尽管一直以来，网络安全是任何行业都会关注的主要问题，但人们普遍认为攻击只会导致丢失专有数据、成为间谍活动的受害者以及面临停工的威胁。但是，2017 年的Triton（也称为Trisis 或HatMan）攻击，显示出了严重攻击的另一方面：可能导致潜在的灾难性事故。下面让我们一起了解一下常见的攻击类型、预防措施以及改进方法。

传统上，工业控制系统（ICS）的设计都是独立运行在独立的控制网络上的，很少有人能预见到网络安全所带来的威胁。但是，随着工业领域其它技术的发展——包括智能传感器、无线网关、远程管理系统、虚拟化、云计算、智能手机和各种商业智能需求，这些工业系统不受外界干扰的可能性会越来越小。

工业控制系统受外部攻击的第一个实例是2010 年的Stuxnet，该脚本的设计旨在破坏运行离心机的工业控制器的脚本。随后是2013 年的Havex 攻击，攻击目标是电网和电力公司；通过它收集大量的数据用于间谍和破坏活动。

2015 年出现了两个威胁：BlackEnergy破坏了工作站上的数据和文件，在乌克兰造成了严重的电力中断，IronGate 在公共资源上被发现，并具有与Stuxnet 相同的功能。在2016 年，Industroyer 还在乌克兰造成了严重破坏，其中恶意软件擦除了数据并在网络上进行了分布式拒绝服务（DDoS）攻击，从而导致乌克兰电网的关闭。

Triton 攻击发现于2017 年。它的发现，可能避免了一场严重灾难的发生。该恶意软件可以感染Triconex 安全控制器，使黑客可以更改安全参数。恶意攻击可能会导致工业设备的安全设定值失效，甚至可能会导致与化工厂爆炸同样严重的灾难事件。

为了应对网络安全威胁，第一步是了解攻击者可能来自何处，因为攻击者通常会使用侦察作为衡量和了解特定时期内目标弱点的第一步。从长远来看，企业可能会使用攻击向量分析来识别攻击者可能使用的不同方法，或者可能倾向使用的系统。所有这些，都需要基于企业资产业务影响分析中出现的风险。用户可以使用一些现成的评估工具，并使用它们将关键资产与非关键资产区分开并合理化，然后对其进行缺口评估（gap assessment）。

攻击者的常见切入点包括：

· 来自外部网络、因特网和远程连接，通过企业资源计划（ERP）软件、网关、数据和文档存储库以及在线历史数据库所进行的入站攻击；

· 防火墙和网关配置不正确；

· 用户通过被盗或伪造的凭证，访问业务工作站和控制计算机；

· 针对生产系统的物理攻击，在大多数情况下，这些攻击是针对人机界面（HMI）、工程师和操作员工作站以及实际过程安全控制器；

· 针对控制网络并使用工业通信协议的横向网络攻击，以发现网络上的其它设备并传播恶意代码；

· 社会工程攻击，其重点是使用个人身份信息来诱骗内部人员给予访问权限、无意中打开网关和运行脚本。

每种类型的攻击都有其自己的预防措施。通常可以分为以下8 种类型。

利用工具和合格的人员对控制网络进行彻底的缺口评估，通常可以发现许多不受监控的访问点，而这些访问点在遵循标准做法来保护控制网络时经常会被忽略。这些威胁可能源于：

· 对工程/ 操作员工作站的访问不受限制；

· 过时的恶意软件检测；

· 尚未得到保护或审计的第三方应用程序和连接器；

· 从控制网络导出数据时缺乏非军事区（DMZ）或数据隔离；

· 连接到公共区域的关键资产。

该任务包括采取措施限制未经授权的访问以及跟踪和停止与未经授权的访问有关的任何活动。这包括：

· 加强对未经授权人员访问的难度；

· 制定管理政策并严格按照计划进行更新；

· 在整个企业中启用多因素身份验证；

· 白名单、添加预先批准的地址、位置和基于端口的警报，以识别人员访问系统；

· 更改所有密码和密码的默认值，并定期更新用户密码。

必须定期将所有控制和安全设备更新到最新的固件版本。虽然例行的非侵入式修补程序是所有关键控制器都应采用的方法，但至少应在每个年度维护周期内进行修补。