2017年全球工業控制系統網絡安全現狀調查

6月18日訊 迫于工業控制系統面臨的威脅格局，各國都開始重視ics的威脅格局。現實世界當中僅出現過三例針對工業控制系統的惡意程式肆虐案例，blackenergy(2015年12月被用于烏克蘭電網攻擊)、havex(主要用于攻擊歐洲境内組織)以及最為知名的美國政府開發之stuxnet(即震網病毒，2010年被用于伊朗核設施)，以及最近被報道的industroyer。工業控制系統(ics)公司面臨特殊的網絡安全挑戰。

使用工控系統的公司可能會先安裝裝置，之後放置很長一段時間。迫于降低營運成本的壓力，這些公司不會得将裝置聯網。最簡單網絡裝置的設計初衷是為公司環境提供便利，并未深刻考慮ics系統環境的安全性。一旦聯網，公司會發現工業系統的資料價值，而将隔離的控制網絡連接配接到相對開放的公司網絡會增加額外的壓力，是以就出現了目前的情形。專門設計用來攻擊公司系統的惡意軟體可能會影響ics裝置，并對現實世界帶來災難性影響。

調查的主要發現

使用工控系統的公司迫于降低營運成本的壓力，不見得将裝置聯網。

卡巴斯基實驗室最近針對全球21個國家的企業或組織機構進行了359次訪談調查。接受訪談調查的企業中，56%為制造業;19%為建築和工程公司;11%為石油和天然氣公司;其餘的14%由公用事業和能源、政府或公共部門、房地産、酒店和休閑類公司組成。此外，還進行了11次深度訪談，其中包括制造業、石油和天然氣公司以及工控網絡安全領域的顧問和安全專家們。

卡巴斯基實驗室發現被調查人員對ics網絡安全事件的看法與現實存在差距。83%的調查對象認為他們已做好準備處理ics網絡安全事件。50%的調查公司過去12個月經曆了1到5起it安全事件，4%的公司經曆過超過6起ics網絡事件。

ics安全從業人員對現實情況認識清晰，但31%的調查對象表示，對進階管理者而言ics安全屬于低優先級事項。

工業組織機構平均每年花費的無效網絡安全費用高達約338萬。

對于大多數ics組織機構而言，傳統的惡意軟體仍是最大的痛點：56%的調查對象将傳統的惡意軟體視為最令人擔心的攻擊媒介。一半的調查對象去年都緩解過傳統惡意軟體帶來的後果。調查對象經曆的主要安全事項包括：産品和服務品質受到影響、專利或機密資訊丢失，産量減少或損失。

過半的ics調查對象承認，外部提供商能通路其組織機構的工業控制網絡，進而加大了威脅面。

81%的公司報告稱，在工業控制網絡中增加了無線連接配接，這表明，這些公司在現實中未使用隔離安全政策。

最常用的三大安全解決方案包括：反惡意軟體措施、網絡監控和裝置通路控制。54%的調查對象并未考慮漏洞掃描和更新檔管理，在具備漏洞掃描和更新檔管理的調查對象中，有41%表示，每月、甚至時隔更久釋出更新檔。ics廠商的傳統開發模式不适應定期釋出更新檔和更新，是以， ics裝置公司很有可能被迫考慮其它安全工具。超過一半的調查對象不考慮漏洞掃描和更新檔管理。

被調查者大部分認為ics資産遭遇的高技能攻擊來自國家、激進黑客以及競争對手，供應鍊上的第三方承包商是高危對象。74%的調查對象預計公司的工業基礎設施來年将遭遇網絡攻擊。

正确的決策尤為重要

去年平均每起ics安全事件造成的損失高達約338萬，這可能給公司的風險決策帶來量化影響。弄清楚如何制定正确的決策顯得尤為重要。

ics環境面臨的挑戰與傳統、獨立的控制系統和高度連接配接公司網絡不同。考慮到這些公司負責大規模的工業裝置，安全事件可能會帶來更大的影響。

卡巴實驗室關鍵基礎設施保護負責人安德烈蘇沃洛夫表示，it和ot(營運技術)系統日益互連增加了新的安全挑戰，需要董事會成員、工程師和it安全團隊需充分了解威脅格局、考慮周全的保護措施以及提高員工的意識，做足準備應對ics環境中的網絡威脅，善于利用滿足ics需求的定制安全解決方案，緩解安全事件才會更加容易。

本文轉自d1net（轉載）