在互聯世界里，因為ICS/SCADA(工業控制系統/監控和數據采集系統)系統與互聯網物理隔離就對網絡攻擊免疫的老一套認知已經不再適用。雖然很多企業已經承認傳統物理隔離正在消失，有些企業依然堅信這是一種切實可行的安全措施。

理論上，物理隔離聽起來是種挺好的策略。但實際操作中，事情往往沒那么簡單。即使在企業已經采取所有能用的方法隔離他們的ICS網絡，與外面的世界斷絕聯系，我們依然可以看到網絡威脅跨越了邊界侵入進來。同時，即便有可能完全物理隔離ICS網絡，內部人士依然會造成威脅。

無論企業是否實現了物理隔離，ICS網絡都存在風險。原因何在，且聽業界人士細細道來：

1. 文件交換的需要

甚至在物理隔離的操作技術(OT)環境中，文件也必須與外界進行交換。此類例子有軟件補丁和來自系統集成方、承包商等第三方的文件等。對手可以利用這一點，誘騙雇員安裝虛假軟件更新和補丁，或者傳輸帶惡意軟件的文件到工業網絡中。

本月早些時候，勒索軟件作者就四處散布了名為“Allenbradleyupdate.zip”的惡意文件，偽裝成洛克韋爾自動化公司的合法更新文件。該勒索軟件若成功安裝，便會鎖定受害計算機，直到機主支付贖金才能登錄系統訪問計算機上的內容。控制系統擁有者和操作者被誘騙安裝上惡意軟件，損害到ICS網絡的威脅是十分現實的。

2. 受感染的個人設備

很多雇員會將個人設備接入ICS網絡，無論僅僅是為充個電，還是通過USB傳輸些文件。受感染的個人設備會將惡意軟件引入網絡，給ICS網絡帶來網絡威脅。

2011年的一份研究中，美國國土安全部(DHS)員工有意在聯邦機構和承包商停車場掉落數據盤和U盤。研究報告顯示，60%的掉落設備(很容易包含有惡意代碼)都被插入到了公司或機構的計算機上。

更近一些的例子，任天堂發布了火爆游戲“口袋妖怪(Pokemon Go)”的限量版App。攻擊者便利用人們對該App的渴求，在第三方App商店里上架了假冒的口袋妖怪App，一旦安裝便會奪取受害設備的控制權。ICS雇員可沒對虛假App下載免疫，隨后再將他們感染了惡意軟件的個人設備連接到ICS網絡，就會讓惡意軟件得以擴散并感染更多的資產。

3. 漏洞和人為過失

與所有網絡類似，ICS環境也對軟/硬件漏洞、設計缺陷等敏感。由于在設計時就沒將安全考慮進去，ICS網絡甚至比IT網絡承受的風險更大。廠商和安全研究人員就經常性曝出操作技術中的新漏洞。然而，大多數ICS網絡的系統并沒有定期更新。

某些情況下，網絡架構或配置上的缺陷，也會創造出可被黑客利用的漏洞。例如，為集成者建立的臨時遠程訪問連接，如果不小心忘了關閉，會造成嚴重的安全風險。另外，需要遠程接入ICS網絡，而又沒有安全接入機制可用的員工，有可能會訴諸“創造性的備選方案”來完成自己的工作。這些計劃外的連接，都可能成為滲漏點，將工業網絡暴露在外。

4. 內部人士威脅

由于ICS網絡內缺乏身份驗證或授權，可信內部人士(雇員、集成者、承包商)便對關鍵資產享有不受限制的訪問權限。無論他們是無意犯錯，還是心懷不滿而故意破壞，造成的結果都與外部敵人帶來的相當(甚至還更多更嚴重)。即使網絡被完全物理隔離，對內部人士威脅都是不免疫的。對這種攻擊方法的唯一防護措施，就是通過不間斷的監控和更好的訪問控制。

5. 聯網技術和工業物聯網(IIoT)

隨著我們邁入現代制造業的下一個階段，聯網技術被越來越多地部署到了制造產業中。聯網技術有時也被稱作工業物聯網，為現代生活提供了很多便利。智能傳感器被用于自動改善性能、安全性、可靠性和節能度。這些技術讓操作經理可以隨時檢查機器、流程、庫存等等的狀態，無論這些東西位于哪里。

這一點，對異地、轉包制造工廠或供應商工廠而言特別有用。為利用這些聯網技術，設施操作員必須開放他們的網絡，也就消除了物理隔離，將網絡暴露在了外部威脅眼前。

無論ICS網絡物理隔離與否，它們都對安全威脅不設防。ICS安全最大的攔路虎，就是對控制層上所發生的活動——也就是對工控設備的訪問和改變，缺乏可見性和控制權。要想在破壞造成之前檢測并響應業務系統中的安全事件，專門為ICS環境而不是IT環境打造的新型監視工具是必須的。