9.4 ICS攻击面

如前所述，与企业 IT 相比，ICS 的攻击面通常最小。大多数环境都被严格分割，能源部在《2020财年国防授权法案》第5726条的指导下，通过安全能源基础设施执行任务组（Security Energy Infrastructure Executive Task Force）赞助了一项研究。这项工作产生了 一系列参考架构，包括根据场地类型规定的电力推荐分割策略， 其中一个例子见图 9.1。
此外，来自北美电力可靠性公司（NERC）关键基础设施保护（CIP）监管标准的建议，管理着北美大规模电力系统，并根据国际电工委员会（IEC）62443系列标准的要求，规定了分割方法，为了保护OT系统免受直接暴露于这些网络和不受这些网络所不信任的企业IT环境的侵害。
仍有成千上万的 ICS 资产暴露在互联网上，其中许多验证薄弱或根本没有验证措施。流行的攻击面浏览器网站 Shodan 有一整个页面专门用于识别这些系统(www.shodan.io/explore/category/industrial-control-systems）。从这个网站上可以看到，即使搜索特定的 ICS 产品，也会有成千上万的结果、 其中很多都存在漏洞，并被用于关键流程中。随着对未连接到互联网的资产进行细分，这对关键基础设施组织意味着什么？许多攻击仍然是通过钓鱼或其他手段从对企业IT网络的一次初始入侵中扩散并随后转移的。但如果这些环境真正是隔离的，那么企业就有必要研究软件是如何通过承包商将软件引入环境，承包商可能会通过引入来自供应商的外国通用串行总线（USB）密钥或通过供应商发送的固件更新CD-ROM来进行操作。这些载体往往与物理安全紧密相连，因此必须采取整体战略控制可以引入的软件。 同样，产品供应商也需要为操作员提供机制，以便在无法使用在线方法时进行离线验证的机制。