如果你是專注于工業控制系統(ICS)安全的網絡安全專業人員，請看看你的書架，然后告訴我你看到了什么，除了Shon Harris、Krutz、Vines以及Peter Gregory的網絡經典著作，你可能還收集了一些ICS安全書籍，其中有些頁面可能已經破損或者被你貼上標簽。其中你可能收藏的一套書是國家標準與技術研究院(NIST)特別刊物，標題為SP800-82《工業控制系統(ICS)安全指南》。SP800-82在2006年第一次發行，然后是第一次修訂版，現在第二次修訂版處于草案階段。

SP800-82系列的發展是怎樣的?修訂版2已經出來，但800-82是從何而來?是誰的想法帶來了這一系列非常有用的指南?是什么在推動NIST專注于ICS安全性?

在這篇文章中，我們將介紹到NIST的Keith Stouffer，他的工作對ICS安全指南有著很大的影響。我們花了一些時間采訪Stouffer有關SP800-82指南的歷史，并問他為什么會產生這些來自NIST的最暢銷刊物。

NIST關注ICS安全性的開始

大約在2000年，Keith Stouffer和另外幾個人開始關注關鍵基礎設施的安全問題。具體來說，Stouffer當時在NIST的機械工程實驗室(Mechanical Engineering Lab)工作，他對“過程控制系統”(當時是這樣的名稱)特別感興趣。于是，在2001年春天，一組相關專業人士聚集在過程控制安全要求論壇(Process Control Security Requirements Forum，PCSRF)。

PCSRF的目的是為過程控制系統明確安全要求，隨后該系統被稱為工業控制系統。該組織的主要重點是提高制造工業中使用的計算控制系統的IT安全性，這些工業包括電力公用事業、石油(石油和天然氣)、水力、廢棄物、化學用品、藥品、紙漿和造紙、金屬和采礦，其中重點工業是被視為國家關鍵基礎設施組成部分。當時，PCSRF非常努力地查看信息技術安全通用評估標準(The Common Criteria for Information Technology Security Evaluation，也被稱為ISO/IEC 15408)的內容，試圖以通用標準保護安全規范的形式來記錄他們的工作。

2004年10月，在Stouffer的領導下，PCSRF所產生的主要文檔之一是《系統保護輪廓--工業控制系統》，該文檔的目的是為采購新的過程控制系統提供有凝聚力的跨行業的基本安全要求。它同時也作為一個起點，推動著針對監控和數據采集(SCADA)或分布式控制系統(DCS)的更具體的系統保護輪廓。當時，PCSRF更側重于市場上出現的新的工業控制系統，而不是傳統系統。

PCSRF與Stouffer及其在NIST的同事們開始填補ICS相關的安全知識與指南的空白，并為未來的NIST SP800-82文檔埋下了種子。到2006年，PCSRF已經從不到20人發展到超過1000人。除了建立PCSRF，該團隊的活動還涉及在國際自動化協會(ISA，以前被稱為美國儀器、系統與自動化協會)一些并行工作，ISA在2002年秋天形成了制造業和控制系統安全委員會，這最終演變成ISA-99委員會。#p#

NIST SP800-82的誕生

2005年左右，Stouffer及其同事們開始編寫NIST SP800-82。在這個特別刊物的第一次出版的過程中發生了幾個有趣的故事。首先是該文檔標題的故事，其次是關于該指南的內容受到來自聯邦電力機構的巨大壓力。

SP 800-82第一個發行版的標題是“SCADA和ICS安全指南”。SCADA和ICS之間有區別，這兩者放在一個標題中可能會導致更專業的ICS安全專業人員的異議。Stouffer聯想到當SP800-82文檔第一次編寫時，受到很多來自美國國會的壓力，美國國會認為SCADA需要受到保護，因此，“SCADA”被放入SP800-82標題。然而，隨后的SP800-82系列的主標題不再包含“SCADA”。

關于第一版SP800-82的第二個故事是涉及來自總檢察長的壓力，他們認為應該把重點放在使用NIST SP800-53《聯邦信息系統和組織的安全與隱私控制》作為聯邦政府擁有和運營的ICS的基本安全標準。然而，正如很多ICS安全專家所認為的—也與Stouffer的意見一致，NIST SP800-53專注于信息技術(IT)系統，而不是ICS—也被稱為操作技術(OT)。這導致了與總檢察長以及擁有和運營ICS的聯邦機構的多次交涉，并產生了一個有趣的解決方案。

Stouffer及其同事認真查看了SP 800-53以及適用于ICS的特殊要求。其結果是，在2007年12月，800-53修訂版2附錄I作為800-53要求的增編，但具體是針對ICS。在2009年8月，NIST SP800-53修訂版3又進行了更新。SP800-53附錄I被用來作為新的ICS覆蓋(NIST SP800-82修訂版2附錄G)的基礎。

NIST SP800-82的最初草案在2006年形成。正式版本(修訂版0)在2011年出版，在2013年修訂版1(最終)發布后，修訂版0最終在2014年4月被撤回。

自首次出版以來，NIST SP800-82文檔下載量超過300萬次。

NIST和ICS的可視化歷史記錄

NIST和ICS安全的可視化歷史如下圖所示：

#p#

NIST SP800-82 修訂版2(草案)

在2014年5月14日，NIST發布修訂版2，添加到SP800-82指南系列。Keith Stouffer再次作為這一工作的領導者。SP800-82文檔已經在信息的深度和廣度方面進行了擴展，正如下面的頁面數量可看出：

NIST SP800-82, 修訂版0155 頁

NIST SP 800-82, 修訂版1170頁 (+9.6%)

NIST SP 800-82, 修訂版2(草案)255頁 (+50.0%)

總結來看，修訂版2包括以下內容：

• 更新了ICS威脅和漏洞

• 更新了ICS風險管理、推薦做法和架構

• 更新了ICS安全的當前活動

• 更新了用于ICS的安全功能和工具

• 結合其他ICS安全和指南，特別是英國國家基礎設施保護中心(CPNI)和ISA-62443

• 針對NIST SP800-53修訂版4安全控制的新的指南，包括引入網絡覆蓋。

• 針對NIST SP800-53修訂版4安全控制的ICS覆蓋，為低、中、高影響ICS提供量身定制的安全控制基線

這個ICS覆蓋是對SP800-53修訂版4中控制和控制基線的部分調整，其中增加了專門針對ICS的補充指南。這個ICS覆蓋旨在適用于所有工業部門的所有ICS系統;它可以用來提供結構化的方法來幫助企業量身定制安全控制基線，以及開發特定安全計劃來適用于特定任務/業務功能、操作環境和/或技術。隨著威脅推動的控制和目錄中控制增強的數量的增加，以及企業需要開發風險管理戰略來在特定風險容忍范圍內解決其特定保護需求，這種針對性方法很重要。

現在，修訂版2(最初公開草案)評論期已經在2014年7月18日結束。不過，最終公開草案將會在2014年秋天公布，屆時將提供30天的評論期，該文檔計劃在2015年年初定稿。在學習ICS安全、制定ICS安全計劃、程序、政策、流程和指南時，這個文檔可以直接使用作為很好的參考。

此外，修訂版2(草案)參考文獻附錄F很好地列出了ICS網絡安全專業人員以及學生可以作為安全緊急救援的資源。

NIST的下一步是什么?

NIST的團隊正在考慮ICS安全的下一步工作。首先，他們仍然關注ICS安全在中小企業的部署情況。其次，NIST正在擴展試驗場，以更好地了解網絡安全威脅和解決方案。這些試驗場包括：

• 機器人/機器人制造

• 添加劑制造

• 化學工藝

• 智能運輸

Stouffer的團隊還會看看在這些系統和其他ICS系統部署NIST 800-82和ISA-62443標準要求，以衡量和更好地了解在這些時間關鍵型系統部署安全要求帶來的性能影響。

未來研究可能包括設計彈性控制系統，甚至整合安全內容自動化協議(SCAP)到ICS安全。

最后，Stouffer表示，NIST及其團隊在2014年秋天的某個時候開展關于網絡物理系統(CPS)安全的未來研討會。