连接和无防御
这是2015年12月一个安静的下午。在乌克兰西部的伊万诺-弗兰科夫斯克地区，工人们正准备结束一天的工作，在寒冷的夜晚回家。在Prykarpattyaoblenergo控制中心(为该地区居民分配电力)内，运营商们的班次已接近尾声。突然，一系列前所未有的网络攻击发生了，他们惊讶地看着。这些袭击最终摧毁了乌克兰的部分电网，导致近25万居民断电。
这些针对三家地区配电公司的攻击，显示了几种复杂黑客技术的高超技术。其中包括鱼叉式网络钓鱼来获取假证书，利用软件应用程序(如办公生产力程序)中的漏洞，以及部署BlackEnergy 3恶意软件来渗透公用事业公司的网络。
图1
黑客能够获得公用事业公司虚拟专用网络的登录凭证，允许通过互联网访问监控和数据采集(SCADA)服务器。通过使用BlackEnergy恶意软件，攻击者切断了变电站的电源，并更改了密码。电力公司的工作人员被锁在电脑外面，眼睁睁地看着变电站一个接一个地下线。
然而，袭击者并没有就此止步。他们还同时袭击了另外两个配电中心，使关闭的变电站数量增加了近一倍，使超过23万居民陷入黑暗。而且，似乎这还不够，他们还关闭了三个配电中心中的两个的备用电源，让运营商自己在黑暗中跌跌撞撞。
不幸的是，这类事件正变得越来越普遍。2016年12月，乌克兰电网再次遭受类似攻击。2017年12月，沙特阿拉伯一家工厂的安全关闭系统被Triton恶意软件入侵，导致流程关闭。这种恶意软件是用来与核电站中常用的某些安全仪表系统(SIS)控制器交互的。
强大，却无能为力
大多数网络威胁都涉及身份盗窃——个人信息的大规模数据泄露和令人震惊的欺诈骗局，这些都导致了错误的个人数据共享。诸如此类的网络威胁集中于信息技术(IT)系统。这些系统包括个人电脑和设备，银行账户或私人健康数据，或公司数据库和电子邮件服务器。
与这些IT威胁一样严重的是，对人类和环境造成更严重、更少被人提及的后果是像乌克兰这样的隐形攻击。这些类型的攻击主要针对工业控制系统(ICS)。肇事者来自不同的地方。他们可能是敌对的国家政府、工业间谍或恐怖分子。
ics是世界上许多看不见但重要的控制关键基础设施的齿轮。他们控制着电网。他们测量水电站大坝的水位。他们让火车运行，让飞机在空中飞行。最重要的是，它们保护我们的安全。总的来说，ics构成了操作技术(OT)系统。
术语ICS指的是一套广泛的控制系统，包括SCADA、分布式控制系统(DCS)和安全仪表系统(SIS)。ics控制和监视用于制造、监视和移动产品的系统。这些系统有三种类型的组件:
- 现场设备，如传感器、阀门和开关;
- 现场控制器，如可编程逻辑控制器(PLC)、安全系统和远程终端单元(RTU);
- 人机界面(HMI)，例如工程工作站。
图2显示了一个典型的ICS体系结构及其关键组件。
图2: ICS架构
ICS趋势和漏洞
虽然传感器的低成本和连接的便捷性鼓励工业设施增加更多的传感器和控制，以提高效率和可靠性，但IT和OT系统的这种融合增加了网络威胁的风险，并开辟了需要保护的新攻击面。例如，IT专业人员现在正在ics控制下从他们的pc和手持设备监控进程，从而打开了一组新的漏洞，当操作控制与IT物理断开时不存在。
图3
由于这种快速扩展的数字化，许多ICS用户没有充分考虑所有已添加的传感器、控制器和其他连接组件。他们可能不清楚自己是如何连接到网络的。这方面的完整描述被称为数字配置管理。缺乏数字配置管理，资产所有者不知道需要保护哪些系统，也不知道正在使用的每个新数字设备中存在哪些功能。这种缺乏理解可能导致对控制/传感器软件升级和补丁缺乏足够的管理。这些升级通常包含针对新的或现有网络攻击漏洞的修复程序。
此外，大多数数字或机械设备供应商都要求对其控制系统进行在线实时监控，以保证质量。供应商所需的远程访问通过设备供应商的IT系统打开了另一个攻击窗口。
保护和防御
好消息是，人们已经听到了对ics进行更强有力的网络防御的呼吁。大多数关键基础设施资产所有者已经采用了美国商务部国家标准与技术研究所(NIST)的改善关键基础设施网络安全框架。
这个框架定义了五个基本的项目活动:
识别:发展组织的理解管理系统、资产、数据和能力的安全风险。
保护:制定和实施适当的保护措施确保提供关键基础设施服务。
检测:制定和实施适当的活动识别事件安全事件。
回复:开发和实施适当的活动来取行动关于检测到的安全事件。
恢复:开发和实施适当的活动来维护恢复和恢复的计划由于安全事件而损害的任何功能或服务。
例如，在保护计划下应用于发电资产的一些流程是:
- 供应链管理——实施流程以确保采购的设备和服务符合行业法规和组织的网络安全要求。
- 数字配置管理——知道你有什么数字设备，它是如何连接的，以及每个设备启用或使用哪些功能。
- 安全远程访问-供应商访问您的网络的安全协议。
- 补丁管理——实施一个流程，以确保在正确的时间执行正确的系统和软件更新。
- 加固网络资产-加固的一个例子是删除不必要的软件和更改默认密码，以减少攻击面。可以对设备进行加固以减少其攻击面。
发电行业进一步采用了NIST框架，并为发电、输电和配电以及电网控制中心制定了北美电力可靠性公司关键基础设施保护(NERC CIP)标准。
实现平稳的数字旅程
毫无疑问，企业将继续通过将流程和控制连接到网络来实现运营的数字化。网络攻击的威胁可能会导致一些企业领导人暂停或放慢他们的数字化之旅，但遵循NIST框架并解决上述问题的精心设计的网络安全计划可以促进进步，而不是阻碍进步。有了这些保障措施，企业可以继续利用工业控制数字化的最新技术，让每个人都免受伤害。
资源
- NIST改进关键基础设施网络安全框架:https://www.nist.gov/news-events/news/2018/04/nist-releases-version-11-its-popular-cybersecurity-framework
- NERC CIP标准:https://www.ferc.gov/industries/electric/indus-act/reliability/cybersecurity.asp
- 工业控制系统基础培训:https://ics-cert-training.inl.gov
