概述
确保自动化和相关OT系统及其组件的安全一直是多年来关注的一个主要领域。这些注意力主要集中在提高安全性和降低已安装系统的风险上。虽然这当然很重要，但这已经不够了。OT系统通常很复杂，包括来自各种硬件和软件供应商的组件。那些操作、支持和服务这些系统的人也使用各种各样的工具来实现他们的目的。用于采购和支持这些系统的供应链可能存在导致重大安全风险的漏洞。
识别和处理这些风险是作为第26届ARC论坛在奥兰多。演讲者迈克尔·费边Synopsys Software Integrity Group和陡崖沃克网络安全和基础设施安全机构的负责人就如何应对这些风险提供了具体指导，并邀请了小组成员桑德拉·帕克道,格伦Aydell巴斯夫,Torey史密斯铁杉半导体的首席执行官分享了他们的观点。
供应链相关风险
在某种程度上与供应链相关的OT系统存在几个潜在风险。当组成OT系统的组件受到损害时，就会发生供应链事件。这一点在最近得到了证明Solarwinds攻击．在这个案例中，一家销售网络管理工具的软件公司的服务器被入侵，导致他们用含有恶意软件的软件更新客户的计算机系统，进而渗透到客户的系统中。
尽管这是最近发生的、被广泛报道的供应链事件之一，但它既不是罕见的，也不是前所未有的。这类攻击越来越常见，后果也越来越广泛。他们经常利用零日漏洞，例如Log4J这是2021年发现的。
尽管许多供应链事件涉及软件漏洞，但如果OT系统的硬件组件受到损害，也可能存在硬件供应链风险。组件可能嵌入了恶意软件，或者可能是假冒的，功能和外观与原件相似，但具有随时可能调用的后门访问。当从第三方或分销商处获取硬件时，核实其来源是非常重要的。
OT系统知识
无论漏洞是涉及硬件还是软件，风险级别仅因目标系统或应用程序的性质而升高。风险通常根据威胁、脆弱性和后果来定义。对于OT系统，可能产生的后果要严重得多。他们通常能够深入了解所控制的系统或过程。这种知识很难从外界的角度获得。
与业务IT系统的接口
在考虑OT系统的安全风险时，通常首先考虑工业控制系统，包括控制器、传感器、逻辑求解器和相关的通信处理器。用于制造操作的系统，如历史记录、工程工作站和多变量控制器也需要注意，特别是因为它们通常与业务IT系统交换信息。这些方法包括用于库存和供应链管理和优化的方法。由于这些系统连接到企业网络，它们可能代表额外的攻击向量。
理解风险
仅仅承认供应链相关风险的存在是不够的。还需要进行进一步的分析，以充分了解这些风险的性质，并制定有效的应对措施。
Synopsys Software Integrity Group的Michael Fabian在奥兰多的论坛研讨会上讨论了这个问题。他的一个关键信息是，视角必须从简单地专注于开发产品和系统的过程扩展到包括供应链的所有方面。图1总结了这条消息。
迈克尔建议，这一范围的扩大导致需要回答几个基本问题，包括:
- 我首先要处理什么角色?
- 负责的是谁?
- 我想采取什么措施?
- 我将使用什么标准来评估这些措施?
花时间为这些和类似的问题准备深思熟虑的答案有助于更好地计划有效的应对措施。
ARC咨询集团客户可在以下网站查看完整报告弧客户门户
如果您想购买这份报告或获取如何成为客户的信息，请联系我们
关键词:可用性、网络安全、IT、制造运营、OT、风险、供应链、ARC咨询小组。