★ ICS/SCADA 環境的實體安全

 
ICS/SCADA 基礎 - 工業控制系統 - 網路安全

 

 Klacci 凱樂奇 行動生物辨識智慧門鎖

INFOSEC

介紹

工業控制系統/監督控制和資料採集系統（ICS/SCADA）的實體安全，對於熟練地實施這項技術非常重要。ICS/SCADA 系統堅實安全計劃的一個關鍵因素是實體安全。

重要的是要記住，ICS/SCADA 是 IT 技術，和傳統實體安全之間的一種結合；這使得實體安全對 ICS/SCADA 系統來說，比傳統電腦系統更重要一些，這些 電腦系統主要依賴網路安全，而只依賴實體安全最少（當然，不僅僅是鎖定伺服器機房）。

本報導將提供 ICS/SCADA 環境的實體安全概述，包括實體安全對這些系統的重要性、監管指導的來源、實體安全目標，以及實體安全深度防禦解決方案的重要內容。

實體安全的重要性

為 ICS/SCADA 系統佈署實體安全是廣泛的，需要根據行業、系統類型和其他因素進行具體情況。這些系統的實體安全措施，目的在減少工廠、其資產和周圍環境的損失或損壞風險。這些資產可以包括實物資產（工廠裝置、工具、電腦）、智慧財產權和專有資料。

監管指導的來源

ICS/SCADA 實體安全的監管指南，可以在 NIST SP 800-53 實體和環境保護（PE）中找到，可在此處找到。本檔案提供有關指定出入境點、傳輸媒體、監控實體門禁、處理出入訪問者和維護日誌的資訊。本檔案還為緊急情況提供指導，為照明和電力以及環境控制提供指導，包括溫度和溼度。

進一步的指導可以在 NIST SP 800-46（遠端辦公和寬頻安全）和 NIST SP 800-100（資訊保全治理和規劃）中找到，分別在這裡和這裡。

ICS/SCADA 的實體安全目標

雖然實體安全作為一個概念確實很廣泛，但 ICS/SCADA 系統的實體安全有一些一般目標：

• 防止未經授權的實體門禁
• 防止實體操縱、破壞、盜竊或其他拆除現有系統
• 防止觀察敏感資訊和資訊資產
• 防止引入未經授權的新系統、通訊介面、基礎設施和其他硬體
• 防止引入未經授權的裝置，這些裝置旨在故意造成硬體操縱、目的在竊聽的通訊和其他有害影響

深度防禦方法

ICS 和 SCADA 實體安全的最佳解決方案是深入防禦方法。深度防禦解決方案應至少包括以下列出的屬性。

保護實體位置

保護實體位置的標準方法是分層或環狀方法。這種分層方法在設施、建築物、房間、控制室和其他位置的實體分割周圍，使用不同的主動和被動實體屏障的組合。

這種方法的第一層通常是大門、警衛棚屋、牆壁和上鎖的門。

使用 ICS 保護設施的實體安全周界，通常是保護 ICS 的第一步。「六面屏障」方法檢查所有門、大門、牆壁、天花板和地板，以確保不存在漏洞、縫隙或弱點等，會損害 ICS 實體安全的弱點。把它想像成 ICS/SCADA 我們養系統周圍的最後保護殼。

保護敏感資訊科技和資訊保全資產

必須向工業設施的資訊科技和資訊保全資產支付特殊保護。這些資產包括電腦、伺服器、控制室電腦、個人電腦和其他儲存敏感資訊的裝置。實體保護方法包括 USB 埠和 CD 驅動器上的鎖，選擇沒有這些驅動器的資產，或在這些驅動器上設定實體屏障（如磁帶或蓋子）。

雖然不一定是實體方法，但這些控制方法可以透過正確配置的組策略來實現。

門禁控制

限制進出是任何實體安全計劃的重要組成部分，特別是容納 ICS/SCADA 系統的設施。

授予員工的具體進出許可權可以基於許多因素，包括資歷、部門、管理地位或對組織有用的任何其他方式。這些門禁控制列表應儘可能分層 —— 案例包括前門、上鎖的門和控制室的門禁。這也應該延伸到網路資源本身。

門禁控制是一個廣泛的實體安全類別，應儘可能多地使用，以保持嚴格的物理安全策略。

人員和資產追蹤

這種形式的實體安全有點向後看：這項措施不是關注正在保護的東西，而是專注於通常靠近 ICS/SCADA 系統的東西。ICS/SCADA 系統的員工、技術人員和單個元件，包括電腦、伺服器、感測器和其他元件，需要作為另一個 實體保護水準進行追蹤。

這可以透過使用標籤來實現，這些標籤為 ICS/SCADA 系統的每個實體資訊科技、資訊安全和實體元件分配資產編號。員工應使用身份證，允許他們透過授權開啟的上鎖的門進入。

舉個例子：想像一下，一個心懷不滿、被解僱的員工在離開時，試圖帶著電腦出去，卻被前門附近的一名警衛攔下，該警衛發現了電腦上的資產標籤。

FERC、NERC 和 CIP

聯邦能源監管委員會（FERC）是從 2005 年開始，被授予美國電網權力的聯邦機構。FERC 已將北美電力可靠性公司（NERC）認證為國家電力可靠性組織。

基於 2013 年 10 月制訂的實體安全準則，NERC 釋出了實體安全關鍵基礎設施保護（CIP）014標準，可在此處找到。該標準適用於散裝電力供應商/公用事業公司和實體安全專業人員，並作為關鍵基礎設施實體安全的最佳實踐指南。

CIP 014 和 ICS/SCADA 系統實體安全之間的聯絡，在於 CIP 014 中關於深入防禦實體安全的建議。CIP 014 規定了公用事業公司必須執行的某些要求，以滿足實體安全標準（超越深度防禦）。這些要求是：

R1：初始風險評估 —— 關鍵設施辨識

R2：R1 初始風險評估的獨立審查

R3：營運商和所有者之間的協調

R4：威脅和脆弱性評估

R5：制訂和實施實體安全計劃

R6：R4 和 R5 計劃的第三方評估

CIP 014 建議採取「系統方法」在關鍵基礎設施內提供實體安全。這種方法使用六種具體操作，它們是：

1. 威慑
2. 偵測
3. 延遲
4. 評估
5. 溝通
6. 回覆

結論

ICS/SCADA 系統代表了實體、工業世界和資訊科技世界的融合 —— 後者被用來充分利用前者，以改善所有人。話雖如此，這些系統既強大又敏感（在資訊和配置方面），需要這些系統的實體安全。

有時這些系統用於關鍵基礎設施，這隻會促進對實體安全的需求。使用深入防禦解決方案是實施這些措施的最佳方法，應儘可能密切遵循。

來源

1. 工業控制系統（ICS）安全指南，NIST
2. 瞭解實體安全對工業控制系統（ICS）的重要性，應用風險
3. 什麼是 SCADA？，感應自動化
4. 公用事業安全：瞭解 NERC CIP 014 要求及其影響，EE 線上
5. NERC-CIP-014 標準內部，SecurityInfoWatch

按此回今日3S Market新聞首頁