2015 年，黑色能源木馬襲擊了烏克蘭西部的伊萬(wàn)諾-弗蘭科夫斯克電站，導(dǎo)致 80,000 戶家庭斷電。該漏洞是通過(guò)魚(yú)叉式網(wǎng)絡(luò)釣魚(yú)電子郵件發(fā)送的，偽裝成烏克蘭議會(huì)的 Microsoft Office 附件，并且能夠刪除關(guān)鍵系統(tǒng)文件，特別是破壞工業(yè)系統(tǒng)。

隨著惡意軟件爆發(fā)的頻率越來(lái)越高，能源、化工、石油和天然氣等工業(yè)控制系統(tǒng) (ICS) 以及其他制造市場(chǎng)的網(wǎng)絡(luò)安全已成為一個(gè)緊迫的問(wèn)題。數(shù)字世界中的惡意攻擊會(huì)損害物理世界中的人和設(shè)備的想法有點(diǎn)發(fā)人深省。

根據(jù)卡巴斯基實(shí)驗(yàn)室進(jìn)行的一項(xiàng)廣泛而詳細(xì)的研究，威脅只會(huì)增加，近 40% 的工業(yè)計(jì)算機(jī)在 2016 年下半年遭受了網(wǎng)絡(luò)攻擊。



 

要阻止專門為利用已建立工廠和工廠中的所有漏洞和間隙而制造的東西，將需要比普通防火墻更多的時(shí)間。隨著新的智能制造技術(shù)和工業(yè)物聯(lián)網(wǎng) (IIoT) 的日益普及，弄清楚網(wǎng)絡(luò)到底發(fā)生了什么似乎更令人頭疼，更不用說(shuō)保護(hù)它了。

與其信任一個(gè)非常非常強(qiáng)大的防火墻（并希望它能夠抵御各種攻擊），關(guān)鍵是建立一個(gè)多層、多策略的防御系統(tǒng)，可以防止來(lái)自許多不同方面的安全漏洞，以及減慢攻擊者的速度，為您爭(zhēng)取時(shí)間做出反應(yīng)和反擊。

縱深防御是眾所周知的網(wǎng)絡(luò)安全理念，美國(guó)國(guó)土安全部和眾多國(guó)家組織已發(fā)布出版物，詳細(xì)介紹了推薦的 ICS 安全計(jì)劃和架構(gòu)。

基于縱深防御模型和我們?cè)?ICS 網(wǎng)絡(luò)方面的豐富實(shí)踐經(jīng)驗(yàn)，我們?yōu)榭刂葡到y(tǒng)工程師或負(fù)責(zé)管理網(wǎng)絡(luò)安全的主管匯總了一系列非常實(shí)用的操作項(xiàng)目。本白皮書(shū)的目標(biāo)是向您展示您現(xiàn)在可以解決的容易實(shí)現(xiàn)的目標(biāo)（以及一些容易實(shí)現(xiàn)的目標(biāo)），以加強(qiáng)您的 ICS。

你無(wú)法保護(hù)你不了解的東西，所以創(chuàng)建防御系統(tǒng)的步就是把所有東西都映射出來(lái)。在開(kāi)始之前確保所有文檔都是新的，并查看網(wǎng)絡(luò)圖以研究整個(gè)系統(tǒng)。

準(zhǔn)確了解當(dāng)前環(huán)境中運(yùn)行的內(nèi)容，例如網(wǎng)絡(luò)設(shè)備交換機(jī)、路由器、服務(wù)器、PLC、OIT 的 VFD 和其他工廠以太網(wǎng)設(shè)備。這還包括軟件組件，例如防火墻和訪問(wèn)網(wǎng)絡(luò)的應(yīng)用程序。了解您的硬件固件和軟件補(bǔ)丁是否是新的，甚至是否可以升級(jí)。供應(yīng)商可能不再積極支持某些較舊的產(chǎn)品，這可能會(huì)留下安全漏洞。

由于我們的目標(biāo)之一是堵住墻上的任何漏洞，因此您需要能夠區(qū)分什么是數(shù)據(jù)流的必要路徑（例如，發(fā)送數(shù)據(jù)用于報(bào)告目的）與什么是不必要的差距（例如，不再需要后門訪問(wèn)的舊設(shè)備）。

通過(guò)了解系統(tǒng)的目的及其終產(chǎn)品，您可以決定應(yīng)該發(fā)生哪些數(shù)據(jù)流以及允許哪些設(shè)備進(jìn)行通信以實(shí)現(xiàn)總體目標(biāo)。