Angesichts des aktuellen Stands der IT- und OT-Konvergenz und der zahlreichen damit verbundenen Cybersicherheitsrisiken wird Unternehmen empfohlen, die Sicherheitsmaßnahmen in allen Aspekten, einschließlich Management, Technologie und Betrieb, umfassend zu stärken. Technisch gesehen sollten sie sich auf drei Hauptbereiche konzentrieren: zugrunde liegende Sicherheitstechnologie, Daten und Situationsbewusstsein. Die Technologiearchitektur der IT- und OT-Sicherheitskonvergenz ist in Abbildung 3 dargestellt.
Konzentrieren Sie sich auf die zugrunde liegende Sicherheitstechnologie
Bei der Konvergenz von IT und OT ist die Integration von Sicherheitstechnologie zu einer unvermeidlichen Option geworden. Unter dem Gesichtspunkt der Sicherheit, Unabhängigkeit und Kontrollierbarkeit ist es durch die Einführung leichter heimischer Verschlüsselungstechnologie und sicherer Vertrauenstechnologie möglich, die Kernkomponenten industrieller Steuerungen wie SPS und RTU (Remote Terminal Unit) hochgradig mit Sicherheitsverschlüsselungsschutztechnologie zu integrieren kryptografischer Schutz für die Kommunikation mit Host-Computern, Protokollidentifizierung und Inhaltserkennung für die Netzwerkkommunikation sowie Schutz der eigenen Speicher-Firmware und Datenintegrität. Im Wesentlichen bietet es inhärente Sicherheit, die sowohl vor internen OT- als auch IT-Bedrohungen schützt.
Datenfusion
Die Datenfusion erfolgt hauptsächlich auf der Datenerfassungsebene und der Datenverarbeitungsebene.
(1) Integration von Verkehrssondenfunktionen in die Datenerfassungsschicht. IT-Sonden sammeln hauptsächlich Daten von allgemeinen Netzwerkgeräten, Sicherheitsgeräten und Terminals, während OT-Sonden hauptsächlich Daten von industriellen Kontrollgeräten, Automatisierungsgeräten, Steuerungs-/Überwachungssystemen und Terminals vor Ort sammeln. Diese Daten stellen eine große Datenquelle für die industrielle Informationssicherheit dar und umfassen eine Vielzahl von Informationen wie rohe Netzwerkverkehrsdaten, Anlagendaten, Geräteverhaltensdaten, Prüfdaten, Metadaten usw. Es gibt zwei Möglichkeiten, Konvergenz zu erreichen. Diese Methode untersucht und analysiert die Gemeinsamkeiten und Merkmale von OT-Daten aus der Perspektive von Vermögenswerten, Ereignissen, Schwachstellen und Alarmen, erstellt eine einheitliche Darstellungsmethode für industrielle Steuerungsnetzwerkdaten, die nicht von Netzwerkprotokollen oder industriellen Steuerungsszenarien abhängt, und verwendet diese Methode zur Entwicklung von „Vorproben“. Eine Sonde ist eine Methode, die Fusionsfunktionen realisiert und gleichzeitig IT- und OT-Daten erfasst. Eine andere Methode besteht darin, beim Sammeln von Daten eine gemeinsame Sonde für IT und OT zu verwenden und nach der Sammlung eine Fusionsanalyse auf Funktionsebene der Daten durchzuführen, um gemeinsame Funktionen und charakteristische Funktionen zu abstrahieren.
(2) Integration von Datenanalyse- und Verarbeitungsmodellen. IT und OT müssen ihre jeweiligen Daten bereinigen und in einer einheitlichen Datenbank speichern. Datenanalysemethoden nutzen Techniken wie Korrelationsanalyse und maschinelles Lernen, um dedizierte Regelmodelle basierend auf ihren jeweiligen Merkmalsvektoren und Nutzungsszenarien zu erstellen. Ihre Modelle werden mit ihren jeweiligen Threat-Intelligence-Datenbanken zur Analyse anomalen Verhaltens und zur Risikobewertung kombiniert. Auf der Datenanalyseebene verwenden IT und OT ähnliche Techniken, die sich nur in Datenmodellen, Regeln und Protokollen unterscheiden, und es ist klar, dass die Erstellung universeller Analysemodelle möglich ist.
(3) Integration der Threat-Intelligence-Datenbank. IT- und OT-Netzwerk-Bedrohungsinformationen unterstützen Unternehmen bei der Entscheidungsfindung bei der Reaktion auf damit verbundene Bedrohungen und Risiken, indem sie potenzielle Risiken und Bedrohungen für IT- bzw. OT-Netzwerkressourcen aufdecken und relevante Umgebungen, Mechanismen, Indikatoren, Auswirkungen und umsetzbare Vorschläge bereitstellen. Derzeit werden die Bedrohungsdatendatenbanken für IT- und OT-Netzwerke nicht ausreichend gemeinsam genutzt, was ein gemeinsames Bewusstsein und eine einheitliche Reaktion auf Sicherheitsbedrohungen behindert. Eine Lösung besteht darin, Intelligenzkategorien, Einträge und Datenstrukturen in IT- und OT-Datenbanken zu abstrahieren und zu trennen und eine einheitliche Datenstruktur für Formatkonvertierung, einheitliche Speicherung und einheitliche Verteilung zu entwerfen. Dies ermöglicht eine detaillierte Identifizierung von Sicherheits- und Bedrohungsereignissen.
Integration des Situationsbewusstseins
Auf der Präsentationsebene präsentieren IT- und OT-Systeme Unternehmenssystemressourcen, Schwachstellen, Bedrohungen, Protokolle, Warnungen und Situationsbewusstsein mit ähnlicher Funktionalität und einer hauptsächlich visuellen Oberfläche. Diese Integration ermöglicht eine einheitliche Ansicht und ermöglicht eine koordinierte Reaktion und Verwaltung komplexer Sicherheitsrisiken. Gleichzeitig können Anwendungsschnittstellen so konfiguriert werden, dass sie den regulatorischen Anforderungen nationaler Ministerien zur Cybersicherheit entsprechen und eine einheitliche Datenberichterstattung und den Empfang einheitlicher Bedrohungsinformationen ermöglichen.