四大网络安全技术、理念可降低工业网络风险

探索零信任、最小特权原则和其他改善网络安全的方法的品质和好处。重点介绍了四项关键技术和安全概念。

通过凯文·奥特 2022年8月2日

提供:感应自动化

学习目标

操作技术(OT)系统更容易受到网络安全攻击。
零信任方法要求很高，特别是对于棕地应用程序，但它也是最安全的。
主动和被动网络监控、最小特权原则和SIEM集成也有助于保持OT网络的安全。

网络安全的见解

公司需要思考如何适应网络安全形势，并在不减缓公司计划的情况下提供支持。
由于工业物联网(IIoT)，更多的操作技术(OT)网络被连接起来，从网络安全的角度来看，这造成了更大的漏洞。
最终目标是达到零信任状态，这被认为是最好的计划，因为它需要公司里每个人的最大关注和意识。要做到这一点，每个人都需要大量的时间和毅力。

网络安全曾经属于信息技术(IT)领域。那些拥有计算机科学学位的人会封住舱口，锁定珍贵的商品，并阻止入侵者进入IT网络。由于IT网络被视为进入运营技术(OT)网络的唯一途径，这对许多公司来说已经足够了。

潜伏的威胁仍然存在于OT网络的边缘。来自工程师的恶意软件，插入USB密钥或将设备插入网络的物理访问，或偶尔的无线访问都可能让坏人进入。尽管这些事件很严重，但却很罕见，而且许多公司都认为风险是可以接受的。

新的OT网络架构:4种技术、概念

近年来，OT网络的连接程度比以往任何时候都要高。一些组织正在运行平面网络拓扑(“堪萨斯”网络)，而另一些组织正在添加与云通信的物联网或工业物联网(IoT/IIoT)设备和系统。这些新的OT设置通过绕过网络分层或普渡模型而引起了重大变化。

公司需要思考如何适应这些不断变化的环境，并在不减缓公司数字化转型计划的情况下支持这些网络。他们还需要思考如何在保持网络安全警惕的同时实现预期的业务成果。

使用正确的技术可以降低风险。今天，企业和用户应该熟悉四项关键技术和安全概念。

零信任
最小特权原则
被动和主动网络监控
安全信息和事件管理(SIEM)集成。

1.零的信任。

这是过去十年中出现的最重要的安全理念之一，被许多人视为安全领域的新黄金标准。它已经被世界各地的工业公司和军事网络所采用。零信任的思想是假设攻击者可能已经在网络上，而没有被发现。正因为如此，公司不应该信任任何进入设备、服务器和软件的通信。

这一理念就像一个两难境地:如果你不相信沟通，你怎么能沟通?在零信任网络中，作为通信的第一步，所有系统都必须证明自己的身份。身份证明通常通过一些机制来完成，例如使用公认标准的加密流量、用户名和密码身份验证，有时还会以客户端证书或秘密密钥的形式进行其他凭据。这其中的关键部分是一个系统负责证明它是谁。看起来好像它在本地网络上不能用于安全决策，因为任何不良行为者也可能看起来在本地网络上。

棕地工业网络很难实现零信任。许多可编程逻辑控制器(plc)和远程终端单元(rtu)的通信编写方式使所有的门窗都打开。与控制工程师交谈，很明显哪些plc在设计上是不安全的。如果用户可以使用本地协议从监控和数据采集(SCADA)系统连接到PLC或RTU，仅使用其IP地址，则可能是不安全的。假设许多plc和rtu在设计上是不安全的是合理的，包括今天生产的大多数plc和rtu。

如果公司正在保护这些网络，并希望采用零信任的理念，那么有两种选择。一个是替换现有的plc。另一个是消除他们不安全的通信，通常是通过将他们隔离在可以安全的设备后面。许多人使用运行边缘软件的简单工业pc，使这些系统远离主控网络，并使用MQTT Sparkplug和OPC UA等安全协议从它们提供数据和通信。

对于新兴网络来说，情况要容易得多。一些以安全为重点的现代plc被锁定，默认情况下支持零信任策略。MQTT Sparkplug和OPC UA等协议以及Ignition等软件都内置了强大的身份验证和安全性。使用现代设备、协议和软件，同时配置安全设置，可以很容易地采用最佳实践并真正实现零信任架构。

图1:使用零信任方法，网络上的所有东西都必须证明其身份。提供:感应自动化

2.最小特权原则。

这个原则在概念上很简单。其思想是用户的帐户应该只能访问用户需要做的事情。许多组织拥有对所有系统具有管理访问权限的工程团队。如果一个公司遵循这个原则，那么情况就不是这样了。初级工程师只能访问有限数量的系统和有限的功能集。管理这需要更多的工作，但如果用户的帐户被泄露，或者心怀不满的员工决定采取可能损害业务的行动，这也降低了风险。

3.被动和主动网络监控。

许多IT团队都有用于IT网络的监视工具。在OT网络上使用这些也是一个好主意。入侵检测系统(IDS)提供被动监视，这意味着它监视网络流量而不向网络本身添加任何东西。这些系统通常由人工智能和机器学习(AI/ML)支持，以识别模式并试图定位异常。

有时IDS还使用主动网络监视，它在网络上发送通信，并试图与设备通信作为其监视的一部分。主动监控系统有时指向plc或其他设备，以监控它们何时发生变化或这些变化的内容是什么样子。

如果零信任系统到位并且运行良好，那么一旦坏人进入网络，他们很可能就无法做任何事情。然而，这些监控系统旨在帮助IT识别那些不良行为者，并将他们踢出网络，以防止他们试图找到易受攻击的系统。一些活动监视还可以识别意外更改并标记这些更改。

图2:近年来安全需求发生了变化。技术和工艺也随之改变。提供:感应自动化

4.SIEM集成。

大多数公司的IT部门都使用安全信息和事件管理系统。OT网络上的这些工具很容易被忽视，但它们的价值有几个原因。作为日志分析系统，它们可以帮助识别热点并追溯发生的问题。这些系统主要关注安全性，但有时也可用于故障排除和实时系统的IT支持。如果公司有SIEM，而OT系统没有发送安全提要，那么可能值得考虑将SCADA或其他OT系统添加到SIEM中。

安全是一个复杂的话题，如今的制造商需要朝着零信任和更好的安全性迈进。公司和用户对这里强调的概念越熟悉，我们就能共同做出更好的决策。大多数公司还有很长的路要走，但更好的安全是一场马拉松，而不是短跑。最终，工业方面更好的安全对每个人都有帮助。

凯文·奥特销售工程联合主管在归纳自动化他是CFE媒体和技术内容合作伙伴。由网页内容经理克里斯·瓦夫拉编辑，控制工程， CFE媒体与技术，cvavra@cfemedia.com．