數(shù)字孿生的網(wǎng)絡安全挑戰(zhàn)和機遇

數(shù)字孿生是對象或系統(tǒng)的數(shù)字表示，可以使組織更深入地了解這些對象的生命周期，但這種相同級別的了解和控制也可能為惡意行為者打開大門。

數(shù)字孿生可以為任何物理基礎(chǔ)設備創(chuàng)建，包括發(fā)動機、渦輪和其他設備的單個組件，或整個工廠和數(shù)據(jù)中心。

GE全球研究部執(zhí)行技術(shù)總監(jiān)Justin John表示:“數(shù)字孿生與普通模型的不同之處在于，它是在現(xiàn)場部署的特定序列號的模型。它要么得到物理學的支持，要么已經(jīng)通過歷史數(shù)據(jù)了解了資產(chǎn)的運作——并以此來進行預測。

“數(shù)字孿生可以擴大規(guī)模，模擬復雜的系統(tǒng)。如有五六個不同的模型，將其組合在一起，可得到想要的任何商業(yè)結(jié)果?！?/p>

在某些情況下，數(shù)字孿生可用于直接控制其鏡像的資產(chǎn)。

數(shù)字孿生的挑戰(zhàn)

通過使用來自數(shù)字孿生的數(shù)據(jù)，可以調(diào)整現(xiàn)實世界的設備或系統(tǒng)以盡可能高效地工作，以節(jié)省成本并延長其生命周期，但這也帶來了自身的安全風險。

”雖然CISO應該是數(shù)字孿生項目的主要利益相關(guān)者，但他們幾乎從來都不是最終的決策者，”Gartner物聯(lián)網(wǎng)研究副總裁Alfonso Velosa表示：“由于數(shù)字孿生是推動業(yè)務流程轉(zhuǎn)型的軟件，因此業(yè)務或運營部門通常會主導這一舉措。大多數(shù)數(shù)字孿生都是為滿足特定的業(yè)務需求而定制的。”

據(jù)Velosa稱，當企業(yè)購買新的智能資產(chǎn)時，無論是卡車、挖掘機、電梯、壓縮機還是冰柜，通常都會配備數(shù)字孿生。大多數(shù)運營團隊將需要一套精簡的跨IT支持，而不僅僅是CISO，以將它們集成到更廣泛的業(yè)務流程中并管理安全?！?/p>

如果沒有適當?shù)木W(wǎng)絡安全控制，數(shù)字孿生可能會擴大企業(yè)的攻擊面，使惡意行為者能夠訪問以前無法訪問的控制系統(tǒng)，并暴露預先存在的漏洞。

擴大攻擊面

創(chuàng)建系統(tǒng)的數(shù)字孿生后，潛在的攻擊面實際上翻了一番。對手可以攻擊系統(tǒng)本身，也可以攻擊該系統(tǒng)的數(shù)字孿生。

有時，當?shù)讓酉到y(tǒng)不容易從外部訪問時，數(shù)字孿生可能會暴露企業(yè)以前隱藏的部分。例如，在過去，數(shù)據(jù)中心中的電源可能只能由物理上位于附近控制終端的技術(shù)人員訪問。這種基礎(chǔ)設施的數(shù)字孿生可以讓技術(shù)人員遠程監(jiān)控設備——如果黑客設法獲得訪問權(quán)限，也可以這樣做。

而且，現(xiàn)在暴露的不僅僅是以前無法訪問的傳感器數(shù)據(jù)。Velosa表示:“在某些情況下，數(shù)字孿生體可以發(fā)送控制信號，改變(正在建模)實際物體的狀態(tài)?！?/p>

“當數(shù)字孿生是由實時數(shù)據(jù)提供的業(yè)務運營模型時，可以收集關(guān)鍵的企業(yè)信息，有時還可以收集員工和客戶的個人身份信息。這使其成為誘人的目標。”

根據(jù)主權(quán)地理位置的不同，這可能導致監(jiān)管和合規(guī)處罰。Velosa補充道:“這也凸顯了數(shù)據(jù)的重要性，因為數(shù)字孿生是為了實現(xiàn)商業(yè)目標而構(gòu)建的。”

因此，Velosa警告道，數(shù)字孿生的輸出不僅可以告訴對手或競爭對手企業(yè)在做什么，還可以對企業(yè)的戰(zhàn)略和未來方向提供有價值的見解。

此外，NCC Group的首席信息官Lawrence Munro表示：“數(shù)字孿生與物理孿生是相連的，這種連接本身就為孿生之間的跳躍提供了額外的攻擊向量，如果其中一個受到損害的話?！?/p>

數(shù)字孿生的資產(chǎn)

數(shù)字孿生最主要的用例之一是使運營技術(shù)更易于訪問和管理。但在運營技術(shù)領(lǐng)域，網(wǎng)絡安全往往是事后才考慮，許多系統(tǒng)運行在傳統(tǒng)技術(shù)上，而這些傳統(tǒng)技術(shù)可能不容易得到保護。

Zluri的首席信息安全官Todd Dekkinga表示：“但是如果攻擊者獲得了運營技術(shù)，可以對企業(yè)造成很大的傷害，而數(shù)字孿生會加速這種風險?！?/p>

“數(shù)字孿生比實體孿生更容易獲得。過去，運營技術(shù)環(huán)境被認為是獨立和孤立的，但現(xiàn)在不再是這樣了。現(xiàn)在它們是完全連接的、可訪問的，且很容易受到攻擊?！?/p>

CISO甚至可能不知道擁有數(shù)字孿生的運營技術(shù)資產(chǎn)的完整列表，更別提保護了。

暴露潛在的漏洞

數(shù)字孿生依賴于物聯(lián)網(wǎng)傳感器的輸入，這些傳感器可能充滿漏洞，以及運行易受攻擊的傳統(tǒng)操作系統(tǒng)的系統(tǒng)。

根據(jù)Nozomi Networks 8月份的一份安全報告，在2022年上半年，ICS-CERT發(fā)布的與運營技術(shù)和物聯(lián)網(wǎng)相關(guān)的常見漏洞和暴露有560個，其中109個直接影響關(guān)鍵制造業(yè)。

NCC Group的Munro表示:“由于這些設備的安全性普遍較低，因此在孿生設置中使用物聯(lián)網(wǎng)設備作為傳感器令人擔憂?！痹跀?shù)字孿生方面，網(wǎng)絡安全專業(yè)知識往往滯后。

Munro表示，研究人員或工程師通常很難接觸到新技術(shù)，也很難獲得運行實例。這對獲得正確的專業(yè)知識來支持保護這些平臺提出了挑戰(zhàn)。

如何確保數(shù)字孿生的安全

保護數(shù)字孿生的最佳實踐首先讓網(wǎng)絡安全專家加入部署團隊，遵循基本的網(wǎng)絡安全衛(wèi)生，并采用零信任原則。

Munro表示，部署數(shù)字孿生的組織應該與安全專家合作，建立詳細的威脅模型。“與任何新技術(shù)一樣，CISO應該設法了解它引入的威脅模型及其對攻擊面的影響?！?/p>

Munro建議，企業(yè)內(nèi)部可能并不總是具備所需的專業(yè)知識，解決方案是與網(wǎng)絡安全行業(yè)的合作伙伴合作。

Velosa表示，部署數(shù)字孿生的企業(yè)應該從一開始就遵循良好的網(wǎng)絡安全原則?！皬牟呗缘郊夹g(shù)再到標準，在其設計中利用安全最佳實踐。從加密到NIST或TLS策略，再到基于角色的訪問控制?！?/p>

Velosa表示，數(shù)字孿生的設計和開發(fā)應該得到適當?shù)馁Y助，并在道德上專注于在降低風險和遵守法規(guī)的同時發(fā)揮作用?！氨M可能避免使用個人數(shù)據(jù)，并在收集數(shù)據(jù)的地點、收集數(shù)據(jù)的原因以及如何保護數(shù)據(jù)方面保持透明。與采購部門合作，確保企業(yè)不僅擁有數(shù)字孿生中的數(shù)據(jù)，還擁有模型?！?/p>

Dekkinga表示，數(shù)字孿生應該像網(wǎng)絡上的其他關(guān)鍵設備一樣受到保護。“不僅在外圍植入零信任架構(gòu)，還可以通過微分割、多重身份驗證和其他技術(shù)保護內(nèi)部網(wǎng)絡。員工可能需要額外的步驟才能訪問這些系統(tǒng)，但這些不便是值得的?！?/p>

數(shù)字孿生如何幫助網(wǎng)絡安全

但數(shù)字孿生不僅僅是企業(yè)的安全責任。一些企業(yè)正在利用它們來提高網(wǎng)絡安全——作為攻擊預警系統(tǒng)、美人計和測試沙盒。

數(shù)字孿生可以通過創(chuàng)建用于安全測試的虛擬仿真來幫助組織清除系統(tǒng)中的漏洞。其可以幫助網(wǎng)絡安全，因為其可以以反映實際系統(tǒng)的方式對網(wǎng)絡漏洞做出反應。

Booz Allen副總裁Kevin Coggins表示:“可以通過多種方式得到反饋，包括在數(shù)字孿生上運行實際系統(tǒng)軟件或硬件?！?/p>

在投入生產(chǎn)之前，其可以用來測試昂貴的物理系統(tǒng)的漏洞，比如航空電子設備。Coggins表示:“我們不能直接對飛機進行某種威脅，因為這樣會使整個飛機認證程序失效。但若攻擊這個數(shù)字孿生，就會發(fā)現(xiàn)任何潛在的漏洞?！?/p>

Booz Allen與軟件開發(fā)商Unity Technologies合作，為一個客戶制作了一個大型設備的三維物聯(lián)網(wǎng)數(shù)字孿生。據(jù)Coggins稱，這使之能夠查看系統(tǒng)中的漏洞，以確定某人可能會訪問的影響。

Coggins表示，即使它們本身不是生產(chǎn)系統(tǒng)，這些數(shù)字孿生也應該得到相同級別的安全保護?！叭绻胍粋€數(shù)字孿生，須確保它將生存的環(huán)境安全?！?/p>

數(shù)字孿生還可以充當一種蜘蛛網(wǎng)或威脅檢測系統(tǒng)——攻擊者的入侵會產(chǎn)生漣漪，網(wǎng)絡安全團隊都能感受到。

GE是一家使用數(shù)字孿生作為高度敏感傳感器層的企業(yè)，該企業(yè)正在構(gòu)建一種稱之為“數(shù)字幽靈”的東西。例如，如果對手攻擊關(guān)鍵基礎(chǔ)設備的關(guān)鍵部分的控制，即使他們能夠偽造特定傳感器的輸出，數(shù)字孿生作為一個整體也會認識到有問題，因為整個系統(tǒng)不再按照預測行事，或者不會匹配來自其他傳感器的信息。

GE的John認為，系統(tǒng)越復雜越好，因為這將有更多的傳感器，從而提高可觀察性。

關(guān)鍵基礎(chǔ)設備是如何部署數(shù)字孿生來幫助網(wǎng)絡安全的完美示例。John表示:“事實上，我可以很好地預測事情應該如何運行，特別是如果將控制與數(shù)字孿生模型集成在一起，可以用其來判斷是否正在發(fā)生網(wǎng)絡攻擊?？梢酝ㄟ^查看流程變量，如氣流、壓力、溫度——所有使資產(chǎn)正常運行的東西，檢查這些是否都正常，并找出問題所在，以告知操作人員。”

John表示:“我們正在使用孿生，但不希望攻擊者知道，所以它是一個數(shù)字幽靈。”

數(shù)字幽靈不僅可以用來保護關(guān)鍵基礎(chǔ)設備的安全，還可以用來保護組織數(shù)據(jù)中心的運營技術(shù)。典型的OT網(wǎng)絡安全是關(guān)于查看網(wǎng)絡流量、防火墻和搜索病毒。但，這不是其中的任何一個。

相反，John表示，GE對數(shù)字幽靈的看法更多地是關(guān)于基礎(chǔ)實物資產(chǎn)的運營方式。“我們需要了解的是，正常情況下的物理情況是什么，控制如何正常操作這些資產(chǎn)。如果擁有這些知識和大量的模擬數(shù)據(jù)或歷史數(shù)據(jù)，就可以很好地展示資產(chǎn)應該如何運營?！?/p>

John還表示，數(shù)字幽靈將能夠檢測出是否有問題，并準確地告知問題點。“僅這一項通常就需要操作人員數(shù)天或數(shù)周的時間才能確定問題所在。而數(shù)字幽靈在幾秒鐘內(nèi)就能做到這一點?！?

生成海報

免責聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準確性及可靠性，但不保證有關(guān)資料的準確性及可靠性，讀者在使用前請進一步核實，并對任何自主決定的行為負責。本網(wǎng)站對有關(guān)資料所引致的錯誤、不確或遺漏，概不負任何法律責任。任何單位或個人認為本網(wǎng)站中的網(wǎng)頁或鏈接內(nèi)容可能涉嫌侵犯其知識產(chǎn)權(quán)或存在不實內(nèi)容時，應及時向本網(wǎng)站提出書面權(quán)利通知或不實情況說明，并提供身份證明、權(quán)屬證明及詳細侵權(quán)或不實情況證明。本網(wǎng)站在收到上述法律文件后，將會依法盡快聯(lián)系相關(guān)文章源頭核實，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。