机构名称：
¥ 3.0
我最喜欢的专栏之一是 Office Hours，由两位网络安全领导者轮流撰写，他们根据自己的经验谈论一系列主题。虽然 Mike Hanna 和 Spencer Wilcox 都是 CISSP，通常专注于专业发展，但有时他们会转向不同的方向。在本期中，Spencer 讨论了工业控制系统 (ICS) 仍然存在的脆弱性。这是对我们香港 CISSP Julien Legrand 撰写的 IT/OT 融合封面故事的一个很好的补充。Spencer 回忆了两起造成大规模生命损失的灾难，以及此后为减少人为错误所做的努力。一种方法是现代化 ICS 周围的基础设施以及以长期使用落后技术而闻名的监控和数据采集 (SCADA) 系统。然而，在这样做的过程中，一旦 IT 资产虚拟化和联网，它也更容易受到网络攻击。俄罗斯今年对乌克兰的袭击提醒我们，我们所有人都必须投入足够的资源来防止关键系统受到损害。然而，斯宾塞的文章关注的是系统保护的非技术方面。无论是由于配置错误还是恶意软件，人类仍然占了大部分入侵事件的罪魁祸首。这让他怀疑，培养未来网络专业人员的正式课程是否没有达到目标，这些课程强调如何入侵，而不是阻止威胁行为者。他引用了高中和大学的夺旗比赛，这些比赛奖励那些渗透网络和数据库的人，奖励他们多巴胺般的荣誉。了解对手行为当然是一项重要技能。斯宾塞本人也表示，夺旗比赛对人们的网络安全教育有一定作用。这一点似乎在现在开展紫队训练的组织数量中得到了认可，紫队训练是人们更熟悉的红队/蓝队渗透测试的混合体。紫队建立在一种更具协作性的模型上，在这种模型中，团队并肩工作（而不是对抗），以测试现有控制措施是否能抵御预定的攻击方法。这种理解对抗行为的方法正在获得越来越多的关注，尤其是对于开始或继续虚拟化老化 IT 组件的制造商和工业企业而言。每一次数字化都会带来一系列新的风险和不断扩大的攻击面。找到合适的工具和培训来保护不断扩大的 IT/OT 威胁环境非常重要。而且不仅仅是对那些生计受到威胁的人而言。○
信息安全 - 专业 - ISC2
主要关键词
相关文件推荐
