是时候采取行动了:你今天就可以采取行动
你的控制系统网络资产没有考虑到安全编码，所以你必须自己建立防御，始终考虑你的完整安全态势。以下是从现在开始的方法。
控制系统是一个高价值的目标，正在受到攻击。风险有多严重?最近的调查和网络直播由控制工程表明大多数受访者认识到风险从高到严重。真正的风险是什么?古老的风险计算方法试图将威胁与漏洞联系起来。它既需要实际的资产漏洞，又需要有动机利用该漏洞的威胁行为者。日益紧张的国际局势增加了世界各地威胁行为者的动机。最近的一份供应商简报强调了工业网络资产及其通信协议的脆弱性。这些漏洞超越了供应商内部和供应商之间的产品线。在某些领域，这种情况正在改善，但大多数工业控制系统(ICS)产品供应商和集成商在其软件开发和系统集成生命周期中没有安全流程，或者还处于起步阶段。安全不能是事后才考虑的，需要基本的控制。
如果你知道有风险，你能做什么?您可以立即删除并替换，但您可能会发现新的解决方案与旧的解决方案一样脆弱。你必须知道你拥有什么，建立围墙，监控，并对威胁指标做出反应。你的人受过这样的训练吗?
第一步，你今天就可以开始，是创建一个控制系统资产的清单。这包括所有人员和技能、控制器硬件、网络硬件、通信渠道和操作程序。第二步，查看影响网络、物理和操作安全需求的任何法规。如果你还没有，那么你是幸运的;这将由你来证明你的管理层的安全现金支出是合理的。然而，如果你在能源或水行业，一些网络安全控制措施已经或即将对你产生影响。
一旦你编制了最初的清单，接下来的步骤是:
1.创建整个组织及其涉众的安全需求基线。这是一个关键因素，因为您的组织很可能必须创建新的角色和职责来应对持续的威胁。
2.使用您的网络资产清单，确定哪些是直接控制功能所必需的。然后，确定每个ICS网络资产执行其操作所需的通信通道、应用程序和服务。这个过程并不容易，您的控制系统供应商和集成商可能没有针对您的环境的具体答案。这个过程证明了一个经得起测试环境的理由。
3.删除正常和紧急操作条件下不必要的所有其他通信通道、应用程序和服务。
4.检查剩余的通信通道、应用程序和服务是否存在漏洞。使用固件、应用程序和协议版本清单，检查它们是否过时和/或易受攻击的网络资产组件。
5.识别缓解控制，例如网络入侵检测系统(IDS)。IDS应该为控制系统协议和通信通道配置特定的规则集，而不是为传统IT环境配置通用规则。
6.盘点你们当前人员用于维护控制系统操作的网络资产和通信渠道的操作程序。检查漏洞的程序，并在必要时修改它们。
这仅仅是解决当今控制系统环境的安全需求过程的一个开始。风险是真实存在的。我可以直接向你展示控制系统硬件、固件、逻辑和通信协议极易受到网络攻击的许多方面。建立防御系统并不复杂，但必须有条不紊。有一些经过验证的IT防御技术可以保护易受攻击的ICS设备，但通常这些ICS设备仍然容易受到攻击，因为许多供应商在其软件开发生命周期中没有安全流程。
因此，对于资产所有者和运营者来说，第一步是了解您拥有什么，需要什么，以及如何用墙和有限信任来保护您的网络。您还可以要求对所有新实现进行网络、物理和操作漏洞评估，包括任何新设备如何与现有基础设施耦合。然后，作为资产所有者和运营商，您需要采取必要的预防措施来限制和监控与控制环境的物理、网络和操作交互。例如，技术人员使用的笔记本电脑不应该被归类为工具。笔记本电脑与锤子有很大不同，如果处理不当，设备的预期用途可能会受到损害。因此，笔记本电脑的监控方式必须与其他工具不同。这种意识形态必须超越ICS环境的所有方面。文化变革和新的责任要求是必要的，但转变并不容易。
马特·卢艾伦(Matt Luallen)是安全培训和咨询机构Cybati的创始人。
在线
https://cybati.org/
//www.globalelove.com/media-library/webcast-archive.html
您是否具有本内容中提到的主题的经验和专业知识?你应该考虑为我们的CFE媒体编辑团队做出贡献，并获得你和你的公司应得的认可。点击在这里开始这个过程。
