第12期 2021/07/15
“觸網(wǎng)”還能扛得住嗎 工業(yè)互聯(lián)網(wǎng)安全將何去何從
2021年5月，美國最大的燃油管道運(yùn)營商Colonial Pipeline因受到勒索軟件攻擊，直接導(dǎo)致美國東部沿海各州的關(guān)鍵供油管道被迫關(guān)閉，本次安全事件直接影響了美國東海岸45%的燃料供應(yīng)。最終該公司向黑客支付了巨額贖金，以此來解除對于關(guān)鍵數(shù)據(jù)的勒索問題。
而此類針對工業(yè)領(lǐng)域的攻擊事件并非偶然，早在2018年某石油公司采油廠感染一款名為Lucky的勒索病毒，業(yè)務(wù)系統(tǒng)受到感染，生產(chǎn)受到影響；同年某知名汽車零部件生產(chǎn)企業(yè)的工業(yè)生產(chǎn)網(wǎng)絡(luò)遭受永恒之藍(lán)勒索病毒攻擊，感染多條生產(chǎn)線，嚴(yán)重影響了正常生產(chǎn)。
同樣，合規(guī)風(fēng)險更不容忽視，隨著《網(wǎng)絡(luò)安全法》、《數(shù)據(jù)安全法》、等保2.0等相關(guān)法律法案的相繼出臺，都對安全合規(guī)提出了更嚴(yán)格的要求，其中等保2.0還首次提出了明確的工控系統(tǒng)安全擴(kuò)展要求，這些法律法規(guī)都從國家層面對未來工業(yè)互聯(lián)網(wǎng)安全的建設(shè)與發(fā)展給出了指導(dǎo)方向。
從諸多安全事件與政策法規(guī)方面不難看出，全球范圍內(nèi)工業(yè)互聯(lián)網(wǎng)的安全威脅形勢正在日趨嚴(yán)峻，尤其是工業(yè)企業(yè)在“觸網(wǎng)”（IT與OT融合）之后，將讓原本較為封閉的OT環(huán)境完全暴露在IT的安全威脅之下。工業(yè)企業(yè)如何才能頂住這種壓力，在滿足工業(yè)生產(chǎn)業(yè)務(wù)正常運(yùn)轉(zhuǎn)的同時，減輕安全威脅帶來的影響正是當(dāng)前工業(yè)互聯(lián)網(wǎng)安全所面臨的最緊迫問題。
工業(yè)領(lǐng)域正在成為安全攻擊的重災(zāi)區(qū)
近年來，在工業(yè)制造領(lǐng)域中，工控安全事件頻頻發(fā)生，并呈現(xiàn)出快速增長的趨勢，其造成的后果與影響正在與日俱增。尤其是勒索軟件攻擊威脅更加劇了工業(yè)網(wǎng)絡(luò)中的風(fēng)險等級。而工業(yè)互聯(lián)網(wǎng)的快速發(fā)展，使得OT系統(tǒng)的威脅暴露面不可避免地?cái)U(kuò)大，OT系統(tǒng)往往承載著工業(yè)生產(chǎn)中最核心、最關(guān)鍵的業(yè)務(wù)，一旦失陷，損失難以估量。
眾所周知，工控安全是關(guān)乎國家安全、國計(jì)民生的重要問題，關(guān)鍵信息基礎(chǔ)設(shè)施一旦遭受破壞，將給國家和社會帶來巨大的經(jīng)濟(jì)損失，甚至影響公眾的日常生活。從目前的工業(yè)領(lǐng)域來看，無論是生產(chǎn)網(wǎng)絡(luò)還是管理網(wǎng)絡(luò)中都存在大量的安全隱患和系統(tǒng)漏洞。
奇安信工業(yè)互聯(lián)網(wǎng)安全事業(yè)部產(chǎn)品總監(jiān)王弢表示，“從針對工業(yè)領(lǐng)域的攻擊側(cè)來看，商業(yè)利益訴求和恐怖破壞目的交織，國家級攻擊和網(wǎng)絡(luò)犯罪交錯，攻擊呈現(xiàn)多樣性，攻擊理論和手段正在日臻成熟。而目前工業(yè)互聯(lián)網(wǎng)所面臨的風(fēng)險，一是漏洞數(shù)量多、級別高、風(fēng)險大；二是數(shù)據(jù)開放度高、流動性強(qiáng)，加劇泄露風(fēng)險；三是APT針對性強(qiáng)、破壞性大，威脅工業(yè)活動；四是企業(yè)"內(nèi)鬼"層出不窮。”
而盛邦安全技術(shù)總監(jiān)聶曉磊認(rèn)為，“工業(yè)互聯(lián)網(wǎng)系統(tǒng)一旦出現(xiàn)安全問題，可能影響倒監(jiān)控層、控制層，甚至直接破壞生產(chǎn)系統(tǒng)，帶來的是直接的經(jīng)濟(jì)損失，影響的是關(guān)鍵基礎(chǔ)設(shè)施的穩(wěn)定性，相對于通用行業(yè)的網(wǎng)絡(luò)安全而言所造成的影響會更大。而目前暴露面安全風(fēng)險、漏洞利用攻擊、勒索病毒等都是工業(yè)互聯(lián)網(wǎng)的主要安全威脅。”
新技術(shù)帶來的威脅與機(jī)遇
當(dāng)前，5G、IoT、AI、云計(jì)算等技術(shù)在為工業(yè)生產(chǎn)賦能的同時，也引入了新的安全風(fēng)險，例如網(wǎng)絡(luò)邊界的模糊導(dǎo)致了安全防御部署難度加大，這讓工業(yè)環(huán)境中的受威脅面大大增加，出現(xiàn)了更多的攻擊入口。更為嚴(yán)重的是這些新技術(shù)的引入，也衍生出了更多新的攻擊方式與手段，而在這樣的攻擊威脅下，以往相對傳統(tǒng)的以安全產(chǎn)品及合規(guī)為基礎(chǔ)的工業(yè)安全防護(hù)理念及策略將變得愈加的束手無策。
技術(shù)本身是把雙刃劍，在被我們用來創(chuàng)造價值的同時，也一樣會被別有用心的黑客用來實(shí)施攻擊破壞，尤其是基于AI技術(shù)的攻擊手段，大大增強(qiáng)了其攻擊成功率和攻擊頻次。目前業(yè)內(nèi)普遍認(rèn)為，基于新技術(shù)架構(gòu)和人工智能應(yīng)用的APT（高級可持續(xù)威脅攻擊）將對工業(yè)安全造成嚴(yán)重威脅。
而如果僅用威脅情報(bào)等技術(shù)對這類結(jié)合人工智能應(yīng)用的APT攻擊進(jìn)行防御是明顯不足的，原因就在于這種攻擊手段非常隱蔽，幾乎不會在互聯(lián)網(wǎng)中留下任何痕跡，如果通過這種APT攻擊手段結(jié)合勒索軟件對工業(yè)網(wǎng)絡(luò)進(jìn)行攻擊，將帶來非常嚴(yán)重的后果，防御也將非常困難。
對此，王弢表示，“毫無疑問，新技術(shù)的應(yīng)用為工業(yè)互聯(lián)網(wǎng)帶來了更多的安全風(fēng)險，這主要是5G和萬物互聯(lián)讓工業(yè)互聯(lián)網(wǎng)面對更多的攻擊入口，另外新的技術(shù)架構(gòu)和人工智能的應(yīng)用讓攻擊造成的后果更加嚴(yán)重。但同時，這些新技術(shù)同樣可以應(yīng)用于保護(hù)工業(yè)互聯(lián)網(wǎng)的發(fā)展。”
同樣，F(xiàn)ortinet北亞區(qū)首席技術(shù)顧問譚杰也表示，“一方面，5G、IoT、AI、云計(jì)算等技術(shù)在為OT賦能的同時，也引入了新的安全風(fēng)險，例如網(wǎng)絡(luò)邊界的模糊導(dǎo)致了安全防御部署難度加大。另一方面，新技術(shù)也能為OT安全賦能，提升OT安全系統(tǒng)的能力。例如，安全產(chǎn)品可以利用深度神經(jīng)網(wǎng)絡(luò)AI技術(shù)，對海量惡意、正常文件樣本進(jìn)行學(xué)習(xí)、建模，從而快速對未知新文件進(jìn)行判斷分類，不依賴病毒特征庫升級也能及時發(fā)現(xiàn)0day病毒。”
另外，綠盟科技集團(tuán)工業(yè)互聯(lián)網(wǎng)安全產(chǎn)品部總監(jiān)王曉鵬認(rèn)為，“5G、IoT、AI等眾多新技術(shù)正在加速與工業(yè)應(yīng)用的結(jié)合，為工業(yè)領(lǐng)域提供了新的可能性，軟硬件+網(wǎng)絡(luò)底層安全技術(shù)的方式將為工業(yè)互聯(lián)網(wǎng)的發(fā)展奠定堅(jiān)實(shí)基礎(chǔ)。通過與5G、物聯(lián)網(wǎng)、人工智能、云計(jì)算等新領(lǐng)域新技術(shù)融合賦能，加速產(chǎn)業(yè)轉(zhuǎn)型升級是未來工業(yè)互聯(lián)網(wǎng)技術(shù)演進(jìn)的大趨勢，同時‘云+邊+AI’的有機(jī)結(jié)合，將能夠助力工業(yè)領(lǐng)域?qū)崿F(xiàn)數(shù)字內(nèi)循環(huán)。”
IT與OT融合帶來的安全思考
在工業(yè)領(lǐng)域中，一直流傳著這樣一個最核心的話題，那就是IT與OT融合。IT即信息技術(shù)（Information Technology），其主要是應(yīng)用計(jì)算機(jī)科學(xué)和通信技術(shù)來設(shè)計(jì)、開發(fā)、安裝和實(shí)施信息系統(tǒng)及應(yīng)用軟件。OT即操作技術(shù)（Operation Technology ），是工廠內(nèi)的自動化控制系統(tǒng)操作專員為自動化控制系統(tǒng)提供支持，確保生產(chǎn)正常進(jìn)行的專業(yè)技術(shù)�？梢钥闯觯@兩種技術(shù)無論從技術(shù)路線和技術(shù)標(biāo)準(zhǔn)方面都存在很大差異。
譚杰表示，“IT與OT的安全設(shè)計(jì)理念完全不同，在IT的安全需求中，私密性、完整性的優(yōu)先級較高。而在OT安全需求中，可用性排在第一位，因此對安全產(chǎn)品及方案的穩(wěn)定性要求極高。”
而隨著工業(yè)4.0概念的提出，基于互聯(lián)網(wǎng)+工業(yè)的工業(yè)互聯(lián)網(wǎng)將成主要趨勢。工業(yè)互聯(lián)網(wǎng)中制造業(yè)與信息技術(shù)的相互融合產(chǎn)生出了大量的新興業(yè)態(tài)，其中包含了工業(yè)數(shù)據(jù)、程序、工業(yè)控制系統(tǒng)、基礎(chǔ)網(wǎng)絡(luò)設(shè)施和工業(yè)互聯(lián)網(wǎng)平臺等各種要素，設(shè)備種類及數(shù)量極多，這讓工業(yè)互聯(lián)網(wǎng)中的暴露面風(fēng)險更為突出。
王曉鵬指出，“以往相對封閉的工業(yè)企業(yè)，在未來一方面要面對來自IT和OT兩化融合的業(yè)務(wù)壓力；另一方面還要面對網(wǎng)絡(luò)空間的威脅。傳統(tǒng)網(wǎng)絡(luò)空間安全問題會帶入工業(yè)領(lǐng)域，工業(yè)環(huán)境本身的安全問題和工業(yè)互聯(lián)網(wǎng)帶來的新一代信息技術(shù)的安全問題將疊加在一起，這將給工業(yè)安全帶來巨大的挑戰(zhàn)。"
另外，在OT網(wǎng)絡(luò)當(dāng)中存在大量的私有協(xié)議及設(shè)備，業(yè)界稱為“黑盒子”，這意味著OT并不透明，這在相對隔離的網(wǎng)絡(luò)環(huán)境中似乎沒什么太大問題，但當(dāng)IT被引入工業(yè)互聯(lián)網(wǎng)中就帶來一個不可回避的問題，兩者必須加深聯(lián)系，因此就會面臨專有協(xié)議與通用協(xié)議的兼容、特定系統(tǒng)環(huán)境的適配，以及OT資產(chǎn)的識別如何通過IT技術(shù)去實(shí)現(xiàn)等等諸多的問題，而這些問題的出現(xiàn)給傳統(tǒng)安全防護(hù)帶來了全新的挑戰(zhàn)和思考。
因此，對于工業(yè)互聯(lián)網(wǎng)的復(fù)雜場景而言，王弢認(rèn)為，“要確保不同領(lǐng)域、不同環(huán)節(jié)的各個實(shí)體分別做好各自的安全防護(hù)，包括生產(chǎn)企業(yè)做好自身的環(huán)境網(wǎng)絡(luò)安全、供應(yīng)鏈安全等，平臺企業(yè)要做好自身的接口調(diào)用安全、數(shù)據(jù)安全保護(hù)等。”
而這涉及到了跨領(lǐng)域、跨平臺、跨行業(yè)的安全協(xié)同及管理問題，這也是眾多安全企業(yè)紛紛推出如“安全大腦”之類的相關(guān)安全管理平臺的重要動機(jī)所在。
供應(yīng)鏈安全不容忽視
目前，解決工業(yè)互聯(lián)網(wǎng)的安全問題，需要從IT和OT的各個環(huán)節(jié)入手，從整體規(guī)劃和部署階段開始實(shí)施才能最終奏效。因此，安全的木桶原理再次顯現(xiàn)，而供應(yīng)鏈安全作為保障工業(yè)互聯(lián)網(wǎng)安全的重要組成部分，正好處于整個安全環(huán)節(jié)中的薄弱地帶。以往很多APT攻擊正是通過供應(yīng)鏈環(huán)節(jié)滲透到工業(yè)系統(tǒng)中，所以針對工業(yè)互聯(lián)網(wǎng)供應(yīng)鏈的安全風(fēng)險絕對不容忽視。
而解決供應(yīng)鏈安全的方法其實(shí)也有很多，目前最主流的方式之一是通過最新的區(qū)塊鏈技術(shù)實(shí)現(xiàn)可信協(xié)作、隱私保護(hù)等能力，尤其是在工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)的確權(quán)、確責(zé)和交易等領(lǐng)域正在越來越廣泛的得到應(yīng)用。另一個是基于零信任的安全機(jī)制，從工業(yè)互聯(lián)網(wǎng)的接入端做好嚴(yán)密的權(quán)限管控，以便從源頭把控信息輸入的安全性。
對于區(qū)塊鏈技術(shù)在安全領(lǐng)域的應(yīng)用而言，王曉鵬表示，“區(qū)塊鏈具有可信協(xié)作、隱私保護(hù)等技術(shù)優(yōu)勢，可與工業(yè)互聯(lián)網(wǎng)實(shí)現(xiàn)深度融合，尤其是在工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)的確權(quán)、確責(zé)和交易等領(lǐng)域有著廣闊應(yīng)用前景，為構(gòu)建國家工業(yè)互聯(lián)網(wǎng)數(shù)據(jù)資源管理和服務(wù)體系提供了堅(jiān)實(shí)技術(shù)基礎(chǔ)。”
對于零信任的理念，譚杰認(rèn)為，“其與工業(yè)互聯(lián)網(wǎng)有著很多相似之處，比如工業(yè)環(huán)境中特別注重系統(tǒng)的穩(wěn)定運(yùn)行，而要實(shí)現(xiàn)這些就需要保障數(shù)據(jù)源的確定無誤，只有這樣才能保障生產(chǎn)出的產(chǎn)品質(zhì)量分毫不差，這就是輸入和輸出的確定性需求。”
而在零信任體系下，剛好能從網(wǎng)絡(luò)接入源頭對人員和設(shè)備的安全進(jìn)行嚴(yán)密的權(quán)限管控，這就在工業(yè)生產(chǎn)環(huán)境中建立了一套與之同步匹配的安全能力。這其實(shí)也是目前安全廠商普遍倡導(dǎo)的原生安全概念的一種實(shí)際體現(xiàn)。
安全與業(yè)務(wù)的協(xié)同共生
綜上所述，由于工業(yè)互聯(lián)網(wǎng)的快速發(fā)展，傳統(tǒng)以產(chǎn)品為主導(dǎo)、以合規(guī)為驅(qū)動的網(wǎng)絡(luò)安全體系已經(jīng)不能完全應(yīng)對針對工業(yè)互聯(lián)網(wǎng)的高端復(fù)雜攻擊威脅，而需要立足在實(shí)戰(zhàn)對抗和整體防御的視角來思考工業(yè)互聯(lián)網(wǎng)的安全問題。為此，各大安全廠商都積極推出了相對應(yīng)的安全平臺，統(tǒng)觀這些平臺基本都是以AI為驅(qū)動，并通過零信任、態(tài)勢感知、SASE等最新安全技術(shù)和架構(gòu)對攻擊威脅實(shí)現(xiàn)盡可能主動的防御措施與思路。
而在面對未來工業(yè)互聯(lián)網(wǎng)安全的建設(shè)與實(shí)踐中，各家均有自己的獨(dú)到見解與方法論：
王曉鵬認(rèn)為，“只有將現(xiàn)有安全產(chǎn)品能力賦予工業(yè)互聯(lián)網(wǎng)場景，將產(chǎn)品端快速感知能力、實(shí)時監(jiān)測能力、超前預(yù)警能力、應(yīng)急處置能力、建設(shè)系統(tǒng)評估能力、深度防護(hù)能力、邊緣計(jì)算能力等與工業(yè)互聯(lián)網(wǎng)和安全生產(chǎn)深度融合，并建立試點(diǎn)應(yīng)用，形成較為完善的產(chǎn)業(yè)支撐和服務(wù)體系，才是實(shí)現(xiàn)更高質(zhì)量、更有效率、更可持續(xù)、更為安全的工業(yè)互聯(lián)網(wǎng)安全的發(fā)展模式。”
譚杰認(rèn)為，“在建設(shè)OT基礎(chǔ)設(shè)施時，就應(yīng)基于零信任理念，將安全能力整合到業(yè)務(wù)環(huán)節(jié)中，使之與業(yè)務(wù)流程深度融合。整個零信任的建設(shè)將是持續(xù)不斷的過程，要從OT網(wǎng)絡(luò)的微分段（隔離）及可視化做起，并與下一代OT防火墻進(jìn)行整合，實(shí)現(xiàn)安全驅(qū)動的網(wǎng)絡(luò)基礎(chǔ)架構(gòu)，為未來的OT安全體系迭代預(yù)留出升級擴(kuò)展的空間，并最終將前沿的ZTA體系與OT系統(tǒng)分層Purdue模型結(jié)合，打造體系化OT安全，才是目前OT安全建設(shè)最緊迫的任務(wù)。”
而在盛邦安全技術(shù)總監(jiān)聶曉磊看來，“網(wǎng)絡(luò)空間資產(chǎn)測繪體系和SASE（即“安全訪問服務(wù)邊緣”）將是未來工業(yè)互聯(lián)網(wǎng)應(yīng)用的兩大基石，零信任會成為工業(yè)互聯(lián)網(wǎng)末端接入SASE云服務(wù)所采用的重要安全接入技術(shù)，AI會成為工業(yè)互聯(lián)網(wǎng)智能化發(fā)展不可或缺的技術(shù)，態(tài)勢感知也將為工業(yè)互聯(lián)網(wǎng)發(fā)展提供必要的支撐。同時加強(qiáng)對新興安全技術(shù)的應(yīng)用，加快資產(chǎn)測繪、零信任和SASE等應(yīng)用的落地，以便結(jié)合工業(yè)互聯(lián)網(wǎng)安全標(biāo)準(zhǔn)和要求來同步構(gòu)建行業(yè)的最佳實(shí)踐。”
此外，王弢認(rèn)為，“工業(yè)互聯(lián)網(wǎng)安全場景錯綜復(fù)雜，任何新技術(shù)的應(yīng)用都需要搭配業(yè)務(wù)場景，否則就是‘一具空殼’。而內(nèi)生安全框架和公共服務(wù)具有非常強(qiáng)的普適性。將內(nèi)生安全防護(hù)框架與工業(yè)互聯(lián)網(wǎng)企業(yè)安全建設(shè)同步規(guī)劃、同步建設(shè)、同步運(yùn)行，建立全面覆蓋的工業(yè)互聯(lián)網(wǎng)安全能力體系，實(shí)現(xiàn)網(wǎng)絡(luò)安全能力與工業(yè)信息化環(huán)境的融合內(nèi)生。從應(yīng)對局部威脅和合規(guī)的建設(shè)模式，走向以能力為導(dǎo)向的建設(shè)模式，將是構(gòu)建未來工業(yè)互聯(lián)網(wǎng)“內(nèi)生安全”能力的重要途徑。”
同樣，我們也應(yīng)該清晰的意識到，在未來的工業(yè)互聯(lián)網(wǎng)安全環(huán)境中，防護(hù)對象將會越來越多，越來越復(fù)雜，需要考慮的安全范疇也將越來越廣。換句話說，工業(yè)互聯(lián)網(wǎng)安全的問題絕不僅局限于互聯(lián)網(wǎng)與工業(yè)本身的安全范疇，所涉及的問題將是跨領(lǐng)域、跨行業(yè)的，甚至跨學(xué)科的。因此業(yè)內(nèi)普遍認(rèn)為，工業(yè)互聯(lián)網(wǎng)安全本身屬于一個復(fù)雜的系統(tǒng)工程。在此種安全背景下，未來工業(yè)系統(tǒng)及平臺的原生安全將成為一個重要焦點(diǎn)，與之匹配的智能安全體系與平臺也將實(shí)現(xiàn)加速迭代，從而真正實(shí)現(xiàn)工業(yè)互聯(lián)網(wǎng)中的整體安全與共生安全目標(biāo)，最終達(dá)到安全與業(yè)務(wù)的共生共存、協(xié)同兼顧。
本文章選自《數(shù)字化轉(zhuǎn)型方略》雜志，閱讀更多雜志內(nèi)容，請掃描下方二維碼
