• IT/OT環境的安全于挑戰

    -回復 -瀏覽
    樓主 2021-01-30 09:01:42
    舉報 只看此人 收藏本貼 樓主
    華為論壇OT意為Operational Technology,主要用于生產環境中,對工廠、基建設施中的自動化控制系統提供支持,監測生產環境以及確保正常生產的軟硬件技術。

    【編者按】如今的環境當中,攻擊者的目標已經逐漸從IT環境轉移到OT環境。對于制造業和關鍵基礎設施——尤其是關鍵基礎設施企業,保護自身的OT環境已經變得尤為重要。OT環境不僅僅影響到企業自身的生產與安全,很多關鍵基礎設施更是與社會和國家安全息息相關。OT環境很難離開IT環境,使得安全方案變得更為困難。但是,無論是從合規角度,還是從自身生產利益角度,或者是最重要的社會角度,OT環境的安全都必須被放在極高的位置。

    本文首發于安全牛公眾號,作者星云;經編輯,供行業人士參考。


    近年來,制造業和基建設施受到的攻擊日益增多——電力、天然氣、自來水,甚至核電設備都受到了黑客多種的攻擊。不同于IT系統的安全問題,最大的威脅可能是商業業務的停滯以及信息的泄露;OT環境一旦受到攻擊,就很有可能會對環境以及人生帶來直接的傷害。隨著攻擊者逐漸將攻擊目標轉移到了OT上,安全也必須緊跟而上,確保OT的安全。另外,我們同樣需要注意到,OT與IT是不分離的;因此,制造業和基建的安全訴求是IT與OT融合的安全訴求。

    OT/IT面臨的安全風險

    OT/IT環境面臨的風險是多樣性的,攻擊者的攻擊目標也是涵蓋多個方面的,主要有以下一些方向:

    1. OT/IT本身復雜的環境:OT很難單獨于IT存在,OT的環境往往伴隨著IT系統與設備。因此,對于整個環境,互連的設備更多,也就容易暴露更多的攻擊點。

    2. OT與IT并不完全相同的安全訴求:對于IT系統,安全注重于機密性、完整性以及可用性上;而對于OT環境,安全更重要的是對于外在世界的安全性和可靠性、過程可用性、可預測性、生產數據的可靠性以及非破壞性。因此,對于制造業和基建等安全,需要考慮的是IT和OT相結合的安全,而不是單單一方面的解決方案。

    3. OT系統自身的缺陷:很多關鍵的基礎設施系統都是持續建立的,因此對這些系統進行補丁以及升級會很困難,這些基礎設施的安全性會越來越弱。而過去的事件中可以發現,工業控制系統在逐漸成為受到攻擊的關鍵點,并且越來越容易受到攻擊者攻擊。

    4. 工控系統數據的安全性:工控系統產生的數據是很多攻擊者的攻擊目標——和IT系統中很多的個人信息一樣,這些都是敏感數據。OT環境下同樣需要保護敏感數據。但是,對于安全廠商來說,面臨的一大挑戰就是要去收集和分析這些數據,才能對他們進行保護。而這對于很多傳統的互聯網安全公司,可能不是那么容易。

    5. 針對OT人員的攻擊:和IT環境一樣,OT環境中的工作人員同樣會成為各類社會工程學、釣魚攻擊的目標。攻擊者期望目標可能是企業的財政,也很可能是制造商的商業機密、內部信息等等。

    OT安全的幾大根源

    根據上述的幾點,我們繼續深究制造業和基建的安全隱患,可以發現,OT/IT環境的問題根源來自以下幾點:

    1. 大約50%的工控系統漏洞屬于二級漏洞(針對感應器的攻擊,改動他們的讀數或者相關數值設定)。而即使如此,這些漏洞依然被標記為了“高?!?。另外,攻擊者也會通過攻擊工控系統逐漸攻入整個核心系統,造成更大的影響。

    2. 在針對OT系統的攻擊當中,有74%的攻擊采用了“注入意外項目”的攻擊方式。與IT相關的攻擊進行類比來看,這種攻擊類似于SQL注入:通過在命令中惡意輸入其他數據來嘗試擾亂與控制系統。安全廠商和企業顯然要針對這個攻擊進行防護,對指令的輸入等進行監控和過濾。

    3. 攻擊者主要來自于外部人員——超過90%的攻擊來自于外部人員。這些外部人員包括資金充裕的黑客、有組織的犯罪集團和民族國家攻擊者等。同時我們必須注意到,在剩下的9%的攻擊人員中,有5%是因為疏忽的內部人員以及4%的惡意人員。

    OT安全的解決理念

    在我們意識到了制造業和基建設施這些安全問題的核心后,我們就可以著手去解決這些和新聞。盡管OT環境與IT環境有一定的差異,而相互的融合又使得具體的落地方案更加復雜。但是,安全本身的理念是相通的,不同的只是具體的落地解決方案和采用的技術:

    1. 集中式補丁修復,注意數據輸入“衛生”:既然知道了現在最多的攻擊類型是注入型攻擊,那么企業就應該進行相對應的防御。而針對于這類攻擊,最直接的防御方式就是對系統進行補丁升級與漏洞修復。然而,正如前面所言,工控系統的問題之一是設備繁多,設計相對封閉與獨立,不易于統一進行升級,那么在選取相關的安全廠商時,則需要尋找有相對能力的安全廠商。

    2. 終端與事件的響應:工控數據的復雜性造成了對于注入型攻擊的識別困難,但是終端需要通過快速識別和檢測注入來應對這種最主流的攻擊方式。另一方面,這些OT系統本身的性質決定了他們無法隨意地進行阻斷或者停止服務來阻止攻擊的擴散。所以,企業需要一支專業的響應團隊來應對事件的發生。

    3. 威脅情報進行攻擊預防:考慮到很多的工控攻擊是來自于有組織的外部攻擊者,如果企業有威脅情報進行輔助,就能在攻擊發生前意識到自己面臨的風險,從而進行相對應的防護。

    4. 敏感信息保護:制造業除了維持日常生產的安全,還要對自己的商業機密進行額外的保護。因此,企業需要一套對數據資產的保護措施,從數據的生成、存儲、使用、共享、歸檔與銷毀,建立完善的數據保護制度,并根據相對應的要求,從技術上對數據進行保護。

    IBM的制造業解決方案

    根據以上的解決問題的思路,我們這里以IBM為例,看一下IBM是如何進行OT環境的防護的:

    1. 各個保護對象的防御點:工控安全的第一保護對象依然是整個OT環境,因此IBM擁有不同的工具,對不同領域進行了防御:

    Check Point:Check Point是一款低成本的網絡通信傳感器。它可以通過檢測網絡流量數據來發現SCADA協議中的異常。

    Verve Industrial:Verve Industrial是一款端點保護工具。對OT環境中的終端設備進行防護。

    Security Matters:Security Matters則是對網絡異常狀態的檢測工具。它支持廣泛的工業協議,從而可以應對大部分復雜的OT環境,能檢測到配置錯誤的設備。

    2. 各個防御點的集成者QRadar:OT環境是整個環境,僅僅靠數個防御點來保護是遠遠不夠的——因此需要IBM的SIEM系統QRadar對各個防御點進行集成,從而實現整個防御體系的聯動。QRadar不僅能結合各個不同防御工具的日志,幫助安全運維人員做出更好的分析,更能結合各個防御點,讓各個防御系統不再是單兵作戰,而是能聯動形成一個防御網——用防御的體系來應對一個環境。更重要的是,QRadar和IT/OT/IoT的合作伙伴進行集成,可以持續地對OT系統進行防護——包括困難的系統升級與補丁功能。

    3. 威脅情報IBM X-Force Exchange:IBM的一個重要的優勢在于他們強大的威脅情報能力。X-Force Exchange每天監控超過150億的安全事件、從2.7億個終端實時獲取全球威脅情報、監控超過250億網頁和圖片、擁有全球最大的漏洞數據庫之一以及超過800萬的垃圾郵件外加網絡釣魚攻擊深度情報和超過86萬的惡意IP地址信譽庫。通過大量的威脅情報,制造業企業和基建設施可以提前了解到自己是否會受到哪些黑產的攻擊。

    4. Resilient響應平臺:如果說之前的方案都是針對事件發生前對系統的防護,那么Resilient安全事件響應平臺則是專門針對安全事件的專家。很多制造業以及關鍵基礎設施缺乏自身專業的安全團隊,因此在面對攻擊時往往缺乏有效的應急手段。而Resilient平臺則可以幫助網絡安全團隊協調其響應流程的平臺,可以解決由于網絡安全技能短缺,安全警報不斷增加,難以完成的事件響應流程和混亂的監管環境等問題。


    我要推薦
    轉發到
    牛彩官网