网络安全低水平风险评估

低水平风险评估通常是在高水平风险评估之后进行的详细分析，有时也会对特定工厂进行分析，以深入评估网络攻击的精确风险估计。一般来说，低级别风险评估侧重于高级别风险评估中报告的最敏感设备，以及与网络攻击的潜在最关键后果相关的设备。

高级别风险评估的目的是宏观地评估攻击的潜在后果，而低级别风险评估则加深了工业控制系统中最薄弱的部分。

低水平风险计算公式如下:

风险=〖威胁〗特定的〖漏洞〗(可利用的〗x〖后果〗事件

低水平风险评价技术标准

下表显示了IEC 62443标准中适用于低水平风险评估的技术标准:

根据IEC 62443的低水平风险评估阶段

低水平风险评估是对影响工业控制系统的潜在网络风险进行微观量化。根据IEC 62443方案，这一活动分为三个主要阶段:

1.识别目标资产，通过关注现有漏洞，从扩展、技术特征和设备组成等方面分析目标资产。

2.网络映射和分析，即通过验证每个子系统和组件的特征来应用潜在威胁。此阶段通过分析网络流量的被动数据包扫描、未经身份验证的扫描或经过身份验证的扫描(取决于网络是在外部还是在内部进行研究)以及最后通过软件进行基于代理的扫描来识别所有可利用的漏洞。

3.社会工程和访问分析，即对可被人为因素利用的脆弱性进行有针对性的分析，特别注意外部人员的干预，通常负责基础设施的普通和特殊维护。此阶段还考虑外围安全部分的访问控制。

从低水平风险评估之前收集的数据开始，即与高水平风险评估一起，我们的ISA99/IEC62443认证的内部专家提供一整套服务符合IEC 62443标准定义的网络安全生命周期。我们在工业自动化方面久经考验的专业知识使我们能够在前一段所述的低水平风险评估的所有阶段为客户提供支持。

底层网络安全风险评估服务分为4个阶段:

1. 脆弱性评估、网络映射、社会工程和访问管理分析
2. 低水平风险评估(初步)，即发布包含前一点分析结果的初步分析报告
3. 对初步分析结果进行评估，与负责工业控制系统安全的内部人员分享，并讨论要计划的后续行动
4. 低水平风险分析(最终)，通过向内部工作人员提供实施补救计划(即包含最合适缓解措施的计划)所需的信息，完成详细的风险分析。

-这篇文章最初出现在H-ON咨询公司网站．在咨询是CFE Media内容合作伙伴。编辑克里斯Vavra，网络内容经理，控制工程，CFE媒体和技术，cvavra@cfemedia.com．

原创内容可在h-on.it．

您是否具有本内容中提到的主题的经验和专业知识?您应该考虑为我们的CFE媒体编辑团队做出贡献，并获得您和您的公司应得的认可。点击在这里开始这个过程。