如何解决制造业信息安全问题?

什么是OT资讯保安?

操作技术(OT)是直接监视和/或控制物理设备、过程和事件以检测或引起硬件和软件变化的过程。OT在工业控制系统(ICS)中很常见。在关键的基础设施领域，OT可用于控制发电厂或公共交通。随着该技术的发展及其与网络技术的融合，人们对OT安全的需求呈指数级增长。

OT体系结构主要分为三个部分。第一层是服务层，例如应用程序和其他服务。第二层是ICS工业控制系统。第三层是最底层的设备、装置等。在OT的攻击中，无论什么程度的攻击，都可能导致整条线的失败。如今，许多黑客的网络攻击已经上升到国家间政府层面的攻击，而政府发起的攻击最有可能直接触底，因为预计整个系统会崩溃，造成更大规模的影响。可能造成民生问题，甚至造成人身安全等事件的发生。

IT-OT的融合:

多年来，工业系统一直依赖于专有协议和软件，由人类管理和监控，与外部世界没有任何联系。因此，对于黑客来说，它们是微不足道的目标，因为它们没有网络接口可以攻击，也没有接口可以获取或破坏。渗透这些系统的唯一方法是对端点进行物理入侵。OT和IT集成是最小的，并且不处理相同类型的漏洞。

越来越多的工业系统上线，提供大数据和智能分析，并通过技术集成采用新的功能和效率。IT-OT的融合为组织提供了工业系统的单一视图，以及过程管理解决方案。确保准确的信息在正确的时间以最佳的格式传递给人员、机器、开关、传感器和设备。当IT和OT系统协同工作时，可以发现新的效率，可以远程监控和管理系统，并且组织可以获得与管理IT系统相同的安全优势。这种从封闭系统到开放系统的转变产生了许多需要解决的新的安全风险。

为什么OT的信息安全很重要?

随着工业系统变得更加互联，它们也变得更容易受到攻击。工业设备的高成本，以及攻击对社区和经济造成的破坏，是组织寻求保护其工业网络的关键因素。添加遗留设备、可能禁止对设备进行任何修改的安全法规以及要求将敏感数据提供给第三方的合规性法规将具有挑战性。

OT信息安全的重点是保护工业网络，而不中断运营或冒被破坏的风险。使用完全可见、网络控制流量的解决方案，并建立正确的安全策略。制定有效的OT策略来保护您的业务流程、人员和利润，并显著减少安全漏洞和事件。

OT信息安全必须是自上而下的，而不是过去的自下而上。除了修补现有漏洞外，还应该引入零信任和微分段等架构，或者使用机器学习和自动化等技术程序来更好地了解攻击方法或遵守法律以最大限度地降低风险。OT领域和信息安全的部署相对分散，越来越多的新型技术将加入到环境中。无论是信息安全行业还是企业，都必须与时俱进，防范网络攻击带来的拥塞威胁。

IT与OT的区别:

计算机和数据网络被称为IT(信息技术);ICS(工业控制系统)的运行和程序控制一般称为OT(操作技术)。OT采用专有的软件和硬件架构，在隔离和独立的网络中执行，其目标和需求与IT完全不同。但这些正在开始改变。网络化环境的日益普及，形成了物联网和工业物联网，为两个系统的连接带来了可能。工业控制系统正从单机走向互联，从封闭走向开放，从自动化走向智能化。

为了降低成本、实现实时访问和系统自动化，ICS制造商最初使用专有软件、硬件和通信协议进行开发。现在开始使用通用网络系统连接企业与外部网络，并使用市售的现成软件和硬件构建ICS系统，降低产品制造和维护成本，提高生产效率。

ICS系统采用这种开放通用的架构后，虽然缩短了OT和IT之间的关系。然而，它也带来了过去没有出现过的安全漏洞。与IT系统一样，它们也受到病毒等恶意软件的严重威胁。

OT和IT之间的区别越来越模糊，但本质上的区别仍然存在。基础设施的网络安全首先要了解OT和IT之间的区别。

工业控制系统信息安全保护指南:

1. 安全软件的选择与管理:
   
   • 在工业主机上使用已在离线环境下经过充分验证和测试的杀毒软件或应用白名单软件，只允许工业企业自己授权和评估的软件运行。工业控制系统对系统的可用性和实时性有很高的要求。工业主机如MES服务器、OPC服务器、数据库服务器、工程师站、操作员站等应用安全软件应提前在离线环境下进行测试验证。脱机环境是指物理上与生产环境隔离的环境。验证和测试包括安全软件的功能性、兼容性和安全性。
   • 建立防病毒和恶意软件入侵管理机制，做好工控系统和临时连接设备的病毒检测、杀毒等安全防范措施。工业企业需要建立工控系统的防病毒和恶意软件入侵管理机制，对工控系统和临时连接的设备采取必要的安全防范措施。安全注意事项包括定期扫描病毒和恶意软件、定期更新病毒码、检查并销毁临时访问设备。
2. 配置和补丁管理:
   
   • 做好工控网络、工业主机、工控设备的安全配置工作，建立工控系统配置清单，定期进行配置审核。工业企业应做好虚拟局域网隔离和端口禁用等工控网络安全配置、远程控制管理和默认账户管理等工业主机安全配置、密码策略遵从等工控设备安全配置，并建立相应的安全配置。制定配置清单，定期对负责人进行管理和维护，定期对配置进行检查和审计。
   • 为主要的配置变更制定变更计划并进行影响分析，并在配置变更实施前进行严格的安全性测试。工业企业在发生重大配置变更时，应及时制定变更计划，明确变更时间、变更内容、变更负责人、变更审批、变更审核等事项。其中，重大配置变化是指更新重大漏洞补丁、增加或减少安全设备、重新划分安全域等。同时，对变更过程中可能出现的风险进行分析，形成分析报告，并在离线环境下验证配置变更的安全性。
   • 关注重大工控安全漏洞及其补丁发布情况，及时采取补丁升级措施。安装补丁前，需要对补丁进行严格的安全评估和测试验证。工业企业应密切关注设备厂商发布的CNVD、CNNVD等漏洞库和补丁。重大漏洞及其补丁发布时，根据公司情况和变更计划，在线下环境下对补丁进行严格的评估和测试，对通过安全评估和测试的补丁及时更新。
3. 边境安全:
   
   • 分离工业控制系统的开发、测试和生产环境。工业控制系统的开发、测试和生产环境需要实施不同的安全控制措施。工业企业可以采用物理隔离、网络逻辑隔离等方法进行隔离。
   • 通过工控网络边界保护设备保护工控网络与企业网络或互联网之间的边界，禁止未受保护的工控网络接入互联网。工业控制网络边界安全防护设备包括工业防火墙、工业守门人、单向隔离设备和企业定制边界安全防护网关。工业企业应根据实际情况在不同网络边界之间部署边界安全防护设备，实现安全访问控制。阻断非法网络接入，严禁无保护的工控网络和互联网连接。
   • 通过工业防火墙、守门人等防护设备，实现工控网络安全区域之间的逻辑隔离和安全防护。工控系统网络安全区域根据区域重要性和业务需求进行划分。对于区域之间的安全保护，可以使用工业防火墙、网关守门人等设备进行逻辑隔离安全保护。
4. 物理和环境保护:
   
   • 对重要工程站、数据库、服务器等核心工控软硬件所在区域采取门禁、视频监控、专人值守等物理安全防护措施。工业企业应对重要工控系统资产所在区域采取相应的物理安全保护措施。
   • 移除或关闭工业主机上不必要的USB, CD-ROM，无线和其他接口。如确需使用，应采用主机外设安全管理技术实施严格的访问控制。工业主机外设(如USB、CD-ROM和无线)的使用为病毒、特洛伊木马和蠕虫等恶意代码的入侵提供了途径。移除或关闭工业主机上不必要的外设接口可以降低感染风险。在需要使用时，可以隔离使用统一管理主机外设、具有外设接口的工业主机等安全管理技术。
5. 身份验证:
   
   • 在工业主机登录、应用服务资源访问、工业云平台访问过程中使用身份认证管理。使用多因素身份验证来访问关键设备、系统和平台。用户在登录工业主机、访问应用服务资源、工业云平台等过程中，应使用密码、USB密钥、智能卡、生物指纹、虹膜等身份认证管理方式。必要时，可以同时使用多种认证方式。
   • 合理分类和设置帐户权限，并根据最小权限原则分配帐户权限。工业企业应按工作需求按最小权限原则分配系统帐户权限，以确保将事故、错误篡改等原因造成的损失降至最低。工业企业需要定期审核分配的账户权限是否超出工作需要。
   • 加强工控设备、SCADA软件、工业通讯设备等的登录账号和密码管理，避免使用默认密码，并定期更新密码。工业企业可参考供应商推荐的设置规则，对工控设备、SCADA软件、工业通信设备等设置不同强度的登录账号和密码。根据资产的重要程度，定期更新，避免使用默认密码或弱密码。
   • 加强身份认证证书信息保护，禁止在不同系统和网络环境中共享。工业企业可以使用USB-key等安全介质存储身份认证证书信息，并建立相关制度，严格控制证书的申请、发放、使用和撤销过程，以确保。禁止在不同的系统和网络环境中使用相同的身份认证证书信息，以减少证书泄露后对系统和网络的影响。
6. 远程访问安全:
   
   • 原则上，严格禁止工控系统对互联网开放HTTP、FTP、Telnet等高风险的通用网络服务。工业控制系统为Internet打开HTTP、FTP、Telnet和其他网络服务，这很容易导致工业控制系统被入侵、攻击和利用。工业企业原则上应禁止工控系统开放高风险的一般网络服务。
   • 如果需要远程访问，可以使用数据单向访问控制等策略加强安全性，控制访问时间限制，并使用标签锁定策略。如果工业企业需要远程访问，可以在网络边界使用单向隔离设备、vpn等，实现数据的单向访问，并控制访问时限。采用标签锁定策略，防止访问方在远程访问过程中进行非法操作。
   • 如果需要进行远程维护，建议使用VPN等远程接入方式。如果工业企业需要远程维护，应采用认证和加密的方式保证远程接入通道的安全性。例如，通过VPN (virtual private network)等方式，为接入帐号分配专用号码，并定期进行审计。访问帐号操作记录。
   • 保存工控系统的相关访问日志，对运行过程进行安全审核。工业企业应保留工控系统设备、应用等的访问日志，并定期备份，通过审计账号、访问时间、操作内容等日志信息，对未授权的访问行为进行跟踪定位。
7. 安全监察及应急计划演练:
   
   • 在工控网络中部署网络安全监控设备，及时发现、报告和处理网络攻击或异常行为。工业企业应在工控网络中部署能够识别、报警、记录网络攻击和异常行为的网络安全监控设备。及时检测、报告和处理病毒、端口扫描、暴力破解、异常流量、异常指令、工控网络攻击、伪造系统协议报文等异常行为。
   • 在重要工控设备前端部署具有工业协议深度包检测功能的防护设备，限制非法操作。在工业企业的生产核心控制单元前端部署能够深度分析和过滤主流工控系统协议的防护设备，对不符合协议标准结构的数据包和不符合业务需求的数据内容进行阻断。
   • 制定工业控制安全事件的应急响应计划。当因安全威胁造成工控系统异常或故障时，应立即采取应急防护措施，防止事态扩大，并向省工业和信息化部门报告，并注意保护现场调查取证。工业企业需要独立或委托第三方工控安全服务单位制定工控安全事件应急预案。该计划应包括应急计划策略和程序、应急计划培训、应急计划测试和演练、应急处理程序、事件监测措施、应急事件报告程序、应急支持资源和应急响应计划。
   • 定期演练工控系统应急预案，必要时修改应急预案。工业企业应当定期组织工控系统运行、维护、管理等相关人员开展应急预案演练。演练包括桌面演练、个人演练和综合演练。必要时，企业应当根据实际情况对计划进行修改。
8. 资产安全:
   
   • 建立工控系统资产清单，明确资产责任人，明确资产使用和处置规则。工业企业应当建立工控系统资产清单，包括信息资产、软件资产和硬件资产。明确资产责任人，建立资产使用和处置制度，定期对资产进行安全检查，审计资产使用记录，检查资产运行状况，及时发现风险。
   • 关键主机设备、网络设备、控制组件等的冗余配置。工业企业应根据业务需要，对关键主机设备、网络设备、控制部件等配置冗余电源、冗余设备、冗余网络。
9. 数据安全:
   
   • 保护静态存储和动态传输过程中的重要工业数据，并根据风险评估结果对数据信息进行分类和管理。工业企业应在静态存储中对重要工业数据进行加密存储，设置访问控制功能，在动态传输中对重要工业数据进行加密传输。采用VPN等方法进行隔离保护，并根据风险评估结果建立和完善数据信息分类。
   • 定期备份关键业务数据。工业企业应定期备份关键业务数据，如工艺参数、配置文件、设备运行数据、生产数据、控制指令等。
   • 保护测试数据。工业企业应保护试验数据，包括安全评估数据、现场配置开发数据、系统联合调试数据、现场变更试验数据、应急演练数据等，如签订保密协议、回收试验数据等。
10. 供应链管理:
    
    • 在选择工控系统规划、设计、施工、运行、维护或评估等服务提供商时，应优先考虑具有工控安全防护经验的企业和机构。服务提供者应通过合同等方式承担的信息安全责任和义务。工业企业在选择工控系统规划、设计、施工、运维或评估服务商时，应优先选择具有工控安全保护经验的服务商，并查阅其提供的工控安全合同、案例、验收报告等证明材料。服务提供者在服务过程中应承担的信息安全责任和义务应以明示条款的形式在合同中予以规定。
    • 要求服务提供商以保密协议的形式做好保密工作，防止敏感信息泄露。工业企业应当与服务提供者签订保密协议，协议中应当约定保密内容、保密期限、违约责任等。防止工艺参数、配置文件、设备运行数据、生产数据、控制指令等敏感信息泄露。
11. 履行职责:
    
    • 通过建立工控安全管理机制、成立信息安全协调小组等，明确工控安全管理责任人，落实工控安全责任制，部署工控安全防护措施。工业企业应建立健全工控安全管理机制，明确工控安全主体责任。建立由企业负责人牵头、相关部门组成的工业控制系统信息安全协调小组。如信息化、生产管理、设备管理等，负责工控系统。全生命周期安全防护体系的建设与管理，工控系统安全管理体系的制定，工控安全防护措施的部署。