2015 年，黑色能源木馬襲擊了烏克蘭西部的伊萬(wàn)諾-弗蘭科夫斯克電站，導(dǎo)致 80,000 戶家庭斷電。該漏洞是通過(guò)魚(yú)叉式網(wǎng)絡(luò)釣魚(yú)電子郵件發(fā)送的，偽裝成烏克蘭議會(huì)的 Microsoft Office 附件，并且能夠刪除關(guān)鍵系統(tǒng)文件，特別是破壞工業(yè)系統(tǒng)。

隨著惡意軟件爆發(fā)的頻率越來(lái)越高，能源、化工、石油和天然氣等工業(yè)控制系統(tǒng) (ICS) 以及其他制造市場(chǎng)的網(wǎng)絡(luò)安全已成為一個(gè)緊迫的問(wèn)題。數(shù)字世界中的惡意攻擊會(huì)損害物理世界中的人和設(shè)備的想法有點(diǎn)發(fā)人深省。

根據(jù)卡巴斯基實(shí)驗(yàn)室進(jìn)行的一項(xiàng)廣泛而詳細(xì)的研究，威脅只會(huì)增加，近 40% 的工業(yè)計(jì)算機(jī)在 2016 年下半年遭受了網(wǎng)絡(luò)攻擊。



 

要阻止專門(mén)為利用已建立工廠和工廠中的所有漏洞和間隙而制造的東西，將需要比普通防火墻更多的時(shí)間。隨著新的智能制造技術(shù)和工業(yè)物聯(lián)網(wǎng) (IIoT) 的日益普及，弄清楚網(wǎng)絡(luò)到底發(fā)生了什么似乎更令人頭疼，更不用說(shuō)保護(hù)它了。

與其信任一個(gè)非常非常強(qiáng)大的防火墻（并希望它能夠抵御各種攻擊），關(guān)鍵是建立一個(gè)多層、多策略的防御系統(tǒng)，可以防止來(lái)自許多不同方面的安全漏洞，以及減慢攻擊者的速度，為您爭(zhēng)取時(shí)間做出反應(yīng)和反擊。

縱深防御是眾所周知的網(wǎng)絡(luò)安全理念，美國(guó)國(guó)土安全部和眾多國(guó)家組織已發(fā)布出版物，詳細(xì)介紹了推薦的 ICS 安全計(jì)劃和架構(gòu)。

基于縱深防御模型和我們?cè)?ICS 網(wǎng)絡(luò)方面的豐富實(shí)踐經(jīng)驗(yàn)，我們?yōu)榭刂葡到y(tǒng)工程師或負(fù)責(zé)管理網(wǎng)絡(luò)安全的主管匯總了一系列非常實(shí)用的操作項(xiàng)目。本白皮書(shū)的目標(biāo)是向您展示您現(xiàn)在可以解決的容易實(shí)現(xiàn)的目標(biāo)（以及一些容易實(shí)現(xiàn)的目標(biāo)），以加強(qiáng)您的 ICS。

你無(wú)法保護(hù)你不了解的東西，所以創(chuàng)建防御系統(tǒng)的步就是把所有東西都映射出來(lái)。在開(kāi)始之前確保所有文檔都是新的，并查看網(wǎng)絡(luò)圖以研究整個(gè)系統(tǒng)。

準(zhǔn)確了解當(dāng)前環(huán)境中運(yùn)行的內(nèi)容，例如網(wǎng)絡(luò)設(shè)備交換機(jī)、路由器、服務(wù)器、PLC、OIT 的 VFD 和其他工廠以太網(wǎng)設(shè)備。這還包括軟件組件，例如防火墻和訪問(wèn)網(wǎng)絡(luò)的應(yīng)用程序。了解您的硬件固件和軟件補(bǔ)丁是否是新的，甚至是否可以升級(jí)。供應(yīng)商可能不再積極支持某些較舊的產(chǎn)品，這可能會(huì)留下安全漏洞。

由于我們的目標(biāo)之一是堵住墻上的任何漏洞，因此您需要能夠區(qū)分什么是數(shù)據(jù)流的必要路徑（例如，發(fā)送數(shù)據(jù)用于報(bào)告目的）與什么是不必要的差距（例如，不再需要后門(mén)訪問(wèn)的舊設(shè)備）。

通過(guò)了解系統(tǒng)的目的及其終產(chǎn)品，您可以決定應(yīng)該發(fā)生哪些數(shù)據(jù)流以及允許哪些設(shè)備進(jìn)行通信以實(shí)現(xiàn)總體目標(biāo)。