七步提高ICS和SCADA工控系統安全

? ? 網絡安全在過去的兩年時間為工業自動化行業真正敲響了警鐘。有史以來工業自動化行業首次成為Stuxnet，Nignt Dragon和Dugu等復雜網絡攻擊的目標。

? ? 另外，工業控制產品也出現了前所未有的大規模的安全漏洞。對制造業和關鍵基礎設施行業的專業人員來說，網絡安全很快就成為了一個最嚴重的棘手問題。

? ? 如果你是一名過程控制工程師，或者公司自動化部門的IT專業人員，或是負責安全保障的業務經理，你可能很想知道你的企業如何才能實施更穩健的網絡安全措施。

? ? 為了提供一些這方面的指導，John和我從多個工業標準和最佳措施文檔中收集總結了一些資料，同時結合我們在評估多個工業控制系統后得到的經驗，給出了以下7個易于遵循的步驟。

第一步—評估現有系統

? ? 你需要做的第一步是進行風險評估，量化并評定對你的業務有威脅的風險等級。這一點很重要，這樣的話你就能知道如何重點合理地安排你的安全資金和工作方向。我們經常看到一些跳過風險評估這一步的做法，結果導致公司將錢投入到解決次要風險的方案中，一些更嚴重的主要風險卻未被解決。

? ? 風險評估似乎是一項令人頭疼的工作，然而如果你采取一個簡單的、輕量級方法，風險評估其實是很容易進行的。我們的白皮書提供了一個范例，以及如何進行評估的一些技巧。

第二步—制定政策和規程

? ? 我們強烈建議組織機構制定針對ICS的文檔，描述和控制系統安全相關的公司政策，標準和規程。根據我們的經驗，分開的ICS安全文檔對那些負責ICS安全的人員很有用，能夠幫助他們清楚的理解他們的期望值和責任。

? ? 同樣，你也應該熟悉一些行業相關的安全規程和標準。

第三步—對員工和承包商進行培訓

? ? 制定策略和規程后，需要確保員工能熟悉并遵守這些規程。在高層管理人員的支持下，對所有合適的員工制定一個培訓計劃。接下來就是實施培訓。我們強烈建議對控制系統安全進行基于角色的培訓，同樣，在白皮書中我們也提供了一個范例。

第四步—對控制系統網絡進行分區

? ? 網絡分區是提高工業自動化系統安全的最重要的具有策略性的一步。在 “No More Flat Networks Please”一文中，我已談論過這點。白皮書結合一個高級的網絡結構圖，對“區域”和“通道”的概念進行了解釋。

第五步—控制對系統的訪問

? ? 將系統劃分成不同的安全區域后，下一步就是要控制對這些分區中的設備的訪問。同時提供物理上和邏輯上的訪問控制是很重要的。

? ? 典型的物理訪問控制包括柵欄、上鎖的門和上鎖的機柜。這樣做的目的就是限制只有出于工作需要的人才能訪問關鍵的ICS設備。

? ? 同樣的概念也適用于邏輯訪問控制，包括多級控制和身份驗證的理念。一旦驗證通過，就授權用戶執行特定的功能。

第六步—增強組件

? ? 增強系統組件的意思包括鎖定系統中各組件的功能，防止未經授權的訪問或更改，移除不必要的功能特性，修補任何已知漏洞。

? ? 在廣泛使用現成的商業化技術的現代控制系統中，這點尤為重要。在這類系統中，禁用未使用的功能，確保將配置選項設定為最安全的設置是很重要的。

第七步—監控并維護系統安全

? ? 作為一名工業控制系統的所有者或操作者，在監控并維護系統整個生命周期的安全時必須時刻保持警惕。不僅需要更新殺毒軟件以及在Windows服務器上安裝安全補丁，同時還需要監控系統的可疑活動。

? ? 最后，定期檢測并評估系統也很重要。評估系統包括定期審計系統配置是否仍然安全，也包括依據最新的標準和最佳實踐更新安全措施。

并非一次性工程

? ? 現在的問題是有效的ICS和SCADA安全并不是一次性工程，而是一個持續的、反復的過程。當系統、人員、商業目標或系統威脅發生改變時，你需要重復這七個步驟，更新相應的材料和措施。

? ? 你的努力工作將會使你的企業運營得到最大的保護，從而預防各種破壞、安全事件和最新網絡安全威脅給企業造成損失。