众所周知，随着信息技术(IT)基础设施和运营技术(OT)网络的不断融合，工业控制系统(ICS)也成为了网络安全计划的一部分。业务领导和决策者有责任了解由此带来的碰撞与挑战，以及弄清楚如何更好地扩展核心安全控制、治理流程和技术堆栈，以涵盖OT和IT领域。
一个基本的出发点是漏洞管理。独立的OT系统正在逐渐消失，这些系统不受互联网连接的影响，虽然安全但有证据显示这种方法并不利于开展业务。对企业业务来讲，连接性贯穿工业控制系统及其管理的整个过程。虽然这是一个积极的方面，但其代价是威胁者（包括以盈利为目的的网络犯罪分子和开展恶意攻击的黑客组织等）可用的潜在攻击面变得更大。
因此，企业必须优先考虑漏洞管理，以便从战略上减少他们的整体风险，此外还有其他安全最佳实践，如网络分区和远程连接到OT网络的安全性。第一步是了解与OT有关的漏洞情况，并确定需要关注的趋势，以便为需要打补丁和更新的易受攻击的系统确定优先级。
工业控制系统(ICS)网络安全威胁正在增加。网络安全管理系统(CSMS)概述了组织评估其当前风险所需的要素、如何解决这些风险并保持CSMS的更新。Claroty研究表明，70%的网络安全漏洞来自网络。图片来源：Claroty公司
网络安全管理系统
ISA/IEC 62443系列标准为企业构建OT安全计划提供了方法论。网络安全管理系统(CSMS)概述了组织评估其当前风险、如何解决这些风险并保持其CSMS更新所需的要素。企业经常试图一头扎进ICS系统，试图推断每一个细节。
虽然有时大型企业会有专人来实施这种资源密集型方法，但大多数组织都在努力应对不断扩大的攻击面，这需要一种风险评估方法，以优先考虑修复最高风险。CSMS提供了这一方法，使各组织专注于建立基于业务原理和风险识别的风险分析，该风险分析不仅考虑了财务损失，还考虑了ICS环境受到网络安全攻击影响时的健康、安全、环境和任何其他后果。
2020年8月，工业网络安全公司Claroty公布了2020年上半年公开披露的工业控制系统漏洞分析。这些漏洞是报告给工业控制系统网络安全应急小组（ICS-CERT）或是由美国国家通用漏洞数据库（NVD）公布的。
该报告显示，总计365个漏洞，涉及50多家供应商的ICS产品，超过70%是可远程利用的。这使得工业设备成为越来越多（呈指数级增长）的潜在攻击者的目标，他们非常擅长攻击互联网IT基础设施。尤其是暴露在网上的ICS设备，很容易受到攻击，这会威胁工业过程的安全性和可靠性，并且由于打补丁不及时以及设备可用的软件或固件机制不足，可能会招致更多的黑客攻击。
远程区域的软件补丁滞后
由于很多设备是在远程运营，或者安装在难以到达的位置，或者无法停机，不能及时打补丁，因此会落后几个周期。
Shodan是一个互联网连接设备的搜索引擎，它有一个针对ICS设备的特定搜索引擎，并公布了全球范围内公开的设备数量，结果令人吃惊。截至2020年11月23日的数据表明，大约有4,000台EtherNet/IP设备和超过13,000台Modbus设备被连接到互联网。这些设备本质上是不安全的，研究还表明大多数漏洞都是可被远程利用的，这就是很多企业今天所面临的风险状况。
企业还应该了解哪些产品类型最容易受到攻击。Claroty公司报告称，在2020年上半年发现和披露的漏洞中，工程师站(EWS)和可编程逻辑控制器(PLC)相关的占了很大一部分。这存在很大的问题，因为这些产品类型在工业运营中起着至关重要的作用，因此，连接性的增长也可能吸引更多攻击者扫描漏洞。
工程师站：58%的漏洞
EWS应用程序占Claroty研究人员发现漏洞总数的58%，应该在任何OT或融合IT/OT环境中优先考虑，因为它们与IT网络连接而且可以访问车间和设备，例如在OT网络内控制物理过程的可编程逻辑控制器(PLC)。能够访问EWS可使攻击者获得网络立足点，在许多现代攻击中这点至关重要，例如，通过拒绝服务攻击或勒索软件进行横向移动和过程操纵或中断。
远程代码执行攻击是OT网络面临的严重威胁，在NVD和ICS-CERT发布的高危ICS漏洞中占很大一部分。如果发现的任何缺陷被利用，远程代码执行攻击与拒绝服务攻击相结合，可能会占漏洞影响的 80% 以上。
同样重要的是要注意这些漏洞如何影响关键基础设施部门。在2020年的前6个月，能源、关键生产制造以及给水和污水处理基础设施受ICS-CERT公告中所列漏洞的影响最大；仅供水和污水处理部门的漏洞就增加了122%；关键生产制造和能源也分别增长了87.3%和58.9%。
ICS漏洞增加10%
不幸的是，2020年上半年披露的ICS漏洞数量正朝着坏的方向发展，与2019年上半年相比总体增加了10%。不过，Claroty研究人员指出，这并不一定表明针对ICS设备和OT网络的攻击活动的增加。相反，这可能表明合法研究人员对这些设备进行了更严格的审查，并提高了对这些漏洞在受到攻击时所带来的风险的认识。
网络安全标准和实践的进展，为保护其工业基础设施提供了路线图。一旦组织建立了网络安全管理系统，并进行了风险分析，就可以进行高级风险评估以了解其对组织的影响。然后就可以详细定义高风险区域，从完整的资产清单开始并将组织资产分区。区域是具有相同安全要求的资产的逻辑或物理分组，并通过其通道提供安全的通信设备。
应该注意的是，资产盘点工作经常被低估，如果手动进行，则是劳动密集型任务，并且盘点的数据很快就会过时。建议利用专为ICS环境设计的被动扫描工具来最大限度地减少错误、人工和库存维护，使急需的人员能够专注于具有更高价值的工作。资产清单完成后，必须执行漏洞评估，使组织可以开始识别风险并确定其优先级。
网络安全基本需求
ISA/IEC 62443系列标准定义了一组安全级别(SL)，范围从0到4，具体如下：
SL0–无特定需求或不需安全保护；
SL1–防止偶然或巧合的违规行为；
SL2–防护使用低资源、通用技能和低动机的简单手段有意进行的侵犯；
SL3–防护使用复杂手段、适度资源、IACS特定技能和适度动机的复杂手段有意进行的侵犯；
SL4–防护使用复杂手段、扩展资源、IACS特定技能和高动机有意进行的侵犯。
每个区域都应分配一个目标SL，通过比较每个区域已实现的SL和功能SL风险评估的输出），以了解所需的补偿对策。为确保实现目标SL所需的方法清晰，该系列包含7个基本要求(FR)，分别为：
FR1–识别和认证控制（IAC）；
FR2–使用控制(UC)；
FR3–系统完整性(SI)；
FR4–数据机密性(DC)；
FR5–受限数据流(RDF)；
FR6–及时响应事件(TRE)；
FR7–资源可用性(RA)。
应对日益增加的网络安全威胁
研究表明，OT领域面临的威胁并未放缓。无论是为了金钱利益还是一些有组织的黑客行为，攻击者都有充分的理由攻击ICS环境，ICS从未像现在这样彼此互连。企业遵循ISA/IEC 62443系列网络安全管理系统这样的标准至关重要，该标准定义了基于业务来了解风险并以优先排序的方式降低风险的程序。在所分配SL的基础上，它还允许一定的灵活性。
企业应该遵循一些关键的最佳实践，来保护面向互联网的ICS设备，主要是为了确保补丁是最新的，以阻止软件和固件漏洞带来的威胁。设备也应该执行密码保护，并且应该有详细的程序来管理谁可以访问设备。应通过适用于OT网络的技术而非IT友好的虚拟专用网络(VPN)来监控和保护远程访问连接。企业还应清点可用资产、分割网络、监控攻击，并定期审查和更新漏洞管理和风险管理实践。建立强大的ICS网络安全态势并不容易，但使用标准框架和工具集是有可能是实现的。
建立可信环境和一致性评估
一方面工业物联网(IIoT)、互联设备以及生成的巨量数据为工业创造了新的机会，另一方面也增加了网络安全风险。这些转变要求工程师遵循稳健的网络安全实践，来设计和构建在整个生命周期内安全运行的系统。
越来越多的行业开始部署IIoT设备，基本运营系统的安全和网络安全变得越来越重要，也越来越难以管理。复杂性源于缺乏旨在验证互联产品的全球性、普遍接受的网络安全标准和一致性评估方案。互联世界需要可信环境。在建立信任的同时推进数字化，可确保实现针对新兴网络安全威胁的最高级别的防御。
影响网络安全的主要趋势是日益增长的数字化以及全球认可的网络安全标准的缺失。创建可信环境是必须的，Eaton公司产品网络安全卓越中心的主任Max Wandera认为，网络安全是产品开发的必备条件，就像安全和质量一样。必须认真对待网络安全威胁，并采用全系统防御方法来主动应对。
据Grand View Research公司的分析师估计，到2025年，全球IIoT解决方案的部署，将耗费近9500亿美元。随着企业扩大其数字化应用的范围，必须保护连接系统的可用性、完整性和机密性。
如果没有全球一致性评估，创建网络安全环境会很复杂。目前，世界各国都在制定自己的需求规范。这种合规性差距使制造商难以确定他们应该建立和遵守哪种标准，特别是对那些在世界各地生产制造和销售产品的公司更是如此。
全球各种组织、国家和地区联盟制定了大量不同的标准和法规。所有这些标准和法规都解决了保护互联世界的迫切需求，但它们也可能造成关键基础设施生态系统中出现混乱和薄弱环节。现在是推动单一一致性评估的时候了，国际自动化学会全球网络安全联盟及其成员，正在推动全球网络安全标准和行业合作。（作者：Isaac Guevara）