工程师如何应对OT系统网络安全部署中的工程实施挑战？本文深入剖析了系统集成商和网络安全供应商面临的不同挑战以及解决方案。

　　网络安全正成为最受关注的话题之一，因为它与公用事业和制造业中使用的运营技术（OT）系统有关。美国国家标准与技术研究院将OT定义为“与物理环境交互的可编程系统或设备”，它涵盖了在当今工业领域中部署的大多数电子设备。

　　如果不重视网络安全问题，我们将无法避免在下一个头条新闻中出现水处理设施、管道、食品加工厂或工业制造商遭受勒索软件攻击的事件。网络安全是现有基础设施中最大的漏洞之一。未解决的网络安全漏洞可能会导致影响企业声誉、盈利能力和安全性的重大问题。同样令人担忧的是，当没有资质的设计工程师提出不切实际的"防黑客"系统宽泛要求，却未明确任何具体规范。

　　尽管许多人意识到需要加强网络安全，但他们并不了解实施全面的网络安全控制意味着什么。多年来，对于诸如数据采集与监视控制系统（SCADA）或可编程逻辑控制器（PLCs）等系统，其思路一直是尽快让它们运行，并尽可能高效地保持运行。

　　很多时候，OT系统由电工或专业仪器和控制人员支持，但他们对高级网络和软件组件了解有限。将网络安全作为由工程公司设计并由承包商安装的改进项目，可能是实施全面安全系统的有效方法。然而，如果负责实施网络安全的专家不熟悉建设项目的执行方式，会发生什么情况？

▲安装在服务器机架中的防火墙，用于保护监控和数据采集网络。

　　设计工程师很快就会发现，若其文档（图纸与规范）不够清晰、具体且详尽，客户最终获得的系统将难以达标。承包商的专业知识水平常直接影响成果质量，这可能使情况复杂化。

　　当开始在项目中实施网络安全需求时，我们通常认为只要清楚期望是什么，就可以利用行业最佳标准并强制执行，就像在实施传统SCADA系统时，对系统集成商的需求一样。

　　虽然在设计过程中创建需求可能很容易，但在施工开始后，负责实施系统的组织通常面临以下两种情况：

　　■ 缺乏执行项目要求的资质。其结果是交付一个有瑕疵的系统，其基本需求实施不力或根本没有实施。

　　■ 缺少设计/招标/施工过程的相关经验。这会给合同的执行带来挑战，如果安装人员默认使用其标准产品，可能会导致项目延迟或对系统需求的意外变更。

　　传统的系统集成商是工业机箱生产、PLC编程和人机界面（HMI）图形创建方面的专家。这些系统利用以太网通信，并因其易于使用和设备制造商的广泛采用而迅速取代早期技术。从成本角度考虑，能够在以太网网络上接入越来越多的设备这一点极具吸引力。因此，系统集成商需要熟悉以太网网络的基础知识，然而，这通常也就是他们以太网经验的全部了。

▲带有管理程序的服务器机架，用于运行与运营技术系统相关的虚拟机。

　　尽管集成商在持续开发专业知识，但在很多情况下，系统集成商所部署系统的网络架构是扁平的网络，没有或只有有限的网络分段。网络上的任何设备都可以看到任何其它设备，此时如果用户可以物理访问网络，则可以完全控制所看到的设备。

　　此外，HMI软件包通常安装在基于Windows的操作系统上。在许多情况下，一旦操作系统安装完成，就会急于让HMI投入使用。安全往往是在某些东西无法正常工作时才被考虑的。联系任何技术支持，他们会首先要求用户关闭防火墙。然而，当问题解决后，他们是否告诉用户重新打开防火墙呢？这是一个常见的疏忽，因为过去的重点一直是过程控制，而不是保护执行过程控制的设备。

　　假设系统集成商能够在没有网络安全背景的情况下部署符合新的网络安全要求的解决方案是不现实的。虽然一些集成商足够聪明，能够弄清楚网络安全控制的实施，但缺乏经验的员工很难确定这些控制措施的实施是否得当。最终用户只能信任这些控制已经正确完成，或者自己花钱来验证。很难信任一家在该领域经验不足的公司。因为如果失败，后果可能是毁灭性的。

　　许多网络安全供应商的商业模式始于最终用户联系供应商以改进其系统。供应商将到达项目现场，进行初步评估，向客户介绍他们的建议，并实施他们的典型产品。在传统的设计/投标/建设项目中，问题在于大部分初始现场调查、最终用户教育和设计已经完成。

　　在基于风险的方法中，设计人员以反映系统使用情况和系统风险的方式实施控制，重点关注关键资产。实施方式因客户而异，安全供应商提供的标准或典型产品可能并非在所有情况下都适用。

　　图纸和规范用于详细说明将要执行的工作范围。然而，许多网络安全供应商并不熟悉承包商和系统集成商每天所用的设计文档。供应商可能会遵循他们的典型项目流程，而没有意识到合同中规定了他们需要提供什么。更糟的是，许多旨在改善网络安全的设备制造商并不熟悉这类项目的执行。例如，在如何提交文件以获得批准方面，他们几乎无法提供支持，这在施工期间是很常见。

▲与用于监控和数据采集系统的服务器设备相关的网络布线。

　　虽然系统集成商对网络安全越来越精通，但网络安全供应商仍可以在某些方面提供帮助。首先，他们需要与提供这类服务的公司进行讨论。与您经常合作的集成商交谈，让他们了解网络安全需求方面的问题。尝试与专门从事网络安全实施的公司建立新的联系，并描述他们所负责设计的项目类型，以便其更好地了解如何执行项目。同时，介绍系统集成商认识网络安全供应商也会有所帮助。

　　在某些情况下，与网络安全公司讨论设计信息可能会有所帮助。询问他们在设计中会采取哪些不同做法，或者需求是否偏离了他们的标准产品。即使他们的意见与最终用户需求不一致，也有助于理解他们的观点。

　　对于系统集成商来说，雇佣一家网络安全供应商作为分包商通常符合其最佳利益。这使系统集成商能够主导这项工作，教导网络安全供应商如何能最好地执行项目需求。尽管这似乎是一个理想的解决方案，但项目建设很少一帆风顺。设计工程师或施工经理也需要努力确保项目执行。确保重要的协调会、提交文件和测试程序的顺利完成，对于项目的成功至关重要。如果不鼓励尽早完成这些活动，在项目执行过程中才进行可能会因为太晚而导致效果不佳。

　　实现有效的 OT 系统网络安全需要系统集成商和网络安全供应商之间的合作、清晰的设计文档和积极的项目管理，以确保稳健可靠的网络安全配置。尽管实施过程必然存在挑战，但在设计中纳入网络安全要素尤为重要。施工过程中出现的挑战不应导致设计师偏离项目要求。了解项目整体也有助于以更具影响力的方式塑造项目。在设计和施工过程中花费更多的精力指导系统供应商，对于提升工业控制系统（ICS）网络安全将大有帮助。

　　■ 了解在为工业控制系统实施网络安全时，系统集成商和网络安全供应商所面临的不同挑战。

　　■ OT系统有效的网络安全需要各方的协作和主动的项目管理，以确保稳健可靠的安全配置。

　　您正在采取哪些措施来满足OT系统的网络安全需求？