【編者按】數(shù)字化轉(zhuǎn)型背景下，IT與OT的融合早已不是一個新鮮的話題，但卻仍然是一個永恒的話題。工業(yè)網(wǎng)絡(luò)安全的范式轉(zhuǎn)變也在期盼IT安全與OT安全的融合，二者各為其主、自說自話的現(xiàn)狀并不鮮見。原因就在于IT和OT之間的鴻溝是根深蒂固的。IT代表了敏捷性、可伸縮性和弱實時性，而OT則會優(yōu)先考慮實時性、確定性、牢不可摧的功能安全性/可用性。二者在人員、技術(shù)、流程、文化上的差異，何日、如何才能得以彌合，仍然步履維艱。

　　思科近日發(fā)布的博文中稱，在他們與世界各地的制造商和關(guān)鍵基礎(chǔ)設(shè)施供應(yīng)商的合作中，看到OT和IT團(tuán)隊經(jīng)常存在偏見，從而影響了合作。在這篇博客中解釋這些誤解以及如何克服它們以保護(hù)工業(yè)網(wǎng)絡(luò)。在成功的婚姻中，雙方都知道對方需要什么，也知道對方不能容忍什么。工業(yè)網(wǎng)絡(luò)安全需要同樣類型的伙伴關(guān)系，在這種情況下是在操作技術(shù)（OT）和信息技術(shù)（IT）團(tuán)隊之間。IT提供了網(wǎng)絡(luò)安全工具和技能。OT可以讓你了解每一項資產(chǎn)，它對業(yè)務(wù)的影響，以及何時可以在不影響安全或生產(chǎn)的情況下撤除資產(chǎn)。任何一個團(tuán)隊都不能單獨取得成功。

　　IT與OT的差異

　　IT是任何組織的技術(shù)支柱。它對于監(jiān)控、管理和保護(hù)核心功能（如電子郵件、財務(wù)、人力資源（HR）和數(shù)據(jù)中心和云中的其他應(yīng)用程序）是必要的。

　　OT用于連接、監(jiān)視、管理和保護(hù)組織的工業(yè)操作。從事制造業(yè)、礦業(yè)、石油和天然氣、公用事業(yè)和運輸?shù)然顒拥钠髽I(yè)嚴(yán)重依賴OT。機(jī)器人、工業(yè)控制系統(tǒng)（ICS）、監(jiān)控控制和數(shù)據(jù)采集（SCADA）系統(tǒng)、可編程邏輯控制器（PLC）和計算機(jī)數(shù)控（CNC）都是OT的例子。

　　倉庫和停車場、高速公路等戶外區(qū)域也可以使用操作技術(shù)。這類OT的例子包括自動取款機(jī)和電話亭、連接的公共汽車、火車和服務(wù)車隊、氣象站，或者允許城市管理電動汽車充電器的系統(tǒng)。

　　IT和OT之間的關(guān)鍵區(qū)別是IT集中于組織的前端信息活動，而OT集中于他們的后端生產(chǎn)（機(jī)器）。

　　IT主要專注于使數(shù)據(jù)可用，而OT則專注于使機(jī)器影響物理世界。機(jī)器還可以生成數(shù)據(jù)，這些數(shù)據(jù)將需要存檔，以監(jiān)控工業(yè)過程，并進(jìn)行處理，以幫助操作人員做出決策，如預(yù)測性維護(hù)。

　　OT偏見：網(wǎng)絡(luò)安全只是另一項工程任務(wù)

　　對于OT團(tuán)隊來說，網(wǎng)絡(luò)安全是一個相對較新的問題，他們可能會將其視為“另一個約束”。工業(yè)控制系統(tǒng)（ICS）工程師多年來一直在研究復(fù)雜的過程控制?？梢岳斫獾氖牵麄儍A向于認(rèn)為網(wǎng)絡(luò)安全只是另外一個問題。在他們看來，OT網(wǎng)絡(luò)安全可以在設(shè)計工業(yè)項目時盡早添加，并以與功能安全或可靠性相同的方式進(jìn)行管理。

　　他們沒有錯，但他們需要意識到重要的差異。例如，在電氣系統(tǒng)設(shè)計可以持續(xù)數(shù)十年的地方，新的網(wǎng)絡(luò)威脅每天都會冒出來。攻擊者有動機(jī)（金錢）和機(jī)會（不斷增長的戰(zhàn)術(shù)和軟件）來發(fā)現(xiàn)和利用工業(yè)網(wǎng)絡(luò)中的最薄弱環(huán)節(jié)。網(wǎng)絡(luò)安全需要不斷改進(jìn)以應(yīng)對快速變化的態(tài)勢。

　　對OT團(tuán)隊的建議

　　在設(shè)計新的生產(chǎn)基礎(chǔ)設(shè)施時，在設(shè)計階段的早期就需要與IT同事中進(jìn)行反復(fù)溝通。解釋可能存在的任何限制，如正常運行時間要求，并詢問他們的網(wǎng)絡(luò)安全建議。一起工作，使您的OT系統(tǒng)保證“設(shè)計上的安全”。

　　要求IT部門定期評估工作站硬件和軟件的漏洞。Wannacry勒索軟件攻擊的目標(biāo)是運行2001年推出的Windows XP操作系統(tǒng)的工作站。有幾十年歷史的控制系統(tǒng)設(shè)計可能仍然有用，舊的計算機(jī)系統(tǒng)需要現(xiàn)代的安全保護(hù)。

　　至于安全與可靠性工程，需要在技能、人員和流程上進(jìn)行投入。提前做好網(wǎng)絡(luò)安全規(guī)劃，而不是事后諸葛亮。培訓(xùn)每一位ICS工程師是重中之重。定期評估和糾正風(fēng)險。

　　及時了解新的威脅。犯罪組織從不缺乏思想。密切關(guān)注新的攻擊戰(zhàn)術(shù)和技術(shù)將幫助設(shè)計更強(qiáng)大的OT流程和系統(tǒng)。

　　IT偏見：IT安全實踐“復(fù)制粘貼”到OT系統(tǒng)

　　IT團(tuán)隊可能認(rèn)為，他們可以將用于電子郵件等企業(yè)應(yīng)用程序的安全實踐應(yīng)用于OT系統(tǒng)。他們還傾向于讓IT成為OT系統(tǒng)的唯一管理員，以降低憑證被盜或配置更改的風(fēng)險，這些更改可能會引入漏洞。

　　這兩種偏見都會造成大問題，需要修補(bǔ)。雖然大多數(shù)IT系統(tǒng)可以短暫地關(guān)閉以進(jìn)行安全補(bǔ)丁的修復(fù)，但許多OT系統(tǒng)則不能。OT系統(tǒng)是每天24小時，每周7天生產(chǎn)商品和服務(wù)。一個在1300°C的爐子不能因為控制器補(bǔ)丁而停止。

　　將管理權(quán)限限制給IT也是不可能的。ICS工程師負(fù)責(zé)生產(chǎn)和工人的安全。如果出了什么問題，他們會在凌晨兩點接到電話。負(fù)責(zé)為數(shù)十萬人輸送電力的運營商不能等待IT管理員更改設(shè)置。

　　與IT環(huán)境不同，IT環(huán)境通常只有很少的軟件和硬件供應(yīng)商，工業(yè)網(wǎng)絡(luò)通常連接來自數(shù)百家供應(yīng)商的解決方案——包括由當(dāng)?shù)毓鹃_發(fā)的可能是運行工業(yè)流程關(guān)鍵的利基產(chǎn)品。這種多樣性使傳統(tǒng)的IT安全程序（如補(bǔ)丁和漏洞管理）復(fù)雜化。

　　對IT團(tuán)隊的建議

　　給OT團(tuán)隊提供工具來發(fā)現(xiàn)連接到網(wǎng)絡(luò)上的所有東西，即應(yīng)確保足夠的資產(chǎn)可見性。如果你不了解它，你就無法保護(hù)它。在OT環(huán)境中，資產(chǎn)管理可能很復(fù)雜，因為資產(chǎn)種類繁多——有些位于難以到達(dá)的位置。思科Cyber Vision的庫存更簡單，自動發(fā)現(xiàn)每一個連接OT資產(chǎn)，提供您的安全態(tài)勢的準(zhǔn)確視圖。

　　記住，加時賽球隊能承受的風(fēng)險非常小。他們的系統(tǒng)對底線和工人的安全有直接的影響，OT團(tuán)隊最終要負(fù)責(zé)。在計劃網(wǎng)絡(luò)安全改革時，要讓所有受影響的人都參與進(jìn)來。

　　適應(yīng)OT系統(tǒng)和企業(yè)文化。例如，在某些情況下，停止受感染進(jìn)程的成本可能超過入侵的成本。在保護(hù)安全和業(yè)務(wù)連續(xù)性的同時管理安全風(fēng)險，需要IT和OT之間建立強(qiáng)有力的伙伴關(guān)系。

　　未來之路

　　就像婚姻一樣，工業(yè)網(wǎng)絡(luò)安全需要IT和OT的理解和合作。將OT安全視為一個變更管理過程，鼓勵每個部門接受對方的觀點。從認(rèn)識到自己的偏見開始，這樣你就可以成為一個很好的合作伙伴，以達(dá)到共同的目標(biāo)——對關(guān)鍵操作提供更強(qiáng)的保護(hù)。