高管圆桌会议：设施和网络安全

任何制造设施最重要的方面之一是安全性——无论是保护机器还是数据。 技术简介 向提供网络和设施安全解决方案的公司的高管提出问题，以了解他们对网络安全、云、无线设备和保护远程劳动力等问题的看法 .

我们的参与者是 Siemens Digital Industries 的数字连接和电源部总经理 Mike Jabbour； RedSeal 首席技术官 Mike Lloyd； Radu Pavel，TechSolve 首席技术官兼总工程师；以及 Honeywell Connected Enterprise – 网络安全的高级网络安全策略师 Donovan Tindill。

技术简介： 由于 COVID-19 大流行，随着越来越多的人远程工作，应该为远程操作设备、诊断和维护制定哪些安全程序和系统？

迈克·劳埃德： 在急于在家工作的过程中，大多数安全团队都受到了对改进笔记本电脑控制、新 VPN 要求、新云服务等要求的海啸冲击；然而，一个经常被忽视的方面是运营商移动时没有移动的业务资产。突然之间，操作员需要远程功能来驱动和诊断任何没有移动的物理设备，并且在安全方面，远程总是意味着风险。远程工作人员和公司实体资产之间的任何新控制路径都会增加公司的攻击面。安全团队返回并审核如何访问公司中的所有实物资产是明智的。如果您在 COVID 之前就知道这一切是如何运作的，那么您现在可能不知道。

拉杜·帕维尔： COVID-19 局势正在加速工作环境的数字化。由于业务现实推动了对来自许多功能的实时数据的需求，新技术的潜在好处激发了在工厂车间连接生产和非生产设备的愿望。制造商对先进技术的需求正在迅速超出其保护能力，这种连通性和数据丰富的环境引发了与网络安全相关的重大担忧和挑战。由于不仅需要保护 IT 系统，还需要保护操作技术 (OT)，制造商面临着额外的挑战，它可以涵盖从传感器到 PLC、机器人控制器、机床和其他操作设备。

迈克·贾布尔： 重要的是，COVID 并未改变远程通信所需的整体设备或流程——它只是推动了利用现有技术的必要性。在远程应用程序和安全性方面，并非每家公司都应该做完全相同的事情，但应该始终结合基础知识。还有许多其他的安全设备需要考虑，但最基本的还是应该使用 VPN 连接、防火墙和跳转服务器。

远程通信应始终进行适当的身份验证、加密并在不使用时关闭。适当的防火墙可以保护来自不受信任网络的内部流量。如果网络有多个段，则通过防火墙的通信应该保护每个内部段相互之间。在远程通信方面，加密从远程用户到可信网络的流量始终被认为是最佳实践。这可以通过 VPN 设备来完成。不应该有从不受信任的网络到安全网络的直接通信。

多诺万·廷迪尔： 对于远程访问工业控制系统/运营技术 (ICS/OT) 系统，网络攻击的后果和损失要远远高于访问信息技术 (IT)。为了降低这种业务风险，需要增加保护措施，包括来自不受信任网络的多因素身份验证。信任是相对的——业务网络的信任度低于 ICS/OT 系统。典型的 VPN 允许用户 24/7 全天候随意连接。由于 ICS/OT 网络攻击的潜在后果，远程工作时，每个会话、每个用户和每一天都需要明确的访问请求批准。

技术简介： 这似乎是一把双刃剑：云、无线传感器网络和其他工业系统为数字工厂带来了令人兴奋的新好处，但与此同时，这些智能制造技术大大增加了攻击范围。如何平衡可访问性与安全性？

劳埃德： 工业物联网 (IIoT) 带来了巨大的利益，但也带来了巨大的风险。一般来说，物联网中的所有“事物”都应该被视为脆弱而不可信赖。这对于习惯于管理孤立的 SCADA 基础设施的团队来说是一个震惊，但时代已经改变。鉴于物联网系统的脆弱性，唯一合理的方法是网络分段——必须考虑所有可能的访问路径，并且应尽可能隔离工业系统。随着时间的推移，访问会变得草率并会犯错误，因此您需要一种方法来不断地重新验证访问是否只是应有的数量，这样您就可以阻止网络漂移。

丁丁： 可访问性可以与安全性相平衡，但同时也会制定新的规范。 9/11 之前的机场安检与今天大不相同，但新常态已经建立，新技术和协议仍然允许及时安检。使用新技术，需要解决方案培训，如果网络安全与它相结合，那么用户体验和可访问性就不是问题。这些新技术和数字化工厂的商业利益有可能带来前所未有的成果。网络安全的作用是保护对云、无线传感器网络和其他工业系统的投资，以便他们能够提供投资回报，同时对网络攻击更具弹性。多因素身份验证、公钥基础设施、密码学和其他安全控制——如果实施得当——对用户来说几乎是无缝的，并提供了以前的传统技术无法实现的更高级别的访问控制。

贾布尔： 有意规划和分段的网络不仅是工厂通信系统的支柱，也是安全最佳实践的支柱。当攻击发生时，分段的 ICS 网络可以帮助保护传感器网络免受相互攻击，这意味着访问您工厂的单个部分不会一举摧毁整个公司。这还必须与了解和了解您的设施的漏洞相结合。简单地放置一个设备并离开是授予黑客攻击您系统的主要程序。管理网络上的所有设备不仅包括了解和了解存在哪些设备，还包括定期审查漏洞及其威胁级别（低/中/高）。

帕维尔： 数字化的规模和速度以及连接网络的增长正在导致网络安全风险的增加。这不仅仅是暴露的规模，而是连接的网络物理系统的脆弱性。这些新系统在设计时并没有考虑到网络安全。将通用网络安全技术集成到现有系统中可能会对性能产生负面影响，从而使问题更加严重。平衡可访问性与安全性是一项多方面的策略，它依赖于标准通信协议、对通过网络传输的数据进行加密、利用最新的网络安全标准以及实施能够实时识别和缓解网络安全威胁的技术.

贾布尔： 因为网络安全最容易被忽视。大多数 IIoT 安装都试图满足业务需求，而网络安全通常不是业务需求中的标准对话主题，直到发生攻击。

劳埃德： 讽刺的是，因为安全始终是所有部署的最后一个元素。推动物联网的关键在于功能和成本。这意味着设备可以以最低的价格快速生产，并且您可以获得所需的安全性。设备通常不可修补，并且无法支持我们安全工具集中的传统代理和扫描程序。因此，物联网安全是一个非常棘手的问题——有效地将无数脆弱的新设备注入已经不守规矩和杂乱无章的网络。只有那些有纪律并提前计划在问题发生时（而不是如果）发生问题的人才能顺利过渡到物联网。

丁丁： 仅在部署结束时才考虑网络安全有几个原因。采购和采购流程不包括网络安全要求，因为价格仍然是主要因素。大多数工程流程不包括网络安全——这意味着规范、设计、配置、测试和调试通常在没有任何网络安全任务或可交付成果的情况下发生。在连接到网络或 Internet 之前，IT 和网络安全团队被排除在外——这是这些团队可能第一次发现项目甚至存在的时候。网络安全应在决策标准中具有足够的权重；在它被纳入采购流程之后，它会在发布之前进行整个设计、配置、加固和网络验收测试。

帕维尔： 从早期最大的风险是计算机病毒，到今天操作技术恶意软件可以破坏设备并导致生命损失，计算机世界的网络安全攻击呈指数级增长。基于物联网的技术在数据完整性、数据泄露、隐私和未经授权访问的可能性方面提供了自己独特的安全挑战。

那么，为什么安全通常是物联网部署的最后一个要素？其中一些系统在设计时并未考虑到网络安全，而是以提供某种功能为唯一目标。最终用户并未将网络安全视为他们的主要选择标准之一，而是将系统执行任务的能力、效率和成本视为主要标准之一。直到最近几年，网络安全问题才越来越受到用户、政府和标准化组织的重视。

劳埃德： 工业网络的三大优先事项是分段、分段和分段。旧的气隙已经消失，互联网越来越多地融入到实体工厂的运营中，无论我们喜欢与否。大量的接口意味着总的攻击面已经爆炸，迟早肯定会有一些东西进入。最重要的优先事项是提前计划以限制不良事件的传播，使用分段，对于最关键的系统，计划提前关闭类似于潜艇舱壁门的“防爆门”。

帕维尔： 网络攻击有可能影响制造环境中的机密性、完整性和可用性。它们可能导致产品和流程 IP 的损失；由于破坏、修改和重新编程零件和流程而造成的生产损失；名誉受损；甚至受伤和失去生命。从零件生产中可以看出数据完整性对于制造的重要性——更改产品和工艺规范可能会损害产品质量和可靠性。

数据和网络物理系统的可用性对于制造生产力也至关重要。传统硬件和软件通常用于制造过程，其中一些系统在设计时并未考虑到网络安全或物联网。因此，将此类旧设备连接到物联网或将其集成到工厂网络中时存在固有风险。

贾布尔： 绝对不。防火墙只是整个系统的单个设备，虽然应该使用它们，但还必须考虑其他设计注意事项。

丁丁： 在 1990 年代中期，防火墙和防病毒软件是标准，因为它们提供了足够的保护措施来抵御当时的网络安全威胁。如今，几乎 100% 的组织都有防火墙，网络攻击可以通过其他策略、技术和程序 (TTP) 绕过防火墙。网络威胁正在迅速发展，需要多重网络安全控制。防火墙主要实现保护控制，擅长检测网络外围的已知不良行为。今天的攻击包括凭据盗窃和使用它们在不被发现的情况下渗透网络，因为不需要蛮力或恶意连接。我们都听说过攻击者在攻击前六到九个月在系统中的情况；这是一个弱检测和响应能力表现的例子。

帕维尔： 仅仅依靠防火墙不再是一个好习惯——它可能从来都不是。企业安全计划的三个最关键部分是人员、流程和技术。中小型组织对制造环境和供应链中的网络安全提出了特殊挑战。许多人缺乏提供强大网络安全的技术人员，而且由于他们通常没有意识到威胁的复杂性，他们无法创建投资 OT 网络安全的商业案例。为了帮助解决这些陷阱并加快采用适当的网络安全措施，政府已投资制定适用于整个行业的法规、标准和认证计划。

劳埃德： 防火墙就像您建筑物上的门锁——一个良好的开端，一个基本的安全卫生水平，但几乎不是一个全面的风险解毒剂。防火墙很复杂，而且几乎总是以某种方式配置错误。我已经评估了成千上万个真实世界的防火墙，发现每台设备的错误少于 10 个是不寻常的。 （极其复杂的防火墙可能在单个设备中包含数千个错误。）防火墙最困难的方面是了解它们是否涵盖了所有内容——毕竟，您无法仅通过阅读防火墙来识别防火墙周围的路径。您需要全面了解整个工厂网络的访问权限，并且需要能够随着网络的变化和增长而跟上访问权限。

资源

1. 霍尼韦尔互联企业
2. 红印
3. 西门子数字产业
4. 技术解决