如何保护工业网络？

作者: 欧林克

2024-03-29

工业互联网作为低时延、高可靠、广覆盖的关键网络基础设施，能够满足工业智能化的发展要求。它不仅促进未来工业经济的增长，还具有全面、深刻、革命性的影响。然而，我们不能忽视安全问题。面对未来，传统的安全措施已无法应对新的安全威胁。因此，我们需要建立新的安全防护模式，创建全面、主动、协同的工业互联网安全防护体系，以保障工业智能应用的安全可靠。

1. 构建安全的网络基础设施和安全配置

构建安全的网络基础设施对于保障工业网络安全至关重要。这需要在网络设计和架构中应用行业最佳实践，例如采用网络分段减少攻击风险，利用防火墙实施访问控制策略，以及采用虚拟专用网络（VPN）或其他安全通信协议来保护数据传输。此外，组织必须确保所有网络组件（包括工业交换机、路由器和防火墙）都配置最新的安全补丁和更新，以缓解已知漏洞。
保护工业设备防止未经授权的访问和降低网络攻击的可能性关键在于遵循“最小特权”原则，仅授予设备必要的访问权限和功能。也必须替换默认或弱密码为强而独特的密码，并禁用或关闭未使用的密码。此外，组织必须确保设备配置将日志和警报转发至集中安全监控系统，以实时检测和响应潜在的安全事件。

2. 网络分段

如果当前运行的工业网络在机器、区域或功能之间进行了有限程度的分段，那么增强网络安全性的一个良好起点可能是在网络内创建更多分段以限制不必要的通信。除了减少发送到所有设备的广播消息数量之外，分段还可以作为防火墙解决方案的先决条件，同时也是 ISA/IEC 62443等安全方法所需考虑的因素。如果所使用的交换机不支持VLAN等功能，则可能需要考虑升级交换机硬件。

3. 评估当前的网络安全状态

许多网络安全解决方案，包括入侵检测系统（IDS），都需要依赖可配置或网管交换机，这些交换机具备常规交换机所不具备的功能。任何与网络隔离或分段相关的举措都需要使用超出设备 A 和 B 基本通信范围的硬件。在开始实施新的网络安全解决方案或修改网络架构的任何项目之前，必须评估在整个工业网络中安装的网络交换机和防火墙。不能忽略机器设备网络，因为它们可能是未来项目中与工业 4.0 或 IIoT 相关的目标。
在评估时，应考虑交换机可用的物理端口数量、是否处于有效的保修或支持合同之下、具有哪些功能以及目前是如何管理它们的。如果在某个位置发现交换机的端口已完全使用且不支持远程管理或虚拟 LAN（VLAN）等功能，则需要了解将要实施的工程师和网络安全团队计划，以确定需要安装何种类型的交换机。不适当的升级或更换可能会浪费大量时间和成本，因此在不知道当前状况和未来需求的情况下，必须慎重考虑。

4. 增强工业网络安全意识

根据安全意识金字塔，网络安全可分为不同的意识阶段。在该基础之上，需要建立管理层的承诺和支持，并实施安全计划和政策。例如，在制定安全策略时，根据安全配置确定读写权限至关重要。
然而，确保组织中的每个人都遵守这些政策可能具有挑战性。设施经理可能会发现实施网络安全措施很复杂，进而仅实施组级安全而非个人登录凭据。这可能会导致新的网络安全风险。
一旦建立了意识并定义了策略，员工就会更加关注他们的系统设置。虽然检查所有系统漏洞是一项复杂的任务，但开始永远不会太晚。进行风险评估可帮助确定安全优先级，从而更轻松地定义和保护关键资产。建议在检查大型网络时，首先检查配置，并使用可视化软件以便确定任何必要的调整。

什么是串口服务器？

什么是媒体冗余协议