网络安全风险随着运营和IT技术的混合而激增

可用于学习网络安全框架的资源;接收警报、咨询和报告。

通过肯·汉斯 2017年5月10日

作为一个技术概念，“工业物联网(IIoT)”一词指的是智能传感器的不断普及和更好的连接方式。然后，这些设备和手段被用于整个能源部门的各种工业资产的控制和管理，包括中游石油和天然气和电力传输。

支持iiot的技术不仅增强了实时监控资产性能的能力，还支持从远程位置管理SCADA。在过去，工业控制系统(ICS)与企业IT网络是分开的。今天，工业物联网的前兆和日益流行的工业物联网模糊了过程技术和信息技术之间的界限，在安装plc、SCADA和ICS的地方创造了新的网络安全暴露向量和增加的威胁脆弱性。

由于这些操作系统适应了开放标准，数字时代的IT基础设施，增强的连接将包括有线和无线技术的组合，而不是硬连线和线性。运营技术的数字化带来了好处，包括提高生产力和更可靠的能源供应。

不幸的是，这也使得恶意行为者更容易侵入操作系统并远程控制关键能源基础设施，或对其造成灾难性破坏。或者，黑客可以秘密地访问操作系统，从ICS内部悄悄收集数据，然后与“不良分子”共享这些数据。

日益增长的威胁

这种威胁不是假想的。全球能源行业已经经历了一系列重大事件。据报道，远程网络安全攻击被用于导致2008年土耳其管道爆炸。2015年12月，乌克兰发生了首次成功破坏公共能源电网的事件，攻击者使用鱼叉式网络钓鱼活动获取管理员证书，然后远程访问SCADA网络并停止供电。由此造成的停电影响了超过23万名客户。

同样在2015年，针对美国天然气和地热电力公司Calpine Corp.的一次重大侦察和数据泄露攻击，攻击者从伊朗的IP地址运行，发送了一个特洛伊木马，建立了对该公司网络的远程访问，包括其运营技术环境。黑客偷走了1.9万多份文件，包括详细描述这家能源公司网络架构的图纸;用于管理燃气轮机、锅炉和其他关键设备的设备;以及全国各地设施与Calpine Corp.云环境之间的数据流映射。

就在最近的2016年，美国司法部透露，伊朗特工使用蜂窝调制解调器入侵了纽约州拉伊(Rye)一座大坝的指挥控制系统。最后，在2016年12月发表的一份令人震惊的警告中，联合国副秘书长扬·埃利亚松谈到了针对核电站的潜在黑客攻击威胁日益增长。

虽然任何行业的网络安全攻击都可能导致中断或破坏，给企业和个人造成损失，但能源行业的网络安全攻击损害SCADA可能是灾难性的，甚至是致命的。出于这个原因，在其他行业开发的安全措施，如虚拟专用网络(VPN)、防火墙和防病毒技术，根本不够复杂，无法防止专门针对能源行业工业控制系统的高级网络攻击。

确保当今能源基础设施的安全，需要结合复杂的网络安全框架、培训和软件解决方案，专门用于解决我们的行业在数字时代面临的独特威胁。

信息来源

正如你可以想象的那样，美国联邦政府与工业网络安全相关的职能分散在几个部门和机构中。您可以从以下几个地方开始寻求对能源行业网络安全的更多了解:

  • 美国能源部发布的“网络安全框架实施指南”包括促进关键基础设施保护的标准、指南和实践。
  • 美国的石油和天然气运输和分配管道网络是由负责美国440个机场安全的运输安全管理局管辖的。油气管道管理者可以参考运输安全管理局“管道安全指南”中的网络安全建议。
  • 美国联邦能源监管委员会(FERC)是一个独立的机构，负责管理电力、天然气和石油的州际传输。北美电力可靠性公司(NERC)已被FERC认证为国家“电力可靠性组织”，已为电力智能电网开发了关键基础设施保护(CIP)网络安全可靠性标准。

请注意，虽然这些标准是一个很好的开始，但遵循它们的建议并不是强制性的。此外，它们没有为有效应对迅速演变的威胁所需的持续改进和适应创造动力。

此外，SANS研究所的“CIS关键安全控制”为实施专门针对关键基础设施的网络安全和风险管理计划提供了指导。SANS研究所成立于1989年，是一个合作研究和教育组织。它说，它是世界上最大的信息安全培训和安全认证来源。

除了采用框架之外，能源资产所有者和运营商还应制定适当的支持管理实践，包括员工培训、绩效跟踪指标和与其网络安全计划相关的商业智能。

安全的文化层面

能源公司必须建立一种风险管理文化，专注于识别和预防网络安全漏洞。这与过去美国和欧洲形成的识别和消除对个人和基础设施人身安全威胁的文化大致相同。安全的文化方面尤其值得关注，因为员工往往是网络安全中最薄弱的环节之一。许多(如果不是大多数)入侵的原因是，个人无意中向黑客提供了系统访问权限，成为鱼叉式网络钓鱼活动的受害者，在这些活动中，恶意的电子邮件附件被打开，或者笔记本电脑或USB驱动器不适当地连接到网络。

从管理人员到工程师再到操作员，组织各个级别的员工都应该接受适合其工作角色的持续网络安全培训。负责操作技术的操作员和工程师必须具备识别和解决威胁载体所需的知识。能源公司必须让这些人成为网络防御的第一道防线。

能源资产所有者和运营商可以利用SANS研究所的全球工业网络安全专业认证计划，该计划培训ICS运营商如何最好地识别和应对网络攻击。美国国土安全部的工业控制系统网络应急响应小组(ICS-CERT)也提供面对面和在线培训课程。

能源部门

能源公司必须设计他们的系统，以尽量减少不良行为者从远程位置访问系统的可能性。专门为能源部门的工业网络设计的威胁检测工具可用。与通用IT安全解决方案不同，专为工业能源部门设计的技术可以帮助识别安全事件、工业过程网络中的故障或滥用、服务中断、ICS中的异常和其他相关参数。

在网络安全解决方案中寻找的重要特性包括机器学习、完全被动的能力以及提供态势感知的能力。机器学习使工业网络安全解决方案能够动态地映射整个网络，并“学习”工业流程，例如每个PLC“接触”什么，无论是控制阀、开关、执行器还是其他设备。

有了这些知识，网络安全解决方案可以实时识别在正常的工业流程周期中是否发生了不寻常的事情。完全被动的能力意味着解决方案应该是非侵入性的，需要零停机时间，零中断现有的工业控制网络来安装、设置、学习和监控网络。

对于能源领域的网络安全解决方案来说，重要的是能够对特定安全事件提供态势感知。随着能源基础设施中传感器和数字技术的不断增加，运营商可能会被来自多个系统的大量数据所淹没。原因很清楚。如果没有适当的情境上下文，仅仅创建关于原子事件或异常的警报，将无法为操作人员提供所需的洞察力，从而做出快速和适当的响应。

网络安全解决方案可以将个别异常与威胁事件关联起来，并向运营商和工程师展示感知到的威胁级别以及采取适当行动所需的背景，以避免服务中断、损坏或停机。

随着能源领域数字驱动的物联网技术的传播，对ICS的网络安全威胁正在不断增加和演变。但是，通过采用详细的网络安全协议、教育计划和专门为这些能源部门的关键基础设施设计的解决方案，使我们的关键基础设施更加安全和有弹性，公司可以最大限度地减少网络漏洞，更好地保护工业基础设施免受不断增长的工业数字化带来的新威胁。

勒索软件的扩散导致网络安全攻击的增加

博思艾伦(Booz Allen)最近的一份简报证实，鱼叉式网络钓鱼仍然是网络安全攻击的主要方法。这是“秘密狼行动(2016年最大的ICS攻击活动之一)的初始攻击载体，以及对德国钢铁厂和乌克兰电力分销商的攻击，这是[2015年]披露的两个最具破坏性的攻击，”博思艾伦汉密尔顿工业网络安全威胁简报称。

2015年和2016年，尽管许多入侵未被报告，但已知至少发生了15起重大工业事故。虽然目前还没有关于勒索软件攻击工业控制系统的报道，但十多年来，脆弱性已经是一个众所周知的事实。今天的不同之处在于，比特币数字货币的可用性使犯罪分子可以从攻击中获得经济利益。随着企业和其他可能的勒索软件目标变得越来越难以渗透，攻击者可能会转向工业控制系统作为更容易的目标。运营商应该安装入侵监控系统，以便在攻击者的数字攻击渗透到过程控制网络时发出警报。

通过企业的方式

Booz Allen根据国土安全部(Department of Homeland Security)的一项研究得出的结论证实，通过企业网络渗透控制网络的情况也在增加。虽然企业入侵事件仍然很低，在2015年报告的事件中占12%，但在此期间，试图通过企业网络进行的入侵数量增加了33%。2015年，控制运营商报告的事故总数上升了20%。

博思艾伦表示，对控制系统的攻击可能会导致“切实的影响”，使它们成为攻击的首选目标。与简单地加密文件使其无法访问不同，当企业受到攻击时可能会发生这种情况，对ICS的勒索软件攻击可能会中断操作或阻止对资产的访问。

博思艾伦表示，将勒索软件整合到攻击工具包中，有利于实现一次构建、多次感染的盈利方法。它导致了一支名副其实的攻击者大军，确保了巨大的感染率。据《福布斯》杂志报道，2016年2月，一些变种病毒的感染量估计为每天9万台。事实上，根据加密威胁联盟(Cryptothreat Alliance)的数据，在2015年1月至10月期间，仅Cryptowall 3.0版本就产生了大约3.25亿美元的收入。

没有记录的过去

博思艾伦指出，当ICS通常是无法从备份中恢复的旧系统时，问题只会更加复杂。获得系统软件和配置设置的干净版本也可能很困难。进入系统本身可能很困难，而且可能缺乏受过训练的恢复人员。

报告总结说:“ICS网络上勒索软件感染的频率和严重程度可能会增加。”

肯·汉斯他是黑石科技集团(技术和管理咨询公司)的全资子公司Trellis Energy的副总裁。通过Trellis Energy，它为中游石油和天然气以及电网提供技术解决方案。

欲了解更多信息:

本文发表于工程师的工业物联网补充的控制工程
而且设备工程．

-请参阅下面补充的其他文章。

您是否具有本内容中提到的主题的经验和专业知识?你应该考虑为我们的CFE媒体编辑团队做出贡献，并获得你和你的公司应得的认可。点击在这里开始这个过程。

工程师新产品
搜索产品，发现你所在行业的创新