网络安全与IT/OT融合:如何为您的团队做好准备

自COVID-19大流行以来，网络攻击有所增加。虽然信息技术(IT)/操作技术(OT)融合仍然是一个热门话题，但在某些情况下，关于工业控制系统(ICS)网络安全的对话却被置若罔闻。ICS在过去20年的发展已经将设计从更安全的专有网络和协议迁移到将通用IT架构和组件引入OT网络。这种迁移涉及的实现范围从从未维护过的碎片化安装到经常维护和更新的智能复杂系统(参见图1)。

在任何一种情况下，将工厂地面连接到IT数据中心的进化转变都产生了暴露点，有可能破坏工业操作，或者在最坏的情况下产生导致损坏、受伤或死亡的安全事故。更多的情况是，公司被勒索赎金。国家安全遭到破坏，全球供应链中断，导致无法估量的后果。网络安全是各种规模企业(从本地制造商到全球工业公司)的关键组成部分。这不再只是It部门的问题;它也是ICS设计的关键OT组件，无论范围或大小。

有效网络安全的要素

在任何网络中，有效的网络安全都需要精心设计的标准、周到的规划和一致的实施。但全面战略的最重要组成部分是将网络安全的价值纳入组织文化。如果组织的每个成员都相信保持所有业务系统安全、可靠和健壮的重要性，那么网络安全实现就更有可能成功。这在OT网络上是正确的，它通常是最脆弱的。工程部门优先考虑正常运行时间和安全，保持流程运行和产品出厂。网络安全是一个关键组成部分，但工厂车间的实际问题往往优先考虑。来自外部的无形潜在威胁更难内化到我们每天都要面对的内置风险登记册中。

这种弱点可能是一个难以克服的障碍。拥有成熟IT组织的大公司倾向于对所有连接到的人规定“您应遵守”他们的网络。当IT/OT收敛没有正确实现时，这可能会导致摩擦。当IT和OT系统在IT拥有的设备上互连时，可能会对生产环境造成严重破坏。如果IT部门在部署系统网络安全更新时没有对ICS进行适当的评估，这可能会阻止机器通信并关闭生产。当生产下降时，首要的关注点就变成了“如何恢复流程并安全运行?”与此同时，工程师们必须弄清楚发生了什么，才能让系统重新上线并正常运行。

理想情况下，他们将通过这个过程与IT部门合作，以确保他们在恢复和运行流程时不会暴露网络安全漏洞，但这种情况并不总是发生。在另一种情况下，较小的公司可能让他们的工程部门执行所有的IT和OT任务。生产是主要关注点，与网络安全相关的IT任务有时会落后。然后恶意软件或勒索软件渗透网络，生产甚至不可能。

在我们的新现实中，网络安全已成为各种规模和行业制造商的必要心态、技能和投资。然而，在急于实施安全网络、管理访问控制和屏蔽工业访问的过程中，许多公司并没有准备好应对网络安全对IT/OT融合的影响。花时间了解IT安全对OT资产的影响是必要的，以确保最安全和可用的网络安全实现。教育、理解和设定适当的期望对于成功的部署至关重要。这些活动有助于改变团队的心态，在他们努力恢复流程时，将网络安全置于安全之后。

与不同行业的运营团队合作，我们经常看到网络分割和访问控制往往具有最大的运营影响。这些区域不仅影响哪些设备可以相互通信，还影响谁可以使用这些设备。

网络市场细分

在ICS世界中采用it网络组件之前，控制网络是专有的，通常是特定于供应商的。网络分割是不同网络类型和协议之间有限的互操作性的优点，以及设计系统物理分离的能力。这些类型的网络相对安全，利用潜力有限。

基于以太网的现代集成电路设计是非常开放的。这种网络的非管理性质留下了重大的网络安全漏洞。如果没有适当的安全措施，环境是脆弱的，并大大增加了不受控制地访问关键系统组件的风险。

通过设计，大多数网络硬件可以配置为适当的网络分割，以限制网络访问。通过保护网络边界，我们可以限制进出车间的访问。通过划分网络，我们可以防止工厂车间的设备访问其他系统。这是深度防御策略的基本原则，其中安装了多层保护来限制攻击者访问系统的能力。这些听起来是不是很复杂?当你聘请正确的人了解如何在OT系统上实现网络分段时，就不会出现这种情况。

虽然这种意识形态已经存在了很长时间，但在现代ICS中的实现可能是复杂的。系统集成商擅长在项目生命周期的早期设计这些控件。设计的复杂性随ICS中使用的规模、第三方接口和设备类型而变化(见图2)。典型的工厂工程师专注于流程或机器正常运行时间和优化，但不具备实施和维护该系统的技能。这为最终用户带来了额外的人力资源，而这正是系统集成商可以提供帮助的地方。该系统的故障排除需要正确的技能:在OT世界中重要的IT知识。

访问控制

使工厂车间协同工作的过程控制网络可能使控制系统面临来自网络以外的威胁。访问控制现在是操作员和系统集成商主要关注的问题，因为许多控制系统资产可以从过程控制网络的任何位置访问。虽然网络访问功能提供了巨大的好处，但它们需要为所有涉及的系统实现安全访问控制。

对于工厂操作人员来说，这可能意味着工厂人员使用的操作程序会发生明显的变化。简单的密码和贴在键盘下的便利贴允许未经授权的用户将工厂的运行和正常运行时间置于危险之中，以短期的便利换取长期的安全。通用管理员和工程帐户缺乏命名用户帐户的安全性和可问责性。这些疏忽使得外部攻击者很容易进入其控制的ICS和自动化设备。

最常见的访问控制系统是微软的活动目录。活动目录是企业访问控制和用户管理模式的基础。如果实现得当，它是跨车间管理用户和权限的安全方法。大多数控制系统都与Active Directory进行了本地集成，提供了一个安全、集中的位置来管理用户。系统集成商可以与团队合作，实现与工厂运行方式一致的活动目录。

考虑一下这个

随着控制系统的不断发展，支持它们所需的基础设施也在同步增长。商用现货(COTS) IT基础设施提供了改进的功能和由能够维护和实现的熟练人员组成的支持基础。正如我们已经适应了科技在日常生活中的应用，我们也必须适应科技在工厂中的应用。大多数用户都认为，工厂内的快速通信、从制造系统的各个方面收集数据以及集中过程控制，远远超过了风险。但是，我们必须了解并减少这些风险，以保护我们业务的安全和数据。与主题专家密切合作并设定适当的期望，为成功实现网络安全对IT/OT融合的影响奠定了基础。

当您进行过程控制网络设计并开始看到单独的通信领域时，请询问这将如何影响操作人员。他们知道哪些系统能够相互通信吗?他们是否明白当他们无法连接到设备或服务器时，网络就坏了?还是按照设计运行?设置这些期望提供了一种理解的感觉，并允许操作人员依赖于此基础设施来拥有系统。

哈格罗夫控制和自动化的成员吗控制系统集成商协会．

您是否具有本内容中提到的主题的经验和专业知识?你应该考虑为我们的CFE媒体编辑团队做出贡献，并获得你和你的公司应得的认可。点击在这里开始这个过程。