随着企业投资数字化转型，工业网络安全将越来越成为通过技术创新安全可靠推进业务目标的关键推动因素。虽然运营技术(OT)的转型带来了巨大好处，但也随之带来了网络安全风险。
对此，Dragos发布了《工业网络安全管理指南》报告，详细分析了企业如何更好地保护运营技术系统，具体包括：ICS/OT系统成为业务运营的关键、数字化转型及连通性增加OT系统风险及暴露程度、OT与IT网络安全的不同之处、OT威胁形势快速增长且日益复杂、与IT相关的威胁仍然影响OT、修复OT漏洞及IT漏洞的不同方法、评估及应对独特的OT网络安全威胁。
一、工业网络安全的重要性
随着企业大力投资数字化转型，工业网络安全将越来越成为通过技术创新安全可靠地推进业务目标的关键推动因素。推进运营技术(OT)的连接性和数字化可为企业带来重大利益，包括：
提高自动化程度；
提高流程效率；
更好地利用资产；
增强用于业务预测和设备可维护性的机械遥测功能。
但是，当这种连接的网络风险没有与创新同步解决时，安全事件的影响可能会加剧，从而减少收益。
近期发生了一些关键基础设施的事件，如发电厂使用易受攻击的IT远程管理工具、Oldsmar水处理设施及Colonial天然气管道遭受破坏性网络攻击。这些风险因缺乏有效的OT网络安全准备而加剧。
二、主要趋势
90%的组织对其OT环境（包括ICS网络、资产及其之间的信息流）的可见性非常有限，甚至无法了解；
88%的组织在ICS网络周围表现出较差的安全边界，这意味着通过IT网络或整个互联网遭受攻击的风险增加；
只有五分之一的组织每年进行一次以上的ICS网络安全评估；
近一半甚至不做年度评估；
63%的受访者表示，OT和IT安全风险管理工作没有协调，因此难以在OT环境中实现强大的安全态势。
三、工业环境中的OT
工业控制系统(ICS)和运营技术(OT)是控制整个企业物理流程的系统和网络。ICS/OT系统架起了从软件世界到物理世界的桥梁。
在工业环境中普遍存在的ICS/OT系统是控制物理过程的系统，包括发电、石油和天然气精炼和管道、自动化采矿设备和工厂自动化。但OT实际上存在于比这更广泛的用例中。它对于在数据中心、大型建筑和校园中运行仓储和配送系统、运输线路，甚至HVAC系统至关重要。简而言之，OT之于物理系统就像IT之于业务系统。
OT和IT通常共享相似的技术，运行在相似的操作系统、网络连接和数字架构上。但是OT并不是直接与IT一一对应。OT工作环境与IT非常不同，并且与业务的核心功能相关：生产电力、制造产品、运输产品以及保持设施的开放性和功能性。
因此，OT的业务风险不同，OT的业务连续性要求要更为严格，并且增加了物理安全考虑因素和监管义务。
OT系统也经过严格设计，与专用机器密紧密相连，采用独特的协议运行，并且比IT设备的生命周期长得多。OT系统运行的流程需要来自运营商的极其深厚的领域专业知识，才能胜任管理和监督。此外，OT中复杂的供应商关系通常会在合同中规定如何以及何时更改系统配置，甚至谁可以进行这些更改。
这些OT系统首先在“气隙”环境中发展，并且不与外部IT系统连接。即使这种情况发生了变化，OT仍然在一个远离IT的世界中运行。直到最近，也很少有IT供应商能够根据OT环境的独特需求定制网络安全解决方案，因此与IT相比，OT网络中潜在风险的可见性通常非常有限。
评估及应对风险
由于OT安全的独特性质，工业网络安全计划不能是IT网络安全计划的复制粘贴。ICS环境需要专门针对工业组织面临的不同任务、挑战和威胁量身定制的网络安全策略和工具。
制定OT网络安全规划：有效的工业网络安全计划往往由OT资产的威胁和后果驱动，优先考虑资产的业务价值和给定攻击场景的可能性。
理想情况下，组织应该能够在整个OT环境中获得可见性、控制和最低限度的网络安全卫生，但这需要时间和金钱。为了制定可以逐步采用良好网络安全实践的可靠网络安全路线图，组织应首先从发现流程开始，从董事会、高管利益相关者和资产所有者那里收集与OT流程相关的最高业务优先级的意见，然后进行调查，了解所有现有OT资产以及这些资产如何映射到高优先级流程的环境。
然后，团队根据业务重要性识别并排列所涉及的OT资产。在此基础上，团队应绘制出最有可能影响高优先级资产的威胁驱动和后果驱动的场景。
威胁驱动场景是威胁情报报告显示会影响组织的场景。结果驱动场景是通过从管理层希望在ICS环境中避免的高优先级的攻击的导致的最坏结果，然后向后移动，并勾勒出可用于触发它们的常见攻击技术，来构建结果驱动场景。
考虑到这些情况，团队应该检查现有的控制措施，以及它们如何与攻击者在每种情况下使用的战术、技术和程序(TTP)相抗衡。使用它来识别与理想控制相比的差距，这为制定路线图提供了基础。随后将其分解为持续改进的多年计划，根据从利益相关者那里收集的资产排名，优先考虑投资范围和速度。
获取正确工具：许多IT检测和监控工具无法很好地转换到ICS环境。IT检测工具通常无法与OT系统很好地交互，或者在ICS环境中不实用。例如，端点保护不适用于PLC。
更重要的是，检测机制和输出都是基于以IT为中心的威胁，因此对于OT运营商来说重要的上下文和相关性将丢失。机器学习模型在ICS环境中没有用处，因为它们是为IT环境设计和调整的。Dragos研究人员发现，Windows防病毒软件经常误报ICS应用程序，因为其不习惯ICS功能运行方式，对于启发式引擎来说很奇怪。
这就是组织需要特定于OT的网络安全工具的原因，支持工业环境中最重要的风险管理。
技能提升：OT网络安全是一项专门的工作。虽然企业网络安全团队可以牵头制定战略规划，与大量的OT利益相关者协作，甚至承担一些日常工作，但该团队将需要额外的资源来执行计划。对于许多组织而言，快速建立必要技能的最佳方法是利用合作伙伴和第三方来弥补内部差距，例如聘请公司进行快速事件响应。
IDC研究报告显示，由于董事会层面对安全风险的要求，到2023年，90%的工业公司将开发IT驱动的OT安全治理，以支持工程师通过关联资产进行快速创新。
