01. 工業(yè)控制網(wǎng)絡(luò)的特殊安全需求
工業(yè)控制網(wǎng)絡(luò)(后簡稱工控網(wǎng)絡(luò))不同于普通信息網(wǎng)絡(luò)，其核心任務(wù)是保障生產(chǎn)操作指令運行暢通、持續(xù)有效，并在確保生產(chǎn)指令、生產(chǎn)要素、生產(chǎn)活動得以依托網(wǎng)絡(luò)快速展開，在生產(chǎn)鏈路的全時貫通、操作信息的全時受控、生產(chǎn)系統(tǒng)的連續(xù)運行、控制體系的安全可靠等方面有著很高的要求。這些特征導(dǎo)致工業(yè)控制網(wǎng)絡(luò)的安全防護體系設(shè)計有其特殊性。現(xiàn)階段主要是采取把傳統(tǒng)IT安全保護技術(shù)遷移到工控網(wǎng)絡(luò)的方法，但這并不能很好地滿足工控信息體系安全需求。其特殊性主要體現(xiàn)在以下3個方面：
一是安全防御以生產(chǎn)業(yè)務(wù)優(yōu)先作為首要原則。在信息網(wǎng)絡(luò)的安全保護中，主要關(guān)注的是對網(wǎng)絡(luò)中業(yè)務(wù)數(shù)據(jù)的安全防護，著重保證數(shù)據(jù)的保密性、完整性與可用性。而在工控網(wǎng)絡(luò)中，網(wǎng)絡(luò)的可用性是需要優(yōu)先保障的，生產(chǎn)業(yè)務(wù)要求不間斷運行，運行過程中很難對安全設(shè)備進行更新?lián)Q代，也不能像信息網(wǎng)絡(luò)那樣可以晚間中止服務(wù)數(shù)個小時來更新版本、補丁或安全控制措施。
二是安全彈性是工控網(wǎng)絡(luò)的基本要求。與普通信息網(wǎng)絡(luò)強調(diào)“共享性”不同，工控網(wǎng)絡(luò)要求具有高彈性安全能力(Cyber Resilience)，也叫高魯棒性安全能力，其網(wǎng)絡(luò)信息體系設(shè)計和安全防御架構(gòu)，必須考慮從各類網(wǎng)絡(luò)攻擊事件中“迅速恢復(fù)”能力。如何確保生產(chǎn)活動在遭受網(wǎng)絡(luò)攻擊時，工控網(wǎng)絡(luò)系統(tǒng)能夠抵擋攻擊入侵并快速從攻擊損壞中恢復(fù)，自動適應(yīng)生產(chǎn)環(huán)境并保持其業(yè)務(wù)正常運轉(zhuǎn)能力，是非常重要的。
三是安全措施不能影響工控網(wǎng)絡(luò)的“四高”屬性。工控網(wǎng)絡(luò)的四高屬性：高可用性，與普通信息網(wǎng)絡(luò)強調(diào)保密性不同，工控網(wǎng)絡(luò)強調(diào)可用性;高確定性，工控網(wǎng)絡(luò)對通信時延、抖動要求遠高于普通信息網(wǎng)絡(luò);高可靠性，工控網(wǎng)絡(luò)要求盡可能短的通信中斷、盡可能低的丟包率、對報文時序錯亂天生比較敏感;高融合性，這是當代工控網(wǎng)絡(luò)出現(xiàn)的新趨勢，工控網(wǎng)絡(luò)不再是單純的OT網(wǎng)絡(luò)，而是OT、IT、IoT高度混雜融合的網(wǎng)絡(luò)。
基于工控網(wǎng)絡(luò)特殊安全屬性，其安全防御需求至少包括以下3個方面：
一是網(wǎng)絡(luò)環(huán)境的可信性，主要是指整個網(wǎng)絡(luò)環(huán)境必須是確定清晰且可信任的，至少涵蓋網(wǎng)絡(luò)邊界、網(wǎng)絡(luò)設(shè)備和網(wǎng)絡(luò)交互的可信性等三個方面。網(wǎng)絡(luò)邊界可信是指所有網(wǎng)絡(luò)邊界都是清晰可描述的，包括終端設(shè)備的接入、終端設(shè)備上的外設(shè)接口、邊界隔離交換設(shè)備配置策略等;設(shè)備可信是指所有接入網(wǎng)絡(luò)的設(shè)備都是明確無遺漏的，所有終端設(shè)備的使用與變更要做到實時監(jiān)控;網(wǎng)絡(luò)交互可信是指網(wǎng)絡(luò)中各個終端設(shè)備之間的交互行為是清晰可信的，包括網(wǎng)絡(luò)交互的參與方、采用的通信協(xié)議、執(zhí)行的操作行為等。
二是網(wǎng)絡(luò)狀態(tài)的可知性，主要是指對于網(wǎng)絡(luò)當前運行的總體狀態(tài)明確可知，能夠及時感知其中正在發(fā)生或可能發(fā)生的安全事件，提前發(fā)現(xiàn)網(wǎng)絡(luò)異常情況或正在發(fā)生的攻擊活動，提升網(wǎng)絡(luò)異常行為發(fā)現(xiàn)感知能力，至少涵蓋設(shè)備接入、網(wǎng)絡(luò)交互和安全事件的可知性等三個方面。
設(shè)備接入可知是指各類終端設(shè)備接入網(wǎng)絡(luò)的情況是實時可知的，包括設(shè)備數(shù)量、類型、終端屬性信息等;交互活動可知是指網(wǎng)絡(luò)內(nèi)各個終端設(shè)備之間的交互情況是實時可知的，包括當前活動連接分布情況、網(wǎng)絡(luò)流量內(nèi)容情況等;網(wǎng)絡(luò)行為事件可知是指網(wǎng)絡(luò)中出現(xiàn)的異常流量現(xiàn)象或異常網(wǎng)絡(luò)行為是實時可知的，包括可疑終端設(shè)備接入、違規(guī)外聯(lián)、惡意提權(quán)操作等。
三是網(wǎng)絡(luò)運行的可控性，主要是指網(wǎng)絡(luò)能夠在運行過程中隨著網(wǎng)絡(luò)環(huán)境的變化及時調(diào)整威脅檢測規(guī)則，在網(wǎng)絡(luò)內(nèi)發(fā)現(xiàn)異常活動或攻擊行為時能夠隨即采取措施，阻斷其攻擊活動，控制其危害范圍，保證相關(guān)生產(chǎn)業(yè)務(wù)系統(tǒng)的安全平穩(wěn)運行，至少需要涵蓋分布性、適應(yīng)性和可恢復(fù)性等三個方面內(nèi)容。
控制的分布性是指網(wǎng)絡(luò)中的安全控制點或監(jiān)測設(shè)備分散在網(wǎng)絡(luò)各個角落;控制的適應(yīng)性是指能夠隨著網(wǎng)絡(luò)環(huán)境的變化動態(tài)調(diào)整其威脅檢測能力，確保對外部安全威脅和內(nèi)部異常行為的檢測效率與準確性;控制的自恢復(fù)性是指網(wǎng)絡(luò)在發(fā)現(xiàn)內(nèi)部異常活動或外部攻擊行為后，能夠及時采取反制措施，自行恢復(fù)網(wǎng)絡(luò)運轉(zhuǎn)。
02. 高安全工控網(wǎng)絡(luò)防御體系設(shè)計思路
高安全性工控網(wǎng)絡(luò)，絕對不是簡單地將普通信息網(wǎng)絡(luò)安全保護技術(shù)遷移到工控網(wǎng)絡(luò)，也不是將普通信息網(wǎng)絡(luò)安全保護的“三大件”部署在工控網(wǎng)絡(luò)，形成“安全孤島”或“數(shù)字堡壘”。高安全性工控網(wǎng)絡(luò)構(gòu)建思路分為全新重構(gòu)高安全性工控網(wǎng)絡(luò)和持續(xù)加固現(xiàn)有工控網(wǎng)絡(luò)。
全新重構(gòu)高安全性工控網(wǎng)絡(luò)，主要有以下2個設(shè)計思路：
一是創(chuàng)新網(wǎng)絡(luò)體系結(jié)構(gòu)，基于下一代互聯(lián)網(wǎng)技術(shù)建立具備自認證特征的基礎(chǔ)安全網(wǎng)絡(luò)，解決現(xiàn)有網(wǎng)絡(luò)在互聯(lián)互通與安全可控之間的對立矛盾，改變當前以行政管理手段解決基礎(chǔ)架構(gòu)安全問題的尷尬局面，為工控網(wǎng)絡(luò)安全防御體系構(gòu)造打下堅實技術(shù)根基;
二是建立動態(tài)信任體系，將傳統(tǒng)網(wǎng)絡(luò)安全技術(shù)與"可信計算"技術(shù)結(jié)合起來，改變傳統(tǒng)安全體系"防外重于防內(nèi)"卻"防不勝防"的不利現(xiàn)狀，根據(jù)不同任務(wù)場景的不同安全需求，以終端的安全可信為源頭、作為信任根，從終端到網(wǎng)絡(luò)、到應(yīng)用、到服務(wù)、到數(shù)據(jù)，基于主體屬性與客體保護等級之間的安全度量，建立動態(tài)信任信任鏈，最終建立起覆蓋整個工控網(wǎng)絡(luò)的可信網(wǎng)絡(luò)連接，從而提供對工控網(wǎng)絡(luò)環(huán)境更加完善的安全控制與安全保障。
持續(xù)加固現(xiàn)有工控網(wǎng)絡(luò)，主要有以下2個設(shè)計思路：
一是建立和持續(xù)優(yōu)化縱深防御機制，將網(wǎng)絡(luò)安全能力部署到工控基礎(chǔ)設(shè)施與信息系統(tǒng)的“每一個角落”，力求最大化覆蓋構(gòu)成工控網(wǎng)絡(luò)的各個組成實體，實現(xiàn)工控網(wǎng)絡(luò)與安全防護措施“深度融合、縱深覆蓋”的縱深防御能力;
二是部署網(wǎng)絡(luò)主動防御能力，建立威脅情報和人工智能引導(dǎo)的網(wǎng)絡(luò)安全態(tài)勢感知與安全控制體系，持續(xù)檢測網(wǎng)絡(luò)安全風險，準確感知網(wǎng)絡(luò)攻擊特征，及時阻斷網(wǎng)絡(luò)攻擊活動，完善改進網(wǎng)絡(luò)防護措施。哪怕是遭受物理攻擊，也能確保核心業(yè)務(wù)數(shù)據(jù)不被竊取，重要生產(chǎn)活動不被干擾，并能表現(xiàn)出充分的業(yè)務(wù)安全彈性與自主恢復(fù)能力。
03. 全新重構(gòu)高安全性工控網(wǎng)絡(luò)關(guān)鍵路徑
高安全性工控網(wǎng)絡(luò)以統(tǒng)一安全基底為基礎(chǔ)、以安全因需賦能為核心、以智能安全管理為保障，在安全態(tài)勢感知、威脅檢測預(yù)警、防御能力部署機制的支撐下，形成“監(jiān)測-決策-響應(yīng)-防御”的動態(tài)防御體系，實現(xiàn)基于態(tài)勢變化和安全需求的網(wǎng)絡(luò)信息系統(tǒng)安全防御。
其關(guān)鍵技術(shù)途徑主要包括：內(nèi)生安全的基礎(chǔ)網(wǎng)絡(luò)、安全可信終端、動態(tài)信任機制，其中：具備內(nèi)生安全的基礎(chǔ)網(wǎng)絡(luò)是整個工控網(wǎng)絡(luò)防御的基石;動態(tài)信任體制是工控網(wǎng)絡(luò)防御的關(guān)口，既不能讓“壞人”進來，又要把“好人”放進來，而且“好”與“壞”并非一成不變，而是要持續(xù)度量持續(xù)評估;安全可信終端是工控網(wǎng)絡(luò)防御的支點，終端是所有安全策略與信任關(guān)系的執(zhí)行點，是所有安全措施與訪問控制的落腳點，是所有安全防御活動實際效果體現(xiàn)的環(huán)節(jié)。
內(nèi)生安全基礎(chǔ)網(wǎng)絡(luò)：當前基礎(chǔ)的工控網(wǎng)絡(luò)，包括普通信息網(wǎng)絡(luò)，都不具備地址真實性鑒別的內(nèi)生機制。針對此問題，IETF提出的HIP協(xié)議思路，在網(wǎng)絡(luò)層和傳輸層之間插入主機標識層，IP地址只作為網(wǎng)絡(luò)層所使用的定位標識符，實現(xiàn)數(shù)據(jù)報的路由轉(zhuǎn)發(fā)，主機標識符 HI(Host Identity)提供主機身份標識功能，由傳輸層使用。雙方在通信時，IP地址的變化對傳輸層透明，從而保證在發(fā)生移動或地址變化時，通信不中斷可以持續(xù)進行，并且通信對端可以根據(jù)主機標識 HI確定移動節(jié)點身份。
安全可信終端：目前工控網(wǎng)絡(luò)中的各類終端設(shè)備，其軟硬件體系結(jié)構(gòu)大多是Wintel架構(gòu)，其終端安全管控系統(tǒng)只能通過"打補丁、堵漏洞、建盾墻"等外掛方式，為終端系統(tǒng)運行提供安全防護能力，其防護效果往往是防不勝防。有人提出借助當前國產(chǎn)化替代的契機，采用虛擬化技術(shù)來實現(xiàn)可信終端。
動態(tài)信任機制：靜態(tài)信任機制先構(gòu)建基礎(chǔ)的信任根，然后從信任根開始到硬件平臺、操作系統(tǒng)、應(yīng)用程序，一層認證一層，一層信任一層，把這種信任擴展到整個工控網(wǎng)絡(luò)，從而確保整個工控網(wǎng)絡(luò)的可信性。工業(yè)互聯(lián)網(wǎng)將封閉的工控網(wǎng)絡(luò)系統(tǒng)打開，更加強調(diào)大規(guī)模業(yè)務(wù)資源共享與廣域業(yè)務(wù)流程協(xié)作，更加強調(diào)扁平化控制與分步式協(xié)同聯(lián)動，靜態(tài)信任機制已經(jīng)不適用于當前及未來工控網(wǎng)絡(luò)。
基于“零信任”理念的動態(tài)信任機制，是參考了人類社會中的信任關(guān)系而提出的用于解決分布式網(wǎng)絡(luò)的信任管理模型。動態(tài)信任管理模型認為信任關(guān)系隨時間變化而變化，需要實時在線對信任關(guān)系進行評估;認為不同任務(wù)場景下網(wǎng)絡(luò)主體與客體之間的信任關(guān)系，需要根據(jù)主體身份屬性與客體受保護等級的不同而精確度量分析，進行細粒度權(quán)限控制和特定時空范圍的檢測審計;認為信任關(guān)系可以傳播，可以沿著業(yè)務(wù)網(wǎng)絡(luò)中具備可信連接路徑的關(guān)系路線進行傳播，解決不同安全域之間身份標識按需安全互認問題;認為信任關(guān)系的構(gòu)建主要依靠相當長有效時間的安全交互行為，真正管用好用的可信管理策略需要從海量通信實體交互日志中挖掘生成，人為行政管理手段只是輔助。
04. 持續(xù)安全加固現(xiàn)有工控網(wǎng)絡(luò)關(guān)鍵路徑
在實現(xiàn)高安全工控網(wǎng)絡(luò)的時候，我們不得不面對一個現(xiàn)實，那就是當前存在超大規(guī)模的正在服役的工控網(wǎng)絡(luò)系統(tǒng)，如何確保它的網(wǎng)絡(luò)信息安全?
一是建立和持續(xù)優(yōu)化縱深防御機制。縱深防御是攻防對抗中消耗對方資源的最有效的方法。從網(wǎng)絡(luò)空間安全的角度來看，可以從物理層、技術(shù)層和管理層分別建立縱深防御體系。如下圖所示：
物理層縱深防御又可分為物理層、技術(shù)層和管理層。物理層有可視性、CPTED等安全考慮和措施指標;技術(shù)層措施包括電子門禁、物理入侵檢測、CCTV、報警系統(tǒng)等指標;管理層面會有場地管理、人員管理、應(yīng)急演練等指標。
技術(shù)層縱深防御至少包括網(wǎng)絡(luò)、主機/設(shè)備、應(yīng)用、數(shù)據(jù)等四層防線。如下圖所示：
網(wǎng)絡(luò)層按協(xié)議縱向?qū)哟畏烙贠SI模型7個層次都可以采取相應(yīng)的安全措施，比如物理層的防竊聽、鏈路層的防ARP欺騙、網(wǎng)絡(luò)層的IPsec、傳輸層的TLS等，應(yīng)用層的識別控制等。網(wǎng)絡(luò)層按照邏輯區(qū)域防御，從外至內(nèi)看，DMZ區(qū)可以有防火墻、VPN、WAF、IDS、APT防護、蜜罐等防控措施，在內(nèi)網(wǎng)區(qū)域，有防火墻和網(wǎng)絡(luò)分區(qū)，有VLAN隔離、網(wǎng)絡(luò)準入、網(wǎng)絡(luò)DLP、內(nèi)網(wǎng)蜜罐、SIEM、虛擬桌面等等內(nèi)容，在內(nèi)網(wǎng)的核心區(qū)域，保存著重要業(yè)務(wù)的數(shù)據(jù)庫。
應(yīng)用層可從代碼層、服務(wù)層和業(yè)務(wù)層來防御，代碼層是最基礎(chǔ)，對應(yīng)的安全方法有安全編碼規(guī)范、代碼走查、代碼掃描、代碼審計等等;服務(wù)層，有認證、授權(quán)、日志、加密、哈希、簽名等等技術(shù)措施;業(yè)務(wù)層，可以做更多的安全措施，會根據(jù)用戶的行為和特征做相應(yīng)的安全防范。
管理層縱深防御從組織保障、安全規(guī)劃、管理制度到人的安全意識逐層遞進。在組織保障層面，要建立起安全組織架構(gòu)、人員配備、崗位職責、協(xié)調(diào)機制等;在安全規(guī)劃層面，要制定安全方針、目標、愿景、策略并注重跟蹤落實;在管理制度層面，要定義一系列工作的規(guī)章和流程，如安全需求管理、漏洞管理、應(yīng)急管理、事件管理、變更管理、配置管理等規(guī)章制度。
最終在人的安全意識層面上，本質(zhì)上是要防范和規(guī)避人性的缺陷。為防范因人的疏忽而導(dǎo)致的誤操作，會采用變更管理、方案審核、雙人復(fù)核等措施;為防范人的懶惰，會采用考勤、巡檢、抽查、督辦、審計等措施;為防范人的貪婪，會采用最小特權(quán)、職責分離、多人控制、知識分離、特權(quán)管理等手段;為防范或威懾可能的作案者，會采用崗位輪換、強制休假、離任審計等手段;為防范人的安全防范意識薄弱，需要對他們進行不斷的培訓(xùn)、教育、宣傳、警示。信息安全意識培訓(xùn)最重要的是提高警惕性，尤其是提高對社工類型攻擊的識別和防范能力。最后，建立安全問責機制也很重要，要對所有因不履行流程、不盡職、甚至是故意違反制度，尤其是引起不良后果的人和事都要問責。
為正在運行服役的工控網(wǎng)絡(luò)系統(tǒng)部署縱深防御能力，也可以考慮從物理層面、技術(shù)層面和管理層面來實施。這里僅描述技術(shù)層面的縱深防御體系。
為工控網(wǎng)絡(luò)系統(tǒng)實施縱深防御的核心思想：垂直分層、水平分區(qū);邊界控制、內(nèi)部監(jiān)測;態(tài)勢感知、集中管理。如下圖所示，為工控系統(tǒng)和網(wǎng)絡(luò)提供五道防線：
第1道防線：部署工業(yè)網(wǎng)閘或工業(yè)防火墻實現(xiàn)IT與OT網(wǎng)絡(luò)隔離與訪問控制;
第2道防線：部署工業(yè)防火墻實現(xiàn)操作層與監(jiān)控層網(wǎng)絡(luò)隔離與訪問控制;
第3道防線：部署工業(yè)衛(wèi)士實現(xiàn)上位機加固、惡意代碼防護;
第4道防線：部署工業(yè)網(wǎng)絡(luò)入侵防御系統(tǒng)或工業(yè)防火墻抵御上位機與控制器之間的雙向入侵攻擊;
第5道防線：部署現(xiàn)場總線防火墻抵御來自現(xiàn)場總線網(wǎng)絡(luò)的入侵攻擊。
如上圖所示，有時候我們?nèi)菀讓⒐I(yè)網(wǎng)絡(luò)入侵審計系統(tǒng)、工業(yè)安全管理平臺、廠站工業(yè)態(tài)勢感知平臺三個系統(tǒng)在縱深防御體系中的價值定位混淆。
旁路部署在工業(yè)交換機的工業(yè)網(wǎng)絡(luò)入侵審計系統(tǒng)，屬于安全監(jiān)測類系統(tǒng)，它的視野也僅僅是工業(yè)交換機所能夠連接的網(wǎng)絡(luò)區(qū)域，要想搞清楚工業(yè)網(wǎng)絡(luò)入侵審計系統(tǒng)應(yīng)該提供哪些安全功能，應(yīng)該以什么樣的交互方式提供這些安全功能，那么我們可以觀察一下這個網(wǎng)絡(luò)區(qū)域的OT工程師他們是如何監(jiān)測生產(chǎn)業(yè)務(wù)的，具有如下特點：
● 工控裝置為監(jiān)測單元，一臺顯示器的一個畫面監(jiān)測此裝置的相關(guān)指標數(shù)據(jù)是否存在異常;
● 在線監(jiān)測，線下處置;
● 監(jiān)控畫面多為形象化、指標化。
因此工業(yè)網(wǎng)絡(luò)入侵審計系統(tǒng)不需要太多的統(tǒng)計分析圖表，而是重點提供經(jīng)過去重、關(guān)聯(lián)、排序后的安全事件實時監(jiān)測畫面即可，當然還需要提供安全事件留存證據(jù)查詢與調(diào)取的操作界面。
工業(yè)安全管理平臺針對整個工控網(wǎng)絡(luò)或工控網(wǎng)絡(luò)某區(qū)域從安全設(shè)備、網(wǎng)絡(luò)結(jié)構(gòu)、安全策略、安全事件四個方面進行統(tǒng)一管理。因此工業(yè)安全管理平臺的管理視野可以小到一臺工業(yè)交換機的網(wǎng)絡(luò)范圍，大到整個工廠的工控網(wǎng)絡(luò)。
二是部署主動防御能力。工業(yè)網(wǎng)絡(luò)入侵審計系統(tǒng)是針對安全事件的實時監(jiān)測，但往往視野僅僅局限在某個工業(yè)交換機網(wǎng)絡(luò)范圍，如果希望了解整個工廠的工控網(wǎng)絡(luò)，甚至是工廠IT網(wǎng)絡(luò)的安全狀況，則需要一個能夠監(jiān)測到更大范圍的工具，這個工具就是上圖中的廠站工業(yè)態(tài)勢感知平臺。
在工廠范圍來說，更關(guān)心的是發(fā)生了什么，是否被網(wǎng)絡(luò)入侵、感染病毒了，因此廠站工業(yè)態(tài)勢感知平臺側(cè)重于基于XDR思想，借助人工智能、大數(shù)據(jù)分析等技術(shù)，實現(xiàn)整個工廠的工控網(wǎng)絡(luò)和信息網(wǎng)絡(luò)的關(guān)聯(lián)威脅檢測和威脅處置，從而具備主動防御能力：持續(xù)檢測網(wǎng)絡(luò)安全威脅、準確感知網(wǎng)絡(luò)安全風險、及時阻斷網(wǎng)絡(luò)攻擊活動、完善改進網(wǎng)絡(luò)防護措施。
文章來源：六方云
