网络安全系列：保护数据采集与监控(SCADA)系统免受黑客攻击

水务公司越来越重视建立抵御网络安全威胁的能力。人机界面(HMI)是黑客入侵SCADA系统的最常见的途径之一。在我们的网络安全系列第二部分中，赛莱默产品安全负责人Steven Miller和产品安全工程师Radhika Upadrashta分享了HMI安全部署的最佳实践以及网络运营商可以通过哪些措施来减少漏洞。

赛莱默认为，对供应清洁饮用水、处理污水、报告水质以及测量水、天然气和电力消耗的关键流程加强保护需要采取责任分担的模式，即技术开发商和提供商、集成商、资产所有者和供应链的各个环节都要通力合作。赛莱默的责任是设计和制造包含安全功能的产品。而客户要做的就是了解其流程的固有风险，并采取必要的措施来安全地操作和维护他们的解决方案。

HMI是IT系统中最容易受到攻击的部分。HMI是指用于现场或远程监控机器的仪表板或屏幕。作为控制设备或流程的主要用户界面，HMI是工业控制系统(ICS)基础设施中最常见的攻击入口点之一。未经授权访问HMI可能造成严重后果：运营商丧失控制流程的能力；资产毁损；在极端情况下，可能会在维护期间导致设备受损甚至使用寿命缩短。

所幸的是，运营商可以采取一系列措施来保护HMI，并通过一种方法，在安全性与高效操作所需的功能和响应能力之间取得平衡。

“安全洋葱”层层防御

在设计安全程序时，我们建议采用“安全洋葱”的方法，也就是在系统的各层构建最强大的“护盾”。仅采取单一的措施是不能做到无懈可击的，而是要层层搭建安全体系，其中要综合考虑物理环境、网络、主机和操作系统，以及应用程序或HMI本身等因素，这是一种比较周密的策略，可以最大限度地提升安全水平。

让我们逐层来看：

环境：加强对HMI所处区域（例如控制室或生产车间）的物理访问的保护至关重要。HMI始终处于开启状态，可以轻松访问，甚至在某些情况下，不需要任何形式的身份验证。即使有密码保护，HMI仍然比较容易受到攻击。因此，限制物理访问可以尽量减少恶意部署非法设备或移动电缆的可能性。

网络保护：对于具有网络功能的HMI，搭建额外的网络基础设施以保护更广泛的网络，这一点非常关键。这包括HMI到网络的布线，以及IP寻址、路由器、交换机、Wi-Fi网络/接入点等。通过防火墙来实现网络分段是一种常见的防御措施。

建议实施稳健的网络访问控制(NAC)策略。NAC系统可以识别新的以及之前未知的主机，在获得网络管理员批准之前，控制它们无法访问更广泛的网络。建立强大（和自动化）的网络访问保护可大大降低恶意访问的几率。对网络流量进行加密可以防止窃听，而在远程接入网络之前，在虚拟专用网络(VPN)上执行多因素身份验证(MFA)能有效降低风险。此外，用于监控网络活动的入侵检测防御系统(IDS/IPS)也是一项有效的安全措施。

主机和操作系统保护：指托管HMI及其硬件、接口和驱动器的操作系统。在这一层中构建安全防御的能力取决于HMI是安装在专用主机上（即无法修改的封闭系统），还是通过商用（现成）硬件来查看。

理想的情况是，主机应将攻击面最小化；必须禁用多余的端口（物理和虚拟端口）以及不必要的系统服务。应删除从未用过的应用程序。操作系统安全补丁和防病毒服务应即时更新，远程HMI的连接也应始终通过密码来保护。

应用程序/HMI保护：与主机或操作系统一样，在应用程序层建立防护的能力因HMI制造商提供的安全功能而异。必要时应采取严格的身份验证和授权策略。用户只拥有符合自己角色需要的必需且合理的访问权限。HMI应用程序应通过加密通信来防止窃听并限制对操作系统的访问。

网络安全是构建弹性网络的基石。尽管网络威胁不断演变升级，但水务公司可以采取有效的措施来降低风险并保护自己的关键基础设施，而赛莱默也会为他们提供重要的支持。

点击此处了解赛莱默如何保护网络安全。

查看这篇博客，了解如何开始立即着手规划，做好智能应急响应。