如果你是專注于工業(yè)控制系統(tǒng)(ICS)安全的網(wǎng)絡(luò)安全專業(yè)人員，請看看你的書架，然后告訴我你看到了什么，除了Shon Harris、Krutz、Vines以及Peter Gregory的網(wǎng)絡(luò)經(jīng)典著作，你可能還收集了一些ICS安全書籍，其中有些頁面可能已經(jīng)破損或者被你貼上標(biāo)簽。其中你可能收藏的一套書是國家標(biāo)準(zhǔn)與技術(shù)研究院(NIST)特別刊物，標(biāo)題為SP800-82《工業(yè)控制系統(tǒng)(ICS)安全指南》。SP800-82在2006年第一次發(fā)行，然后是第一次修訂版，現(xiàn)在第二次修訂版處于草案階段。

SP800-82系列的發(fā)展是怎樣的?修訂版2已經(jīng)出來，但800-82是從何而來?是誰的想法帶來了這一系列非常有用的指南?是什么在推動NIST專注于ICS安全性?

在這篇文章中，我們將介紹到NIST的Keith Stouffer，他的工作對ICS安全指南有著很大的影響。我們花了一些時間采訪Stouffer有關(guān)SP800-82指南的歷史，并問他為什么會產(chǎn)生這些來自NIST的最暢銷刊物。

NIST關(guān)注ICS安全性的開始

大約在2000年，Keith Stouffer和另外幾個人開始關(guān)注關(guān)鍵基礎(chǔ)設(shè)施的安全問題。具體來說，Stouffer當(dāng)時在NIST的機械工程實驗室(Mechanical Engineering Lab)工作，他對“過程控制系統(tǒng)”(當(dāng)時是這樣的名稱)特別感興趣。于是，在2001年春天，一組相關(guān)專業(yè)人士聚集在過程控制安全要求論壇(Process Control Security Requirements Forum，PCSRF)。

PCSRF的目的是為過程控制系統(tǒng)明確安全要求，隨后該系統(tǒng)被稱為工業(yè)控制系統(tǒng)。該組織的主要重點是提高制造工業(yè)中使用的計算控制系統(tǒng)的IT安全性，這些工業(yè)包括電力公用事業(yè)、石油(石油和天然氣)、水力、廢棄物、化學(xué)用品、藥品、紙漿和造紙、金屬和采礦，其中重點工業(yè)是被視為國家關(guān)鍵基礎(chǔ)設(shè)施組成部分。當(dāng)時，PCSRF非常努力地查看信息技術(shù)安全通用評估標(biāo)準(zhǔn)(The Common Criteria for Information Technology Security Evaluation，也被稱為ISO/IEC 15408)的內(nèi)容，試圖以通用標(biāo)準(zhǔn)保護安全規(guī)范的形式來記錄他們的工作。

2004年10月，在Stouffer的領(lǐng)導(dǎo)下，PCSRF所產(chǎn)生的主要文檔之一是《系統(tǒng)保護輪廓--工業(yè)控制系統(tǒng)》，該文檔的目的是為采購新的過程控制系統(tǒng)提供有凝聚力的跨行業(yè)的基本安全要求。它同時也作為一個起點，推動著針對監(jiān)控和數(shù)據(jù)采集(SCADA)或分布式控制系統(tǒng)(DCS)的更具體的系統(tǒng)保護輪廓。當(dāng)時，PCSRF更側(cè)重于市場上出現(xiàn)的新的工業(yè)控制系統(tǒng)，而不是傳統(tǒng)系統(tǒng)。

PCSRF與Stouffer及其在NIST的同事們開始填補ICS相關(guān)的安全知識與指南的空白，并為未來的NIST SP800-82文檔埋下了種子。到2006年，PCSRF已經(jīng)從不到20人發(fā)展到超過1000人。除了建立PCSRF，該團隊的活動還涉及在國際自動化協(xié)會(ISA，以前被稱為美國儀器、系統(tǒng)與自動化協(xié)會)一些并行工作，ISA在2002年秋天形成了制造業(yè)和控制系統(tǒng)安全委員會，這最終演變成ISA-99委員會。#p#

NIST SP800-82的誕生

2005年左右，Stouffer及其同事們開始編寫NIST SP800-82。在這個特別刊物的第一次出版的過程中發(fā)生了幾個有趣的故事。首先是該文檔標(biāo)題的故事，其次是關(guān)于該指南的內(nèi)容受到來自聯(lián)邦電力機構(gòu)的巨大壓力。

SP 800-82第一個發(fā)行版的標(biāo)題是“SCADA和ICS安全指南”。SCADA和ICS之間有區(qū)別，這兩者放在一個標(biāo)題中可能會導(dǎo)致更專業(yè)的ICS安全專業(yè)人員的異議。Stouffer聯(lián)想到當(dāng)SP800-82文檔第一次編寫時，受到很多來自美國國會的壓力，美國國會認(rèn)為SCADA需要受到保護，因此，“SCADA”被放入SP800-82標(biāo)題。然而，隨后的SP800-82系列的主標(biāo)題不再包含“SCADA”。

關(guān)于第一版SP800-82的第二個故事是涉及來自總檢察長的壓力，他們認(rèn)為應(yīng)該把重點放在使用NIST SP800-53《聯(lián)邦信息系統(tǒng)和組織的安全與隱私控制》作為聯(lián)邦政府擁有和運營的ICS的基本安全標(biāo)準(zhǔn)。然而，正如很多ICS安全專家所認(rèn)為的—也與Stouffer的意見一致，NIST SP800-53專注于信息技術(shù)(IT)系統(tǒng)，而不是ICS—也被稱為操作技術(shù)(OT)。這導(dǎo)致了與總檢察長以及擁有和運營ICS的聯(lián)邦機構(gòu)的多次交涉，并產(chǎn)生了一個有趣的解決方案。

Stouffer及其同事認(rèn)真查看了SP 800-53以及適用于ICS的特殊要求。其結(jié)果是，在2007年12月，800-53修訂版2附錄I作為800-53要求的增編，但具體是針對ICS。在2009年8月，NIST SP800-53修訂版3又進行了更新。SP800-53附錄I被用來作為新的ICS覆蓋(NIST SP800-82修訂版2附錄G)的基礎(chǔ)。

NIST SP800-82的最初草案在2006年形成。正式版本(修訂版0)在2011年出版，在2013年修訂版1(最終)發(fā)布后，修訂版0最終在2014年4月被撤回。

自首次出版以來，NIST SP800-82文檔下載量超過300萬次。

NIST和ICS的可視化歷史記錄

NIST和ICS安全的可視化歷史如下圖所示：

#p#

NIST SP800-82 修訂版2(草案)

在2014年5月14日，NIST發(fā)布修訂版2，添加到SP800-82指南系列。Keith Stouffer再次作為這一工作的領(lǐng)導(dǎo)者。SP800-82文檔已經(jīng)在信息的深度和廣度方面進行了擴展，正如下面的頁面數(shù)量可看出：

NIST SP800-82, 修訂版0155 頁

NIST SP 800-82, 修訂版1170頁 (+9.6%)

NIST SP 800-82, 修訂版2(草案)255頁 (+50.0%)

總結(jié)來看，修訂版2包括以下內(nèi)容：

• 更新了ICS威脅和漏洞

• 更新了ICS風(fēng)險管理、推薦做法和架構(gòu)

• 更新了ICS安全的當(dāng)前活動

• 更新了用于ICS的安全功能和工具

• 結(jié)合其他ICS安全和指南，特別是英國國家基礎(chǔ)設(shè)施保護中心(CPNI)和ISA-62443

• 針對NIST SP800-53修訂版4安全控制的新的指南，包括引入網(wǎng)絡(luò)覆蓋。

• 針對NIST SP800-53修訂版4安全控制的ICS覆蓋，為低、中、高影響ICS提供量身定制的安全控制基線

這個ICS覆蓋是對SP800-53修訂版4中控制和控制基線的部分調(diào)整，其中增加了專門針對ICS的補充指南。這個ICS覆蓋旨在適用于所有工業(yè)部門的所有ICS系統(tǒng);它可以用來提供結(jié)構(gòu)化的方法來幫助企業(yè)量身定制安全控制基線，以及開發(fā)特定安全計劃來適用于特定任務(wù)/業(yè)務(wù)功能、操作環(huán)境和/或技術(shù)。隨著威脅推動的控制和目錄中控制增強的數(shù)量的增加，以及企業(yè)需要開發(fā)風(fēng)險管理戰(zhàn)略來在特定風(fēng)險容忍范圍內(nèi)解決其特定保護需求，這種針對性方法很重要。

現(xiàn)在，修訂版2(最初公開草案)評論期已經(jīng)在2014年7月18日結(jié)束。不過，最終公開草案將會在2014年秋天公布，屆時將提供30天的評論期，該文檔計劃在2015年年初定稿。在學(xué)習(xí)ICS安全、制定ICS安全計劃、程序、政策、流程和指南時，這個文檔可以直接使用作為很好的參考。

此外，修訂版2(草案)參考文獻附錄F很好地列出了ICS網(wǎng)絡(luò)安全專業(yè)人員以及學(xué)生可以作為安全緊急救援的資源。

NIST的下一步是什么?

NIST的團隊正在考慮ICS安全的下一步工作。首先，他們?nèi)匀魂P(guān)注ICS安全在中小企業(yè)的部署情況。其次，NIST正在擴展試驗場，以更好地了解網(wǎng)絡(luò)安全威脅和解決方案。這些試驗場包括：

• 機器人/機器人制造

• 添加劑制造

• 化學(xué)工藝

• 智能運輸

Stouffer的團隊還會看看在這些系統(tǒng)和其他ICS系統(tǒng)部署NIST 800-82和ISA-62443標(biāo)準(zhǔn)要求，以衡量和更好地了解在這些時間關(guān)鍵型系統(tǒng)部署安全要求帶來的性能影響。

未來研究可能包括設(shè)計彈性控制系統(tǒng)，甚至整合安全內(nèi)容自動化協(xié)議(SCAP)到ICS安全。

最后，Stouffer表示，NIST及其團隊在2014年秋天的某個時候開展關(guān)于網(wǎng)絡(luò)物理系統(tǒng)(CPS)安全的未來研討會。