OT/ICS采用云计算的障碍

 

为了更好地理解如何解决这些障碍，Belden采访了一些安全专家，以了解OT/ICS面临的一些主要障碍。下面是他们的回答。 

 

Tobias Heer | Belden公司研发部高级架构师

 

不可否认的是，云服务将在未来的工业网络中发挥越来越重要的作用。然而，在OT环境中安全地集成一个云服务甚至多个云服务会给网络架构和安全概念带来各种挑战。尤其棘手的是，云连接往往与物联网设备和系统捆绑在一起，使其可以潜入生产网络。 

 

云服务集成的层次越深（图为普渡模型的0到2层次，即生产单元），就需要更完善和有效的安全机制与之适应。区域和管道的概念，将工业网络划分为高细粒度和大体分割的网络，为了与本地或全球的云进行对话，必须与现场级设备高度适应。 

 

增加与IT网络甚至互联网的连接，还需要进行最新的补丁和漏洞管理，以避免攻击者和恶意软件传播到工业网络底层的可能性。对于入侵检测系统和SIEM系统也是如此。已经建立了合理安全保障的公司在这方面拥有优势。 

 

最后，需要建立一个明确的、有据可查的流程来整合云服务和需要云服务的物联网设备。如果在整个工厂的不同地方出现了流氓或管理不善的云连接，保持安全和最新的信息几乎是不可能的。如果没有对允许的和实际使用的云服务以及使用这些服务的工业物联网设备的正确了解，确保配合适当的监控、漏洞和补丁管理以及事件响应，则必然会导致失败。云技术代表着现代物联网网络中许多创新功能的未来。然而，它是以减少控制和分割为代价的，必须用其他安全措施来弥补。

 

Ben Jackman  | Tripwire战略客户经理

 

我最初指出的主要障碍是普渡模型。事实上，一些客户仍然坚持认为他们的ICS有“气隙隔离”，我们知道，在99.9%的案例中，这都是个谜。普渡模型为ICS/OT环境设置几层防火墙和网络，使其远离公共互联网（即云服务）。 

 

第二个障碍是人们认为云不安全或使您的OT/ICS面临更多安全漏洞，并将增加您的攻击面。SDN等技术使更多的融合架构成为一种替代普渡模型的选择。

 

阿吉罗比尔巴 | ADACOM Cybersecurity 网络安全保证部高级经理

 

为OT/ICS环境引入云解决方案被认为是迈向完全远程管理的革命性举措。特别是在疫情大流行期间，现场管理工业系统被证明是一项挑战，许多组织为此采取行动，采用上述解决方案，以便能够在家中安全地管理他们的系统。向云过渡就好像我们即将打开一个潘多拉盒子，它将为恶意用户的识别和利用提供额外的攻击面。 

 

Claroty的Team82去年7月发表的一项研究分析了对管理系统进行基于云的未授权访问如何全面危害OT/ICS基础设施。值得注意的是，现在可以通过社会工程技术获得初始访问权限，这是一种在其他OT/ICS气隙隔离环境中部署基于云的服务后导致的攻击类别。 

 

此外，许多CVE出现的漏洞是在基于云的远程管理平台中发现的—— 其中最重要的是远程命令执行。目前已发布众多严重漏洞案例，未来还将发布更多，使人们对数据安全风险和法规遵从性产生怀疑。 

 

由于这种在通过基于云服务管理的OT/ICS环境中交互和利用新漏洞的现象不会很快结束，因此供应商和客户都必须采取适当的行动。建议供应商创建补丁管理程序，以便将补丁/修复快速交付给客户，同时客户应修改其安全策略并开始认真考虑OT/ICS环境的安全性（与考虑其功能性和可用性一样认真）。

 

Patrick C. MillerAmpere Industrial Security首席执行官兼负责人

 

鉴于网络物理接口点（端点传感、操作和可能的一线遥测设备）需要本地部署，直接的云选项实际上适用于管理系统和聚合操作环境。其他的可能性包括大型或长期的数据存储和分析，因为每个人都在对他们的环境进行数字化。 

 

更大的数字化将推动运营效益，并从其原始数据创建的分析数据产品中产生额外收入。这些平台的许可和维护费用可能非常昂贵。对于一些较小的企业，购买一个共享或虚拟化的管理平台作为服务可能更有成本效益。对于更大的企业，为云中可能存在的无穷无尽的资源容量付费可能更具成本效益。 

 

选择云解决方案的挑战在概念上与本地解决方案相同——安全性和可靠性。不同之处在于您不再直接控制这些风险因素。可以通过合同、认证、标准、审计等方式做出保证，但它们基本上仍然不受您的直接控制。 

 

此外，许多ICS和OT环境都是关键基础设施。其中许多关键基础设施都在世界各地以各种方式受到监管，可能在国家、地区或地方层面。其中许多法规刚刚涉及（或尚未涉及）这些技术的云选项，这可能会显著限制使用云解决方案的可能性。云中的一些ICS/OT功能是不可避免的，但系统和数据的敏感性，以及可用性（包括延迟）问题，包裹在复杂的监管迷宫中，可能意味着进展缓慢。

 

Jason Louviere|Tripwire高级技术产品经理

 

在OT/ICS环境中采用云的主要障碍是恐惧和不确定性。恐惧来自于他们的工业环境与外界保持某种类型的一致连接，即使防火墙中的端口只开放给外线。我相信这种恐惧可以通过引入像Belden的Prosoft这样的工具来解决，它可以在工业网络和Tripwire Anywhere等应用程序之间建立加密隧道。 

 

关于不确定性的问题更难克服并且与安全相关，但相关的方式并非我们想象的那样。大多数大中型工业设施，无论是农业、化学还是制造业，通常每天运行24小时。但是，对这些网络和系统的访问受到非常大的限制。另一家公司的人员或系统可以持续访问这些工业流程并与其通信，尤其是远程访问，就会导致流程受到他们无法控制的变量的无意影响甚至关闭。扫描和数据传输使网络带宽饱和或意外关闭系统进程都有可能导致这些流程的关闭，重新启动和解决丢失的产品可能需要花费数十万或数百万美元。 

 

像Belden和Tripwire这样的公司拥有使数据交易安全的技术，可以限制这些技术交易中使用的带宽和资源影响。他们正在向客户宣传这种能力，并证明我们的产品在帮助保护客户的同时不会对他们的工业系统造成影响。我觉得这将是最难克服的障碍，特别是对于中小型客户而言。

 

Markus Bloem|Tripwire工业销售工程师

 

首先，云计算对工业界的吸引力越来越大。许多转向云的公司必须在单云战略或多云战略之间做出决定。单云意味着只有一个供应商，多云意味着多个供应商。因此，不存在单个供应商绑定（即供应商锁定）的情况。 

 

公司使用云的理由是节省资金、外包以及在工作中具有更大的灵活性。安全性也是云采用的驱动因素和障碍。云的安全方面包括数据和隐私、合规性和数据丢失，或通过云漏洞进行的攻击。大多数公司害怕攻击和广泛形式的经济和工业间谍活动。 

 

公司通常缺乏有关数据保护和合规指南的资源和专业知识，因此他们不想在这里冒险。此外，对ISO 27001 / IEC 62443等国际标准的日益关注正在取得进展，这意味着公司必须遵守大量法规并评估其环境。

 

Tim Erlin|Tripwire策略副总裁

 

工业组织有多种类型，当我们把它们混为一谈并试图一概而论时，对这个行业是一种伤害。如果您考虑几个例子，例如电力公司、制造厂和水处理工厂，差异很快就会变得明显。存在明显的操作差异，但让我们试着把重点放在云计算的采用问题上。当然，这些类型的组织中的每一个都同时拥有OT和IT环境，并且在大多数情况下，他们的IT环境不受限于云的采用。 

 

对于电力公司，最大和最具影响力的限制来自NERC关键基础设施保护 (CIP) 标准。很简单，NERC CIP基本上不可能在他们的OT环境中采用云服务。如果你生活在NERC CIP的世界里，有可能你对最后一句话的反应是难以置信的。是的，在某些情况下，采用云服务并不是不可能的，但审计的负担、缺乏在公用事业环境中使用云的现有例子，以及缺乏为电力公司设计的云服务，这些因素结合在一起，使其基本上不可能。 

 

对于一个制造厂来说，障碍要少得多。因为制造业通常是由利润和效率驱动的，所以基于云的服务有一个强大的基础，可以论证采用。如果采用云服务可以增加产量，最大限度地减少停机时间，或对生产产生积极影响，那么它就有很大的机会被采用。这并不是说没有组织上的障碍需要克服，而是说它们很可能更容易被克服。 

 

最后，当佛罗里达州的Oldsmare市发生恐慌时，我们都仔细研究了水处理设施采用的技术，因为攻击者几乎远程更改了水处理设置。在这些情况下，你有的设施还没有真正准备好采用云技术，坦率地说，行业还没有真正提供令人信服的产品。水和废水处理通常不在科技公司目标客户名单的首位，但它们肯定是我们关键基础设施的一部分。 

 

以上只是来自工业组织的三个例子，但还有更多的细分市场有自己的挑战和障碍需要克服。云计算的采用在很大程度上是不可避免的，但对于不同的行业组织来说，它会以不同的步调进行。

 

如果您有兴趣详细了解在OT/ICS领域采用云计算的潜在优势，请点击此处。