工业控制系统防护：验证有效的策略与最佳实践
思科年度网络安全报告深度剖析了全球安全趋势与新兴威胁。工业物联网的日益普及引来安全分析师与攻击者的双重关注，成为2018年报告的热点。报告显示，69%受访者认为其运营技术（OT）设备是可行攻击目标，31%安全专业人员已遭遇OT设备网络攻击。
那么，工业控制系统该如何防护？组织如何为OT设备建立与IT基础设施同等严格的安全技术体系？
必须深刻认识到：工控系统不仅脆弱，更掌握着直接决定企业生产力的运营硬件访问权。文件服务器失陷虽具破坏性，但工控系统遭勒索软件接管将导致停产，甚至引发异常操作行为造成人员伤亡。
网络层面防护
首先，工业组织应确保网络设计合理、边界清晰。ISA/IEC-62443标准为网络分段提供实用指南。其次，所有无线应用须加固，部署远程访问方案用于维护与故障排查。同时，需监控所有网络基础设施设备。
终端防护
多数OT专业人员确信其终端通过专用协议、防火墙、反恶意软件已严密防护。但当员工携带笔记本、智能手机等个人设备接入企业网络时，防线迅速瓦解、漏洞暴露。
应对之道：确保终端安全，禁止员工将个人设备接入企业网络。制定数字化策略，如禁用USB接口、防范伪Wi-Fi热点等。
企业可从资产发现入手，盘点各终端；继而定义管控策略并自动化执行，保障防护常在；最后持续监控终端，对未授权变更触发响应。
控制器防护
工业环境由PLC、执行器、传感器等物理系统组成。控制器作为专用计算机控制多样化工业设备，因日益复杂而易受恶意软件攻击。
已有文档案例显示，恶意行为者侵入PLC、PAC或工业PC，破坏系统甚至造成物理损毁。最著名的是“震网”病毒攻击西门子控制高速离心机的PLC，导致物理损坏与不可逆生产力损失。恶意代码同样通过网络渗透，若建立严格网络管控策略，此类事件可避免。
除边界防火墙与VPN外，必须实施访问控制与活动日志，确保仅授权人员访问核心系统。部署反恶意软件可捕获漏网恶意代码。
自动化控制系统