工業(yè)企業(yè)正在積極應(yīng)對OT 安全面臨的新威脅，并開始采取行動(dòng)。圖片來源：Brett Sayles

 　　工業(yè)網(wǎng)絡(luò)安全領(lǐng)導(dǎo)者（包括企業(yè)的高管、首席信息安全官、安全團(tuán)隊(duì)和運(yùn)營領(lǐng)導(dǎo)者）正在意識到網(wǎng)絡(luò)事件對企業(yè)財(cái)務(wù)、運(yùn)營和安全的潛在影響。為了確保網(wǎng)絡(luò)中具有挑戰(zhàn)性部分的安全問題，許多企業(yè)希望獲得對OT 資產(chǎn)神秘世界的可見性，或者將OT 網(wǎng)絡(luò)中的數(shù)據(jù)收集到事件檢測過程中，以識別潛在威脅。

　　一些企業(yè)需要根據(jù)監(jiān)管結(jié)構(gòu)采取具體的安全措施。他們忙于參加會(huì)議、制定計(jì)劃、參加網(wǎng)絡(luò)架構(gòu)研討會(huì)等很多活動(dòng)，還要在人力資源減少以及新冠疫情影響的情況下，保持工廠的正常運(yùn)營。

　　我們必須放慢腳步， 問一些最基本的問題：我們真的在改善工廠的風(fēng)險(xiǎn)狀況嗎？ 我們是否準(zhǔn)備好應(yīng)對真正我們正在取得進(jìn)展嗎？我們是否準(zhǔn)備好應(yīng)對真正的威脅了，還是僅僅能夠檢測到異常行為？我們需要在網(wǎng)絡(luò)安全問題上設(shè)置更明確的目標(biāo)。

　　一般來說，OT 安全有兩個(gè)主要目標(biāo)：降低風(fēng)險(xiǎn)和應(yīng)對威脅，其最終目標(biāo)是減少對OT 運(yùn)營的潛在影響。

　　許多工業(yè)企業(yè)都想實(shí)現(xiàn)“可見性”或“可檢測性”，但不清楚最終目標(biāo)是什么，也不知道如何衡量這些目標(biāo)。如果我們得到很多檢測結(jié)果，那么這是好還是不好呢？如果有了可見性，是否就增加了安全性呢？了解這兩個(gè)核心基礎(chǔ)及其關(guān)鍵組成部分，有助于幫助企業(yè)確定最佳路徑。

　　降低工業(yè)環(huán)境風(fēng)險(xiǎn)的3個(gè)步驟

　　1 創(chuàng)建OT 環(huán)境風(fēng)險(xiǎn)狀態(tài)的實(shí)時(shí)視圖

　　降低風(fēng)險(xiǎn)的第一步是風(fēng)險(xiǎn)意識。大多數(shù)企業(yè)從OT 環(huán)境脆弱性評估開始著手，然后估計(jì)每個(gè)潛在風(fēng)險(xiǎn)的可能性和潛在影響。這是一個(gè)必要的步驟，但這只做這個(gè)，還遠(yuǎn)遠(yuǎn)不夠。

　　隨著時(shí)間的推移，一次性或不經(jīng)常更新的評估會(huì)過時(shí)，很難跟蹤風(fēng)險(xiǎn)降低的進(jìn)展。成功降低風(fēng)險(xiǎn)，需要不斷更新風(fēng)險(xiǎn)評估。

　　2 采取補(bǔ)救措施降低風(fēng)險(xiǎn)

　　有時(shí)，需要執(zhí)行特定操作來降低特定風(fēng)險(xiǎn)。如果評估識別出未打補(bǔ)丁的系統(tǒng)、不安全的配置、休眠或不安全的帳號以及糟糕的訪問控制等方面的風(fēng)險(xiǎn)，下一步必須是要采取措施降低這些風(fēng)險(xiǎn)。

　　可操作性要求企業(yè)管理其OT 終端。他們必須從供應(yīng)商手中奪回控制權(quán)，并確保配置得到強(qiáng)化，網(wǎng)絡(luò)設(shè)備得到更新和管理，用戶及賬號得到清理等。對這些終端的操作， 說明了為什么只有風(fēng)險(xiǎn)檢測是遠(yuǎn)遠(yuǎn)不夠的， 還必須閉環(huán)來補(bǔ)救風(fēng)險(xiǎn)。

　　3 跟蹤并報(bào)告運(yùn)營情況

　　保運(yùn)營環(huán)境安全的一大好處是，領(lǐng)導(dǎo)層和員工能夠適應(yīng)嚴(yán)格的運(yùn)營管理。安全性需要與制造或供應(yīng)鏈一樣的卓越運(yùn)營。運(yùn)營管理的基礎(chǔ)是跟蹤關(guān)鍵指標(biāo)的績效并報(bào)告績效。無論是“紅綠”儀表盤還是百分比完成度， 一個(gè)強(qiáng)大的風(fēng)險(xiǎn)降低計(jì)劃都需要建立明確的指標(biāo)，并隨著時(shí)間的推移而對其進(jìn)行監(jiān)控。

　　該報(bào)告還應(yīng)包括每個(gè)指標(biāo)的負(fù)責(zé)人。在安全方面， 需要與運(yùn)營領(lǐng)導(dǎo)就維護(hù)和改善OT 團(tuán)隊(duì)進(jìn)行溝通，確定總體風(fēng)險(xiǎn)狀況的責(zé)任人（這個(gè)對話也許并不總是令人愉快的）。

　　有效應(yīng)對威脅的3個(gè)要素

　　1 制定響應(yīng)流程和計(jì)劃

　　在幾乎所有網(wǎng)絡(luò)安全標(biāo)準(zhǔn)中，事件響應(yīng)計(jì)劃都很常見，因?yàn)樗鼈儗?shí)時(shí)阻止?jié)撛诠舻哪芰χ陵P(guān)重要。但是，許多事件響應(yīng)過程都停留在一系列高等級程序或政策，比如當(dāng)你發(fā)現(xiàn)問題時(shí)給誰打電話，如何與主管部門溝通，以及將誰作為事件響應(yīng)供應(yīng)商。

　　現(xiàn)在，更多的企業(yè)已經(jīng)意識到需要針對具體的I T/OT 環(huán)境，制定更詳細(xì)、更具體地事件響應(yīng)計(jì)劃。Colonial 輸油管事件突顯了在OT 環(huán)境中，有限的響應(yīng)計(jì)劃所帶來的風(fēng)險(xiǎn)。他們對勒索軟件的解決方案是停止運(yùn)營。這可能是一個(gè)必要的步驟，但強(qiáng)大的事件響應(yīng)計(jì)劃的關(guān)鍵，是針對每個(gè)威脅確定最小破壞響應(yīng)（LDR）。

　　通過了解OT 風(fēng)險(xiǎn)態(tài)勢的細(xì)節(jié)（降低風(fēng)險(xiǎn)第一步的一部分）可以建立L D R。為了定義破壞性最小的響應(yīng)，組織需要了解每項(xiàng)資產(chǎn)的風(fēng)險(xiǎn)狀況和知識，以減少不同類型威脅的影響。

　　2 擴(kuò)展檢測和響應(yīng)

　　擴(kuò)展檢測和響應(yīng)（X D R）是一個(gè)越來越流行的安全行業(yè)術(shù)語，用于定義遏制現(xiàn)代威脅所需的廣泛遙測。在OT 中，“X D R”經(jīng)常被棄用，主要是因?yàn)轱L(fēng)險(xiǎn)來自自動(dòng)化響應(yīng)操作。但我們不應(yīng)該拋棄“擴(kuò)展檢測”的概念。這是指從OT 系統(tǒng)收集廣泛的數(shù)據(jù)集——終端日志、用戶行為、網(wǎng)絡(luò)流、防火墻日志， 甚至物理過程報(bào)警——并使用綜合分析來識別潛在威脅。在I T 世界中，沒有哪個(gè)安全領(lǐng)導(dǎo)人會(huì)接受單一形式的遙測技術(shù)（比如數(shù)據(jù)包檢查），作為檢測的唯一答案。在OT 中， 也不應(yīng)該如此。

　　集成這些不同形式的遙測還可以減少誤報(bào)，而這些誤報(bào)會(huì)使安全運(yùn)營中心（SOC） 團(tuán)隊(duì)疲于應(yīng)付，導(dǎo)致他們無法響應(yīng)最關(guān)鍵的報(bào)警。

　　3 快速響應(yīng)且易于執(zhí)行

　　如前所述，企業(yè)需要制定LDR 計(jì)劃—— 破壞性最小的響應(yīng)。但他們也需要以快速但安全的操作方式來響應(yīng)事件。一個(gè)威脅應(yīng)對計(jì)劃的好壞，取決于組織在緊急情況下執(zhí)行該計(jì)劃的能力。

　　該計(jì)劃應(yīng)得到人員、流程和技術(shù)的支持， 使安全團(tuán)隊(duì)（包括安全專家和工業(yè)流程專家） 能夠采取必要的安全措施來阻止威脅。這包括：刪除特定用戶、更改密碼、刪除某些端口和服務(wù)、修補(bǔ)系統(tǒng)等。在OT 領(lǐng)域，這些步驟通常是手動(dòng)的，或者需要供應(yīng)商參與其中。為了快速響應(yīng)，企業(yè)需要具有在必要時(shí)采取有針對性的響應(yīng)行動(dòng)的能力。

　　這些響應(yīng)行動(dòng)應(yīng)由安全和運(yùn)營人員團(tuán)隊(duì)管理。與自動(dòng)響應(yīng)成為常態(tài)的IT 不同，OT 團(tuán)隊(duì)認(rèn)為在響應(yīng)需之前，需要人為審查潛在威脅以及對運(yùn)營潛在的負(fù)面影響。我們稱之為“全局思考、本地行動(dòng)”的方法。工業(yè)企業(yè)正在積極應(yīng)對OT 安全面臨的新威脅，并開始采取行動(dòng)。這是個(gè)好消息。然而，在采取可能不會(huì)真正改善安全的行動(dòng)之前，我們都需要后退一步，先確定總體目標(biāo)是什么， 以及如何確保在降低風(fēng)險(xiǎn)和應(yīng)對威脅這兩個(gè)關(guān)鍵因素方面取得實(shí)質(zhì)性進(jìn)展。（作者 | John Livingston ,Verve Industrial）

　　關(guān)鍵概念： 

　　■成功降低風(fēng)險(xiǎn)，需要不斷更新風(fēng)險(xiǎn)評估。

　　■強(qiáng)大的事件響應(yīng)計(jì)劃的關(guān)鍵，是針對每個(gè)威脅確定最小破壞響應(yīng)。

　　思考一下： 

　　如果有了可見性，是否就增加了工業(yè)環(huán)境的安全性呢？