如何解决制造业信息安全问题?

什么是OT信息安全?

操作技术(OT)是直接监视和/或控制物理设备、过程和事件的过程，以检测或引起硬件和软件的变化。OT在工业控制系统(ICS)中很常见。在关键基础设施领域，OT可用于控制发电厂或公共交通。随着该技术的发展及其与网络技术的融合，对OT安全的需求呈指数级增长。

OT体系结构主要分为三个部分。第一层是服务层，例如应用程序和其他服务。第二层是ICS工业控制系统。第三层是最低层的设备、装置等。在加时赛的进攻中，无论什么级别的进攻，都可能导致整条线失败。如今，许多黑客的网络攻击已经上升到国家之间政府级别的攻击，而政府发起的攻击最有可能直接触底，因为它预计会导致整个系统崩溃，造成更大的影响。可能会造成民生问题，甚至造成人身安全等事件的发生。

IT-OT融合:

多年来，工业系统一直依赖于专有协议和软件，由人类管理和监控，与外部世界没有任何联系。因此，它们对黑客来说是微不足道的目标，因为没有网络接口可以攻击，也没有接口可以获取或破坏。渗透这些系统的唯一方法是对终端进行物理入侵。OT和IT集成是最低限度的，不处理相同类型的漏洞。

越来越多的工业系统上线，提供大数据和智能分析，并通过技术集成采用新的功能和效率。IT-OT的融合为组织提供了工业系统的单一视图，以及过程管理解决方案。确保准确的信息在正确的时间以最佳的格式传递给人、机器、开关、传感器和设备。当IT和OT系统一起工作时，可以发现新的效率，系统可以被远程监视和管理，组织可以获得与管理IT系统相同的安全优势。这种从封闭系统到开放系统的转变产生了许多需要解决的新的安全风险。

为什么OT的信息安全很重要?

随着工业系统的联系越来越紧密，它们也变得更容易受到攻击。工业设备的高成本，以及攻击可能对社区和经济造成的破坏，是组织寻求保护其工业网络的关键因素。增加遗留设备、可能禁止对设备进行任何修改的安全法规，以及要求将敏感数据提供给第三方的合规法规，将具有挑战性。

OT信息安全的重点是保护工业网络，而不中断运营或冒被入侵的风险。采用全可视化、网络控制流量的解决方案，并建立正确的安全策略。制定有效的OT策略，以保护您的业务流程、人员和利润，并大幅减少安全漏洞和事故。

OT信息安全必须自上而下，而不是过去的自下而上。除了修补现有漏洞外，还应引入零信任、微分割等体系结构，或使用机器学习、自动化等技术程序，更好地理解攻击方法或遵守法律，将风险降至最低。OT领域和信息安全部署相对碎片化，将有越来越多的新型技术加入到环境中。防范网络攻击的拥堵威胁，无论是信息安全行业还是信息安全企业都必须与时俱进。

IT与OT的区别:

计算机和数据网络被称为IT(信息技术);ICS(工业控制系统)的运行和程序控制一般称为OT(操作技术)。OT采用专有的软件和硬件架构，在隔离和独立的网络中执行，其目标和需求与IT完全不同。但这些都开始改变了。网络化环境的日益普及，形成了物联网和工业物联网，带来了两者连接的可能。工业控制系统正从单机走向互联，从封闭走向开放，从自动化走向智能化。

为了降低成本、实时访问和系统自动化，ICS制造商最初使用专有软件、硬件和通信协议被开发。现在开始使用通用网络系统来连接企业和外部网络，使用市面上现成的软硬件来构建ICS系统，降低产品制造和维护成本，提高生产率。

ICS系统采用这种开放通用的架构后，虽然OT和IT之间的关系缩短了。然而，它也带来了过去没有出现过的安全弱点。与IT系统一样，它们也受到病毒等恶意软件的严重威胁。

OT和IT的区别越来越模糊，但本质上的区别仍然存在。基础设施的网络安全始于理解OT和IT之间的区别。

工业控制系统信息安全防护指南:

1. 安全软件的选择与管理:
   
   • 在工业主机上使用已经在脱机环境中充分验证和测试过的杀毒软件或应用白名单软件，并且只允许工业企业自己授权和评估的软件运行。工业控制系统对系统的可用性和实时性有很高的要求。工业主机如MES服务器、OPC服务器、数据库服务器、工程师站、操作员站等应用安全软件应提前在离线环境中进行测试和验证。脱机环境是指物理上与生产环境隔离的环境。验证和测试包括安全软件的功能、兼容性和安全性。
   • 建立反病毒和恶意软件入侵管理机制，对工控系统和临时接入设备采取病毒检测、杀毒等安全防范措施。工业企业需要建立工控系统的反病毒和恶意软件入侵管理机制，对工控系统和临时连接设备采取必要的安全防范措施。安全措施包括定期扫描病毒和恶意软件，定期更新病毒模式，检查和销毁临时接入设备。
2. 配置和补丁管理:
   
   • 做好工控网络、工业主机、工控设备的安全配置工作，建立工控系统配置清单，定期进行配置审计。工业企业要做好虚拟区域网络隔离、关闭端口等工控网络安全配置、远程控制管理、默认帐号管理等工业主机安全配置、密码策略符合性等工控设备安全配置，并建立相应的安全配置。制定配置清单，定期管理和维护责任人，定期检查和审计配置。
   • 为重大配置变更制定变更计划并进行影响分析，并在实施配置变更前进行严格的安全测试。工业企业发生重大配置变更时，应当及时制定变更计划，明确变更时间、变更内容、变更责任人、变更批准、变更验证等事项。其中，重大配置变更包括重大漏洞补丁更新、增加或减少安全设备、重新划分安全域等。同时，对变更过程中可能发生的风险进行分析，形成分析报告，并在脱机环境下对配置变更的安全性进行验证。
   • 密切关注主要工控安全漏洞及其补丁发布情况，及时采取补丁升级措施。补丁安装前需要经过严格的安全评估和测试验证。工业企业应密切关注CNVD、CNNVD等设备厂商发布的漏洞库和补丁。在发布重大漏洞及其补丁时，根据公司的情况和变更计划，对补丁进行严格的离线环境评估和测试，并对通过安全评估和测试的补丁及时进行更新。
3. 边境安全:
   
   • 分离工业控制系统的开发、测试和生产环境。工业控制系统的开发、测试和生产环境需要实施不同的安全控制措施。工业企业可以采用物理隔离、网络逻辑隔离等方法进行隔离。
   • 通过工控网边界保护设备保护工控网与企业网或Internet之间的边界，禁止未受保护的工控网接入Internet。工控网边界安全防护设备包括工业防火墙、工业网关、单向隔离设备、企业定制边界安全防护网关等。工业企业应根据实际情况，在不同网络边界之间部署边界安全防护设备，实现安全访问控制。阻断非法网络接入，严禁无保护工控网络和互联网接入。
   • 通过工业防火墙、网关等防护设备，在工控网络安全区域之间进行逻辑隔离和安全防护。根据区域重要性和业务需求划分工业控制系统网络安全区域。对于区域间的安全防护，可以使用工业防火墙、网关等设备进行逻辑隔离安全防护。
4. 物质和环境保障:
   
   • 对重要工程站、数据库、服务器等工控核心软硬件所在区域，采取门禁、视频监控、专人值班等物理安全防护措施。工业企业在工控系统重要资产所在区域，应当采取相应的物理安全防护措施。
   • 拆除或关闭工业主机上不需要的USB、CD-ROM、无线等接口。如果需要使用，则应使用主机外围安全管理技术进行严格的访问控制。工业主机外设(如USB、CD-ROM和无线)的使用为恶意代码(如病毒、木马和蠕虫)的入侵提供了途径。删除或关闭工业主机上不必要的外围接口可以降低感染风险。当需要使用它时，可以孤立地使用安全管理技术，例如统一管理主机外设和具有外设接口的工业主机。
5. 身份验证:
   
   • 在工业主机登录、应用服务资源访问、工业云平台访问过程中使用身份认证管理。使用多因素认证访问关键设备、系统和平台。用户在登录工业主机、访问应用服务资源、工业云平台等过程中，应使用密码、USB key、智能卡、生物指纹、虹膜等身份认证管理方式。如果需要，可以同时使用多种身份验证方法。
   • 合理分类和设置账户权限，按照最小权限原则分配账户权限。工业企业应根据工作需求，按照最小特权原则分配系统帐户权限，以保证因事故、错误篡改等原因造成的损失最小化。工业企业需要定期审核所分配的账户权限是否超出工作需要。
   • 加强工控设备、SCADA软件、工业通信设备等的登录账号和密码，避免使用默认密码，并定期更新密码。工业企业可参考供应商推荐的设置规则，对工控设备、SCADA软件、工业通信设备等设置不同强度的登录账号和密码。根据资产的重要性，定期更新资产，避免使用默认密码或弱密码。
   • 加强对身份认证证书信息的保护，禁止在不同系统和网络环境中共享。工业企业可以使用USB-key等安全媒体存储身份认证证书信息，并建立相关制度，严格控制证书的申请、颁发、使用和撤销过程，以确保。禁止在不同的系统和网络环境中使用相同的身份认证证书信息，以减少证书泄露后对系统和网络的影响。
6. 远程访问安全:
   
   • 原则上严格禁止工控系统向Internet开放HTTP、FTP、Telnet等高危通用网络服务。工控系统向Internet开放HTTP、FTP、Telnet等网络服务，容易导致工控系统被入侵、攻击和利用。工业企业原则上应禁止工业控制系统开设高风险的一般网络服务。
   • 如果需要远程访问，可以使用数据单向访问控制等策略加强安全性，控制访问时间限制，使用标记锁定策略。如果工业企业需要远程访问，可以在网络边界使用单向隔离设备、vpn等实现数据的单向访问，并控制访问时间。采用标签锁定策略，防止访问方在远程访问时进行非法操作。
   • 如果需要进行远程维护，建议使用VPN (virtual private network)等远程接入方式。当工业企业需要远程维护时，可以通过鉴权和加密的方式保证远程接入通道的安全。例如，通过VPN等方式，为接入帐号分配一个专用号码，并定期对接入帐号进行审计。查看账户操作记录。
   • 保存工控系统的相关访问日志，并对运行过程进行安全审计。工业企业应保存工控系统设备、应用程序等的访问日志，并定期备份，通过审计员账号、访问时间、操作内容等日志信息跟踪和定位非法访问行为。
7. 安全监测和应急计划演习:
   
   • 在工控网络中部署网络安全监控设备，及时发现、上报并处理网络攻击或异常行为。工业企业应部署网络安全监控设备，对工控网络中的网络攻击和异常行为进行识别、报警和记录。及时发现、上报并处理病毒、端口扫描、暴力破解、异常流量、异常指令、工控网络攻击或伪造系统协议报文等异常行为。
   • 在重要工控设备前端部署具有工业协议深度包检测功能的防护设备，限制非法操作。在工业企业生产核心控制单元前端部署能够对主流工控系统协议进行深度分析和过滤的防护设备，对不符合协议标准结构的数据包和不符合业务需求的数据内容进行屏蔽。
   • 制定工控安全事件应急响应预案。当因安全威胁引起工控系统异常或故障时，应立即采取应急防护措施，防止事态扩大，并向省工业和信息化部门报告，并注意保护现场进行调查取证。工业企业需要独立或委托第三方工控安全服务单位制定工控安全事件应急响应方案。该计划应包括应急计划策略和程序、应急计划培训、应急计划测试和演练、应急处理程序、事件监测措施、应急事件报告程序、应急支持资源和应急响应计划。
   • 定期演练工控系统应急预案，必要时修改应急预案。工业企业应定期组织工控系统运行、维护、管理相关人员开展应急预案演练。演练包括桌面演练、单项演练和综合演练。必要时，企业应当根据实际情况对计划进行修改。
8. 资产安全:
   
   • 建立工控系统资产清单，明确资产责任人，明确资产使用和处置规则。工业企业应当建立工业控制系统资产清单，包括信息资产、软件资产和硬件资产。确定资产责任人，制定资产使用和处置制度，定期对资产进行安全检查，审核资产使用记录，检查资产运行状况，及时发现风险。
   • 关键主机设备、网络设备、控制组件等的冗余配置。工业企业应根据业务需要，对关键主机设备、网络设备和控制部件配置冗余电源、冗余设备和冗余网络。
9. 数据安全:
   
   • 对静态存储和动态传输过程中的重要工业数据进行保护，根据风险评估结果对数据信息进行分类和管理。工业企业应对重要工业数据进行静态存储和加密存储，设置访问控制功能，对重要工业数据进行动态传输和加密传输。使用VPN等方法进行隔离保护，根据风险评估结果建立和完善数据信息分类。
   • 定期备份关键业务数据。工业企业应定期备份关键业务数据，如工艺参数、配置文件、设备运行数据、生产数据、控制指令等。
   • 保护测试数据。工业企业应对测试数据进行保护，包括安全评估数据、现场配置开发数据、系统联合调试数据、现场变更测试数据、应急演练数据等，如签订保密协议、回收测试数据等。
10. 供应链管理:
    
    • 在选择工控系统规划、设计、建设、运行、维护或评估的服务商时，应优先考虑具有工控安全防护经验的企事业单位。以及服务提供者应通过合同等方式承担的信息安全责任和义务。工业企业在选择工控系统规划、设计、施工、运维或评估服务商时，应优先选择具有工控安全防护经验的服务商，并核对其提供的工控安全合同、案例、验收报告等认证材料。服务提供者在服务过程中应承担的信息安全责任和义务，应在合同中以明示条款的形式规定。
    • 要求服务提供商以保密协议的形式做好保密工作，防止敏感信息的泄露。工业企业应当与服务提供者签订保密协议，并在协议中规定保密内容、保密期限、违约责任等。防止工艺参数、配置文件、设备运行数据、生产数据、控制指令等敏感信息泄露。
11. 履行职责:
    
    • 通过建立工业控制安全管理机制、成立信息安全协调小组等，明确工业控制安全管理责任人，落实工业控制安全责任制，部署工业控制安全防护措施。工业企业要建立健全工控安全管理机制，明确工控安全主体责任。成立工控系统信息安全协调小组，由企业负责人牵头，相关部门组成。如信息化、生产管理、设备管理等，负责工业控制系统。全生命周期安全防护体系的建设与管理，工控系统安全管理体系的制定，工控安全防护措施的部署。