數(shù)字孿生可以為任何物理基礎(chǔ)設(shè)施創(chuàng)建，包括發(fā)動機、渦輪和其他設(shè)備的單個組件，或者工廠和數(shù)據(jù)中心。
通用電氣公司全球研究執(zhí)行技術(shù)總監(jiān)Justin John表示：“數(shù)字孿生與普通模型的不同之處在于，它是在現(xiàn)場部署的特定序列號的數(shù)字模型。數(shù)字孿生或者有實體的支持，或者已經(jīng)通過歷史數(shù)據(jù)了解了資產(chǎn)是如何運作的，現(xiàn)在要用它來進行預(yù)測。”
數(shù)字孿生可以擴大規(guī)模來模擬復(fù)雜的系統(tǒng)。他說，“用戶可能有五六個不同的模型，然后將它們組合在一起，得到感興趣的業(yè)務(wù)結(jié)果。”
在某些情況下，數(shù)字孿生可用于直接控制它們所鏡像的資產(chǎn)。
首席信息安全官面臨的數(shù)字孿生挑戰(zhàn)
通過使用來自數(shù)字孿生的數(shù)據(jù)，可以調(diào)整現(xiàn)實世界中的設(shè)備或系統(tǒng)，使其盡可能高效地工作，以節(jié)省成本并延長其生命周期，但這也會給自身帶來安全風(fēng)險。
Gartner公司物聯(lián)網(wǎng)研究副總裁Alfonso Velosa表示，不幸的是，雖然首席信息安全官應(yīng)該是數(shù)字孿生項目的主要利益相關(guān)者，但他們幾乎從來都不是最終的決策者。
他說：“由于數(shù)字孿生是推動業(yè)務(wù)流程轉(zhuǎn)型的工具，業(yè)務(wù)或運營部門通常會主導(dǎo)這一舉措。大多數(shù)數(shù)字孿生都是為滿足特定的業(yè)務(wù)需求而定制的。”
Velosa表示，當企業(yè)購買新的資產(chǎn)時，無論是卡車、挖土機、電梯、壓縮機還是冰箱，通常都會附帶數(shù)字孿生對象。他說，“大多數(shù)運營團隊將需要一套簡化的、多部門的支持(不僅僅是首席信息安全官的支持)，以將其整合到更廣泛的業(yè)務(wù)流程中并管理安全。”
如果沒有適當?shù)木W(wǎng)絡(luò)安全控制，數(shù)字孿生可能會擴大企業(yè)的攻擊面，使威脅行為者能夠訪問以前無法訪問的控制系統(tǒng)，并暴露出預(yù)先存在的漏洞。
擴大網(wǎng)絡(luò)攻擊面
當一個系統(tǒng)的數(shù)字孿生被創(chuàng)建時，潛在的攻擊面有效地加倍，而網(wǎng)絡(luò)攻擊者可以跟蹤系統(tǒng)本身，也可以攻擊該系統(tǒng)的數(shù)字孿生系統(tǒng)。
有時，當?shù)讓酉到y(tǒng)不容易從外部訪問時，數(shù)字孿生可能會暴露企業(yè)以前隱藏的部分。例如在過去，數(shù)據(jù)中心中的電源設(shè)施可能只能位于控制終端附近的技術(shù)人員訪問。這種基礎(chǔ)設(shè)施的數(shù)字孿生可以讓技術(shù)人員遠程監(jiān)控設(shè)備，如果黑客設(shè)法獲得訪問和操作權(quán)限，也可以這樣做。
而且，現(xiàn)在對外泄露的不僅是以前無法獲取的傳感器數(shù)據(jù)。Gartner公司的Velosa表示：“在某些情況下，數(shù)字孿生可以發(fā)送控制信號，改變(被建模的)實際物體的狀態(tài)。”
Velosa表示，當數(shù)字孿生是由實時數(shù)據(jù)提供的業(yè)務(wù)運營模型時，它們可以收集關(guān)鍵的企業(yè)信息，有時還可以收集員工和客戶的個人身份信息。這使得他們成為誘人的目標。
根據(jù)數(shù)據(jù)主權(quán)地理位置的不同，這可能導(dǎo)致監(jiān)管和合規(guī)性處罰。他補充說:“這也凸顯了數(shù)據(jù)的重要性，因為數(shù)字孿生是為了實現(xiàn)業(yè)務(wù)目標而構(gòu)建的。”
Velosa警告說，因此，數(shù)字孿生的輸出不僅可以告訴對手在做什么，還可以為企業(yè)的戰(zhàn)略和未來方向提供有價值的見解。
此外，咨詢機構(gòu)NCC集團首席信息官Lawrence Munro表示，數(shù)字孿生與物理孿生是相互關(guān)聯(lián)的，這種關(guān)聯(lián)本身就為孿生之間的交互提供了額外的攻擊向量，如果其中一個受到損害的話。
Munro說，部署數(shù)字孿生，讓內(nèi)部用戶或第三方進行遠程監(jiān)控。這可能會帶來遠程用戶能夠通過網(wǎng)絡(luò)連接訪問物理孿生的威脅。
首席信息安全官不知道擁有數(shù)字孿生的資產(chǎn)
數(shù)字孿生最主要的用例之一是使運營技術(shù)更易于訪問和管理。不幸的是，在運營技術(shù)領(lǐng)域，網(wǎng)絡(luò)安全通常是事后才考慮的事項，許多系統(tǒng)運行在不能保證安全的傳統(tǒng)技術(shù)上。
咨詢和SaaS管理軟件機構(gòu)Zluri公司的首席信息安全官Todd Dekkinga表示，如果網(wǎng)絡(luò)攻擊者獲得了運營技術(shù)，他們可有會對企業(yè)造成很大的傷害，而數(shù)字孿生會增加這種風(fēng)險。
Dekkinga說，數(shù)字孿生比實體孿生更容易獲得。運營技術(shù)環(huán)境過去被認為是獨立的，但現(xiàn)在不再是這樣。現(xiàn)在它們是完全連接的、可訪問的，而且很容易被破壞。
首席信息安全官甚至可能不知道擁有數(shù)字孿生的運營技術(shù)資產(chǎn)的完整列表。Dekkinga說，“如果不知道擁有什么，它就無法得到保護。”
暴露潛在的漏洞
數(shù)字孿生依賴于物聯(lián)網(wǎng)傳感器的輸入，這些傳感器可能充滿漏洞，以及運行易受攻擊的傳統(tǒng)操作系統(tǒng)。
根據(jù)Nozomi Networks公司在今年8月發(fā)布的一份安全報告，在2022年上半年，有560個美國工控系統(tǒng)網(wǎng)絡(luò)應(yīng)急響應(yīng)小組(ICS-CERT)發(fā)布了與運營技術(shù)和物聯(lián)網(wǎng)相關(guān)的常見漏洞，其中109個漏洞直接影響關(guān)鍵制造業(yè)。
NCC集團的Munro表示：“由于這些設(shè)備的安全性普遍較差，因此，將物聯(lián)網(wǎng)設(shè)備用作數(shù)據(jù)孿生設(shè)置中的傳感器是一個令人擔憂的問題。在數(shù)字孿生方面，網(wǎng)絡(luò)安全專業(yè)知識往往存在滯后。
研究人員或工程師通常很難接觸到新技術(shù)，也很難獲得運行實例。這對獲得正確的專業(yè)知識來支持保護這些平臺帶來了挑戰(zhàn)。”
如何確保數(shù)字孿生的安全
保護數(shù)字孿生的最佳實踐首先是在部署團隊中包括網(wǎng)絡(luò)安全專家，遵循基本的網(wǎng)絡(luò)安全，并采用零信任原則。
Munro表示，部署數(shù)字孿生的企業(yè)應(yīng)該與安全專家合作，建立詳細的威脅模型。與任何新技術(shù)一樣，首席信息安全官應(yīng)該設(shè)法了解它引入的威脅模型及其對網(wǎng)絡(luò)攻擊面的影響。
Munro建議，企業(yè)內(nèi)部可能并不總是有所需的專業(yè)知識，有一種解決方案是與網(wǎng)絡(luò)安全行業(yè)的合作伙伴合作。
Gartner公司的Velosa表示，部署數(shù)字孿生的企業(yè)應(yīng)該從一開始就遵循良好的網(wǎng)絡(luò)安全原則。他說，“從策略到技術(shù)再到標準，在他們的設(shè)計中利用安全最佳實踐。從加密到NIST或TLS策略，再到基于角色的訪問控制。”
他表示，數(shù)字孿生的設(shè)計和開發(fā)應(yīng)該得到適當?shù)馁Y助，并在專注于降低風(fēng)險和符合法規(guī)。盡可能避免使用個人數(shù)據(jù)，并公開在哪里收集數(shù)據(jù)，為什么收集數(shù)據(jù)，以及如何保護數(shù)據(jù)。企業(yè)IT部門與采購部門合作，確保不僅擁有數(shù)字孿生中的數(shù)據(jù)，還擁有模型。
Zluri公司的Dekkinga表示，數(shù)字孿生應(yīng)該像網(wǎng)絡(luò)上的其他關(guān)鍵設(shè)備一樣受到保護。不僅在外圍植入零信任架構(gòu)，還可以通過細分、多因素身份驗證和其他技術(shù)保護內(nèi)部網(wǎng)絡(luò)。員工訪問這些系統(tǒng)可能需要額外的步驟，但采取這些措施是值得的。
數(shù)字孿生如何幫助提高網(wǎng)絡(luò)安全
但數(shù)字孿生不僅僅是企業(yè)的安全責(zé)任。一些企業(yè)正在利用它們來提高網(wǎng)絡(luò)安全，將其作為攻擊預(yù)警系統(tǒng)、蜂蜜陷阱和測試沙盒。
數(shù)字孿生可以通過創(chuàng)建用于安全測試的虛擬克隆來幫助企業(yè)清除系統(tǒng)中的漏洞。它們可以幫助提高網(wǎng)絡(luò)安全，因為它們能夠以反映實際系統(tǒng)的方式對網(wǎng)絡(luò)漏洞做出反應(yīng)。
咨詢機構(gòu)Booz Allen公司的副總裁Kevin Coggins表示：“可以通過多種方式得到反饋，包括在數(shù)字孿生上運行實際系統(tǒng)軟件或固件。”
在投入生產(chǎn)之前，它們可以用于測試昂貴的物理系統(tǒng)是否存在漏洞，例如航空電子設(shè)備。Coggins說：“網(wǎng)絡(luò)攻擊者不能親自到機場對飛機施加某種威脅，因為整個認證過程將會使其行為失效。如果攻擊其數(shù)字孿生系統(tǒng)，就會發(fā)現(xiàn)任何潛在的漏洞。”
Booz Allen公司與軟件開發(fā)商Unity Technologies公司合作，為其客戶制作了一個大型設(shè)施的三維物聯(lián)網(wǎng)數(shù)字孿生系統(tǒng)。他表示，這使他們能夠查看系統(tǒng)中的漏洞，以確定某人可能會對其進行訪問。
即使它們本身不是生產(chǎn)系統(tǒng)，這些數(shù)字孿生系統(tǒng)也應(yīng)該得到相同級別的安全保護。Coggins說：“有人采用數(shù)字孿生系統(tǒng)進行培訓(xùn)。如果制作數(shù)字孿生系統(tǒng)，需要保護其生存環(huán)境。”
數(shù)字孿生還可以充當一種威脅檢測系統(tǒng)，網(wǎng)絡(luò)攻擊者的入侵將產(chǎn)生網(wǎng)絡(luò)安全團隊可以感受到的威脅。
通用電氣公司使用數(shù)字孿生作為高度敏感傳感器層，該公司正在建造一種他們稱之為“數(shù)字幽靈”的系統(tǒng)。例如，如果網(wǎng)絡(luò)攻擊者攻擊關(guān)鍵基礎(chǔ)設(shè)施的關(guān)鍵部分，即使他們能夠偽造特定傳感器的輸出，數(shù)字孿生作為一個整體也會認識到問題，因為整個系統(tǒng)將不再像預(yù)測的那樣運行，或者與其他傳感器的信息流不匹配。
通用電氣的John表示，事實上，系統(tǒng)越復(fù)雜越好，因為它將有更多的傳感器，從而有更多的可觀測性。
關(guān)鍵基礎(chǔ)設(shè)施是部署數(shù)字孿生來幫助提高網(wǎng)絡(luò)安全的一個用武之地。John說：“事實上，我們可以很好地預(yù)測事情應(yīng)該如何運行，特別是如果把控制與數(shù)字孿生模型集成在一起，可以用它來判斷是否正在發(fā)生網(wǎng)絡(luò)攻擊。查看所有使資產(chǎn)正常運行的過程變量(氣流、壓力、溫度)，可以檢查這些是否都正常或異常，找出問題在哪里，并告訴運營人員。”
他說:“我們正在使用數(shù)字孿生系統(tǒng)，但我們不希望網(wǎng)絡(luò)攻擊者知道，所以它是一個數(shù)字幽靈。”
他說，數(shù)字幽靈不僅可以用來保護關(guān)鍵基礎(chǔ)設(shè)施的安全，還可以用來保護企業(yè)數(shù)據(jù)中心的運營技術(shù)。典型的運營技術(shù)網(wǎng)絡(luò)安全是關(guān)于查看網(wǎng)絡(luò)流量、防火墻和檢測病毒。
他表示，通用電氣對數(shù)字幽靈的愿景更多地是關(guān)于基礎(chǔ)實物資產(chǎn)的運營方式。他說，“我們需要了解的是，正常情況下的實施情況是什么，如何正常運營這些資產(chǎn)。如果有這些知識和大量的模擬數(shù)據(jù)或歷史數(shù)據(jù)，就可以很好地描述資產(chǎn)應(yīng)該如何運營。”
John表示，數(shù)字幽靈將能夠檢測到是否有問題，并準確地告知哪個傳感器受損。他說，“僅這一項通常就需要運營商幾天或幾周的時間來確定問題所在，而數(shù)字幽靈在幾秒鐘內(nèi)就能做到這一點。”
關(guān)于企業(yè)網(wǎng)D1net(hfnxjk.com)：
國內(nèi)主流的to B IT門戶，同時在運營國內(nèi)最大的甲方CIO專家?guī)旌椭橇敵黾吧缃黄脚_-信眾智（www.cioall.com）。同時運營18個IT行業(yè)公眾號（微信搜索D1net即可關(guān)注）。
版權(quán)聲明：本文為企業(yè)網(wǎng)D1Net編譯，轉(zhuǎn)載需注明出處為：企業(yè)網(wǎng)D1Net，如果不注明出處，企業(yè)網(wǎng)D1Net將保留追究其法律責(zé)任的權(quán)利。
京公網(wǎng)安備 11010502049343號