數(shù)字孿生的網(wǎng)絡(luò)安全挑戰(zhàn)和機(jī)遇

數(shù)字孿生的網(wǎng)絡(luò)安全挑戰(zhàn)和機(jī)遇

數(shù)字孿生是對(duì)象或系統(tǒng)的數(shù)字表示，可以使組織更深入地了解這些對(duì)象的生命周期，但這種相同級(jí)別的了解和控制也可能為惡意行為者打開(kāi)大門(mén)。

數(shù)字孿生可以為任何物理基礎(chǔ)設(shè)備創(chuàng)建，包括發(fā)動(dòng)機(jī)、渦輪和其他設(shè)備的單個(gè)組件，或整個(gè)工廠和數(shù)據(jù)中心。

GE全球研究部執(zhí)行技術(shù)總監(jiān)Justin John表示:“數(shù)字孿生與普通模型的不同之處在于，它是在現(xiàn)場(chǎng)部署的特定序列號(hào)的模型。它要么得到物理學(xué)的支持，要么已經(jīng)通過(guò)歷史數(shù)據(jù)了解了資產(chǎn)的運(yùn)作——并以此來(lái)進(jìn)行預(yù)測(cè)。

“數(shù)字孿生可以擴(kuò)大規(guī)模，模擬復(fù)雜的系統(tǒng)。如有五六個(gè)不同的模型，將其組合在一起，可得到想要的任何商業(yè)結(jié)果?！?/p>

在某些情況下，數(shù)字孿生可用于直接控制其鏡像的資產(chǎn)。

數(shù)字孿生的挑戰(zhàn)

通過(guò)使用來(lái)自數(shù)字孿生的數(shù)據(jù)，可以調(diào)整現(xiàn)實(shí)世界的設(shè)備或系統(tǒng)以盡可能高效地工作，以節(jié)省成本并延長(zhǎng)其生命周期，但這也帶來(lái)了自身的安全風(fēng)險(xiǎn)。

”雖然CISO應(yīng)該是數(shù)字孿生項(xiàng)目的主要利益相關(guān)者，但他們幾乎從來(lái)都不是最終的決策者，”Gartner物聯(lián)網(wǎng)研究副總裁Alfonso Velosa表示：“由于數(shù)字孿生是推動(dòng)業(yè)務(wù)流程轉(zhuǎn)型的軟件，因此業(yè)務(wù)或運(yùn)營(yíng)部門(mén)通常會(huì)主導(dǎo)這一舉措。大多數(shù)數(shù)字孿生都是為滿足特定的業(yè)務(wù)需求而定制的?！?/p>

據(jù)Velosa稱，當(dāng)企業(yè)購(gòu)買(mǎi)新的智能資產(chǎn)時(shí)，無(wú)論是卡車(chē)、挖掘機(jī)、電梯、壓縮機(jī)還是冰柜，通常都會(huì)配備數(shù)字孿生。大多數(shù)運(yùn)營(yíng)團(tuán)隊(duì)將需要一套精簡(jiǎn)的跨IT支持，而不僅僅是CISO，以將它們集成到更廣泛的業(yè)務(wù)流程中并管理安全。”

如果沒(méi)有適當(dāng)?shù)木W(wǎng)絡(luò)安全控制，數(shù)字孿生可能會(huì)擴(kuò)大企業(yè)的攻擊面，使惡意行為者能夠訪問(wèn)以前無(wú)法訪問(wèn)的控制系統(tǒng)，并暴露預(yù)先存在的漏洞。

擴(kuò)大攻擊面

創(chuàng)建系統(tǒng)的數(shù)字孿生后，潛在的攻擊面實(shí)際上翻了一番。對(duì)手可以攻擊系統(tǒng)本身，也可以攻擊該系統(tǒng)的數(shù)字孿生。

有時(shí)，當(dāng)?shù)讓酉到y(tǒng)不容易從外部訪問(wèn)時(shí)，數(shù)字孿生可能會(huì)暴露企業(yè)以前隱藏的部分。例如，在過(guò)去，數(shù)據(jù)中心中的電源可能只能由物理上位于附近控制終端的技術(shù)人員訪問(wèn)。這種基礎(chǔ)設(shè)施的數(shù)字孿生可以讓技術(shù)人員遠(yuǎn)程監(jiān)控設(shè)備——如果黑客設(shè)法獲得訪問(wèn)權(quán)限，也可以這樣做。

而且，現(xiàn)在暴露的不僅僅是以前無(wú)法訪問(wèn)的傳感器數(shù)據(jù)。Velosa表示:“在某些情況下，數(shù)字孿生體可以發(fā)送控制信號(hào)，改變(正在建模)實(shí)際物體的狀態(tài)?！?/p>

“當(dāng)數(shù)字孿生是由實(shí)時(shí)數(shù)據(jù)提供的業(yè)務(wù)運(yùn)營(yíng)模型時(shí)，可以收集關(guān)鍵的企業(yè)信息，有時(shí)還可以收集員工和客戶的個(gè)人身份信息。這使其成為誘人的目標(biāo)。”

根據(jù)主權(quán)地理位置的不同，這可能導(dǎo)致監(jiān)管和合規(guī)處罰。Velosa補(bǔ)充道:“這也凸顯了數(shù)據(jù)的重要性，因?yàn)閿?shù)字孿生是為了實(shí)現(xiàn)商業(yè)目標(biāo)而構(gòu)建的?！?/p>

因此，Velosa警告道，數(shù)字孿生的輸出不僅可以告訴對(duì)手或競(jìng)爭(zhēng)對(duì)手企業(yè)在做什么，還可以對(duì)企業(yè)的戰(zhàn)略和未來(lái)方向提供有價(jià)值的見(jiàn)解。

此外，NCC Group的首席信息官Lawrence Munro表示：“數(shù)字孿生與物理孿生是相連的，這種連接本身就為孿生之間的跳躍提供了額外的攻擊向量，如果其中一個(gè)受到損害的話?！?/p>

數(shù)字孿生的資產(chǎn)

數(shù)字孿生最主要的用例之一是使運(yùn)營(yíng)技術(shù)更易于訪問(wèn)和管理。但在運(yùn)營(yíng)技術(shù)領(lǐng)域，網(wǎng)絡(luò)安全往往是事后才考慮，許多系統(tǒng)運(yùn)行在傳統(tǒng)技術(shù)上，而這些傳統(tǒng)技術(shù)可能不容易得到保護(hù)。

Zluri的首席信息安全官Todd Dekkinga表示：“但是如果攻擊者獲得了運(yùn)營(yíng)技術(shù)，可以對(duì)企業(yè)造成很大的傷害，而數(shù)字孿生會(huì)加速這種風(fēng)險(xiǎn)?！?/p>

“數(shù)字孿生比實(shí)體孿生更容易獲得。過(guò)去，運(yùn)營(yíng)技術(shù)環(huán)境被認(rèn)為是獨(dú)立和孤立的，但現(xiàn)在不再是這樣了?，F(xiàn)在它們是完全連接的、可訪問(wèn)的，且很容易受到攻擊?！?/p>

CISO甚至可能不知道擁有數(shù)字孿生的運(yùn)營(yíng)技術(shù)資產(chǎn)的完整列表，更別提保護(hù)了。

暴露潛在的漏洞

數(shù)字孿生依賴于物聯(lián)網(wǎng)傳感器的輸入，這些傳感器可能充滿漏洞，以及運(yùn)行易受攻擊的傳統(tǒng)操作系統(tǒng)的系統(tǒng)。

根據(jù)Nozomi Networks 8月份的一份安全報(bào)告，在2022年上半年，ICS-CERT發(fā)布的與運(yùn)營(yíng)技術(shù)和物聯(lián)網(wǎng)相關(guān)的常見(jiàn)漏洞和暴露有560個(gè)，其中109個(gè)直接影響關(guān)鍵制造業(yè)。

NCC Group的Munro表示:“由于這些設(shè)備的安全性普遍較低，因此在孿生設(shè)置中使用物聯(lián)網(wǎng)設(shè)備作為傳感器令人擔(dān)憂?！痹跀?shù)字孿生方面，網(wǎng)絡(luò)安全專業(yè)知識(shí)往往滯后。

Munro表示，研究人員或工程師通常很難接觸到新技術(shù)，也很難獲得運(yùn)行實(shí)例。這對(duì)獲得正確的專業(yè)知識(shí)來(lái)支持保護(hù)這些平臺(tái)提出了挑戰(zhàn)。

如何確保數(shù)字孿生的安全

保護(hù)數(shù)字孿生的最佳實(shí)踐首先讓網(wǎng)絡(luò)安全專家加入部署團(tuán)隊(duì)，遵循基本的網(wǎng)絡(luò)安全衛(wèi)生，并采用零信任原則。

Munro表示，部署數(shù)字孿生的組織應(yīng)該與安全專家合作，建立詳細(xì)的威脅模型。“與任何新技術(shù)一樣，CISO應(yīng)該設(shè)法了解它引入的威脅模型及其對(duì)攻擊面的影響?！?/p>

Munro建議，企業(yè)內(nèi)部可能并不總是具備所需的專業(yè)知識(shí)，解決方案是與網(wǎng)絡(luò)安全行業(yè)的合作伙伴合作。

Velosa表示，部署數(shù)字孿生的企業(yè)應(yīng)該從一開(kāi)始就遵循良好的網(wǎng)絡(luò)安全原則。“從策略到技術(shù)再到標(biāo)準(zhǔn)，在其設(shè)計(jì)中利用安全最佳實(shí)踐。從加密到NIST或TLS策略，再到基于角色的訪問(wèn)控制?！?/p>

Velosa表示，數(shù)字孿生的設(shè)計(jì)和開(kāi)發(fā)應(yīng)該得到適當(dāng)?shù)馁Y助，并在道德上專注于在降低風(fēng)險(xiǎn)和遵守法規(guī)的同時(shí)發(fā)揮作用?！氨M可能避免使用個(gè)人數(shù)據(jù)，并在收集數(shù)據(jù)的地點(diǎn)、收集數(shù)據(jù)的原因以及如何保護(hù)數(shù)據(jù)方面保持透明。與采購(gòu)部門(mén)合作，確保企業(yè)不僅擁有數(shù)字孿生中的數(shù)據(jù)，還擁有模型。”

Dekkinga表示，數(shù)字孿生應(yīng)該像網(wǎng)絡(luò)上的其他關(guān)鍵設(shè)備一樣受到保護(hù)?！安粌H在外圍植入零信任架構(gòu)，還可以通過(guò)微分割、多重身份驗(yàn)證和其他技術(shù)保護(hù)內(nèi)部網(wǎng)絡(luò)。員工可能需要額外的步驟才能訪問(wèn)這些系統(tǒng)，但這些不便是值得的?！?/p>

數(shù)字孿生如何幫助網(wǎng)絡(luò)安全

但數(shù)字孿生不僅僅是企業(yè)的安全責(zé)任。一些企業(yè)正在利用它們來(lái)提高網(wǎng)絡(luò)安全——作為攻擊預(yù)警系統(tǒng)、美人計(jì)和測(cè)試沙盒。

數(shù)字孿生可以通過(guò)創(chuàng)建用于安全測(cè)試的虛擬仿真來(lái)幫助組織清除系統(tǒng)中的漏洞。其可以幫助網(wǎng)絡(luò)安全，因?yàn)槠淇梢砸苑从硨?shí)際系統(tǒng)的方式對(duì)網(wǎng)絡(luò)漏洞做出反應(yīng)。

Booz Allen副總裁Kevin Coggins表示:“可以通過(guò)多種方式得到反饋，包括在數(shù)字孿生上運(yùn)行實(shí)際系統(tǒng)軟件或硬件。”

在投入生產(chǎn)之前，其可以用來(lái)測(cè)試昂貴的物理系統(tǒng)的漏洞，比如航空電子設(shè)備。Coggins表示:“我們不能直接對(duì)飛機(jī)進(jìn)行某種威脅，因?yàn)檫@樣會(huì)使整個(gè)飛機(jī)認(rèn)證程序失效。但若攻擊這個(gè)數(shù)字孿生，就會(huì)發(fā)現(xiàn)任何潛在的漏洞。”

Booz Allen與軟件開(kāi)發(fā)商Unity Technologies合作，為一個(gè)客戶制作了一個(gè)大型設(shè)備的三維物聯(lián)網(wǎng)數(shù)字孿生。據(jù)Coggins稱，這使之能夠查看系統(tǒng)中的漏洞，以確定某人可能會(huì)訪問(wèn)的影響。

Coggins表示，即使它們本身不是生產(chǎn)系統(tǒng)，這些數(shù)字孿生也應(yīng)該得到相同級(jí)別的安全保護(hù)?！叭绻胍粋€(gè)數(shù)字孿生，須確保它將生存的環(huán)境安全?！?/p>

數(shù)字孿生還可以充當(dāng)一種蜘蛛網(wǎng)或威脅檢測(cè)系統(tǒng)——攻擊者的入侵會(huì)產(chǎn)生漣漪，網(wǎng)絡(luò)安全團(tuán)隊(duì)都能感受到。

GE是一家使用數(shù)字孿生作為高度敏感傳感器層的企業(yè)，該企業(yè)正在構(gòu)建一種稱之為“數(shù)字幽靈”的東西。例如，如果對(duì)手攻擊關(guān)鍵基礎(chǔ)設(shè)備的關(guān)鍵部分的控制，即使他們能夠偽造特定傳感器的輸出，數(shù)字孿生作為一個(gè)整體也會(huì)認(rèn)識(shí)到有問(wèn)題，因?yàn)檎麄€(gè)系統(tǒng)不再按照預(yù)測(cè)行事，或者不會(huì)匹配來(lái)自其他傳感器的信息。

GE的John認(rèn)為，系統(tǒng)越復(fù)雜越好，因?yàn)檫@將有更多的傳感器，從而提高可觀察性。

關(guān)鍵基礎(chǔ)設(shè)備是如何部署數(shù)字孿生來(lái)幫助網(wǎng)絡(luò)安全的完美示例。John表示:“事實(shí)上，我可以很好地預(yù)測(cè)事情應(yīng)該如何運(yùn)行，特別是如果將控制與數(shù)字孿生模型集成在一起，可以用其來(lái)判斷是否正在發(fā)生網(wǎng)絡(luò)攻擊?？梢酝ㄟ^(guò)查看流程變量，如氣流、壓力、溫度——所有使資產(chǎn)正常運(yùn)行的東西，檢查這些是否都正常，并找出問(wèn)題所在，以告知操作人員?！?/p>

John表示:“我們正在使用孿生，但不希望攻擊者知道，所以它是一個(gè)數(shù)字幽靈?！?/p>

數(shù)字幽靈不僅可以用來(lái)保護(hù)關(guān)鍵基礎(chǔ)設(shè)備的安全，還可以用來(lái)保護(hù)組織數(shù)據(jù)中心的運(yùn)營(yíng)技術(shù)。典型的OT網(wǎng)絡(luò)安全是關(guān)于查看網(wǎng)絡(luò)流量、防火墻和搜索病毒。但，這不是其中的任何一個(gè)。

相反，John表示，GE對(duì)數(shù)字幽靈的看法更多地是關(guān)于基礎(chǔ)實(shí)物資產(chǎn)的運(yùn)營(yíng)方式?！拔覀冃枰私獾氖牵Ｇ闆r下的物理情況是什么，控制如何正常操作這些資產(chǎn)。如果擁有這些知識(shí)和大量的模擬數(shù)據(jù)或歷史數(shù)據(jù)，就可以很好地展示資產(chǎn)應(yīng)該如何運(yùn)營(yíng)?！?/p>

John還表示，數(shù)字幽靈將能夠檢測(cè)出是否有問(wèn)題，并準(zhǔn)確地告知問(wèn)題點(diǎn)。“僅這一項(xiàng)通常就需要操作人員數(shù)天或數(shù)周的時(shí)間才能確定問(wèn)題所在。而數(shù)字幽靈在幾秒鐘內(nèi)就能做到這一點(diǎn)。”

生成海報(bào)

免責(zé)聲明：本網(wǎng)站內(nèi)容主要來(lái)自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請(qǐng)進(jìn)一步核實(shí)，并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁(yè)或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書(shū)面權(quán)利通知或不實(shí)情況說(shuō)明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開(kāi)相關(guān)鏈接。