九游老哥云
洞见RSA 2021｜怎样设计清静的控制系统远程会见
2021-05-24
在2021年RSA大会上，美国燃油管道运营商Colonial Pipeline遭网络攻击事务引起了普遍讨论，凭证有关网络清静专家剖析，此次燃油管道公司遭受的攻击是由于疫情时代该公司职员在家办公远程会见输油管道控制系统，可能导致远程桌面软件账户上岸信息走漏所致。
怎样设计清静的控制系统远程会见?值得我们进一步的探讨息争决。
远程会见保存的问题
远程会见有个较量容易被忽视的问题：现在关于远程会见的许多设计/架构已经由时，相关标准需要重新制订和更新以抵达目今的清静标准，可是种种装备的涌现导致标准制订需要思量许多问题。完全杜绝远程会见，接纳关闭隔离模式也不是恒久之计。
在万物互联和IOT高速生长的情形下，远程毗连必不可少，尤其是在工业控制情形中。现场装备的设置更新、界面设置等许多操作无法由清静职员完成，需要由供应商或控制系统现场职员协助。疫情前人们就已经在思量摒弃古板的职员在装备现场操作模式，疫情的到来越发速了这个需求。一些古板的架构设计已经不允许我们在自力隔离的情形中完成州操作，我们必需要直面远程会见带来的种种危害。
远程会见的需求增添
制作完工的时间久远等缘故原由导致许多机构系统过时，特殊是一些要害基础设施的工控控制系统。在营业需求变换的条件下，系统需要举行远程会见举行数据交互，纵然保存很大的清静隐患，也必需凭证手头的情形想步伐“完成使命”。但这些系统应用的时间久远且牵一发动全身，无法连忙迁徙到新的清静模子。那么究竟是什么导致了远程会见的需求增添呢？
1、营业需求
清静企业和客户需要举行数据交互，从而相互协作以知足营业需求。可是与一些科技公司相比，控制系统的工程师们有一种古板的固有头脑“能用就行”，不会更多思量更新或清静步伐等问题，由于他们以为这些“无谓”操作会引入潜在的控制情形危害，造成不须要的损失。这也是需要远程会见能力的缘故原由。清静职员可以去做那些控制工程师们不肯做的事情，如更新升级/打补丁等，通过开放某个远程会见接口，让指定的人去提升清静性，皆大欢喜。但随之而来的问题是：通过远程接口在解决一些清静问题的同时，也引入了新的问题，如开放一些协议通讯的自己就保存清静隐患。虽然仅仅开放一个端口用来毗连一定是不对适的，我们需要思量怎样在建设清静接口的同时，阻止它带来的清静隐患（不要给操作员和攻击者同时开放会见接口）。
清静职员的建议同样可能带来负面影响，阻碍原本营业的顺遂举行，泛起从“新系统不太清静可是效率高”到“老系统较量清静可是效率低”的效果。以是找到平衡点也是在工业控制情形中引入远程会见的主要问题。
2、政策需求
政府的需求也会迫使提供远程会见功效，如需要在一准时间内回应突发事务，操作员第一时间响应并到现场操作的行为并不现实，只能通过远程会见来阻止迟到。有些现场位置偏远，脱离远程会见的支持将导致响应突发事务效率低下，不但无法告竣政策指标，也会造成现实危害的响应延迟，增添损失�？刂葡低橙肥敌枰惚⑻厥馐挛袷钡奶囟ㄐ枨蟮南质�，在后疫情时代越发显着，如远程会见才华确保营业能够照常举行。
3、本钱和其它
尚有许多缘故原由造成远程会见需求的逐渐增添，如远程维护支持比现场支持的用度更低� Ｉ杏幸恍┑谌教峁┑挠涤呕�，安排在云端，将控制现场的数据吸收过来后，通过优化算法再传回控制器，对整体工业流程举行优化操作。虽然确实可以让整体生产控制历程优化，但这也爆发了一个新的清静隐患点。
怎样定制远程会见控制系统？
近年来，有许多ICS/OT情形的清静事务都与会见控制有关，因此许多人并不看好远程会见，以为会使目的越发懦弱，但这些清静隐患都源于远程会见功效实现历程中的缺陷和缺乏。直接开放一个外界链接端口或引入一款协议用于数据通讯一定会带来许多清静问题（如端口遗忘关闭或引入的协议自己就保存误差等）。理论上怎样实现远程会见有许多更好的方法，如使用脱离的Token使用多重认证系统，远程接入的职员持有一个Token，通知控制系统的治理职员获取响应的Token后，获取会见权限。如使用DMZ对要害情形的网络举行隔离，在这个缓冲情形中分派指定的会见凭证，并拥有完整的监听权限。
关于怎样才华最洪流平降低危害，现在还没有统一的标准架构，以是企业需要凭证自身的营业需求和清静标准来量身定制远程会见控制系统。
监控会见行为
与一样平常的IT系统差别，在工业控制情形中更难监控所有会见行文。一方面差别系统使用差别的远程会见功效，在本钱和收益角度来看，小众的系统由于使用人少可能会疏于监控。而有些功效虽然设计时是为了完成X目的（如开启远程接口用于系统固件的下载更新），但攻击者可能会挖掘出该系统的潜在功效Y，因此监控很难实时发明恶意的Y行为，尤其是远程会见。
总之，好的理论要用好的方法来实现。任何远程行为都应该有详尽的日志纪录，并做好会见的权限控制，关于任何远程会见行为都拥有完整的监控能力，以便在爆发异常事务后回溯定位问题泉源。
