工业基础设施日益互联，在此过程中变得更加智能和高效。随着这些进步而来的，是保护基础设施资产免受网络攻击的需求。例如，据劳合社与剑桥风险研究中心近期的一份报告，美国电网若遭遇一次重大网络攻击，损失可能高达1万亿美元。为探讨工业网络安全的现状以及如何更好地推进，《Look ahead》采访了Langner Group创始人、专攻工业控制系统的网络安全专家Ralph Langner。2010年，他领导团队对Stuxnet（震网病毒）进行了逆向工程，这是首个旨在摧毁物理资产的恶意软件。他在此分享了对于如何更好地保护基础设施资产的看法。
您以领导团队对Stuxnet进行逆向工程而闻名。Stuxnet如何改变了各国政府和产业看待网络安全的方式？
全球各国政府已经认识到，网络是一个军事领域——这一理论主要由前国防部副部长威廉·林恩（William Lynn）和前中央情报局局长迈克尔·海登将军（General Michael Hayden）提出并倡导。如今，每年有数十亿美元被用于进攻性军事网络能力建设。私营部门并未出现类似的大规模转变，目前大多仍处于一种否认状态。许多资产所有者自欺欺人地认为，Stuxnet事件对其风险格局并无影响，并且即便国家行为体决定对其发动网络攻击，他们也无法抵御——顺便说一句，这种想法完全是错误的。
您认为目前哪类工业基础设施最容易遭受网络攻击？
数字化工业控制系统是通用设备，几乎存在于所有行业中。它们还用于控制电梯、自动扶梯或空调等设施。甚至军方也使用相同的系统。正是出于这一简单原因，各行业的脆弱性差异不大，攻击者有大量可供选择的目标。
显然，黑客似乎最青睐能源行业，其入侵次数最多即是明证。考虑到能源对国家安全的影响，这并不令人意外。如果攻击者有机会控制对手的汽油或电力供应，那无论是将其用作威胁还是实际攻击手段，这都是相当重要的谈判筹码。
政府应对能源行业各类高调入侵事件的典型做法是依赖威慑，这是一场风险很高的赌博，因为它假设 a) 能够可靠地进行归因，以及 b) 对手是理性的。若看看朝鲜这类已经具备相当可观的进攻性网络能力的行为体——比如索尼遭黑客攻击事件——便会发现，后一个假设是可以受到质疑的。
显然，黑客似乎最青睐能源行业，其入侵次数最多即是明证。考虑到能源对国家安全的影响，这并不令人意外。
在不涉及可能帮助网络黑客的细节的前提下，您认为基础设施资产最容易受到哪类威胁？
目前最大的漏洞在于，老练的威胁行为体通过承包商进行间接渗透。我们原以为，自Stuxnet事件之后，几乎每个人（甚至包括出租车司机）都会意识到这一点，但事实是，即便在今天，负责超关键设施的工厂经理仍幻想着借助“物理隔离（air gap）”来获得保护。如果有人想通过网络攻击某个高价值目标，合乎逻辑的途径就是锁定防护不足的承包商，然后只需等待他们到现场进行定期工厂维护，并将其感染恶意软件的笔记本电脑连接到关键网络。这很容易实现，也很容易阻止，但却鲜有人在意。
在保护关键基础设施免受网络攻击方面，最佳实践有哪些？
最重要的一点是采取战略性的长期方法。这在信息技术（IT）领域早已广为人知，但在运营技术领域仍鲜有见到。如果您把网络风险当作一个项目来对待，或者更糟的是，只关注技术[网络]层面的问题，就永远无法实现可持续性和成本效益。您将是在治标而非治本。
降低网络风险的关键一步，是致力于制定一套可靠的网络安全计划，将其作为持续进行的过程加以实施，依托基于事实的验证[审计]，并提供实现计划所需的资源。有意思的是，许多组织从未真正检查过其网络安全工作是否产生了实际效果。网络安全的这种模糊不清，正是高管对该议题有所保留的原因之一。通过提供扎实的报告和良好的指标，可以改变这一状况。
考虑短期优先事项时，我能给出的最佳建议是：应通过重点关注远程访问、可携带进入现场的笔记本电脑、U盘，以及通过电子邮件传输文件（从技术文档到可执行文件）等途径，来应对间接感染的风险。令人惊讶的是，许多资产所有者并未维护一份完整且准确的承包商清单，以及各方的职责分工。另有一些资产所有者没有严格控制远程访问。如果考虑到通往高价值目标最有希望的入侵途径是通过承包商，那么这些都是见效很快的低垂果实。
我们的另一项观察是：如果整体工作由OT [运营技术]而非IT主导，成功的机会会更大。经验表明，对控制系统工程师进行网络安全培训，比让IT人员了解PLC [可编程逻辑控制器]、现场总线、保护继电器、实时性要求或一般性的安全事务，要现实得多。
我强烈建议摒弃的一种观念是：认为任何技术装置——无论其名为入侵防御系统、数据二极管还是其他花哨的名称——就足以使设施达到合理的安全水平。人们很容易以为，只需安装最新的装置，就能用钱买来摆脱网络风险，但这永远不够。扎实的网络安全战略始终需要行为层面和组织层面的变革。不过，我们正越来越擅长理解如何尽可能平稳且具成本效益地推动这些变革。
降低网络风险的关键一步，是致力于制定一套可靠的网络安全计划，将其作为持续进行的过程加以实施，依托基于事实的验证[审计]，并提供实现计划所需的资源。……扎实的网络安全战略始终需要行为层面和组织层面的变革。
您认为公私合作伙伴关系在制定和推广最佳实践方面扮演什么角色？
公私合作伙伴关系的理念听起来不错，几十年来一直被大肆鼓吹，但我们仍在等待看到显著成效。我认为更有前景的是私私合作伙伴关系，即从同一行业的资产所有者开始，相互分享关于如何以更具成本效益的方式提升防护能力的信息。事实上，我们并不需要政府来帮助我们[保护]工业设施。基于我们客户群中的经验，我坚信，网络安全领域的私人合作将成为提升这项工作效率的最重要的未来趋势之一。我们用社交网络和云端服务来处理各种琐碎的休闲活动，也应该开始利用技术来分享更严肃事务的信息。
一些组织和政府一直在探索建立“报复能力”。是否有证据表明，这种策略能有效减少网络攻击的数量或影响？
如果有这样的证据，我并未见过。我们确实看到，Stuxnet引发了一场网络军备竞赛，甚至连最不理性的参与者也觉得有必要加入。有时我会怀疑，在网络空间进行报复的能力，是否只是投资这一新军事领域的一个奇怪借口——与其他领域相比，该领域不仅颇具吸引力，而且成本低得出奇。谈到报复，人们不应忘记，有些行为体几乎无懈可击，而另一些则可能根本不在乎。
您曾将Stuxnet攻击载荷的复杂程度描述为“火箭科学”。作为一名安全顾问，自那以后，您是否见过与Stuxnet同样复杂的事件？
没有。但我们明显看到的是后Stuxnet时代的攻击。想想针对能源行业的高调网络攻击活动，例如Energetic Bear和Black Energy。虽然这些行动至今并未有意破坏或降低工业设备的性能，但其目标之一似乎是占据有利位置，以便在时机成熟时，攻击者能够使能源基础设施的重要部分瘫痪。而如果您认为随意更新AV [杀毒软件]特征码，并每年打一次安全补丁就能管用，那您无疑仍生活在Stuxnet之前的世界里。
展望未来，2030年的网络安全环境将是什么样子，它将与我们今天面临的网络安全环境有何不同？
在我的水晶球里，2030年的世界在网络层面远不如今天安全。随着当下将从客机到马桶座圈的一切都接入互联网的狂热潮流，要扭转方向，回到我们真正理解且能够设法保护其安全的、较不复杂的架构，将极其困难，在某些情况下甚至可能无法实现。
本文与 GE Lookahead联合发布。发布不代表世界经济论坛对文中观点的认可。
如需紧跟 Agenda 动态，请 订阅我们的每周通讯。
作者：Clint Witchalls 是 GE Lookahead 的撰稿人。
图片：一名男子在电脑键盘上打字。REUTERS/Kacper Pempel/Files.
