第12期 2021/07/15
Fortinet譚杰：OT安全沒時(shí)間慢慢“補(bǔ)課”了，打造體系化OT安全才有出路
目前在工業(yè)互聯(lián)網(wǎng)中，最熱門的話題莫過于IT（Information Technology，即信息技術(shù)）與OT（Operation Technology ，即操作技術(shù)）的融合。兩者無論從技術(shù)路線，還是技術(shù)標(biāo)準(zhǔn)都存在著很大的差異。但隨著工業(yè)4.0目標(biāo)的確立，制造業(yè)將逐漸向智能制造升級(jí)，并將實(shí)現(xiàn)中國制造2025等一系列目標(biāo)，這些都促使了IT與OT的加速融合。
IT與OT融合帶來的安全挑戰(zhàn)
不可否認(rèn)，IT與OT的融合給工業(yè)領(lǐng)域帶來了新的安全挑戰(zhàn)。對(duì)此，至頂網(wǎng)就相關(guān)問題采訪了Fortinet北亞區(qū)首席技術(shù)顧問譚杰，據(jù)譚杰表示，“IT在向OT賦能，不斷提高OT效率的同時(shí)，也不可避免地帶來所有與IT相關(guān)的安全風(fēng)險(xiǎn)（如病毒、勒索軟件、木馬、數(shù)據(jù)泄漏等）。”
Fortinet北亞區(qū)首席技術(shù)顧問 譚杰
另外，譚杰表示，“隨著兩者融合的不斷加速，越來越多的工業(yè)控制系統(tǒng)將通過IT網(wǎng)絡(luò)暴露于互聯(lián)網(wǎng)中，面臨的安全風(fēng)險(xiǎn)是物理隔離時(shí)代無法想象的。即使在相對(duì)隔離的環(huán)境下，OT網(wǎng)絡(luò)內(nèi)部同樣會(huì)遭到移動(dòng)存儲(chǔ)、第三方合作伙伴等帶來的相關(guān)安全威脅。”
同時(shí)，IT中的很多新技術(shù)，如5G、IoT、AI、云計(jì)算、大數(shù)據(jù)等在為OT賦能的同時(shí)，也引入了新的安全風(fēng)險(xiǎn)，讓網(wǎng)絡(luò)邊界變得更加模糊，導(dǎo)致安全防御部署難度加大。
IT與OT在安全層面的差異
在談及IT與OT在安全需求方面的差異及特點(diǎn)時(shí)，譚杰表示，“兩者的CIA安全模型基本倒置，在IT的安全需求中，私密性、完整性的優(yōu)先級(jí)較高，而在OT安全需求中，可用性排在第一位，必須確保全天候不間斷的生產(chǎn)、運(yùn)營。因此對(duì)安全產(chǎn)品及方案的穩(wěn)定性要求非常高。”
同時(shí)，譚杰指出，“在軟件應(yīng)用層面，OT環(huán)境中，ICS、SCADA等系統(tǒng)、應(yīng)用、協(xié)議與通用IT系統(tǒng)有很大區(qū)別。在IT、OT融合的今天，安全保護(hù)需要同時(shí)兼顧所有應(yīng)用和數(shù)據(jù)，不可偏廢。而在物理環(huán)境中，OT系統(tǒng)可能在高溫、高濕、高電磁輻射等戶外的苛刻環(huán)境中運(yùn)行，必須符合IEC 61850-3、IEC 60529等規(guī)范的要求。”
工業(yè)互聯(lián)網(wǎng)面臨前所未有的嚴(yán)峻安全形勢(shì)
幾年前，某著名芯片制造商遭到勒索軟件攻擊。根據(jù)公開信息，在該事件中，U盤中的勒索軟件感染了機(jī)臺(tái)，機(jī)臺(tái)未經(jīng)掃毒便接入網(wǎng)絡(luò)，導(dǎo)致勒索軟件在整個(gè)OT網(wǎng)絡(luò)擴(kuò)散，損失慘重。
而隨著勒索軟件攻擊的泛濫，這種事件在工業(yè)領(lǐng)域中將會(huì)頻頻出現(xiàn)。譚杰認(rèn)為，“勒索軟件、暗網(wǎng)、加密貨幣的興起，讓黑客攻擊更容易實(shí)現(xiàn)收益變現(xiàn)。幾重因素疊加，必然導(dǎo)致更大量、更專業(yè)、更具針對(duì)性的APT攻擊。”
另外，譚杰指出，市場(chǎng)上的一些OT安全方案，只是在傳統(tǒng)的IT安全產(chǎn)品（如防火墻、IDS等）上添加了一些針對(duì)OT系統(tǒng)的功能和攻擊特征。這種將IT安全產(chǎn)品逐一“移植”為OT安全產(chǎn)品的“補(bǔ)課”思維效率太低，已經(jīng)無法跟上新型勒索軟件及APT攻擊的節(jié)奏。OT安全更需要前瞻性思維，用最前沿的安全框架和技術(shù)，整體設(shè)計(jì)、建設(shè)OT安全體系。
而對(duì)于這起典型的勒索軟件攻擊事件，譚杰表示，“雖然該事故最終被定性為人為失誤，但如果采用零信任理念進(jìn)行體系化防護(hù)，例如使用下一代防火墻結(jié)合安全交換機(jī)實(shí)現(xiàn)OT生產(chǎn)區(qū)的微隔離，便能及時(shí)自動(dòng)地將染毒機(jī)臺(tái)隔離于網(wǎng)絡(luò)之外，損失能夠降到最小。這完全體現(xiàn)出了體系化安全的價(jià)值和重要性。”
如何應(yīng)對(duì)工業(yè)互聯(lián)網(wǎng)安全威脅
在過去的10多年里，IT技術(shù)不斷對(duì)OT賦能。在IT安全領(lǐng)域，單點(diǎn)產(chǎn)品方案已逐步被體系化平臺(tái)方案所取代。其中，零信任體系（ZTA）整體安全框架，具備整體性、動(dòng)態(tài)化、持續(xù)化、智能化等特點(diǎn)，為安全業(yè)界廣泛接受，并非常適合于應(yīng)用到OT安全體系的建設(shè)當(dāng)中。
而這些IT安全技術(shù)如何才能夠更好的為OT安全提供助力，實(shí)現(xiàn)更大的價(jià)值呢？對(duì)此，譚杰給出了詳細(xì)的解釋：
首先，需要按照零信任體系的思路，來構(gòu)建無處不在的PEP（策略執(zhí)行點(diǎn)），覆蓋終端（EPP/EDR等）、網(wǎng)絡(luò)管道（工業(yè)防火墻、交換機(jī)、AP、SD-WAN、SASE等）、云（混合云安全、SDN集成、容器安全等）、應(yīng)用（WAF及API安全等）。這些PEP節(jié)點(diǎn)既可以隨時(shí)執(zhí)行防御操作，動(dòng)態(tài)調(diào)整信任關(guān)系及權(quán)限策略，同時(shí)也是安全數(shù)據(jù)的生產(chǎn)者。
其次，在控制平面上，PDP（策略決策點(diǎn)）通過收集各類PEP產(chǎn)生的安全、流量、行為等數(shù)據(jù)，再通過大數(shù)據(jù)、AI、威脅情報(bào)等方法，發(fā)現(xiàn)0day等未知威脅，并對(duì)全網(wǎng)的風(fēng)險(xiǎn)態(tài)勢(shì)進(jìn)行多維度的評(píng)估計(jì)算，以此為依據(jù)，動(dòng)態(tài)調(diào)整業(yè)務(wù)信任等級(jí)和權(quán)限策略，并自動(dòng)化下發(fā)至相關(guān)PEP執(zhí)行。整個(gè)安全體系將具有全面覆蓋、深度集成、動(dòng)態(tài)協(xié)同的特性。
最后，安全方案還需要覆蓋IT、OT相關(guān)的應(yīng)用、協(xié)議，例如OT系統(tǒng)相關(guān)的入侵、應(yīng)用特征，針對(duì)OT系統(tǒng)的沙盒行為分析、ICS蜜罐等。另外，該方案還必須滿足OT嚴(yán)苛環(huán)境的相關(guān)要求。
從“攻擊面”轉(zhuǎn)向“保護(hù)面”
那么，從安全角度如何才能做到體系化安全的程度，并做好工業(yè)環(huán)境中的威脅防護(hù)呢？譚杰認(rèn)為，“這需要將目光從“攻擊面”轉(zhuǎn)向“保護(hù)面”，在建設(shè)OT基礎(chǔ)設(shè)施時(shí)，就應(yīng)基于零信任理念，將安全能力整合到業(yè)務(wù)環(huán)節(jié)中，使之與業(yè)務(wù)流程深度融合。”
譚杰指出，整個(gè)零信任的建設(shè)將是持續(xù)不斷的過程。首先可以從OT網(wǎng)絡(luò)的微分段（隔離）及可視化做起，在OT網(wǎng)絡(luò)中使用具有安全能力的交換機(jī)和無線AP，與下一代OT防火墻進(jìn)行整合，實(shí)現(xiàn)安全驅(qū)動(dòng)的網(wǎng)絡(luò)基礎(chǔ)架構(gòu)，同時(shí)實(shí)現(xiàn)端口級(jí)安全控制及可視化能力，為未來的OT安全體系迭代（高級(jí)威脅防御、基于數(shù)據(jù)的安全、OT態(tài)勢(shì)感知、SecDevOps等）預(yù)留出升級(jí)擴(kuò)展的能力。
另外，譚杰表示，“包括AI技術(shù)在內(nèi)的一系列新技術(shù)都能為OT安全進(jìn)行賦能。例如，安全產(chǎn)品可以利用深度神經(jīng)網(wǎng)絡(luò)AI技術(shù)，對(duì)海量惡意、正常文件樣本進(jìn)行學(xué)習(xí)、建模，從而快速對(duì)未知新文件進(jìn)行判斷分類，這樣可以不依賴病毒特征庫升級(jí)也能及時(shí)發(fā)現(xiàn)0day等病毒。”
總而言之，在譚杰看來，IT、OT融合一日千里，面對(duì)海量新型高強(qiáng)度、針對(duì)性的APT攻擊，已經(jīng)沒有時(shí)間讓OT安全慢慢“補(bǔ)課”了。而將前沿的ZTA體系與OT系統(tǒng)分層Purdue模型結(jié)合，打造體系化OT安全，才是目前OT安全建設(shè)最緊迫的任務(wù)。
本文章選自《數(shù)字化轉(zhuǎn)型方略》雜志，閱讀更多雜志內(nèi)容，請(qǐng)掃描下方二維碼
