确保重要的物联网网络安全

坦率地说，我屏幕上的视图令人恐惧。 我可以清楚地看到主要机场的运营技术（OT）网络上的设备，并且可以看到它们所报告的数据。 在一个屏幕上是喷射桥的控件，在另一个屏幕上是跑道灯，在另一个屏幕上，是即将进行的航班的乘客舱单，其中包含所有乘客的详细信息。 能够访问此网络的任何人都可以使用数据来窃取个人信息，他们可以找到攻击机场运营所必需的关系，并且可以看到控制整个设施中设备的实际设备。 换句话说，他们可以以最小的努力关闭机场。

Cyber​​bit市场营销副总裁Sharon Rosenman先生向我展示了他公司的SCADAShield Mobile设备的功能，并正在使用真实的机场来进行此操作（不，我不会告诉您它是哪个机场）。 他的公司被雇用来帮助机场运营商查找并修复其漏洞。

SCADAShield Mobile设备是一种手提箱大小的便携式OT分析仪，旨在查看整个OT网络是否存在攻击迹象，并发现对于网络管理员而言可能不是显而易见的漏洞。 Rosenman说，该设备了解在此类网络上可以找到的所有网络协议，并且能够使用这些协议分析流量。

（图片来源：Statista）

OT网络与安全性

OT网络是为监督控制和数据采集（SCADA）设备提供通信的网络。 从制造和过程控制到显示我的机场数据的相同单元，此类设备广泛用于所有方面。 他们处理的数据可能相差很大，从显示留言板上的航班到控制交通灯的城市中的计算机，应有尽有。 它是物联网（IoT）设备的主要网络。

关于许多OT网络的一个不幸事实是它们几乎没有安全性。 更糟糕的是，它们几乎总是与组织的IT网络互连，这是您习惯于每天与之打交道的网络，而该网络正日益受到复杂恶意软件和黑客的威胁。

罗森曼说：“许多管理员没有意识到IT和OT网络是相连的。” 此外，IT和OT网络的管理员通常不是同一个人。 这可能是OT网络安全性较低的原因之一。 另一个是网络管理员的动机是不同的。 根据Rosenman的说法，OT网络管理员必须保持其网络运行，因为即使是短暂的停机也会对生产造成极大的负面影响。

Rosenman说：“ OT网络通常不打补丁。” 他说：“ OT网络通常不加密，管理员甚至可能不知道其网络中正在运行什么。” 此外，文件传输协议（FTP）操作通常以纯文本格式进行，从而使攻击者可以获得他们需要的所有凭据。

OT网络和修补

更复杂的是，OT网络上的大多数流量实际上都 来自 组织的IT网络。 这部分是因为OT网络经常没有从IT网络中分割出来，部分是因为许多SCADA和IoT设备使用了IT网络协议，这意味着它们需要在IT网络上看到。

缺乏安全性的部分原因是管理员不愿意在修补网络设备时冒停机风险。 但是，由于许多此类设备根本无法修补，因此事实变得更加复杂，因为即使他们的制造商安装了操作系统（OS），他们仍然忽略了实施任何应用更新的方法。 医疗设备在这方面是一个显着的犯罪者。

罗森曼说，人们还认为，未连接到互联网的系统可以防止黑客入侵。 但是他指出，事实并非如此，正如Stuxnet期间所展示的那样，当时美国/以色列联合行动成功入侵并摧毁了伊朗的铀离心机。 他还指出，实际上不存在这些气隙，这是因为工人要么找到了周围的方法来简化自己的工作，要么是因为糟糕的网络设计使他们根本就不存在。

Rosenman说，由于缺乏对SCADA设备，物联网和OT网络的可见性，因此很难确保它们的安全，这就是Cyber​​bit制造SCADAShield Mobile设备（主要用于计算机应急响应小组（CERT））的原因。 和其他第一响应者，尤其是在关键基础架构领域。 SCADAShield Mobile是便携式设备，还有一个固定版本可以永久安装在易受攻击的网络中。

风险与后果

OT网络中缺乏安全性会带来非常实际的后果，并且风险巨大。 正是由于SCADA系统上的这种安全漏洞和缺乏细分的情况，才使Target违规事件在2013年发生，从那以后几乎没有发生任何改进。

同时，位于圣彼得堡的互联网研究机构（IRA）的俄罗斯人正例行入侵美国电网中的控制系统，他们入侵了至少一个核电站的控制系统，而且人数众多。美国制造商的工业控制系统。 这些相同的系统容易受到勒索软件供应商的攻击，并且其中一些系统已经受到攻击。

我将OT网络的安全问题归类为“故意”，因为这些网络大体上都是由IT专业人员管理的，任何合格的管理员都应意识到将不受保护且未打补丁的设备连接到面向Internet的IT网络的危险。 未经检查，这些类型的安全漏洞将影响美国的关键基础设施，无论是私人的还是公共的，其结果可能会造成巨大的损失和破坏性。

• 美国，以色列制造的Stuxnet蠕虫，以阻止伊朗的核计划美国，以色列制造的Stuxnet蠕虫，以阻止伊朗的核计划
• 2019年最佳托管端点保护和安全软件2019年最佳托管端点保护和安全软件
• 2019年最佳企业勒索软件防护2019年最佳企业勒索软件防护

如果您想尽自己的一份努力来缓解这些问题，那么只要您的组织拥有OT网络（及其设备），只需将经过时间考验的IT安全协议应用于您的OT网络（及其设备）。 这意味着：

• 扫描漏洞。
• 对网络进行分段以将其数据流限制为仅需要其中的数据。
• 将修补程序更新应用于OT系统及其联网设备。
• 如果找到没有补丁机制的设备，请识别它们并开始用有此功能的设备替换它们的过程。

总的来说，这并不困难。 这很耗时，而且可能有点乏味。 但是，相比之下，如果您的OT网络遭受灾难性故障可能会发生的灾难，而随后的高级管理人员随后陷入困境，则后来发现该故障本来可以避免…那么，我每天都将花费大量时间和乏味的时间。