ICS/OT基础设施不安全的九个原因

工业网络安全洞察

• 工业控制系统(ICS)和操作技术(OT)具有互联网连接，这为用户和不良行为者提供了更多访问权限的双刃剑。
• 对于许多这样的系统来说，工业网络安全是一个特别的挑战，因为硬件过时，基本的网络安全卫生很差，而且没有库存数据库。
• 制造商需要花时间重新评估一切，因为他们的系统变得相互关联。在好的和坏的情况下，潜力是巨大的。

---

工业控制系统(ICS)/操作技术(OT)基础设施安全在许多方面不同于信息技术(IT)安全，其中一个主要原因是反向机密性、完整性和可用性(CIA)贸易。在OT基础设施中，可用性是最高优先级，因此实施网络安全解决方案以确保OT基础设施的安全是一项非常关键的任务。它需要很好地掌握拟议的网络安全解决方案、安全标准/框架、ICS功能及其操作。

在过去，ICS/OT系统没有与互联网连接;OT安全仅限于使用众所周知的解决方案(如保安、生物识别和围栏)保护物理基础设施。现在，为了便于操作，所有ICS/OT基础设施都引入了互联网连接或正在这样做。然而，这种转变使这些基础设施暴露在仅靠旧习惯无法保护的漏洞中。脆弱的基础设施会导致破坏性倾向，带来巨大的财政、环境和/或健康问题。

导致ICS/OT基础设施脆弱的九个方面

有许多方面使得ICS/OT基础设施不安全。以下是一些最常见和最关键的问题:

1. 过时的操作系统:没有从原始设备制造商(OEM)获得任何安全更新的生命周期结束的操作系统是非常脆弱的。它们有最关键的漏洞(例如，远程代码执行)，通常很容易被脚本黑客利用。
2. 过时的固件:从L1到L3的大多数交换机和防火墙都被固件更新忽略了，因为通常它们不会直接影响操作。这种无知导致不同级别的ICS基础设施连接非常脆弱。
3. 实施不准确或降低成本的安全级别:根据ICS/OT基础设施的不同，所需的安全级别各不相同，并在ISA/IEC 62443系列标准中明确定义。很多时候，不准确的安全级别选择或成本削减会导致暴露系统或间接打开后门。
4. 不安全的密码:为了方便访问网络，运营商一直在使用弱密码。因此，攻击者很容易获得访问权限。即使运营商被迫使用关键密码，他们也会犯另一个错误，即对所有接入点使用相同的关键密码，这很容易被攻击者破解。
5. 无库存数据库:在ICS/OT基础设施中，由于许多供应商的大量网络设备、端点和自动化设备，创建更新的库存数据库变得非常困难，这间接造成了OT基础设施的漏洞。在这种情况下，如果有任何未经授权的设备试图连接或连接到现有的基础设施中，将很难从该设备中找到并隔离网络。
6. 在紧急情况下测试备份恢复:在大多数ICS/OT基础结构中，系统的备份要么只是完全系统备份，要么是增量或差异完全系统备份。在任何勒索软件攻击的情况下，我们将很容易地恢复系统与可用的备份。但是，重要的一点是，我们要确保可用的备份在恢复后能够正常工作。如果恢复失败，那么对任何ICS环境都将造成巨大的财务损失。要降低这种风险，请确定OT操作中最关键的系统(例如，分布式控制系统[DCS]的应用程序和自动化服务器)，并定期恢复外部机器中的此可用备份，以确保其正常工作。
7. L3.5及以上版本的复杂防火墙规则:在当今的ICS/OT基础设施中，大多数工厂共享一个公共的区域非军事区(DMZ)和许多其他应用程序，如远程访问、安全信息和事件管理(SIEM)、入侵检测系统(IDS)、集中式反病毒(AV)和补丁管理(PM)等。在这种情况下，使用大多数复杂的防火墙规则表将使其非常难以管理，并且它将成为攻击者的访问点。要降低这种风险，请遵循两条经验法则:首先，除非对可操作性非常重要，否则不要打开任何入站流量;其次，使防火墙规则简单易懂。
8. OT缺乏安全产品:众所周知，市场上大多数网络安全解决方案都是为IT安全而设计的。现在，它们进行了OT安全改造，这要么会产生系统性能问题，要么需要定期更新补丁，这将直接影响操作。一些网络安全解决方案很好地实现了合规性，但无法在IT基础设施级别提供网络安全。例如，产品很少能够为OT创建准确的库存数据库，或者安全补丁安装仍然是OT基础设施的一个头痛问题。实际上，恶意软件保护解决方案在许多用例中仍然会产生性能问题。
9. OT客户的心态:许多OT客户认为他们的系统和基础设施处于一个孤立的区域。他们要么从未要求上网，要么只是偶尔上网。这种心态需要改变，让人们意识到网络攻击可以在任何时间以任何方式进行(例如Stuxnet)。

-这最初出现在ISA的网站．ISA是CFE媒体和技术内容合作伙伴。由CFE媒体与技术杂志副主编摩根·格林编辑，mgreen@cfemedia.com．

原始内容可以在ISA．

您是否具有本内容中提到的主题的经验和专业知识?你应该考虑为我们的CFE媒体编辑团队做出贡献，并获得你和你的公司应得的认可。点击在这里开始这个过程。