建站
咨詢
售后
建站咨詢
新聞中心
根據(jù)ICS/SCADA專家Ralph Langner表示，關(guān)鍵基礎(chǔ)設(shè)施運(yùn)營商采用了安全行業(yè)流行的風(fēng)險(xiǎn)管理理念，這樣做是錯(cuò)誤的。這位德國安全專家破譯了Stuxnet如何瞄準(zhǔn)在伊朗的納坦茲核設(shè)施的西門子PLC，他發(fā)布了一個(gè)網(wǎng)針對ICS(工業(yè)控制系統(tǒng))的網(wǎng)絡(luò)安全框架，他稱這個(gè)框架比美國政府的網(wǎng)絡(luò)安全框架更適用，目前還是草案的形式。
創(chuàng)新互聯(lián)建站是一家集網(wǎng)站建設(shè),康馬企業(yè)網(wǎng)站建設(shè),康馬品牌網(wǎng)站建設(shè),網(wǎng)站定制,康馬網(wǎng)站建設(shè)報(bào)價(jià),網(wǎng)絡(luò)營銷,網(wǎng)絡(luò)優(yōu)化,康馬網(wǎng)站推廣為一體的創(chuàng)新建站企業(yè)，幫助傳統(tǒng)企業(yè)提升企業(yè)形象加強(qiáng)企業(yè)競爭力?？沙浞譂M足這一群體相比中小企業(yè)更為豐富、高端、多元的互聯(lián)網(wǎng)需求。同時(shí)我們時(shí)刻保持專業(yè)、時(shí)尚、前沿，時(shí)刻以成就客戶成長自我，堅(jiān)持不斷學(xué)習(xí)、思考、沉淀、凈化自己，讓我們?yōu)楦嗟钠髽I(yè)打造出實(shí)用型網(wǎng)站。
這個(gè)被稱為強(qiáng)大的ICS規(guī)劃和評(píng)估(RIPE)框架采用了一種不同的方法來鎖定設(shè)施，與NIST的基于風(fēng)險(xiǎn)的網(wǎng)絡(luò)安全框架相比，這種方法更多地基于流程。
Langner表示：“大家都知道，ICS環(huán)境缺乏強(qiáng)制執(zhí)行的安全政策，特別是針對承包商。在關(guān)鍵基礎(chǔ)設(shè)施中更大的資產(chǎn)所有者有針對工作人員的政策，但并不是針對承包商。在Stuxnet之后，這似乎被疏忽了?！?/p>
再有就是ICS / SCADA系統(tǒng)的修補(bǔ)難題：雖然大部分這些企業(yè)聲稱有一個(gè)修補(bǔ)方案，但通常修復(fù)周期為一年，并且，你會(huì)發(fā)現(xiàn)，根據(jù)政策需要修復(fù)的系統(tǒng)，通常只有一半真正得到了修復(fù)。
在私有ICS環(huán)境，網(wǎng)絡(luò)安全只有低優(yōu)先級(jí)。Langner估計(jì)，95%的關(guān)鍵基礎(chǔ)設(shè)施運(yùn)營商沒有專門的安全專業(yè)人士來負(fù)責(zé)其系統(tǒng)，并且，其ICS安全只占其IT預(yù)算的不到1%。
Langner表示：“如果有說明網(wǎng)絡(luò)安全能力的指標(biāo)，那就是資源。如果電廠、煉油廠或者管道運(yùn)營商沒有專門負(fù)責(zé)ICS安全的專職人員，關(guān)于ICS安全的任何進(jìn)一步討論都是沒有意義的?！?/p>
Langner指出，基于風(fēng)險(xiǎn)的安全方法可以是捏造的，并非基于經(jīng)驗(yàn)數(shù)據(jù)或者關(guān)于ICS環(huán)境的現(xiàn)實(shí)。他指出，NIST網(wǎng)絡(luò)安全框架讓企業(yè)可以基于“部署層”來確定其部署框架的方向，從而確定其安全狀態(tài)的成熟度。 “幾乎沒有企業(yè)可以簡單地決定其目標(biāo)部署層，這基本上意味著一個(gè)完全不成熟的網(wǎng)絡(luò)安全過程?！?/p>
風(fēng)險(xiǎn)管理基本上已經(jīng)成為安全界的“宗教”，Mandiant公司首席安全官Richard Bejtlich表示，“風(fēng)險(xiǎn)管理已經(jīng)深入每個(gè)人的心里，但在業(yè)務(wù)水平之下，我不認(rèn)為大多數(shù)IT安全人員都專注于其中。”
RIPE明確了需要記錄和測量的工廠系統(tǒng)的8個(gè)領(lǐng)域來確定安全狀態(tài)：系統(tǒng)數(shù)量，或者軟件和硬件清單;網(wǎng)絡(luò)架構(gòu)，包括網(wǎng)絡(luò)模型和圖表;組件交互或者工藝流程圖;員工角色和責(zé)任，身份、特權(quán)數(shù)據(jù)庫，以及針對所有工作人員和承包商的政策;員工技能和能力發(fā)展，或者培訓(xùn)課程以及操作和維護(hù)記錄;指導(dǎo)，又稱政策和標(biāo)準(zhǔn)操作流程;設(shè)計(jì)和配置變更，或者工廠規(guī)劃和變更管理流程;以及系統(tǒng)收購，或采購指南。
部署每個(gè)步驟都有模板。“我要說的是，如果你使用我們的模板，或者通過其他工作來對上述8個(gè)領(lǐng)域進(jìn)行測量，你將能夠提高你的網(wǎng)絡(luò)安全態(tài)勢。使用RIPE的人將會(huì)對可衡量網(wǎng)絡(luò)安全保證比合規(guī)性更感興趣?！?/p>
RIPE還包括這8個(gè)方面的度量基準(zhǔn)和評(píng)分。Langner表示，RIPE是基于工廠車間操作員的見解，這是一個(gè)切實(shí)可行的辦法，能夠更好地保護(hù)這些環(huán)節(jié)。同時(shí)，Langner希望RIPE將影響NIST網(wǎng)絡(luò)安全框架的最后版本。
當(dāng)前題目：德專家針對Stuxnet推出新框架 提高ICS/SCADA安全
本文鏈接：http://www.5511xx.com/article/cdhhggj.html
