工業(yè)控制系統(tǒng)信息安全風(fēng)險(xiǎn)管理實(shí)踐探索

導(dǎo)讀：工業(yè)控制系統(tǒng)（ICS）對(duì)支持國(guó)家關(guān)鍵基礎(chǔ)設(shè)施和維護(hù)國(guó)家安全至關(guān)重要。本文對(duì)工業(yè)控制系統(tǒng)的類型、組件、風(fēng)險(xiǎn)、影響等方面進(jìn)行了剖析，并對(duì)當(dāng)前網(wǎng)絡(luò)安全風(fēng)險(xiǎn)風(fēng)起云涌特殊形勢(shì)下，工業(yè)控制系統(tǒng)信息安全風(fēng)險(xiǎn)管理實(shí)踐進(jìn)行了探討，供讀者參考。工業(yè)控制系統(tǒng)（ICS）對(duì)于支持國(guó)家關(guān)鍵基礎(chǔ)設(shè)施和維護(hù)國(guó)家安全至關(guān)重要。ICS所有者和運(yùn)營(yíng)商采用新技術(shù)提高運(yùn)營(yíng)效率，將操作技術(shù)（OT）連接到企業(yè)信息技術(shù)（IT）系統(tǒng)和物聯(lián)網(wǎng)（IoT）設(shè)備后，由此產(chǎn)生的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)引起人們的廣泛關(guān)注。針對(duì)電力、石油和天然氣行業(yè)的網(wǎng)絡(luò)攻擊就像颶風(fēng)一樣不可避免，網(wǎng)絡(luò)犯罪分子專注于利用新的數(shù)字化網(wǎng)絡(luò)和物聯(lián)網(wǎng)連接設(shè)備，以此為跳板，接入關(guān)鍵基礎(chǔ)設(shè)施，通過破壞電力、石油天然氣和水等公共服務(wù)危害社會(huì)。特別是勒索軟件和其他網(wǎng)絡(luò)攻擊，通常以ICS為目標(biāo)實(shí)施破壞運(yùn)營(yíng)或竊取知識(shí)產(chǎn)權(quán)等攻擊。因此，能源行業(yè)、制造行業(yè)、公用事業(yè)、醫(yī)療保健和其它依賴于ICS的運(yùn)營(yíng)機(jī)構(gòu)需要采取積極有效的措施，保護(hù)當(dāng)前和計(jì)劃中的ICS的基礎(chǔ)設(shè)施及信息安全。1

工業(yè)控制系統(tǒng)的類型

ICS是一個(gè)通用術(shù)語(yǔ)，用于描述不同類型的控制系統(tǒng)和相關(guān)儀器，其中包括用于自動(dòng)化工業(yè)過程的設(shè)備、系統(tǒng)、網(wǎng)絡(luò)和控制。根據(jù)行業(yè)不同，每個(gè)ICS功能也不相同，旨在以電子方式高效地管理任務(wù)。ICS包括數(shù)據(jù)采集與監(jiān)控系統(tǒng)（SCADA）、分布式控制系統(tǒng)（DCS）以及其他控制系統(tǒng)，例如通常在工業(yè)部門和關(guān)鍵基礎(chǔ)設(shè)施中安裝可編程邏輯控制器（PLC）。ICS中使用的設(shè)備和協(xié)議涵蓋制造、運(yùn)輸、能源、水處理等行業(yè)及電氣和核電站等關(guān)鍵基礎(chǔ)設(shè)施。1.1數(shù)據(jù)采集與監(jiān)控系統(tǒng)（SCADA）SCADA系統(tǒng)由分布在不同位置的設(shè)備組成，如PLC或其他商業(yè)硬件模塊。SCADA系統(tǒng)可以采集和傳輸數(shù)據(jù)，并與人機(jī)界面（HMI）集成，為眾多過程輸入和輸出提供集中監(jiān)測(cè)和控制。使用SCADA主要目的：一是通過集中控制系統(tǒng)對(duì)現(xiàn)場(chǎng)站點(diǎn)進(jìn)行遠(yuǎn)程監(jiān)測(cè)和控制。不同于工人必須長(zhǎng)途跋涉來現(xiàn)場(chǎng)執(zhí)行任務(wù)或收集數(shù)據(jù)，SCADA系統(tǒng)能夠自動(dòng)執(zhí)行此任務(wù)。二是現(xiàn)場(chǎng)設(shè)備控制本地操作。例如閥門和斷路器的打開或關(guān)閉，從傳感器系統(tǒng)收集數(shù)據(jù)以及監(jiān)控當(dāng)?shù)丨h(huán)境的報(bào)警條件。三是監(jiān)控關(guān)鍵基礎(chǔ)設(shè)施。SCADA是包含傳感器和控制器的系統(tǒng)，允許遠(yuǎn)程監(jiān)控其他設(shè)備或系統(tǒng)，如發(fā)電廠、變電站、管道和其他大型工業(yè)設(shè)施等。1.2分布式控制系統(tǒng)（DCS）DCS常用于制造、發(fā)電、化工制造、煉油廠以及水處理等行業(yè)，主要用于控制整個(gè)生產(chǎn)過程。在DCS中，設(shè)定點(diǎn)被發(fā)送到控制器，該控制器能夠指示閥門甚至執(zhí)行器以保持所需設(shè)定值的方式運(yùn)行。來自現(xiàn)場(chǎng)的數(shù)據(jù)可以存儲(chǔ)以供將來參考，用于簡(jiǎn)單的過程控制，甚至可以用于高級(jí)控制策略，其中包含來自工廠另一部分的數(shù)據(jù)。每個(gè)DCS使用集中式監(jiān)控回路管理作為整個(gè)生產(chǎn)過程一部分的多個(gè)本地控制器或設(shè)備，使行業(yè)能夠快速訪問生產(chǎn)和運(yùn)營(yíng)數(shù)據(jù)。通過生產(chǎn)過程中使用的多個(gè)設(shè)備，DCS能夠減少單個(gè)故障對(duì)整個(gè)系統(tǒng)的影響。DCS工作原理是通過以太網(wǎng)接口連接到過程不同部分的PLC，包括服務(wù)器，用戶和維護(hù)人員可以基于Web軟件輕松訪問。1.3可編程邏輯控制器（PLC）PLC可視作一種可編程計(jì)算機(jī)，用于監(jiān)控來自不同傳感器的輸入，以及在將數(shù)據(jù)發(fā)送到其他設(shè)備之前的過程數(shù)據(jù)。PLC為大多數(shù)ICS提供了基本的控制系統(tǒng)，沒有PLC，它們將無法正?；蛴行У剡\(yùn)行。PLC的范圍可以從與處理器集成的外部設(shè)備中安裝模塊化設(shè)備，包括具有數(shù)十個(gè)輸入和輸出（I/O）小型模塊化設(shè)備到具有數(shù)千個(gè)I/O的大型機(jī)架，通常與其他PLC和SCADA系統(tǒng)聯(lián)網(wǎng)。2

工業(yè)控制系統(tǒng)的組件

工業(yè)控制系統(tǒng)通過IT和OT、PLC、遠(yuǎn)程終端（RTU）、智能電子設(shè)備（IntelligentElectronicDevice，IED）和確保各組件通信的接口等技術(shù)系統(tǒng)實(shí)現(xiàn)組網(wǎng)和安全運(yùn)行。2.1IT和OT

OT變量包括監(jiān)視和控制現(xiàn)場(chǎng)物理設(shè)備的硬件和軟件系統(tǒng)。OT任務(wù)因行業(yè)而異，在工業(yè)環(huán)境中監(jiān)控溫度的設(shè)備是OT設(shè)備的一部分。IT和OT的融合有利于為企業(yè)供應(yīng)鏈提供更大的集成度和可見性，包括其關(guān)鍵資產(chǎn)、物流、計(jì)劃和運(yùn)營(yíng)流程，對(duì)供應(yīng)鏈跟蹤了解有助于公司保持競(jìng)爭(zhēng)力。但OT和IT的融合也帶來了新的風(fēng)險(xiǎn)：網(wǎng)絡(luò)犯罪分子更容易地訪問系統(tǒng)組件，許多公司的OT基礎(chǔ)設(shè)施在網(wǎng)絡(luò)攻擊保護(hù)方面做得很不到位。2.2PLC

這是一種硬件類型，在DCS和SCADA系統(tǒng)中用作整個(gè)系統(tǒng)的控制組件，通過傳感器和執(zhí)行器等反饋控制設(shè)備對(duì)正在運(yùn)行的過程進(jìn)行本地管理。在SCADA中，PLC提供與RTU相同的功能。在DCS中，PLC用作監(jiān)控方案中的本地控制器。PLC也作為主要組件在較小的控制系統(tǒng)配置中實(shí)現(xiàn)。2.3RTU

RTU是一種微處理器控制的現(xiàn)場(chǎng)設(shè)備，它接收命令并將信息發(fā)送回主終端單元（MTU）。2.4控制回路

每個(gè)控制回路都由PLC和執(zhí)行器等硬件組成。控制回路解析來自傳感器、控制閥、斷路器、開關(guān)、電機(jī)和其他類似設(shè)備的信號(hào)。這些傳感器測(cè)量的變量被傳輸?shù)娇刂破饕詧?zhí)行任務(wù)和/或完成過程。2.5人機(jī)界面

一種圖形用戶界面（GUI）應(yīng)用程序，允許操作員和控制器硬件之間進(jìn)行交互，不僅可以顯示ICS環(huán)境中設(shè)備收集的狀態(tài)信息和歷史數(shù)據(jù)，而且還可用于監(jiān)控和配置設(shè)定值、控制算法以及調(diào)整和建立控制器中的參數(shù)。2.6遠(yuǎn)程診斷和維護(hù)

這是一個(gè)模塊，用于識(shí)別、預(yù)防異常操作或故障并從中恢復(fù)。2.7控制服務(wù)器

控制服務(wù)器托管DCS或PLC監(jiān)控軟件，并與較低級(jí)別的控制設(shè)備進(jìn)行通信。2.8SCADA服務(wù)器或主終端單元（MTU）這是一個(gè)向現(xiàn)場(chǎng)的RTU發(fā)出命令的設(shè)備。2.9智能電子設(shè)備

一種智能設(shè)備，能夠獲取數(shù)據(jù)、與其他設(shè)備通信以及執(zhí)行本地處理和控制。在SCADA和DCS等控制系統(tǒng)中使用簡(jiǎn)易告警裝置允許在本地一級(jí)自動(dòng)進(jìn)行控制。2.10數(shù)據(jù)歷史庫(kù)

數(shù)據(jù)歷史記錄器是一個(gè)集中式數(shù)據(jù)庫(kù)，用于記錄ICS環(huán)境中的所有過程信息，然后將數(shù)據(jù)導(dǎo)出，公司將收集的數(shù)據(jù)用于流程分析、統(tǒng)計(jì)流程控制和企業(yè)級(jí)規(guī)劃。3

工業(yè)控制系統(tǒng)信息安全風(fēng)險(xiǎn)分析

為了提高系統(tǒng)功能和生產(chǎn)效率，每個(gè)ICS都在IT和OT中不斷采用新技術(shù)和軟件。隨著IT和OT的合并，它們成為網(wǎng)絡(luò)犯罪分子重要的攻擊目標(biāo)。當(dāng)前，OT基礎(chǔ)設(shè)施中使用的安全解決方案的常見缺陷之一是無法保護(hù)SCADA等傳統(tǒng)控制系統(tǒng)（特別是現(xiàn)場(chǎng)控制層），同時(shí)還將面對(duì)云計(jì)算、大數(shù)據(jù)分析及IoT等新興技術(shù)的挑戰(zhàn)。對(duì)ICS的成功攻擊對(duì)任何公司都會(huì)產(chǎn)生嚴(yán)重影響，其中包括操作停機(jī)、設(shè)備損壞、財(cái)務(wù)損失、知識(shí)產(chǎn)權(quán)盜竊以及生命安全等風(fēng)險(xiǎn)。3.1網(wǎng)絡(luò)犯罪分子攻擊ICS動(dòng)機(jī)和方式網(wǎng)絡(luò)犯罪分子常用作案手法圍繞著盜竊金錢、財(cái)務(wù)信息等。目前，攻擊者開始了解被盜敏感數(shù)據(jù)的價(jià)值，因此攻擊ICS的動(dòng)機(jī)不僅僅是通過工業(yè)間諜活動(dòng)獲得簡(jiǎn)單的經(jīng)濟(jì)利益。最常見的潛在攻擊組織或個(gè)人包括國(guó)家政府、恐怖分子、犯罪集團(tuán)、工業(yè)間諜和黑客。對(duì)ICS的攻擊的第一階段通常涉及允許攻擊者對(duì)環(huán)境的偵察，然后采用不同策略，幫助攻擊者在目標(biāo)網(wǎng)絡(luò)中站穩(wěn)腳跟。此時(shí)的戰(zhàn)略和戰(zhàn)術(shù)與針對(duì)性攻擊高度相似。攻擊者利用ICS的所有可能的漏洞和特定配置啟動(dòng)惡意軟件，一旦識(shí)別并利用這些漏洞，攻擊的影響就可能導(dǎo)致某些操作和功能的更改或?qū)ΜF(xiàn)有控件配置的調(diào)整。對(duì)ICS發(fā)起攻擊的復(fù)雜性取決于不同因素，從系統(tǒng)安全性到預(yù)期影響。3.2ICS風(fēng)險(xiǎn)識(shí)別過程工業(yè)控制系統(tǒng)風(fēng)險(xiǎn)評(píng)估的基本要素包括資產(chǎn)、威脅、保障能力以及脆弱性。風(fēng)險(xiǎn)評(píng)估圍繞這些基本要素展開，在對(duì)這些基本要素的評(píng)估過程中需要充分考慮與基本要素相關(guān)的各類屬性。風(fēng)險(xiǎn)不可能降低到零，實(shí)施了安全措施后還會(huì)有殘留風(fēng)險(xiǎn)。有些殘留風(fēng)險(xiǎn)來自于保障能力的不足，需要加強(qiáng)控制，而有些殘留風(fēng)險(xiǎn)則是在綜合考慮了安全成本與效益后未控制的風(fēng)險(xiǎn)，是可以被接受的風(fēng)險(xiǎn)。資產(chǎn)評(píng)估。資產(chǎn)是對(duì)被評(píng)估方具有價(jià)值的信息或資源，是安全策略的保護(hù)對(duì)象。資產(chǎn)價(jià)值是資產(chǎn)重要程度或敏感程度的表征。威脅評(píng)估。威脅是指可能危害系統(tǒng)或?qū)е卤辉u(píng)估方不希望發(fā)生的事故的潛在起因。威脅是客觀存在的，不同的資產(chǎn)面臨威脅不同，同一個(gè)資產(chǎn)不同威脅發(fā)生的可能性和造成的影響也不同。全面、準(zhǔn)確地識(shí)別威脅有利于做好防范措施。威脅評(píng)估要識(shí)別出威脅源、威脅途徑及可能性和威脅影響，并對(duì)威脅進(jìn)行分析賦值。脆弱性評(píng)估。脆弱性是資產(chǎn)自身存在的，威脅總是要利用資產(chǎn)的脆弱性才可能造成危害。評(píng)估方應(yīng)考慮工業(yè)控制系統(tǒng)脆弱性具有難以修復(fù)、原則上需要保密的特點(diǎn)，從物理環(huán)境、網(wǎng)絡(luò)、平臺(tái)和安全管理4個(gè)方面對(duì)工業(yè)控制系統(tǒng)脆弱性進(jìn)行評(píng)估。3.3ICS遭攻擊的漏洞類別

ICS涉及IT和OT，因此按類別對(duì)漏洞進(jìn)行分組有助于確定和實(shí)施緩解策略。據(jù)了解，美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院（NIST）的ICS安全指南，將這些類別劃分為與策略和程序相關(guān)的問題，從硬件、操作系統(tǒng)和ICS應(yīng)用程序等平臺(tái)和網(wǎng)絡(luò)中發(fā)現(xiàn)漏洞。（1）策略和過程漏洞。安全體系結(jié)構(gòu)和設(shè)計(jì)不足；很少或根本沒有ICS環(huán)境的安全審核；ICS的安全策略不足；缺少ICS特定的配置更改管理；沒有正式的ICS安全培訓(xùn)和意識(shí)計(jì)劃；缺乏安全實(shí)施的管理機(jī)制；沒有特定于ICS的操作連續(xù)性或?yàn)?zāi)難恢復(fù)計(jì)劃；沒有根據(jù)ICS環(huán)境制定具體的安全策略。（2）平臺(tái)配置漏洞。便攜式設(shè)備上的數(shù)據(jù)不受保護(hù)；使用默認(rèn)系統(tǒng)配置；不存儲(chǔ)或備份關(guān)鍵配置；不更新操作系統(tǒng)和應(yīng)用程序安全修補(bǔ)程序；操作系統(tǒng)和應(yīng)用程序安全補(bǔ)丁的實(shí)施未進(jìn)行詳盡的測(cè)試；不充分的訪問控制策略，例如ICS用戶具有太多或兩個(gè)很少的權(quán)限；缺少足夠的密碼策略、意外泄露密碼、未使用密碼、使用默認(rèn)密碼或使用弱密碼。

（3）平臺(tái)硬件漏洞。對(duì)安全變更的測(cè)試不足；關(guān)鍵組件缺乏冗余；ICS組件的不安全遠(yuǎn)程訪問；發(fā)電機(jī)或不間斷電源（UPS）缺乏備用電源；用于連接網(wǎng)絡(luò)的雙網(wǎng)絡(luò)接口卡；關(guān)鍵系統(tǒng)的物理保護(hù)不足；連接到ICS網(wǎng)絡(luò)的未記錄資產(chǎn)；未經(jīng)授權(quán)的人員可以物理訪問設(shè)備；失去環(huán)境控制可能導(dǎo)致硬件過熱；射頻和電磁脈沖（EMP）會(huì)對(duì)電路造成中斷和損壞。（4）平臺(tái)軟件漏洞。針對(duì)ICS軟件的拒絕服務(wù)（DoS）攻擊；未安裝入侵檢測(cè)/防御軟件；默認(rèn)情況下未啟用已安裝的安全功能；ICS軟件可能容易受到緩沖區(qū)溢出攻擊；未定義、定義不明確或“非法”網(wǎng)絡(luò)數(shù)據(jù)包的處理不當(dāng)：操作系統(tǒng)中未禁用不必要的服務(wù)，可能會(huì)被利用；沒有適當(dāng)?shù)娜罩竟芾?，這使得跟蹤安全事件變得困難；用于進(jìn)程控制（OPC）的OLE通信協(xié)議容易受到遠(yuǎn)程過程調(diào)用（RPC）和分布式組件對(duì)象模型（DCOM）漏洞的攻擊；使用不安全的行業(yè)范圍ICS協(xié)議，如DNP3、Modbus和PROFIBUS；配置和編程軟件的身份驗(yàn)證和訪問控制不足；許多ICS通信協(xié)議通過傳輸介質(zhì)以明文形式傳輸消息；ICS軟件和協(xié)議的技術(shù)文檔很容易獲得，有利于對(duì)手計(jì)劃成功地攻擊；日志和端點(diǎn)傳感器無法實(shí)時(shí)監(jiān)控，安全漏洞也無法快速識(shí)別。（5）惡意軟件防護(hù)漏洞。未安裝防病毒軟件；防病毒檢測(cè)特征碼未更新；安裝在ICS環(huán)境中的防病毒軟件，未進(jìn)行詳盡的測(cè)試。（6）網(wǎng)絡(luò)配置漏洞。網(wǎng)絡(luò)安全架構(gòu)設(shè)計(jì)薄弱；密碼在傳輸過程中未加密；網(wǎng)絡(luò)設(shè)備配置未正確存儲(chǔ)或備份；網(wǎng)絡(luò)設(shè)備上未定期更改密碼；不使用數(shù)據(jù)流控制控件，例如訪問控制列表（ACL）；網(wǎng)絡(luò)安全設(shè)備配置不當(dāng)，例如防火墻、路由器等規(guī)則配置不正確。（7）網(wǎng)絡(luò)硬件漏洞。關(guān)鍵網(wǎng)絡(luò)缺乏冗余；網(wǎng)絡(luò)設(shè)備的物理保護(hù)不足；失去環(huán)境控制可能導(dǎo)致硬件過熱；非關(guān)鍵人員可以訪問設(shè)備和網(wǎng)絡(luò)連接；不安全的USB和PS/2端口，可用于連接未經(jīng)授權(quán)的拇指驅(qū)動(dòng)器、鍵盤記錄器等。（8）網(wǎng)絡(luò)邊界漏洞。未定義網(wǎng)絡(luò)安全邊界；終端資產(chǎn)物理管控不到位；組網(wǎng)設(shè)備多個(gè)系統(tǒng)共用；防火墻不存在或配置不正確；用于非控制流量（如網(wǎng)頁(yè)瀏覽和電子郵件）的ICS控制網(wǎng)絡(luò)；控制網(wǎng)絡(luò)服務(wù)不在ICS控制網(wǎng)絡(luò)內(nèi)，例如DNS、DHCP由控制網(wǎng)絡(luò)使用，但通常安裝在企業(yè)網(wǎng)絡(luò)中。（9）通信漏洞。未確定關(guān)鍵監(jiān)視和控制路徑；用戶、數(shù)據(jù)或設(shè)備的身份驗(yàn)證不合格或不存在；許多ICS通信協(xié)議沒有內(nèi)置完整性檢查，因此對(duì)手可以輕松操縱通信而不被發(fā)現(xiàn)；標(biāo)準(zhǔn)、記錄良好的協(xié)議以純文本形式使用，例如嗅探的Telnet，可以使用協(xié)議分析器分析和解碼FTP流量。（10）無線連接漏洞?？蛻舳撕徒尤朦c(diǎn)之間的身份驗(yàn)證不足；客戶端和接入點(diǎn)之間的數(shù)據(jù)保護(hù)不足。（11）網(wǎng)絡(luò)監(jiān)控和日志記錄漏洞。沒有ICS網(wǎng)絡(luò)的安全監(jiān)控；防火墻和路由器日志不足使得跟蹤安全事件變得困難。3.4工業(yè)控制系統(tǒng)遭攻擊產(chǎn)生的影響對(duì)ICS系統(tǒng)的攻擊通常都是有針對(duì)性的攻擊，它們使用ICS入口路徑在系統(tǒng)內(nèi)獲得立足點(diǎn)，從而允許它們橫向進(jìn)入公司內(nèi)部。其中最引人注目的案例是Stuxnet蠕蟲，它被用來操縱伊朗核設(shè)施內(nèi)的離心機(jī)，以及BlackEnergy之類的活動(dòng)影響了烏克蘭的發(fā)電設(shè)施，使客戶無法供電。盡管大多數(shù)攻擊都集中在數(shù)據(jù)盜竊和工業(yè)間諜活動(dòng)上，但上述兩起案件都展示了惡意軟件如何產(chǎn)生聯(lián)動(dòng)效應(yīng)。網(wǎng)絡(luò)攻擊對(duì)使用ICS的行業(yè)的影響，取決于目標(biāo)運(yùn)營(yíng)性質(zhì)或網(wǎng)絡(luò)犯罪分子進(jìn)行攻擊的動(dòng)機(jī)等。（1）系統(tǒng)、操作系統(tǒng)或應(yīng)用程序配置中的更改。當(dāng)系統(tǒng)被篡改時(shí)，可能會(huì)產(chǎn)生不需要的或不可預(yù)測(cè)的結(jié)果。這樣做可能是為了掩蓋惡意軟件行為或任何惡意活動(dòng)。這也可能影響威脅參與者目標(biāo)的輸出。（2）PLC、RTU和其他控制器的變化。與系統(tǒng)的變化類似，控制器模塊和其他設(shè)備的更改可能導(dǎo)致設(shè)備或設(shè)施損壞。這還可能導(dǎo)致進(jìn)程故障和禁用對(duì)進(jìn)程的控制。（3）向運(yùn)營(yíng)部門報(bào)告的錯(cuò)誤信息。這種情況可能會(huì)由于錯(cuò)誤信息而導(dǎo)致實(shí)施不需要的或不必要的操作。此類事件可能導(dǎo)致可編程邏輯發(fā)生變化。這還有助于隱藏惡意活動(dòng)，包括事件本身或注入的代碼。（4）安全控制裝置被篡改。阻止故障保險(xiǎn)的正常運(yùn)行和其他保護(hù)措施會(huì)使員工甚至外部客戶的生命處于危險(xiǎn)之中。4

增強(qiáng)工業(yè)控制系統(tǒng)信息安全的實(shí)踐思考

盡管用于保護(hù)工業(yè)控制系統(tǒng)與企業(yè)IT系統(tǒng)的優(yōu)先級(jí)和技術(shù)存在很大差異，但一些行業(yè)協(xié)會(huì)已經(jīng)制定將ICS與IT系統(tǒng)連接或融合的標(biāo)準(zhǔn)和安全指南。目前，工業(yè)互聯(lián)網(wǎng)聯(lián)盟（IIC）、美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院（NIST）和國(guó)際電工委員會(huì)（IEC），通過為工業(yè)網(wǎng)絡(luò)部署縱深防御保護(hù)，在工業(yè)網(wǎng)絡(luò)上啟用安全設(shè)置，通過教育、策略和監(jiān)控管理安全性等改善ICS網(wǎng)絡(luò)安全。鑒此，為進(jìn)一步增強(qiáng)ICS信息安全，在實(shí)踐過程中可以采取以下措施。4.1做好安全網(wǎng)絡(luò)基礎(chǔ)架構(gòu)設(shè)計(jì)安全網(wǎng)絡(luò)是設(shè)計(jì)使然。大多數(shù)自動(dòng)化網(wǎng)絡(luò)在幾年甚至幾十年內(nèi)已經(jīng)緩慢地部署、添加和修改。許多PLC網(wǎng)絡(luò)和設(shè)備從未設(shè)計(jì)連接到工廠網(wǎng)絡(luò)或互聯(lián)網(wǎng)，并且通常缺乏強(qiáng)大的安全功能。由于首要任務(wù)是保持工廠運(yùn)行，因此網(wǎng)絡(luò)的設(shè)計(jì)更多地考慮了簡(jiǎn)單性而不是安全性。為了部署安全的工業(yè)網(wǎng)絡(luò)，首先需要考慮的是“縱深防御”網(wǎng)絡(luò)設(shè)計(jì)?？v深防御網(wǎng)絡(luò)設(shè)計(jì)始于將網(wǎng)絡(luò)劃分為邏輯區(qū)域，每個(gè)邏輯區(qū)域都由工業(yè)防火墻隔離和保護(hù)。然后，在每個(gè)區(qū)域之間，可以設(shè)置防火墻規(guī)則，用于過濾或管理網(wǎng)絡(luò)中各區(qū)域之間的數(shù)據(jù)通信?？v深防御設(shè)計(jì)旨在從內(nèi)到外保護(hù)網(wǎng)絡(luò)。以智能工廠為例，雖然在IT網(wǎng)絡(luò)和OT網(wǎng)絡(luò)之間部署防火墻很重要，但這還不夠。在OT網(wǎng)絡(luò)中，還應(yīng)安裝用于關(guān)鍵資產(chǎn)的附加防火墻，例如用于分布式控制系統(tǒng)（DCS）的控制器。設(shè)備越關(guān)鍵所需的安全保護(hù)就越多。這是縱深防御設(shè)計(jì)的基本原則。為使未經(jīng)授權(quán)的人員更難訪問關(guān)鍵系統(tǒng)，可以通過限制對(duì)單個(gè)區(qū)域的訪問而不是授予對(duì)整個(gè)網(wǎng)絡(luò)的完全訪問權(quán)限來最大程度地減少安全漏洞的潛在影響。入侵防御系統(tǒng)（IPS）或入侵檢測(cè)系統(tǒng)（IDS）是可以考慮用于工業(yè)網(wǎng)絡(luò)系統(tǒng)的高級(jí)系統(tǒng)。IPS/IDS將監(jiān)視網(wǎng)絡(luò)數(shù)據(jù)中的惡意活動(dòng)，它通常用于IT/辦公室網(wǎng)絡(luò)。但它也可用于工業(yè)控制系統(tǒng)網(wǎng)絡(luò)，因?yàn)橛性絹碓蕉嗟膽?yīng)用程序在基于Windows的工業(yè)計(jì)算機(jī)上運(yùn)行。安全網(wǎng)絡(luò)設(shè)計(jì)的另一個(gè)重要因素是安全的遠(yuǎn)程訪問。與在筆記本電腦上使用VPN軟件從家中訪問企業(yè)網(wǎng)絡(luò)類似，還可以部署加密的VPN連接以進(jìn)行遠(yuǎn)程監(jiān)視或遠(yuǎn)程維護(hù)。鑒于此，從保護(hù)網(wǎng)絡(luò)基礎(chǔ)結(jié)構(gòu)做起：可以將ICS細(xì)分為多個(gè)子系統(tǒng)，并定義子系統(tǒng)之間的數(shù)據(jù)通信需求；在每個(gè)網(wǎng)段之間安裝工業(yè)防火墻并正確配置數(shù)據(jù)通信策略（例如，阻止與受保護(hù)子系統(tǒng)進(jìn)行不必要的數(shù)據(jù)通信）；安裝IPS或IDS以監(jiān)控工業(yè)網(wǎng)絡(luò)上的惡意活動(dòng)；為任何遠(yuǎn)程監(jiān)控或遠(yuǎn)程維護(hù)訪問設(shè)置VPN連接。4.2進(jìn)一步強(qiáng)化設(shè)備的安全性

支持工業(yè)網(wǎng)絡(luò)安全的關(guān)鍵是強(qiáng)化設(shè)備安全，實(shí)施重點(diǎn)防護(hù)。這是指保護(hù)連接到工業(yè)控制系統(tǒng)的網(wǎng)絡(luò)交換機(jī)、路由器和其他設(shè)備。其中一些方法包括用戶身份驗(yàn)證、維護(hù)數(shù)據(jù)的完整性和機(jī)密性，以及使用身份驗(yàn)證來控制網(wǎng)絡(luò)訪問。這些都是我們?cè)谌粘Ｉ钪惺褂米约旱膫€(gè)人設(shè)備時(shí)可能遇到的所有事情。例如，在線訪問銀行或信用卡賬戶需要強(qiáng)密碼。如果在一定次數(shù)的失敗嘗試后無法登錄，則賬戶可能會(huì)被鎖定，需要聯(lián)系支持人員來證明身份。這是用戶身份驗(yàn)證背后的基本概念。另一個(gè)示例是Web瀏覽器消息，該消息會(huì)在連接不安全時(shí)通知用戶，因?yàn)橛脩魢L試訪問的站點(diǎn)需要或建議使用HTTPS進(jìn)行加密的Web會(huì)話。這是數(shù)據(jù)完整性和機(jī)密性背后的基本理念。用戶從新設(shè)備登錄，必須通過注冊(cè)的電子郵件地址或短信到已注冊(cè)的手機(jī)來驗(yàn)證設(shè)備，這是身份驗(yàn)證和訪問控制的概念。雖然大多數(shù)人都熟悉這些概念，但關(guān)鍵系統(tǒng)中的工業(yè)設(shè)備在部署時(shí)幾乎沒有安全配置是很常見的。在許多情況下，它們?nèi)匀痪哂兄圃焐烫峁┑哪J(rèn)用戶名和密碼。除了前面提到的安全設(shè)置之外，還應(yīng)該考慮漏洞管理。計(jì)算機(jī)上進(jìn)行過的Windows更新只是將修補(bǔ)程序應(yīng)用于發(fā)現(xiàn)和修復(fù)的已知漏洞。漏洞幾乎會(huì)影響每個(gè)軟件和設(shè)備制造商的組件，因此與具有明確定義的補(bǔ)丁漏洞響應(yīng)計(jì)劃的供應(yīng)商合作比以往任何時(shí)候都更加重要。鑒于此，強(qiáng)化設(shè)備安全性是關(guān)鍵所在：確認(rèn)沒有在設(shè)備上使用默認(rèn)密碼，尤其是網(wǎng)絡(luò)設(shè)備，如工業(yè)以太網(wǎng)交換機(jī)、路由器、無線接入點(diǎn)或蜂窩路由器；選擇至少包含八個(gè)字符且難以猜到的強(qiáng)密碼；啟用訪問鎖定功能；啟用訪問控制列表。此功能可以在工業(yè)網(wǎng)絡(luò)設(shè)備上預(yù)注冊(cè)設(shè)備IP或MAC地址，并且僅允許與訪問控制規(guī)則匹配的設(shè)備使用網(wǎng)絡(luò)；使用VPN或HTTPS會(huì)話對(duì)通過Web控制臺(tái)遠(yuǎn)程訪問工業(yè)設(shè)備的通信進(jìn)行加密，這有助于防止敏感數(shù)據(jù)（如登錄賬戶ID和密碼）被盜；咨詢?cè)O(shè)備供應(yīng)商，了解如何在設(shè)備安全補(bǔ)丁和更新可用后的最短時(shí)間內(nèi)獲取它們。4.3周期性識(shí)別ICS安全風(fēng)險(xiǎn)

強(qiáng)化持續(xù)技術(shù)跟進(jìn)和持續(xù)檢測(cè)評(píng)估的模式。風(fēng)險(xiǎn)評(píng)估是識(shí)別ICS風(fēng)險(xiǎn)的重要手段，是實(shí)現(xiàn)工控系統(tǒng)信息安全縱深防御的前提，其主要作用就是準(zhǔn)確地評(píng)估工控系統(tǒng)存在的主要信息安全問題和潛在風(fēng)險(xiǎn)，其風(fēng)險(xiǎn)評(píng)估結(jié)果正是工控系統(tǒng)安全防護(hù)與監(jiān)控策略建立的基礎(chǔ)和先決條件。同時(shí)，工控系統(tǒng)作為國(guó)家關(guān)鍵基礎(chǔ)設(shè)施應(yīng)用于各重點(diǎn)行業(yè)及領(lǐng)域，在生命周期的不同階段，其風(fēng)險(xiǎn)評(píng)估重點(diǎn)也有所不同。故工控系統(tǒng)的風(fēng)險(xiǎn)評(píng)估，應(yīng)該從設(shè)備的采購(gòu)、運(yùn)行、維護(hù)、報(bào)廢階段分別進(jìn)行。通過定期開展風(fēng)險(xiǎn)評(píng)估工作，可識(shí)別當(dāng)前ICS面臨的威脅，識(shí)別威脅攻擊路徑。鑒于此，強(qiáng)化工控風(fēng)險(xiǎn)評(píng)估的周期性實(shí)施：定期開展風(fēng)險(xiǎn)評(píng)估工作，識(shí)別不同時(shí)期的關(guān)鍵風(fēng)險(xiǎn)點(diǎn)；識(shí)別工控系統(tǒng)不同資產(chǎn)的物理管控，確保無關(guān)人員和非授權(quán)人員不應(yīng)接觸終端和網(wǎng)絡(luò)；組織專業(yè)隊(duì)伍開展攻防演練，識(shí)別人員應(yīng)急和技術(shù)應(yīng)急儲(chǔ)備；關(guān)注不同攻擊點(diǎn)帶來的攻擊影響。4.4注重提高安全管理和教育水平強(qiáng)化安全管理或監(jiān)控網(wǎng)絡(luò)安全理念，其中包括教育/培