​《OT网络安全指南》草案推出-NIST SP 800-82第三版修订：从ICS扩展到OT

admin
admin
admin
101411
文章
87
评论
2022年5月4日20:36:02评论65 views字数 3476阅读11分35秒阅读模式
美国国家标准与技术研究院 (NIST)当地时间4月26日发布了NIST SP 800-82和3 版的一份初步公开草案，该草案指导如何提高运营技术(OT) 系统的安全性，同时满足其性能、可靠性和安全要求。更新后的NIST SP 800-82文档提供了OT和典型系统拓扑的概述，识别了OT支持的组织使命和业务功能的典型威胁，描述了OT中的典型漏洞，并提供了推荐的安全保护措施和应对措施来管理相关风险。
​《OT网络安全指南》草案推出-NIST SP 800-82第三版修订：从ICS扩展到OT
本次修订中的更新还包括：
范围从ICS扩展到OT
对OT威胁和漏洞的更新
对OT风险管理、推荐做法和架构的更新
对当前OT安全活动的更新
OT安全功能和工具的更新
与其他OT安全标准和指南保持一致，包括网络安全框架 (CSF)
NIST SP 800-53第5版安全控制的新定制指南
NIST SP 800-53, Rev. 5安全控制的OT覆盖，为低影响、中等影响和高影响 OT 系统提供量身定制的安全控制基线。
NIST SP 800-82文档更新包括从工业控制系统 (ICS) 到OT的范围扩展，对OT威胁和漏洞的更新，以及对OT风险管理、推荐实践和架构的更新。它还提供对当前OT安全活动的更新，以及对OT安全功能和工具的更新。NIST对该文档进行公开征求意见，截止日期为7月1日，在准备和提交意见建议时使用评论模板。
该文件草案与其他OT安全标准和指南保持一致，包括网络安全框架和NIST SP 800-53第 5修订版安全控制的新定制指南。它还为 NIST SP 800-53第5版安全控制提供OT覆盖，为低、中和高影响OT系统提供量身定制的安全控制基线。
OT涵盖了与物理环境交互或管理与物理环境交互的各种可编程系统和设备。这些系统和设备通过监视和/或控制设备、过程和事件来检测或导致直接变化。OT系统还包括控制组件的组合，例如电气、机械、液压和气动，它们共同作用以实现制造、物质运输或能源等目标。 
NIST SP 800-82草案文件还概述了几种类型的标准OT系统，包括监控和数据采集 (SCADA)、分布式控制系统 (DCS)、可编程逻辑控制器 (PLC)、楼宇自动化系统 (BAS) 、物理访问控制系统 (PACS) 和工业物联网 (IIoT)。 
虽然NIST草案文件的目标受众多种多样，但它包括设计或实施OT系统的控制工程师、集成商和架构师、开发将作为OT系统一部分部署的产品的供应商、工程师、系统管理员和其他信息管理、修补或保护OT系统的技术 (IT) 专业人员。它还涵盖对OT系统进行安全评估和渗透测试的安全顾问、负责OT系统的经理、在证明和申请OT 网络安全计划时需要更好地了解OT系统风险的高级管理人员，以及研究人员和分析师正在尝试了解OT系统的独特安全需求。
根据NIST SP 800-82文件，OT具有许多不同于传统IT系统的特征，包括不同的风险和优先级。其中一些包括对人类生命健康和安全的重大风险、对环境的严重破坏以及生产损失等财务问题。OT具有不同的性能和可靠性要求，并使用在典型IT网络环境中可能非常规的操作系统和应用程序。此外，必须实施安全保护以在正常操作和网络攻击期间保持系统完整性。
NIST SP 800-82文件称，OT对于美国16个关键基础设施部门的运营至关重要，这些部门通常是高度互连和相互依赖的系统。虽然联邦机构运营着许多关键基础设施，但许多其他机构是私人拥有和运营的。由于相互依赖，关键基础设施通常被称为“系统之系统”各个工业部门之间以及商业伙伴之间的相互联系。关键基础设施在物理上和通过大量信息和通信技术以复杂的方式高度互连和相互依赖。因此，一个基础设施中的事件可以通过级联和升级故障直接或间接地影响其他基础设施。
该文件还称，最初，OT系统与IT系统几乎没有相似之处，因为OT是使用专用硬件和软件运行专有控制协议的隔离系统。然而，它还发现，广泛可用的低成本以太网、互联网协议 (IP) 和无线设备现在正在取代旧的专有技术，这增加了网络安全漏洞和事件的可能性。 
该文件指出，随着OT继续采用IT技术来提升企业连接和远程访问能力，例如使用行业标准的计算机、操作系统和网络协议，OT系统和设备越来越类似于IT系统。“这种集成支持新的IT功能，但与以前的系统相比，它为OT 提供的与外界的隔离要少得多，因此更需要保护它们。虽然安全解决方案旨在处理典型IT 系统中的这些问题，但在将这些相同的解决方案引入OT环境时必须采取特殊的预防措施。在某些情况下，需要针对OT环境量身定制的新安全解决方案，”NIST SP 800-82 文件补充道。
NIST SP 800-82文件还分析了OT系统可能面临的可能事件，包括通过OT网络的信息流受阻或延迟，这可能会破坏OT操作。它还解决了对指令、命令或警报阈值的未经授权的更改，这些更改可能会损坏、禁用或关闭设备，造成环境影响和/或危及人类生命。最后，它还包括发送给系统操作员的不准确信息，以掩盖未经授权的更改或导致操作员启动不适当的操作，这可能会产生各种负面影响。 
此外，文件草案称，修改过的OT软件或配置设置，或感染恶意软件的OT软件，可能会产生各种负面影响。它还包括干扰设备保护系统的运行，这可能危及昂贵且难以更换的设备，以及干扰安全系统的运行，这可能危及人的生命。
NIST文件称，OT实施的主要安全目标应限制对OT网络、网络活动和系统的逻辑访问，规范未经授权的数据修改，并限制对OT网络和设备的物理访问。它还必须保护单个OT组件免遭利用、检测安全事件和事故、在不利条件下保持功能，并制定一个可以在事件发生后快速恢复的良好安全程序。
在考虑OT的安全性时，一些特殊的考虑因素包括及时性和性能要求、可用性要求、风险管理要求、物理影响、系统操作、资源限制、通信、变更管理、托管支持以及组件生命周期和位置。 
NIST SP 800-82文件称，组织需要开发和部署OT网络安全计划，以减轻其OT系统的网络安全风险。它应该与现有的IT网络安全计划和实践保持一致并集成，并考虑到OT系统和环境的特定要求和特征。此外，组织应定期审查和更新其OT网络安全计划，以反映技术、运营、标准、法规的变化以及特定设施的安全需求。 
文件草案称，将网络安全有效地整合到OT的运营中需要定义和执行一个全面的计划，以解决网络安全的各个方面。“这包括定义项目的目标和范围，建立一个了解OT和网络安全的跨职能团队，定义政策和程序，识别包括人员、流程和技术在内的网络风险管理能力，以及识别日常事件监控和审计的日常操作，以确保合规性和改进，”它补充道。 
该文件进一步将组织指向ISA-62443-2-1，工业自动化和控制系统的安全：IACS资产所有者的安全计划要求，它描述了在OT环境中使用的网络安全计划元素的另一种观点。此外，它指导如何满足为网络安全计划的每个要素描述的网络安全要求。
NIST 文件称，使用OT系统的组织历来通过安全和工程方面的良好实践来管理风险。大多数部门都建立了安全评估，并经常将其纳入监管要求，而信息安全风险管理是一个可以补充的附加维度。隐私也是一些OT系统的风险考虑因素。 
整个组织都采用风险管理流程，使用三级方法来解决组织、任务/业务和系统级别（IT和 OT）的风险。风险管理流程在三个层次上无缝执行，总体目标是持续改进组织的风险相关活动，并在对组织的使命/业务成功有共同兴趣的利益相关者之间进行有效的层间和层内沟通组织。 
上周，NIST发布了一份文件草案，将NIST 网络安全框架应用于太空作战的地面部分，强调确保卫星指挥和控制。此外，网络安全和基础设施安全局 (CISA) 还扩大了其联合网络防御协作 (JCDC) 计划，以包括由安全供应商、集成商和分销商组成的ICS行业。此举将加强和支持美国政府对建立网络安全态势和ICS 和OT环境弹性的关注。
参考来源：
https://industrialcyber.co/analysis/nist-sp-800-82-addresses-ot-systems-security-including-unique-performance-reliability-safety-requirements/
https://csrc.nist.gov/publications/detail/sp/800-82/rev-3/draft


原文来源：网空闲话
“投稿联系方式：孙中豪 010-82992251   [email protected]”

​《OT网络安全指南》草案推出-NIST SP 800-82第三版修订：从ICS扩展到OT

原文始发于微信公众号（网络安全应急技术国家工程实验室）：​《OT网络安全指南》草案推出-NIST SP 800-82第三版修订：从ICS扩展到OT

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年5月4日20:36:02
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   ​《OT网络安全指南》草案推出-NIST SP 800-82第三版修订：从ICS扩展到OThttp://cn-sec.com/archives/959445.html

发表评论

匿名网友 填写信息