迈向更安全的工业控制系统

2012-02-15 11:29阅读：

http://blog.sina.cn/dpool/blog/u/1504495842

作者：Paul Ferguson（资深威胁研究员）

工业控制系统（ICS）网络最近的新闻闹得很大，因为出现了一连串的弱点、热门入侵外泄事件，以及其他各种安全问题。

ICS网络的定义是：由机电组件上安装的各种控制组件，以及提供自动测量数据的组件所组成的网络或网络集合。这些机电组件包括阀门、调节器、开关，以及其他机电设备，我们可以在各行各业看到这些设备的身影，例如石化与天然气、自来水处理、环境控制、发电和配电、制造业、运输业，以及很多其他产业。

这里并不需要深入探讨各个特定产业，这些ICS应用环境都有一个共同特点，它们并不是“传统”的IT网络环境，也不该被同等对待。而大多数ICS网络也因为它们的独特性质而需要面对相同的安全问题。这些问题因为ICS组件和实体工业组件的互动而变得更加复杂。

如果

不能妥善地控制或限制这些组件的访问，可能会导致灾难性的事故。这些组件中很多所管理的工业系统被认为是“关键基础设施”，要求使用比传统IT环境更特殊的安全架构。

监视控制和数据获取（SCADA）网络可以被定义为网络层，为ICS网络和控制监视ICS网络组件的主机提供系统接口。

SCADA / ICS网络和其他网络的不同之处只在于网络组件、管理平台，以及灵敏度。它们所面对的一切都和其他网络上遇到的威胁完全一样，但可能会出现更灾难性的后果。

SCADA / ICS安全最大的问题是，ICS社群众的大部分人多年来都生活在“泡泡”里 – 他们使用专用协议，定制的和专用的平台平台，并会使用专用的低速通讯基础设施（有些甚至用拨号网络），并完全和其他网络（例如互联网）分隔开。

现在，SCADA / ICS社群正努力解决由于使用一般的商业化硬件和软件（例如微软的操作系统），并连接其他外部网络（例如企业局域网，最终可能是互联网）所带来的安全问题，以及混乱而失控的弱点披露制度（ICS的弱点也是攻击的目标），而对于一般的IT安全产业来说，这种问题在多年前就开始出现了。

是的，有些ICS网络营运商已经落后于时代潮流了。是的，有些已经要被大环境淘汰掉。但总的来说，SCADA / ICS社群正加紧提升他们的安全状态。

我整理了一份技术说明白皮书 – “让工业控制系统迈向更安全的状态”，简单扼要地讨论了有利于这种环境的一些基本安全架构组件。

该报告介绍了我认为在每个ICS网络进行整合时都必须考虑的问题。以及与SCADA和现行企业网络整合时的最佳实践做法，此外还有针对每个建议架构组件的说明。该报告的目标并不是成为完整的ICS / SCADA安全指南，而只是从宏观角度提出在布署ICS时，能提升安全状态的一些基本架构组件。

＠原文出处：Towards A More Secure Industrial Control Systems Security Posture
本文版权为趋势科技所有，对于非赢利网站或媒体转载请注明作者以及原文链接。谢谢合作！

举报/Report

我的更多文章

下载客户端阅读体验更佳