网络物理系统安全之​CPS安全的政策和政治方面-网络冲突

CPS安全的政策和政治方面

在本文的最后一部分，我们总结了一些行业和政府主导的努力，试图提高CPS的安全性，以及如何利用CPS安全的新领域进行攻击和战争。

4.3 行业惯例和标准

我们通过参考各种行业和政府为提高CPS的安全性所做的努力，最终确定了CPS安全KA。有几项由工业和政府主导的努力来提高控制系统的安全性。该领域最重要的安全标准之一始于国际自动化协会（ISA）标准ISA99，该标准后来成为美国标准ANSI62443，最后是控制系统的国际网络安全标准，称为IEC62443[263]。

美国国家标准与技术研究院（NIST）在特别出版物800-53中提供了一般IT安全最佳实践指南。美国联邦机构必须符合NIST SP800-53，但一般行业（特别是与美国政府打交道的行业）将这些建议作为他们的安全态势。为了特别解决控制系统的安全性，NIST还发布了工业控制系统（ICS）安全指南[150]，这是智能指南。NIST-IR762中的电网安全[264]以及物联网安全和隐私指南[71]。尽管这些建议不可执行，但它们可以为分析大多数公用事业公司的安全性提供指导。最近的一项努力是NIST用于保护关键基础设施的网络安全框架，该框架是由当时的美国总统的行政命令发起的。奥巴马[265]，作为改善关键基础设施安全态势的努力。

建了一个属于网络安全从业人士交流群，加微信进群

另一个值得注意的行业主导的保护关键基础设施的努力是北美电力可靠性公司（NERC）控制系统的网络安全标准[152]。NERC被授权强制遵守这些标准，预计北美所有运营大容量电力系统的电力公司都完全符合这些标准。

所有这些标准都是通用和灵活的。他们没有规定特定的技术解决方案，而是对各种可用的安全技术（例如，身份验证、访问控制、网络分段等）进行高级概述，然后提供一组保护系统的常规过程，从（1）收集数据以识别给定系统的攻击面开始（这包括基本的网络枚举旨在枚举资产所有者网络中所有可用设备和服务的过程），（2）基于系统的攻击面构建安全策略，以及（3）部署安全对策，包括网络分段或网络安全监测。

除了这些控制系统的一般安全标准外，开发和维护特定工业控制协议的行业，例如用于SCADA的协议，例如IEC104或过程工业中的公司，例如PROFINET，也发布了用于保护工业网络的标准和文档。回想一下，这些工业协议中的大多数是在安全性成为工业控制系统的紧迫问题之前开发的，因此通信链路未经身份验证或加密。新标准IEC62351旨在指导资产所有者如何部署安全网络来验证和加密网络链接，其他组织已经发布类似的支持，例如为PROFINET3提供安全扩展。除了（或另外）使用这些端到端应用层安全建议之外，一些运营商可能更喜欢使用IP网络的较低层安全保护，包括TLS和IPSec。

在物联网领域，欧洲标准组织ETSI为消费者物联网开发了第一个全球适用的安全标准。ETSI TS 103 645为互联网连接的消费产品建立了安全基线，并为未来的物联网认证提供了基础。该标准紧密基于英国的消费者物联网安全行为准则[266]。互联网工程任务组（IETF）针对物联网设备的另一个更具体的物联网标准是制造商使用描述（MUD）标准[267]。该标准的目标是自动创建网络白名单，网络管理员使用这些白名单来阻止设备的任何未经授权的连接。IETF正在开发的其他物联网安全标准包括通信安全，访问控制，限制通信以及固件和软件更新的协议[268]。

所有这些行业努力和标准基本上有三个目标：（1）提高对控制系统安全问题的认识，（2）帮助控制系统和安全的操作员。官员设计安全策略，并（3）推荐用于预防（身份验证、访问控制等）、检测和响应安全漏洞的基本安全机制。在大多数情况下，行业保护CPS的努力基于与一般信息技术系统相同的技术原理。因此，行业最佳实践是一般IT安全最佳实践和本KA中讨论的最新CPS安全研究的背后。我们希望在未来十年中，CPS安全研究变得足够成熟，开始对行业实践产生影响。

结 论

随着技术继续在新的网络物理系统中集成计算、网络和控制元素，我们还需要培训新一代工程师、计算机科学家和社会科学家，以便能够捕捉CPS安全的多学科性质，如转导攻击。此外，随着CPS安全背后的技术成熟，其中一些将成为行业公认的最佳实践，而另一些则可能被遗忘。2018年，发展势头最大的领域之一是网络物理网络中的网络安全监控（入侵检测）行业。美国、欧洲和以色列的几家初创公司提供工业网络剖析和表征服务，以帮助运营商更好地了解允许和应该做什么被阻止。另一方面，还有其他CPS安全研究领域刚刚开始分析，例如攻击缓解工作，特别是对入侵检测系统警报的响应。

我们只是处于CPS安全研究的起点，随着我们继续将物理事物与计算能力集成，未来几十年将带来新的挑战。

原文始发于微信公众号（河南等级保护测评）：网络物理系统安全之​CPS安全的政策和政治方面-网络冲突