保護(hù)工廠的OT網(wǎng)絡(luò)和信任的作用

當(dāng)領(lǐng)導(dǎo)者對其網(wǎng)絡(luò)防御將如何以及在何處受到攻擊有深入的了解時，他們就會調(diào)動資源來加強目標(biāo)區(qū)域。這種策略既適用于戰(zhàn)爭，也適用于黑客攻擊。對于制造公司來說，其企業(yè)網(wǎng)絡(luò)中常見的薄弱環(huán)節(jié)是其生產(chǎn)網(wǎng)絡(luò)。

為了建立安全的制造，必須由高級領(lǐng)導(dǎo)團(tuán)隊領(lǐng)導(dǎo)的風(fēng)險管理職能/團(tuán)隊解決幾個企業(yè)方面的問題。這種風(fēng)險管理方法的基礎(chǔ)是基于：

全體員工的安全意識，因為大多數(shù)違規(guī)行為都是人為錯誤的結(jié)果

確保產(chǎn)品設(shè)計和產(chǎn)品生命周期的安全，從一開始就設(shè)計安全性

運營技術(shù) （OT） 網(wǎng)絡(luò)的最佳實踐安全性，并認(rèn)識到信息技術(shù) （IT） 安全不是 OT 安全性

有了這些和其他內(nèi)部系統(tǒng)相關(guān)項目，重點必須放在接入點上，例如：

安全處理運輸和接收

實施安全 IT 和 OT 網(wǎng)絡(luò)的供應(yīng)商和客戶

產(chǎn)品、防偽、取證和客戶使用的安全標(biāo)識符

定期收集有關(guān)安全性有效性（或低效率）的證據(jù)

為了有效、可信和安全的制造必須包括對IT和OT網(wǎng)絡(luò)的保護(hù)，同時考慮到物聯(lián)網(wǎng)（IoT）設(shè)備、工業(yè)控制系統(tǒng)（ICS）、監(jiān)控和數(shù)據(jù)采集（SCADA）系統(tǒng)以及相關(guān)環(huán)境是最脆弱的。

［圖1|圖中顯示了 IT 和 OT 安全性之間的差異。

安全差異：OT 和 IT 網(wǎng)絡(luò)

與構(gòu)建和使用OT網(wǎng)絡(luò)的人相比，保護(hù)IT網(wǎng)絡(luò)的人的心態(tài)存在很大差異。擁有OT網(wǎng)絡(luò)的公司在讓PC和服務(wù)器等設(shè)備與ICS通信時遇到了重大問題，因為OT網(wǎng)絡(luò)基于OT協(xié)議，使得TCP / IP和OT網(wǎng)絡(luò)之間的鏈接變得脆弱。很少有人知道如何使它們工作以及如何使它們保持工作。因此，使用網(wǎng)絡(luò)的人強烈抵制改變?nèi)魏问虑?。在這種心態(tài)下，具有未打補丁的Windows XP PC的OT網(wǎng)絡(luò)或運行更舊版本的Windows的系統(tǒng)并不少見。

另一個主要區(qū)別是IT網(wǎng)絡(luò)通常不關(guān)心延遲，因此將重復(fù)時間減慢數(shù)百毫秒或更長時間的安全軟件不是問題。相比之下，OT網(wǎng)絡(luò)可能具有對超過10 ms延遲的零容忍度的設(shè)備。這些設(shè)備通常無法在應(yīng)用了常見 IT 網(wǎng)絡(luò)安全原則的網(wǎng)絡(luò)上運行。

最后，IT安全的首要主題是CIA -機密性，完整性和可用性-這意味著它可以在您需要時出現(xiàn)。OT網(wǎng)絡(luò)中最重要的問題是安全性 - 盡一切努力確保在操作過程中沒有人死亡。

［圖2 |IT和OT安全之間的差異需要不同的方法。

多年來，業(yè)界一直在努力創(chuàng)建一種標(biāo)準(zhǔn)化的方法來提高工廠安全性。例如，國際自動化學(xué)會（ISA）定義了一種通用的安全架構(gòu)，用于保護(hù)OT網(wǎng)絡(luò)，稱為ISA99，也稱為IEC 662443。

此安全體系結(jié)構(gòu)有意將實現(xiàn)“詳細(xì)信息”留給客戶。通過這樣做，即使安全技術(shù)不斷發(fā)展和變化，架構(gòu)仍然具有相關(guān)性?？尚庞嬎憬M （TCG） 定義了支持實現(xiàn) ISA99 體系結(jié)構(gòu)的信任技術(shù)。

飛地和管道

典型的工廠OT網(wǎng)絡(luò)包括許多設(shè)備，這些設(shè)備幾乎沒有或根本沒有自我防御能力。在ISA99中，該架構(gòu)沒有處理某些設(shè)備可以保護(hù)自己而其他設(shè)備無法保護(hù)自己的想法，而是假設(shè)沒有一個端點設(shè)備可以保護(hù)自己。該體系結(jié)構(gòu)規(guī)定根據(jù)某些邏輯（例如特定工廠中的所有設(shè)備）對端點設(shè)備進(jìn)行分組。

在 ISA99 術(shù)語中，這稱為“安全區(qū)”，安全區(qū)受基于網(wǎng)絡(luò)的安全技術(shù)保護(hù)。任何位于安全區(qū)外部的電信鏈路都稱為“管道”，用于保護(hù)安全區(qū)的所有安全技術(shù)都存在于管道中。為了提高安全性，每個安全區(qū)都應(yīng)具有盡可能少的管道，并且每個管道都必須具有一個受信任的、高度安全的網(wǎng)關(guān)，并在該網(wǎng)關(guān)中加入安全區(qū)。

為了建立安全區(qū)和管道的可信度，TCG 使用專用的安全硬件來保護(hù)機密和完整性信息（哈希值）。這包括受信任的平臺模塊 （TPM） 和自加密驅(qū)動器 （SED）。借助此技術(shù)，設(shè)備可以在發(fā)生任何通信之前相互監(jiān)督并驗證憑據(jù)。

對于不支持 TCG 兼容硬件的舊版產(chǎn)品，TCG 的可信網(wǎng)絡(luò)通信 （TNC） 可以創(chuàng)建信任證據(jù)。它為網(wǎng)絡(luò)訪問控制提供了一個開放的架構(gòu)，以及一套定義互操作性的標(biāo)準(zhǔn)。此方法的一個好處是，任何基于 Linux 或 Windows 的設(shè)備都可以運行收集完整性信息的客戶端。

信任我們的OT網(wǎng)絡(luò)

安全OT網(wǎng)絡(luò)始于董事會和高級管理層的承諾，即進(jìn)行風(fēng)險評估，以確定IT和OT網(wǎng)絡(luò)的安全性要求。隨著IT和OT風(fēng)險管理功能的到位以及安全意識的建立，下一步是確保企業(yè)在設(shè)計上是安全的。實現(xiàn)更高級別安全性的可用工具包括開放標(biāo)準(zhǔn)安全體系結(jié)構(gòu)以及在這些體系結(jié)構(gòu)中使用啟用信任和安全技術(shù)。

審核編輯：郭婷