隨著數字轉型以及OT/IT融合的加速推進,針對于關鍵基礎設施和其他OT系統的攻擊也飛速增長。如今,水處理設施、能源供應商、工廠和化工廠等支撐著人們日常生活的基礎設施都陷入了風險之中。惡意分子對OT系統的干擾或操縱會對公民、環境以及經濟造成真實的物理傷害。
然而,與信息技術(IT)領域相比,OT領域安全工具的發展要落后許多。人們普遍對用于保護工業環境遠程訪問的常見安全工具缺乏足夠的信心。
工業環境中的傳統安全策略強調一個“隔離”,不僅要與互聯網隔離,與其他內部系統也要保持隔離。然而隨著時間的推移,OT系統對外界的開放程度同網絡威脅的數量不斷增長,普通的隔離策略已不再適用于如今的OT環境。此時由于缺乏專門的安全工具來應對OT系統所面臨的威脅,許多組織不得不將多種IT解決方案拼湊起來使用,結果卻往往不盡人意。
由于一些重要原因,專為IT環境設計的安全解決方案無法滿足OT系統的實際需求。
原因 1:比起保密性,OT系統更需要優先保障可用性
盡管IT和OT都致力于確保系統的機密性(對敏感數據和資產的保護)、完整性(數據在其生命周期內的準確性)以及可用性(資源和基礎設施的可訪問性與可響應性),但它們對于CIA三要素的重視程度卻存在差異。
?IT系統中優先級最高的是保密性。IT處理的對象是數據,并且IT 的利益相關者更加關心這些數據的安全性,從商業機密到用戶和客戶的個人信息都涉及其中。
?OT系統中優先級最高的是可用性。OT操作的是重型設備以及工業流程,對于它們而言,可用性就等同于操作過程的安全性。在工業領域中,當涉及到例如高爐或工業鍋爐這樣的重型設備時,停機時間是無法接受的。這是因為在停機期間,生產過程中斷,可能會導致諸如溫度失控、壓力積聚或材料損壞等嚴重的安全問題。因此,OT系統的首要目標要是確保設備的持續可用性,進而確保工業過程的安全性和穩定性。
在工業環境中,OT組件主要關注的是實時的操作以及工業過程的連續運行,因此安全性并不是最初的關注點。所以它們大多數在設計階段就沒有將安全需求納入考慮。同時這也反映著IT環境和OT環境的本質差異,使得IT安全工具在OT環境中的實施變得具有挑戰性。
原因 2: OT系統運行于那些始終保持開啟狀態的遺留系統上
對于在IT領域工作的人來說,很難想象現代的IT環境中仍然使用著過時的操作系統(如Windows XP)或幾十年前的主機會是怎樣的。然而,在OT領域,這種情況卻是現實存在的。無論是出于利潤還是出于安全考慮,OT系統始終要以最高的效率運行。為了實現這一效果,OT組件要比其它組件的設計壽命長得多。
對于幾乎所有基于IT的工具來說,安裝、更新和修復活動都需要停機來進行。但在工業環境中,停機時間是絕對無法接受的。對于OT系統來說,停機時間就意味著將安全性置于風險之中。
另外,在OT環境中,許多傳統系統和設備都是過時的,它們通常無法與現代的安全或身份驗證工具進行有效的通信,從一開始就限制了這些安全平臺的實際效率。如果沒有像Cyolo這樣的安全解決方案,對傳統的應用程序進行改造以支持現代的安全協議,那么IT工具在保護OT系統方面的能力就一定會受到嚴重限制。
原因 3: IT工具需要連接網絡
IT安全解決方案通常需要外部連接,因為服務器必須與應用程序(以及用戶)進行數據交互才能執行其基本功能。相比之下,OT系統對于如何以及何時與互聯網連接通常具有特定的要求,即使是在數字化轉型的當下也是如此。然而并非所有情況下都可以對IT工具進行配置以滿足這些要求。
在工業環境中,OT系統負責運行和監控物理設備以及工藝流程,而IT系統則負責處理和管理數據。所以這兩個系統可以通過接口進行通信和交互,無需建立持續的連接。這樣一來,OT環境就可以在充分利用自動化、生產數據以及其他數字化轉型工作優勢的同時,又避免為不法分子創建不必要的訪問點。
原因 4: OT系統高度多樣化
IT世界普遍采用了TCP/IP協議來作為通信的標準協議,而OT世界則沒有達成類似的共識。OT系統中所使用的通信協議多種多樣,并且這些協議通常由原始設備的制造商來決定。
以可編程邏輯控制器(PLC)為例,如果一個OT操作員從多個供應商處購買PLC設備,每個供應商在滿足IEC-61131標準方面可能會采用不同的方法和實現方式。那么結果就是,OT工程師需要學習和維護與供應商數量相同的軟件和協議類型。
即使是在OT領域內部,不同的通訊協議之間也經常互不兼容,所以就更不用提它們與IT安全工具中常用協議的兼容性了。每個OT環境通常都會有其獨特的通信協議與設備要求,所以很難找到某一具體的IT安全工具來完全覆蓋特定環境中所有OT用例的需求。
原因 5: OT系統是脆弱的
由于其多樣性以及持續運行的特性,基本的IT流程和安全最佳實踐很容易對OT系統的正常運行帶來干擾。
? 即使是被動掃描,也可能會使脆弱的OT系統被迫離線。隨著掃描范圍的縮小,以及掃描活動被限制,只能在離線系統上進行的同時,安全覆蓋范圍也會降低到無法接受的水平。
? 通常在終端設備上顯示的登錄橫幅(logon banners)可能會干擾關鍵OT系統的自動登錄過程。
由于在OT環境中實現可見性更加困難,所以在部署新工具之前,往往很難預測其后果。因此在引入新工具之前,OT系統通常需要進行更加廣泛的測試和驗證。
OT環境需要特有的解決方案
俗話說的好,戰略先于工具。在OT環境中工作的IT團隊以及安全人員必須提前花費時間了解來并接受OT的理念和需求,從而與OT相關利益相關者合作,共同定義最佳實踐。
盡管如此,合適的工具仍是十分必要的。網絡安全市場中充斥著噪音與誤導。IT和OT領域種的利益相關者必須共同在承諾使用特定工具或供應商之前做出明智的決策。
OT領域應在不危及工人、運營以及周遭人安全的前提下,充分利用現代安全控件所帶來的好處。選擇正確合適的解決方案不僅可以加強安全防御、抵御潛在的攻擊,同時也能夠使安全對創新起到推動作用,而不是阻礙其發展。
數世咨詢點評
在當今的數字化時代,IT/OT融合早已成為了發展的主旋律,尤其是長達三年的的新冠疫情更是進一步掀起了“遠程辦公”的浪潮,促使各行各業對數字化工具和協作平臺需求的激增。
盡管融合過程中會面臨各種已知或未知的風險,但其所帶來的效能及收益等方面的數字化紅利卻也是無法拒絕的,IT/OT融合將會是歷史的必然走向。
由于OT與IT的一些本質差異,IT安全解決方案總是無法完全適用于OT環境。不僅如此,OT面臨的網絡威脅更是會向著多樣化、復雜化并且難以預測的方向發展。因此OT系統的安全問題更需要一種緊密集成、可擴展、高靈活且富有彈性的解決方案,這就需要企業明晰IT與OT安全間的差異以及自身獨特的安全需求,進而采取有針對性的措施來進行整體的安全布局。
另外,考慮到OT威脅的嚴重性,OT組織在進行數字化轉型的同時更是要拋棄基于邊界的安全方法,采取零信任的安全理念,堅守持續驗證已經最小權限原則。
* 本文為茉泠編譯,原文地址:https://thehackernews.com/2023/06/5-reasons-why-it-security-tools-dont.html
來源:數世咨詢