安全防護(hù)策略來保護(hù)我們的網(wǎng)絡(luò)安全的方法”“因?yàn)槲覀儾捎昧硕鄬臃雷o(hù)措施，所以當(dāng)上一層被攻擊完全破壞時，下一層的防護(hù)措施還可以繼續(xù)提供安全防護(hù)，因此我們的設(shè)備相比以前更加的安全和堅(jiān)

10、固”IEC 62443 (工業(yè)自動化和控制系統(tǒng)安全)3-2條目 (針對系統(tǒng)設(shè)計(jì)的安全風(fēng)險(xiǎn)評估)區(qū)域和通道 用來連接2個不同區(qū)域之間的的物理或邏輯鏈路通過硬件設(shè)備或者軟件工具來過濾，從而使得特定類型的網(wǎng)絡(luò)流量可以穿過或阻止其穿過不同區(qū)域不論網(wǎng)絡(luò)中任何位置發(fā)生攻擊或者人為誤操作，深度防護(hù)模型都可以有效限制其對整個網(wǎng)絡(luò)造成的影響：1. 多層防護(hù)2. 差異化分層防護(hù)3. 針對特定威脅的分層防護(hù)我們所有的軟件系統(tǒng)平臺都集成了高級的網(wǎng)絡(luò)安全功能和特性：百通深度防護(hù)產(chǎn)品組合百通工業(yè)安全網(wǎng)絡(luò)產(chǎn)品組合GCOM 10RX / 5RXGCOM 10KTGRS1042Eagle30Tofino XenonRSPE37

11、Industrial HiVisionTripwire Log CenterWago PLCTofino Demo HMIOpenBAT-RIP CCTV Camera正確無誤的硬件裝置集成了強(qiáng)大安全的軟件特性部署在工業(yè)網(wǎng)絡(luò)中正確的位置木桶原理，短板決定了你的高度開始對話“工業(yè)控制系統(tǒng)是不會受影響的” “我們已經(jīng)有了防火墻和防病毒軟件”“我們不知道從哪里開始，所以我們打算把安全這部分留給IT部門去考慮”“我們沒有預(yù)算”“網(wǎng)絡(luò)安全不是我操心的” “簡直太復(fù)雜了”.典型的反對意見和挑戰(zhàn)Maturity Curve初級的中級的高級的“什么都沒有”“完成了安全評估，實(shí)施了一部分安全策略”“已經(jīng)可以根據(jù)

12、需要精確調(diào)整安全策略”您的組織或工廠處在這趟旅途中的什么位置呢？網(wǎng)絡(luò)安全是一趟旅程解釋ICS網(wǎng)絡(luò)發(fā)展的主要驅(qū)動力和趨勢ICS網(wǎng)絡(luò)如今更加高度集成化：控制和應(yīng)用系統(tǒng)，工業(yè)和商業(yè)網(wǎng)絡(luò)的集成、整合應(yīng)用系統(tǒng)可以幫助提高生成力，效率，快速決策和增加利潤IIOT (工業(yè)物聯(lián)網(wǎng)) 預(yù)計(jì)到2025年，可以對經(jīng)濟(jì)創(chuàng)造11萬億的收入物理網(wǎng)絡(luò)系統(tǒng)工業(yè)4.0/智能工廠智能基礎(chǔ)設(shè)施 交通運(yùn)輸及能源遠(yuǎn)程訪問/基于服務(wù)的經(jīng)濟(jì)體系所有這些都需要通過網(wǎng)絡(luò)來實(shí)現(xiàn)。安全的通信網(wǎng)絡(luò)如果工業(yè)網(wǎng)絡(luò)受到影響。清楚理解工業(yè)網(wǎng)絡(luò)出問題時，將會給你的客戶的工業(yè)控制系統(tǒng)和運(yùn)營造成什么影響“跟蹤信號” 如果工業(yè)網(wǎng)絡(luò)故障或者出現(xiàn)中斷的情況時，請回答如

13、下3個關(guān)鍵問題：會對人員的生命財(cái)產(chǎn)安全造成威脅嗎？每天或每小時將會造成多少經(jīng)濟(jì)損失？會帶來法律后果或者會對公司名聲造成影響嗎？產(chǎn)品組合定位 百通1-2-31工業(yè)網(wǎng)絡(luò)安全對網(wǎng)絡(luò)進(jìn)行分區(qū)劃分區(qū)域和通道監(jiān)控和告警無線和遠(yuǎn)程訪問抑制威脅2工業(yè)終端節(jié)點(diǎn)安全對設(shè)備進(jìn)行整理，制作清單識別終端的弱點(diǎn)和可升級的方案備份、保存授權(quán)的配置信息以確保安全識別未授權(quán)的或惡意的更改3工業(yè)控制器安全識別威脅和更改識別控制器的弱點(diǎn)和可升級的方案備份、保存授權(quán)的配置信息以確保安全發(fā)現(xiàn)并控制所受到的威脅企業(yè)安全完善計(jì)劃：誰負(fù)責(zé)管理ICS網(wǎng)絡(luò)及其設(shè)備資產(chǎn)？你們做過安全審計(jì)嗎？針對弱點(diǎn)和風(fēng)險(xiǎn)，你們有做過什么事情嗎？針對遠(yuǎn)程訪問的接入方式，你們有做過什么事情來確保安全嗎？你們有對網(wǎng)絡(luò)進(jìn)行分區(qū)嗎？或者你們有創(chuàng)建安