工业控制系统安全评估流程资产评估

资产评估

资产识别与分类

尽可能全面地识别出被评估对象的所有资产，为后续的评估过程提供关键的信息，但是工业控制系 统中收集资产较为困难，往往会有遗漏，且目前采取的方法一般为访谈式和调查式，难以保证资产收集 的准确性。
可以尝试通过如下方法进行资产识别：

1. 查询采购记录。
2. 查询资产数据库
   。1. 初步的资产清单与最新的、最准确的网络拓扑进行交叉验证。
3. 人工巡检、现场核查 ( 顾问访谈 / 问卷调查 )。
4. 使用资产发现工具获取资产信息 ( 例如 :工业控制系统
   漏洞扫描工具 )。依照如上方法对待评估系统识别出的资产做以列举，形成资产清单表。在列举工作中最好采用分类 的方式为资产进行归类整理，例如可以从如下维度进行。
   表 3.1 资产参考表
   **资产类别 资产品牌 资产型号 详细版本 其余信息 **信息
   软件
   硬件
   系统
   人员 安全意识、安全操作技能等。
   管理制度 人员培养制度、组织架构管理、操作站工作指导书、安全规定等。
   应急体系 应急生产支撑体系、不可抗力故障支撑体系、突发性威胁响应体系等。
   备注：在工业控制系统中使用主动扫描方式发现资产风险较大，建议使用被动扫描的方式或者无损 扫描方式进行。

网络拓扑审查

该步骤与资产识别步骤可以交叉、比对进行，尽可能详细地绘制出最新的、最准确的业务 / 运营目 标对象网络拓扑图，梳理清楚设备、组件等之间的连接关系。

数据流

审查对照网络拓扑，在其基础上添加数据流要素，形成一张动态的资产、网络元、数据交互的图谱，不 仅有助于发现现阶段业务 / 运营目标对象网络中的已知问题（例如信息泄露途径、非法接入等），还可 以作为应急响应分析过程中的重要输入资料。

风险资产预筛

对于资产预筛选的依据与标准可参照如下表，将资产关键性分为 5 个等级， 由高到低关键性依次减 弱。
表 3.2 资产等级及含义描述
|等级|标识|描述|
|5|很高|非常关键，其安全属性破坏后可能对组织造成非常严重的损失，损失难以弥补。|
|4|高|非常重要，其安全属性破坏后可能对组织造成比较严重的损失，损失较难弥补。|
|3|中|比较重要，其安全属性破坏后可能对组织造成中等程度的损失，损失可以弥补。|
|2|低|不太重要，其安全属性破坏后可能对组织造成较低程度的损失，损失容易弥补。|
|1|很低|不重要，其安全属性破坏后对组织造成微弱的损失，甚至可以忽略不计。|

脆弱性评估

脆弱性是资产本体固有存在的，如果没有对应的利用方法，单纯的脆弱性本身不会对资产造成损害。 如果系统足够健壮，即使再严重的威胁也不会导致安全事件发生。即威胁总是要利用资产的脆弱性才可 能造成危害。
资产的脆弱性具有隐蔽性，有些脆弱性只有在一定条件和环境下才能显现，这是脆弱性识别中最为 困难的部分。不正确的、起不到应有作用的或没有正确实施的安全措施本身就可以理解为是一种脆弱性。
脆弱性识别是风险评估中最重要的一个环节。该环节需要识别出系统具有的漏洞，然后与资产、威 胁源、攻击向量等关联起来，分析出系统所面临的风险。
工业控制系统面临的脆弱性可以从以下几个方面分析。如下图：
安全 策略
通信与 架构与 配置 设计
工业控制系统 面临的脆弱性
产品开 配置与 发过程 维护
物理 环境
图 4.1 工业控制系统脆弱面

安全策略脆弱性

下表为工业控制系统中常见的安全策略脆弱性的描述。
表 4.1 安全策略脆弱性检查表

由于策略制定不完整或者缺乏针对工业控制系统安全的详细策略，导致工业控制系统存在脆弱 工业控制系统安全策略制定 性。
不完整 制定策略时，每一项的对抗措施都应该在策略中有迹可循，从而确保一致性与可问责性。
安全策略必须将工业控制系统环境中使用的便携设备与移动设备考虑在内。
无正规的工业控制系统安全 将正规的安全培训相关内容形成文件，能够帮助工作人员及时了解机构的安全策略、规范的操 培训计划 作程序、可能存在的安全威胁、行业网络安全标准和建议措施等内容。
工业控制系统设备实施指南 应该保证设备实施指南及时更新并且方便获取。在部分工业控制系统设备出现故障情况下，实 缺失或者不完备 施指南是安全处置中不可或缺的部分。
安全策略实施管理机制缺失 负责实施安全策略的工作人员应当承担管理安全策略和安全程序文档的责任。
应当制定程序和进度表，用于确定安全计划及其组成控制措施正确实施的程度，以及是否按预 工业控制系统安全控制措施
期运行且达到满足工业控制系统安全要求的预期效果。这种策略应当涉及生命周期的各个阶段 有效性审查不完善
以及业务 / 运营目标、专业技术、方法和独立程度等内容。
应当制定应急预案并对其进行演练测试，以确保当软硬件出现重大故障或者设施损坏时应急预 没有针对工业控制系统的应
案可以付诸实施。缺乏专门针对工业控制系统的应急预案可能导致停机时间延长并产生巨大损 急预案
失。
缺少工业控制系统配置变更管理的策略和程序可能导致无法对硬件、固件和软件进行管理，并 缺乏配置管理策略
存在易受攻击的漏洞。
访问控制的实施取决于策略对角色、职责和授权的正确建模。策略模型必须按照机构运转的模 缺乏适当的访问控制策略
式加以构建。
认证策略中需要定义认证机制（例如口令、智能卡等）的使用时机、使用强度和维护方式。如
果没有指定认证策略，系统可能不会实施适当的身份认证控制，从而导致系统未授权访问的可 缺乏适当的身份认证策略
能性提高。考虑到工业控制系统及其工作人员处理复杂口令和其他认证机制的能力，认证策略 应该作为工业控制系统安全的一部分加以制定。
关键部件缺乏冗余配置 关键部件缺乏冗余可能导致单点故障。

参考资料

绿盟 工业控制系统安全评估流程

友情链接

GB-T 25068.1-2020 信息技术 安全技术 网络安全 第1部分：综述和概念