關(guān)鍵基礎(chǔ)設(shè)備系統(tǒng)網(wǎng)絡(luò)攻擊干擾事件越來越頻繁，對(duì)于許多工業(yè)控制系統(tǒng)來說,，網(wǎng)絡(luò)入侵不是是否會(huì)發(fā)生的問題,，而是什么時(shí)候會(huì)發(fā)生。國(guó)外的烏克蘭停電事故,，最近的委內(nèi)瑞拉停電事故都帶來了嚴(yán)重的社會(huì)影響,。這些事件證明了攻擊者的能力，網(wǎng)絡(luò)安全事件的頻率和復(fù)雜性正在持續(xù)增加,。傳統(tǒng)的工業(yè)控制系統(tǒng)保護(hù)認(rèn)識(shí),，比如絕對(duì)的隔離帶來絕對(duì)的安全，沒有人會(huì)攻擊工業(yè)控制系統(tǒng)等,，這些認(rèn)知顯然是錯(cuò)誤的,，也是不合時(shí)宜的,，針對(duì)工業(yè)控制系統(tǒng)的保護(hù)，常見的有幾種策略,，則可以對(duì)付常見的可利用的弱點(diǎn),。

　　應(yīng)用白名單可以有效檢測(cè)和阻止由攻擊者上傳的惡意軟件的執(zhí)行。工業(yè)控制系統(tǒng)的生產(chǎn)環(huán)境的主機(jī)操作相對(duì)比較固定,，而且主機(jī)操作系統(tǒng)老舊,，和外網(wǎng)隔離，部署需要經(jīng)常升級(jí)的耗費(fèi)資源多的殺毒軟件不現(xiàn)實(shí),，這些現(xiàn)實(shí)情況使得運(yùn)行應(yīng)用白名單成為可能,。部署應(yīng)用白名單時(shí)，需要和供應(yīng)商合作,，建立基線進(jìn)行,。

　　系統(tǒng)入侵者往往發(fā)動(dòng)攻擊時(shí)經(jīng)常利用未打補(bǔ)丁的系統(tǒng)。比如臭名昭著的勒索病毒和挖礦病毒,，都利用445端口,。如果在病毒爆發(fā)時(shí)，就封閉445端口,，則可避免很多不必要的損失,。優(yōu)先處理工程師站，操作員站,，數(shù)據(jù)庫服務(wù)器的補(bǔ)丁和配置,，可以有效增加攻擊者的攻擊難度。在現(xiàn)實(shí)情況中,，對(duì)于更新和配置,，需要在測(cè)試機(jī)上進(jìn)行，測(cè)試合格后,，在部署到實(shí)際運(yùn)行的操作系統(tǒng)上,。

　　將工業(yè)控制系統(tǒng)與其它不可信的網(wǎng)絡(luò)隔離，尤其是互聯(lián)網(wǎng),。關(guān)閉不使用的端口和服務(wù),。如果需要單向通信，則可部署單向網(wǎng)閘,。如果必須使用雙向通信,，則在受限的網(wǎng)絡(luò)路徑上開發(fā)單個(gè)端口。

　　將網(wǎng)絡(luò)劃分為邏輯分區(qū),，并限制主機(jī)間的通信路徑,，可阻止攻擊者擴(kuò)大攻擊訪問范圍，同時(shí)允許正常的系統(tǒng)通信繼續(xù)運(yùn)行,。這樣,，即使一個(gè)區(qū)域被攻擊,，其余區(qū)域也不受影響，降低損失,。攻擊者在攻擊時(shí),，需要獲得合法的用戶憑證，偽裝成合法的用戶對(duì)工業(yè)控制系統(tǒng)進(jìn)行攻擊,，可提高操作的權(quán)限,，也可留下較少的記錄和證據(jù)。

　　采用多因素認(rèn)證,，實(shí)現(xiàn)特權(quán)用戶權(quán)限最小化,。用戶口令要設(shè)置安全策略，長(zhǎng)度,，復(fù)雜度要求,，并且口令強(qiáng)制更改日期，盡可能的強(qiáng)化管理,。

　　建議采用VPN的方式進(jìn)行遠(yuǎn)程訪問,，尤其是第三方接入工業(yè)控制系統(tǒng)網(wǎng)絡(luò)中時(shí)。使用堡壘機(jī),，可以有效監(jiān)控接入的各類操作和時(shí)間,，實(shí)現(xiàn)有效的監(jiān)管和追蹤。對(duì)于現(xiàn)代威脅要積極監(jiān)控,，今早發(fā)現(xiàn)黑客攻擊滲透,，并迅速執(zhí)行應(yīng)急響應(yīng)，切斷攻擊鏈,，保護(hù)工業(yè)控制系統(tǒng),。