定义21世纪.PDFVIP

定义 21 世纪 ICS 网络安全 Mario Chiock，CISSP，CISM ，CISA ，执行顾问 网络安全与颠覆性技术 Del Rodillas，GICSP，MSEE，MBA，董事 工业网络安全产品营销 Palo Alto Networks | 定义 21 世纪 ICS 网络安全| 白皮书 1 执行摘要 随着信息技术的广泛应用和网络连接性的普遍增强，关键基础设施和制造业中的 SCADA 和工业控制系统实现了前所未有的灵 活性和高效性，实现了大量成本节约。工业物联网（或称 IoT ）开始兴起，赋予了人们新的能力，如预测维修等，甚至催生了 新的商业模式。但与此同时，这种现代化也带来了 IT 漏洞和其他威胁因素等弊端，并越来越频繁地被国家主体、网络犯罪人 员和恶意内部人员等恶意执行者利用。近年来，针对关键基础设施和制造业资产所有者的攻击数量和复杂程度不断上升。我 们在真实案例中可以看到关键流程中断，甚至 ICS 设备遭到破坏的情况。提高 ICS 安全性的迫切需求日益凸显，在许多组织中 已经上升为董事会级别问题。 虽然 IT 管理员一直在快速部署最新和最先进的技术和实践来保护企业环境，但操作技术 (OT) 管理员却没有那么积极。他们对 工业流程的可用性和性能受到的影响极为敏感，导致其更倾向采用偏于保守和严格的安全部署和维护方法。例如，为了尽量减 少对原有流程的改动，有时是由于流程的自身性质，导致维护周期超过 12 个月，甚至以几年为周期的系统并不少见。在这样 的时间窗口中，软件修补无从谈起，也无法更新抗病毒软件签名。而有时，管理员由于担心意外受阻或性能下降，不愿意采用 网络 IPS 或防毒软件等内联防护。类似的产品只在检测模式下使用，或完全丢弃。即使是 IT 环境中常见的实践（如漏洞扫描） 也可能导致工业控制器发生故障或拒绝服务，这些控制器并未专门设计应对此类事件。这些限制使得对 ICS/SCADA 环境的保 护过程，既具独特性，又困难重重。 结果，许多组织仍在使用过时的安全技术，这些技术在孤岛中运行，难以管理，只能提供有限的情景感知，无法提供需要 的预防性安全功能。这些组织沦为攻击者的主要目标，攻击者可能会利用类似的环境作为实施复杂攻击的效果测试平台。然 而，对于那些此前从未见过的攻击和不断演变的威胁毫无招架之力，才是更大的隐患。因此必须采取行动，具备应对能力， 才能更好地保护 ICS 。 我们需要为 21 世纪的 ICS 环境构建全新的安全平台，妥善保护控制系统安全，避免遭受新型威胁的影响。必须整合多种核心 技术，具备防范高级攻击的能力。这种整合还必须允许接口利用自身服务以及其他支持技术，以自动化的方式发出警告，执 行安全操作。它还必须促进组织内部和同类组织之间的信息共享。不法分子会合伙攻击目标，合作用户也必须团结起来。 在本白皮书中，我们将一同探讨定义工业控制系统安全平台的九种核心能力。这种安全平台： 1. 将网络和端点安全与威胁情报核心集成。 2. 基于应用程序和用户而非端口和 IP 分类流量。 3. 支持细粒度网络分段，包括基于角色的访问。 4. 本机阻止已知威胁。 5. 检测并预防未知的恶意软件攻击。 6. 阻止对端点的零日攻击。 7. 提供集中管理和报告。 8. 保护移动和虚拟技术的使用安全。 9. 具有强大的 API 和行业标准管理接口。 有了这些能力，组织就能更好地阻止高级威胁，通过灵活调整和扩展，有效应对不断演变的威胁。 简介 工业控制系统的演变 用于监测和控制工厂车间和关键基础设施（如变电站和石油钻塔）工业流程的自动化系统有许多种叫法：工业控制系统 (ICS) 、 监管控制和数据采集 (SCADA) 、分布式控制系统 (DCS) 等。这些系统（本文统称“ICS”）在最近几十年里获得了显著的发展。 曾经使用串行通信技术互联的隔离专有系统，现在利用商用现货产品 (COTS) 和互联网协议，形成了在地理位置上分散的高度 互联系统。信息技术和操作技术，即 IT 和 OT 的融合，使得许多关键基础设施和制造业资产所有者实现了巨大的生产效率和成 本节约提升。随着移动、虚拟化，甚至基于云的各类组件的部署，预期将获得更高效益。 Palo Alto Networks | 定义 21 世纪 ICS 网络安全| 白皮书 2 ICS 网络威胁新形势 从经济上，IT-OT 一体化已经为许多资产所有者带来了优势。但伴随这些好处，也给各种各样的网络威胁留下了可乘之机，资 产的可用