对工业企业来说，“屏蔽”策略意味着什么

网络安全的见解

• 在过去几年中，网络安全攻击的数量大幅增加，涉及金融机构、水处理设施、石油钻井平台和其他关键基础设施等所有领域。
• 认为制造商在网络安全方面毫无价值的观点是不正确的。一些黑客是为了给无政府主义或代表敌对国家造成损害。在某些情况下，信息比金钱更有价值。特别是如果是敏感的公司信息。
• 公司需要采用零信任的网络安全方法，确保接入点受到保护，并在其背后有强大的文化。网络安全的强度取决于所涉及的人为因素。

---

今年2月，美国国土安全部(DHS)下属的网络安全和基础设施安全局(CISA)发布了关于乌克兰关键基础设施遭受网络攻击的警报，并发布了一份建议，要求各组织“竖起盾牌，采取积极措施防范主动威胁”。

CISA和FBI，在一起联合咨询他警告说，针对乌克兰组织的攻击很容易传播到境外，并提供了正在使用的恶意软件的信息，比如WhisperGate和hermes wiper。乌克兰发生的袭击事件，让确保美国和其他地方关键基础设施安全的努力变得更加紧迫，这已成为近年来的一个优先事项，尤其是在去年可能源自俄罗斯的“殖民管道”(Colonial Pipeline)袭击之后。

在过去的两年里，这个数字激增ransomware攻击已经袭击了医疗机构、金融机构和越来越多的其他知名组织。关键基础设施已成为一个常见的目标，包括工业控制系统(ICS)和监控和数据采集(SCADA)系统。根据FBI的2021年报告，仅在2021年，16个关键基础设施部门中的14个部门的649个组织遭受了勒索软件攻击网络犯罪报告。

的盾了CISA发布的战略概述了组织在预防、检测、响应和恢复能力方面应采取的步骤。这是工业公司需要采用的方法零信任。

许多工业公司已经在朝着零信任的方向努力，但是工业部门在实现持续身份验证和授权的零信任原则方面面临着独特的挑战。行业领导者还需要彻底了解屏蔽/零信任战略对他们的公司意味着什么。他们需要知道实现零信任的必要步骤，行业中可能出现的复杂情况，以及如何解决这些问题。

关键基础设施面临的威胁正在上升

对关键基础设施日益增加的威胁，以及成功的攻击可能对国家经济和国家安全造成的影响，已经引起了国会和白宫的注意。乔·拜登总统签署法律要求关键基础设施公司在遭受攻击后72小时内向中钢协报告重大黑客攻击，并在24小时内报告勒索软件支付情况。在撰写本文时等待拜登签署的另一项法案是更好的网络犯罪度量法案该法案指示司法部对不同类型的网络犯罪进行分类;建立从联邦、州和地方政府收集事故报告的框架;并在年度全国犯罪受害调查中纳入有关网络犯罪的问题。

除了法律要求外，工业公司还有很多其他激励措施来保护系统。勒索软件和其他攻击变得越来越复杂和有影响力，威胁着公司的业务、声誉和底线。一次成功的攻击可以关闭业务(以Colonial为例，关闭6天)，窃取重要信息和知识产权。这可能会导致相当大的成本，无论是勒索软件支付，系统清理还是向客户赔偿。

虽然许多公司都了解保护关键系统的必要性，但如果不遵循网络安全最佳实践或配置错误，组织可能会出现错误。随着公司运营关键基础设施，云应用程序的使用日益增加，工业物联网(IIoT)的扩展，以及跨企业IT基础设施和运营技术(OT)集成安全性的需求，使这项任务变得更加复杂。

从哪里开始保护关键系统

为了确保关键系统的安全，组织需要确定哪些系统是关键的，这一工作并不像看起来那么简单。自动化程度、内部部署和云系统之间的联系，以及工业物联网如何与公司网络绑定，都可以极大地扩展组织的攻击面。例如，人力资源或计费系统本身可能并不重要，但一旦它与OT相互依赖，它就变得必不可少。例如，熟练的攻击者通过网络钓鱼活动进入任何系统，然后就可以渗透到任何其他连接的系统。

为了充分评估风险，组织的领导者需要彻底了解企业内的系统，系统如何连接以及它们如何相互通信。例如，工业系统可能曾经与互联网和内部IT系统“气隙”，但这种情况多年来一直在稳步改变。OT和IT已经通过IT网络、IP和工业控制系统(ICS)协议进行融合，以提高互操作性和运营可见性。这提高了效率，带来了更好的决策，也增加了脆弱性。

遗留系统的存在也是一个主要问题。超过一半的工业场所仍然运行着不再受支持的操作系统，因此没有打补丁，比如微软的Windows XP。即使是从企业IT中分离出来的OT系统，也会因为没有适当访问和协议控制的开放端口而受到攻击。

一旦组织完全掌握了其系统及其风险，下一步就是应用相同的方法来保护对所有系统的访问，无论是关键的OT系统还是企业IT组件。OT的操作方式与IT不同，它需要一个单独的层来实现逻辑访问和安全性。但是，保护级别必须是相同的。在整个企业中应用安全性需要一种基于零信任策略的统一、简化和灵活的方法。

五个零信任要素

零信任源于人们认识到，传统的安全方法(侧重于网络外围的防御)在IT操作扩展到云之外时无法维持下去。随着越来越多的移动用户和远程用户以及发生在网络边缘的数据事务的增加，它变得更加必要。零信任侧重于持续地对用户、设备、数据、应用程序和系统服务进行身份验证和授权，以保护处于信任框架内的这些领域。

它结合了强大的多因素身份验证和细粒度的授权系统，包括用户角色、时间和基于位置的控制。如果实施得当，零信任可以改善整个企业的预防、检测、响应和弹性，包括远程工厂操作或高度移动的员工。

为了实现零信任，工业企业应该包括以下五个要素。

1. 多因素身份验证(MFA)。防止身份泄露的最有效保护措施之一是MFA，它结合了密码、令牌或生物识别技术的某种组合。公司应该要求MFA进行网络访问，包括涉及传输中的任何数据的用户会话。
2. 强大的加密。IT网络与internet或OT网络之间的所有通信都应加密。这甚至应该包括有时被忽视的东西，比如基于浏览器的瘦客户机访问。
3. 日志记录和监控。组织需要将所有用户访问会话数据记录到关键的OT系统，最好是实时的，并密切监视所有非只读的远程用户访问会话。
4. 隔离协议。泄露的凭证可能导致严重的损害。2016年，CrashOverride攻击源自俄罗斯的黑客利用ICS系统上受损的VPN凭证摧毁了乌克兰电网。乌克兰传统ICS访问控制中使用的vpn已有20多年的历史，并且从未设计用于调节对关键系统和应用程序的访问。将IT协议和ICS协议(如Modbus和DNP 3.0)隔离到OT网络可以降低凭证被盗的风险。
5. 通过可见性评估风险。资产监控、威胁情报、妥协指标(IOC)馈送和漏洞检测工具帮助组织验证关键资产的可接受风险级别。

建立在零信任基础上的屏蔽方法

提供关键基础设施的公司已成为越来越老练的网络攻击者的主要目标，其中许多人与民族国家或犯罪组织有关。对能源、石油和天然气、制造、运输和医疗保健部门的攻击可能危及生命，扰乱国家的日常运作，对经济造成直接和下游影响，并威胁到国家安全。

例如，工业过程中使用的OT系统如果涉及能源和气体分配、大众运输系统的功能或制造中的化学混合，则会构成特别的物理威胁。IT和OT系统的融合为OT系统创造了潜在的接入点，其中许多未打补丁，并且具有传统的虚拟专用网络(VPN)访问或虚拟桌面基础设施控制，这些控制过于复杂，不够安全，无法有效管理对IIoT的访问和许多公司不断增长的云基础设施。

为了保护关键基础设施免受不断变化的威胁，工业公司需要采取零信任方法来访问OT系统和企业中的任何系统。

竖起盾牌的警告凸显了工业企业面临的新现实，零信任是将这些盾牌安置到位的途径。

比尔·摩尔首席执行官兼创始人是Xona。编辑克里斯·瓦夫拉，网络内容经理，控制工程、CFE媒体与技术、cvavra@cfemedia.com。

更多的答案

关键词:屏蔽，零信任，网络安全

考虑一下这个

贵公司采取了哪些网络安全措施?

您是否具有本内容中提到的主题的经验和专业知识?您应该考虑为我们的CFE媒体编辑团队做出贡献，并获得您和您的公司应得的认可。点击在这里开始这个过程。