测试容器网络漏洞
有了这些海上专业知识、DNV认证的道德黑客开始被动和主动侦察船的网络安全。然后扫描潜在的漏洞。如果他们发现任何,他们试图获得通过渗透测试。
测试可以开始通过走动一艘试图未经授权的访问计算机服务器内阁;例如,因为它是解锁。访问控制相关的信息,如密码可能不安全,和道德黑客可能会利用船员WiFi找到门到控制系统。道德黑客将扫描漏洞可能被用来输入和利用系统影响操作或访问机密信息(表1)。
一些测试可以使用互联网进行远程DNV的中心的专业知识。“客户经常需要测试和解决方案在非常紧密的时间表完成船舶的港口访问期间,“观察伴侣Csorba经理安全体系结构和验证、DNV。
常见的海上网络漏洞
DNV的海上网络安全专家经常发现密码从未被改变或被预设的实例由IT部门在岸和打印并张贴在墙上。一些密码是弱还是工厂默认值。
有时,船员备份个人数据磁盘驱动器,或不受控制的u盘是用来装载情况的数据转移到岸上。感染维修笔记本电脑连接在不同的系统是另一个弱点。然后是防火墙安装在发动机性能监控内阁,但未连接;内置防火墙的基本功能断开连接;和控制系统设备连接不上网络。
保持强硬地反对网络攻击软件补丁和声音明显。”,但我们已经看到Windows操作系统正在更新软件只在重大升级,这是几年前的了。有时窗户安装标准设置不变,“说Csorba。
应用标准道德黑客
道德黑客需要执行的方式给船东,保险公司和其他海上利益相关者的安慰国际公认的标准,指南和最佳实践正被人跟踪。
例如,DNV推荐的做法(RP)dnv - rp - 0496船舶管理网络安全的弹性和移动式近海单位操作概述了战略评估技术的弱点,流程和人(图2),提供了一个计划关于如何优化不同的保障措施。
图2:评估网络安全技术,流程,和人
期待意想不到的
有最好的防御准备应对威胁,道德黑客需要一个大范围的黑客工具和深刻理解相关的和IT系统。
他们可以画,例如,在巨大的,公开的在线数据库的漏洞识别全球每日更新,和行业标准搜索工具。也就是说,他们总是意识到之前从未遇到的威胁,“零日漏洞”,可以发生。
“你先综合OT / IT系统的网络拓扑结构和相应的资产库存的硬件和软件上运行它,但是不知道你会遇到什么漏洞,“Csorba说。网络拓扑描述了如何船舶组件互连和通信。海上网络专家如DNV可以协助开发网络拓扑血管。
确保网络安全newbuild和操作船只
与巨额投资绑在当今newbuild船只,货物一些携带,网络安全上升议程随着网络风险的增加和相关法规和实际监管(如国际标准和指导方针)变得更加普遍和严格。
“我们认为道德黑客是一个必要的第三方验证步骤的关键cyber-enabled基础设施包括血管、“Csorba说。”,解决网络安全的概念阶段,第三方渗透测试可以用来验证活动障碍的有效性最初设计到集成系统”。
准确的网络风险评估在海上价值链需要确保网络漏洞在第三方硬件和软件不引入血管。这种评估也需要足够的网络安全的需求写入合同与供应商和分包商。
道德黑客可以过程的一部分主要对授予DNV类的符号网络安全这证明了需求和验证的技术壁垒,流程和人们意识基于网络的管理风险DNV挪威船舶。
了解更多关于DNV海上网络安全服务和解决方案
引用和进一步的资源:
1NotPetya提供行业经验,说马士基的科技首席,W阿什福德,computerweekly.com[网络]2019年1月7日
2“船舶网络风险管理工作指令”,美国海岸警卫队,2020年10月27日MSC-FAL.1 / Circ.3
3“海上网络风险管理指南”,国际海事组织,适用于在职船舶自1 2021年1月
4网络安全在船舶上的指导方针:版本4的,由海上利益相关者组织,www.ics-shipping.org, 2021年
5大船公司采用新的需求对网络安全,国际船级社协会https://iacs.org.uk/news/iacs-adopts-new-requirements-on-cyber-safety, 2022年4月
6港口和港口设施的网络安全指南:1.0版本的,国际港口和港口协会,iaphworldports.org, 2021年
7“2019年BIMCO网络安全条款”,bimco.org
8关闭安全缺口在转换的时代”,DNV的论文,2021年
