В свете текущего состояния конвергенции ИТ и ОТ и многочисленных связанных с ней рисков кибербезопасности компаниям рекомендуется всесторонне усилить меры безопасности во всех аспектах, включая управление, технологии и операции. Технически им следует сосредоточиться на трех основных областях: базовые технологии безопасности, данные и ситуационная осведомленность. Архитектура технологий конвергенции безопасности ИТ и ОТ показана на рисунке 3.
Сосредоточьтесь на базовой технологии безопасности
В условиях конвергенции ИТ и ОТ интеграция технологий безопасности стала неизбежным вариантом. С точки зрения безопасности, независимости и управляемости, за счет применения облегченной внутренней технологии шифрования и технологии безопасного доверия, можно тесно интегрировать основные компоненты промышленного управления, такие как ПЛК и RTU (удаленный терминальный блок), с технологией защиты с шифрованием. защита связи с хост-компьютерами, идентификация протокола и обнаружение контента для сетевых коммуникаций, а также защита собственной прошивки и целостности данных. По сути, он обеспечивает внутреннюю безопасность, которая защищает как от внутренних OT-угроз, так и от ИТ-угроз.
объединение данных
Объединение данных в основном выполняется на уровне сбора данных и уровне обработки данных.
(1) Интеграция функций зондов трафика на уровне сбора данных. ИТ-зонды в основном собирают данные с общего сетевого оборудования, оборудования безопасности и терминалов, тогда как OT-зонды в основном собирают данные с локального промышленного оборудования управления, оборудования автоматизации, систем управления/мониторинга и терминалов. Эти данные представляют собой большой источник данных для промышленной информационной безопасности, включая различную информацию, такую как необработанные данные о сетевом трафике, данные об активах, данные о поведении устройств, данные аудита, метаданные и т. д. Существует два способа достижения конвергенции. Этот метод исследует и анализирует сходства и характеристики данных OT с точки зрения активов, событий, уязвимостей и сигналов тревоги, создает единый метод представления данных сети промышленного управления, который не зависит от сетевых протоколов или сценариев промышленного управления, и использует этот метод для разработки «предварительных исследований». Зонд — это метод, который реализует функции объединения при одновременном сборе данных ИТ и ОТ. Другой метод — использовать общий зонд для ИТ и ОТ при сборе данных, а после сбора выполнить анализ объединения данных на функциональном уровне для абстрагирования общих функций и характеристических функций.
(2) Интеграция моделей анализа и обработки данных. ИТ и ОТ необходимо очистить свои соответствующие данные и сохранить их в единой базе данных. В методах анализа данных используются такие методы, как корреляционный анализ и машинное обучение, для построения специальных моделей правил на основе соответствующих векторов признаков и сценариев использования. Их модели объединяются с соответствующими базами данных разведки угроз для анализа аномального поведения и оценки рисков. На уровне анализа данных ИТ и ОТ используют схожие методы, которые отличаются только моделями данных, правилами и протоколами, и очевидно, что построение универсальных моделей анализа возможно.
(3) Интеграция базы данных аналитики угроз. Анализ сетевых угроз ИТ и ОТ помогает предприятиям принимать решения по реагированию на связанные угрозы и риски, выявляя потенциальные риски и угрозы для сетевых активов ИТ и ОТ соответственно, а также предоставляя соответствующие среды, механизмы, индикаторы, воздействия и практические предложения. В настоящее время базы данных аналитики сетевых угроз ИТ и ОТ недостаточно совместно используются, что препятствует совместной осведомленности и единообразному реагированию на угрозы безопасности. Решение состоит в том, чтобы абстрагировать и разделить аналитические категории, записи и структуры данных в базах данных ИТ и ОТ и разработать единую структуру данных для преобразования форматов, унифицированного хранения и унифицированного распространения. Это позволяет детально идентифицировать события безопасности и угрозы.
Интеграция ситуационной осведомленности
На уровне представления ИТ- и ОТ-системы представляют активы корпоративных систем, уязвимости, угрозы, журналы, оповещения и ситуационную осведомленность с аналогичными функциями и преимущественно визуальным интерфейсом. Такая интеграция обеспечивает единое представление, обеспечивающее скоординированное реагирование и управление сложными рисками безопасности. В то же время интерфейсы приложений могут быть настроены в соответствии с нормативными требованиями национальных министерств по кибербезопасности, обеспечивая унифицированную отчетность по данным и получение унифицированной информации об угрозах.