为流程工业制定有效的网络安全策略

流程工业是不允许出现任何不确定性因素和风险的。石油天然气行业、炼油行业、石化行业、发电行业等在内的各个行业的企业必须防止并消除任何可能出现的网络安全威胁，因为这些威胁不仅会损害企业的正常运转，还会对工厂基础设施、资产设备、人员和环境带来威胁。

工业企业需要采取一些步骤来保护其关键的设施设备。如果了解了当前和未来的网络安全威胁、过程领域已经发生的事故以及不断变化的安全挑战，那么企业采取保护措施会更加的简单。

网络安全形势严峻

近年来，工业网络安全威胁已经从专家的深奥实践变成了普遍关注的问题。所有的利益相关者现在有了一份新责任，就是为关键的工业基础设施提升安全性、可靠性和稳定性。

现在，随着恶意软件在开放计算平台上带来越来越多的威胁，典型的工业控制系统（ICS）越来越容易受到来自外部的篡改。近年来，针对工厂自动化系统的网络攻击不仅大幅度增加，而且变得越来越复杂。从收集和窃取目标信息到消除关键数据，这种种的网络攻击对工厂的生产能力、可靠性和安全性造成了严重的损害。

采取措施应对ICS网络安全问题，不仅会提高控制系统应对其他不良事件的恢复能力，还会减少非计划停机时间，有助于设备在突发状况后快速恢复到“正常工作”的状态。

引发网络攻击的漏洞

现在越来越多的人开始关注工厂设备和工艺单元的网络安全领域。在大部分工业基地，模拟控制的时代已经成为过去，计算机网络、自动化机械以及无处不在的传感器成为工业生产的主流，工厂可以通过技术数据（生产和工艺信息）驱动设备生产运行，而且这些数据受到了严格的保护，可以在整个企业内部实现共享。

在IT系统和网络领域，人们非常关注技术信息的保护。但是保护一家生产制造企业的运行系统不得不面对新的挑战。不仅仅要保护技术数据免受窃取，而且还要保护技术数据免受篡改，避免对工艺操作的正常功能造成损害或者影响生产系统的安全性和可用性。这些担忧对于中小型企业来说尤其具有挑战性。对于工业现场来说，引发网络攻击的漏洞包括：

●  缺乏安全策略和措施；

●  互联网与企业之间的通讯；

●  工业局域网（LAN）与过程控制网络之间的通讯；

●  网络安全控制不充分或者过时，例如防止恶意软件的安全软件；

●  安全补丁过时或者缺失；

●  安全配置不够强大；

●  备份不完整或频率低。

为了恰当地保证他们的复杂性，包括关键系统ICS在内，流程工业企业必须尽量保证每个联网设备的安全，使其免受来自本地端口和LAN接口的恶意软件的入侵以及恶意指令的控制。与此同时，所有的工厂网络都需要采取入侵防护手段，并合理的进行分区，这样有助于降低网络攻击的威胁。

网络安全影响重大

针对一个工厂的自动化系统的攻击可能仅仅涉及网络组件及其运行，但是其产生的影响却可以扩展到与之相关联的实体、商业、人员以及环境系统。对于一个网络事件，无论是外部发起的还是内部发起的，或者是由于防护措施和程序不充分引起的，都会导致系统控制的缺失，带来严重的负面影响。

所有这些都给我们提出一个最重要的问题：流程工业企业是否已经准备好如何应对网络攻击了？

工业领域成为攻击目标

近些年来，工业领域已经网络攻击的主要目标。美国国土安全部(DHS)的报告指出在2014财年，ICS基础设施经历了至少245次网络安全事件。能源领域被攻击的次数最多，其次是加工制造行业。

DHS工业控制系统网络应急响应团队(ICS-CERT)给出的报告显示，55%的事件是与进阶持续性渗透攻击或威胁演员有关。大部分的事件被确定为“未知”的访问，因为没有足够的证据来证明这些事件是非法入侵。

2010年，Stuxnet对伊朗的铀浓缩设备攻击事件发生以后，很多公司开始意识到他们的ICS设备也会受到不法分子的攻击，包括网络犯罪分子、恐怖主义者以及不友好的国家。从那时起，我们能够看到，针对工业网络的攻击事件逐渐增加。随着越来越多的复杂的恶意软件的使用，Stuxnet所开启的网络攻击事件愈演愈烈。Duqu、Shamoon、蜻蜓、黑色能源以及其他的网络攻击不断的将能源和工业机构设为攻击目标。这些攻击也不再是投机性质的，而是已经被事实证明了的：针对诸如炼油厂、海上平台、电网和管道等关键基础设施的网络攻击显著增加。

提高网络安全等级

对于所有的工业企业来说，为了防止网络攻击，都必须根据其不同的网络安全等级制定不同的应对策略。尽管大多数一线公司都有应对网络攻击的安全计划，但是对于那些视产量比安全更重要的小型企业来说，情况就不同了。这些公司要么陷入网络安全问题中苦苦挣扎，要么就是把网络攻击和造成大规模杀伤的恐怖组织联系在一起。

在流程制造领域中，不论其企业的规模和类型，只有接受最新的技术才能保证自身的竞争力，越是信息化发展较好的企业越依赖数字化设备。正是由于数字化设备的大量应用，给了网络攻击者破坏网络安全的机会，所以，要想保证网络的安全，只能制定更高等级的、更加全面的网络安全计划。

因此，对于流程工业企业来说，需要重视下面两个关键举措：

●  提高运行数据的可用性，实现更加智能和有效的生产；

●  保证企业对于网络安全的灵敏性，实现网络安全控制与智慧企业和运行实践的结合。

当然，实际应用当中并没有这么简单，一些重要的因素使得供应商和用户在实施网络安全计划时有点捉襟见肘。因为一套ICS安全解决方案不是一个单一产品；相反，它是一个体系结构、实际操作、行为模式、安全组件（硬件及软件）以及第三方服务的组合。

网络安全防护措施

想要实现有效的网络安全保护有很多因素，包括：更好的网络隔离；更强的授权和访问控制；更加严格的控制便携式文件和媒体处理；增加组策略执行；以及格外严格的对网络事件的遏制、安全管理、变更控制、配置以及维护。

在实际应用中，很少有企业能够独自把这些网络安全因素全覆盖到，而是通过寻求外部帮助来处理不断增加的网络威胁。虽然电气设备保护方案已经实施，但是只有全面的、完整的信息安全解决方案才能保证员工、设备和知识产权的安全。

■ 在美国佐治亚州德卢斯的工业网络安全实验室，霍尼韦尔采用了过程控制网络模型来培训网络安全人员，以及负责研究、开发、测试和认证的工业网络安全防护的人员。图片来源：霍尼韦尔过程解决方案

网络安全策略的实施步骤

将有效的网络安全策略付诸实施包括以下几个关键的步骤：

了解风险：一套综合的网络安全风险评估对于评估当前的安全形势很有价值，可以通过行动排列的优先次序来降低风险。循环评估可以用来跟踪重要事件以及安全计划的成熟度，在达到期望的安全保证级别过程中提供进程提示信息。使用新型的工业风险管理安全监控工具可以实现技术控制的持续评估。

通过审计判定趋势：工业企业也应该建立独立的审计制度来评估系统控制的充分性，不仅可以确定安全策略与操作程序的协同性，还可以针对各种调整提出建议。这种方式不仅提供了视图的趋势，并且将实际表现与预设标准做出了精确的比较。

部署安全可靠的体系结构：一个安全的体系结构可以为控制系统的可用性、可靠性和安全性提供长期的基础保证。重要的是要认识到不同网络安全体系结构之间的优势和劣势，并基于正确的安全区域和渠道的划分，了解不同拓扑结构的优缺点。

建立适当的网络安全：网络安全一般都扮演着抵御网络威胁第一道防线的角色。所以，公司应该认真部署网络安全应对措施，例如防火墙、威胁检测以及安全分析，以此来强化和限制未经授权的访问。

保护网络端点：在允许设备访问之前，针对过程控制网络各端点的有效保护至关重要。ICS部门可以通过修补、防毒保护、应用白名单、端节点强化以及便携式存储设备安全管理等手段保证其网络的安全。

辨识危险状况：对于连续不断的网路攻击和威胁，要保证足够高的警惕性。工厂人员通过不断地监控、遵守规定和报告、安全分析、安全信息、时间管理以及安全警觉培训来增强在控制网络方面进行说明和理解行为的能力。

加速恢复和响应：对于任何的工业运行来说，安全的系统备份一定要保证是最新的，这样它们才可以迅速恢复。为了将停机时间降到最低和控制潜在的危害，这些防范措施应该成为广泛事件和灾害恢复计划的一部分。

积极制定网络安全计划

流程工业企业必须采取积极主动的网络安全措施，包括持续不断的风险评估、制定有效的安全策略。同时还要保持高度警觉，因为网络攻击可能会造成无法承受的后果。（作者：Eric Knapp）