OT网络安全遭遇糟糕一年，专家解释系统为何难以断网

过去一个月（乃至过去一年），对OT网络安全来说都极其糟糕。从一波影响巨大的新漏洞，到针对超市冷柜的攻击，再到针对血库的攻击，我们人手不足、疲于应对。而这还不算此前数月针对自来水公司的攻击。

在这一切之中，我不断看到来自资深企业网络安全人士的同一类评论，而作为在一线处理这些案件的人，我觉得这非常令人沮丧。他们对这些系统竟然可以通过网络访问表示极度震惊，然后问为什么不能干脆把它们断开。大意是这样的：

这只是一个例子，我真心不是想抨击原帖作者。我相信他是一位非常称职、经验丰富的IT人士，我也理解他的沮丧。但实际情况远比表面看起来复杂得多，指责支持和采购这些系统的人无能并不能解决问题。所以让我试着解释一下，为什么这么多OT、ICS和IIoT会暴露在外，以及哪些系统的状况最糟糕。

在谈论OT的现状之前，我们需要回到15到20年前，讨论IT/OT融合。在那之前，工业设备和网络基础设施往往是高度定制化、异构的技术，由供应商设计制造。大多数通信基于串行方式，协议是定制的，甚至连设备固件也是内部开发的。Rockwell系统和Siemens系统看起来完全不同。当你购买一套系统时，它由那个特定的OEM设计、部署和支持。他们提供替换零件，他们培训技术员和安装人员。

这变得昂贵，也拖慢了物流——不仅是零件的物流，还有劳动力的物流。于是聪明的工程师和商人研究了IT领域，有了一个想法：用Windows电脑作为人机界面，用商用以太网封装串行流量，采购、更换和培训技术员支持的成本都会低得多。

在随后的几年里，系统变成了混合体：底层是Level 1的PLC和RTU，在它们之上是大量IT人员熟悉得多的设备。不幸的是，黑客和黑客工具对它们也同样熟悉。这是暴露面的第一次变化，实际上只是失去了“靠隐蔽性获得的安全”。

下一个变化是OEM部署的同质化。为了更高效地部署和支持大规模系统，大多数工业供应商开始在Purdue模型的各个层级上，以非常静态的架构，产出高度统一的技術部署。不同部署之间的网络拓扑图和地址分配可能惊人地相似，甚至跨越不同行业和国家。这同样是财务和物流上最高效的解决方案。

不幸的是，任何精明的网络安全专业人士都能看出，这多么有利于更具规模化的攻击，甚至有利于用工具和代理自动化其中的部分攻击。

在过去十年里，我们经历了世界各地工业环境中远程连接的迅速普及。

曾经有一段时间，许多工业系统实际上是“物理隔离”的。这无疑与工业技术的串行时代相吻合。

随着IT/OT融合站稳脚跟，人们采用了各种混合策略。在一些扁平的企业网络环境中，工业控制系统被直接插进现有的布线中，以获得尽可能便宜的网络接入。这包括工业自动化系统和楼宇自动化系统。我们今天在低利润行业仍然能看到这种情况，尤其是制造业。这些扁平（或相对扁平）的网络几十年来一直是工业网络安全人员的眼中钉。

从行业角度看，更可接受的方案是在Purdue模型的3.5层实施DMZ。企业IT位于其上方，工业OT环境位于其下方。请注意，这仍然存在一定程度的连接。传统上，这是通过两道防火墙和某种跳板机来实现的，以便在需要时在两个环境之间穿行。

然后范围扩大了，速度超出了从业者的适应能力。

将工业系统联网到单个厂区之外，使它们变得远为健壮和高效。以太网和路由不仅允许在建筑内部实现分布式控制和遥测，还扩展到区域、国家乃至国际范围的部署。一个控制中心可以通过SCADA对跨越山脉和多个变电站的电力传输进行实时调整。制造商可以将生产精确匹配到需求，精确到分钟、秒甚至毫秒。可以监测零件的故障容差，并提前数月规划更换。

但人类并不是极限！计算机可以大规模地做出这些决策，速度远超仅靠人类操作员。提高产量，降低产量。我们的社会开始依赖这一点，并大力推动准时制物流。当然，这意味着中央SCADA服务器需要通过电网，对广大区域内的工业设备进行双向控制。

（原文较长，此处译出前 6000 字，完整内容请点「打开原文」。）