今日頭條
官方微信
官方抖音
資訊頻道
更高級別的信息安全
近期看到某大學(xué)遭受境外網(wǎng)絡(luò )攻擊調查報告的新聞，在工業(yè)4.0的今天，我們來(lái)聊聊工業(yè)信息安全。
生產(chǎn)設施中的安全事件
工業(yè)信息安全受到關(guān)注是2010年惡性蠕蟲(chóng)病毒Stuxnet在伊朗爆發(fā)，攻擊目標從常規的IT系統和網(wǎng)絡(luò )，轉變?yōu)楣I(yè)用的可編程邏輯控制器（PLC），這是首個(gè)專(zhuān)門(mén)以工業(yè)控制系統為攻擊目標，并能造成大規模真實(shí)物理?yè)p壞的新型病毒，打開(kāi)了虛擬空間癱毀物理世界的大門(mén)。伊朗的核設施遭受此病毒的打擊，導致1000多臺離心機癱瘓，伊朗的核計劃也延期數年，攻擊者比美國“戰斧”導彈更靈巧地取得了“戰果”。
隨著(zhù)物聯(lián)網(wǎng)解決方案中 IT 和 OT 的逐步融合，以前孤立的生產(chǎn)環(huán)境開(kāi)始互聯(lián)，封閉的制造系統逐步開(kāi)放，防止黑客攻擊不再局限于傳統 IT。尤其是在工業(yè)網(wǎng)絡(luò )安全方面，對工業(yè)公司的網(wǎng)絡(luò )攻擊呈指數級增長(cháng)，在工業(yè)生產(chǎn)中需要安全保護免受攻擊的主要是工廠(chǎng)設備?！白詣?dòng)化控制器經(jīng)常掛在網(wǎng)絡(luò )上，任何知道網(wǎng)絡(luò )地址（即 IP）的人都可以輕松操作，” Phoenix Contact的安全專(zhuān)家 Boris Waldeck 回顧道：“有 IP 搜索引擎可以讓我在網(wǎng)絡(luò )上找到可公開(kāi)訪(fǎng)問(wèn)的控制器?！?/span>
物聯(lián)網(wǎng)和工業(yè) 4.0 為犯罪活動(dòng)創(chuàng )造了新的動(dòng)機和入侵途徑，這種形式的犯罪有多種形式：工業(yè)間諜活動(dòng)、數據盜竊以及通過(guò)癱瘓產(chǎn)線(xiàn)來(lái)敲詐勒索等。
IEC 62443-工業(yè)網(wǎng)絡(luò )安全標準-提高信息安全水平
針對工業(yè)信息安全，目前公認的標準是IEC 62443系列標準，該標準系統地將工業(yè)信息安全這個(gè)龐大復雜的問(wèn)題，針對用戶(hù)、系統集成商和產(chǎn)品供應商的不同層次進(jìn)行分解，兼顧ISO 27001、IEC 62351等多個(gè)行業(yè)或地區標準形成了一個(gè)完備的標準體系。它橫向地從產(chǎn)品、系統、管理、技術(shù)、流程等多個(gè)角度提供了工業(yè)信息安全的指導，同時(shí)高屋建瓴地針對工業(yè)信息安全的諸多問(wèn)題提供了通用的應對策略，是現代工業(yè)信息安全標準的不二之選。
安全始于每一個(gè)控制
鑒于工業(yè)中日益增長(cháng)的威脅場(chǎng)景，使用本已安全的控制技術(shù)將極為有效。對于用戶(hù)而言，這不僅使整個(gè)系統更精簡(jiǎn)而且還節省了成本和時(shí)間。與一般的ISO/IEC標準不同的是，若想取得IEC 62443-4-2與IEC 62443-3-3的證書(shū)，必須先通過(guò)IEC 62443 -4-1的認證，也就是說(shuō)對產(chǎn)品供應商而言，必須先確保機構內產(chǎn)品開(kāi)發(fā)流程的安全，才能申請產(chǎn)品安全認證。
符合 IEC 62443-4-1 ML3 和 IEC 62443-4-2 SL2 的 TüV 認證網(wǎng)絡(luò )攻擊防護
Phoenix Contact是第一家獲得符合IEC 62443-4-1 ML3 Full Process Profile和IEC 62443-4-2 SL2的控制器 (PLC) 認證的公司，安全開(kāi)發(fā)生命周期已完全應用于開(kāi)發(fā) PLCnext 控制平臺。
AXC F 1152、AXC F 2152 和 AXC 3152 的 PLCnext Control 產(chǎn)品已通過(guò) TüV SüD 認證。通過(guò)激活安全配置文件，用戶(hù)可以訪(fǎng)問(wèn)更全面的安全級別2 (SL2) 功能，是自動(dòng)化行業(yè)市場(chǎng)上第一款具有 IEC 62443-4-2 SL2 認證的 PLC！
在開(kāi)發(fā)的早期階段就關(guān)注了所謂的“安全設計”，并應用了符合 IEC 62443-4-1 的安全開(kāi)發(fā)過(guò)程?！肮I(yè)自動(dòng)化系統的 IT 安全”標準系列的第 4-1 部分定義了安全開(kāi)發(fā)過(guò)程，重點(diǎn)是早在概念階段就識別和消除潛在的安全漏洞，這是我們達到成熟度級別3 (ML3) 的地方，它代表整個(gè)組織內流程的可重復性和可驗證性。其次是產(chǎn)品的功能范圍，我們的開(kāi)放式控制平臺是自動(dòng)化行業(yè)中第一個(gè)根據 IEC 62443-4-2 安全級別2 (SL2) 的要求集成安全“出廠(chǎng)”的平臺，SL3 也可以通過(guò)當前的 SL2 狀態(tài)來(lái)實(shí)現。對我們來(lái)說(shuō)，SL4級別沒(méi)有意義，因為我們想要一個(gè)集成安全的PLC，而不是一個(gè)可以做一點(diǎn)PLC的安全概念。
決定產(chǎn)品的安全強度--成熟等級(Maturity Level)與安全級別(Security Level)
IEC62443-4-1：安全的產(chǎn)品開(kāi)發(fā)生命周期要求
成熟度等級 | 類(lèi)別 | 描述 |
ML1 | Initial | 產(chǎn)品供應商通常以臨時(shí)且未記錄（或未完全記錄）的方式執行產(chǎn)品開(kāi)發(fā)，項目之間的一致性和流程的可重復性可能無(wú)法實(shí)現。 |
ML2 | Managed | 產(chǎn)品供應商有能力根據書(shū)面政策開(kāi)發(fā)產(chǎn)品（包括目標）。執行該過(guò)程的人員具有專(zhuān)業(yè)知識。 |
ML3 | Defined (Practiced) | 執行過(guò)一次以上ML2的服務(wù)流程，并可證明此服務(wù)對于服務(wù)提供商來(lái)說(shuō)是可重復的?？梢愿鶕霞s與資產(chǎn)擁有者的工作說(shuō)明文件，為各個(gè)項目量身定制個(gè)性化服務(wù)。 |
ML4 | Improved | 服務(wù)提供商使用適當的處理程序評估指標來(lái)確保服務(wù)有效性，并不斷改進(jìn)提升服務(wù)，例如，更好的處理效率或更高級別的系統安全。 |
IEC 62443-4-2：IACS 組件的技術(shù)安全要求
安全等級(Security Level) | 描述 |
SL1 | 可防護偶然或巧合侵犯的能力 |
SL2 | 防護使用簡(jiǎn)單手段、低資源、通用技能和低動(dòng)機的故意侵犯能力 |
SL3 | 防護使用一定資源、IACS 特定技能和中等動(dòng)機的復雜手段故意侵犯的能力 |
SL4 | 防護使用擴展資源、IACS 特定技能和高積極性的復雜手段故意侵犯的能力 |
此認證的客戶(hù)受益點(diǎn)
– 安全級別分類(lèi)和清晰描述的部署場(chǎng)景構成了可靠和整體安全解決方案的重要基礎。
– 借助預裝的安全配置文件，只需單擊一下即可獲得2級安全認證。
– 高級信息安全功能可實(shí)現IT和OT之間的最佳交互。
– 借助預裝的功能，更容易實(shí)施具有安全性的自動(dòng)化解方案，例如：防火墻、VPN 加密通信、用戶(hù)和軟件組件授權、日志記錄、備份和恢復，以及設備和更新管理。
– 在線(xiàn)的綜合安全信息中心，詳細解釋安全措施和使用案例。
– 借助 IEC 62443-4-2 組件要求合規性清單，快速識別系統相關(guān)的SL2安全功能。
– 出廠(chǎng)預裝的安全系統可以減少對額外昂貴安全系統的需求，并簡(jiǎn)化整體系統設計。
– 與其他根據360度安全概念開(kāi)發(fā)的菲尼克斯電氣產(chǎn)品具有良好的交互性。
結語(yǔ)
如今，OT 系統的安全性已不再局限于關(guān)鍵基礎設施的運行。因此，未來(lái)網(wǎng)絡(luò )安全將不再是大公司獨有的問(wèn)題，也會(huì )影響到中小型企業(yè)。出廠(chǎng)時(shí)已經(jīng)符合安全標準并經(jīng)過(guò)認證的系統使實(shí)施變得容易 - 并且系統更加安全。
北京市公安局海淀分局備案號：11010802023656號