網(wǎng)絡(luò)安全是一個讓高管們夜不能寐的話題。消費者數(shù)據(jù)泄露和電子郵件黑客事件經(jīng)常成為新聞頭條。事實上，任何連接到互聯(lián)網(wǎng)的系統(tǒng)都有風(fēng)險——包括樓宇自動化系統(tǒng)(BAS)。

對于企業(yè)來說，購買(或創(chuàng)建)BAS，實現(xiàn)解決方案，然后或多或少地忘記它是很常見的，讓整個網(wǎng)絡(luò)和它的控制器單獨存在，有時長達數(shù)十年，直到出現(xiàn)故障。這種心態(tài)可能會創(chuàng)建一個網(wǎng)絡(luò)安全需求得不到解決的環(huán)境。對BAS的入侵可能會危及建筑安全性，并導(dǎo)致關(guān)鍵系統(tǒng)的意外停機，從而對公司(或租戶)的業(yè)務(wù)流程產(chǎn)生連鎖反應(yīng)。

以下是設(shè)施管理者應(yīng)該注意的網(wǎng)絡(luò)安全的三個核心問題。如果不這樣做，就有可能在安全漏洞和網(wǎng)絡(luò)安全事件中付出代價。

1. 定義所需的安全性級別

為了滿足企業(yè)BAS的安全需求，設(shè)備經(jīng)理必須定義BAS控制所需的正常運行時間。也有必要知道在企業(yè)內(nèi)的計算機上存儲了什么類型的信息，以及在網(wǎng)絡(luò)上傳播的信息的類型。

例如，一個生產(chǎn)蒸汽的工廠可能需要與產(chǎn)生蒸汽的鍋爐通信的控制器100%的運行時間，而辦公樓里的熱泵可能只需要20%到50%的運行時間來維持一個房間的溫度。設(shè)備的價值越高，就越有可能成為網(wǎng)絡(luò)攻擊的目標(biāo)。一旦知道了風(fēng)險，就更容易分配資源和保護最關(guān)鍵的設(shè)備。

正確保護網(wǎng)絡(luò)可能是一項代價高昂的工作;如果知道哪些設(shè)備會造成損害，就可以指示在何處應(yīng)用資源。像JACE這樣的組件應(yīng)該被視為高風(fēng)險，因為它是關(guān)鍵設(shè)備，可能有很高的曝光量(如果它們被放置在具有公共IP地址的開放Web上)，并且可能面臨高級別的威脅(它們可能出現(xiàn)在網(wǎng)站shodan.io上，如果攻擊者控制了它，他們就可以控制BAS)。只要正確識別風(fēng)險，就有辦法降低風(fēng)險。

僅僅查看設(shè)備不足以確定風(fēng)險。風(fēng)險還必須通過查看整個組織的風(fēng)險來確定。一個組織必須意識到內(nèi)部和外部的威脅，以造成組織的傷害。對于低風(fēng)險的組織，訪問一個BAS可能是合理的通過一個虛擬私有網(wǎng)絡(luò)和防火墻。必須確定一個可接受的風(fēng)險水平。企業(yè)的高層管理人員需要決定擁有某種訪問級別的好處是否大于訪問帶來的風(fēng)險。

設(shè)備管理人員應(yīng)該意識到，與傳統(tǒng)的MAC/Windows/Linux計算機相比，控制器的安全性要低一些，而這種較低的安全性使得在網(wǎng)絡(luò)上進行旋轉(zhuǎn)操作要容易得多。由于BAS經(jīng)常與主計算機通信，BAS可以用于網(wǎng)絡(luò)攻擊(通過僵尸網(wǎng)絡(luò)控制僵尸設(shè)備)或通過惡意軟件攻擊非BAS系統(tǒng)。如果BAS可以通過虛擬私有網(wǎng)絡(luò)訪問internet或位于開放internet上，讓它與關(guān)鍵任務(wù)或存儲關(guān)鍵任務(wù)信息的設(shè)備進行間接通信是有風(fēng)險的。

在某些情況下，應(yīng)創(chuàng)建專門為BAS設(shè)計的獨立網(wǎng)絡(luò)，以保護網(wǎng)絡(luò)上的其他信息。

BAS的理想配置是讓網(wǎng)絡(luò)采用洋蔥拓撲，通過安全層保護信息。隨著網(wǎng)絡(luò)的深入，通過多種方法確保信息的完整性，安全性也隨之提高。這些方法可以包括防火墻和各種單向網(wǎng)關(guān)，以防止敏感信息通過。深入到網(wǎng)絡(luò)中，安全性會提高，在這些安全性得到提高的區(qū)域中，放置了最關(guān)鍵的設(shè)備，這些設(shè)備可能會影響人們的生活，并且對任務(wù)至關(guān)重要。

在一些情況下，設(shè)備可能希望在BAS中實現(xiàn)無線通信。通常這樣做是為了節(jié)省成本，或者避免在難以到達的地區(qū)拉電纜。在啟動設(shè)備的無線通信之前，設(shè)施管理人員應(yīng)該意識到，比起在不被發(fā)現(xiàn)的情況下直接插入建筑物的網(wǎng)絡(luò)，在建筑物附近對BAS進行無線攻擊要容易得多。

2. 聘用IT人員

IT網(wǎng)絡(luò)管理員知道在網(wǎng)絡(luò)上傳播的信息的類型、網(wǎng)絡(luò)用于通信的協(xié)議、存儲有價值信息的設(shè)備以及網(wǎng)絡(luò)的物理布局。讓IT人員參與可以更輕松地配置BAS安全并將其集成到組織的整體網(wǎng)絡(luò)安全戰(zhàn)略中。例如，一些企業(yè)不希望使用特定的通信協(xié)議或允許協(xié)議的某些特性。例如，在任何形式的數(shù)據(jù)傳輸中允許明文可能會損害總體安全性。聽取It人員的意見并與他們一起工作來找到解決方案是很重要的。

此外，IT人員對關(guān)鍵設(shè)備/信息的了解對于網(wǎng)絡(luò)安全分層非常重要。IT人員可以幫助識別可能包含關(guān)鍵任務(wù)信息的設(shè)備。他們將能夠幫助創(chuàng)建BAS的人實施網(wǎng)絡(luò)劃分，甚至在必要時幫助證明BAS完全獨立的網(wǎng)絡(luò)是合理的。創(chuàng)建BAS的人員必須通知It人員，哪些控制器一旦受到攻擊，可能對網(wǎng)絡(luò)安全產(chǎn)生嚴(yán)重影響，并解釋影響B(tài)AS的網(wǎng)絡(luò)安全事件的物理后果。盡管IT部門經(jīng)常向首席信息官或首席安全官匯報，但也不能認為負責(zé)網(wǎng)絡(luò)安全的人完全了解受損設(shè)備所構(gòu)成的潛在安全風(fēng)險。

許多建筑已經(jīng)有了以太網(wǎng)網(wǎng)絡(luò)，如果沒有幫助，可能很難全面規(guī)劃。IT人員應(yīng)該知道哪些設(shè)備連接到哪些端口。它們還應(yīng)該有一個網(wǎng)絡(luò)布局，以圖形方式顯示內(nèi)容所在的位置。如果創(chuàng)建一個完全獨立的網(wǎng)絡(luò)是不可能的，這些資源將有助于分割BAS網(wǎng)絡(luò)。網(wǎng)絡(luò)布局將幫助每個相關(guān)人員得出合理的結(jié)論，在哪里連接，為什么一個特定區(qū)域是最佳的。

IT人員可以幫助推出BAS的更新。在某些情況下，它們可以為補丁和更新提供遠程訪問。不幸的是，大多數(shù)控制器的補丁和更新常常被推遲。因此，安全漏洞可能在補丁發(fā)布前幾周或幾個月就已經(jīng)存在了。隨著補丁的發(fā)布，對BAS網(wǎng)絡(luò)上的所有設(shè)備進行增量補丁是防止漏洞的最佳做法。應(yīng)聘請IT專業(yè)人員協(xié)調(diào)修補程序，避免網(wǎng)絡(luò)上的任何其他設(shè)備(如防火墻、服務(wù)器和可能已為BAS安裝的其他計算機)出現(xiàn)問題。

3. 制定適當(dāng)?shù)恼吆统绦?/strong>