為您推薦
在過去十年間的某些時刻，每位製造商都會努力以最佳方式來保護其工業控制系統(ICS)及其構成的資料、工程、技術和產品。ICS必須和業務系統進行通訊，但隨著網路安全模式發展，製造商該如何因應最新局勢？
供應鏈、能源管理、實驗室測試、維護、法規資料收集，以及生產力管理業務系統，全都需要來自製造系統的資料。這些系統用來擷取資料的基礎技術和通訊協定，涉及各種不同的資料庫、網頁伺服器、遠端存取以及檔案傳輸。因此，為了防止ICS受到業務系統的資安風險影響，保護ICS的最佳方法是架構一個稱為工業非軍事隔離區(IDMZ)的資安邊界，將業務系統和ICS加以分隔。
什麼是工業非軍事隔離區(IDMZ)？
IDMZ是一種邊界，存在的目的是為了在業務系統和工業控制系統之間的製造或加工設施內建立緩衝區，這些系統有不同的資安需求，而且彼此之間不會共用既有的信任。這個邊界使用網路和應用程式安全性控制來管理非信任區域之間的資料流。
多年以前，網路安全實際上存在於完全「用牆壁隔絕」的世界中。接著在2006年，在幾乎無人注意或宣傳的情況下，一種全新的資料儲存方式就此產生。從那時起，公用雲端(協力廠商透過網際網路提供伺服器和網路基礎架構[AWS、Microsoft Azure、Google Cloud、IBM Cloud]所提供的雲端服務)便持續改變IT企業組織儲存資料及其處理運算工作負載的方式。許多IT企業組織現在使用結合公用雲端服務和內部部署伺服器基礎架構的混合式雲端，因為公用網路基礎架構和公用雲端變得更加可靠，所以越來越多的儲存和運算會外包給第三方公用雲端服務供應商。
事後來看，公用雲端會成為IT企業組織的儲存選擇實為不得不然。過去有段時間，曾為了落地式實體伺服器機架而保留龐大的伺服器機房，這些房間的牆壁幾乎構成整個IT安全防護：周邊防火牆。混合式雲端不僅可以減少實體伺服器儲存空間的需求，還可以透過虛擬化解決這些機房不足的問題。防火牆仍舊存在；不過，如果您大部分或全部的資料儲存和運算工作負載位於防火牆外部，這種防護網便不再足夠。為了適應不斷改變的防護網邊界，以及在存取公用雲端時因暴露在網際網路而存在的全新資安威脅，提出了一種全新的資安模式：零信任(Zero Trust)模式。
什麼是零信任模式？
零信任模式可以充分運用最小權限原則，只將執行工作所需最低限度的權限授予使用者或系統。這個原則會強制採取不信任的作法，只有獲得允許的使用者、資料、電腦和位置，才能在裝置之間傳輸資料或進行通訊。這個原則會從過去「信任我區域內的一切」的模式，變為「除非能夠多方驗證否則一概不信任」的模式。
ICS威脅形勢正持續發展。WannaCry或偽裝的NotPetya等大規模惡意程式攻擊，以及使用Crash Override、Triton或LookBack對關鍵基礎設施發動針對性攻擊已變得日益普遍。ICS環境及其系統管理員(無論他們是否知道)總是極為仰賴IT防護網資訊安全。對使用IDMZ的環境而言，IT防護網資訊安全甚至是更寬廣世界的第一道防線。IDMZ是最後一道防線。 IT防護網不復存在，所以IT防護網資訊安全可能是唯一的防線。
ICS環境是否可以採用零信任的模式？
問題可能沒那麼簡單。一般的IT環境可能很複雜，但都具備某些共通點：
- 具有生命週期計畫的標準電腦硬體
- 定期修補的標準作業系統
- 標準商業版辦公室軟體工具
- 支援使用者和資產的身分和存取管理解決方案
- 讓資產可以自行識別和抵禦攻擊的支援和更新方法
ICS環境是由多家供應商所製作數百個不同類型的多代產品組合而成，這些產品會使用不同的通訊協定進行通訊。這些硬體平台彼此並不相容，均使用其自訂的韌體和軟體。即使是純軟體解決方案也僅相容於極為老舊的作業系統，而且許多都是不再支援的作業系統。即使系統使用仍可獲得修補程式的作業系統，ICS人員仍會因為擔心執行修補程式會導致停機而始終不願意安裝修補程式，且他們的擔心並非空穴來風。
因此，為了讓ICS可以在零任信模式中「安全」存在，ICS資產必須變成和一般IT資產一樣具有自我維護的能力。讓我們來看一下，實現此一目標所需平台與控制系統技術的所有變化：
- 零信任會將位元從1立即翻轉為0。
- ICS裝置目前信任可以和其進行通訊的任何資產。這些裝置無法辨識使用者、裝置、位置，或資產正在和其進行通訊的理由，或是正在存取哪些物件。這些裝置無法從他們這端辨識連線的起始時間。
- 大部分的ICS裝置沒有操作的驗證機制，或是規則、記錄或系統管理。
- 這些裝置無法偵測是否遭到攻擊，或是有什麼正嘗試以不正常的方式與其進行通訊。
- 沒有任何行為技術可以辨識前所未見的行為，或是分析多個動作的後果。
- 更遑論所需的文化轉變。
例如，即使ICS裝置需要使用常見的使用者名稱/密碼模式進行驗證，該裝置也會配置最簡單的認證、與所有人共用，以及永久維持登入狀態。從工廠人員所需的技術和技巧，到資安文化與監測和系統管理，關於ICS的一切都將有所改變。另外，在做出改變的同時，不會對生產造成任何影響！
IDMZ的挑戰
並非所有公司都已經為投資IDMZ做好準備，這會構成設計上的挑戰，而且難以和現有的OT和IT網路系統整合。若要設計和實作IDMZ，必須對下列領域有專家程度的了解：
- 網路安全
- 防火牆平台和ACL
- 虛擬伺服器技術
- 系統強化
- 應用程式安全
- 網域功能和資訊安全
- 保護資料和檔案傳輸的方法
- 安全遠端存取的方法
- 族繁不及備載…
若要進一步因應挑戰，IDMZ必須由在這些方面具有相同程度知識的團隊提供支援，才能維護基礎架構、核准網路變更，以及回應資安威脅。
雖然實現IDMZ這條道路並不容易，成本也不低廉，但這種解決方案是否適合您的狀況值得評估。IDMZ的相關成本是否低於保護的資產成本？如果IDMZ可以保護您的整體ICS，將會是非常有利的投資。考慮到ICS環境極為容易遭到攻擊，而對其威脅卻日益增加，在缺乏安全防護的世界，IDMZ實際上是您ICS唯一立即可用的完整防護。
工業控制系統尚未成熟，理所當然無法承受缺乏防護網的資安風險，所以我們強烈建議您採取縱深防禦的方式。不過，在這些裝置可以保護自己，並且可以和外部防護系統進行互動之前，IDMZ仍是工業控制系統的最佳防護。目前還是必須保留IDMZ所強化的「內部防護」。
深入瞭解洛克威爾自動化可以如何協助您建立和維護屬於網路安全縱深防禦方法的IDMZ。
