增强网络宁静意识 重视网络宁静新技术

宣布时间 2021-05-11

近日，美国最大的制品油管道运营商Colonial Pipeline受到勒索软件攻击，使得长达5500英里的管道运营被迫中断，此事件的发作再次引起各人对网络宁静的重视 。


今后次网络攻击的实际结果分析，这种高度定向的攻击等同于APT水准的攻击 。尤其在全球近几年发生的重大工业应急响应宁静事件中，勒索病毒攻击仍是工业宁静面临的主要威胁 。因此，针对OT（Operational Technologies）系统的宁静防御必须构建高于入侵方的资源体系和能力 。


极其脆弱的OT网络环境


在当前国际网络空间异常庞大情况下，尤其是目前一些新技术的应用，工控OT系统缺乏尺度化、生产运营�；杀揪薮蟆⒐┯α磁哟蟆⒃冻淘宋芸乩训任侍庠椒⑼怀� 。因此，在极其脆弱的OT网络环境中，需接纳类似“零信任”、“场景化”宁静防御、基于网络行为分析的“主动防御”等综合的解决思路，对所有OT、物联网、工业IoT（IIoT）资产、流程、连接路径和用户活动进行严格梳理，建立资产画像和应用“零信任”计谋进行资产管理，更好地�；すた叵低车腛T网络环境，应对类似APT水准的攻击 。


1、工控OT系统缺乏尺度化：大部门OT网络自投产运行后，随着数字化升级过程，与差异时期的资产组成庞大的庞大系统，不仅增加了庞大性，且疏散运营在多个所在，其中一些所在位于偏远地域，如油气管网、油气开采等，OT的宁静环境更为庞大，管控更为困难 。


2、OT生产运营�；杀揪薮螅篛T生产首先考虑的是可用性和可靠性，满足生产经营的需求，然而数字化升级会发生凌驾工控网络负载的流量、新的网络宁静威胁，进而带来中断和�；姆缦�，同时生产�；指葱枰ㄒ倒九挪楣收�，成本巨大 。


3、OT工控系统的供应链庞大：工控厂商各自的控制系统通信、控制等协议私有，各自的OT资产换代升级、核心维修等依赖于其供应商或授权第三方，供应链的宁静控制与管理难落实，且大型的OT系统资产庞大，考虑到其兼容性和笼罩范围，需要投入大量的投资和精力进行相关资产发现、威胁分析和资产画像等 。


4、OT系统远程运维管控困难：由于控制系统的维护需要专业厂家协助，尽管增加VPN、碉堡机等传统的远程访问解决方案，但对远程用户操作的可见性及其过程管控相对有限，且部门单元过多依赖原厂的支持，并相信原厂操作的可信性，OT工业运维宁静管控更为困难 。


三大流传途径


工勒索病毒流传的路径主要是利用设备漏洞远程入侵、利用摆渡绕过IT/OT隔离和利用供应链攻击恶意侵入三种方式，对OT工控系统发生严重破坏 。


● 利用设备漏洞远程入侵


对于诸如油气管网、开采等系统、随着数字化升级，云计算、物联网、大数据技术的广泛应用，IT与OT网络不停融合升级，部门工控系统设备可能直接或间接袒露于互联网中，而这些工控设备天然存在漏洞，恶意软件可能通过远程利用漏洞的方式熏染工控系统设备，进而实施勒索或其他恶意行为 。


● 利用摆渡绕过IT/OT隔离


尽管工控系统的“收口”工程大部门已与外部网络进行了宁静隔离，但恶意软件可能通过邮件、U盘，甚至社工等渠道进入OT内网，绕过IT/OT的隔离系统 。


● 利用供应链攻击恶意侵入


国际网络空间和环境异常庞大，非法组织将勒索病毒通过预先熏染供应商设备，恶意将勒索病毒植入目标工控系统，再利用勒索蠕虫病毒中内置的漏洞利用代码在OT内网中进行横向渗透，发现并熏染存在漏洞和脆弱性问题的工控系统设备 。


增强网络宁静意识 重视网络宁静新技术


针对OT网络的宁静防御最重要的是增强人们的网络宁静意识，同时也要重视新技术的应用 。


● “零信任”技术加强设备管理


接纳“零信任”技术和计谋，加强工控系统网络中要害数字设备的接入管理，在接纳“IP+MAC”捆绑基础上，增加“CPU ID+HDD SN+Node Name+ Password”等元组对接入的终端设备进行严格审查，对存在宁静隐患和已知漏洞的设备及时进行修复，对未便修复的设备进行须要的隔离，对工控系统网络中非须要的端口进行关闭处置 。


● OT网络资产画像


针对OT内网的私有协议和通信控制流量，需要DPI和DFI进行报文解析 。通过借助抖圈为赌而生泰合宁静运营平台、大数据分析平台内置的资产指纹，现场部署“TAR+CS plus+NFT”智能组合收罗探针、工控无损漏洞扫描系统等产物，提取网络的五元组特征、资产特征、工控漏洞特征、工控木马病毒特征、行为特征 。并辅以VenusEye等情报，工业宁静运营中心、大数据分析平台等通过指纹比对等方式，自动识别网络中的资产信息，并可将被监测的工业、企业的网络拓扑动态泛起，识别IT层和OT层的资产信息，包罗服务器、路由器、主机等IT层资产，上位机、PLC、控制器等工业现场资产 。当管理员对拓扑图上的设备属性进行修改、添加或删除设备，可凭据设备通信状态进行网络拓扑图的动态更新 。通过资产、流量，数据、情报的分析，接纳深度包检测技术将资产合法行为的连接、会话和命令记录下来，数据的建模引入机器学习技术，建立资产的合法行为基准，并对违反此基准的异常行为告警 。


● 强化重要业务数据动态备份


通过接纳基于MES远程数据库的灾备、PLC/DCS应用系统的灾备、SCADA应用软件的灾备等方式对重要数据进行备份处置，当数据遭到加密或破坏后，能够及时、快速地恢复正常生产事情，把损失降到最低 。


1、基于MES远程数据库的灾备：基于MES数据库的备份接纳实时复制方式，而且在备份过程中，接纳自动冲突检测和解决的手段，以保证数据一致性不受破坏 。


2、基于PLC、DCS应用系统的灾备：看待处置的业务数据，通过网络分别传输至生产中心和灾备中心进行处置，保证在灾难发生后，系统能够继续处置业务，并实现各节点间数据的一致 。


3、基于SCADA应用软件的灾备：一旦某主中心系统失效时，灾难备份中心的应用软件系统恢复运行，接管主中心的业务，可以通过在应用软件内部，连接两个异地数据库，同时在将业务处置数据分别存入主中心和备份中心的数据库中 。


● 强化网络规划、补丁升级和配置加固


针对庞大多样的网络威胁，仅依靠网络拦截是不够的，需加强终端宁静的防御 。通过在终端侧部署具备有效防护能力的终端宁静防御软件，强化网络规划，做好补丁升级及配置加固，改善宁静界限能力等方式，增强终端宁静运行维护能力，有效防护勒索软件的威胁 。


此次网络攻击事件对我国油气管网的宁静防御的警示意义巨大，必须贯彻落实网络宁静品级�；ぶ贫群鸵π畔⒒∩枋┠脖；ぶ贫任⊥缒财芳侗；ざ洞姘浮⑵芳恫馄馈⒛步ㄉ韬图觳榈然∈虑樯钊胪平�，网络宁静�；ば栌行涫怠笆嫡交⑻逑祷⒊Ｌ焙汀岸烙⒅鞫烙⒆萆罘烙⒕挤阑ぁ⒄宸揽亍⒘懒亍钡摹叭馈贝胧�，形成“打、防、管、控”一体化的网络宁静综合防控体系，进一步维护国家网络空间主权、国家宁静和社会公共利益 。