处理已知和未知的操作技术(OT)威胁

第四次工业革命是技术的融合，模糊了物理和数字世界之间的界限，称为网络物理系统。它正在彻底改变那些支持我们通常看不到的事物的技术系统，如制造，运输，能源生产和分配，水和废物管理以及城市和建筑自动化。

可以理解的是，对操作技术（OT）和关键基础设施系统安全的认识正在提高。保护OT系统的工作正在顺利进行，但需要保持警惕并认识到建立安全的必要性。实现提供可见性，控制和实时态势感知的安全解决方案的能力是实现安全和更高效运营的差异化因素。

OT融合的风险

传统上，OT网络自主运行，完全隔离来自互联网和在同一组织中运行的IT网络。具有讽刺意味的是，OT数字化转型的一个标志就是推动与IT网络的融合。工作流，业务应用程序和数据需要在网络化系统之间以及从消费者到制造之间无缝流动。在OT环境中访问实时数据会对从能源生产到分销流程或影响生产车间的输出等各方面产生重大影响。这种访问使组织能够以更高的灵活性和效率响应消费者对所需商品和服务的需求。

然而，OT系统管理员正确地关注IT / OT融合的影响，这也是OT网络历史上首先出现空洞的原因之一。这种方法限制了攻击面的关注，因为OT环境没有扩展到外部网络。与IT融合的OT环境不仅非常容易受到传统的以IT为中心的网络攻击，而且容易受到基本IT功能的攻击，例如网络设备的主动扫描，这可能会导致原始设备无法使用，或者更糟糕的是，会导致整个系统崩溃。

大多数OT环境倾向于集成大量高价值资产，执行高端流程以生产消耗品，因此，只能承受最短的停机时间。重要的是要记住，OT网络的系统可用性不仅仅是保护资产。它还涉及保护那些对我们日常生活至关重要的资源，如水，天然气，运输和电力。因此，与IT网络不同，OT环境中的首要任务 - 尤其是那些提供关键基础设施的优先级 - 是安全性和可用性，安全性通常排在第三位。

因此，保护OT环境的正确方法是直接在网络架构中构建安全性，以确保安全性和系统可用性的保存至关重要。虽然这类似于传统的安全策略方法，但不要被愚弄。它需要适合OT独特要求的专业解决方案和策略。

解决已知和未知的OT威胁

随着OT和IT网络的融合，在IT / OT边界实施主动网络防御至关重要，不仅要防御不良行为者，还要保护精密，高价值的基础设施免受正常IT活动造成的意外损害。这包括三个步骤：

• 通过在OT网络边缘应用安全网关，然后实施基于签名的解决方案来识别和阻止已知威胁，解决已知且合理预期的威胁。但是，必须注意识别和实施流畅或支持OT协议，应用程序，设备和流程的解决方案。例如，许多传统的现成NGFW和IPS解决方案都没有提供安全性，通过主动设备扫描，流量拒绝或关闭端口或协议等操作，这些安全性也不会对OT环境造成风险。
• 解决未知威胁。首先，定义攻击面并对正常活动进行基线化，以便检测零日，您以前从未见过的现有恶意软件，操作员错误或受信任操作员强制执行的操作。在后一种情况下，运营商可能历来获得信任，但无论出于何种原因，现在要么以感知的恶意方式行事，要么他们的访问受到恶意行为者的侵害。
• 信任评估需要实时进行。持续，实时信任评估的价值在于，它可以在恶意行为影响实时操作之前对其进行检测和分析。为什么这很重要？使用Purdue模型来说明OT网络体系结构表明，穿透到2级以下可以在工厂底层附近提供攻击者访问，其中操作物理操作不断发生。如果攻击者可以在该根级别触发故障，则进程可能会失败 - 或者更糟糕的是，系统可能会失控。例如，在制造环境中，流程故障可能会迅速升级，如果未被发现，会在生命受到威胁且高价值资产遭到破坏的情况下造成灾难性损害。

分层分割和多因素控制

一个重要的OT安全功能是在Purdue架构的每个级别上行为识别和控制通信和网络流量。要实现这种意识，需要将安全控制集成到每一层。在分层体系结构中实现此级别安全控制的推荐方法是通过客户端身份验证。

控制OT网络架构中的访问的优选方法是使用多因素认证方案实现分层分段。这样，如果受信任的运营商在SCADA层工作，则影响OT过程和完成分配任务的能力仅限于直接环境。访问控制禁止访问和执行会影响网络体系结构中相邻的北/南或东/西OT段的操作。

采用提供分层分段的身份验证方案至关重要，尤其是在网络架构跨越多个生产线的关键制造领域。运营商和最终用户都可以受到分层分段和多因素身份验证的约束，并受规则限制在其专有的OT环境中。根据设计，这种方法通过恶意软件传播到直接控制区域之外的任何区域，无法直接或间接地造成伤害。

实时网络安全分析

在任何OT网络架构中，完成对任何已知恶意代码，未知代码或不规则指令的快速识别是必不可少的。检测，分析和中和任何潜在威胁的能力取决于对正在执行的所有指令的实时分析。这种做法的实施确保了实时操作始终受到保护，并且系统安全性是透明的，同时擅长阻止任何超出策略的行为或指令。

无论意图如何，实时事件分析都能提供一致的保护。它是公正的，并通过速度分析提供检测，以防止精心策划的攻击，以及在执行OT进程时不小心提交错误的操作员。这种方法忽视了假定的信任，而是寻求保护OT系统和企业的高价值资产。因此，即使在通过使用社交工程和最终伪装成合法用户的不良行为者的平台妥协的情况下，安全事件的实时检测也排除了对实时操作的任何影响。

将这种做法扩展到Purdue模型的2级以下同样重要，并且最终需要识别可能看起来真实的不良指令。入侵者将新指令巧妙地注入系统或影响唯一OT协议的能力可能导致真正的财务甚至物理损害，可能会超出正常的检查水平。这就是为什么检测OT的Purdue模型的2级以下的异常需要深度数据包检查，以便理解协议级别的行为，这是在最基本层的OT域中专门使用的语言。

低于2级的速度分析需要识别影响过程控制或物理工厂底层的恶意行为。钻取Purdue模型的2级以下需要了解调节与PLC或RTU通信的OT特定协议行为。虽然这些是更原始的通信类型，但OT系统依赖于它们，并且必须在这些通信能够到达其预期目标之前识别并停止在该级别上识别恶意行为。这需要大多数IT安全策略和解决方案根本无法提供的响应水平。

OT系统可以实现这种努力的成功，因为安全性集成在整个网络架构中，以提供为OT环境设计的可见性，控制和安全性。这是保护关键资产和维持安全运营所必需的主要防线。保护和保护其他脆弱但高价值的OT系统资产的前进取决于利用先进解决方案并认识到防御性持久性需求的主动战略。

我们是专业蜜罐产品厂商，

只做商业化蜜罐产品。

有需求联系我们～～～

电话：400-7676-888

停止黑客肆虐内网

数据机器人