物理隔离又怎样？工控网络的五大风险-低调大师

物理隔离又怎样？工控网络的五大风险

2017-07-31 498

在互联世界里，因为ICS/SCADA(工业控制系统/监控和数据采集系统)系统与互联网物理隔离就对网络攻击免疫的老一套认知已经不再适用。虽然很多企业已经承认传统物理隔离正在消失，有些企业依然坚信这是一种切实可行的安全措施。

理论上，物理隔离听起来是种挺好的策略。但实际操作中，事情往往没那么简单。即使在企业已经采取所有能用的方法隔离他们的ICS网络，与外面的世界断绝联系，我们依然可以看到网络威胁跨越了边界侵入进来。同时，即便有可能完全物理隔离ICS网络，内部人士依然会造成威胁。

无论企业是否实现了物理隔离，ICS网络都存在风险。原因何在，且听业界人士细细道来：

1. 文件交换的需要

甚至在物理隔离的操作技术(OT)环境中，文件也必须与外界进行交换。此类例子有软件补丁和来自系统集成方、承包商等第三方的文件等。对手可以利用这一点，诱骗雇员安装虚假软件更新和补丁，或者传输带恶意软件的文件到工业网络中。

本月早些时候，勒索软件作者就四处散布了名为“Allenbradleyupdate.zip”的恶意文件，伪装成洛克韦尔自动化公司的合法更新文件。该勒索软件若成功安装，便会锁定受害计算机，直到机主支付赎金才能登录系统访问计算机上的内容。控制系统拥有者和操作者被诱骗安装上恶意软件，损害到ICS网络的威胁是十分现实的。

2. 受感染的个人设备

很多雇员会将个人设备接入ICS网络，无论仅仅是为充个电，还是通过USB传输些文件。受感染的个人设备会将恶意软件引入网络，给ICS网络带来网络威胁。

2011年的一份研究中，美国国土安全部(DHS)员工有意在联邦机构和承包商停车场掉落数据盘和U盘。研究报告显示，60%的掉落设备(很容易包含有恶意代码)都被插入到了公司或机构的计算机上。

更近一些的例子，任天堂发布了火爆游戏“口袋妖怪(Pokemon Go)”的限量版App。攻击者便利用人们对该App的渴求，在第三方App商店里上架了假冒的口袋妖怪App，一旦安装便会夺取受害设备的控制权。ICS雇员可没对虚假App下载免疫，随后再将他们感染了恶意软件的个人设备连接到ICS网络，就会让恶意软件得以扩散并感染更多的资产。

3. 漏洞和人为过失

与所有网络类似，ICS环境也对软/硬件漏洞、设计缺陷等敏感。由于在设计时就没将安全考虑进去，ICS网络甚至比IT网络承受的风险更大。厂商和安全研究人员就经常性曝出操作技术中的新漏洞。然而，大多数ICS网络的系统并没有定期更新。

某些情况下，网络架构或配置上的缺陷，也会创造出可被黑客利用的漏洞。例如，为集成者建立的临时远程访问连接，如果不小心忘了关闭，会造成严重的安全风险。另外，需要远程接入ICS网络，而又没有安全接入机制可用的员工，有可能会诉诸“创造性的备选方案”来完成自己的工作。这些计划外的连接，都可能成为渗漏点，将工业网络暴露在外。

4. 内部人士威胁

由于ICS网络内缺乏身份验证或授权，可信内部人士(雇员、集成者、承包商)便对关键资产享有不受限制的访问权限。无论他们是无意犯错，还是心怀不满而故意破坏，造成的结果都与外部敌人带来的相当(甚至还更多更严重)。即使网络被完全物理隔离，对内部人士威胁都是不免疫的。对这种攻击方法的唯一防护措施，就是通过不间断的监控和更好的访问控制。

5. 联网技术和工业物联网(IIoT)

随着我们迈入现代制造业的下一个阶段，联网技术被越来越多地部署到了制造产业中。联网技术有时也被称作工业物联网，为现代生活提供了很多便利。智能传感器被用于自动改善性能、安全性、可靠性和节能度。这些技术让操作经理可以随时检查机器、流程、库存等等的状态，无论这些东西位于哪里。

这一点，对异地、转包制造工厂或供应商工厂而言特别有用。为利用这些联网技术，设施操作员必须开放他们的网络，也就消除了物理隔离，将网络暴露在了外部威胁眼前。

无论ICS网络物理隔离与否，它们都对安全威胁不设防。ICS安全最大的拦路虎，就是对控制层上所发生的活动——也就是对工控设备的访问和改变，缺乏可见性和控制权。要想在破坏造成之前检测并响应业务系统中的安全事件，专门为ICS环境而不是IT环境打造的新型监视工具是必须的。

作者：nana

来源：51CTO

微信关注我们

原文链接：https://yq.aliyun.com/articles/187965

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

物联网朝气蓬勃该如何监管？

英国牛津大学牛津互联网学院的Ian·Brown教授日前向全球监管机构专题研讨会(GSR)提交了一份讨论文稿，探讨了物联网对个人、商业、社会的影响，并特别提到了电信和其他监管机构需要考虑的一些问题。物联网应用广泛预计到2020年，包括移动设备、停车收费表、恒温器、心脏监视器、轮胎、道路、汽车、超市货架和很多其他类型的物体和设备在内的200亿至500亿的“物品”都将连接到互联网。传感器、处理器和网络技术成本的迅速降低推动了物联网的迅猛发展。物联网在健康福祉监测管理、提高能源效率、提高工业生产过程质量和可靠性、降低交通拥堵和支持新产品和新业务发展等方面具有广泛应用前景。据技术公司和咨询公司预测，未来十年物联网技术对全球经济产生的影响可能多达数万亿美元之巨。当物联网设备在智慧城市、智能电网和水利网格等大型互联系统上使用时，其发挥的效应将达到最大化。“互联汽车”则更贴近于个人，其带有成百上千的独立传感器，能够提供更为安全可靠的交通运输。诸如胰岛素泵和臂式血压检测设备能够在发生糖尿病和心脏病时报警。物联网的另一个重要用途在于将数据和应用编程接口(APIs)应用于物联网与个人的互动过程，以...

2017-08-01

599

【51CTO.com原创稿件】物联网被人们视为继计算机、互联网之后信息技术产业发展的第三次革命。智能家居、车联网、人工智能……这一切的背后都是物联网在加速落地、快速成熟。在物联网蓬勃发展的同时，物联网的安全形势也非常严峻，设备安全、数据安全、个人信息安全等诸多问题亟待解决。出于对物联网安全的重视，2017年2月26日，在信息安全与通信保密杂志社理事大会上，杂志社与梆梆安全联合发布了《2016物联网安全白皮书》。《2016物联网安全白皮书》发布现场给物联网安全一个方法论支点梆梆安全创始人兼CEO阚志刚和梆梆安全研究院院长卢佐华接受记者采访梆梆安全研究院院长卢佐华女士表示，《2016物联网安全白皮书》对国内外物联网产业现状和发展趋势进行分析，梳理了物联网面临的安全威胁和挑战，提出了运用物联网安全方法论建立的物联网安全保障体系，给出了加强物联网“端-管-云”安全防护的一些建议，展示了典型物联网安全防御案例。中国工程院院士倪光南认为，《2016物联网安全白皮书》非常重要，物联网涉及的领域非常多，物联网的安全从设计之初就需要考虑到。他以工业互联网为例，在国务院印发的《中国制造2025...

2017-08-01

558

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。