?? 確保發電廠、水處理設施、運輸系統和其他關鍵基礎設施的硬件和軟件系統的安全，需要網絡可見性、脆弱性評估和整體戰略和事件響應計劃。
隨著國家越來越依賴技術為關鍵基礎設施和政府運作提供動力，確保運營技術的需求變得越來越重要。OT包括用于控制和監測電廠、水處理設施、運輸系統和其他關鍵基礎設施的物理過程的硬件和軟件系統。這些系統在確保社區安全和福祉方面發揮著至關重要的作用，對其運行的任何破壞都可能造成嚴重后果。
確保OT安全的挑戰在于，這些系統是為了可靠性和安全性而開發的，而不是為了安全性。許多OT系統是在幾十年前開發的，并不是為了連接到互聯網或其他外部網絡而設計的。因此，它們往往缺乏基本的安全功能，如加密、身份驗證和訪問控制。OT系統也很難更新或打補丁，因為它們通常深嵌在基礎設施中，不容易更換或升級。
盡管存在這些挑戰，安全團隊采取措施保護OT系統以防止網絡攻擊和惡意威脅至關重要。以下是提高OT安全性和抵御現代威脅媒介的六個步驟計劃。
1.將可見性擴展到融合的IT/OT部分，對網絡上的所有資產進行盤點。
首先識別所有連接到網絡的設備和系統，以及任何漏洞或潛在的攻擊媒介。然后可以使用這些信息來開發一個全面的安全策略，以解決每個系統的獨特風險和挑戰。
許多組織都有大型、復雜的網絡，其中包括廣泛的OT系統，通常跨越多個設施和地理位置。如果不清楚網絡上有什么，就很難制定有效的安全計劃。此外，許多OT系統不是集中管理的，這使得跟蹤所有正在使用的設備和系統變得具有挑戰性。
獲得更好的OT系統和資產可見性的一種常見方法是使用網絡評估工具，該工具可以根據IP地址或其他網絡標識符識別設備和系統。這些工具可以配置為評估整個網絡或特定子集。他們可以提供每臺設備的詳細信息，包括制造商和型號、操作系統和安裝的軟件。但是，安全團隊應該確保為OT環境選擇經過驗證的或專門構建的工具，因為錯誤的工具集可能會造成更大的損害。
另一種發現方法是使用被動網絡監控工具根據網絡流量識別設備和系統。這些工具可以檢測和分析網絡流量，以識別可能表明存在OT系統的模式和異常。這種方法對于識別網絡掃描工具可能看不到的設備特別有用，例如不使用標準網絡協議的遺留系統。被動監控在OT部署中也有局限性，因為許多這些設備在設計為在低帶寬環境中運行時，除非與之通話，否則不會說話。
2.評估OT漏洞和安全狀態
一旦在網絡上發現了資產，下一步就是評估其安全狀態并識別任何漏洞或潛在的攻擊媒介。除了補丁管理之外，安全團隊不僅要知道他們在哪里容易受到攻擊，還要了解跨攻擊路徑的資產、暴露、錯誤配置、特權和威脅之間的關系。此信息有助于確定漏洞補救和其他安全工作的優先級，同時釋放資源以專注于關鍵任務工作。
對于這一步，考慮使用漏洞評估工具來識別軟件和操作系統中的已知漏洞。這些工具還可以檢查是否符合行業標準和最佳實踐，例如國家標準與技術研究所的網絡安全框架或工業控制系統的ISA/IEC62443安全標準。
滲透測試是另一個重要的策略。滲透測試涉及模擬對系統的真實攻擊，以識別弱點，例如可能被攻擊者利用的錯誤配置或客戶代碼漏洞。滲透測試甚至可以揭示特定于特定OT環境的弱點。
滲透測試是另一個重要的策略。滲透測試涉及模擬對系統的真實攻擊，以識別弱點，例如可能被攻擊者利用的錯誤配置或客戶代碼漏洞。滲透測試甚至可以揭示特定于特定OT環境的弱點。
將自動化漏洞評估工具與滲透測試相結合，是識別漏洞緩解并確定其優先級的有效“一二二”組合。
3.制定全面的OT安全計劃
一旦確定了漏洞，下一步就是制定一個全面的安全計劃，以解決每個系統的獨特風險和挑戰。這可能涉及實施技術控制，如防火墻、入侵檢測系統、特權訪問管理和加密，以及管理控制，如訪問控制、安全策略和程序以及員工的安全意識培訓。
考慮OT系統的物理安全性也很重要。訪問控制、視頻監控和報警系統等物理安全措施可以幫助防止對OT系統的未經授權訪問，并降低物理損壞或破壞的風險。
4.保持OT系統的更新
保護OT系統的另一個重要方面是確保它們得到適當的維護和更新。對于許多OT系統來說，這可能是一個挑戰，因為它們可能很難在不中斷關鍵操作的情況下進行更新或修補。然而，未能維護OT系統可能會使它們容易受到已知和未知的安全漏洞以及硬件故障和其他可能導致停機和中斷的問題的影響。為了應對這一挑戰，組織應該制定一個全面的維護和更新計劃，包括定期的安全更新、備份和OT系統的測試。
5.開發和測試OT事件響應計劃
除了主動的安全措施外，關鍵組織還需要制定全面的事件響應計劃。該計劃應該跨團隊開發并進行測試，以便在需要時能夠有效地執行。該計劃應包括明確的指揮鏈、隔離和控制受影響系統的程序以及與利益攸關方溝通和回應媒體詢問的程序。
以協調的方式快速響應安全事件，使組織有機會將影響降至最低。
6.加入IT和OT安全的世界
最后，行業不能在真空中解決OT安全問題。組織內的網絡安全、信息安全和工程團隊必須建立伙伴關系并進行協作以確保安全。這些團隊必須在人員、技術和流程、治理、標準和法規等方面達成一致。
建立OT網絡的彈性
雖然IT安全投資在過去幾十年里飛速增長，但OT安全支出卻落后了。然而，OT安全預算的增加通常會帶來比IT投資大得多的回報，這主要是因為OT安全對許多組織來說是如此低的優先級。
保護OT系統可能是一項復雜且具有挑戰性的任務，需要多方面的方法，需要數年才能成熟。但是，發現網絡上的資產、評估暴露和風險、制定包括技術、管理和物理控制在內的全面安全計劃的好處是值得花費時間和投資的。
