如何在复杂的信息物理系统中实施风险管理

数字化转型正在加速关键基础设施领域的发展，创造出比以往更多的网络物理连接。虽然这种连接具有巨大的好处，但它也大大扩大了网络犯罪分子利用潜在弱点的攻击面。

对网络物理系统 (CPS) 的攻击可能会破坏企业和更广泛的社会。例如，对用于控制电网、水处理厂、医疗保健服务甚至电信网络的 CPS 的攻击可能会对公共安全造成严重后果。

为了保护 CPS 免受这些威胁，组织需要能够识别漏洞，评估这些漏洞被利用时对其运营的潜在影响，并尽可能消除这些漏洞。

如果这些漏洞被利用，他们还需要做好充分的应对准备。简而言之，他们需要一个高质量的风险管理策略。但风险管理到底是什么呢？

组织的暴露程度取决于其 CPS 环境中易受攻击者攻击的漏洞或弱点的数量、严重程度和潜在影响。

随着组织因数字化转型而面临越来越大的攻击面，跟踪其环境中的众多漏洞变得越来越困难。这些漏洞中的每一个都为攻击者的未经授权的访问、基本服务的中断或其他有害行为提供了切入点。

因此，组织必须采取主动的风险管理政策，在潜在漏洞和风险被利用之前对其进行识别、评估和缓解。

风险管理的主要目的是通过识别关键环境中的漏洞来减少组织的暴露或攻击面，从而降低被利用的风险。

如果没有风险管理，组织几乎不可能保持强大的网络安全态势、保护关键系统、遵守法规并减轻网络威胁的潜在影响。 

风险管理的主要挑战

CPS 资产通常依赖于专有协议，这使得 IT 安全工具无法访问它们。由于缺乏资产数据，组织将面临严重的背景差距，从而阻碍优先排序和补救决策。

此外，为 IT 开发的传统安全解决方案往往根据通用漏洞评分系统 (CVSS) 对漏洞进行优先排序，该系统仅基于漏洞的严重性，而不是漏洞被利用的可能性。

严重性并不总是与漏洞被利用的可能性相关，因此，后者是决定如何分配稀缺网络安全资源的更好方法。

除了这些挑战之外，修补 CPS 系统通常非常困难，因为这些环境往往对停机时间的容忍度很低甚至为零，因为它们支持关键的生产流程。这就要求将所有维护活动都塞进罕见且非常有限的预先分配的时间段内。 

遵守各种行业法规和标准为风险管理增加了额外的复杂性。遵守通常很复杂且经常更新的特定要求可能是一项艰巨的任务。更具挑战性的是，不遵守法规可能会导致法律和监管后果，以及网络威胁风险增加。  

成功的风险管理策略和最佳实践

解决这些问题并成功实施风险管理策略需要采取多管齐下的方法。

第一步应该始终是资产发现：收集连接到网络的每项资产的全面详细信息，包括品牌、型号、IP 地址和位置。

如果没有全方位的资产可见性，就不可能实施有效的网络安全控制（包括 CPS 漏洞管理）。有可用的工具可以自动执行此过程并省去繁重的工作。 

一旦发现所有资产，就可以通过与常见漏洞和暴露 (CVE) 列表进行交叉检查来识别每个资产中的漏洞。这使组织能够根据漏洞被利用的可能性以及发生攻击时对运营和业务可能产生的影响，对不同的漏洞进行优先缓解。 

还有一个问题：在大型安装中，漏洞的识别和缓解可能会带来巨大的管理挑战。如果 CPS 暴露管理能够与现有的 IT 漏洞系统集成，克服这一挑战将变得容易得多。

良好的 CPS 网络安全平台可以提供此功能，并与配置管理数据库 (CMDB)、票务、编排和安全信息和事件管理 (SIEM) 工具集成。

随着威胁行为者不断增加攻击的规模和复杂性，对于任何规模的组织来说，将风险暴露管理集成到其安全工具箱中都变得越来越重要。

上述主动策略使组织能够在潜在风险和漏洞升级为重大问题之前解决它们，同时也提高了他们做出明智业务选择的能力，并增强了他们抵御网络威胁的能力。

原文始发于微信公众号（网络研究观）：如何在复杂的信息物理系统中实施风险管理