OT和工業物聯網中的網路安全標準

作者 : John Moor,物聯網安全性基金會(IoT Security Foundation)常務董事

操作科技(OT)和工業控制系統(ICS)的網路安全性大大落後於企業資訊科技(IT)的網路安全性,這樣說毫不為過。隨著工業物聯網(IIoT)的發展,這一差距必須縮小…

操作科技(OT)和工業控制系統(ICS)的網路安全性大大落後於企業資訊科技(IT)的網路安全性,這樣說毫不為過。隨著工業物聯網(IIoT)的發展,這一差距必須縮小,不僅要對製造過程的安全進行防護,還要保護能源、健康和運輸等關鍵基礎設施。

隨著連接數的增加,越來越多的設備接入到網路,以實現遠端監控、軟體更新、更好的資料分析,以及系統自動化,攻擊面隨之大大增加,保護網路免受攻擊成為企業當務之急。這些攻擊不只是針對關鍵的基礎架構(例如2013/14俄羅斯駭客組織「Dragonfly」攻擊),而是可能發生在所有系統中(例如由WannaCry演變的惡意軟體導致台積電2018年停工事件)。

據Verizon發佈的最新資料洩露調查報告顯示,僅就製造業而言,過去一年中就有200多次間諜型安全攻擊,以及700多次經濟型攻擊。

產業標準的制定、認可和認證對於保護此類系統發揮著重要作用。

IIoT的演進

OT的網路安全性之所以落後,很大程度是因為許多傳統的系統都是為非連網的世界而創建。儘管攻擊事件早在80年代就時有發生(例如1982年CIA對蘇聯天然氣基礎設施攻擊的報導),但那時的攻擊機會要少一些,且駭客入侵更困難。

實際上,直到世紀之交乙太網路出現以後,OT系統才廣泛連接起來。也就是說,目前使用的許多元件並未針對TCP/IP連接應用設計,也未針對工業電子設備的某些通訊協議(例如Modbus)進行設計。

此外,許多擁有此類系統的組織希望從孤立的OT模型轉變為互連的IT甚至IIoT模型,從而更有效地使用資料。如果使用傳統的舊設備,將資料從工廠的一端傳到另一端時,必須打開防火牆埠和針孔,這樣會增加被攻擊的可能。

從本質上講,OT系統是分層的,安全標準通常符合Purdue模型。在Purdue模型中,網路分為不同的功能層:從第0層(感測器和致動器),往上通過OT環境,到最高的第5層,即公司的企業IT網路。資料流程經這些層,ICS將根據工廠資料和業務的具體情況來調整性能或設定交貨時間表。

 

圖1:Purdue模型。

(來源:IoT Security Foundation)

 

Purdue模型也適合IIoT設備。可以說每個物聯網裝置都是一個現成的Purdue模型,包含一個感測器和一個處理器,並且連接到企業網路。但是,對於遠端監控設備 (如智慧城市中使用的設備),系統不只是連接到企業網路,還可以直接連接到雲端(第6層),因而更容易受到來自網際網路的攻擊。

安全標準和法規準則

網際網路對我們的經濟和社會生活越來越重要,整個價值鏈中不斷出現創新,因此需要制定標準和法規來保護所有參與者免受惡意攻擊。

在預定義M2M模型中,系統是由一家(或很少幾家)供應商提供的已知設備構成,每個設備都可以信任。這種舊模型意味著專有協議只能專門針對某一家供應商實施,例如,ABB或Honeywell,它們各不相同,甚至互相矛盾。不過,現在我們身處的世界已經發生了變化。

變化是因為使用了IIoT系統。設備來自多家供應商,感測器也遠端連接到LoRa或5G等廣域網路(WAN),因此需要為整個生態系統制定標準。

然而,可選的標準太多是個大問題,面對如此眾多的標準制定機構,難怪TÜV Reinland《2019年網路安全趨勢》報告發出警告:「IIoT面臨標準的巨大挑戰」。

值得一提的是,標準包括美國國家標準暨技術研究院(NIST)的通用標準SP 800-82和ISA/IEC 62443,以及由政府機構制定的一些特定產業標準和指南。還有由ABB、奇異(GE)和西門子(Siemens)等大廠提供的特定供應商標準。

還要注意的是,沒有哪一種標準從感測器到雲端全都適用。另外,標準之間通常存在一些衝突和矛盾,導致不相容和/或不合規。但這種情形在OT/IIoT領域變得越來越少見,我們通常會看到標準的融合。現在,甚至連供應商的協議都引用了其他標準,例如SP 800-82,特別是ISA/IEC 62443。

SP 800-82

SP 800-82由NIST在15年前發佈,是ICS和監督控制與資料擷取(SCADA)系統的網路安全標準。

它專門解決ICS安全威脅和漏洞,涉及風險管理、推薦方法、體系架構和工具。每次更新後,例如為重要性分別是低、中、高的ICS設備添加量身訂做的安全基準,標準會變得更全面。

NIST也在著手解決中等規模的公司對ICS安全性的擔憂,開始增加用於機器人、智慧運輸和化學處理的測試設備。

ISA/IEC 62443

ISA/IEC 62443可能是最重要的ICS網路安全標準,不僅適用於供應商,也適用於ICS使用者。

與SP 800-82標準相比,這些規範更專注於工業控制應用。它們提供了一個靈活的框架,防止當前和未來的工業自動化和控制系統出現安全性漏洞。

與SP 800-82一樣,這些規範旨在防止對公眾和員工造成危害、喪失公信力、違反法規要求、IP盜竊、經濟損失和國家安全攻擊,已成為許多特定產業標準的基礎。

與Purdue模型一樣,它們也是分層的,共分為四層:常規、策略和過程、系統及元件。這些標準目前尚未全部發佈,特別值得一提的有四個:62443-2-4 (系統整合策略)、62443-4-1 (安全開發生命週期要求)、62443-4-2 (元件安全規範)、62443-3-3 (安全性要求和等級)。

這些標準十分詳細,涵蓋整個工業控制領域,並且描述了每一層的安全要求,包括保護正常運作、智慧財產權和安全性,同時對IIoT生態系統中的每個參與者都有明確的要求。現在,各供應商指南和特定產業標準(能源產生)通常基於62443,並翻譯了相關部分以適合該產業的語言和協議。

聯合國歐洲經濟委員會網路安全通用監管框架已整合ISA/IEC 62443,且美國的NIST SP 800-82也與它保持一致。

值得注意的是,該標準因收費昂貴而受到批評,這可能會阻止或減緩其應用速度。

產業特定標準

如前所述,許多產業特定標準都是用來保護關鍵基礎設施的,例如電網。美國能源部(United States Department of Energy)與美國國土安全部(DHS)網路安全和基礎設施安全局(CISA)合作開發了基於ISA/IEC 62443的標準。為了最有效地使用這些標準,該組織以圖表形式提出了建議。

這些標準也符合英國國家網路安全中心(U.K. National Cyber Security Center)開發的能源基礎設施指南。

標準內容經常重複,而且還需要進一步的解釋和實現。如何確保每個人都以同樣的方式解釋這些標準,以及如何衡量合規程度?當每個感測器和每個控制系統不同時,則可使用認證系統。

現在政府規定關鍵基礎架構必須滿足一定等級的安全性,安全攻擊通常集中在薄弱點。購買IIoT設備時,務必詢問供應商是否對設備進行了充分的滲透測試,以及能否像其他供應商一樣滿足所有要求。

以能源為例,如何確保接入網路的所有智慧電錶都可以信任?我們必須建立信任,然後透過這些通用標準來實現。

其中一部分正在發生變化,美國國防部(DoD)於2020年宣佈了「網路安全成熟度模型認證」(Cybersecurity Maturity Model Certification)計畫。

網路安全曾是採購環節的第四大要素(其他三大要素是成本、進程和績效),現在已逐漸成為採購的基礎。此外,現在還要求協力廠商評估。

但是成本與安全性是互相衝突的,若要對這些系統進行全面認證,成本極高。再加上缺乏認證機構,就很容易理解為什麼許多產業現在仍在使用自我認證。

由於不存在一種「萬能」的方法,所以各組織仍然必須根據具體情況來制定標準。很重要的一點是,這些組織需要擁有足夠的專家,從營運和策略上確定自身情況,然後進行最好的實踐。但是,目前專業人才嚴重缺乏。

零信任朝IIoT、雲端和邊緣運算發展

基礎架構的管理方式已發生了巨大變化。現在,感測器遠端安裝並透過WAN回傳資訊,在這種情況下,隔離其中一些功能(包括控制和分析功能)會變得更加困難。

在COVID-19疫情下,需要為在家上班的人們提供遠端接入監控系統,增強安全性的要求變得更加迫切。因此,需要在ISA/IEC 62443和NIST SP 800-82之外制定新的標準,更好地應用於IIoT,以及在工業環境中導入雲端和邊緣運算的情況。

從歷史來看,OT安全源於絕對信任,而這又建立在假設網路可以信任的基礎上。系統不再由某一個供應商提供,不同供應商提供的IIoT設備數量越來越多,依靠絕對信任已經不夠。我們需要「零信任」(zero trust)網路,在這種網路中,設備關係和安全狀態可以信任,設備抵抗不可信環境的能力更強。實際上,這是物聯網安全性基金會(IoT Security Foundation)智慧建築工作小組的重心。

IT正朝著這個方向發展,IIoT世界也應如此。確實,供應商和標準組織一直關注著設備的自動部署,例如,英特爾(Intel)已向FIDO (Fast IDentity Online)聯盟提交了「安全設備啟用」(Secure Device Onboarding)方案。

在現實世界中(如智慧城市部署),這意味著未來的感測器可以隨插即用,設備知道在與基礎設施的其他部分建立信任關係時要跟誰聯繫。

邊緣運算和人工智慧(AI)的部署將加速其發展,感測器、致動器和控制系統將變得更加智慧:在收集資料時,它們還可以檢查資料的有效性。

安全可靠的晶片、軟體和基於雲端的管理系統,它們之間的通訊也必須安全和可信,才能得到強健的基礎設施。但是,這也意味著必須建立標準和認證。

隨著連線性的不斷增加,意味著安全性漏洞越來越多,防火牆並不是有效的解決方案。防火牆會導致人們產生錯誤的安全感,實際上它並不能真正保護關鍵系統。在我們身處的世界,所有人都可以發揮作用,確保連接安全。人們希望IIoT系統更加智慧,但請謹記:「如果不安全,那就不智慧」。

(參考原文:Cybersecurity Standards in OT and Industrial IoT,by John Moor)

本文同步刊登於EDN Taiwan 2021年3月號雜誌

 

 

 

 

 

 

 

加入LINE@,最新消息一手掌握!

發表評論