理解OT環(huán)境中的網(wǎng)絡(luò)安全

作者：何威風(fēng) 2023-09-08 00:05:53

不同的平臺（例如 Microsoft Windows 或 Apple iOS）具有不同的安全屬性，它們的配置方式也會影響它們提供的安全性。我們的最終用戶設(shè)備指南將幫助您了解各種設(shè)備的安全屬性，并幫助您做出明智的決策。它還包括建議的配置，供您在首次部署設(shè)備時采用作為起點(diǎn)。

運(yùn)營技術(shù)

如果沒有交通信號燈、大量生產(chǎn)的食物、按一下按鈕的能源或容易獲得的汽車燃料，生活會是什么樣子？

運(yùn)營技術(shù) (OT) 使所有這些事情發(fā)生，并以明顯或隱蔽的方式滲透到我們的生活中，自動監(jiān)控和控制對于手動操作來說太危險、太苛刻或太單調(diào)的流程和設(shè)備。

OT 被定義為與物理世界交互的技術(shù)，包括工業(yè)控制系統(tǒng) (ICS)、監(jiān)控和數(shù)據(jù)采集 (SCADA) 以及分布式控制系統(tǒng) (DCS)。

IT 網(wǎng)絡(luò)安全傳統(tǒng)上關(guān)注的是信息機(jī)密性、完整性和可用性，而 OT 的優(yōu)先事項通常是安全性、可靠性和可用性，因為顯然存在與 OT 故障或故障相關(guān)的物理危險。許多企業(yè)都致力于為客戶提高 OT 流程效率和可靠性，這通常會增強(qiáng)與企業(yè)技術(shù)和互聯(lián)網(wǎng)的連接性。這種融合有可能增加系統(tǒng)漏洞，但可以通過采用健全的風(fēng)險管理原則來解決，無論底層系統(tǒng)類型如何，這些原則都是相同的。

許多OT環(huán)境是關(guān)鍵國家基礎(chǔ)設(shè)施的一部分，因此它們控制的服務(wù)中斷可能會引起關(guān)注。

如果在部署、操作和維護(hù)企業(yè)技術(shù)時考慮到網(wǎng)絡(luò)安全，那么組織面臨的大多數(shù)網(wǎng)絡(luò)攻擊都將是無效的。本指南解釋了組織應(yīng)如何利用企業(yè)技術(shù)來阻止網(wǎng)絡(luò)攻擊。

我們所說的“企業(yè)技術(shù)”是指用于運(yùn)營組織的 IT。這包括：

工作人員手中的設(shè)備
保存和處理信息的系統(tǒng)和服務(wù)
將它們連接在一起的網(wǎng)絡(luò)
這些操作的方式

這里的建議適用于絕大多數(shù)信息。可以進(jìn)一步增強(qiáng)安全建議，但這樣做會增加成本，但幾乎沒有什么好處。

網(wǎng)絡(luò)安全企業(yè)技術(shù)原則

在制定本企業(yè)指南時，假定遵循以下原則：

企業(yè)技術(shù)需要明智且務(wù)實的安全性來支持該技術(shù)的用戶。干擾用戶期望與技術(shù)交互的方式的安全性是糟糕的安全性。
您做出的有關(guān)保護(hù)企業(yè)技術(shù)的決策將基于風(fēng)險管理，并由正確的治理安排進(jìn)行驗證和執(zhí)行。
提出的任何建議都需要進(jìn)行調(diào)整以滿足特定情況，因此應(yīng)將其視為合理的起點(diǎn)，而不是強(qiáng)制性的清單。
一定比例的設(shè)備在其部署壽命期間會丟失或被盜；未經(jīng)授權(quán)訪問此類設(shè)備的人不應(yīng)能夠訪問其上存儲的信息或該設(shè)備可以訪問的系統(tǒng)。
產(chǎn)品和服務(wù)在其生命周期中會發(fā)現(xiàn)漏洞；您的方法應(yīng)確保單個漏洞不會對您組織的安全造成災(zāi)難性影響。
您的方法不會提供針對零日攻擊的完美保護(hù)，但它將避免零日攻擊造成太大損害，并盡快緩解漏洞。
一定比例的網(wǎng)站和應(yīng)用程序被故意設(shè)計來欺騙用戶，或損害與他們交互的設(shè)備。期望用戶提前知道哪些應(yīng)用程序、附件、鏈接和服務(wù)不安全是不可能成功的。該方法將最大限度地減少此類事件發(fā)生的可能性，并最大限度地減少發(fā)生時造成的危害。
不受信任的網(wǎng)絡(luò)將被更頻繁地使用。隨著我們越來越多地使用互聯(lián)網(wǎng)和移動網(wǎng)絡(luò)來連接服務(wù)，將辦公網(wǎng)絡(luò)視為“物理安全”鏈接不再有用。該方法將保護(hù)在設(shè)備和服務(wù)之間傳輸?shù)拿舾袛?shù)據(jù)，并保護(hù)設(shè)備和服務(wù)免受基于網(wǎng)絡(luò)的攻擊。
網(wǎng)絡(luò)安全緩解措施并非萬無一失；有時攻擊者會成功。從長遠(yuǎn)來看，采取措施確保您能夠檢測到網(wǎng)絡(luò)攻擊何時發(fā)生（并了解如何快速從中恢復(fù)）將帶來好處。

最終用戶計算

確保企業(yè)技術(shù)安全的第一步是選擇、配置和操作員工每天使用的設(shè)備。

除了組織提供的設(shè)備之外，可能還希望允許員工使用自己的設(shè)備來訪問某些企業(yè)服務(wù)。這稱為“自帶設(shè)備”(BYOD)。如果考慮采用 BYOD，還需要考慮一些額外的事項，這些內(nèi)容已包含在BYOD 指南中。

聯(lián)網(wǎng)

網(wǎng)絡(luò)的功能是將設(shè)備連接到服務(wù)。作為一般原則，網(wǎng)絡(luò)不應(yīng)該被信任。網(wǎng)絡(luò)應(yīng)被視為不可信的承載。

為了保護(hù)敏感信息，應(yīng)在設(shè)備及其上的應(yīng)用程序以及我們正在訪問的服務(wù)之間使用加密。在某些情況下，信任網(wǎng)絡(luò)可能很有用（例如將數(shù)據(jù)中心內(nèi)的遺留服務(wù)鏈接在一起）。使用物理和人員安全控制來提供這種保護(hù)。

如果需要保護(hù)網(wǎng)絡(luò)上兩點(diǎn)之間（例如遠(yuǎn)程工作設(shè)備和企業(yè)網(wǎng)絡(luò)之間，或兩個站點(diǎn)之間）傳輸?shù)乃袛?shù)據(jù)，我們建議使用我們的網(wǎng)絡(luò)加密指南實施 IPsec 。
如果需要保護(hù)一個數(shù)據(jù)流，例如從應(yīng)用程序到服務(wù)的數(shù)據(jù)流，那么傳輸層安全性 (TLS) 更合適。
點(diǎn)對點(diǎn)企業(yè)應(yīng)用程序可能會使用 TLS，但某些應(yīng)用程序（例如 IP 語音 (VOIP)）通常更適合使用定制解決方案，例如用于實時媒體加密的MIKEY SAKKE 。

過度依賴特定的網(wǎng)絡(luò)服務(wù)（或提供商）意味著服務(wù)問題造成中斷的風(fēng)險更高，其中一些問題可能是由網(wǎng)絡(luò)安全事件引起的。

企業(yè)服務(wù)

企業(yè)服務(wù)是為企業(yè) IT 提供動力的東西；它們是存儲您的數(shù)據(jù)并可供用戶進(jìn)行處理和操作的位置。我們使用該術(shù)語來涵蓋常見服務(wù)，例如電子郵件、文檔存儲、文件存儲、通信服務(wù)以及根據(jù)組織需求量身定制的業(yè)務(wù)線服務(wù)（例如內(nèi)部 Web 應(yīng)用程序、數(shù)據(jù)庫和工作流程系統(tǒng)）。

可以選擇在內(nèi)部（在您自己的場所）或商業(yè)云環(huán)境中托管這些服務(wù)，或者跨越兩者的混合模型。在決定在哪里運(yùn)行此類服務(wù)時，安全性將是眾多考慮因素之一。

在內(nèi)部運(yùn)行服務(wù)意味著可以對其安全的各個方面負(fù)責(zé)。這可能是可取的，但取決于是否擁有必要的技能資源。使用有能力的云服務(wù)提供商意味著您可以從他們的規(guī)模和安全知識中受益。選擇云服務(wù)時，建議根據(jù)的云安全原則對其進(jìn)行評估，以確保了解它們將如何幫助保護(hù)信息。