運營技術

如果沒有交通信號燈、大量生產(chǎn)的食物、按一下按鈕的能源或容易獲得的汽車燃料，生活會是什么樣子？

運營技術 (OT) 使所有這些事情發(fā)生，并以明顯或隱蔽的方式滲透到我們的生活中，自動監(jiān)控和控制對于手動操作來說太危險、太苛刻或太單調的流程和設備。

OT 被定義為與物理世界交互的技術，包括工業(yè)控制系統(tǒng) (ICS)、監(jiān)控和數(shù)據(jù)采集 (SCADA) 以及分布式控制系統(tǒng) (DCS)。

IT 網(wǎng)絡安全傳統(tǒng)上關注的是信息機密性、完整性和可用性，而 OT 的優(yōu)先事項通常是安全性、可靠性和可用性，因為顯然存在與 OT 故障或故障相關的物理危險。許多企業(yè)都致力于為客戶提高 OT 流程效率和可靠性，這通常會增強與企業(yè)技術和互聯(lián)網(wǎng)的連接性。這種融合有可能增加系統(tǒng)漏洞，但可以通過采用健全的風險管理原則來解決，無論底層系統(tǒng)類型如何，這些原則都是相同的。

許多OT環(huán)境是關鍵國家基礎設施的一部分，因此它們控制的服務中斷可能會引起關注。

如果在部署、操作和維護企業(yè)技術時考慮到網(wǎng)絡安全，那么組織面臨的大多數(shù)網(wǎng)絡攻擊都將是無效的。本指南解釋了組織應如何利用企業(yè)技術來阻止網(wǎng)絡攻擊。

我們所說的“企業(yè)技術”是指用于運營組織的 IT。這包括：

• 工作人員手中的設備
• 保存和處理信息的系統(tǒng)和服務
• 將它們連接在一起的網(wǎng)絡
• 這些操作的方式

這里的建議適用于絕大多數(shù)信息。可以進一步增強安全建議，但這樣做會增加成本，但幾乎沒有什么好處。

網(wǎng)絡安全企業(yè)技術原則

在制定本企業(yè)指南時，假定遵循以下原則：

• 企業(yè)技術需要明智且務實的安全性來支持  該技術的用戶。干擾用戶期望與技術交互的方式的安全性是 糟糕的安全性。
• 您做出的有關保護企業(yè)技術的決策將基于風險管理，并由正確的治理安排進行驗證和執(zhí)行。
• 提出的任何建議都需要進行調整以滿足特定情況，因此應將其視為合理的起點，而不是強制性的清單。
• 一定比例的設備在其部署壽命期間會丟失或被盜；未經(jīng)授權訪問此類設備的人不應能夠訪問其上存儲的信息或該設備可以訪問的系統(tǒng)。
• 產(chǎn)品和服務在其生命周期中會發(fā)現(xiàn)漏洞；您的方法應確保單個漏洞不會對您組織的安全造成災難性影響。
• 您的方法不會提供針對零日攻擊的完美保護，但它將避免零日攻擊造成太大損害，并盡快緩解漏洞。
• 一定比例的網(wǎng)站和應用程序被故意設計來欺騙用戶，或損害與他們交互的設備。期望用戶提前知道哪些應用程序、附件、鏈接和服務不安全是不可能成功的。該方法將最大限度地減少此類事件發(fā)生的可能性，并最大限度地減少發(fā)生時造成的危害。
• 不受信任的網(wǎng)絡將被更頻繁地使用。隨著我們越來越多地使用互聯(lián)網(wǎng)和移動網(wǎng)絡來連接服務，將辦公網(wǎng)絡視為“物理安全”鏈接不再有用。該方法將保護在設備和服務之間傳輸?shù)拿舾袛?shù)據(jù)，并保護設備和服務免受基于網(wǎng)絡的攻擊。
• 網(wǎng)絡安全緩解措施并非萬無一失；有時攻擊者 會 成功。從長遠來看，采取措施確保您能夠檢測到網(wǎng)絡攻擊何時發(fā)生（并了解如何快速從中恢復）將帶來好處。

最終用戶計算

確保企業(yè)技術安全的第一步是選擇、配置和操作員工每天使用的設備。

不同的平臺（例如 Microsoft Windows 或 Apple iOS）具有不同的安全屬性，它們的配置方式也會影響它們提供的安全性。我們的最終用戶設備指南 將幫助您了解各種設備的安全屬性，并幫助您做出明智的決策。它還包括建議的配置，供您在首次部署設備時采用作為起點。

除了組織提供的設備之外，可能還希望允許員工使用自己的 設備來訪問某些企業(yè)服務。這稱為“自帶設備”(BYOD)。如果考慮采用 BYOD，還需要考慮一些額外的事項，這些內(nèi)容已包含在BYOD 指南中。

聯(lián)網(wǎng)

網(wǎng)絡的功能是將設備連接到服務。作為一般原則，網(wǎng)絡不應該被信任。網(wǎng)絡應被視為不可信的承載。

為了保護敏感信息，應在設備及其上的應用程序以及我們正在訪問的服務之間使用加密。在某些情況下，信任網(wǎng)絡可能很有用（例如將數(shù)據(jù)中心內(nèi)的遺留服務鏈接在一起）。使用物理和人員安全控制來提供這種保護。

• 如果需要保護網(wǎng)絡上兩點之間（例如遠程工作設備和企業(yè)網(wǎng)絡之間，或兩個站點之間）傳輸?shù)乃袛?shù)據(jù)，我們建議使用我們的網(wǎng)絡加密指南實施 IPsec  。
• 如果需要保護一個數(shù)據(jù)流，例如從應用程序到服務的數(shù)據(jù)流，那么傳輸層安全性 (TLS) 更合適。
• 點對點企業(yè)應用程序可能會使用 TLS，但某些應用程序（例如 IP 語音 (VOIP)）通常更適合使用定制解決方案，例如用于實時媒體加密的MIKEY SAKKE 。

過度依賴特定的網(wǎng)絡服務（或提供商）意味著服務問題造成中斷的風險更高，其中一些問題可能是由網(wǎng)絡安全事件引起的。

企業(yè)服務

企業(yè)服務是為企業(yè) IT 提供動力的東西；它們是存儲您的數(shù)據(jù)并可供用戶進行處理和操作的位置。我們使用該術語來涵蓋常見服務，例如電子郵件、文檔存儲、文件存儲、通信服務以及根據(jù)組織需求量身定制的業(yè)務線服務（例如內(nèi)部 Web 應用程序、數(shù)據(jù)庫和工作流程系統(tǒng)） 。

可以選擇在內(nèi)部（在您自己的場所）或商業(yè)云環(huán)境中托管這些服務，或者跨越兩者的混合模型。在決定在哪里運行此類服務時，安全性將是眾多考慮因素之一。

在內(nèi)部運行服務意味著可以對其安全的各個方面負責。這可能是可取的，但取決于是否擁有必要的技能資源。使用有能力的云服務提供商意味著您可以從他們的規(guī)模和安全知識中受益。選擇云服務時，建議根據(jù)的云安全原則對其進行評估 ，以確保了解它們將如何幫助保護信息。

安全運營

如果不在設備、網(wǎng)絡和服務的整個部署期間維護和增強網(wǎng)絡安全性，那么投資于保護設備、網(wǎng)絡和服務就沒有意義。

重要的是不要將安全視為一次性事件，而是需要持續(xù)投資的事情。安全操作描述了保護組織的企業(yè)技術免受最新威脅所需的活動，以及對發(fā)生的安全事件進行持續(xù)監(jiān)控和管理。

防止常見網(wǎng)絡攻擊的最重要活動是使您的企業(yè)技術保持最新狀態(tài)，并應用最新的安全補丁。我們的修補指南可以幫助您了解修補的重要性以及如何確定修補的優(yōu)先級。

安全操作可以在內(nèi)部運行或由第三方提供。的安全運營指南可以幫助做出此決定，并描述了有效的運營團隊應該執(zhí)行的活動。