cisco iot security · 识别标识所有接入工业网络的iot设备,建立策略对...
TRANSCRIPT
© 2018 Cisco and/or its affiliates. All rights reserved. Cisco Confidential
Cisco IoT Security
David Li
并不是所有的问题都来自异常
IoT安全攻击面
IOT 设备及控制系统的漏洞
IoT安全攻击面
通过恶意软件获取网络控制权
IoT安全攻击面
IOT网络的控制系统被用于攻击,网络入侵和勒索
IoT安全攻击面
自动化供应商仍在已经停止支持的Windows平台上发布更新
从2009年到2015年,工业系统中发现的漏洞增加了2400%
2015年秋季之前,几乎所有的基于以太网的OT协议缺乏认证机制
然而,三年前制造业的以太网增长了96%
IoT安全攻击面
IT 和 OT 覆盖范围
IT
• 保护IT资产机密性• 完整性,可用性• 数据,语音,视频• 网络身份验证• 威胁检测
OT
• 运营正常运行/安全• 高可用性• 诚信,保密• 控制协议/动作• 物理访问• 过程异常
安全 IT/OT 覆盖
IT与OT之间的不同需求
• 安全风险评估• 跨IT / OT的资产可见性• 分段访问控制• 不断发展的安全法规• 远程访问
IoT 威胁防御保护物联网环境, 减少停机时
间业务中断
思科IoT威胁防御
思科IoT威胁防御方案提供:
可视与分析
物联网设备的潜在危险行为
专业安全服务评估和基准风险,管理OT环境并执行事件响应
分割及接入控制同时IT 和OT 环境
安全远程接入进入OT 网络
• 风险评估和基线
• 部署服务
• 事件响应
• 解决方案支持
• 安全连接进入/退出OT环境
• 远程连接/设备的访问控制
• 对远程活动的可见性
• 分割IT和OT环境
• 在IT网络中划分OT设备
• 隔离危险设备
• 标识用户和设备
• 用户,设备,数据和流量的可见性
• 评估威胁的威胁分析可视与分
析
分割及安
全接入
IOT安
全服务
远程安全
接入
思科IoT威胁防御解决方案
降低OT 风险能力图
远程工程师配置设备
防病毒, DNS,VPN
网络分段流量分析 威胁情报 入侵检测 防火墙 VPN 汇聚 接入控制
设备识别
IOT警报和遥测
流量分析 威胁情报 入侵检测 防火墙网络分段接入控制
Talos 威胁情报
ISE 隔离感染的IOT设备
NGFW 隔离IT 与 OT 环境
ISE 标识并分类IOT设备
思科 IOT 威胁防御架构
MaliciousInfrastructur
e
零日攻击及感染NGFW 阻挡DMZ发生的向内和向外的连接
Stealthwatch学习流量基线,发现并记录异常行为
蠕虫/攻击传播
威胁分析& 发送隔离被感染IOT设备请求至ISE、
Umbrella和NGFW 阻止 C2 回拨
交换机执行隔离
安全的远程VPN接入到OT 环境
FIN HR
VEN
C2 回拨
保护: FirePower 下一代防火墙
Cisco FirePOWER™
ISA 3000)(Ot场景)Cisco Firepower Threat
Defense on ASA 5500-XCisco Firepower™ 4100, 2100, 9300 系列
及高端硬件…
亦可作为标准方案
Dedicated
AMPNGIPS
only
物理, 虚拟, 云
• AWS
• Azure
Industrial Security Appliance 3000 概览
传输制造 能源
状态检测工业防火墙
工业协议支持(DNP3, Modbus, IEC 60870, CIP)可视及漏洞防御规则
针对ICS, Windows, MES 组件, OT 应用, NW
infrastructure进行漏洞保护
高性能 VPN, DNS, DHCP, NAT
支持硬件逃生, alarm I/O, 双Dc电源, SD卡快速设置, 硬件支持PTP
工业协议分析, 协议控制滥用, 检测set-point 层面变化
Certified for power substations, industrial, and railway
and helps meet NERC-CIP, ISA99, IEC 62443
冗余及时延控制
Identity
Services
Engine
Who
What
When
Vulnerability
Threat
Compliance
How
Where
基于情景的分割控制
工业网络的可视& 分割
Bob
Rockwell PLC
11:00 AM EST on April 10th
Extrusion, Zone-2, Cell-1
Wired Access
Yes
None
CVSS score of 6
pxGrid
Industrial
Network
Director
Discover Industrial
Assets using CIP,
PROFINET, Modbus,
BACNet Protocols
Visualize connectivity
between automation and
networking assets
安全始于可视
IND 通过PxGrid共享工业网设备信息给ISE
… ISE基于设备信息针对不同情景进行网络分割及接入控制
1. 识别标识所有接入工业网络的IOT设备,建立策略对互访进行限制
2. 分段隔离不同系统的IOT设备,测试分割效果
3. 尽可能对设备接入进行认证 (设备, 远程接入, 企业内)
4. 监控IoT网络通讯,标识正常流量
5. 标识IoT设备的归属管理责权– 问题责任人
IoT设备集成最佳实践