楼宇自动化系统网络安全的3个措施

网络安全是一个让高管们夜不能寐的话题。消费者数据泄露和电子邮件黑客事件经常成为新闻头条。事实上，任何连接到互联网的系统都有风险——包括楼宇自动化系统(BAS)。

对于企业来说，购买(或创建)BAS，实现解决方案，然后或多或少地忘记它是很常见的，让整个网络和它的控制器单独存在，有时长达数十年，直到出现故障。这种心态可能会创建一个网络安全需求得不到解决的环境。对BAS的入侵可能会危及建筑安全性，并导致关键系统的意外停机，从而对公司(或租户)的业务流程产生连锁反应。

以下是设施管理者应该注意的网络安全的三个核心问题。如果不这样做，就有可能在安全漏洞和网络安全事件中付出代价。

1. 定义所需的安全性级别

为了满足企业BAS的安全需求，设备经理必须定义BAS控制所需的正常运行时间。也有必要知道在企业内的计算机上存储了什么类型的信息，以及在网络上传播的信息的类型。

例如，一个生产蒸汽的工厂可能需要与产生蒸汽的锅炉通信的控制器100%的运行时间，而办公楼里的热泵可能只需要20%到50%的运行时间来维持一个房间的温度。设备的价值越高，就越有可能成为网络攻击的目标。一旦知道了风险，就更容易分配资源和保护最关键的设备。

正确保护网络可能是一项代价高昂的工作;如果知道哪些设备会造成损害，就可以指示在何处应用资源。像JACE这样的组件应该被视为高风险，因为它是关键设备，可能有很高的曝光量(如果它们被放置在具有公共IP地址的开放Web上)，并且可能面临高级别的威胁(它们可能出现在网站shodan.io上，如果攻击者控制了它，他们就可以控制BAS)。只要正确识别风险，就有办法降低风险。

仅仅查看设备不足以确定风险。风险还必须通过查看整个组织的风险来确定。一个组织必须意识到内部和外部的威胁，以造成组织的伤害。对于低风险的组织，访问一个BAS可能是合理的通过一个虚拟私有网络和防火墙。必须确定一个可接受的风险水平。企业的高层管理人员需要决定拥有某种访问级别的好处是否大于访问带来的风险。

设备管理人员应该意识到，与传统的MAC/Windows/Linux计算机相比，控制器的安全性要低一些，而这种较低的安全性使得在网络上进行旋转操作要容易得多。由于BAS经常与主计算机通信，BAS可以用于网络攻击(通过僵尸网络控制僵尸设备)或通过恶意软件攻击非BAS系统。如果BAS可以通过虚拟私有网络访问internet或位于开放internet上，让它与关键任务或存储关键任务信息的设备进行间接通信是有风险的。

在某些情况下，应创建专门为BAS设计的独立网络，以保护网络上的其他信息。

BAS的理想配置是让网络采用洋葱拓扑，通过安全层保护信息。随着网络的深入，通过多种方法确保信息的完整性，安全性也随之提高。这些方法可以包括防火墙和各种单向网关，以防止敏感信息通过。深入到网络中，安全性会提高，在这些安全性得到提高的区域中，放置了最关键的设备，这些设备可能会影响人们的生活，并且对任务至关重要。

在一些情况下，设备可能希望在BAS中实现无线通信。通常这样做是为了节省成本，或者避免在难以到达的地区拉电缆。在启动设备的无线通信之前，设施管理人员应该意识到，比起在不被发现的情况下直接插入建筑物的网络，在建筑物附近对BAS进行无线攻击要容易得多。

2. 聘用IT人员

IT网络管理员知道在网络上传播的信息的类型、网络用于通信的协议、存储有价值信息的设备以及网络的物理布局。让IT人员参与可以更轻松地配置BAS安全并将其集成到组织的整体网络安全战略中。例如，一些企业不希望使用特定的通信协议或允许协议的某些特性。例如，在任何形式的数据传输中允许明文可能会损害总体安全性。听取It人员的意见并与他们一起工作来找到解决方案是很重要的。

此外，IT人员对关键设备/信息的了解对于网络安全分层非常重要。IT人员可以帮助识别可能包含关键任务信息的设备。他们将能够帮助创建BAS的人实施网络划分，甚至在必要时帮助证明BAS完全独立的网络是合理的。创建BAS的人员必须通知It人员，哪些控制器一旦受到攻击，可能对网络安全产生严重影响，并解释影响BAS的网络安全事件的物理后果。尽管IT部门经常向首席信息官或首席安全官汇报，但也不能认为负责网络安全的人完全了解受损设备所构成的潜在安全风险。

许多建筑已经有了以太网网络，如果没有帮助，可能很难全面规划。IT人员应该知道哪些设备连接到哪些端口。它们还应该有一个网络布局，以图形方式显示内容所在的位置。如果创建一个完全独立的网络是不可能的，这些资源将有助于分割BAS网络。网络布局将帮助每个相关人员得出合理的结论，在哪里连接，为什么一个特定区域是最佳的。

IT人员可以帮助推出BAS的更新。在某些情况下，它们可以为补丁和更新提供远程访问。不幸的是，大多数控制器的补丁和更新常常被推迟。因此，安全漏洞可能在补丁发布前几周或几个月就已经存在了。随着补丁的发布，对BAS网络上的所有设备进行增量补丁是防止漏洞的最佳做法。应聘请IT专业人员协调修补程序，避免网络上的任何其他设备(如防火墙、服务器和可能已为BAS安装的其他计算机)出现问题。

3. 制定适当的政策和程序

组织需要考虑对BAS的访问范围以及何时授予访问权限。每个用户或程序员都应该有独立的帐户，并且应为BAS启用日志以跟踪访问和给出的任何命令。如果以及何时发生违规，日志是无价的，可以帮助防止将来的入侵。

在当今的互联世界中，为BAS制定网络安全策略至关重要。BAS系统不再能够与公司的其他基础设施隔离工作。通过评估这三个方面，设施经理在确保系统安全并最大限度地降低风险方面迈出了一大步。