网络安全与关键基础设施

　　2021 年 5 月，美国最大的成品油管道系统 Colonial Pipeline 遭受了破坏性的网络攻击。该漏洞是由于 VPN 密码易受攻击导致的，导致该公司关闭运营数日，导致东海岸石油短缺。这只是对关键行业的破坏性攻击的一个例子。

　　关键基础设施对于人们的日常生活至关重要，例如英国政府表示，有 13 个部门属于“关键基础设施”的范畴，包括化工、民用核能、通信、国防、紧急服务、能源、金融、食品、政府、卫生、空间、运输和水。所有这些提供对社会日常运作至关重要的服务都是最敏感和机密数据的蜂巢，威胁者可以很容易地在暗网上将这些数据货币化，进一步推动网络犯罪和破坏。

　　不幸的是，网络犯罪分子并没有忽视广泛破坏的可能性。事实上，美国网络安全和基础设施安全局 ( CISA ) 已敦促英国迅速采取行动，警告其政府可能成为 9-11 式网络攻击的受害者。今年，澳大利亚、加拿大、新西兰、美国和英国的网络安全当局还呼吁关键基础设施的捍卫者为俄乌冲突后网络攻击的升级做好准备。

　　世界各地已经感受到这种增加的风险，从古巴和秘鲁政府到南斯塔福德郡水务公司等水务公司以及丹麦最大的火车运营商和受供应影响的 NHS，各种国家和公共机构都成为攻击目标连锁攻击。随着全球政治紧张局势加剧，我们的关键基础设施再次受到攻击的可能性不仅令人担忧，而且极有可能发生。那么，让我们来看看当前的威胁形势是什么样的，以及企业和政府机构如何更好地保护自己。

　　为什么关键行业的风险更大?

　　这种对关键基础设施的关注是有意为之的。网络犯罪分子充分意识到任何中断对重要服务的影响，不仅是财务方面的影响，还有公众信心方面的影响。例如，在公用事业中，你不能期望人们没有电或水，这意味着企业更有可能在勒索软件攻击的情况下支付费用。黑客也非常敏锐，会在动荡时期发动攻击，例如利用持续的能源危机作为网络钓鱼或中间人攻击的切入点。

　　关键基础设施组织的另一个常见风险因素是它们都拥有高水平的相互连接的传统技术。这可能包括可能不会每天使用但仍处于活动状态的旧设备，或者对业务流程至关重要但只能在无法修补的旧软件上运行的机器。尽管这些遗留物存在于我们的托管网络中，但大部分遗留物并不属于我们的数字和安全团队的所有权。诚然，某些行业比其他行业更依赖于其他行业，例如公用事业，但每个人都有自己的战斗需要克服。

　　由于对其技术资产缺乏统一的理解，这些行业更难实施整体安全策略，同时也为黑客提供了更多访问更广泛网络的途径。

　　连接性增加是问题所在吗?

　　物联网设备的引入加剧了这个问题，这些设备管理起来极其复杂，而且很少在构建时考虑到安全性。随着企业收集更多数据并扩展其网络基础设施，它们对黑客的吸引力就越大，防御威胁的难度就越大。

　　重要的是不要忘记过去的经验，例如殖民地管道，而是用来推动下一步。虽然增加的连接性确实扩大了攻击面并使其更难管理，但有一些技术可以帮助保护物联网设备免受新威胁，并使这一过渡期更加顺畅。

　　重要的是我们不要阻碍技术进步。如果我们看看运输行业，当我们登上飞机时，我们不知道飞行员是处于控制之中还是处于自动驾驶状态。但我们仍然放心地去度假和旅行。尽管无人驾驶汽车的连接性和对 IT 的依赖程度有所提高，但在无人驾驶汽车的进步方面，有可能建立相同水平的信任。为实现这一目标，制造商需要在这些产品中构建安全性。如果事物在设计时考虑到了安全性，它们就不太可能被破坏。这是一个可传递的信息，需要支持每个部门的每一个新决策，尤其是关键基础设施。

　　保护我们的未来

　　许多组织擅长风险管理，但缺少涵盖从员工参与和 BYOD(Bring Your Own Device，指携带自己的设备办公)安全到防火墙管理和反恶意软件保护的端到端网络战略。缺少任何一个元素都可能产生具有破坏性后果的漏洞。

　　这有什么收获?我们认为有四个关键要素：

　　沟通是关键：企业的力量取决于最薄弱的环节，因此在企业内部从管理层到 IT 部门进行公开对话至关重要。如果管理不当，任何可以访问公司网络的设备都可能允许黑客获得访问权限。向家庭和混合工作的转变使问题成倍增加，因此组织应该与员工交谈并教育他们如何保持安全。

　　可见性和网络分段：如果不了解其中的资产，就不可能成功保护网络。进行全面盘点，包括云资产和数据存储，将暴露任何弱点，例如未修补的安全更新或固件过时的设备。绘制网络图后，企业就可以实施网络分段等策略，创建虚拟的内部屏障，阻止黑客横向移动并造成广泛破坏。

　　CISO 需要尽自己的一份力量：CISO(首席信息安全官)的作用是确保管理层对企业面临的风险有更深入的了解。 CISO 的工作是影响他们并用他们理解的语言向他们表达清楚。这意味着要详细说明安全性薄弱的业务后果。CISO 与更广泛的企业之间普遍缺乏沟通，这需要改变，以更好地保护我们的关键服务。

　　需要一个总体权威：当我们审视关键基础设施面临的挑战时，很明显，所有行业的企业都需要提升他们的网络安全计划。但是他们不能自己做。我们需要一个统一的监管机构来帮助这些部门实施标准做法。这将减少网络安全支出的差距，例如在能源和水资源方面的差距。

　　如今，我们的关键基础设施是一盏明亮的灯塔，吸引着四面八方的网络犯罪分子。威胁级别继续增长，后果只会变得更加严重。现在是采取行动的时候了，预防应该成为他们为更好地保护自己而采取的每一步的核心。