1月13日,工信部印發(fā)《工業(yè)互聯(lián)網(wǎng)創(chuàng)新發(fā)展行動(dòng)計(jì)劃(2021-2023年)》,提出了5個(gè)發(fā)展目標(biāo)、11個(gè)重點(diǎn)任務(wù),“安全保障能力”成為重點(diǎn)。在此背景下,亞信安全建議行駛在數(shù)字高速路上的工業(yè)企業(yè),通過拉長縱深區(qū)域,在IT與OT之間的緩沖區(qū)內(nèi)建立安全生態(tài)圖,并以安全自適應(yīng)為基礎(chǔ),精密編排各節(jié)點(diǎn)需要的安全能力,進(jìn)而實(shí)現(xiàn)縱深防御的整體安全能力。
默默運(yùn)行的物聯(lián)網(wǎng)設(shè)備,可能是突然“引爆”的安全炸彈
物聯(lián)網(wǎng)設(shè)備的大規(guī)模部署是行業(yè)數(shù)字化轉(zhuǎn)型的重要標(biāo)志之一,為了增強(qiáng)物聯(lián)網(wǎng)設(shè)備的可管理性,并推動(dòng)人工智能應(yīng)用創(chuàng)新,越來越多的企業(yè)選擇了“云-邊-端”的協(xié)同架構(gòu),并通過邊緣計(jì)算或是云系統(tǒng)來統(tǒng)一匯聚、存儲(chǔ)、分析物聯(lián)網(wǎng)設(shè)備所產(chǎn)生的海量數(shù)據(jù)。在該應(yīng)用架構(gòu)內(nèi),物聯(lián)網(wǎng)設(shè)備更像是龐大系統(tǒng)中的“微小零部件”,管理人員很難獲得針對(duì)這些物聯(lián)網(wǎng)資產(chǎn)的足夠可視性與安全管理能力,進(jìn)而因?yàn)槲锫?lián)網(wǎng)設(shè)備的安全漏洞給不法分子留下機(jī)會(huì)。
工業(yè)互聯(lián)網(wǎng)設(shè)備的廣泛性與復(fù)雜性意味著,任何一個(gè)微小的安全隱患,都有可能成為一起嚴(yán)重安全攻擊事故的序幕。例如,在公開的互聯(lián)網(wǎng)環(huán)境下,我們依然可以輕松搜索到環(huán)境傳感、資源監(jiān)控等物聯(lián)網(wǎng)系統(tǒng)的人機(jī)界面 (HMI),通過這些 HMI,不少信息都被暴露在外,如即時(shí)的能源產(chǎn)量,甚至還包括系統(tǒng)關(guān)機(jī)和重啟等重要的操控選項(xiàng),黑客可以監(jiān)控并利用這些系統(tǒng)的信息。其次,黑客還會(huì)利用這些物聯(lián)網(wǎng)設(shè)備上存在的一些漏洞,植入相應(yīng)的惡意程序,控制物聯(lián)網(wǎng)設(shè)備發(fā)起DDOS攻擊行動(dòng),甚至是發(fā)起一次影響深遠(yuǎn)的APT攻擊行動(dòng)。
而這些網(wǎng)絡(luò)攻擊一旦發(fā)生,所造成的風(fēng)險(xiǎn)可能是災(zāi)難性的。近年來,媒體曝光的能源黑客攻擊事件此起彼伏,涉及到全球各國的水壩、電站、交通樞紐等重要的基礎(chǔ)設(shè)施。通過對(duì)于物聯(lián)網(wǎng)設(shè)備與系統(tǒng)的攻擊,網(wǎng)絡(luò)犯罪分子能夠侵入到企業(yè)核心的工控系統(tǒng)之中,不僅竊取機(jī)密的數(shù)據(jù),還可能會(huì)關(guān)閉這些關(guān)鍵的基礎(chǔ)設(shè)施,導(dǎo)致業(yè)務(wù)中斷,造成連帶經(jīng)濟(jì)損失與社會(huì)風(fēng)險(xiǎn)。
拉長縱深區(qū)域?qū)崿F(xiàn)戰(zhàn)略緩沖 通過管道策略實(shí)現(xiàn)縱深防御
物聯(lián)網(wǎng)安全環(huán)境的復(fù)雜性、敏感性意味著,想要一勞永逸地解決工控安全問題可能性很低。因此,亞信安全建議工業(yè)企業(yè)用戶建立并拉長安全縱深緩沖區(qū),通過建立多重防御、實(shí)現(xiàn)多重隔離的方式消耗攻擊強(qiáng)度,實(shí)現(xiàn)戰(zhàn)略緩沖,并通過管道策略實(shí)現(xiàn)數(shù)據(jù)分類過濾,滿足縱深防御的要求。這一戰(zhàn)略還將進(jìn)一步演化為依據(jù)工控系統(tǒng)威脅情報(bào)的主動(dòng)防御體系,構(gòu)建基于白名單策略、維護(hù)可信可控的系統(tǒng)運(yùn)行環(huán)境。
圖:建立工控IT+OT立體防護(hù)系統(tǒng)
在現(xiàn)階段,要保護(hù)工業(yè)物聯(lián)網(wǎng)設(shè)備的安全,首當(dāng)其沖的是強(qiáng)化物聯(lián)網(wǎng)資產(chǎn)的梳理,工業(yè)企業(yè)需要杜絕“資產(chǎn)信息不清、配置信息不清、管理方式不清”的現(xiàn)象,梳理清楚企業(yè)內(nèi)部存在的物聯(lián)網(wǎng)設(shè)備數(shù)量、種類、狀態(tài)等基礎(chǔ)數(shù)據(jù)的前提下,對(duì)于物聯(lián)網(wǎng)設(shè)備進(jìn)行統(tǒng)一管理,增強(qiáng)物聯(lián)網(wǎng)設(shè)備的安全可視性。此外,工業(yè)企業(yè)部署建設(shè)IT+OT立體縱深防護(hù)系統(tǒng),在IT側(cè)實(shí)現(xiàn)面向網(wǎng)絡(luò)流量及攻擊行為的監(jiān)測(cè)和防護(hù),在OT側(cè)提升端點(diǎn)防護(hù)、邊界防護(hù)等產(chǎn)品的部署,構(gòu)建基于自學(xué)習(xí)的白名單規(guī)則,有效防范未知的安全威脅。
圖:亞信安全自適應(yīng)工控安全解決方案
面向工業(yè)企業(yè)的安全防護(hù)需求,亞信安全推出了自適應(yīng)工控安全解決方案,該解決方案包括可通過龐大的工業(yè)漏洞庫和威脅庫及自定義規(guī)則,抵御已知的網(wǎng)絡(luò)攻擊行為的工控防火墻;可通過內(nèi)置的工控協(xié)議深度解析引擎,實(shí)時(shí)監(jiān)測(cè)工控網(wǎng)絡(luò)中違規(guī)行為的工控流量審計(jì)系統(tǒng);可對(duì)用戶、授權(quán)、審計(jì)、策略、資源等集中管理并記錄審計(jì)的運(yùn)維安全管理與審計(jì)系統(tǒng);可對(duì)各種安全設(shè)備進(jìn)行統(tǒng)一管理、配置、授權(quán)和響應(yīng)的工控安全管理系統(tǒng),以及工業(yè)安全衛(wèi)士/主機(jī)加固、工控安全便攜系統(tǒng)等產(chǎn)品,可以幫助工業(yè)企業(yè)構(gòu)建自適應(yīng)安全治理模型,實(shí)現(xiàn)資產(chǎn)可視化管理以及精準(zhǔn)的威脅發(fā)現(xiàn),從而全面防御針對(duì)工業(yè)系統(tǒng)的攻擊。
