工業(yè)企業(yè)在面對新時(shí)代網(wǎng)絡(luò)攻擊時(shí)，如何保障網(wǎng)絡(luò)安全？羅克韋爾自動(dòng)化亞太地區(qū)商業(yè)服務(wù)部運(yùn)營負(fù)責(zé)人Sabyasachi Goswami分享了他的個(gè)人看法。

　　新冠疫情的爆發(fā)暴露了全球制造業(yè)和供應(yīng)鏈隱藏在表面下的安全漏洞，“黑天鵝”事件頻繁發(fā)生。但事實(shí)上，網(wǎng)絡(luò)安全問題早已是持續(xù)數(shù)十年的“灰犀?！笔录?。去年，Tokopedia遭到攻擊，1500萬用戶信息被泄露；在新加坡，網(wǎng)絡(luò)犯罪占所有犯罪案件的43%。通過數(shù)字技術(shù)實(shí)現(xiàn)的互聯(lián)為制造商帶來了更多的靈活性和便利性，但同時(shí)也讓惡意攻擊者不再受到地域的限制。

　　Sabyasachi Goswami認(rèn)為，網(wǎng)絡(luò)安全建設(shè)就像層層把控的防疫措施一樣，從抵御（口罩和洗手液）到預(yù)防（封鎖城市）、快速檢測（PCR核酸檢測試劑盒）和治療（疫苗和抗病毒藥物），企業(yè)同樣需要用這種嚴(yán)格防控來保護(hù)關(guān)鍵基礎(chǔ)設(shè)施。

　　IT與OT的融合

　　信息技術(shù) (IT) 和與運(yùn)營技術(shù) (OT) 的融合打破了以往系統(tǒng)“自閉式”的安全，兩者互聯(lián)性的增強(qiáng)讓黑客有機(jī)可乘。企業(yè)需要注意的是，IT和OT之間沒有“隔離網(wǎng)閘”的保護(hù)，工業(yè)設(shè)備、資產(chǎn)和流程會受到直接監(jiān)控和/或控制。IT與OT不再是相互獨(dú)立的個(gè)體，而是整個(gè)企業(yè)的兩個(gè)部分。

　　雖然很多企業(yè)已經(jīng)開始采取措施來加強(qiáng)IT的防御建設(shè)，但OT系統(tǒng)仍處于不受保護(hù)的狀態(tài)，從而成為黑客攻擊的目標(biāo)。制造業(yè)中的勒索攻擊事件變得越來越頻繁，攻擊者可以在幾分鐘內(nèi)入侵企業(yè)的安全漏洞，潛伏數(shù)月，中悄無聲息地滲透到整個(gè)網(wǎng)絡(luò)而不被察覺，并在收集數(shù)據(jù)和關(guān)鍵信息后發(fā)動(dòng)攻擊。

　　另一個(gè)OT系統(tǒng)安全常見問題往往出現(xiàn)在遺留的老舊基礎(chǔ)設(shè)施上，這些基礎(chǔ)設(shè)施早在高速互聯(lián)網(wǎng)普及前就已建成，至今已有數(shù)十年使用年限。這些落后的設(shè)備和計(jì)算機(jī)系統(tǒng)對于IT和安全運(yùn)營團(tuán)隊(duì)來說是一個(gè)令人擔(dān)憂的盲點(diǎn)，會將企業(yè)暴露在網(wǎng)絡(luò)攻擊的風(fēng)險(xiǎn)之中。例如，有些工廠的中央傳送帶運(yùn)行仍在使用Windows XP系統(tǒng)，但對于軟件開發(fā)人員而言，Windows XP操作系統(tǒng)已不再是主流，它也不能兼容最新的軟件更新和網(wǎng)絡(luò)保護(hù)功能。

　　對于制造商而言，要解決OT層面的問題不僅極具復(fù)雜性，同時(shí)還要考慮如何平衡升級改造的成本問題。升級改造需要花費(fèi)較長時(shí)間，改造后還需要數(shù)年進(jìn)行轉(zhuǎn)型，這就導(dǎo)致整個(gè)過程通常不被重視，一拖再拖。而如今，網(wǎng)絡(luò)安全事件頻發(fā)，提升OT防御能力已刻不容緩，企業(yè)需要立即做出改變，參照最佳案例來構(gòu)建和保障IT/OT網(wǎng)絡(luò)安全環(huán)境，最大化消除潛在威脅。

　　OT安全建設(shè)五大核心原則

　　加強(qiáng)OT防御和防控小兒麻痹癥或天花等疾病有想通之處，企業(yè)需要通過多層次的防御策略來檢測和阻止惡意攻擊者。首先應(yīng)從整個(gè)企業(yè)范圍內(nèi)的全面安全評估開始，包括：

　　列出已授權(quán)和未授權(quán)的設(shè)備及軟件清單

　　對系統(tǒng)性能進(jìn)行詳細(xì)觀察和記錄

　　確定相容閾值以及風(fēng)險(xiǎn)和漏洞評估指標(biāo)

　　根據(jù)影響程度和漏洞被利用的可能性來確定每個(gè)漏洞的主次

　　利用風(fēng)險(xiǎn)緩釋技術(shù)，使操作降到可接受的風(fēng)險(xiǎn)狀態(tài)

　　要建立強(qiáng)大的安全網(wǎng)，企業(yè)必須同時(shí)考慮軟件、網(wǎng)絡(luò)、控制系統(tǒng)、站點(diǎn)基礎(chǔ)設(shè)施之間細(xì)微差別、策略、程序，甚至員工的行為。為此，羅克韋爾自動(dòng)化總結(jié)了五大核心安全原則：

　　1. 安全的網(wǎng)絡(luò)基礎(chǔ)設(shè)施 -- 通過彈性的工業(yè)網(wǎng)絡(luò)安全系統(tǒng)，限制對已授權(quán)的個(gè)人訪問，并保護(hù)數(shù)據(jù)免遭篡改或盜用。隨著遠(yuǎn)程辦公成為常態(tài)，安全系統(tǒng)必須考慮人員、流程和信息的遠(yuǎn)程連接。大規(guī)模工業(yè)應(yīng)用所使用的網(wǎng)絡(luò)可以利用云技術(shù)、數(shù)據(jù)分析和遷移工具來優(yōu)化系統(tǒng)監(jiān)控。

　　2. 身份驗(yàn)證和策略管理 -- 在圍繞用戶身份驗(yàn)證來開發(fā)安全控件時(shí)，有一點(diǎn)經(jīng)常被忽視，那就是需要盡量降低來自內(nèi)部的潛在威脅。管理員賬戶應(yīng)設(shè)有集中控制的權(quán)限。此外，還應(yīng)提前規(guī)劃可擴(kuò)展的解決方案，以便不時(shí)之需，例如在斷開連接的環(huán)境下確保靈活的工作流程、支持訪客訪問和臨時(shí)權(quán)限升級。

　　3. 內(nèi)容保護(hù) -- 控制器等自動(dòng)化設(shè)備通常包含敏感信息。智能工業(yè)系統(tǒng)需要在常見的安全環(huán)境下保護(hù)企業(yè)的知識產(chǎn)權(quán)，同時(shí)確保生產(chǎn)力和質(zhì)量。

　　4. 篡改檢測 -- 通過快速檢測、記錄和強(qiáng)大的協(xié)調(diào)響應(yīng)來阻止操作系統(tǒng)中不該出現(xiàn)的行為和修改操作。阻止和解決潛在威脅的措施應(yīng)包括集中記錄和跟蹤所有用戶操作的方法、定期備份運(yùn)營資產(chǎn)配置和電子文件，以及工廠車間所有設(shè)備的詳細(xì)清單。

　　5. 穩(wěn)健性 -- 工廠機(jī)器、操作系統(tǒng)和數(shù)據(jù)存儲裝置可以統(tǒng)一到單一系統(tǒng)架構(gòu)下，實(shí)現(xiàn)集中監(jiān)控和報(bào)告。借助融合型全廠以太網(wǎng)(CPwE)，跨國公司可以提高效率、靈活性和認(rèn)知度，在保持競爭優(yōu)勢的同時(shí)，繼續(xù)對數(shù)字資產(chǎn)進(jìn)行全面控制。

　　防大于治

　　重視網(wǎng)絡(luò)安全對一個(gè)具有前瞻性的組織來說至關(guān)重要。如果僅加強(qiáng)在IT方面的投資建設(shè)，盡管可以獲得短期增長前景，但也更容易讓企業(yè)暴露在長期網(wǎng)絡(luò)攻擊的風(fēng)險(xiǎn)中。就像疫苗對群體免疫至關(guān)重要一樣，現(xiàn)代企業(yè)的成敗往往取決于最薄弱的環(huán)節(jié)。好的進(jìn)攻就是最好的防守，企業(yè)需要先發(fā)制人建立防御機(jī)制，加強(qiáng)全面的網(wǎng)絡(luò)安全系統(tǒng)。