结果驱动的ICS风险管理

作为工业控制系统(ICS)安全管理人员，我们知道网络攻击者的技能远远超出了传统的信息技术(IT)入侵和数据泄露技术。他们早就将目光投向了操作技术(OT)环境，并展示了对ICS的理解和开发支持ICS的攻击工具的技能，以获得访问权限并造成负面影响。

网络安全攻击通常侧重于内部系统破坏，对ICS的后果更大，本质上也可能是外部的，因为攻击可以影响人员和环境的安全，这取决于设施的类型。ICS入侵可能会改变物理变化，并带来潜在的灾难性后果——例如，考虑一个受损的安全仪表系统(SIS)，该系统无法监控并安全地关闭过压条件下的天然气管道。

现代ICS网络攻击规模更大的后果包括:

• 大城市和整个地区的电网大面积停电
• 关键制造设备故障
• 巨大的商业财务损失
• 大城市智慧城市应急基础设施瘫痪
• 工厂工人受伤
• 环境破坏严重。

ICS入侵将继续发生，并可能在关键基础设施部门增加其严重程度和后果范围。然而，管理控制系统网络风险和战术ICS/OT防御是可行的，它可以保护关键资源，并专注于恢复，提高弹性，减少平均恢复时间。

主动ICS网络防御和事件恢复

无论你是新手，有经验的还是“升压式、跨越式或就地ICS安全管理器——一篇博客的标题SANS ICS418:管理人员安全要点当然，你会做得很好，专注于特定于ics的防御，以防止对手进入工业网络。然而，与此同时，为了在攻击发生之前保护关键基础设施，您需要与工程团队合作，改进恢复流程，以提高未来的弹性。

作为ICS安全经理，我们需要支持我们的团队并带领他们走向成功。这首先意味着将我们的团队成员和技术定位在一个积极防御的位置网络安全的滑动尺度．主动网络防御是训练有素的ICS分析人员利用技术监测、响应和从控制网络内部的威胁中学习的过程。主动防御是建立在ICS网络架构之上最有效的，其次是被动防御和记录资产清单。

正确的资产库存信息，以帮助快速恢复

ICS资产识别可分解为四种方法，由您的团队单独完成或组合以提高准确性:物理检查、被动流量分析、主动扫描和配置分析。每种方法都有不同的风险和完成所需的时间。

您的团队可以采取的建立ICS资产清单的实际步骤是将物理检查、配置分析和被动网络流量捕获结合起来，例如:

1. 首先检查任何已经创建的网络图和工程文档(如“构建文档”)，以捕获据说正在生产中的资产。
2. 使用至少带有基本电子表格应用程序的加密笔记本电脑，在物理现场演练期间开始编目和存储ICS资产信息。进入现场时，不要忘记携带安全培训证书和个人防护装备。
3. 通过使用全管理交换机的SPAN配置或硬件网络TAP，在承载关键ICS资产(plc、数据历史记录、人机界面(HMIs)和工程工作站)的关键网段上使用被动网络数据包捕获来增强物理检查。
4. 确保现场设备配置被安全记录、存储，并可在事故期间进行比较，以便工程人员可以在恢复工作期间恢复/重新加载当前未受污染的项目文件和设备设置。

至少，您的团队应该从常用的目标关键资产(如plc、数据历史记录、hmi和工程工作站、核心网络设备和正在使用的活动SIS)中捕获以下属性。这可用于了解基于漏洞披露的风险面，并帮助绘制通过情报来源获得的对手谍报技术的保护图。

-这最初出现在SANS协会网站．SANS研究所是CFE媒体和技术内容合作伙伴。

您是否具有本内容中提到的主题的经验和专业知识?你应该考虑为我们的CFE媒体编辑团队做出贡献，并获得你和你的公司应得的认可。点击在这里开始这个过程。