集中式网络安全不能为OT带来价值的六个原因

许多行业领袖在经营他们的企业时都有一种错误的安全感。挪威海德鲁公司(Norsk Hydro)、Hexion公司和momenttive公司在2019年面临的勒索病毒事件造成了相当大的运营中断，这对所有行业组织都是一个警告。根据IBM的数据，2019年针对工业目标的网络攻击翻了一番。根据ITIC的数据，包括制造业、公用事业和医疗保健在内的9个关键垂直行业的停机时间平均成本达到每小时500万美元，它们不仅会破坏信息技术(IT)基础设施，而且还会影响运营技术(OT)网络，造成更昂贵的影响。波耐蒙研究所在2018年和2019年对公用事业和制造业公司进行的调查显示:

• 56%的受访者报告每年至少有一次停机或操作数据丢失，许多人报告了涉及OT的事故造成的停机、损坏、伤害甚至环境后果。
• 内部威胁占OT攻击的大多数
• 45%的组织经历过涉及物联网/OT资产的攻击。

虽然网络攻击持续增加，但许多公司在管理OT网络安全风险方面准备不足。波纳蒙研究所的调查也强调了OT和IT安全之间缺乏一致性，在员工中发现和培养工业网络技能的困难，以及错误地认为为IT设计的保护措施对OT是组织面临的一些主要挑战。原因包括

• IT或信息系统(IS)团队对OT系统、操作和环境的知识不足
• OT团队缺乏网络安全专业知识，
• 运营领导层在网络安全方面缺乏足够的参与
• IT/IS团队中的职业偏见。

在工业4.0时代，OT连接迅速扩大，网络攻击的速度和复杂性不断提高，以及如何有效管理OT网络安全的不确定性，这些因素结合在一起，使许多工业公司面临重大的财务和运营风险。

集中式网络安全方法——对OT来说成本高，效率低

IT/IS团队经常被要求领导OT网络安全工作，以利用潜在的成本协同效应和他们的网络安全知识。对于他们来说，探索并大力倡导将It安全实践应用于OT的机会是很自然的。这些IT安全实践主要依赖于集中化、早期检测和标准化来实现规模经济。从理论上讲，通过使用现有的网络安全工具(如分割)、集中式安全操作(在检测到入侵时进行监控和响应)以及将标准化的端点安全工具应用于边缘设备和系统，将它们扩展到OT应能实现大规模的成本效益。它还最大限度地减少了变更管理和跨职能参与的需求，因为它主要由中央is团队使用最新和最好的技术工具进行管理。

然而，这两种网络的预期用途有根本的不同。在IT方面，设备大多是通用计算设备(例如计算机、电话、服务器等)，网络性能变化对核心业务的影响更大，而不是真正的破坏，标准化的端点安全工具(例如反病毒)很容易应用和维护。相反，连接到OT网络的信息物理系统是特殊用途的设备(例如麻醉机、计算机数控[CNC]机等)，安装用于以特定方式运行并支持操作中的特定过程。因此，标准化的端点安全工具不能应用于这些特殊用途的设备，除非确保它们在给定环境中的功能性能的完整性。此外，由于安全工具导致的OT网络性能下降可能会导致操作中断。

集中式网络安全不能为OT带来价值的六个原因

如上图所示，将集中式IT安全实践扩展到OT环境可能既无效又昂贵。更糟糕的是，这种方法可能会在组织中产生一种虚假的安全感。即使是先进的技术工具，如基于人工智能(AI)的入侵检测系统(IDS)、高级威胁检测(ATD)、微分割(即软件定义网络)等，在大多数情况下也可能无法为OT网络安全提供太多价值。主要原因是:

1.好处主要局限于管理广泛的基于网络的攻击。

该方法主要面向管理广泛的基于网络的攻击的风险。在这种情况下，攻击者通过向网络中注入恶意软件来撒开大网，并希望恶意软件到达符合目标配置文件的设备。从理论上讲，通过各种基于网络的策略限制和管理设备的流量，粒状分割可以降低终端设备被感染的风险。然而，如果攻击的目标是，例如，通过使用已经受损的访问凭证来攻击一个网络物理系统，分割可能没有帮助。有针对性的攻击占制造业攻击的86%，攻击者利用组织的漏洞、操作环境、受损的用户凭据等知识。事实上，在70%的案例中，公众已知的漏洞被利用了。

这种方法在管理内部攻击风险方面也有不足之处，而内部攻击的风险正在上升。根据Nucleus Cyber的报告，2019年60%的公司遭受了内部攻击。恶意的、不熟练的或被误导的内部人员会给组织带来巨大的风险。

2.颗粒分割实际上可能并不可行

粒度分割通常是以牺牲网络性能为代价的。此外，OT环境在设备类型、预期功能和相关过程方面呈现出相当大的多样性。因此，在使用高技能人员进行策略管理方面，为多种场景部署和管理策略会增加大量成本。与此同时，未管理的策略可能导致操作中断或安全漏洞。当一家位于中西部的医院未能管理其医疗设备的政策和参数，并进行必要的操作更改时，该网络开始拒绝真正的医疗设备，并导致患者护理中断。因此，颗粒分割可能不适用于许多OT应用。

在任何OT设备受到影响之前及早检测入侵是有价值的。OT设备感染可能导致故障或停机时间，从而导致操作中断。涉及IDS放置的权衡包括网络性能、检测精度和成本。与网络分割类似，使IDS功能更接近OT设备，并最终接近设备(即基于主机的IDS)，将提高检测精度。但是，此操作可能会在网络上增加大量数据负载并影响网络性能。将IDS传感器添加到或靠近已安装的OT设备，确保系统的功能和网络性能，并随着时间的推移管理传感器的完整性，也增加了大量成本。另一方面，基于网络的IDS通常放置在离终端设备较远的地方，不会对网络性能产生太大影响。但这导致检测精度降低。因此，将需要全职监控(即分析师在循环中)资源。IDS生成的分类警报需要花费相当大的成本才能找到被认为可靠的警报，如相邻的图所示。 The diversity of OT devices on a network makes the situation worse at scale than shown in the figure. They generate more alerts, and often require field personnel with knowledge of the OT device functionality and operational break (i.e. downtime) to evaluate the alerts. False positives can create organization fatigue and a lack of trust in the system. Even the most advanced IDS with AI could lead to significant incremental costs in the OT applications with questionable return.

4.许多OT设备和相关风险可能仍未得到管理。

网络安全的集中式方法还主要依赖于主动和/或被动扫描操作来发现设备并识别相关的产品级漏洞。在许多情况下，主动扫描会关闭或重新启动OT/IoT设备。在这种情况下，采用先进的被动扫描和其他分析方法。有许多设备，如上图所示的电机振动测试仪与电机/驱动器处于点对点连接，通常无法通过此类扫描操作进行识别。此外，许多间歇连接的OT设备仍然可能被错误识别。很难管理与未被识别、跟踪和管理的设备相关的风险。一般来说，大约15%到40%的设备可能在这种方法中仍未得到管理，留下了大量未计算的风险。

5.包括人为因素在内的许多关键漏洞没有得到解决。

集中式方法通常仅限于识别产品级漏洞。然而，各种研究表明，高达95%的数据泄露是人为造成的。例如，缺少隔离、弱密码、延迟更新、禁用QoS、不正确的权限、不一致的系统集成和缺少身份验证等错误配置经常被网络攻击利用。给出的方法并没有充分解决网络安全中的人为因素，给组织留下了错误的安全感。半导体巨头台积电面临病毒爆发，导致其三家工厂瘫痪，原因是在新工具的软件安装过程中操作不当，导致该工具一旦连接到网络就会传播病毒。

6.无效的事件响应。

集中式方法采用相对更标准化的响应机制。涉及OT网络的事件响应通常需要跨多个域进行协调。在大多数情况下，仅隔离受感染的设备而不使整个网络和相关进程瘫痪，在OT中可能不像在it中那样可行。换句话说，在OT设备的情况下，很难有标准化的响应。将基于集中化、早期检测和标准化的IT安全实践扩展到OT端可能会导致高昂的成本和巨大的未管理风险。一般应用，不考虑OT设备和环境，肯定会导致低ROI，同时给组织提供虚假的安全感。

基于风险的OT网络安全优化方法

为了提高效率，网络安全需要以风险为基础，优先考虑影响最大的领域。OT的网络安全更需要一种操作方法，通过这种方法，可以主动识别影响设备的所有漏洞，并由跨职能团队管理风险。如前所述，与设备相关的网络风险不仅包括技术，还包括人员、政策和流程方面的考虑。安全控制实现可能经常以牺牲操作灵活性或其他操作价值为代价。因此，操作风险回报权衡必须成为涉及网络物理系统的风险管理决策的一部分。通过这种方式，最有效的安全工具应用于业务的最大风险。下图展示了如何将基于风险的方法优化应用于OT网络安全的示例。

最佳解决方案可能包括外围控制、企业级的IDS(在OT网络被感染之前检测任何异常活动)、数据链(VLAN)或网络层分割、可以共享数据和服务的非军事区(DMZ)、对所有人员的网络安全培训以及使用相关控制的主动设备级风险管理。随着时间的推移，它将确保网络安全风险管理的有效性、效率和适应性。

然而，成功执行所建议的策略需要相当水平的变更管理。因此，行业组织必须将OT网络安全作为首要业务优先事项，将其与董事会的风险监督流程联系起来，并通过跨职能参与实施强大的网络安全计划。该计划需要由一个运营主管来支持，他也要对卓越的运营负责。这样做可以确保正确的涉众参与其中，并围绕操作性能、成本和安全性做出正确的权衡。更重要的是，它有助于将安全文化制度化——这是最好的防御机制!这与丰田的质量管理方法类似。

总体而言，工业4.0中的信息物理系统与物联网(IoT)、大数据和云计算一起可以提高生产力、质量和合规性。根据一些专家的说法，提高整个供应链的互联性和数字化协作可以进一步降低至少30%的运营成本，并降低多达70%的库存需求。然而，指数级增长的网络连接也引发了人们对网络安全的担忧。因此，组织必须将OT网络安全作为在当今数字连接环境中获胜的核心竞争力。

-本文原载于resilience的知识中心。Resiliant是CFE Media的内容合作伙伴。由网页内容经理克里斯·瓦夫拉编辑，控制工程， CFE传媒，cvavra@cfemedia.com．

原始内容可以在www.resiliant.co．

您是否具有本内容中提到的主题的经验和专业知识?你应该考虑为我们的CFE媒体编辑团队做出贡献，并获得你和你的公司应得的认可。点击在这里开始这个过程。