北极星

搜索历史清空

  • 水处理
您的位置:电力发电信息化企业正文

Stuxnet推出新框架 提高电厂ICS/SCADA安全

2013-09-29 14:38来源:IT商业新闻网关键词:SCADA控制系统电厂收藏点赞

投稿

我要投稿

根据ICS/SCADA专家Ralph Langner表示,关键基础设施运营商采用了安全行业流行的风险管理理念,这样做是错误的。这位德国安全专家破译了Stuxnet如何瞄准在伊朗的纳坦兹核设施的西门子PLC,他今天发布了一个网针对ICS(工业控制系统)的网络安全框架,他称这个框架比美国政府的网络安全框架更适用,目前还是草案的形式。

这个被称为强大的ICS规划和评估(RIPE)框架采用了一种不同的方法来锁定设施,与NIST的基于风险的网络安全框架相比,这种方法更多地基于流程。

Langner表示:“大家都知道,ICS环境缺乏强制执行的安全政策,特别是针对承包商。在关键基础设施中更大的资产所有者有针对工作人员的政策,但并不是针对承包商。在Stuxnet之后,这似乎被疏忽了。”

再有就是ICS / SCADA系统的修补难题:虽然大部分这些企业声称有一个修补方案,但通常修复周期为一年,并且,你会发现,根据政策需要修复的系统,通常只有一半真正得到了修复。

在私有ICS环境,网络安全只有低优先级。Langner估计,95%的关键基础设施运营商没有专门的安全专业人士来负责其系统,并且,其ICS安全只占其IT预算的不到1%。

Langner表示:“如果有说明网络安全能力的指标,那就是资源。如果电厂、炼油厂或者管道运营商没有专门负责ICS安全的专职人员,关于ICS安全的任何进一步讨论都是没有意义的。”

Langner指出,基于风险的安全方法可以是捏造的,并非基于经验数据或者关于ICS环境的现实。他指出,NIST网络安全框架让企业可以基于“部署层”来确定其部署框架的方向,从而确定其安全状态的成熟度。 “几乎没有企业可以简单地决定其目标部署层,这基本上意味着一个完全不成熟的网络安全过程。”

风险管理基本上已经成为安全界的“宗教”,Mandiant公司首席安全官Rid Bejtlich表示,“风险管理已经深入每个人的心里,但在业务水平之下,我不认为大多数IT安全人员都专注于其中。”

RIPE明确了需要记录和测量的工厂系统的8个领域来确定安全状态:系统数量,或者软件和硬件清单;网络架构,包括网络模型和图表;组件交互或者工艺流程图;员工角色和责任,身份、特权数据库,以及针对所有工作人员和承包商的政策;员工技能和能力发展,或者培训课程以及操作和维护记录;指导,又称政策和标准操作流程;设计和配置变更,或者工厂规划和变更管理流程;以及系统收购,或采购指南。

部署每个步骤都有模板。“我要说的是,如果你使用我们的模板,或者通过其他工作来对上述8个领域进行测量,你将能够提高你的网络安全态势。使用RIPE的人将会对可衡量网络安全保证比合规性更感兴趣。”

RIPE还包括这8个方面的度量基准和评分。Langner表示,RIPE是基于工厂车间操作员的见解,这是一个切实可行的办法,能够更好地保护这些环节。同时,Langner希望RIPE将影响NIST网络安全框架的最后版本。

投稿与新闻线索:陈女士 微信/手机:13693626116 邮箱:chenchen#bjxmail.com(请将#改成@)

特别声明:北极星转载其他网站内容,出于传递更多信息而非盈利之目的,同时并不代表赞成其观点或证实其描述,内容仅供参考。版权归原作者所有,若有侵权,请联系我们删除。

凡来源注明北极星*网的内容为北极星原创,转载需获授权。