建站
咨詢
售后
建站咨詢
新聞中心
根據(jù)ICS/SCADA專家Ralph Langner表示，關鍵基礎設施運營商采用了安全行業(yè)流行的風險管理理念，這樣做是錯誤的。這位德國安全專家破譯了Stuxnet如何瞄準在伊朗的納坦茲核設施的西門子PLC，他發(fā)布了一個網(wǎng)針對ICS(工業(yè)控制系統(tǒng))的網(wǎng)絡安全框架，他稱這個框架比美國政府的網(wǎng)絡安全框架更適用，目前還是草案的形式。
創(chuàng)新互聯(lián)建站是一家集網(wǎng)站建設,康馬企業(yè)網(wǎng)站建設,康馬品牌網(wǎng)站建設,網(wǎng)站定制,康馬網(wǎng)站建設報價,網(wǎng)絡營銷,網(wǎng)絡優(yōu)化,康馬網(wǎng)站推廣為一體的創(chuàng)新建站企業(yè)，幫助傳統(tǒng)企業(yè)提升企業(yè)形象加強企業(yè)競爭力?？沙浞譂M足這一群體相比中小企業(yè)更為豐富、高端、多元的互聯(lián)網(wǎng)需求。同時我們時刻保持專業(yè)、時尚、前沿，時刻以成就客戶成長自我，堅持不斷學習、思考、沉淀、凈化自己，讓我們?yōu)楦嗟钠髽I(yè)打造出實用型網(wǎng)站。
這個被稱為強大的ICS規(guī)劃和評估(RIPE)框架采用了一種不同的方法來鎖定設施，與NIST的基于風險的網(wǎng)絡安全框架相比，這種方法更多地基于流程。
Langner表示：“大家都知道，ICS環(huán)境缺乏強制執(zhí)行的安全政策，特別是針對承包商。在關鍵基礎設施中更大的資產(chǎn)所有者有針對工作人員的政策，但并不是針對承包商。在Stuxnet之后，這似乎被疏忽了?！?/p>
再有就是ICS / SCADA系統(tǒng)的修補難題：雖然大部分這些企業(yè)聲稱有一個修補方案，但通常修復周期為一年，并且，你會發(fā)現(xiàn)，根據(jù)政策需要修復的系統(tǒng)，通常只有一半真正得到了修復。
在私有ICS環(huán)境，網(wǎng)絡安全只有低優(yōu)先級。Langner估計，95%的關鍵基礎設施運營商沒有專門的安全專業(yè)人士來負責其系統(tǒng)，并且，其ICS安全只占其IT預算的不到1%。
Langner表示：“如果有說明網(wǎng)絡安全能力的指標，那就是資源。如果電廠、煉油廠或者管道運營商沒有專門負責ICS安全的專職人員，關于ICS安全的任何進一步討論都是沒有意義的。”
Langner指出，基于風險的安全方法可以是捏造的，并非基于經(jīng)驗數(shù)據(jù)或者關于ICS環(huán)境的現(xiàn)實。他指出，NIST網(wǎng)絡安全框架讓企業(yè)可以基于“部署層”來確定其部署框架的方向，從而確定其安全狀態(tài)的成熟度。 “幾乎沒有企業(yè)可以簡單地決定其目標部署層，這基本上意味著一個完全不成熟的網(wǎng)絡安全過程?！?/p>
風險管理基本上已經(jīng)成為安全界的“宗教”，Mandiant公司首席安全官Richard Bejtlich表示，“風險管理已經(jīng)深入每個人的心里，但在業(yè)務水平之下，我不認為大多數(shù)IT安全人員都專注于其中?！?/p>
RIPE明確了需要記錄和測量的工廠系統(tǒng)的8個領域來確定安全狀態(tài)：系統(tǒng)數(shù)量，或者軟件和硬件清單;網(wǎng)絡架構(gòu)，包括網(wǎng)絡模型和圖表;組件交互或者工藝流程圖;員工角色和責任，身份、特權(quán)數(shù)據(jù)庫，以及針對所有工作人員和承包商的政策;員工技能和能力發(fā)展，或者培訓課程以及操作和維護記錄;指導，又稱政策和標準操作流程;設計和配置變更，或者工廠規(guī)劃和變更管理流程;以及系統(tǒng)收購，或采購指南。
部署每個步驟都有模板?！拔乙f的是，如果你使用我們的模板，或者通過其他工作來對上述8個領域進行測量，你將能夠提高你的網(wǎng)絡安全態(tài)勢。使用RIPE的人將會對可衡量網(wǎng)絡安全保證比合規(guī)性更感興趣?！?/p>
RIPE還包括這8個方面的度量基準和評分。Langner表示，RIPE是基于工廠車間操作員的見解，這是一個切實可行的辦法，能夠更好地保護這些環(huán)節(jié)。同時，Langner希望RIPE將影響NIST網(wǎng)絡安全框架的最后版本。
分享文章：德專家針對Stuxnet推出新框架 提高ICS/SCADA安全
URL地址：http://m.5511xx.com/article/cdhhggj.html
