ENISA報告：ICS-SCADA防護建議

星期二，二月14，2017

為實現關鍵基礎設施防護，ENISA公佈了《ICS-SCADA系統通信網絡依賴》報告。

網絡武器已經開始被用於干涉政治，這是十分明顯的，例如可能與中國有關的OPM類似的網絡間諜活動、俄羅斯人導致的DNC數據洩露進行政治操縱、疑似俄羅斯或其支持者搞的烏克蘭大斷電之類的物理破壞等，這些都已將眾人目光聚焦到了關鍵國家基礎設施的安全問題上。而這些基礎設施中的大部分，大都是被ICS/SCADA系統控制並運營的。

歐盟網絡與資訊安全機构（ENISA）近期公佈了一份新的ICS/SCADA系統通信網絡依賴方面的分析與建議報告。該報告關注安全問題的兩個主要原因：

1.網絡分隔及各區段間的通信；2.通常使用互聯網與外界進行的通信。

該報告是由對ENISA ICS/SCADA組織成員與利益相關者對話的分析整理，以及來自官方信息源和該領域其他ICS/SCADA專家的數據編譯而成。它強調了需關注的3個主要原因，並為其目標受眾——資產擁有者和電力、石油、瓦斯、交通、醫療、供水及製造業運營者，提出了8條具體的安全建議。

3個令人擔憂的攻擊場景是：

• 可使攻擊者接管網絡中一個或多個資產的遠程入侵；
• 熟知基礎設施的惡意雇員、承包商或協力廠商員工引發的內部人威脅；
• 維護或陞級過程中的感染風險。

與第3個場景相關的，是升級檔和固件存放的網站。

該報告仔細審查了ICS/SCADA通信網絡及其依賴，檢查了影響這些網絡的威脅、漏洞、事件和攻擊，同時關注了那些可能造成級聯效應的問題。它還通過差距分析指出需要進行進一步工作的領域。

良好安全實踐章節勾畫了“先理解再防護”網絡的必要步驟。這包括可“大幅提升網絡及其通信可用性、完整性、機密性及不可抵賴性”的科技和過程清單。

最後，該報告為製造商、運營者和安全專家列出了8條“高級建議”，幫助他們提升ICS/SCADA系統和通信網路功能的安全水準及彈性。

1. ICS/SCADA系統設計階段就將安全包含進主要考慮中；2.識別並確立ICS/SCADA系統操作人員角色；3.定義網絡通信技術和架構的時候多想想互操作性；4.為設備生命週期不同參與者之間建立頭腦風暴和通信通道以交換需求和解決方案；5.將週期性ICS/SCADA設備更新過程列為系統主要操作的一部分；6.在組織內建立週期性ICS/SCADA安全培訓和意識培養活動；7.歐盟層次上推進決策者、製造商和運營者之間更多的合作；8.為可靠和恰當的網絡風險保險要求的確立定義指南。

這些建議，只需在必要的地方做些微調，就可適用於任一行業。ENISA報告還進一步強調了其對運營科技的特別關注。比如說，第一條“設計安全”建議，它就解釋稱，“傳統上，只有人體健康和生產科技活動的安全問題被列入了ICS/SCADA系統或基礎設施設計時的主要考慮之一（連同效率、實时限制等等）。社會政治性安全的概念卻一直被無視了——儘管該安全問題如今已是主要風險源之一，應被涵蓋以預防未來攻擊和事件。

儘管用戶對ICS/SCADA開發和生產過程幾乎沒有控制權，ENISA建議：在設計階段，設備及其相互通信的安全，應該成為將影響設備選擇、實現方法和整體架構設計的主要概念之一。

該過程的結果，將是系統安全因大量威脅被緩解而得到提升。這些可以通過風險評估、漏洞評估或滲透測試來衡量。

以下基本結構在每條建議中都有重現：問題描述、要求的動作、實現的影響。結果就是對ICS/SCADA安全態勢的深入解讀，以及改善關鍵國家基礎設施安全態勢的實用步驟。