工业设施的物联网安全：保护东南亚互联基础设施
工业设施物联网安全:在东南亚保护您的连接基础设施
连接设备和传感器正在改变整个东南亚的工业设施。能源监控系统、智能建筑控制器和预测性维护传感器生成实时见解,驱动运营卓越。然而,这种连接引入了东盟地区特有的网络安全挑战:老化的工业网络、不断演变的威胁参与者以及5个国家间的监管碎片化。
新加坡的数据中心运营商、泰国的制造设施和越南的政府建筑面临着截然不同的威胁态势和合规要求。本文探讨如何在保持运营连续性和法规合规的同时保护东盟范围内的物联网基础设施。
东南亚物联网安全威胁态势
东盟的工业物联网系统面临三个主要威胁类别:
外部威胁:针对能源监控系统的勒索软件、针对设施员工的凭证盗窃以及探测漏洞的网络扫描。威胁参与者越来越多地针对工业物联网,因为这些系统通常缺乏企业级安全。监控多个站点功率质量和能源消耗的设施对寻求运营技术访问的攻击者来说是一个有吸引力的目标。
内部威胁:有权访问物联网仪表板的设施员工、安装传感器的承包商以及第三方集成商都代表内部风险。在多国部署(新加坡、泰国、印度尼西亚、马来西亚、越南)中,在时区和组织边界上管理访问控制会加剧这种风险。
区域治理：为各国家及设施确定安全与数据处理要求。适用义务取决于组织、行业、系统认定类别及所涉及的数据；满足某一司法管辖区的要求，并不代表自动符合其他地区的规定。
常见的工业物联网漏洞
EcoXplore超过15年支持关键基础设施的经验确定了反复出现的漏洞:
- 默认凭证:物联网设备附带工厂用户名和密码。专注于使传感器正常工作的设施团队通常会跳过凭证更改,为攻击者创建后门。
- 未加密通信:遗留工业协议(Modbus、较旧的BACnet)传输数据而不加密。网络窃听者可以看到能源消耗数据、设备状态和设施布局。
- 缺乏身份验证:许多物联网传感器在设备和监控系统之间没有相互身份验证的情况下连接。攻击者可以注入虚假传感器数据,导致设施管理人员做出错误的运营决定。
- 缺乏更新:工业设备通常运行10年以上而不进行固件更新。今天发现的漏洞在多年内仍未修补,创建持久的攻击面。
- 监控不足:设施团队缺乏异常设备行为的可见性。传输虚假功率读数的被攻陷传感器在能源账单到达前不会被发现。
IEC 62443:工业网络安全框架
IEC 62443涵盖工业自动化与控制系统全生命周期的网络安全。该系列标准通过风险评估、安全区域及区域之间受控的通信连接，为各项安装工程确定适当的安全要求。 IEC
SL 1：针对无意或偶然的违规行为。应根据适用的IEC 62443要求与现场风险评估确定所需控制措施。
SL 2：针对利用简单手段、有限资源和通用技能实施的故意攻击。这是安全要求等级，并非某类建筑统一适用的类别。
SL 3：针对使用复杂手段、中等资源及工业自动化与控制系统专业技能的故意攻击。目标等级须依据项目的威胁与风险评估确定。
SL 4：针对采用复杂手段、充足资源、控制系统专业技能且动机强烈的故意攻击。必须提供证据证明满足适用要求；仅凭产品介绍无法认定符合标准。
EcoXplore的安全监控架构
应在系统设计与采购阶段明确网络安全要求。确定安全等级或宣称获得认证之前，须核实各设备功能、网络架构、配置及维护责任是否满足相关要求。
设备层安全：核实所选型号的身份验证、加密、固件完整性及更新支持。在设备支持的情况下，更换默认凭据并禁用不需要的服务。旧型现场设备可能需要通过安全网关及网络分段设置补偿性控制措施。
网络层安全：将运营技术网络与办公网络及公共网络分开，并仅允许必要流量在安全区域之间传输。远程访问应使用经批准的安全连接、个人账户，以及符合现场运营需求的限时授权。
应用层安全：为所选平台明确用户角色、访问权限、日志及数据保留要求。核实平台支持的功能，并根据设施运营程序及适用的数据保护义务进行配置。
事件响应：在系统投运前明确告警负责人、升级联系人、响应服务时段及恢复程序。持续安全监控或托管响应服务须在服务协议中明确列出，并规定责任分工与响应目标。
工业物联网部署的最佳实践
实践1:网络分段将物联网设备隔离在独立于办公IT系统和互联网访问的专用网络上。监控功率质量的制造设施不应允许能源传感器访问员工电子邮件或文件服务器。这减少了攻击者入侵单个设备时的横向移动。
实践2:强身份验证要求所有对能源监控仪表板和设施控制系统的访问都使用多因素身份验证。仅使用密码的访问是不充分的。设施管理人员在从建筑外访问系统时必须使用硬件令牌或身份验证器应用。
实践3:全面加密从传感器到监控系统的所有通信都必须加密。这防止攻击者窃听能源消耗模式或设施布局。在新加坡国家博物馆,加密监控系统保护敏感建筑系统,同时启用合法的运营见解。
固件更新：维护资产与固件清单，关注制造商公告，并评估补丁兼容性及运营风险。在可行的情况下先进行测试，保留恢复备份，并在获批准的维护时段内安排部署。 NIST
实践5:监控和告警实施持续的异常检测。在不可能的传感器读数(没有对应设备活动的能源消耗增加)、未授权访问尝试和异常通信模式上发出警报。在Resorts World Sentosa,实时异常检测捕获了故障水温传感器,防止其影响设施运营。
供应商评估：审查产品安全文档、更新支持、漏洞报告流程，以及供应商在系统全生命周期中的责任。质量管理证书、工作场所安全资质及承包商注册各有其适用范围，并不等同于网络安全认证。
东盟国家的法规合规
每个东南亚国家对工业物联网都有不同的监管要求:
新加坡：《2018年网络安全法》及其修订条款在CSA监管框架下，对指定系统及实体设定义务。应与相关责任方确认设施的认定状态，以及适用的规范、指令和报告义务；该法并未为所有建筑规定统一的IEC 62443安全等级。 CSA
泰国:《网络安全法》要求关键基础设施运营商实施基准安全控制。某些部门可能需要数据本地化。
跨境数据：梳理系统收集的信息、存储地点、访问权限，以及数据是否跨越国境传输。在选择托管、数据保留及支持安排之前，应评估当地隐私、网络安全及行业特定要求。
区域治理：为各国家及设施确定安全与数据处理要求。适用义务取决于组织、行业、系统认定类别及所涉及的数据；满足某一司法管辖区的要求，并不代表自动符合其他地区的规定。
安全物联网部署入门
保护工业设施免受基于物联网的攻击需要规划、纪律和供应商合作。EcoXplore为新加坡、泰国、印度尼西亚、马来西亚和越南的数据中心、制造厂、政府建筑和教育机构设计了安全监控解决方案。
从安全评估开始:探索EcoXplore的安全物联网解决方案或了解我们如何将安全集成到智能建筑系统中。联系我们的物联网安全专家,获得您设施安全态势和东盟法规合规要求的机密评估。
