网络安全最佳实践

NEII 为行业减轻和应对日益相关的网络攻击的指南摘要

作者：Kevin L. Brinkman 和 Barry Blackaby

美国国家电梯工业公司（NEII）发布 电梯和自动扶梯行业网络安全最佳实践，由 NEII 成员公司和国际行业合作伙伴的网络安全和代码专家于 2019 年制定的行业指南。 最佳实践 至关重要，因为构建具有多个控制器和处理器的交通系统、访问互联网的监控系统和具有 Wi-Fi 功能的通信系统已成为复杂的现代建筑不可或缺的一部分。

学习目标

阅读本文后，您应该了解： ♦ 创建指南的原因和方式 ♦ 指南包括什么 ♦ 在网络中什么被认为是可信的或不可信的 ♦ 网络安全流程的生命周期 ♦ 安全等级和措施 ♦ 与用于服务电梯和自动扶梯的工具相关的安全问题

最佳实践 提供一条途径，帮助电梯和自动扶梯制造商设计系统，提供可衡量的保护和管理以抵御基于网络的网络攻击。 最佳实践 专注于电梯或自动扶梯系统与互联网、楼宇区域网络和不受信任系统之间的接口。 技术人员使用的维护和服务工具被包括在内，并被视为不受信任的系统。

最佳实践 由来自欧洲、亚太地区电梯和自动扶梯协会 (PALEA) 和中国电梯协会 (CEA) 的经验丰富的网络安全专业人士共同开发。 在为期 18 个月的协作努力中，这些专家开发了基于各种楼宇网络和电梯设备设计的模型。

最佳实践 概述了健全的网络安全计划的风险评估流程、文档、培训、要求、设计、实施、验证、发布和运营。 它为国际标准化组织 (ISO) 制定网络安全标准提供了基准。

基本建议 最佳实践 是一个强大的网络安全流程生命周期。 这个生命周期需要包括对足够的培训、工具、资源和流程的承诺，以加强和保护电梯和自动扶梯系统免受网络攻击。 生命周期方法也是所有网络安全标准和方法最佳实践的基本前提。

介绍

电梯和自动扶梯的网络安全保护已成为必需品。 这些系统——曾经是孤立的建筑运输——已经成为复杂的现代建筑系统的一个组成部分。 垂直运输 (VT) 系统具有多个控制器和处理器、访问互联网的监控系统、与个人计算机和基于移动设备的服务工具的​​ Wi-Fi 通信。 电梯也已成为紧急情况下的关键组成部分，具有语音、实时、车载视频显示以及在建筑物疏散过程中与消防和生命安全系统的复杂交互。 以电子方式向服务人员提供实时数据以及按需进行软件更新的能力是常态。 虽然连通性将电梯和自动扶梯的可用性、效率和一般建筑安全提升到新的水平，但它也暴露于网络威胁，例如拒绝服务。 司法管辖区和客户的担忧一直在增长，以至于各州和客户正在执行自己的 VT 系统网络安全要求和限制。

网络安全的初始会议计划由 NEII 北美公司的代表组成。 它最终与来自芬兰、德国和北美的主要制造商的网络安全专家合作。 后来，PALEA 和 CEA 加入了该团队，使其成为真正的国际努力。 由于时间紧迫，同意在 2019 年春季 ISO 全体会议上及时完成最佳实践的快速跟踪指南，该指南可作为启动基于共识的国际标准的起始文件。

在第一次会议上，得出的结论是：

• 网络安全是一个安全问题。
• 升降机行业需要一个全球标准。
• 由于来自司法管辖区和客户的压力，需求迫在眉睫。
• 在标准可用之前，需要最佳实践指南。

最佳实践 及时完成，ISO启动了一个新的工作项目，为VT行业制定网络安全标准。 小心翼翼 最佳实践 省略可能限制 ISO 标准的要求。

由于篇幅和时间限制，本文提供了对 最佳实践。 有关更多详细信息，建议读者查看 NEIi 网站 (nationalelevatorindustry.org) 公共部分的指南。 最佳实践 松散地基于 ISA/IEC 62443 标准，适用于全球范围。

适用范围

该指南提供了一条途径，可帮助电梯和自动扶梯制造商设计系统，从而针对基于网络的网络攻击提供可衡量的保护和管理。 该指南侧重于电梯或自动扶梯系统与互联网、楼宇区域网络和不受信任系统之间的接口。 技术人员使用的维护和服务工具被包括在内，并被视为不受信任的系统。 该方法是使用行业最佳实践作为指导，直到电梯和自动扶梯的综合网络安全标准可用为止。

考虑的架构

本指南主要针对电梯或自动扶梯系统与不受信任实体通信的接口点。虽然本指南侧重于与其他系统和网络的接口，但也涵盖了有线或无线服务工具。图 1 展示了电梯系统的架构以及系统中存在风险的部分。此示例同样适用于自动扶梯控制系统。

由于它是一个示例，实际实现会有所不同。 该指南描述了几个示例。 为简洁起见，本文仅显示一个。 范围内包含的接口有：

• 以物理方式或无线方式与互联网连接的连接点
• 与物理或无线楼宇网络接口的连接点
• 与消防和生命安全系统的串行通信接口（物理隔离的电线接口除外。）
• 连接到智能服务工具，有线或无线
• 智能服务工具（例如，PC）
• 被困乘客报警系统，如果它们可以接受下载的软件或电梯交互
• 连接电梯和自动扶梯系统/空间外部的通信链路

指南中不考虑系统的安全/可信部分； 它们被半透明的绿色区域覆盖 in 图 1. 虽然网络安全架构最佳实践应考虑分层方法 in 安全/可信区域，这个主题被推迟到一个更全面的标准。 还应注意，大多数系统将包含多个受信任区域。 图 1 描述了一个复杂的安装，其中目标系统和管理系统通过与云交互的网关在网络上进行通信。

网络安全流程生命周期

的根本基础 最佳实践 是一个强大的网络安全流程生命周期。 这个生命周期需要足够的培训、工具、资源和流程来加固和保护电梯和自动扶梯系统免受网络攻击。 生命周期方法也是用于大多数网络安全标准和方法的最佳实践的基本前提。

推荐的生命周期方法包含七个不同的功能，将在以下部分进一步描述。 重要的一点是所描述的功能被认为是网络安全计划的基础，无论一个组织总体上有多少步骤。

培训实施

为确保电梯或自动扶梯安装具有适当的安全级别，参与网络安全生命周期的每位员工都需要针对其特定角色进行适当的培训。 这包括但不限于开发人员、生产线和高层管理人员、维护人员和采购专家。 参与网络安全生命周期的所有员工都需要大致了解网络安全的含义、当前的最佳实践以及如何应用它们、要保护的系统以及网络安全威胁引发的风险。 建议培训团队包括网络安全专家。 除了一般的网络安全培训外，执行风险或威胁分析的团队必须具备有关 ISO 14798 等相关标准的最新知识，并且可以根据相关最佳实践开展工作。

申请条件

管理电梯或自动扶梯系统的网络安全要求的过程实际上是一个管理风险的过程。 为了获得具有可接受安全级别的产品，有必要创建一组有意义的措施和控制措施，以减轻威胁系统的各种风险事件。

由于识别资产和收集可能的安全风险是一个创造性和合作的过程，因此当没有可用的内部专业知识时，寻求专业的外部支持（例如，主持研讨会）可能是一个有价值的补充。

工艺应用

确定安全要求应遵循以下过程：

• 确定资产和可承受风险水平。
• 进行初步风险评估：识别资产的威胁和风险，确定风险事件的可能性和影响，确定未缓解的网络安全风险并定义系统的安全级别目标。
• 创建安全要求。
• 风险评估的进一步迭代：评估现有的对策，重新评估风险事件的可能性和影响，并确定剩余风险。
• 记录网络安全要求、假设和限制。

风险评估应基于测试结果，并在每次对系统进行更改或威胁形势发生重大变化时（例如，发布新的软件漏洞）进行更新。

需求过程指南

资产和系统在考虑识别

迄今为止，VT 系统的主要安全要求是人员的人身安全，其次是设备的安全。 为了满足这些要求，ASME A17.1 依赖于物理设备和安全链组件。 由于大多数系统不在机房外进行通信，因此数据保护从来都不是主要考虑因素。 数据问题主要集中在安全相关功能（消防服务）的软件已被更改/更新，现在行为不同，没有可追溯性。 由于互联网连接、Wi-Fi 和基于软件（安全完整性等级）的安全系统的引入，数据现在可能是安全功能的一个组成部分，需要编码保护。 该指南为要求、风险承受能力和缓解级别提供了详细的流程。

初始风险评估

初始风险评估确定威胁系统的事件/风险。 威胁的范围从基于软件的病毒、蠕虫、恶意软件和勒索软件到物理、未经授权的访问、意外操作和破坏。 为了评估威胁发生的可能性，评估应考虑对手的能力（复杂程度和资源），以及系统的漏洞和访问权限。 这种形式的安全风险评估比安全风险评估更复杂。 相对于攻击者的复杂程度和资源，评估攻击电梯的动机是很困难的。 评估高速运行到终端的电梯轿厢的能力更容易量化。

风险评估系统侧重于 ISO 14798:2009，这是专门为电梯行业量身定制的风险评估标准。 它展示了如何调整这种方法来应对网络威胁和攻击。 其他风险评估标准是 IEC 62443-3-2、ISO 27005 和 NIST SP 800-30 风险评估指南. 最佳实践 不禁止任何风险评估标准，因为所有标准都是可行的，对标准的任何限制都已推迟到 ISO 来确定。 例如，在 NIST SP800-30、BSI Group（前身为工程标准委员会）前 10 名、开放 Web 应用程序安全项目 (OWASP) 前 10 名、常见攻击模式枚举和分类 (CAPEC) 或其他威胁目录，由多个相关组织保持更新并分发。

安全要求的选择

在初始风险评估之后，必须选择有意义的对策来减轻超出先前定义的可接受风险水平的评估风险。 创建/选择对策时的最佳实践是“纵深防御”方法。 对策不应依赖单一的防线，而应利用多层保护。 如果一道防线被破坏，则资产仍至少由另一层防御。 补偿对策，例如物理访问控制或检测控制，也可用于满足一项或多项安全要求。

在开发系统架构和分配其功能的同时，审查和更新基础威胁建模是一种很好的做法。 有几种方法是可行的，例如 Microsoft 的 STRIDE。 该方法论回答了“我的系统会出现什么问题？”的问题。 通过系统地筛选您系统的每个组件以防止欺骗（使用虚假身份）、篡改（未经授权修改数据或系统）、否认（混淆行为责任）、信息泄露（未经授权泄露有价值数据），拒绝服务（将服务的可用性降低到可能为零）和特权提升（通过利用设计缺陷或漏洞获得比预期更高的特权）。

如果威胁模型与系统不断发展的体系结构保持同步，则可以使用全面的可能威胁目录。 然后可以通过选择适当的对策来减轻这些威胁，这些对策可以合并到系统架构的下一次迭代中。

网络安全要求、假设和约束的文档

与所有要求一样，网络安全要求和假设需要记录在案，通过设计过程向下发送并包含在系统测试计划中。

外部开发的组件安全

上述方法应扩展到由外部来源开发的组件，无论是商业、现成软件、开源软件还是专门为公司开发的。 无论风险评估（包括选择对策和安全概念）多么彻底，它都可能受到外部开发组件中不安全因素的危害。

最佳实践 包括对供应商的审核、仅从可靠供应商处购买的指南以及仅外包给值得信赖的服务提供商，并要求遵守流程的合同保证。 更多信息可在 ISO/IEC 27036-3 和 IEC 62443-2-4 中找到。 该指南提供了有关您可以从供应商/服务提供商的安全角度要求什么的想法。

工艺设计

设计阶段的目标是开发系统架构。 在此阶段，所有决策都是关于高级设计选择和使用哪些关键组件。 此外，在架构开发过程中，产品的完整功能应该被概述到实现适合所需功能的架构所必需的程度。 例如，该大纲可以由所涉及的实体、结果数据流和已分配的重要安全或非安全属性组成。

由于设计阶段所做选择的深远影响，这个阶段特别容易引入安全漏洞。 已开发架构中的缺陷可能直接或间接导致在此高级阶段难以识别的漏洞，因为它们可能非常具体或只能在低得多的级别上识别。 如果尽早发现这些安全问题，解决这些问题的效率最高，最好是在设计阶段。 如果仅在后期阶段（例如在测试或操作期间）才发现安全漏洞，则处理它们将变得越来越复杂且成本高昂。 因此，在设计阶段尝试检测漏洞并使用行业标准最佳实践来减少暴露是非常重要的。

最佳实践包括：

• 最小特权原则，意味着进程或用户在设计上不应拥有比完成任务所需的更高的特权
• 攻击面识别和最小化
• 减少安全威胁影响的模块化设计方法
• 纵深防御，意味着不应通过单一措施减轻风险，但如果单个措施失败，则通过一组分层措施仍然有效（也在需求阶段进行了描述）
• 限制用户、接口系统或任务的访问以调整相应功能所需的数据
• 更喜欢简单的、经过验证的、在用的概念或组件，而不是不必要的复杂、专有或未经充分测试的概念或组件
• 定期进行安全设计审查，以检测当前设计尚未解决的安全要求，并检查系统当前的架构是否符合最佳实践

有关设计阶段安全最佳实践的更多信息，请参见 IEC 62443-4-1 实践 3、NIST SP 800-82、第 5 章和 BSI ICS 安全概要第 5.6 章。

技术实施

至少，应遵循以下与安全实施相关的主要属性：

• 使用安全编码指南
• 静态分析工具的使用
• 关键功能的单元测试
• 第三方和开源软件分析
• 使用安全编码指南

安全编码指南应列出不应使用的潜在可利用编码结构或设计。 这些应该来自真实世界的例子。 通常，它们还应包括禁止/弃用功能的列表。 最佳实践是在开发过程中进行持续的源代码分析。 当开发人员签入代码时，应自动分析代码是否存在任何可能的安全问题。

验证，一种有计划的方法

除了作为产品开发一部分的正常测试和验证过程之外，网络安全验证和测试计划应该是系统验证阶段正式过程的一部分。 以下与安全相关的关键活动很重要。

动态分析

动态分析可识别内存损坏、竞争条件、用户权限问题和其他关键安全问题。

模糊测试

应该对处理源自安全区域或组件之外的数据的所有组件执行模糊测试。 应该创建一个模糊测试计划来记录将要完成的测试。 该计划应包括将要进行模糊测试的所有组件的列表、对如何进行模糊测试的描述、将进行智能模糊测试还是愚蠢的模糊测试以及测试的通过/失败标准。

渗透测试

除了使用模糊测试工具外，在测试过程中还推荐使用各种渗透测试工具。 测试计划应该有与渗透测试工具的使用相关的特定项目。 应定期考虑独立（第三方）风险分析和渗透测试。

发布

建议在产品发布之前完成下面列出的文档和风险接受。

文件记录

♦ 威胁建模和风险评估（已识别剩余风险的威胁模型）

• 安全要求和安全设计
• 安全测试计划
• 分析报告
• 测试报告
• 模糊测试报告
• 内部渗透测试报告
• 外部渗透测试报告

用户手册

管理员指南应包括安全操作产品所需的所有管理员职责、报告安全漏洞的程序以及任何强制性或可选的安全协议。

安全系统的安装指南

安装指南应列出并解释系统中存在的所有安全配置选项，并记下它们的默认设置和可选设置。 默认配置应该是安全的。 此外，安装手册应包含在调试以创建安全安装之前要执行的所有现场/外部测试要求。

事故响应计划

应为发生事件时的结构化反应准备书面程序，包括负责、负责、咨询和知情的矩阵以及联系方式。

营运部

在维护服务的地方，需要记录清单（包括硬件/软件的版本控制）。 如果检测到硬件或软件资产中存在漏洞，则需要分析并确定该漏洞是否对资产产生任何影响。

响应计划

应提供书面程序以在发生事件时执行必要的后续步骤（事件响应计划）。 响应计划应包含处理各种可能发生的事件所需的信息，并且高度依赖于特定资产。

公司还应考虑如何处理电梯或自动扶梯系统的停用，因为敏感信息可能存储在某些组件（ID、凭据、参数集等）上，如果泄露，可能会被恶意使用或提供洞察力资产和其他关联资产。 可能需要擦除信息或物理销毁资产。 资产的退役应反映在资产清单中。

安全级别

如指南第 4.2 节所述，在风险评估时应定义系统或组件（区域）的安全级别目标，并应通过测试验证系统或组件（区域）达到的安全级别。

当发生以下任何一种情况时，还应在系统的生命周期内重新进行验证安全级别的审查：

• 对系统进行了更改
• 检测到与系统相关的新漏洞
• 系统组件的新安全补丁由供应商或开源社区发布
• 定期，由组织的政策决定

SL 0

安全级别 (SL) 可以描述为攻击者的技能水平和动机。 在 SL 0 中，不需要特定要求或安全保护。 通过风险评估，已经确定系统不需要特定的安全要求，例如，因为误用的后果被确定为可以忽略不计。 在评估是否已达到安全级别时，SL 0 可以指示已实施 SL 1 的对策子集，但未满足完整的 SL 1。

SL 1

需要防止偶然或巧合的违规行为。 应保护系统免受技能低下或无意误用的临时攻击者的侵害。 保护需要基本级别的安全控制，以确保数据的机密性、完整性和可用性，并强制执行身份验证、授权和访问记帐。 例如，根据 SL 1 的安全控制不需要用户和设备的唯一身份验证。 指南中引用的 ISA/IEC 1-62443-3 标准中提供了一组推荐的 SL 3 控件。

SL 2

需要使用资源少、通用技能和动机低的简单手段来防止故意侵犯。 该系统应该受到保护，以防止攻击者拥有滥用通用信息技术系统（例如基于 Web 的应用程序）的工具和技能，但缺乏有关电梯和自动扶梯系统的具体知识，并且没有专门针对这些系统。 例如，攻击者的动机可以是金钱收益（通过勒索软件）或声誉收益。 与 SL 1 相比，根据 SL 2 的保护需要以更细粒度的方式实施安全控制。 例如，应该对用户和设备进行唯一身份验证。

SL 3

可能会使用具有适度资源、特定于电梯和自动扶梯系统的技能和适度动机的复杂手段来防止故意违规。 应该保护系统免受了解安全和电梯或自动扶梯系统以及专门针对这些系统的高技能攻击者的攻击。 攻击者

追求 SL 3 系统可能会使用针对特定目标系统定制的攻击媒介。 攻击者的动机可能包括勒索、报复（心怀不满的前雇员）或破坏（行业竞争对手）。 SL 3 的控制不在指南的范围内。

SL 4

可能会使用复杂的手段和扩展资源、电梯和自动扶梯系统特定的技能和高积极性来防止故意违规。 该系统应该受到保护，以防止了解安全和电梯或自动扶梯系统的高技能攻击者，这些攻击者专门针对那些具有扩展资源和高动机的系统。 这与 SL 3 类似，但使用 SL 4，攻击者更有动力并准备花费更长的时间和资源来计划和执行攻击。 SL 4 的控制不在本指南的范围内。 可以在 IEC 62443-3-3 中找到对 SL 过程的更详细描述。

安全防护措施

本节建议根据 ISA/IEC 1-2-6 标准的表 62443 (a) 中定义的系统要求对 SL 3 和 3 使用安全措施。 要求的详细描述可以在该标准中找到。

服务工具安全

用于维修电梯或自动扶梯的工具应采用有效的安全措施。 服务工具大致可以分为三类：

1. 那些可以从互联网上的任何地方远程与电梯和自动扶梯通信的设备
2. 基于 Wi-Fi 和蓝牙等中低距离近距离无线技术的那些
3. 那些需要物理接近设备并插入电缆/电线的那些，例如 USB 或串行电缆 良好的网络安全实践涉及深入的策略

它根据设备的可访问性级别以及在受到威胁时对系统的影响来实施多项安全措施。 在这方面，上述三种情况下的可访问性将需要不同类型的安全控制，这取决于通过服务工具能够进行的系统控制的程度。 例如，如果服务工具能够从 Internet 远程写入配置更改，则建议进行多因素身份验证。 这可能包括使用证书或预先共享的唯一密钥、密码和白名单的设备身份验证的组合。 至少，即使需要物理访问，也需要一个基于密码的唯一方案。

PC硬化

除了认证和加密的安全控制之外，服务工具的​​一个重要要求是确保运行工具的机器（PC/移动设备）足够坚固，并采用适当的访问控制。 对所有用户帐户使用强密码，

维护良好的防病毒和反间谍软件，

及时应用补丁、打开软件防火墙选项以及将机器的使用限制为预期功能是强化指南中的一些关键要素。

此类强化指南由美国国家标准与技术研究院 (NIST) 和其他组织发布，并推荐给参与使用维修工具或维修电梯的任何第三方。

结语

最佳实践 是主要制造商在 NEII 旗帜下的合作努力，来自世界各地的各个设计中心的参与。 最初的会议设定了在大约一年内快速制定指南的目标，以便 ISO 全体会议及时启动一项工作项目，以解决电梯/自动扶梯/人行道行业面临的网络安全问题。 由于紧急情况，全体委员会投票决定启动一个为期两年的工作项目来解决网络安全问题。

在制定指南时非常谨慎，以创建一个具有全球适用性的文档，其中包含足够的指南和参考资料，以允许所有供应商创建网络安全计划，无论他们目前在该主题上的成熟度如何。 由于可以合理地保证 ISO 团队将包括许多参与指南的人员，因此指南和任何生成的标准都有可能保持一致。

虽然及时制定标准很重要，但有几个困难的考虑需要在标准中解决，但在标准中没有解决。 最佳实践:

• 确定是否需要行业特定标准。
• 建立网络威胁分类以提升系统、设备和网络。
• 通过电梯功能定义安全级别。
• 解决适用网络风险分析工具选择有限的问题。
• 确定网络安全生命周期的哪些部分是必需的，而不是推荐的。
• 建立网络安全测试/认证流程。
• 确定需要进行现场升级和维护的频率。

虽然可以理解司法管辖区和客户对时间压力的担忧，但在全球范围内解决这些问题将具有挑战性。

学习强化问题

使用以下学习强化问题来学习继续教育评估考试 可以在线获得 www.elevatorbooks.com 或在第本期第127期。 ♦ 为什么强大的网络安全流程生命周期是最佳实践的基础？ ♦ 产品文档中应包含哪些内容？ ♦ 事件响应计划应包括哪些内容？ ♦ 对 SL 1 和 2 使用安全措施的最佳实践建议是什么？ ♦ 服务工具如何分类？

案例
[1] 联邦信息安全办公室。 BSI ICS 安全概要，
V1.23，德国波恩。
[2] BSI。 “BSI 对网络安全的分析”，BSI 前 10 名
[3] 国际自动化学会 (ISA)/国际电工委员会 (IEC)。 CAPEC V 3.0 常见攻击
模式枚举和 MITRE 公司“工业安全
自动化和控制系统，第 2-4 部分：安全程序
对 IACS 服务提供商的要求。”
[4] ISA/IEC 62443-2-4 2017。“工业自动化和
控制系统，第 2-4 部分：安全程序要求
IACS 服务提供商”
[5] ISA/IEC 62433-3-3：2013。“工业通信网络——
网络与系统安全 - 第 3.3 部分：系统安全
要求和安全级别。”
[6] ISA/IEC 62443-4-1:2018。 “工业自动化的安全和
控制系统 - 第 4 部分 - 安全产品开发生命周期
要求。”
[7] ISO/IEC 27036-3:2013 信息技术 — 安全技术 —
供应商关系的信息安全 - 第 3 部分：
信息和通信技术指南
供应链安全。
[8] ISO 14798:2009 升降机（电梯）、自动扶梯和自动人行道 — 风险
评估和减少方法
[9] ISO 27005:2018 信息技术 — 安全技术 —
信息安全风险管理
[10] 美国商务部。 NIST SP800-30 Rev .1 指南
进行风险评估 美国国家标准研究院和
技术。
[11] 美国商务部。 NIST SP800-82 Rev .2 指南
工业控制系统 (ICS) 安全国家研究院
标准和技术。
[12] OWASP™ 基金会。 “OWASP ASVS 测试指南 Open Web
应用程序安全项目。”