烏克蘭電網遭遇黑客攻擊一事震驚世界，據稱其直接造成約70萬個家庭在圣誕前夜陷入一片黑暗。而此次事故也充分證明了關鍵性基礎設施管理部門必須強化自身應對能力，并通過持續努力保證自身體系免受惡意人士的侵擾。

[[162336]]

幾乎可以肯定的是，部分關乎關鍵性基礎設施的工業控制系統(簡稱ICS)用戶需要認真評估自身網絡安全性。意識到這一問題的不光是他們，黑客們也絕對深有同感，并將前者作為一類易于入侵的攻擊目標。根據烏克蘭案例來看，惡意載荷通過魚叉式釣魚攻擊所實現，而后其搜索到了與SCADA系統相關聯的特定運行進程。在完成了這一系列前置工作之后，其中止了對應進程并對其進行覆寫，從而直接令對應設備無法正常運行。

黑客載荷的交付過程并非罕見現象，因此只要能夠根據用戶環境做出一些針對性培訓，這類狀況完全可以被避免——或者至少能夠得到有效控制。不過ICS關鍵性基礎設施卻由于以下業務特性的存在而面對多種特殊挑戰：

* 彼此孤立的運營文化 – 傳統IT部門及其運營技術(簡稱OT)之間往往存在著溝通障礙，或者說彼此孤立。如果雙方無法根據同樣的執行目標定義出明確的職能角色與工作內容，那么企業自身將會成為實現安全保障的最大天敵。由于存在著陡峭的學習曲線，運維技術部門對于IT工作幾乎沒有任何經驗，而IT部門雖然擁有相當程度的技術理解、但也同樣不了解運維工作在企業體系中的實際需要。這就導致企業內部存在著嚴重的溝通沖突與障礙，意味著惡意人士將樂于利用這種不協調性達到自己的邪惡目的。

* 新技術，但缺乏對應培訓 – 隨著傳統SCADA系統的逐漸過時以及企業逐步對自身技術堆棧進行更新，眾多部門在脫離既有熟悉環境的同時卻赫然發現自己很難適應這個陌生的數字化互連新世界。這種融合性特征相當于給互操作性風險敞開了大門。當員工幾乎不具備必要的新型IT基礎設施運營背景時，企業需要留出必要時間幫助他們理解相關工作，并弄清聯網設備給企業帶來的前所未有的風險。更糟糕的是，某些設備甚至會直接接入外部互聯網，這就進一步增加了風險水平。具體來講，攻擊者完全可以利用傳統通道識別并侵入到SCADA環境當中。這種工業控制系統技術的融合趨勢再加上多年來積累得出的“不作為”管理思路，就造成了工業控制系統遭遇入侵的最核心誘因。

* 被供應商所誤導 – 硅谷的各技術方案供應商對于運維技術往往不甚了解，因此也就無法確切滿足這一領域中的客戶需求。在另一方面，傳統工業控制系統廠商則見證了技術市場的不斷增長，并希望借此實現自身業務拓展——但他們并沒能完全了解目前的網絡風險狀況并提供針對性的IT解決方案。目前的主要風險在于，運維技術部門并不完全了解網絡風險，而供應商亦不完全了解其簽訂的服務協議。由此帶來的最終結果就是我們由于部署了易受攻擊的系統而暴露在惡意人士的射程當中。

那么，我們該采取怎樣的途徑解決上述難題?一位前任關鍵性基礎設施部門CISO在這里提供了幾項值得認真考量的建議：

1. 以身作則。成功的發展文化取決于企業領導者們的直接選擇。這一點與我們對個人健康的關注可謂殊途同歸。大家可以堅持選擇健康食品，保持一定程度的運行量并挑選理想的生活環境，而這一切都能夠讓我們的生命體征擁有更為可靠的穩定表現。當然，大家也可以繼續保持自己目前的糟糕生活習慣，忽略一切正確的建議并選擇聽天由命的人生態度。選擇權把握在我們手中，是否改變完全由各位決定。IT與運維技術部門也是這樣，需要通過坦誠的交流來探討需要做些什么來以專業方式降低自身未來可能面臨的風險。

2. 使用智能驅動型防御機制。智能化機制能夠幫助我們制定決策并采取行動。如果不了解自己到底面臨著怎樣的風險，那么大家根本沒辦法采取正確的防御方式。而這樣一套智能驅動型防御機制必須成為企業風險管理機制中的組成部分。我們投入對應的精力與資源，但其只需要幾個月就能快速見效——而非數年。其中的關鍵在于，確保我們自身以及所在企業能夠抵御各類惡意攻擊者，同時在法庭、監管行動、品牌保護乃至其它任何與個人及企業整體相關的事務當中占據主動地位。

3. 管理相關供應商。IT、運維技術與企業法務部門之間需要進行溝通。而且如果越來越多工業控制系統用戶將自己針對網絡安全要求的聲音傳達給供應商，他們一定會在市場上據此做出反應并朝著正確方向前行——具體包括合同內容約定乃至產品交付流程。總而言之，我們之所以容易遭受攻擊，主要是因為我們部署了易受攻擊的系統。現在必須扭轉這種不利局面。

4. 基礎設施劃分。是的，對現有業務進行劃分及隔離需要投入大量精力，但其結果絕對物有所值。任何違規事故都能夠在關鍵性基礎設施與相關執行方案得到劃分與隔離后得到有效緩解。在工業控制系統領域，我們建議將數據條目進行分割以實現這類隔離效果。

智能驅動型工業控制系統關鍵性基礎設施能夠幫助我們做出決策并采取行動，并徹底改變我們面對攻擊活動時受到的影響。考慮到烏克蘭電網遭受攻擊的現實，防止人們受到嚴重影響的既定效果絕對值得我們為之付出努力。