為工業(yè)控制系統(tǒng)安裝補丁的正確方式
正如最近媒體頭條所報道的,網(wǎng)絡(luò)安全破壞已經(jīng)造成了企業(yè)的重大損失、客戶信任的喪失以及對組織公信力的傷害。
僅2014一年,黑客就從金融服務(wù)公司JP摩根大通銀行盜取了超過七千六百萬條記錄,從醫(yī)療保健提供商Anthem公司盜取了超過八千萬條客戶記錄。
2013年和2014年兩年,由于目標數(shù)據(jù)泄露,所造成的網(wǎng)絡(luò)安全相關(guān)費用就超過一億六千二百萬美元。
盡管對于任何工業(yè)領(lǐng)域,由于數(shù)據(jù)泄露導(dǎo)致的財務(wù)費用都令人吃驚,但是在能源領(lǐng)域尤其嚴重,僅僅停機一個小時,由于無法生產(chǎn)所造成的損失就可能達到成百上千萬美元,甚至還有可能對整個企業(yè)的生產(chǎn)造成巨大的損害。
網(wǎng)絡(luò)安全風(fēng)險:運營與聲譽
能源公司正在加速實施全面的網(wǎng)絡(luò)安全程序和政策。尤其是石油和天然氣組織,其管理和發(fā)電工業(yè)有所不同,正面臨著由工業(yè)控制系統(tǒng)漏洞所造成的巨大風(fēng)險。
例如,據(jù)某石油和天然氣公司估算,如果某個控制系統(tǒng)的人機界面(HMI)故障,導(dǎo)致系統(tǒng)停機兩天而無法進行生產(chǎn),給組織造成的損失預(yù)計高達一千兩百萬美元。
這個計算權(quán)衡了等待下一年安裝網(wǎng)絡(luò)安全保護措施而不是馬上實施所帶來的風(fēng)險??紤]到?jīng)]有實施安全程序所造成的運營和聲譽損失,在網(wǎng)絡(luò)安全問題上能源企業(yè)確實容不得半點延遲。
一般情況下,能源工業(yè)所用的控制設(shè)備比商業(yè)網(wǎng)絡(luò)的設(shè)備要落后一些。在商業(yè)環(huán)境中,系統(tǒng)已經(jīng)完成軟件、硬件的升級換代,可以有效的應(yīng)對目前的攻擊,而這些攻擊一般針對過時的系統(tǒng)或網(wǎng)絡(luò)中的粗心錯誤。
給工業(yè)控制系統(tǒng)漏洞打補丁
很多大規(guī)模泄露的根本原因在于:網(wǎng)絡(luò)上殘存的、未打補丁的設(shè)備成為整個網(wǎng)絡(luò)的漏洞。對于工業(yè)控制系統(tǒng)(ICS)而言,給網(wǎng)絡(luò)打補丁不僅僅是升級iPhone的APP,或者是升級個人電腦的軟件那么簡單。
補丁管理是一項耗時的行動,為了能夠確實起到應(yīng)有的作用,必須進行完整的運行測試。通過仿真工廠環(huán)境,對補丁管理進行驗證,這有助于能源企業(yè)以一種有效的方式來管理補丁,確保系統(tǒng)的運行并保護系統(tǒng)免受最新已知漏洞的拖累。
自助式補丁管理
自助式補丁管理是根據(jù)自己的時間安排,利用反病毒方案來實施整個打補丁流程。如果使用的是微軟操作系統(tǒng),那么他們依賴微軟及防病毒軟件提供商所提供的補丁,親自進行測試、確認,并完成最后的更新。
根據(jù)工廠規(guī)模大小,該項工作有可能是一項繁重的任務(wù)。如果一個工廠,控制網(wǎng)絡(luò)上只有5臺計算機,那么在每臺計算上分別手動實施更新,是可行的;在某些地區(qū)的工業(yè)設(shè)施,控制網(wǎng)絡(luò)上可能會有多達85臺計算機。如果逐個升級,不僅升級過程需要耗費大量的時間,而且會增加過程的風(fēng)險。
如果人工管理補丁并確保所有的計算機系統(tǒng)都得到升級,那么自助式補丁管理實施者將會承擔(dān)100%的風(fēng)險。如果補丁意外需要系統(tǒng)停機,那么該公司就會由于這些非計劃停機減少收入。而且,很多“自助式”方法需要USB驅(qū)動將補丁拷貝到每個計算機系統(tǒng)。
據(jù)雷神公司和波耐蒙研究所最近所做的一項關(guān)于安全行為的調(diào)查研究,超過半數(shù)(52%)的調(diào)查響應(yīng)者在過去三個月中,曾經(jīng)將別人給他的USB插入到計算機中。
在石油、天然氣和發(fā)電領(lǐng)域內(nèi),始終存在的一個擔(dān)心是:潛在的、來自內(nèi)部的攻擊風(fēng)險。使用別人的USB設(shè)備,或者將其遺留在某個不安全的區(qū)域,可能會使內(nèi)部不相關(guān)人員控制可移動設(shè)備。將被盜用的USB設(shè)備連接到控制網(wǎng)絡(luò),可能會將惡意軟件引入到網(wǎng)絡(luò)中,從而對系統(tǒng)和運營造成巨大的損害。
當(dāng)用戶轉(zhuǎn)而依賴可信的安全服務(wù)提供商,這些服務(wù)商可以采取必要的措施,確保在整個升級服務(wù)實施的過程中,他們的供應(yīng)鏈是安全的,這樣就基本上可以消除風(fēng)險,并將其責(zé)任從自助實施者轉(zhuǎn)移到服務(wù)商身上。
經(jīng)驗證的補丁管理
當(dāng)選擇第三方補丁管理方案時,用戶可以選擇一攬子解決方案或者綜合服務(wù)。供應(yīng)商根據(jù)操作系統(tǒng)軟件以及硬件,搜集工廠設(shè)施所必須的補丁,并將一攬子升級補丁分享給工廠運行人員,并由其自行實施升級。
這種選擇降低了識別升級補丁所需要的工作量,將其打包并按時升級。但是,用戶仍然負有責(zé)任,需要在部署實施前,測試這些補丁并消除任何潛在的負面影響。
未經(jīng)測試的補丁,在工業(yè)控制環(huán)境下是不穩(wěn)定的。因為沒有測試,運行人員就無法預(yù)測特定系統(tǒng)會如何響應(yīng)處于“原始”狀態(tài)的補丁。在2014年,為工業(yè)控制系統(tǒng)發(fā)布的操作系統(tǒng)補丁中,每12個就有10個需要針對實際的工業(yè)環(huán)境進行修改,以避免并發(fā)問題、停機、或新的漏洞。
經(jīng)驗證的補丁管理,能夠在虛擬的現(xiàn)場環(huán)境下,或者是實驗室中所模擬的工廠環(huán)境下運行補丁,以便在補丁真正實施前識別出可能存在的任何不兼容問題。這樣就使得運行人員,可以確定需要何種替代方案來確保運行時間,保護系統(tǒng)免受網(wǎng)絡(luò)安全攻擊。
圖中所示為一個經(jīng)驗證的補丁管理系統(tǒng),正在某網(wǎng)絡(luò)資產(chǎn)保護測試實驗室中進行測試。這個過程可以確??刂葡到y(tǒng)網(wǎng)絡(luò)在正式實施補丁升級以后能夠保持在線和安全。
雖然在供應(yīng)商的培訓(xùn)幫助之下,進行虛擬測試,要比不測試更有效,但是在功能上仍然存在一定的局限性,因為有時虛擬環(huán)境并不能暴露出在工廠環(huán)境下的所有問題。
安全的外部實驗室環(huán)境,具有實際可用于測試的硬件和軟件,是確保工業(yè)控制系統(tǒng)每月獲得經(jīng)驗證補丁的最佳途徑。這個過程有助于確保工業(yè)控制系統(tǒng)的安全及最新版本,這樣惡意軟件和惡意攻擊就不能操控系統(tǒng)漏洞。 失敗的補丁策略
能源公司已經(jīng)感受到失敗的補丁管理策略所帶來的負面影響。在某個能源公司,其HMI使用的是過時的操作系統(tǒng),供應(yīng)商不再為其提供持續(xù)的補丁升級服務(wù)。
惡意軟件入侵該系統(tǒng),從而影響到生產(chǎn)。除了產(chǎn)量的降低及被動停機外,公司還需要啟動調(diào)查程序,確定造成停機的原因,這又會需要更多的人力,進一步降低了生產(chǎn)率。
為了避免此種情況的發(fā)生,企業(yè)應(yīng)該利用經(jīng)驗證的補丁管理系統(tǒng),定期對系統(tǒng)進行升級管理,同時還應(yīng)管理過時的軟件和硬件;預(yù)防式的生命周期管理能夠避免費時、費力、費錢的被動停機。
保護互聯(lián)設(shè)備
隨著更多的技術(shù)應(yīng)用于工廠環(huán)境,也就更迫切的需要驗證安全組態(tài)和補丁,以確保穩(wěn)定可靠的控制系統(tǒng)網(wǎng)絡(luò)。工業(yè)環(huán)境下互聯(lián)設(shè)備的安全,不同于保護商業(yè)數(shù)據(jù)中心的安全。
此外,工業(yè)企業(yè)必須明白,信息技術(shù)(IT)和運營技術(shù)(OT)在實施強大的網(wǎng)絡(luò)安全策略所面臨的挑戰(zhàn)以及兩者之間的差異。OT安全領(lǐng)域應(yīng)當(dāng)與當(dāng)前所存在的傳統(tǒng)IT檢測系統(tǒng)有根本的區(qū)別。
就像其它工業(yè)一樣,ICS的網(wǎng)絡(luò)安全,很有可能會逐步過渡到托管型服務(wù)實踐,而不是組織內(nèi)部或供應(yīng)商提供的解決方案。隨著工業(yè)企業(yè)越來越重視網(wǎng)絡(luò)安全,他們必須認識到成功的補丁管理是安全以及高產(chǎn)企業(yè)的基石。(作者:Dana Pasquali)
提交
新大陸自動識別精彩亮相2024華南國際工業(yè)博覽會
派拓網(wǎng)絡(luò)被Forrester評為XDR領(lǐng)域領(lǐng)導(dǎo)者
智能工控,存儲強基 | ??低晭砭手黝}演講
展會|Lubeworks路博流體供料系統(tǒng)精彩亮相AMTS展會
中國聯(lián)通首個量子通信產(chǎn)品“量子密信”亮相!