總結
網絡攻擊和事件正成為工業和關鍵基礎設施應用程序計劃外停機的主要來源。IT級對商業網絡的網絡攻擊可能會對運營產生負麵影響。正如我們在殖民管道事件中看到的那樣，供應鏈的能見度下降導致了運營關閉，給公司帶來了數百萬美元的損失。適當隔離IT和OT域可以減少IT級攻擊影響OT級操作的機會。
通過數字化及其一係列新的工業物聯網(IIoT)技術(如雲和邊緣計算)、物聯網協議(如MQTT)、分析和機器學習)，OT和工業控製係統(ICS)的世界正越來越多地與商業和企業級應用程序集成。這擴大了OT的威脅麵，迫使終端用戶確保OT域與IT和企業係統世界適當隔離。
今天真正需要的是“隔離與溝通”。OT領域必須保持安全，並與IT領域適當隔離，以確保工人的健康和安全，並減少計劃外停機，這給工業和關鍵基礎設施部門造成的生產損失每年超過萬億美元。然而，細分並不能消除交流;為了實現工業物聯網的好處，IT和OT領域之間的通信是必要的。
跨域解決方案(CDS)是管理IT和OT域之間安全通信的極好方法。ARC分析師最近與Owl Cyber Defense坐下來討論了他們為工業和關鍵基礎設施領域提供的CDS產品。本文概述了信用違約互換在工業和關鍵基礎設施應用中的概念和好處。以下是一些關鍵的收獲:
- 網絡攻擊現在是計劃外停機的主要來源。
- 在最近的網絡攻擊中，OT級別的停機時間大多來自IT級別攻擊造成的OT級別影響。
- 行業和關鍵基礎設施需要保護OT域，使其免受it級攻擊的負麵影響。
- 跨域解決方案長期用於政府和國防部門，現在正被工業和關鍵基礎設施應用，以在IT和OT領域之間提供隔離和安全通信，同時保持雙向通信能力。
網絡攻擊現在是計劃外停機的主要來源
計劃外停機是過程工業、製造業和關鍵基礎設施的禍根。ARC估計，計劃外停機給全球工業和關鍵基礎設施部門帶來的收入損失超過1萬億美元。在煉油廠，一次計劃外的停產可能會讓你的年利潤化為烏有。計劃外的停電可能帶來生命損失和基本服務中斷等極端風險。在過去，大多數計劃外停機都是由於操作人員的錯誤或受控過程中出現的一些意外或異常情況。
最近的網絡攻擊對運營的影響表明，網絡攻擊和事件現在是計劃外停機的主要來源，這也經常給人類的生命、安全和環境帶來風險。據美國政府統計，NotPetya勒索軟件攻擊造成的損失超過100億美元。
IT級攻擊有OT級後果
在NotPetya期間，許多損失來自工業、製造和關鍵基礎設施公司，它們不得不關閉業務，主要原因是在IT和企業層麵受到攻擊。本田、馬士基、默克和億滋國際等公司都遭受了ot相關的損失和重大的計劃外停機。由於不得不關閉航運業務，馬士基遭受了2億至3億美元的損失。據報道，默克公司損失了1.35億美元的收入，並花費了8億多美元來補救NotPetya的影響和升級其網絡安全。
必須從IT和企業保護運營
在過去十年中，OT級係統的大多數技術進步都集中在OT和IT或業務/企業級功能之間的無縫集成上。在過去十年中，隨著物聯網的湧入，從OT世界到IT世界的數據流呈指數級增長。不幸的是，網絡安全並沒有跟上步伐。盡管大規模部署了無數的網絡安全產品和解決方案，IT級別的網絡攻擊仍然會產生OT級別的後果。
跨域解決方案提供答案
跨域解決方案(CDS)長期以來被部署在國防和高靈敏度的政府應用中，這些應用需要絕對的安全性。cds確保受信任域和不受信任域之間的安全通信。
什麼是跨域解決方案?
跨域解決方案是由硬件和軟件兩部分組成的綜合信息保障係統。cds提供了一個受控製的接口，根據預定的安全策略手動或自動啟用或限製兩個或多個安全域之間的信息訪問或傳輸。CDSs強製域分離，通常包括某種形式的內容過濾，用於指定未經授權的信息在安全域或分類級別之間傳輸。
cd組件
CDS解決方案由硬件和軟件組成，使用加固的操作係統和諸如安全增強Linux之類的專門工具。跨域解決方案提供多層過濾和內容檢查，並提供“協議中斷”(以數據二極管的形式)，以實現可信和不可信網絡域之間的安全連接。
跨域解決方案vs.防火牆
工業防火牆在工業控製係統中無處不在。大多數工業設施利用防火牆來保護周邊，並提供區域隔離。然而，防火牆本身有許多漏洞，需要在配置和維護方麵不斷努力。防火牆是提供網絡安全的好方法，不應該與跨域解決方案混淆。正是因為防火牆和其他安全產品中固有的漏洞，才開發了跨域解決方案。最初，信用違約互換被部署在軍事、情報和關鍵的基礎設施部門，在這些部門，一旦發生違約，就不能容忍，可能會造成生命損失。信用違約互換通常也通過了由國家安全局下屬的國家跨領域戰略管理辦公室(NCDSMO)管理的極其嚴格的測試過程。
信用違約掉期的運營成本較低
CDS和防火牆之間的另一個關鍵區別是長期的操作和維護成本。防火牆需要持續維護。必須定期檢查防火牆規則集，應該進行定期的防火牆安全審計，必須備份防火牆規則集，必須定期檢查防火牆日誌。
相反，cds有更少的規則需要配置和更少的持續維護需求。防火牆更類似於拒絕列表策略，其中某些協議、端口和服務被阻止，而CDS更像是允許列表，其中隻允許某些類型的通信和服務。這就是為什麼cds在支持強製訪問控製(MAC)方案和基於角色的訪問控製(RBAC)等方麵如此有用。
Owl網絡防禦跨域解決方案
Owl Cyber Defense為向工業、製造業和關鍵基礎設施傳輸確定性單向和雙向數據提供跨域解決方案。Owl的IXD工業跨域解決方案是專門為這些應用程序設計的。構建IXD的基礎硬件和軟件平台經過了跨域解決方案的政府標準的測試和認證，並通過NSA的基於實驗室的安全評估(LBSA)過程實現。
IXD提供的內容檢查功能超出了下一代防火牆、使用數據二極管的硬件強製分割和一個設備中軟件保護的高級數據過濾引擎所提供的功能。IXD可以單向或雙向地傳輸和過濾多個協議和數據類型。IXD還包括通過數據二極管的內置硬件實施，這提供了額外的網絡分割好處，包括中斷協議，中斷防火牆等其他解決方案無法阻止的攻擊向量。IXD還包括內容過濾，以控製、限製和過濾從受信任域到不受信任域的數據傳輸。
IXD的主要組件
跨域解決方案的區別在於它們包含可信硬件組件、可信操作係統和可信軟件組件，以確保敏感和任務關鍵數據在兩個獨立域之間的安全通信。
受信任硬件組件
IXD的硬件組件是一個硬件強製數據二極管，使用單向光纖連接確保方向性。光纖發射器和接收器使IXD的每一麵之間的通信成為可能。每台機器在物理上隻能發送或接收數據。每個計算機係統組件由一個完整的x86主板和ICE-PIC通信卡組成。
可信操作係統
IXD有一個受信任的操作係統，它是Red Hat Enterprise Linux的定製發行版，隻包括IXD操作所需的元素。受信任的操作係統還集成了RHEL的MAC (Mandatory Access Control)機製。采用安全增強的Linux (SELinux)策略實施來保護核心係統資源，並可擴展到可信軟件組件(Trusted Software Components, TSCs)。
受信任軟件組件
IXD的可信軟件組件(TSC)由軟件和配置文件組成，在係統啟動期間從Datakey RUGGEDrive™加載到IXD中。TSC應用程序與可信操作係統(TOS)進行接口，以便在啟用數據傳輸的同時提供跨域過濾。TSC以加密方式綁定到硬件和TOS。由於TSC存儲在RUGGEDrive中，一旦IXD啟動，TSC可以被刪除並存儲在一個安全的位置，但它也可以留在原地，以便在電源中斷時自動重啟。IXD TSC支持一個或多個協議適配器同時運行。協議適配器和管道的最大數量取決於並發數據流的數量和IXD的可用資源。
XML線性保證管道
IXD的特點是在源域和目標域中重複使用一係列不可繞過的過濾器，以確保徹底檢查數據。協議適配器與每個域中的網絡連接。根據模式和其他標準對數據進行規範化和篩選。每個步驟的進展和結果都通過Syslog報告，係統管理員可以配置適合他們用例的過濾器序列。
支持的協議
IXD為工業應用程序支持廣泛的協議。IP協議套件支持的協議包括UDP、TCP/IP、HTTPS、ICCP、OPC DA、OPC A&E、Syslog、FTP、SFTP、FTPS。IXD還支持與Oracle TNS的REST協議和數據庫同步。未來提供的協議包括對OSIsoft資產框架、SNMP和電子郵件協議的支持，所有這些協議都將在2022年推出。IXD還提供OSIsoft曆史記錄複製功能和HMI屏幕複製。
信用違約掉期被廣泛的行業采用
曾經主要出現在國防和政府應用領域的信用違約掉期，現在一些供應商正在提供滿足跨行業和關鍵基礎設施的廣泛終端用戶需求的信用違約掉期。從石油和天然氣的勘探和生產到管道和液化天然氣的應用，碳氫化合物部門是目前最大的采用者。包括煉油和石化在內的下遊行業也在采用這種技術。信用違約掉期也被用於化工、汽車和發電行業。
無論在哪個行業，最終用戶主要部署CDSs以實現OT和IT域之間通信的最高級別的安全性。IT和企業級別消耗的OT數據量繼續呈指數級增長，而防火牆本身不足以在這些域之間提供適當級別的隔離。
主要用例
在工業和基礎設施應用程序中，cds最常見的用例之一是將流程曆史數據複製到企業(在業務網絡上或在雲上)。Owl的OSIsoft PI曆史記錄複製能力就是一個很好的例子。其他關鍵用例包括:
- OT到IT OSIsoft PI曆史複製與高可用性故障轉移
- 管道壓縮機泵站數據傳輸至業務網絡
- 安全儀表係統到DCS到企業網絡通信
- 彎曲內華達振動數據到商業網絡
- 電網分割
- OPC服務器傳輸服務
結論
隨著OT和IT世界之間對更安全通信的需求增加，最終用戶應該考慮跨域解決方案(CDS)，以提供這兩個域之間更好的通信隔離和安全性。CDSs較低的操作和維護成本和要求，結合所提供的安全級別，可以形成一種成本效益的策略，以避免在IT級別發生攻擊時在OT級別出現計劃外停機。相反，cds可以防止在轉向IT網絡或雲的OT級別發起的攻擊。
ARC谘詢集團客戶可在以下網站查看完整報告ARC客戶端門戶
如果您想購買這份報告或獲取如何成為客戶的信息，請聯係我們
關鍵詞:跨域解決方案，CDS, OT網絡攻擊，Owl網絡防禦，數據二極管，工業物聯網，ARC谘詢集團