美國能源部發布「五年計劃」保護網路安全

更多全球網路安全資訊盡在E安全官網www.easyaq.com

E安全5月23日訊 自特朗普2018年5月8日宣布退出伊核協議後，美國聯邦政府官員及行業專家擔心伊朗會對美國的基礎設施發起攻擊。當地時間5月14日,美國能源部發布了長達52頁的美國《能源行業網路安全多年計劃》，為美國能源部網路安全、能源安全和應急響應辦公室（CESER）勾畫了一個「綜合戰略」，確定了美國能源部未來五年力圖實現的目標和計劃，以及實現這些目標和計劃將採取的相應舉措，以降低網路事件給美國能源帶來的風險。

《能源行業網路安全多年計劃》概述網路風險管理實踐的顛覆性變革，美國能源部履行網路安全責任的舉措，以解決能源所有者和運營商不斷變化的安全需求等問題，力圖在應對網路威脅方面佔據先決優勢；強調了網路威脅的頻率、規模和複雜程度不斷上升，發動網路攻擊也變得更加容易。國家黑客、網路犯罪分子和恐怖分子不斷探測能源系統，企圖利用網路漏洞感染、破壞或摧毀能源系統。

另據《紐約時報》報道稱，美國國防部的網路戰部門正密切關注伊朗的網路流量。

一、關注優先順序

《能源行業網路安全多年計劃》側重於關注美國能源部各部門協調確定的高優先順序舉措，並支持美國聯邦政府和能源行業的戰略和計劃，以此降低美國能源行業的網路安全風險。這份計劃將為美國能源部下新設立的網路安全、能源安全及應急響應辦公室（CESER）提供重要的基礎。

• 計劃概述了美國能源部一項顛覆性戰略——著眼於美國能源行業最高優先順序的需求，CESER 將集中聯邦機構的舉措保護電網，防範網路攻擊。

• 計劃指出，美國聯邦政府必須幫助降低那些可能引發大規模或能源中斷的網路安全風險，並詳細闡述了美國能源部降低網路風險應採取的舉措和行動。

• 該計劃重點強調美國能源行業、聯邦政府機構和非政府合作夥伴之間應緊密加強合作。

美國能源部在計劃中表示，由於資源有限，即使最佳的防禦措施也可能遠遠趕不上網路威脅嚴峻形勢的變化。為了取得優勢，美國有必要在網路風險管理實踐方面進行顛覆性的變革。為此，美國能源部在這份計劃中提出了降低網路風險的綜合戰略，主要涉及兩個方面的任務：

• 通過與合作夥伴合作，加強美國當今的能源輸送系統安全，以解決日益嚴峻的威脅並持續改進安全狀況。

• 推出顛覆性解決方案，從而在未來開發出具備安全性、彈性和自我防禦功能的能源系統。

這項綜合網路戰略設定了三個目標：

• ?加強美國能源行業的網路安全防範工作，通過信息共享和態勢感知加強當前能源輸送系統的安全性。

• 協調網路事件響應和恢復工作。

• 加速顛覆性解決方案的研發與示範（RD&D）工作，以創建更安全、更具彈性的能源系統。

雖然這份計劃概述了美國能源部降低網路風險的主要目標及實現目標的框架性實施步驟，但部分專家表示，這份計劃缺乏具體細節。

清潔能源技術優化與戰略政策公司 Stella Group 的總裁斯科特·斯克拉表示，與其它機構合作並尋求推出顛覆性系統的方法是明智之舉，但他認為關於如何優先考慮關鍵漏洞進而形成應對攻擊的戰略，能源部還缺乏明確的闡述。

CRISP 旨在讓能源行業的所有者和運營商自願近乎實時地共享網路威脅數據，藉助情報分析這些數據，並接收機器對機器威脅警報和緩解措施。CRISP 由美國電力信息共享和分析中心（E-ISAC）管理，但最終應由私營部門掌握並運作。CRISP 目前由26個公共事業公司組成，佔美國電力客戶的75%。

美國能源部希望2021財年有100家公共事業公司使用 CRISP，並使 CRISP 的使用成本下降50%。參與者將通過美國能源部電力輸送和能源可靠性辦公室（簡稱 OE）的網路分析工具和技術（CATT）項目推進該計劃的分析功能。

美國能源部表示，目前已有26個公共事業公司參與了 CRISP 計劃。美國能源部希望擴大這項計劃的參與度。參與該計劃的公司基本上都在網路邊界，也就是公司防火牆外安裝了信息共享設備（ISD）。ISD 以加密的形式收集數據，並將其發送至 CRISP 分析中心。該中心負責分析接收的數據，使用政府提供的信息，並向參與公司返回針對潛在惡意活動的警報和緩解措施。這些警報可直接引入公司的入侵檢測或防禦系統。

美國能源部希望到2019年開發出 OT 感測器設備，用於監控特定的 OT/工業控制系統（ICS）數據流。到2020年，在美國能源行業大範圍實現 OT 感測器和 CRISP 集成。

美國能源部電力輸送和能源可靠性辦公室（OE）正在與美國能源部的國家實驗室合作開發專業的網路資源和能力，部署在網路事件發生期間，以幫助能源公司識別並響應網路攻擊。美國能源部目前必須提供網路技術專業知識和幫助，以支持美國的能源行業響應網路事件，並恢復或確保關鍵功能正常運作。

二、運用技術應對網路風險

該計劃還概括了幫助美國能源行業防範、檢測和緩解網路事件的技術途徑：

美國能源部表示，位於美國聖地亞哥的初創企業 Qubitekk 正致力於將技術商業化，以加速採用量子計算、加密技術和應用程序。這家公司正在牽頭一項研究合作計劃，希望使用量子密鑰分發（QKD）減少網路攻擊面。QKD 可安全交換密鑰，以防止關鍵能源行業的數遭遇入侵，並實時檢測竊聽企圖。

與此同時，美國愛荷華州立大學也在領頭開發演算法，以連續並自主評估並減少美國能源輸送系統（EDS）體系結構的網路攻擊面，包括變電站、控制中心和數據採集與監控系統（SCADA）網路。

美國國家鄉村電力合作協會（簡稱 NRECA）正在牽頭一項研究，以開發出快速識別效用控制通信異常的技術。這些異常最終可能會成為網路攻擊的標誌，並幫助其它公共事業公司加速緩解攻擊。

美國 Schweitzer 工程實驗室（簡稱 SEL）也正在帶頭開展一項研究，以檢測並欺騙通常用於同步相量數據的精確同步 GPS 定時信號。此舉可為電網運營提供前所未有的可見性。SEL 的研究還包括開發可能的緩解解決方案，例如轉向替代精確時間源。美國德克薩斯州 A&M 大學也在開發演算法，以檢測針對整個電網架構精確同步定時信號的入侵企圖。

瑞士技術公司 ABB 正在牽頭開展一個研究項目，以使高壓直流輸電系統能夠檢測並自動拒絕可能破壞電網穩定性的指令。這項研究通過電網的物理特性，預測電網如何響應接收到的命令，即拒絕可能會危及電網穩定性的命令，同時及時執行合法的命令。該項目建立在 OE 先前啟動的一個 RD&D 項目之上，美國能源部表示已在傳輸級交流輸電系統中證明了這項功能。

於此同時，美國能源輸送網路彈性聯盟（簡稱 CREDC）將正式模擬風險評估和網路多樣性，以評估 EDS 遭遇 0Day 攻擊的彈性。風險評估模型可根據潛在影響對攻擊分類，並選擇具有彈性的緩解方法。

三、行業牽頭護安全

私營行業也在加大力度保護電網系統，由行業主導開展的 OE 項目包括：

電網邊緣（Grid Edge）設備

英特爾公司正在帶頭開展一項研究，旨在保護電網邊緣設備與雲之間的網路互動。未來的架構可能會不斷將雲計算用於大數據分析，以處理越來越多電網邊緣設備的數數據流，因此這項研究尤為重要。

美國聯合技術研究中心正在主導開發一項研究，旨在藉助與建築能源提供商互動的建築管理系統識別可能影響電網的網路事件，並切換到功能可能有限，但更加安全的平台，從而降低攻擊影響。

ABB 正在開發網路物理控制和保護架構，用於安全集成多微電網系統，從而確保在網路攻擊事件發生期間性能穩定。未來的電網架構可能會依賴微電網和微電網系統，以提高電網的穩定性，從而在有利於電網運行的情況下創建電島。

四、仍需解決的短板

該計劃強調，美國政府、國家實驗室、大學、設備廠商和能源運營商之間已在顯著加強合作，然而，美國7所國家實驗室經過評估後強調指出，美國能源行業因缺乏意識導致其對網路安全新工具和技術進步的接納受限。

美國能源部特別提到由美國聯邦政府資助的資源和工具，例如網路安全能力成熟度模型（C2M2）。C2M2 藉助一系列行業最佳實踐專門幫助組織機構評估、確定優先順序並提升網路安全能力。此類資源和工具有價值可言，但尚未在美國電網行業被廣泛採用。比較而言，美國的石油和天然氣行業幾乎普遍實施了最佳實踐。

美國國土安全部（DHS）的工業控制系統網路應急響應小組（簡稱ICS-CERT）、行業特定的信息共享和分析中心（簡稱 ISAC）、美國電力研究院（簡稱 EPRI）和 CRISP 在美國電力行業的信息共享水平得到明顯改善，尤其在烏克蘭電網2015年遭遇網路攻擊後共享的可行信息。然而，上述7所國家實驗室的評估報告指出，企業很少自願報告事件信息，且吸取的經驗教訓呈「碎片化」。

於此同時，儘管美國電力行業按照北美電力可靠性公司的關鍵基礎設施保護標準、美國能源部和 E-ISAC 的要求較好地遵循了事件報告責任，但當前的流程主要由合規性驅動，而非過程改進。報告機制之間的協調性可能是有價值的。

此外，大多數電力系統的參與者明顯未意識到，最初以公私合作夥伴關係初衷設立的組織機構如今已成為單獨的實體。比如，很少有行業成員了解或參與了美國國家電力行業網路安全組織資源聯盟（簡稱 NESCOR）。NESCOR 是彙集美國國內及國際專家、開發人員和用戶的獨立實體，主要職能在於確定並測試電力行業的新技術、架構和應用程序的安全性。

雖然美國有幾個學術實體已開始提供新的課程，但美國能源行業仍存在很大的網路安全人才缺口。

2、代碼開發安全與軟體質量保證

可在新產品行進行安全編碼實踐，但成本高昂、與老舊產品存在衝突、缺乏需求仍是關鍵障礙。美國能源部表示，克服這一挑戰需要大力開展意識和勞動力培訓工作，但供應鏈風險仍是一個關鍵問題。

儘管用於監控的工具和產品增多，但實時監控 OT 系統仍是一個挑戰，沒有工具能實時評估新風險。

某些 IT/OT 公司正在開發新的安全協議，並在 OT 系統上測試新方法。但是，在整個系統上實現這些協議和方法存在許多挑戰。諸如 SDN 之類的新興技術尚未產生重大影響。

自行配置和自我防禦架構在很大程度上仍需額外投入 RD&D。美國能源部表示，將繼續支持 RD&D，以開發使運行網路路徑繞過干擾的技術，以及開發識別受攻擊電網系統設備並調整餘下未受影響的設備，從而降低損失。

美國能源部指出，對於網路攻擊事件的分析來說，OT 取證在很大程度上仍是黑盒子活動。取證與共享數據之間仍存在巨大的技術差距。此外，雖然新技術可自動識別網路事件，但仍需大量 RD&D 來設計系統，以自動響應或重新配置。

美國能源部表示，用戶發現很難跟上數據和警報的步伐，需要機器對機器的信息共享來加速響應速度。需要藉助更好的方式，讓 IT/OT 專家跟上信息步伐。

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！