工業(yè)4.0時(shí)代，制造商需要提高安全性
制造業(yè)是第四大目標(biāo)行業(yè)，了解其風(fēng)險(xiǎn)的制造商將能夠構(gòu)建必要的安全成熟度。
制造業(yè)的數(shù)字化轉(zhuǎn)型，通常被稱(chēng)為工業(yè)4.0，正在為現(xiàn)代工廠帶來(lái)連接性和效率的新世界。智能工廠將新技術(shù)，如工廠自動(dòng)化、人工智能和物聯(lián)網(wǎng)等整合到生產(chǎn)和供應(yīng)鏈的各個(gè)層面。無(wú)論是工廠車(chē)間的機(jī)器人，提高安全性的可穿戴設(shè)備，還是通過(guò)物聯(lián)網(wǎng)監(jiān)控設(shè)備數(shù)據(jù)，采用工業(yè)4.0是行業(yè)持續(xù)成功和創(chuàng)新的前進(jìn)之路。
數(shù)據(jù)顯示，智能工廠設(shè)備市場(chǎng)預(yù)計(jì)將從2021年的2956.5億美元擴(kuò)大到2026年的5000億美元以上。然而隨著工業(yè)4.0的興起，網(wǎng)絡(luò)安全威脅也在增加。
根據(jù)Kroll的《2021年第四季度威脅狀況》報(bào)告，制造業(yè)是第四大受關(guān)注的目標(biāo)行業(yè)，僅次于專(zhuān)業(yè)服務(wù)、技術(shù)/電信和醫(yī)療保健，同時(shí)網(wǎng)絡(luò)釣魚(yú)也是針對(duì)制造業(yè)最常見(jiàn)的攻擊媒介。
威脅攻擊面只會(huì)繼續(xù)擴(kuò)大。現(xiàn)在采取措施了解其存在風(fēng)險(xiǎn)的制造商將能夠更快構(gòu)建起應(yīng)對(duì)互聯(lián)技術(shù)所需的安全成熟度。
制造業(yè)的安全成熟度
制造業(yè)在安全上存在的問(wèn)題：
安全成熟度相對(duì)較低;
核心流程連接及網(wǎng)絡(luò)環(huán)境復(fù)雜;
存在行業(yè)商業(yè)機(jī)密，行業(yè)對(duì)服務(wù)中斷非常敏感。
在過(guò)去，制造業(yè)關(guān)鍵任務(wù)系統(tǒng)是隔離的，或者沒(méi)有聯(lián)網(wǎng)。這在一定程度上使得攻擊者將目標(biāo)轉(zhuǎn)移到金融服務(wù)或醫(yī)療保健領(lǐng)域，這兩類(lèi)行業(yè)擁有利潤(rùn)豐厚的資產(chǎn)及聯(lián)網(wǎng)設(shè)備，且網(wǎng)絡(luò)中斷產(chǎn)生的影響很大。
如今，制造業(yè)正在采用聯(lián)網(wǎng)設(shè)備分析更多數(shù)據(jù)，并將數(shù)據(jù)輸入定制軟件中，因此對(duì)安全成熟度的需求迫在眉睫。對(duì)安全的需求不僅局限在IT部門(mén)，而是需要考慮技術(shù)、運(yùn)營(yíng)和安全等各方面在為確保關(guān)鍵數(shù)據(jù)和設(shè)備安全共同努力。
當(dāng)前制造業(yè)面臨的網(wǎng)絡(luò)威脅
制造業(yè)面臨的威脅主要有三類(lèi)。
傳統(tǒng)的網(wǎng)絡(luò)威脅包括針對(duì)IT系統(tǒng)的勒索軟件、數(shù)據(jù)盜竊、供應(yīng)鏈攻擊和知識(shí)產(chǎn)權(quán)盜竊。這些都是嚴(yán)重的威脅，可能會(huì)耗費(fèi)制造企業(yè)的時(shí)間、金錢(qián)和信譽(yù)。特別是小型制造商，尤其是由于時(shí)間、資源或招聘能力有限，還沒(méi)有建立強(qiáng)大的防御體系來(lái)應(yīng)對(duì)這些威脅。
制造企業(yè)也面臨著針對(duì)工業(yè)控制系統(tǒng)(ICS)的針對(duì)性攻擊的獨(dú)特風(fēng)險(xiǎn)。隨著運(yùn)營(yíng)技術(shù)(OT)與傳統(tǒng)IT資產(chǎn)(包括連接的工業(yè)物聯(lián)網(wǎng)(IIoT)設(shè)備)的合作越來(lái)越緊密，在這些設(shè)備組之間架起橋梁變得越來(lái)越容易，并削弱最初設(shè)計(jì)或配置為孤立網(wǎng)絡(luò)的OT。這不僅會(huì)導(dǎo)致敏感信息的泄露，還會(huì)導(dǎo)致服務(wù)中斷和交付延遲。
針對(duì)制造業(yè)的另一層威脅涉及定制軟件。為了理解連接系統(tǒng)創(chuàng)建的數(shù)據(jù)，并利用這些數(shù)據(jù)提供的效率優(yōu)勢(shì)，必須將這些數(shù)據(jù)輸入其他軟件。該軟件通常是針對(duì)單個(gè)公司的技術(shù)和數(shù)據(jù)資產(chǎn)定制的。這個(gè)軟件和它所運(yùn)行的基礎(chǔ)設(shè)施可能是一個(gè)有吸引力的目標(biāo)。如果這些軟件從開(kāi)始設(shè)計(jì)就沒(méi)有考慮到安全性，并且在實(shí)現(xiàn)和維護(hù)時(shí)沒(méi)有考慮到安全性，那么定制的軟件就可能成為讓攻擊者進(jìn)入的薄弱環(huán)節(jié)。
下一步：安全采用工業(yè)4.0
出于效率的原因，包括準(zhǔn)時(shí)制生產(chǎn)和工作場(chǎng)所監(jiān)控，工業(yè)4.0將會(huì)更有效率和精準(zhǔn)，將更具成本效益和安全。但從長(zhǎng)遠(yuǎn)來(lái)看，首先確保安全、高質(zhì)量的產(chǎn)品投放到市場(chǎng)比在出現(xiàn)問(wèn)題時(shí)不得不召回更有效且損失更小。
在安全方面，也是這個(gè)道理。從一開(kāi)始就考慮到安全性，無(wú)論是連接的基礎(chǔ)設(shè)施和將系統(tǒng)連接在一起的自定義代碼方面，注重安全性都會(huì)使得操作更順暢，并避免事件響應(yīng)帶來(lái)的重大業(yè)務(wù)中斷、成本和聲譽(yù)損害，以及隨后的代碼重構(gòu)或安全漏洞被利用后的基礎(chǔ)設(shè)施。
有效地準(zhǔn)備和防御工業(yè)4.0的安全挑戰(zhàn)需要做出努力，不但需要IT人員，還需要以外的人的行動(dòng)和主動(dòng)性。簡(jiǎn)而言之，它需要專(zhuān)門(mén)的網(wǎng)絡(luò)安全專(zhuān)業(yè)知識(shí)，需要能夠持續(xù)分析風(fēng)險(xiǎn)和威脅狀況的人員。這項(xiàng)工作需要專(zhuān)業(yè)人員，他們知道如何設(shè)計(jì)和實(shí)施有效的安全控制，以確保軟件安全，防止主動(dòng)威脅，能夠理解日志數(shù)據(jù)，識(shí)別異常，并響應(yīng)攻擊。他們還可以監(jiān)督在編寫(xiě)和處理數(shù)據(jù)的應(yīng)用程序中，是否遵循了安全設(shè)計(jì)和安全編碼規(guī)范。
來(lái)源：