Purdue Reference Model 開(kāi)發(fā)于 1990 年代，是 Purdue Enterprise Reference Architecture (PERA) 的一部分，是計(jì)算機(jī)集成制造 (CIM) 的參考數(shù)據(jù)流模型，即使用計(jì)算機(jī)控制整個(gè)生產(chǎn)過(guò)程。

太仆寺網(wǎng)站制作公司哪家好，找創(chuàng)新互聯(lián)公司！從網(wǎng)頁(yè)設(shè)計(jì)、網(wǎng)站建設(shè)、微信開(kāi)發(fā)、APP開(kāi)發(fā)、自適應(yīng)網(wǎng)站建設(shè)等網(wǎng)站項(xiàng)目制作，到程序開(kāi)發(fā)，運(yùn)營(yíng)維護(hù)。創(chuàng)新互聯(lián)公司自2013年創(chuàng)立以來(lái)到現(xiàn)在10年的時(shí)間，我們擁有了豐富的建站經(jīng)驗(yàn)和運(yùn)維經(jīng)驗(yàn)，來(lái)保證我們的工作的順利進(jìn)行。專注于網(wǎng)站建設(shè)就選創(chuàng)新互聯(lián)公司。

Purdue Reference Model，“95”為企業(yè)提供了一個(gè)模型，最終用戶、集成商和供應(yīng)商可以在該模型中協(xié)作，在企業(yè)網(wǎng)絡(luò)和流程基礎(chǔ)設(shè)施的關(guān)鍵層集成應(yīng)用程序。

Purdue Reference Model 被 ISA-99 采用并用作 ICS 網(wǎng)絡(luò)分段的概念模型。它顯示了典型工業(yè)控制系統(tǒng) (ICS)的所有主要組件的互連和相互依賴關(guān)系，將 ICS 架構(gòu)分為兩個(gè)區(qū)域 - 信息技術(shù) (IT) 和運(yùn)營(yíng)技術(shù) (OT) - 并將這些區(qū)域細(xì)分為六個(gè)級(jí)別在 0 級(jí)。

Purdue 模型的基礎(chǔ)是 OT，該系統(tǒng)用于關(guān)鍵基礎(chǔ)設(shè)施和制造，以監(jiān)控和控制物理設(shè)備和操作流程。在 Purdue 模型中，這與模型頂部的 IT 區(qū)域是分開(kāi)的。在這兩者之間，我們找到了一個(gè)DMZ來(lái)分隔和控制 IT 和 OT 區(qū)域之間的訪問(wèn)。在這些區(qū)域內(nèi)，我們找到了描述每一層中的工業(yè)控制組件的單獨(dú)層，包括：

• 0 級(jí)： 0 級(jí)包括構(gòu)建產(chǎn)品的物理組件。0級(jí)設(shè)備包括電機(jī)、泵、傳感器、閥門(mén)等。
• 第 1 級(jí)：第 1 級(jí)由監(jiān)控和向 0 級(jí)設(shè)備發(fā)送命令的系統(tǒng)組成。示例包括可編程邏輯控制器 (PLC)、遠(yuǎn)程終端單元 (RTU) 和智能電子設(shè)備 (IED)。
• 2 級(jí)： 2 級(jí)是控制系統(tǒng)內(nèi)整體過(guò)程的設(shè)備。例如，人機(jī)界面 (HMA) 和SCADA軟件使人類能夠監(jiān)控和管理流程。
• 3 級(jí)： 3 級(jí)支持生產(chǎn)工作流程的管理。示例包括批次管理、制造運(yùn)營(yíng)管理/制造執(zhí)行系統(tǒng) (MOMS/MES) 和數(shù)據(jù)歷史記錄。
• 工業(yè) DMZ (iDMZ) 區(qū)： iDMZ 在 IT 和 OT 網(wǎng)絡(luò)之間形成一道屏障。跳箱之類的解決方案可以提供從 IT 環(huán)境對(duì) ICS 系統(tǒng)的有限訪問(wèn)，但這種緩沖區(qū)還可以幫助防止 IT 環(huán)境中的感染傳播到 OT 系統(tǒng)，反之亦然。
• 第 4 級(jí)：在第 4 級(jí)，企業(yè)資源規(guī)劃 (ERP) 軟件、數(shù)據(jù)庫(kù)、電子郵件服務(wù)器和其他系統(tǒng)等系統(tǒng)管理制造運(yùn)營(yíng)的物流并提供通信和數(shù)據(jù)存儲(chǔ)。
• 第 5 級(jí)：第 5 級(jí)是企業(yè)網(wǎng)絡(luò)。雖然不是 ICS 環(huán)境，但該網(wǎng)絡(luò)從 ICS 系統(tǒng)收集數(shù)據(jù)以進(jìn)行業(yè)務(wù)決策。

普渡參考模型是否仍然相關(guān)?

最初在 1990 年代開(kāi)發(fā)的模型是否仍然與保護(hù) ICS 網(wǎng)絡(luò)相關(guān)?對(duì)于當(dāng)今的 OT 安全而言，哪些是相關(guān)的，哪些不是?答案是：視情況而定。 OT 網(wǎng)絡(luò)中有多少仍在使用模型中描述的技術(shù)?您現(xiàn)在使用的是工業(yè)物聯(lián)網(wǎng) (IIoT) 設(shè)備等較新的系統(tǒng)嗎?

Purdue 模型的一個(gè)優(yōu)點(diǎn)是它的層次結(jié)構(gòu)。系統(tǒng)組件定義明確，組件分為不同的層。層之間的邊界是網(wǎng)絡(luò)分段以控制層之間訪問(wèn)的邏輯位置。該模型可能不完全適合您當(dāng)前的 OT 網(wǎng)絡(luò)，但仍然是保護(hù) OT 網(wǎng)絡(luò)的良好起點(diǎn)。

傳統(tǒng)普渡參考模型面臨的一個(gè)挑戰(zhàn)是 IIoT 設(shè)備?，F(xiàn)代 ICS 網(wǎng)絡(luò)正變得更加數(shù)字化連接，IT 和 OT 之間的界限可能不再像以前那樣清晰。

與普渡模型中的 6 層不同，IIoT 環(huán)境可能具有 3 個(gè)組件架構(gòu)，例如設(shè)備、現(xiàn)場(chǎng)或云網(wǎng)關(guān)以及服務(wù)后端。在邊緣，IIoT 設(shè)備可以無(wú)線連接到網(wǎng)絡(luò)和控制中心或現(xiàn)場(chǎng)或云網(wǎng)關(guān)?，F(xiàn)場(chǎng)和云網(wǎng)關(guān)連接到在本地或云端運(yùn)行的后端服務(wù)，用于管理、監(jiān)控和分析 IIoT 數(shù)據(jù)，并為遠(yuǎn)程用戶管理訪問(wèn)提供接口。

Purdue 模型可能與 IIoT 網(wǎng)絡(luò)架構(gòu)不匹配。但是，它仍可用于創(chuàng)建類似于 Purdue 模型的分層拓?fù)?，以保護(hù)當(dāng)今的 ICS。

ICS 零信任的必要性

ICS 網(wǎng)絡(luò)運(yùn)營(yíng)商專注于交付產(chǎn)品，因此正常運(yùn)行時(shí)間和可用性可能比安全性更重要。然而，2010 年的 Stuxnet 等網(wǎng)絡(luò)攻擊以及最近對(duì)關(guān)鍵基礎(chǔ)設(shè)施的勒索軟件攻擊正在提高人們對(duì)網(wǎng)絡(luò)威脅對(duì) OT 和 ICS 的風(fēng)險(xiǎn)的認(rèn)識(shí)。

除了可用性和正常運(yùn)行時(shí)間問(wèn)題之外，保護(hù) ICS 網(wǎng)絡(luò)的其他挑戰(zhàn)是傳統(tǒng)和新的 IIoT 設(shè)備固有的缺乏安全性。這些產(chǎn)品及其使用的協(xié)議在設(shè)計(jì)上可能并不安全。它們可能缺乏基本的安全功能，例如加密傳輸、訪問(wèn)控制松懈或沒(méi)有，并且可能在尚未修補(bǔ)的易受攻擊的操作系統(tǒng)上運(yùn)行。

零信任安全模型方法可以提供幫助。零信任的安全方法始于對(duì)邊界內(nèi)外的任何事物的零信任。網(wǎng)絡(luò)威脅防御不僅限于創(chuàng)建強(qiáng)大的外圍防御。一旦威脅進(jìn)入組織內(nèi)部，就需要內(nèi)部保護(hù)以防止其橫向移動(dòng)。在授予訪問(wèn)權(quán)限之前，安全性必須驗(yàn)證任何試圖連接到其系統(tǒng)的事物。

在零信任的情況下，外圍防御被數(shù)據(jù)和資產(chǎn)周?chē)奈⒎侄芜吔缢〈?。在具有?shù)千臺(tái)設(shè)備的復(fù)雜 ICS 環(huán)境中，實(shí)施零信任有助于創(chuàng)建安全覆蓋，以保護(hù)易受攻擊的傳統(tǒng)和 IIoT 設(shè)備和系統(tǒng)。

ICS 安全解決方案

通過(guò)應(yīng)用零信任方法來(lái)保護(hù) ICS 系統(tǒng)，以允許跨區(qū)域邊界的最低特權(quán)訪問(wèn)控制，例如 Purdue 模型中定義的用于保護(hù) ICS 的層。這種方法允許在不影響 OT 操作的情況下應(yīng)用安全性。

過(guò)渡到零信任首先要與 ICS 發(fā)現(xiàn)供應(yīng)商合作，按制造商、功能、網(wǎng)絡(luò)協(xié)議使用和網(wǎng)絡(luò)威脅風(fēng)險(xiǎn)查找和分類資產(chǎn)。獲得正常 ICS 資產(chǎn)通信的行為基線可以檢測(cè)異常。

將 IT 網(wǎng)絡(luò)與 OT 網(wǎng)絡(luò)分割，以防止橫向移動(dòng)和橫向感染。這包括：

• 監(jiān)控 ICS 資產(chǎn)之間的東西向通信。
• 根據(jù)設(shè)備屬性、風(fēng)險(xiǎn)和 OT 協(xié)議，應(yīng)用精細(xì)的安全規(guī)則來(lái)控制跨區(qū)域的流量。
• 創(chuàng)建安全規(guī)則，確保系統(tǒng)僅使用它們?cè)O(shè)計(jì)使用的通信協(xié)議，并且基于設(shè)備的動(dòng)態(tài)分組。
• 僅允許安全遠(yuǎn)程訪問(wèn) ICS 資產(chǎn)和 OT 網(wǎng)絡(luò)。

采取措施防止對(duì)易受攻擊的系統(tǒng)和設(shè)備造成威脅。組織可以虛擬修補(bǔ)運(yùn)行未修補(bǔ)固件的 OT 設(shè)備和已知漏洞的舊操作系統(tǒng)，而無(wú)需對(duì)其進(jìn)行物理修補(bǔ)。

最后，在 IT 網(wǎng)絡(luò)中應(yīng)用高級(jí)威脅防護(hù)，例如沙盒和反網(wǎng)絡(luò)釣魚(yú)。

此外，部署端點(diǎn)反勒索軟件和 EDR 解決方案，以防止復(fù)雜和有針對(duì)性的勒索軟件攻擊。這會(huì)自動(dòng)從勒索軟件文件加密?chē)L試中恢復(fù)文件，并監(jiān)控完整的攻擊過(guò)程以保護(hù)端點(diǎn)和用戶設(shè)備。

簡(jiǎn)而言之，通過(guò)保護(hù) IT 和 OT 網(wǎng)絡(luò)，您可以防止從 IT 橫向移動(dòng)到 OT，反之亦然。

文章題目：ICS安全的普渡模型是什么？
標(biāo)題路徑：http://uogjgqi.cn/article/ccopdig.html