確保發(fā)電廠、水處理設(shè)施、運(yùn)輸系統(tǒng)和其他關(guān)鍵基礎(chǔ)設(shè)施的硬件和軟件系統(tǒng)的安全，需要網(wǎng)絡(luò)可見性、脆弱性評估和整體戰(zhàn)略和事件響應(yīng)計(jì)劃。

　　隨著國家越來越依賴技術(shù)為關(guān)鍵基礎(chǔ)設(shè)施和政府運(yùn)作提供動力，確保運(yùn)營技術(shù)的需求變得越來越重要。OT包括用于控制和監(jiān)測電廠、水處理設(shè)施、運(yùn)輸系統(tǒng)和其他關(guān)鍵基礎(chǔ)設(shè)施的物理過程的硬件和軟件系統(tǒng)。這些系統(tǒng)在確保社區(qū)安全和福祉方面發(fā)揮著至關(guān)重要的作用，對其運(yùn)行的任何破壞都可能造成嚴(yán)重后果。

　　確保OT安全的挑戰(zhàn)在于，這些系統(tǒng)是為了可靠性和安全性而開發(fā)的，而不是為了安全性。許多OT系統(tǒng)是在幾十年前開發(fā)的，并不是為了連接到互聯(lián)網(wǎng)或其他外部網(wǎng)絡(luò)而設(shè)計(jì)的。因此，它們往往缺乏基本的安全功能，如加密、身份驗(yàn)證和訪問控制。OT系統(tǒng)也很難更新或打補(bǔ)丁，因?yàn)樗鼈兺ǔＩ钋对诨A(chǔ)設(shè)施中，不容易更換或升級。

　　盡管存在這些挑戰(zhàn)，安全團(tuán)隊(duì)采取措施保護(hù)OT系統(tǒng)以防止網(wǎng)絡(luò)攻擊和惡意威脅至關(guān)重要。以下是提高OT安全性和抵御現(xiàn)代威脅媒介的六個步驟計(jì)劃。

　　1.將可見性擴(kuò)展到融合的IT/OT部分，對網(wǎng)絡(luò)上的所有資產(chǎn)進(jìn)行盤點(diǎn)。

　　首先識別所有連接到網(wǎng)絡(luò)的設(shè)備和系統(tǒng)，以及任何漏洞或潛在的攻擊媒介。然后可以使用這些信息來開發(fā)一個全面的安全策略，以解決每個系統(tǒng)的獨(dú)特風(fēng)險(xiǎn)和挑戰(zhàn)。

　　許多組織都有大型、復(fù)雜的網(wǎng)絡(luò)，其中包括廣泛的OT系統(tǒng)，通常跨越多個設(shè)施和地理位置。如果不清楚網(wǎng)絡(luò)上有什么，就很難制定有效的安全計(jì)劃。此外，許多OT系統(tǒng)不是集中管理的，這使得跟蹤所有正在使用的設(shè)備和系統(tǒng)變得具有挑戰(zhàn)性。

　　獲得更好的OT系統(tǒng)和資產(chǎn)可見性的一種常見方法是使用網(wǎng)絡(luò)評估工具，該工具可以根據(jù)IP地址或其他網(wǎng)絡(luò)標(biāo)識符識別設(shè)備和系統(tǒng)。這些工具可以配置為評估整個網(wǎng)絡(luò)或特定子集。他們可以提供每臺設(shè)備的詳細(xì)信息，包括制造商和型號、操作系統(tǒng)和安裝的軟件。但是，安全團(tuán)隊(duì)?wèi)?yīng)該確保為OT環(huán)境選擇經(jīng)過驗(yàn)證的或?qū)ｉT構(gòu)建的工具，因?yàn)殄e誤的工具集可能會造成更大的損害。

　　另一種發(fā)現(xiàn)方法是使用被動網(wǎng)絡(luò)監(jiān)控工具根據(jù)網(wǎng)絡(luò)流量識別設(shè)備和系統(tǒng)。這些工具可以檢測和分析網(wǎng)絡(luò)流量，以識別可能表明存在OT系統(tǒng)的模式和異常。這種方法對于識別網(wǎng)絡(luò)掃描工具可能看不到的設(shè)備特別有用，例如不使用標(biāo)準(zhǔn)網(wǎng)絡(luò)協(xié)議的遺留系統(tǒng)。被動監(jiān)控在OT部署中也有局限性，因?yàn)樵S多這些設(shè)備在設(shè)計(jì)為在低帶寬環(huán)境中運(yùn)行時，除非與之通話，否則不會說話。

　　2.評估OT漏洞和安全狀態(tài)

　　一旦在網(wǎng)絡(luò)上發(fā)現(xiàn)了資產(chǎn)，下一步就是評估其安全狀態(tài)并識別任何漏洞或潛在的攻擊媒介。除了補(bǔ)丁管理之外，安全團(tuán)隊(duì)不僅要知道他們在哪里容易受到攻擊，還要了解跨攻擊路徑的資產(chǎn)、暴露、錯誤配置、特權(quán)和威脅之間的關(guān)系。此信息有助于確定漏洞補(bǔ)救和其他安全工作的優(yōu)先級，同時釋放資源以專注于關(guān)鍵任務(wù)工作。

　　對于這一步，考慮使用漏洞評估工具來識別軟件和操作系統(tǒng)中的已知漏洞。這些工具還可以檢查是否符合行業(yè)標(biāo)準(zhǔn)和最佳實(shí)踐，例如國家標(biāo)準(zhǔn)與技術(shù)研究所的網(wǎng)絡(luò)安全框架或工業(yè)控制系統(tǒng)的ISA/IEC62443安全標(biāo)準(zhǔn)。

　　滲透測試是另一個重要的策略。滲透測試涉及模擬對系統(tǒng)的真實(shí)攻擊，以識別弱點(diǎn)，例如可能被攻擊者利用的錯誤配置或客戶代碼漏洞。滲透測試甚至可以揭示特定于特定OT環(huán)境的弱點(diǎn)。

　　滲透測試是另一個重要的策略。滲透測試涉及模擬對系統(tǒng)的真實(shí)攻擊，以識別弱點(diǎn)，例如可能被攻擊者利用的錯誤配置或客戶代碼漏洞。滲透測試甚至可以揭示特定于特定OT環(huán)境的弱點(diǎn)。

　　將自動化漏洞評估工具與滲透測試相結(jié)合，是識別漏洞緩解并確定其優(yōu)先級的有效“一二二”組合。

　　3.制定全面的OT安全計(jì)劃

　　一旦確定了漏洞，下一步就是制定一個全面的安全計(jì)劃，以解決每個系統(tǒng)的獨(dú)特風(fēng)險(xiǎn)和挑戰(zhàn)。這可能涉及實(shí)施技術(shù)控制，如防火墻、入侵檢測系統(tǒng)、特權(quán)訪問管理和加密，以及管理控制，如訪問控制、安全策略和程序以及員工的安全意識培訓(xùn)。

　　考慮OT系統(tǒng)的物理安全性也很重要。訪問控制、視頻監(jiān)控和報(bào)警系統(tǒng)等物理安全措施可以幫助防止對OT系統(tǒng)的未經(jīng)授權(quán)訪問，并降低物理損壞或破壞的風(fēng)險(xiǎn)。

　　4.保持OT系統(tǒng)的更新

　　保護(hù)OT系統(tǒng)的另一個重要方面是確保它們得到適當(dāng)?shù)木S護(hù)和更新。對于許多OT系統(tǒng)來說，這可能是一個挑戰(zhàn)，因?yàn)樗鼈兛赡芎茈y在不中斷關(guān)鍵操作的情況下進(jìn)行更新或修補(bǔ)。然而，未能維護(hù)OT系統(tǒng)可能會使它們?nèi)菀资艿揭阎臀粗陌踩┒匆约坝布收虾推渌赡軐?dǎo)致停機(jī)和中斷的問題的影響。為了應(yīng)對這一挑戰(zhàn)，組織應(yīng)該制定一個全面的維護(hù)和更新計(jì)劃，包括定期的安全更新、備份和OT系統(tǒng)的測試。

　　5.開發(fā)和測試OT事件響應(yīng)計(jì)劃

　　除了主動的安全措施外，關(guān)鍵組織還需要制定全面的事件響應(yīng)計(jì)劃。該計(jì)劃應(yīng)該跨團(tuán)隊(duì)開發(fā)并進(jìn)行測試，以便在需要時能夠有效地執(zhí)行。該計(jì)劃應(yīng)包括明確的指揮鏈、隔離和控制受影響系統(tǒng)的程序以及與利益攸關(guān)方溝通和回應(yīng)媒體詢問的程序。

　　以協(xié)調(diào)的方式快速響應(yīng)安全事件，使組織有機(jī)會將影響降至最低。

　　6.加入IT和OT安全的世界

　　最后，行業(yè)不能在真空中解決OT安全問題。組織內(nèi)的網(wǎng)絡(luò)安全、信息安全和工程團(tuán)隊(duì)必須建立伙伴關(guān)系并進(jìn)行協(xié)作以確保安全。這些團(tuán)隊(duì)必須在人員、技術(shù)和流程、治理、標(biāo)準(zhǔn)和法規(guī)等方面達(dá)成一致。

　　建立OT網(wǎng)絡(luò)的彈性

　　雖然IT安全投資在過去幾十年里飛速增長，但OT安全支出卻落后了。然而，OT安全預(yù)算的增加通常會帶來比IT投資大得多的回報(bào)，這主要是因?yàn)镺T安全對許多組織來說是如此低的優(yōu)先級。

　　保護(hù)OT系統(tǒng)可能是一項(xiàng)復(fù)雜且具有挑戰(zhàn)性的任務(wù)，需要多方面的方法，需要數(shù)年才能成熟。但是，發(fā)現(xiàn)網(wǎng)絡(luò)上的資產(chǎn)、評估暴露和風(fēng)險(xiǎn)、制定包括技術(shù)、管理和物理控制在內(nèi)的全面安全計(jì)劃的好處是值得花費(fèi)時間和投資的。