工業(yè)環(huán)境可見性棘手卻必要，評(píng)估工業(yè)網(wǎng)絡(luò)安全解決方案時(shí)需要重視三個(gè)關(guān)鍵問題。而了解、排序和緩解風(fēng)險(xiǎn)則是主動(dòng)保護(hù)工業(yè)環(huán)境的必須操作。

以上這些都是任何工業(yè)網(wǎng)絡(luò)安全計(jì)劃的重要組成部分，但殘酷的現(xiàn)實(shí)是，即使最先進(jìn)的防護(hù)控制措施和過程都無法完全根除風(fēng)險(xiǎn)。所以，我們迫切需要能夠在潛在威脅冒頭時(shí)快速有效地加以檢測(cè)和響應(yīng)。

[[440186]]

但遺憾的是，由于下列原因，工業(yè)網(wǎng)絡(luò)中的威脅檢測(cè)尤為棘手：

• 不兼容IT安全工具：工業(yè)資產(chǎn)中使用的運(yùn)營(yíng)技術(shù)(OT)協(xié)議多種多樣，基本是特定于供應(yīng)商的專有協(xié)議，往往不兼容傳統(tǒng)威脅檢測(cè)工具。試圖在OT環(huán)境中部署同樣的IT安全工具不僅不會(huì)有什么效果，還會(huì)導(dǎo)致宕機(jī)和產(chǎn)生大量誤報(bào)或漏報(bào)。

• OT環(huán)境龐大且復(fù)雜：大規(guī)模多站點(diǎn)工業(yè)網(wǎng)絡(luò)的復(fù)雜性導(dǎo)致難以識(shí)別與公認(rèn)基準(zhǔn)的偏差。而如果不知道正常情況是什么樣子的，也就無法發(fā)現(xiàn)錯(cuò)誤配置、流量過載或其他風(fēng)險(xiǎn)問題。

• IT-OT融合：隨著工業(yè)網(wǎng)絡(luò)數(shù)字化逐漸模糊IT與OT之間的界限，惡意黑客可通過IT側(cè)進(jìn)入OT環(huán)境并在其中潛伏數(shù)月乃至數(shù)年，尋找破壞運(yùn)營(yíng)和造成災(zāi)難的微妙方式。防御人員需要能夠在日益互聯(lián)的環(huán)境中有效檢測(cè)威脅的整體解決方案。

• 缺乏工業(yè)網(wǎng)絡(luò)安全專業(yè)知識(shí)：招聘和留住OT安全專家不僅困難還花費(fèi)巨大，而且很多安全團(tuán)隊(duì)都只接受過解決IT事件的培訓(xùn)，缺乏防御工業(yè)環(huán)境的OT專門知識(shí)。

因?yàn)榇嬖谏鲜隼щy，已知與未知工業(yè)網(wǎng)絡(luò)威脅的檢測(cè)與響應(yīng)問題十分復(fù)雜。且由于OT環(huán)境各不相同，通用方法基本毫無效果。無論公司是要評(píng)估已有OT環(huán)境威脅檢測(cè)與響應(yīng)能力，還是考慮采用新的解決方案，以下三個(gè)問題都可以幫助你理清評(píng)估重點(diǎn)：

存在哪些已有機(jī)制可全面檢測(cè)潛在威脅?

需有多種方法才能檢測(cè)能影響OT網(wǎng)絡(luò)的所有不同類型威脅。想要檢測(cè)已知威脅，就必須擁有涵蓋大量特征碼和入侵指標(biāo)(IoC)的數(shù)據(jù)庫。然而，這不過是個(gè)起點(diǎn)。對(duì)于未知威脅，你還需要其他多種檢測(cè)機(jī)制，包括識(shí)別資產(chǎn)、區(qū)域和網(wǎng)絡(luò)其他組件間典型通信模式偏差的能力，以及識(shí)別IT和OT特定入侵方式背后行為模式的能力，這種能力有助于識(shí)別網(wǎng)絡(luò)釣魚和漏洞利用。

此外，監(jiān)測(cè)操作行為(比如配置變更和固件升級(jí))并將上下文應(yīng)用到各項(xiàng)具體操作上的功能，也能夠指向惡意行為的種種跡象。最后，由于工業(yè)網(wǎng)絡(luò)各不相同，自定義規(guī)則可以根據(jù)網(wǎng)絡(luò)的特定需求定制威脅檢測(cè)和警報(bào)。

檢測(cè)到威脅后，我們?cè)撊绾卫么诵畔⒆龀龈玫娘L(fēng)險(xiǎn)緩解決策呢?

如果缺乏合適的功能，出自單個(gè)入侵者的一系列活動(dòng)所引發(fā)的警報(bào)就能將安全人員淹沒。為攻克這一難題，我們需要包含相關(guān)上下文的技術(shù)解決方案來快速了解一系列警報(bào)背后的總體情況，這樣才能避免浪費(fèi)時(shí)間在關(guān)聯(lián)信息點(diǎn)上，從而節(jié)省出更多時(shí)間進(jìn)行風(fēng)險(xiǎn)緩解決策和采取行動(dòng)。根據(jù)自身業(yè)務(wù)潛在風(fēng)險(xiǎn)排序警報(bào)優(yōu)先級(jí)的能力也有助于安全團(tuán)隊(duì)決定何時(shí)采取何種操作。

我們?cè)撛鯓訌浹a(bǔ)團(tuán)隊(duì)缺乏OT網(wǎng)絡(luò)安全技能的問題?

即使是經(jīng)驗(yàn)豐富的安全人員也可能在處理OT網(wǎng)絡(luò)方面經(jīng)驗(yàn)有限，而且許多安全團(tuán)隊(duì)本就在IT方面資源不足。為解決這個(gè)問題，不妨尋找內(nèi)置自動(dòng)化OT檢測(cè)機(jī)制的解決方案，這樣你的團(tuán)隊(duì)就能高效保障公司OT安全了。包含響應(yīng)建議的警報(bào)有助于加速?zèng)Q策和響應(yīng)。此外，注意檢測(cè)機(jī)制和響應(yīng)指南的更新頻率，確保現(xiàn)有團(tuán)隊(duì)具備緊跟最新威脅所需的工具和洞見。

工業(yè)企業(yè)在檢測(cè)和響應(yīng)威脅方面面臨獨(dú)特的挑戰(zhàn)。可喜的是，只要問對(duì)問題，了解存在哪些可能性，你就能獲得有效降低風(fēng)險(xiǎn)所需的能力。