网络安全技术：造成计划外停机的主要原因是什么

跨域解决方案可以帮助确保信息技术（IT）和运营技术（OT）之间的通信安全。

网络攻击和事件正成为工业和关键基础设施应用计划外停机的主要原因。对商业网络的IT攻击，可能对运营产生负面影响。正如燃油管道商Colonial Pipeline遭到勒索软件攻击事件所导致的那样，供应链的可见性丧失会导致公司停止运营，由此造成数百万美元的损失。IT和OT领域的适当隔离，有助于减少IT层面的攻击对OT层面的运营产生影响的机会。

通过数字化和新的工业物联网（IIoT）技术，例如云和边缘计算、物联网协议（如消息队列遥测传输）、分析和机器学习，OT和工业控制系统（ICS）正与商业和企业级应用更紧密地集成。这扩大了OT系统的攻击面，迫使最终用户考虑OT领域与IT和企业网络的隔离。

今天所需要的是“保持通信的同时隔离”。OT域必须保持安全，与IT域适当隔离，以确保工人的健康和安全，并减少计划外停机。计划外停机使工业和关键基础设施部门每年造成的生产损失超过万亿美元。然而，隔离并不是要消除通信；IT和OT域之间的沟通是实现IIoT收益的必要条件。

跨域解决方案（CDS）是管理IT和OT域之间安全通信的一种绝佳方式。ARC分析师最近与Owl Cyber Defense公司探讨了工业和关键基础设施领域的CDS产品。关键要点包括：

■ 网络攻击是计划外停机的一个主要原因。

■ 在最近的网络攻击中，大部分OT层面停机都是因为对IT系统的攻击，连带影响OT系统而造成的。

■ 工业和关键基础设施需要保护OT域，并保护其免受IT攻击的负面影响。

■ 跨域解决方案长期用于政府和国防部门，现在正应用到工业和关键基础设施，以在IT和OT域之间提供隔离和安全通信，同时保持双向通信能力。

01

计划外停机的主要原因

计划外停机是制造商和关键基础设施面临的一个严峻挑战。ARC预计全球工业和关键基础设施部门因非计划停机而导致的损失超过1万亿美元。在炼油厂，计划外停产可能会抹掉年度利润。意外停电可能会带来生命损失和基本服务中断等极端风险。在过去，大多数非计划停机可能归因于运行人员的错误或控制过程中的某些意外或异常工况。

最近的网络攻击对运营的影响表明：现在，网络攻击事件是计划外停机的一个主要来源，也对人类生命、安全和环境构成威胁。相关机构的数据显示，NotPetya勒索软件攻击所造成的损失超过100亿美元。

▲图 1：跨域解决方案（CDS）有三个核心功能域：数据流限制、硬件驱动的分离以及内容检查和过滤。图片来源：Owl Cyber Defense

02

IT层攻击会导致OT层问题

NotPetya勒索软件攻击造成的损失，很多来自工业、制造业和关键基础设施公司，这些公司因在IT和企业层面受到攻击而不得不关闭运营。本田、马士基和默克等公司都遭受了与运营相关的损失和严重的计划外停机。据报道，马士基公司因不得不关闭航运业务而蒙受了约3亿美元的损失。默克公司损失了1.35亿美元的收入，并花费了超过8亿美元补救因NotPetya造成的影响和升级了其网络安全系统。

过去十年中，OT系统的大部分技术进步都集中在OT和IT或业务/企业层功能之间的无缝集成上。随着物联网的应用，从OT到IT的数据流呈指数级增长。然而，网络安全保护并没有跟上步伐。尽管大规模部署了大量的网络安全产品和解决方案，但IT网络攻击仍会在OT层级产生影响。

03

跨域网络安全解决方案对OT的好处

长期以来，一些国防和高度敏感的政府部门的应用一直使用跨域解决方案，对这些部门来讲必须确保绝对安全。跨域解决方案确保可信域和不可信域之间的安全通信。

跨域解决方案是一个集成的信息保证系统，由硬件和软件组成。CDS提供受控接口，基于预定安全策略，手动或自动启用或限制两个或多个安全域之间的信息访问或传输。它可以强制实施域分离，通常包括某种形式的内容过滤，用于指定未经授权的信息，以便在安全域之间或不同分类级别之间传输。

▲图 2: 跨域解决方案（CDS）为信息技术（IT）和运营技术（OT）安全域之间的通信提供了更高级别的安全保障。图片来源 ：ARC Advisory Group

跨域网络安全解决方案由硬件和软件组合而成，使用强化的操作系统和专用工具，如安全增强型Linux。它提供多层过滤和内容检查，并提供“协议中断”（以数据二极管的形式），以实现可信和不可信网络域之间的安全连接。

04

跨域解决方案 vs.防火墙

在工业控制系统领域，工业防火墙中无处不在。大多数工业设施使用防火墙来保护边界并提供区域隔离。然而，防火墙有许多漏洞，需要持续的配置和维护工作。防火墙是提供网络安全的一种好方法，但不应与跨域解决方案混淆。正是由于防火墙和其它安全产品中固有的漏洞，才开发了跨域解决方案。

跨域解决方案和防火墙之间的另一个关键区别是长期运营和维护成本。防火墙需要持续维护，必须定期审查防火墙规则集，定期进行防火墙安全审计，备份防火墙规则集，并定期审查防火墙日志。

跨域解决方案需要配置的规则较少，日常维护的需求也更少。防火墙更类似于拒绝列表策略，其中某些协议、端口和服务被禁止。CDS更像是一个允许列表，其中只允许某些类型的通信和服务。这就是CDS在支持强制访问控制（MAC）方案和基于角色的访问控制（RBAC）方面如此有用的原因。

▲图 3: Owl Cyber Defense 公司的 IXD 跨域解决方案，具有 XML 过滤和 XML 线性保证管道的功能。

05

CDS的网络安全优势

跨域解决方案正在超越传统的国防和政府应用领域，开始在更多行业中应用。从石油和天然气勘探和生产，到管道和液化天然气（LNG）应用，碳氢化合物行业是当今最大的用户。包括炼油和石化在内的下游行业，也在采用这项技术。CDS也被用于化学、汽车和发电行业。

最终用户希望通过部署CDS以实现OT和IT域之间更高安全级别的通信。IT和企业网络消耗的OT数据量继续呈指数级增长。有时，防火墙本身不足以在OT和IT域之间提供适当的隔离级别。

在工业和基础设施应用中，跨域解决方案的另一个常见用例是将过程历史数据复制到企业，不管是在业务网络上还是在云端。

随着OT和IT领域对更安全通信的需求日益增长，最终用户可以考虑跨域网络安全解决方案，以更好地隔离并实现两个域之间的安全通信。CDS的运营和维护成本及要求较低，再加上所提供的安全水平，可以成为一种具有成本效益的策略，以避免在IT层级发生攻击时在OT层级出现意外停机。此外，跨域解决方案还可以预防在OT层级发起的攻击转向IT网络或云。

关键概念： 

■ 计划外停机是制造商和关键基础设施面临的一个主要问题，网络安全漏洞是一个日益严重的原因。

■ 跨域解决方案（CDS）可以帮助管理IT和OT域之间的安全通信，并确保双方免受网络安全攻击。

■ CDS的一个常见用例是将过程历史数据复制到企业，不管其是在业务网络上还是在云端。

编辑：黄飞