IT/OT環(huán)境的安全于挑戰(zhàn)
【編者按】如今的環(huán)境當(dāng)中，攻擊者的目標(biāo)已經(jīng)逐漸從IT環(huán)境轉(zhuǎn)移到OT環(huán)境。對于制造業(yè)和關(guān)鍵基礎(chǔ)設(shè)施——尤其是關(guān)鍵基礎(chǔ)設(shè)施企業(yè)，保護自身的OT環(huán)境已經(jīng)變得尤為重要。OT環(huán)境不僅僅影響到企業(yè)自身的生產(chǎn)與安全，很多關(guān)鍵基礎(chǔ)設(shè)施更是與社會和國家安全息息相關(guān)。OT環(huán)境很難離開IT環(huán)境，使得安全方案變得更為困難。但是，無論是從合規(guī)角度，還是從自身生產(chǎn)利益角度，或者是最重要的社會角度，OT環(huán)境的安全都必須被放在極高的位置。
本文首發(fā)于安全牛公眾號，作者星云；經(jīng)編輯，供行業(yè)人士參考。
近年來，制造業(yè)和基建設(shè)施受到的攻擊日益增多——電力、天然氣、自來水，甚至核電設(shè)備都受到了黑客多種的攻擊。不同于IT系統(tǒng)的安全問題，最大的威脅可能是商業(yè)業(yè)務(wù)的停滯以及信息的泄露；OT環(huán)境一旦受到攻擊，就很有可能會對環(huán)境以及人生帶來直接的傷害。隨著攻擊者逐漸將攻擊目標(biāo)轉(zhuǎn)移到了OT上，安全也必須緊跟而上，確保OT的安全。另外，我們同樣需要注意到，OT與IT是不分離的；因此，制造業(yè)和基建的安全訴求是IT與OT融合的安全訴求。
OT/IT面臨的安全風(fēng)險
OT/IT環(huán)境面臨的風(fēng)險是多樣性的，攻擊者的攻擊目標(biāo)也是涵蓋多個方面的，主要有以下一些方向：
1. OT/IT本身復(fù)雜的環(huán)境：OT很難單獨于IT存在，OT的環(huán)境往往伴隨著IT系統(tǒng)與設(shè)備。因此，對于整個環(huán)境，互連的設(shè)備更多，也就容易暴露更多的攻擊點。
2. OT與IT并不完全相同的安全訴求：對于IT系統(tǒng)，安全注重于機密性、完整性以及可用性上；而對于OT環(huán)境，安全更重要的是對于外在世界的安全性和可靠性、過程可用性、可預(yù)測性、生產(chǎn)數(shù)據(jù)的可靠性以及非破壞性。因此，對于制造業(yè)和基建等安全，需要考慮的是IT和OT相結(jié)合的安全，而不是單單一方面的解決方案。
3. OT系統(tǒng)自身的缺陷：很多關(guān)鍵的基礎(chǔ)設(shè)施系統(tǒng)都是持續(xù)建立的，因此對這些系統(tǒng)進行補丁以及升級會很困難，這些基礎(chǔ)設(shè)施的安全性會越來越弱。而過去的事件中可以發(fā)現(xiàn)，工業(yè)控制系統(tǒng)在逐漸成為受到攻擊的關(guān)鍵點，并且越來越容易受到攻擊者攻擊。
4. 工控系統(tǒng)數(shù)據(jù)的安全性：工控系統(tǒng)產(chǎn)生的數(shù)據(jù)是很多攻擊者的攻擊目標(biāo)——和IT系統(tǒng)中很多的個人信息一樣，這些都是敏感數(shù)據(jù)。OT環(huán)境下同樣需要保護敏感數(shù)據(jù)。但是，對于安全廠商來說，面臨的一大挑戰(zhàn)就是要去收集和分析這些數(shù)據(jù)，才能對他們進行保護。而這對于很多傳統(tǒng)的互聯(lián)網(wǎng)安全公司，可能不是那么容易。
5. 針對OT人員的攻擊：和IT環(huán)境一樣，OT環(huán)境中的工作人員同樣會成為各類社會工程學(xué)、釣魚攻擊的目標(biāo)。攻擊者期望目標(biāo)可能是企業(yè)的財政，也很可能是制造商的商業(yè)機密、內(nèi)部信息等等。
OT安全的幾大根源
根據(jù)上述的幾點，我們繼續(xù)深究制造業(yè)和基建的安全隱患，可以發(fā)現(xiàn)，OT/IT環(huán)境的問題根源來自以下幾點：
1. 大約50%的工控系統(tǒng)漏洞屬于二級漏洞（針對感應(yīng)器的攻擊，改動他們的讀數(shù)或者相關(guān)數(shù)值設(shè)定）。而即使如此，這些漏洞依然被標(biāo)記為了“高危”。另外，攻擊者也會通過攻擊工控系統(tǒng)逐漸攻入整個核心系統(tǒng)，造成更大的影響。
2. 在針對OT系統(tǒng)的攻擊當(dāng)中，有74%的攻擊采用了“注入意外項目”的攻擊方式。與IT相關(guān)的攻擊進行類比來看，這種攻擊類似于SQL注入：通過在命令中惡意輸入其他數(shù)據(jù)來嘗試擾亂與控制系統(tǒng)。安全廠商和企業(yè)顯然要針對這個攻擊進行防護，對指令的輸入等進行監(jiān)控和過濾。
3. 攻擊者主要來自于外部人員——超過90%的攻擊來自于外部人員。這些外部人員包括資金充裕的黑客、有組織的犯罪集團和民族國家攻擊者等。同時我們必須注意到，在剩下的9%的攻擊人員中，有5%是因為疏忽的內(nèi)部人員以及4%的惡意人員。
OT安全的解決理念
在我們意識到了制造業(yè)和基建設(shè)施這些安全問題的核心后，我們就可以著手去解決這些和新聞。盡管OT環(huán)境與IT環(huán)境有一定的差異，而相互的融合又使得具體的落地方案更加復(fù)雜。但是，安全本身的理念是相通的，不同的只是具體的落地解決方案和采用的技術(shù)：
1. 集中式補丁修復(fù)，注意數(shù)據(jù)輸入“衛(wèi)生”：既然知道了現(xiàn)在最多的攻擊類型是注入型攻擊，那么企業(yè)就應(yīng)該進行相對應(yīng)的防御。而針對于這類攻擊，最直接的防御方式就是對系統(tǒng)進行補丁升級與漏洞修復(fù)。然而，正如前面所言，工控系統(tǒng)的問題之一是設(shè)備繁多，設(shè)計相對封閉與獨立，不易于統(tǒng)一進行升級，那么在選取相關(guān)的安全廠商時，則需要尋找有相對能力的安全廠商。
2. 終端與事件的響應(yīng)：工控數(shù)據(jù)的復(fù)雜性造成了對于注入型攻擊的識別困難，但是終端需要通過快速識別和檢測注入來應(yīng)對這種最主流的攻擊方式。另一方面，這些OT系統(tǒng)本身的性質(zhì)決定了他們無法隨意地進行阻斷或者停止服務(wù)來阻止攻擊的擴散。所以，企業(yè)需要一支專業(yè)的響應(yīng)團隊來應(yīng)對事件的發(fā)生。
3. 威脅情報進行攻擊預(yù)防：考慮到很多的工控攻擊是來自于有組織的外部攻擊者，如果企業(yè)有威脅情報進行輔助，就能在攻擊發(fā)生前意識到自己面臨的風(fēng)險，從而進行相對應(yīng)的防護。
4. 敏感信息保護：制造業(yè)除了維持日常生產(chǎn)的安全，還要對自己的商業(yè)機密進行額外的保護。因此，企業(yè)需要一套對數(shù)據(jù)資產(chǎn)的保護措施，從數(shù)據(jù)的生成、存儲、使用、共享、歸檔與銷毀，建立完善的數(shù)據(jù)保護制度，并根據(jù)相對應(yīng)的要求，從技術(shù)上對數(shù)據(jù)進行保護。
IBM的制造業(yè)解決方案
根據(jù)以上的解決問題的思路，我們這里以IBM為例，看一下IBM是如何進行OT環(huán)境的防護的：
1. 各個保護對象的防御點：工控安全的第一保護對象依然是整個OT環(huán)境，因此IBM擁有不同的工具，對不同領(lǐng)域進行了防御：
Check Point：Check Point是一款低成本的網(wǎng)絡(luò)通信傳感器。它可以通過檢測網(wǎng)絡(luò)流量數(shù)據(jù)來發(fā)現(xiàn)SCADA協(xié)議中的異常。
Verve Industrial：Verve Industrial是一款端點保護工具。對OT環(huán)境中的終端設(shè)備進行防護。
Security Matters：Security Matters則是對網(wǎng)絡(luò)異常狀態(tài)的檢測工具。它支持廣泛的工業(yè)協(xié)議，從而可以應(yīng)對大部分復(fù)雜的OT環(huán)境，能檢測到配置錯誤的設(shè)備。
2. 各個防御點的集成者QRadar：OT環(huán)境是整個環(huán)境，僅僅靠數(shù)個防御點來保護是遠遠不夠的——因此需要IBM的SIEM系統(tǒng)QRadar對各個防御點進行集成，從而實現(xiàn)整個防御體系的聯(lián)動。QRadar不僅能結(jié)合各個不同防御工具的日志，幫助安全運維人員做出更好的分析，更能結(jié)合各個防御點，讓各個防御系統(tǒng)不再是單兵作戰(zhàn)，而是能聯(lián)動形成一個防御網(wǎng)——用防御的體系來應(yīng)對一個環(huán)境。更重要的是，QRadar和IT/OT/IoT的合作伙伴進行集成，可以持續(xù)地對OT系統(tǒng)進行防護——包括困難的系統(tǒng)升級與補丁功能。
3. 威脅情報IBM X-Force Exchange：IBM的一個重要的優(yōu)勢在于他們強大的威脅情報能力。X-Force Exchange每天監(jiān)控超過150億的安全事件、從2.7億個終端實時獲取全球威脅情報、監(jiān)控超過250億網(wǎng)頁和圖片、擁有全球最大的漏洞數(shù)據(jù)庫之一以及超過800萬的垃圾郵件外加網(wǎng)絡(luò)釣魚攻擊深度情報和超過86萬的惡意IP地址信譽庫。通過大量的威脅情報，制造業(yè)企業(yè)和基建設(shè)施可以提前了解到自己是否會受到哪些黑產(chǎn)的攻擊。
4. Resilient響應(yīng)平臺：如果說之前的方案都是針對事件發(fā)生前對系統(tǒng)的防護，那么Resilient安全事件響應(yīng)平臺則是專門針對安全事件的專家。很多制造業(yè)以及關(guān)鍵基礎(chǔ)設(shè)施缺乏自身專業(yè)的安全團隊，因此在面對攻擊時往往缺乏有效的應(yīng)急手段。而Resilient平臺則可以幫助網(wǎng)絡(luò)安全團隊協(xié)調(diào)其響應(yīng)流程的平臺，可以解決由于網(wǎng)絡(luò)安全技能短缺，安全警報不斷增加，難以完成的事件響應(yīng)流程和混亂的監(jiān)管環(huán)境等問題。
