關(guān)于工業(yè)控制系統(tǒng)保護(hù)的常用方法

關(guān)鍵基礎(chǔ)設(shè)備系統(tǒng)網(wǎng)絡(luò)攻擊干擾事件越來越頻繁，對(duì)于許多工業(yè)控制系統(tǒng)來說，網(wǎng)絡(luò)入侵不是是否會(huì)發(fā)生的問題，而是什么時(shí)候會(huì)發(fā)生。國(guó)外的烏克蘭停電事故，最近的委內(nèi)瑞拉停電事故都帶來了嚴(yán)重的社會(huì)影響。這些事件證明了攻擊者的能力，網(wǎng)絡(luò)安全事件的頻率和復(fù)雜性正在持續(xù)增加。傳統(tǒng)的工業(yè)控制系統(tǒng)保護(hù)認(rèn)識(shí)，比如絕對(duì)的隔離帶來絕對(duì)的安全，沒有人會(huì)攻擊工業(yè)控制系統(tǒng)等，這些認(rèn)知顯然是錯(cuò)誤的，也是不合時(shí)宜的，針對(duì)工業(yè)控制系統(tǒng)的保護(hù)，常見的有幾種策略，則可以對(duì)付常見的可利用的弱點(diǎn)。

1. 使用應(yīng)用程序白名單策略

應(yīng)用白名單可以有效檢測(cè)和阻止由攻擊者上傳的惡意軟件的執(zhí)行。工業(yè)控制系統(tǒng)的生產(chǎn)環(huán)境的主機(jī)操作相對(duì)比較固定，而且主機(jī)操作系統(tǒng)老舊，和外網(wǎng)隔離，部署需要經(jīng)常升級(jí)的耗費(fèi)資源多的殺毒軟件不現(xiàn)實(shí)，這些現(xiàn)實(shí)情況使得運(yùn)行應(yīng)用白名單成為可能。部署應(yīng)用白名單時(shí)，需要和供應(yīng)商合作，建立基線進(jìn)行。

2. 安全配置，及時(shí)更新補(bǔ)丁

系統(tǒng)入侵者往往發(fā)動(dòng)攻擊時(shí)經(jīng)常利用未打補(bǔ)丁的系統(tǒng)。比如臭名昭著的勒索病毒和挖礦病毒，都利用445端口。如果在病毒爆發(fā)時(shí)，就封閉445端口，則可避免很多不必要的損失。優(yōu)先處理工程師站，操作員站，數(shù)據(jù)庫(kù)服務(wù)器的補(bǔ)丁和配置，可以有效增加攻擊者的攻擊難度。在現(xiàn)實(shí)情況中，對(duì)于更新和配置，需要在測(cè)試機(jī)上進(jìn)行，測(cè)試合格后，在部署到實(shí)際運(yùn)行的操作系統(tǒng)上。

3. 縮小攻擊面

將工業(yè)控制系統(tǒng)與其它不可信的網(wǎng)絡(luò)隔離，尤其是互聯(lián)網(wǎng)。關(guān)閉不使用的端口和服務(wù)。如果需要單向通信，則可部署單向網(wǎng)閘。如果必須使用雙向通信，則在受限的網(wǎng)絡(luò)路徑上開發(fā)單個(gè)端口。

4. 構(gòu)建防御環(huán)境

將網(wǎng)絡(luò)劃分為邏輯分區(qū)，并限制主機(jī)間的通信路徑，可阻止攻擊者擴(kuò)大攻擊訪問范圍，同時(shí)允許正常的系統(tǒng)通信繼續(xù)運(yùn)行。這樣，即使一個(gè)區(qū)域被攻擊，其余區(qū)域也不受影響，降低損失。

5. 身份鑒別管理

攻擊者在攻擊時(shí)，需要獲得合法的用戶憑證，偽裝成合法的用戶對(duì)工業(yè)控制系統(tǒng)進(jìn)行攻擊，可提高操作的權(quán)限，也可留下較少的記錄和證據(jù)。

采用多因素認(rèn)證，實(shí)現(xiàn)特權(quán)用戶權(quán)限最小化。用戶口令要設(shè)置安全策略，長(zhǎng)度，復(fù)雜度要求，并且口令強(qiáng)制更改日期，盡可能的強(qiáng)化管理。

6. 安全的遠(yuǎn)程訪問

建議采用VPN的方式進(jìn)行遠(yuǎn)程訪問，尤其是第三方接入工業(yè)控制系統(tǒng)網(wǎng)絡(luò)中時(shí)。使用堡壘機(jī)，可以有效監(jiān)控接入的各類操作和時(shí)間，實(shí)現(xiàn)有效的監(jiān)管和追蹤。

7. 監(jiān)控與應(yīng)急響應(yīng)

對(duì)于現(xiàn)代威脅要積極監(jiān)控，今早發(fā)現(xiàn)黑客攻擊滲透，并迅速執(zhí)行應(yīng)急響應(yīng)，切斷攻擊鏈，保護(hù)工業(yè)控制系統(tǒng)。

沒有100%的網(wǎng)絡(luò)安全，但是采用有效的策略可以提升攻擊難度，提升系統(tǒng)的保護(hù)狀態(tài)。