网络安全打击家庭

栏: 网络安全实施的资源

随着新年的到来，发电厂和大型电力公司的网络安全活动迈出了重要一步。NERC CIP(国家电力可靠性公司，关键基础设施保护)法规即将生效，该法规要求大容量电力的生产商和分销商采取特定的安全预防措施，以确保不间断的输送。这些要求以对违规者处以巨额罚款的形式生效。

许多非公用事业行业的公司都在关注这一情况，期望类似法规的部署迟早会扩展到其他垂直行业。近一两年，工业网络安全问题发展更加激烈。其中一个事件是大约一年前美国中央情报局(CIA)的一份报告，称一家海外公用事业公司遭到网络攻击者的成功入侵，他们实施了勒索计划。严肃的黑客行为(见图表)的性质已经从单纯的娱乐扩展到犯罪、恐怖主义，甚至是国家支持的间谍活动。这种升级要求作出适当和有力的防御反应。

NERC CIP法规的实施被比作2002年通过后围绕萨班斯-奥克斯利(SOX)的混乱。艾默生电力和水务部门的SCADA和安全业务开发经理Eric Casteel也认识到了这一点。他表示:“当《SOX法案》的合规性出台时，几乎没有什么指导，解释也大相径庭。”“我们在NERC CIP标准中看到了同样的情况。一些客户正在采取高姿态，希望采用最佳实践，以便在审计中获得“A”。有些人只想拿个“C”及格。有些工厂试图说，我们不是关键资产。他说，如果他们没有黑启动设施，发电能力也不是很大，他们可能有理由这么做。但是当你考虑电网的整体安全性时，你会发现只有最弱的部分才是最强大的。在某种程度上，监管机构会回来说，每个发电、输电和配电供应商都必须实施这些措施，不管它是否是关键资产。”

黑客可以有各种各样的技能和动机来侵入您的系统。这些特征是一般性的，但暗示了可能存在的东西。业余爱好者并不难抵御，但一个熟练的和有动机的恐怖分子或罪犯是不同的故事。

从哪里开始呢?

如果您在电力公司或其他行业工作，您如何开始为您的DCS(分布式控制系统)，SCADA(监控和数据采集)或其他工业控制网络实施基本的网络安全实践?这样的项目应该从评估你现在的情况开始，特别是盘点你网络上的所有设备，它们连接的是什么，以及它们上运行的是什么软件。这是找出黑客如何从外部进入您的系统并设置适当屏障的第一步。

西门子能源与自动化公司过程自动化系统营销经理Todd Stauffer说:“用户通常对他们实际的系统架构和连接感觉很差。“很多东西直接或间接地与控制网络相连，而负责过程的人几乎无法控制这些网络。人们应该做的第一件事是确定他们真正的系统架构是什么，它可能与他们认为自己拥有的有很大的不同。一般来说，人们总是会发现他们没有意识到的联系。”

David Rehbein是艾默生过程管理公司的高级数据管理解决方案顾问，在为微软工作期间，他从事了多年的网络评估工作。他同意进行评估是关键的第一步。“这些系统清单可以嗅探你网络上的每个IP地址，并且经常会出现一些甚至没有人知道的事情。有人进来，在网络上放了一些东西，却忘了告诉IT部门，突然之间，你的系统上就有了一个恶意的客户端或服务器。如果你不知道它的存在，你就不知道它是否在正确的水平上被修补。你不知道它是否安全。你不知道它是否运行了病毒检查软件。”

了解你的联系

以孤岛形式存在的控制系统很容易受到保护，但这些控制系统很少仍然存在。当管理层想知道工厂的情况时，获取信息最简单的方法就是查看控制系统。这意味着与企业网络的连接，而企业网络无疑是与Internet相连的。如果这个连接没有得到很好的保护，这就是一个主要的访问点。一体化程度越大，潜在的进入点就越多。这被称为攻击面区域。

Rehbein回忆起他在微软参与的一个项目:“我们在一天内完成了第一次评估，因为这是一个非常简单的网站。他们的工厂网络和其他任何东西都没有联系。你甚至必须进入他们的大楼才能进入。相比之下，有人想要与客户或瑞士的公司IT部门共享库存或当前生产水平。这需要直接的互联网连接，这为任何人进入你的系统提供了一扇门。”

业务对连接性的需求给运营商和控制系统带来了更大的压力，这打开了潜在的攻击媒介。霍尼韦尔过程解决方案公司开放系统服务全球项目经理Shawn Gold担心企业会失去内部处理问题的能力。增加对外部支持的依赖意味着增加切入点。他警告说:“与外部世界的任何联系都有风险。”“但是你有更大的需求，特别是在今天的经济中，允许更多的外部服务和资源来帮助你。您可能已经记录了所有这些连接，这是一件好事，但是可能会发生未记录的连接，或者为了处理紧急情况而发生的临时连接。这可能会带来安全风险，所以你需要知道在紧急情况下你必须做什么，以及在困难时期你必须做些什么来保护自己。”

监控软件

除了连接之外，您还需要知道网络上驻留了哪些软件。这一点至关重要，主要有两个原因:一些软件有可能被黑客利用的漏洞，以及编写得不好的程序可能在内部造成问题。

霍尼韦尔过程解决方案全球安全架构师Kevin Staggs建议:“每次增加软件，就会增加攻击面。”“你可能会引入一些不必要的软件，导致系统与其他一些必要的控制软件发生冲突，然后导致系统失败，然后你就会发生视线缺失事件。有时软件编写得不够好，导致内存泄漏。我们发现的一个防病毒系统补丁存在内存泄漏，使用该程序的控制系统在内存耗尽之前可以运行大约35天。当这种情况发生时，显示屏上就会出现严重的减速或警告，操作员不知道该怎么做。”

斯塔格斯补充说，这些有问题的程序可能会产生与黑客引入的恶意软件类似的后果。如果程序没有经过控制系统供应商的彻底审查，它们可能会导致可能不会立即显现出来的冲突。他建议:“这是一个非常好的变更管理程序的问题，当你执行变更时，确保你在之前检查基准性能，之后立即检查，并观察一段时间。如果你使用这种严格程度，你就可以发现问题。”

当你知道你的网络上有什么时，你就会知道你是否必须处理一个特定的问题。西门子的Stauffer警告说，白帽组织会发布他们在通用软件平台中发现的漏洞，以迫使供应商修复这些漏洞。他说:“他们没有意识到，他们把整个系统搞得一团糟。”“当遗留系统的漏洞被公布在互联网上供所有人看到时，人们被迫做一些他们还没有准备好的事情。这足以告诉黑客在给定的系统中应该瞄准什么。隐晦的安全?忘记这一点。你系统的弱点会被公布在网上。”

咨询您的供应商

您可以采取的最简单的步骤之一是咨询最初构建系统的供应商。大多数公司可以根据收集到的经验提供指导、案例研究、最佳实践和其他建议。

在这里讨论网络安全的许多方面并不实际。人事政策、管理买进、物理安全、纵深防御等等，都会影响战略。许多组织和公司已经制作了工业系统网络安全方面的资源。本文附带的侧边栏是开始您的研究的绝佳场所。永远记住，没有终极答案，也没有绝对的安全。您所能期望的最好结果就是拥有比攻击者更强的保护级别。

作者信息

Peter Welander是过程工业编辑。打电话给他。PWelander@cfemedia.com．

网络安全实施的资源

控制工程网络安全博主Matt Luallen和Steve Hamburg编制了一份他们最喜欢的资源清单，并在每个资源上发表了评论。在线阅读这个侧边栏

我们可以使用许多资源来适当地“保护”过程控制系统。确保过程控制系统的安全需要适当的深度防御控制，例如获得管理支持、执行评估、识别风险因素、选择补救方案、获得管理支持，以及在获得管理支持后有效地集成适当的技术、程序、安全意识和培训计划。不要忘记获得管理层的支持。

有许多可供选择的方法来提供有关该过程的教育;然而，最好的出发点是回顾并彻底理解以下内容:

1.NERC CIP(北美电力可靠性公司，关键基础设施保护):这些是影响大型电力系统组织的重要网络安全标准。它们也适用于其他支持过程控制的垂直行业，如航空、铁路、废水处理、天然气、炼油厂、化工和制造业，因为它们也被国际上视为关键的基础设施。NERC CIP是第一个可以实施制裁的网络安全标准，其中包括对遇到的违规情况每天罚款高达100万美元。SCADA和DCS系统的其他垂直行业正在审查该标准，因为它被确定为更大的关键基础设施保护标准。NERC CIP标准可在

2.爱达荷国家实验室国家SCADA试验台和国土安全部控制系统安全计划:该计划提供了关于安全意识、安全评估和安全架构的许多细节。它的范围也很大，很难驾驭。我们特别推荐的一个项目是控制系统的网络安全采购语言，位于

3.NIST SP 800-82(美国国家标准与技术研究所特别出版物):这份新文件提供了保护工业控制系统的指南。最终版本将在2008年11月30日第三次也是最后一次公众意见征询期结束后公布。您可以在此下载最终草案文件

4.ISA 99:本标准提供了建立和操作控制系统安全程序的细节。该标准的第4部分对控制系统安全性与传统IT安全性的区别提供了额外的澄清。去

5.传统的IT解决方案，如信息和相关技术控制目标(CObIT)、ISO 27005和ISO 17799:存在许多IT控制和安全框架，可以支持工业控制系统环境中的基础工作。传统的IT业务系统和流程控制系统相互连接，以提高效率和降低成本;因此，将特定的it和过程控制操作协同结合起来是合适的。关键的问题是如何定义联合操作系统和单独操作系统之间的适当分界点?找到答案是一个挑战，这将具体到组织和行业。

许多组织已经制定了针对SCADA系统的标准，包括:ISA、ISO、IEC、API、AGA、ChemITC、DHS CSSP、PCSF、CIGRE、NSTB、IEEE、EPRI、I3P、NERC和NIST。为了协助所有关键基础设施应对普遍存在的安全挑战，控制工程将继续通过其网络安全博客以实际和应用的方式澄清这些标准。

关于纵深防御的重要参考文献

David Kuipers和Mark Fabro撰写的《控制系统网络安全:深度防御策略，2006年5月》被认为是工业网络安全武库中的经典文件。法布罗是Lofty Perch公司的总裁兼首席安全科学家，曾与美国国土安全部和爱达荷国家实验室(INL)进行过广泛的合作。关于论文的发展，他是这样说的:

“由于国土安全部控制系统安全计划(CSSP)与私营部门密切合作，探索的主要想法之一是如何在以前孤立的大型系统中建立有效的网络安全。融合问题，再加上一些“专用”技术固有的年龄和操作上的细微差别，使得当代网络安全解决方案不可行。资产所有者和运营商已经表明，一些措施，如IDS(入侵检测系统)和防火墙，可以有效地使用，而不会影响运营。需要一种解决方案，为资产所有者提供指导，以利用经过验证的安全实践，既不会破坏他们的系统，又能降低网络风险。

“深度防御模型使用的概念是，可以在控制体系结构的不同级别上应用适当的安全级别，这样所有安全元素的集合就会创建一个广泛的安全防御态势。创建实践指南的方法是让读者了解控制系统环境中可能存在的一些更常见的漏洞，以及安全解决方案的适当部署如何帮助减轻这些漏洞。目标是利用CSSP从涉众那里收集的所有反馈，提供关于如何满足他们需求的见解，并创建可由感兴趣的社区审查的指导。最终，该产品是由寻求指导的利益相关者审查的，其影响是非常积极的。现在，我们有了一种推荐的实践方法，可以深入了解几种经过验证的方法，这些方法可以确保控制系统架构的安全，并以保持安全性和性能之间平衡的方式完成。”

您是否具有本内容中提到的主题的经验和专业知识?您应该考虑为我们的CFE媒体编辑团队做出贡献，并获得您和您的公司应得的认可。点击在这里开始这个过程。