用户中心

资讯 > 工业安全

构建安全边界,提升工业网络安全

www.cechina.cn2021.10.13阅读 361


  随着企业不断追求更高运营效率而改变运营模式,操作技术 (OT) 系统和信息技术 (IT) 系统日益互联。例如,沿石油管道部署的 SCADA 网络现在可以收集石油输出数据,这些数据对计费和定价系统至关重要。新增数据收集功能使公司不仅可以更准确地预测石油产量和输出量,还可以测算预期收入。然而,值得注意的是,这些相互关联的系统有利有弊。一大缺点是,OT 系统面临网络安全威胁的可能性显著增加。正因如此,报纸标题和文章经常提到,IT 系统如遭受攻击,将对 OT 系统造成巨大负面影响。IDC 台湾区总经理在教育视频安全对话第三集中介绍,勒索软件攻击现象越来越严重,使原本就十分复杂的问题变得更加棘手。这类恶意软件利用 Windows 漏洞,攻击防护薄弱的系统。
  面对越来越多针对 OT 系统的网络安全事件,企业主和监管机构迫切寻求提高工业网络安全、保证企业正常运行的解决方案。在本文中,我们将介绍“深度防御”概念,助力企业利用现有网络基础设施和投资CONTROL ENGINEERING China版权所有,构建网络防御的第一道防线。之后,我们将讨论工业入侵防御系统如何进一步保护 OT 系统,以及此类防御系统的好处和优势。
  安全边界
  什么是安全边界?
  要增强网络安全,您必须先了解您的工业系统如何在不同系统间交换数据,以及它们如何连接到 IT 级系统。在最理想的情况下,当数据流量跨越不同系统时控制工程网版权所有,系统之间应存在边界,确保流量的安全性。即使已经过身份验证和授权的访问也会再度被核准。然而,在所有系统之间建立边界十分困难,往往也很难实现,因为这涉及到大量开支,而且很可能不利于网络通信效率。因此,我们强烈建议将 OT 系统划分为不同的数字单元和区域,并建立边界,在支出成本和适宜风险水平之间找到平衡。

示意图:建立安全边界,确保发生网络安全事件时生产线不会相互影响

  由 IEC 6244 3 网络安全标准委员会推荐的“深度防御”方法已广泛应用于各个行业,在帮助建立多层保护、满足运营需求方面成效显著。在下图中,关键资产和生产运营处于最重要的位置。由于它们对企业至关重要,必须采取额外的安全防范措施,比如增加多层保护,进一步确保它们的安全。了解关于网络安全不同层级的更多信息,请下载信息图。

示意图:深度防御安全概念基于多层安全机制控制工程网版权所有,有助于提高整个系统的安全性

  如何建立安全边界
  ● 网络分区
  ● 物理层分区
  当两个网络在物理上隔离时,即形成气隙。如果一个系统的操作和安全需要独立维护,建立气隙是可行解决方案。但是,如前所述,由于业务和操作需求,以这种方式设置网络已变得越来越困难。
  ● 数据链路/二层、三层网络分区
  工业控制系统很可能已有几十年的历史。充分利用现有基础设施,同时保障工业控制系统安全无虞,这不仅是企业的关键挑战之一,也是网络管理员的主要诉求。借助 VLAN(虚拟局域网)分隔不同网络分区的流量是常用方法CONTROL ENGINEERING China版权所有,也是网管型以太网交换机的功能之一。一些以太网交换机具备端口层访问控制列表 (ACL),由于数据首先进入交换机,有助于提高 VLAN 的安全性。另一种方法是部署防火墙来保护工业应用和数据,这在处理二层、三层网络流量时格外有效。
  ● 四至七层网络分区
  通过深层数据包检测 (DPI) 技术可进一步分区,提供更精细的网络流量控制,帮助您根据应用需求选择工业协议。从理论上说控制工程网版权所有,如果多个设备接入同一网络,便能互相通信。然而,在具体情况下,控制器 A 可能只需要与机械臂 A 通信,这时 DPI 技术就能帮助工程师决定由哪个控制器执行读写命令,甚至决定流量传输方向。
  ● 网络微分区
  有时,关键资产需要额外保护。入侵防御系统 (IPS) 能实行网络微分区,让关键资产安全无虞。由于微分区将网络划分为更小的子网络,大幅加固工业网络安全。这种方式的好处在于,IPS 系统的虚拟补丁功能可以降低已知漏洞被攻击的风险。例如,一些系统可能需要在 Windows XP 中运行,但微软已停止对这款操作系统的更新支持。因此,即使是已知的漏洞,安全升级也并非易事。观看视频了解 IPS 虚拟补丁的运行原理。
  ● 安全远程访问
  网络安全专家认为,远程桌面协议有时会被攻击者利用,用于散播恶意软件或进行未授权活动。为提高运行效率、快速排除故障,远程连接日益普遍。因此,对在两个现场之间建立安全边界这一话题的讨论越来越多。长远看来,使用软件搭建远程连接很容易导致漏洞。因此,建立 VPN 隧道、确保访问控制机制有效运作是更合适的手段。
  典型场景
  ● 制造业
  互联互通的工厂网络需要合理分区,加固工业网络安全壁垒。此外,网络冗余也是保障工业控制系统随时可用的必要一环。

  ● 安全变电站监控
  规模庞大的电网需要 IEC 61850 标准认证的 VPN 解决方案,监控每一个偏远变电站中的智能电子设备 (IED)。

  由于气隙网络不再具备足够的优势和安全性,企业主和工程师应通过网络分区、微分区、安全远程访问等方式加强安全边界。每种方式满足不同网络需求,助力网络安全,不仅形成周边防线,还能阻止未授权的横向移动流量。Moxa 全新发布的 EDR-G9010 系列集防火墙、NAT、VPN、交换机、路由器于一身,能提高网络安全,充分发挥现有网络基础设施的作用,让企业主的投资得以经受时间的考验。
版权声明:版权归控制工程网所有,转载请注明出处!
联系厂商

通过本站与本文涉及的厂商 Moxa-摩莎科技(上海)有限公司 联系,本站注册会员请登录后填写更便捷。 登录注册

  • 您的姓名:
  • 单位名称:
  • 联系电话:
  • 电子邮件:
  • 我想得到贵公司详细的技术资料
  • 我想得到贵公司的价格信息
  • 我想让贵公司销售人员和我联系
  • 我想让贵公司技术支持人员和我联系
其他意向:

频道推荐

关于我们

控制工程网 & CONTROL ENGINEERING China 全球工业控制、自动化和仪器仪表领域的先锋媒体

CE全球

联系我们

商务及广告合作
任小姐(北京)                 夏小姐(上海)
电话:010-82053688      电话:18616877918
rendongxue@cechina.cn      xiashuxian@cechina.cn
新闻投稿:王小姐

关注我们的微信

关于我们 | 网站地图 | 联系我们
© 2003-2020    经营许可编号:京ICP证120335号
公安机关备案号:110102002318  服务热线:010-82053688