“零信任”理念如何在工控安全产品中落地？

背景

近年来，随着两化融合的推进，工业控制系统已逐步形成了管理与控制的一体化，工控系统产品越来越多地采用通用协议、通用硬件和通用软件，信息化与工业化深度融合使工业控制系统处于开放状态，不再是一个独立运行的系统，其接入的范围从工控网络扩展到整个互联网，面临的互联网的信息安全威胁也与日俱增。

工控安全现状

目前，许多关键基础设施控制系统很少有防范突发事故或恶意攻击的保护措施，工控系统信息安全问题日益突出，导致安全事故频发。

2021年5月7日科洛尼尔（ Colonial Pipeline ）遭受勒索软件攻击，科洛尼尔公司在紧急处理勒索事件的同时，美国总统拜登发布《改善国家网络安全行政命令》，其中的重点一项就是联邦政府必须采⽤最佳安全实践。安全厂商开始推进零信任架构，增加对安全最佳实践的应用，并持续部署基础安全工具。

图：科洛尼尔管道运输公司存储罐

零信任三大现状

零信任，就是怀疑一切。它既不是技术也不是产品，而是一种“持续验证，永不信任”的安全理念。

零信任（Zero Trust，ZT）提供了一系列概念和思想，在假定网络环境已经被攻陷的前提下，当执行信息系统和服务中的每次访问请求时，降低其决策准确度的不确定性。

在零信任的安全理念和战略被提出后，业界内引起了极大的关注，出现了各种技术，其中三大技术“SIM”（SDP，IAM, MSG）具有重大影响力。

图：《零信任架构ZTA》白皮书 NIST

SDP基于控制通道与数据通道分离的设计，可以构造一个“暗黑网络”，减少了企业业务在外网上的暴露面。

IAM可以使企业可以自动访问越来越多的技术资产，同时管理潜在的安全和合规风险。身份管理为所有用户，应用程序和数据启用并保护数字身份。

MSG可以将数据中心在逻辑上划分为各个工作负载级别的不同安全段，然后定义安全控制并为每个唯一段提供服务。

零信任并非是一种静态的标准，而是在持续不断的深入完善与优化，也是一个在安全与业务之间平衡的过程。

零信任理念落地的展望

针对工业控制网络，特别是对关键基础设施的直接攻击、信息窃取和勒索事件等工控网络安全事件层出不穷的现状。

传统的网络安全产品无法适用于工业控制网络，主要体现在：

■ 工控网络优先需保证可用性，不可采取牺牲可用性的安全监测手段；

■ 工控网络无法接受“漏报”和“误报”；

■ 传统安全产品无法识别工控协议，尤其是繁多的私有协议；

■ 工控网络内的所有产品升级的频次普遍偏低，需要频繁升级的安全产品难以适用。

通过将“零信任”体系引入到重点工业企业安全监测产品的建设之中，默认认为工控网络流量不可信，秉承“持续验证，永不信任”的安全理念，实时监测工控网络的运行状态，自动学习通信规则，建立可信行为基线，对网络中的异常流量、可疑行为和非法操作进行实时监测和告警，巩固现有网络安全能力和构建智能化安全能力。

通过将重点工业企业安全监测产品设备端旁路布署在工业控制系统核心交换机或网络边界处，采集分析网络流量，判读异常流量和行为等方式，可实现：

支持多重持续监测机制

采用内置工控威胁库、自学习功能和安全策略等手段，对工业现场网络安全威胁进行持续地监测。

审计策略设置

以策略的方式对用户的网络行为进行审计。策略分为全局策略和针对一组审计对象的策略。具备审计策略设置，为用户提供了多种定制化的选择。

工控协议分析

以协议审计的维度来进行工控安全审计工作，支持识别OPC、Modbus TCP、IEC104等主流工控协议，可疑操作可视。

实时网络监测和安全事件告警

实时监测工控网络的安全状态和入侵行为并产生告警，根据用户定义的审计策略，进行持续的风险与信任评估，追踪工控网络安全事件，并对工控网络的数据进行留存。

隐藏端口技术

网络完全隐身，无需开放任何TCP端口，让企业服务从互联网上“隐身”，不为潜在攻击者提供任何端口扫描和攻击的机会。

零信任是对当前网络安全机制和理念的一次创新，定义了一种全新的安全管理视角。通过引入“零信任理念”，可减少或避免工业企业的受到攻击或破坏，有效保障工业企业的正常运行，为工控系统的入侵检测和安全审计提供了有力的技术保障。同时，对工业企业的发展也起到积极作用。