對(duì)手越來越聰明高效，也越來越精于滲透工業(yè)網(wǎng)絡(luò)。博思艾倫咨詢公司近期一項(xiàng)調(diào)查研究的數(shù)據(jù)強(qiáng)化了這一事實(shí)。該公司調(diào)查了全球314家運(yùn)營有工業(yè)控制系統(tǒng)(ICS)的公司，發(fā)現(xiàn)其中34%都在一年內(nèi)遭遇了2次以上的數(shù)據(jù)泄露。2015年，ICS運(yùn)營者向美國相關(guān)機(jī)構(gòu)報(bào)告的安全事件數(shù)量比之前任何一年都多。

今天的ICS運(yùn)營者所面對(duì)的威脅態(tài)勢(shì)，其危險(xiǎn)程度前所未有。針對(duì)性威脅的規(guī)模、類型和嚴(yán)重性都在快速增加。很多產(chǎn)業(yè)的運(yùn)營者都發(fā)現(xiàn)，網(wǎng)絡(luò)攻擊對(duì)他們的系統(tǒng)造成了損害，有些案例中，甚至造成了物理破壞。

保護(hù)工業(yè)網(wǎng)絡(luò)安全不是件輕松的事。主要是因?yàn)榇蠖鄶?shù)工業(yè)網(wǎng)絡(luò)都是在網(wǎng)絡(luò)威脅出現(xiàn)前就搭建的，并沒有內(nèi)置的外部安全控制措施。理解這些網(wǎng)絡(luò)如今面對(duì)的首要威脅，是改善它們安全態(tài)勢(shì)的第一步。

一、工業(yè)網(wǎng)絡(luò)外部威脅——APT、針對(duì)性攻擊及其他

針對(duì)ICS網(wǎng)絡(luò)的外部網(wǎng)絡(luò)攻擊，可能是由政治利益方(民族國家、恐怖組織或激進(jìn)黑客)支持的，但也可能部分出于工業(yè)間諜活動(dòng)?；趯?duì)手的動(dòng)機(jī)，此類攻擊的目的多種多樣。比如說，若出于政治動(dòng)機(jī)，攻擊的目標(biāo)更有可能是造成運(yùn)行中斷和物理破壞，而工業(yè)間諜攻擊的目標(biāo)，更多考慮的是竊取知識(shí)產(chǎn)權(quán)。今天，大多數(shù)產(chǎn)業(yè)，尤其是涉及關(guān)鍵基礎(chǔ)設(shè)施的那些，更容易被出于政治動(dòng)機(jī)的攻擊盯上，它們的目的，就是引起運(yùn)行中斷和物理破壞。

即使那些因?yàn)椴簧硖庩P(guān)鍵基礎(chǔ)設(shè)施行業(yè)，而不擔(dān)心APT或針對(duì)性攻擊的企業(yè)，也容易受到連帶傷害。這是因?yàn)?，意圖引起運(yùn)營系統(tǒng)中斷的政治動(dòng)機(jī)ICS網(wǎng)絡(luò)攻擊，所使用的漏洞利用工具，針對(duì)的是所有工業(yè)行業(yè)都會(huì)用到的技術(shù)。此類攻擊無可避免地會(huì)影響到非目標(biāo)企業(yè)及其ICS網(wǎng)絡(luò)。

就拿針對(duì)伊朗的震網(wǎng)蠕蟲來說吧。西門子聲稱，震網(wǎng)感染了至少14家工廠，受感染企業(yè)包括美國能源公司雪佛龍和俄羅斯民用核能發(fā)電廠。

二、內(nèi)部威脅——別有用心的雇員和承包商

關(guān)于IT網(wǎng)絡(luò)的內(nèi)部威脅，已有很多評(píng)述，但工業(yè)網(wǎng)絡(luò)在風(fēng)險(xiǎn)上與IT網(wǎng)絡(luò)是相當(dāng)?shù)?。手握ICS網(wǎng)絡(luò)合法訪問權(quán)的，有雇員、承包商和第三方集成商。由于大多數(shù)ICS網(wǎng)絡(luò)沒有任何身份驗(yàn)證或加密措施來限制用戶活動(dòng)，任何內(nèi)部人士都能在網(wǎng)絡(luò)中任意設(shè)備上自由來去。包括監(jiān)視與數(shù)據(jù)采集系統(tǒng)(SCADA)和負(fù)責(zé)整個(gè)工業(yè)過程生命周期的關(guān)鍵控制器。

這方面一個(gè)著名案例，就是澳大利亞馬盧奇污水處理廠員工反水案。該員工曾就職于為昆士蘭州馬盧奇郡安裝了SCADA系統(tǒng)的公司。后來他申請(qǐng)?jiān)摽な姓?wù)機(jī)構(gòu)的職位未果，便心懷怨恨，用(可能是偷來的)設(shè)備發(fā)布未授權(quán)指令，導(dǎo)致80萬升未經(jīng)處理的污水溢出到當(dāng)?shù)毓珗@、河流，乃至一家凱悅酒店地板上。所造成的環(huán)境破壞相當(dāng)廣泛。

三、人為失誤——或許是ICS最大的威脅

人為失誤無可避免，但卻能導(dǎo)致高昂的代價(jià)。對(duì)很多企業(yè)而言，與人為失誤相關(guān)聯(lián)的風(fēng)險(xiǎn)，或許比內(nèi)部威脅更嚴(yán)重。某些情況下，人為失誤被認(rèn)為是對(duì)ICS系統(tǒng)最大的威脅。

人為失誤包括不正確的設(shè)置、配置和可編程邏輯控制器(PLC)編程錯(cuò)誤，能導(dǎo)致工作流中的危險(xiǎn)改變?？杀煌獠繉?duì)手利用的漏洞，也會(huì)由人為失誤導(dǎo)致。常見人為失誤的例子，可參考為集成商而設(shè)的臨時(shí)連接在項(xiàng)目結(jié)束后還門戶大開的情況。

有些人為失誤，是員工用“創(chuàng)新性方法”搞定工作時(shí)發(fā)生的。比如員工需要遠(yuǎn)程連接ICS網(wǎng)絡(luò)，卻沒有安全信道可用的情況下，他們會(huì)建立一個(gè)自己的未授權(quán)遠(yuǎn)程連接。這種未經(jīng)批準(zhǔn)的連接，可能成為滲漏點(diǎn)，并將工業(yè)網(wǎng)絡(luò)暴露給外部攻擊。

安全挑戰(zhàn)

由于很多ICS網(wǎng)絡(luò)沒有任何身份驗(yàn)證或授權(quán)規(guī)程，保護(hù)ICS網(wǎng)絡(luò)免受外部和內(nèi)部威脅侵?jǐn)_便成為了一項(xiàng)重大挑戰(zhàn)。而且，大部分ICS網(wǎng)絡(luò)還缺乏實(shí)施訪問策略、安全策略或修改管理策略的控制措施，也沒有審計(jì)跟蹤或捕捉修改及活動(dòng)以支持鑒證調(diào)查的日志。

因此，當(dāng)運(yùn)營中斷發(fā)生，很難確定是由網(wǎng)絡(luò)攻擊、惡意內(nèi)部人士、人為失誤，還是機(jī)械故障導(dǎo)致的。這種可見性和控制措施的缺失，限制了運(yùn)營員工及時(shí)響應(yīng)事件的能力，導(dǎo)致運(yùn)營中斷和恢復(fù)工作的整體支出增多。

護(hù)衛(wèi)ICS網(wǎng)絡(luò)

對(duì)工業(yè)網(wǎng)絡(luò)的實(shí)時(shí)可見性，是ICS安全的關(guān)鍵。為防止外部威脅、惡意內(nèi)部人士和人為失誤的破壞，工業(yè)企業(yè)必須監(jiān)視所有活動(dòng)——無論是未知源頭執(zhí)行的，還是可信內(nèi)部人士執(zhí)行的，無論授權(quán)與否。

監(jiān)視控制層活動(dòng)，也就是對(duì)工業(yè)控制器所做的工程改變——無論是通過網(wǎng)絡(luò)進(jìn)行的，還是直接在設(shè)備上進(jìn)行的。這是檢測(cè)由ICS威脅引發(fā)的未授權(quán)活動(dòng)最有效的方法。新型專業(yè)化ICS網(wǎng)絡(luò)監(jiān)視和控制技術(shù)，可以提供深度實(shí)時(shí)可見性，可供識(shí)別惡意或可疑活動(dòng)，采取預(yù)防措施以控制或預(yù)防破壞。