數字孿生(sheng)的網絡(luo)安全挑(tiao)戰(zhan)和機遇

數字(zi)孿(luan)生(sheng)是對(dui)象(xiang)或系統的數(shu)字(zi)表(biao)示，可以(yi)使(shi)組(zu)織(zhi)更(geng)深(shen)入(ru)地了解這些對象的生命周期(qi)，但這種(zhong)相(xiang)同級別(bie)的了解和(he)控(kong)制也可(ke)能(neng)為(wei)惡意(yi)行為者打(da)開大門(men)。

數字孿(luan)生可(ke)以為(wei)任(ren)何(he)物理(li)基礎設備(bei)創建(jian)，包括發動機、渦輪和其他設備(bei)的(de)單(dan)個(ge)組件(jian)，或整(zheng)個(ge)工(gong)廠和數據中(zhong)心。

GE全(quan)球(qiu)研究部執(zhi)行(xing)技(ji)術總監(jian)Justin John表(biao)示(shi):“數字(zi)孿生與(yu)普通模型(xing)的不(bu)同(tong)之處(chu)在(zai)于(yu)，它是在現(xian)場部署(shu)的特(te)定序列號的(de)模(mo)型。它(ta)要么得到物理學(xue)的支(zhi)持，要(yao)么(me)已經通(tong)過歷(li)史數(shu)據了(le)解了(le)資產的(de)運(yun)作——并以(yi)此(ci)來進行(xing)預(yu)測。

“數字(zi)孿(luan)生可以(yi)擴大規(gui)模(mo)，模(mo)擬復(fu)雜的(de)系(xi)統。如(ru)有五六個不同(tong)的(de)模(mo)型，將其(qi)組合在(zai)一(yi)起，可(ke)得到想要的(de)任何(he)商業結(jie)果。”

在(zai)某些情況(kuang)下，數字孿(luan)生(sheng)可(ke)用于直接控制(zhi)其(qi)鏡(jing)像的(de)資(zi)產(chan)。

數字孿生的(de)挑(tiao)戰(zhan)

通過(guo)使(shi)用(yong)來自數(shu)字孿生(sheng)的(de)數(shu)據(ju)，可(ke)以調整現實世(shi)界(jie)的設備或系(xi)統以盡(jin)可能高效地(di)工(gong)作，以(yi)節省成本(ben)并延(yan)長其生命(ming)周(zhou)期(qi)，但(dan)這(zhe)也帶(dai)來了(le)自身(shen)的安全風(feng)險。

”雖(sui)然CISO應(ying)該是數(shu)字孿生項目的主(zhu)要利(li)益(yi)相(xiang)關(guan)者(zhe)，但(dan)他(ta)們(men)幾(ji)乎(hu)從來都不是最終(zhong)的(de)決(jue)策(ce)者(zhe)，”Gartner物聯網研究副總裁Alfonso Velosa表(biao)示：“由(you)于(yu)數字孿生(sheng)是(shi)推動(dong)業(ye)務流程(cheng)轉(zhuan)型(xing)的(de)軟(ruan)件，因此(ci)業(ye)務(wu)或運(yun)營部(bu)門通(tong)常會主導(dao)這(zhe)一舉(ju)措(cuo)。大(da)多數數字(zi)孿生(sheng)都(dou)是為滿足(zu)特定的業務(wu)需求(qiu)而(er)定制的(de)。”

據Velosa稱(cheng)，當(dang)企(qi)業購(gou)買新的智能資(zi)產(chan)時(shi)，無論(lun)是卡(ka)車、挖(wa)掘機(ji)、電(dian)梯、壓(ya)縮機(ji)還(hai)是冰(bing)柜(gui)，通(tong)常(chang)都會(hui)配(pei)備(bei)數字孿(luan)生(sheng)。大多數運營(ying)團(tuan)隊將(jiang)需(xu)要(yao)一(yi)套(tao)精(jing)簡(jian)的跨(kua)IT支持，而不(bu)僅(jin)僅(jin)是CISO，以將它(ta)們集成到更廣泛(fan)的業務(wu)流程(cheng)中并管理(li)安(an)全(quan)。”

如果沒(mei)有適(shi)當(dang)的(de)網(wang)絡(luo)安(an)全控制，數字孿(luan)生可能(neng)會(hui)擴大企業(ye)的攻擊面(mian)，使惡意(yi)行(xing)為者能(neng)夠訪(fang)問以(yi)前(qian)無法訪(fang)問的(de)控制系(xi)統，并(bing)暴露(lu)預先存在的(de)漏洞(dong)。

擴(kuo)大(da)攻擊(ji)面

創(chuang)建(jian)系統的數字(zi)孿(luan)生后，潛在(zai)的攻擊面實(shi)際(ji)上(shang)翻(fan)了(le)一番(fan)。對手可(ke)以(yi)攻(gong)擊(ji)系統(tong)本(ben)身(shen)，也(ye)可(ke)以攻(gong)擊該(gai)系(xi)統的(de)數(shu)字(zi)孿生。

有(you)時，當(dang)底層(ceng)系(xi)統不容(rong)易(yi)從外(wai)部(bu)訪(fang)問時，數字(zi)孿生可(ke)能會暴露企(qi)業以(yi)前隱藏的部分(fen)。例如，在(zai)過去，數(shu)據(ju)中(zhong)心中(zhong)的電源可能(neng)只(zhi)能由物(wu)理上(shang)位(wei)于(yu)附(fu)近(jin)控制終端(duan)的(de)技術人員(yuan)訪(fang)問。這(zhe)種(zhong)基(ji)礎(chu)設施的數字(zi)孿生可以讓技術(shu)人(ren)員(yuan)遠程監(jian)控設(she)備(bei)——如(ru)果黑客設(she)法獲得訪(fang)問權限，也(ye)可以(yi)這樣(yang)做(zuo)。

而(er)且，現在暴(bao)露的(de)不僅僅(jin)是以前(qian)無(wu)法訪(fang)問的傳(chuan)感器(qi)數據。Velosa表(biao)示(shi):“在某(mou)些情況(kuang)下，數字孿生體可(ke)以發送(song)控(kong)制(zhi)信號，改變(bian)(正(zheng)在建(jian)模)實(shi)際(ji)物(wu)體(ti)的(de)狀(zhuang)態。”

“當(dang)數(shu)字孿生是由實(shi)時(shi)數(shu)據提(ti)供(gong)的業(ye)務(wu)運(yun)營(ying)模型時(shi)，可(ke)以(yi)收集關(guan)鍵(jian)的(de)企(qi)業信息，有時還可(ke)以收集員工(gong)和客戶(hu)的個人身(shen)份(fen)信息。這使(shi)其成為(wei)誘人(ren)的目(mu)標(biao)。”

根(gen)據(ju)主權地理(li)位(wei)置的(de)不同，這(zhe)可(ke)能(neng)導致監管和(he)合(he)規(gui)處罰。Velosa補(bu)充道:“這(zhe)也(ye)凸顯了數據(ju)的重(zhong)要性(xing)，因(yin)為(wei)數(shu)字孿生(sheng)是為了實現商業(ye)目標(biao)而構(gou)建(jian)的。”

因此(ci)，Velosa警告(gao)道，數字(zi)孿生(sheng)的輸出(chu)不僅(jin)可以(yi)告訴對(dui)手或競(jing)爭(zheng)對手(shou)企業在做什么(me)，還可(ke)以(yi)對企(qi)業(ye)的戰略(lve)和(he)未來方向(xiang)提(ti)供有(you)價(jia)值的見(jian)解。

此外，NCC Group的首(shou)席信(xin)息官Lawrence Munro表示：“數(shu)字(zi)孿(luan)生(sheng)與物理(li)孿生(sheng)是相連的(de)，這種連接本身就為(wei)孿生之間的跳躍提供了額(e)外的攻擊(ji)向(xiang)量，如果(guo)其中一個受到損害的話(hua)。”

數字(zi)孿(luan)生(sheng)的(de)資(zi)產(chan)

數字孿生最主(zhu)要的用(yong)例之(zhi)一是使(shi)運營技(ji)術(shu)更易(yi)于(yu)訪問和管(guan)理(li)。但在運營技(ji)術(shu)領(ling)域(yu)，網(wang)絡安全(quan)往(wang)往是事(shi)后(hou)才(cai)考(kao)慮，許(xu)多(duo)系統(tong)運(yun)行(xing)在(zai)傳統(tong)技術上(shang)，而這些(xie)傳(chuan)統(tong)技(ji)術可能(neng)不容(rong)易得(de)到(dao)保(bao)護(hu)。

Zluri的首(shou)席(xi)信(xin)息(xi)安全(quan)官(guan)Todd Dekkinga表示(shi)：“但(dan)是(shi)如果(guo)攻(gong)擊者(zhe)獲得了運(yun)營(ying)技術，可以(yi)對(dui)企業(ye)造成很(hen)大(da)的(de)傷(shang)害，而數字(zi)孿生會加(jia)速(su)這(zhe)種(zhong)風(feng)險(xian)。”

“數字(zi)孿生(sheng)比實體孿生(sheng)更容(rong)易(yi)獲(huo)得(de)。過去，運營技術環(huan)境被認(ren)為(wei)是(shi)獨立和(he)孤立的(de)，但(dan)現在不再(zai)是(shi)這(zhe)樣(yang)了(le)。現(xian)在(zai)它(ta)們是完(wan)全連接的(de)、可訪(fang)問的，且(qie)很(hen)容易受(shou)到(dao)攻(gong)擊(ji)。”

CISO甚至可(ke)能(neng)不知(zhi)道擁(yong)有(you)數字(zi)孿(luan)生的(de)運(yun)營技術資產(chan)的(de)完(wan)整列表(biao)，更(geng)別提(ti)保(bao)護(hu)了(le)。

暴露潛在(zai)的漏(lou)洞

數(shu)字孿(luan)生依賴于(yu)物(wu)聯網(wang)傳感(gan)器(qi)的(de)輸(shu)入(ru)，這(zhe)些傳(chuan)感(gan)器可(ke)能(neng)充(chong)滿漏(lou)洞(dong)，以及(ji)運行(xing)易受攻擊的(de)傳統操(cao)作系(xi)統的系(xi)統(tong)。

根據Nozomi Networks 8月份的一份(fen)安全報(bao)告(gao)，在(zai)2022年(nian)上半(ban)年(nian)，ICS-CERT發布(bu)的與運營(ying)技術和(he)物(wu)聯(lian)網相(xiang)關的(de)常見(jian)漏(lou)洞和暴露(lu)有(you)560個(ge)，其中109個(ge)直(zhi)接影(ying)響(xiang)關鍵制(zhi)造業(ye)。

NCC Group的(de)Munro表示(shi):“由于這些(xie)設備的(de)安全(quan)性普(pu)遍較(jiao)低，因(yin)此在(zai)孿生設(she)置(zhi)中使(shi)用(yong)物(wu)聯(lian)網(wang)設備(bei)作(zuo)為傳感器令人擔憂(you)。”在數字(zi)孿(luan)生(sheng)方(fang)面(mian)，網絡(luo)安(an)全專業知(zhi)識往往(wang)滯(zhi)后。

Munro表示，研究(jiu)人員或工程師通常(chang)很難接(jie)觸(chu)到(dao)新(xin)技(ji)術，也很(hen)難(nan)獲得運行(xing)實例(li)。這(zhe)對獲得正(zheng)確(que)的專(zhuan)業知識來支(zhi)持保(bao)護(hu)這些(xie)平臺提出(chu)了挑戰(zhan)。

如何確保(bao)數(shu)字(zi)孿(luan)生的安全

保(bao)護數(shu)字(zi)孿生(sheng)的最佳(jia)實踐首(shou)先(xian)讓(rang)網(wang)絡安(an)全專家加(jia)入部署團隊，遵(zun)循基(ji)本(ben)的(de)網絡安全衛(wei)生，并(bing)采用零(ling)信任(ren)原(yuan)則。

Munro表(biao)示(shi)，部署數(shu)字孿(luan)生的組(zu)織應該與安(an)全專(zhuan)家合(he)作，建立(li)詳(xiang)細的威(wei)脅(xie)模(mo)型(xing)。“與任(ren)何(he)新(xin)技術一樣(yang)，CISO應該(gai)設(she)法了解它(ta)引入(ru)的威脅(xie)模(mo)型(xing)及(ji)其對攻(gong)擊面的(de)影響(xiang)。”

Munro建議(yi)，企業內部(bu)可(ke)能(neng)并不總是具備(bei)所需(xu)的專業知識(shi)，解(jie)決(jue)方(fang)案(an)是(shi)與網絡(luo)安全(quan)行(xing)業的合作(zuo)伙(huo)伴(ban)合作(zuo)。

Velosa表示(shi)，部(bu)署數(shu)字(zi)孿生的(de)企(qi)業應(ying)該從(cong)一(yi)開始就(jiu)遵循良(liang)好(hao)的(de)網絡安(an)全(quan)原(yuan)則。“從策略到技(ji)術(shu)再到(dao)標準，在(zai)其設計(ji)中利(li)用(yong)安(an)全(quan)最(zui)佳(jia)實踐。從加密(mi)到NIST或(huo)TLS策略(lve)，再到(dao)基于(yu)角色的訪問控制(zhi)。”

Velosa表示(shi)，數(shu)字(zi)孿(luan)生的設計(ji)和開發(fa)應(ying)該得(de)到(dao)適(shi)當的資助(zhu)，并(bing)在道德(de)上(shang)專注于(yu)在(zai)降低風險(xian)和遵守(shou)法規的(de)同(tong)時(shi)發(fa)揮作(zuo)用(yong)。“盡(jin)可(ke)能(neng)避免(mian)使用(yong)個人數(shu)據，并在收(shou)集數(shu)據的地點、收集數(shu)據的(de)原(yuan)因(yin)以(yi)及(ji)如(ru)何(he)保護(hu)數(shu)據(ju)方面(mian)保持(chi)透明。與(yu)采(cai)購部門合(he)作(zuo)，確保(bao)企業(ye)不僅(jin)擁有數字孿生中(zhong)的(de)數(shu)據(ju)，還(hai)擁有模型(xing)。”

Dekkinga表示(shi)，數字(zi)孿(luan)生應(ying)該(gai)像(xiang)網絡上的其(qi)他(ta)關鍵(jian)設備一(yi)樣(yang)受(shou)到(dao)保護(hu)。“不僅在(zai)外圍(wei)植(zhi)入零信任(ren)架(jia)構(gou)，還(hai)可(ke)以(yi)通(tong)過(guo)微分(fen)割(ge)、多(duo)重身份(fen)驗(yan)證(zheng)和其(qi)他技(ji)術(shu)保護(hu)內部(bu)網(wang)絡。員工(gong)可(ke)能(neng)需要(yao)額(e)外(wai)的步(bu)驟(zhou)才能訪(fang)問(wen)這(zhe)些系統(tong)，但這(zhe)些(xie)不(bu)便(bian)是(shi)值得的(de)。”

數(shu)字(zi)孿(luan)生(sheng)如(ru)何幫(bang)助網絡(luo)安全(quan)

但(dan)數(shu)字(zi)孿(luan)生(sheng)不僅僅(jin)是企業(ye)的(de)安全(quan)責(ze)任(ren)。一些企業(ye)正在利用(yong)它們(men)來(lai)提高網絡安全——作為攻擊預(yu)警系統、美人計(ji)和(he)測試(shi)沙盒(he)。

數(shu)字孿(luan)生可以(yi)通(tong)過創建用(yong)于(yu)安全(quan)測試(shi)的虛擬(ni)仿(fang)真(zhen)來幫助(zhu)組織(zhi)清(qing)除(chu)系統中(zhong)的漏(lou)洞。其(qi)可(ke)以幫(bang)助網(wang)絡(luo)安(an)全(quan)，因為(wei)其可(ke)以以反映實際(ji)系統的(de)方式對(dui)網絡(luo)漏(lou)洞做出反應。

Booz Allen副總(zong)裁Kevin Coggins表(biao)示(shi):“可以通(tong)過多(duo)種方(fang)式得到(dao)反(fan)饋，包括在數字孿(luan)生上運(yun)行(xing)實(shi)際(ji)系統軟(ruan)件或硬件。”

在(zai)投(tou)入(ru)生(sheng)產(chan)之(zhi)前，其(qi)可以用來(lai)測(ce)試昂(ang)貴(gui)的物理系(xi)統(tong)的漏(lou)洞(dong)，比(bi)如航空(kong)電子(zi)設(she)備。Coggins表(biao)示(shi):“我們不能(neng)直(zhi)接對飛(fei)機(ji)進行某種(zhong)威脅(xie)，因為這樣(yang)會使整(zheng)個(ge)飛(fei)機(ji)認(ren)證程(cheng)序(xu)失(shi)效。但若(ruo)攻(gong)擊這個數(shu)字孿(luan)生(sheng)，就(jiu)會發現(xian)任何(he)潛在的(de)漏洞(dong)。”

Booz Allen與(yu)軟件(jian)開(kai)發商(shang)Unity Technologies合作，為一個(ge)客戶制(zhi)作了(le)一(yi)個(ge)大型(xing)設(she)備的三維(wei)物聯(lian)網數字孿生(sheng)。據(ju)Coggins稱(cheng)，這使之能夠查(cha)看(kan)系(xi)統(tong)中的漏(lou)洞(dong)，以確(que)定某人(ren)可(ke)能會訪(fang)問(wen)的影(ying)響。

Coggins表示(shi)，即使它們本(ben)身(shen)不(bu)是生產系(xi)統，這(zhe)些(xie)數字(zi)孿(luan)生(sheng)也(ye)應(ying)該得(de)到(dao)相同級(ji)別(bie)的(de)安(an)全保護。“如(ru)果(guo)想(xiang)要(yao)一(yi)個(ge)數字(zi)孿(luan)生(sheng)，須確(que)保它將(jiang)生(sheng)存的(de)環(huan)境安全(quan)。”

數字孿(luan)生(sheng)還可以充(chong)當一(yi)種蜘(zhi)蛛(zhu)網或威脅(xie)檢(jian)測系(xi)統——攻擊者(zhe)的入(ru)侵(qin)會(hui)產(chan)生(sheng)漣漪(yi)，網(wang)絡安(an)全(quan)團隊都能(neng)感受(shou)到(dao)。

GE是(shi)一(yi)家(jia)使(shi)用數(shu)字(zi)孿(luan)生作為(wei)高度敏(min)感傳感器(qi)層(ceng)的(de)企業(ye)，該(gai)企(qi)業正在構建(jian)一種(zhong)稱之(zhi)為“數字(zi)幽靈”的東西(xi)。例(li)如，如(ru)果對(dui)手(shou)攻擊(ji)關鍵基(ji)礎(chu)設(she)備的(de)關鍵部(bu)分的控制，即(ji)使他們能夠(gou)偽造(zao)特定(ding)傳(chuan)感器的輸出(chu)，數字(zi)孿(luan)生作為一(yi)個(ge)整體也(ye)會(hui)認(ren)識(shi)到有問(wen)題(ti)，因(yin)為(wei)整(zheng)個(ge)系(xi)統不再按(an)照(zhao)預(yu)測(ce)行事，或(huo)者不會匹配來自(zi)其他(ta)傳(chuan)感器(qi)的信(xin)息。

GE的John認(ren)為，系(xi)統越(yue)復(fu)雜(za)越(yue)好，因(yin)為(wei)這(zhe)將有更(geng)多的(de)傳(chuan)感器(qi)，從而提(ti)高(gao)可(ke)觀(guan)察性。

關(guan)鍵(jian)基礎(chu)設(she)備是(shi)如何(he)部(bu)署數(shu)字(zi)孿(luan)生(sheng)來(lai)幫(bang)助網(wang)絡(luo)安(an)全(quan)的完(wan)美(mei)示例。John表示:“事(shi)實(shi)上，我可(ke)以(yi)很(hen)好地預測(ce)事(shi)情應該(gai)如何運行，特別是如(ru)果將(jiang)控(kong)制與數(shu)字孿(luan)生模型(xing)集(ji)成(cheng)在(zai)一起，可(ke)以用其(qi)來判(pan)斷是否正(zheng)在(zai)發生網(wang)絡(luo)攻擊(ji)。可以通過查(cha)看(kan)流(liu)程(cheng)變(bian)量(liang)，如氣流(liu)、壓(ya)力(li)、溫(wen)度(du)——所(suo)有(you)使資(zi)產(chan)正(zheng)常運(yun)行的東(dong)西，檢查(cha)這些是否都正常(chang)，并(bing)找(zhao)出問(wen)題(ti)所在，以告(gao)知(zhi)操作(zuo)人員。”

John表示(shi):“我們正在(zai)使(shi)用孿生(sheng)，但(dan)不希望(wang)攻(gong)擊(ji)者(zhe)知道，所以它(ta)是一(yi)個數字(zi)幽(you)靈(ling)。”

數(shu)字幽靈(ling)不(bu)僅可以用(yong)來保(bao)護(hu)關(guan)鍵基礎(chu)設(she)備的(de)安(an)全(quan)，還可(ke)以(yi)用來保護組(zu)織數據中(zhong)心(xin)的運(yun)營技(ji)術(shu)。典(dian)型(xing)的OT網絡安全是關于(yu)查看網絡(luo)流(liu)量、防(fang)火(huo)墻(qiang)和搜(sou)索(suo)病(bing)毒。但(dan)，這(zhe)不(bu)是(shi)其(qi)中的(de)任(ren)何(he)一(yi)個(ge)。

相(xiang)反(fan)，John表示(shi)，GE對(dui)數(shu)字幽靈(ling)的看法更(geng)多(duo)地是(shi)關于基礎(chu)實物(wu)資(zi)產(chan)的(de)運(yun)營方式(shi)。“我(wo)們(men)需要了解的(de)是，正常(chang)情(qing)況(kuang)下的物理情(qing)況(kuang)是什么(me)，控(kong)制如何正(zheng)常操作這(zhe)些資(zi)產。如(ru)果(guo)擁(yong)有(you)這(zhe)些(xie)知識和(he)大量(liang)的(de)模擬數(shu)據或歷史數據，就可以很(hen)好(hao)地(di)展(zhan)示(shi)資(zi)產(chan)應該如(ru)何運營。”

John還表(biao)示，數(shu)字幽(you)靈(ling)將(jiang)能夠檢測出是(shi)否有問(wen)題，并(bing)準(zhun)確地告(gao)知(zhi)問題點(dian)。“僅這一(yi)項通常就(jiu)需要操作人(ren)員數天或數周(zhou)的(de)時(shi)間才(cai)能(neng)確(que)定(ding)問題所(suo)在(zai)。而數字(zi)幽靈(ling)在幾(ji)秒鐘內就能做到(dao)這一(yi)點(dian)。”