NIST 800-82 Rev.4与CISA/FBI ICS建议

资讯专家

NIST 发布 SP 800-82 Rev.4 草案，公开征求意见
NIST 本周发布《Guide to Operational Technology (OT) Security》Special Publication 800-82 Revision 4 草案，公开征求意见截止 2026 年 11 月 30 日。文档讨论在满足 OT 系统性能、可靠性和安全要求的前提下，如何开展 OT 安全保护。

该修订扩展了指南覆盖行业，包括楼宇自动化、水与废水系统、食品与农业、货运铁路、海事船舶，以及工业 IoT 与云融合。指南现在围绕 NIST Cybersecurity Framework 2.0 组织，原风险管理章节已重组为聚焦框架的 Govern 功能。NIST 还扩展了实施 OT 安全控制的指南，包括资产管理和网络监控与检测。更新版也加入安全架构指南，用于保护系统管理功能以及应用零信任原则。

CISA/FBI 提示关注 ICS 集成商权限与供应链风险
CISA 和 FBI 发布 fact sheet，面向与第三方 ICS 集成商合作的关键基础设施所有者和运营者。两机构建议谨慎授予集成商对工业流程的高级别访问或控制权限，并遵循最小权限原则：仅授予用户、进程和系统完成其任务所需的最小访问权，不额外授予权限。未应用最小权限可能使运营者暴露于恶意网络行为者。

该文件引用 FBI 对一家美国工业自动化解决方案公司入侵事件的技术分析。2025 年 3 月至 4 月，外国恶意网络行为者获取了该公司网络访问权限。该公司向包括电力公用事业和运输公司在内的客户提供系统集成、工程咨询和 SCADA 编程服务。入侵期间，行为者搜索 SCADA 和客户记录，并暂存 9 个归档文件，其中包含 800 个网络示意图、设备配置和客户详细信息，这些信息可能支持下游破坏性攻击。

两机构建议运营者在合同和服务协议中加入网络安全和供应链要求，覆盖数据存储位置、远程访问和补丁管理；与集成商确认设备托管位置并降低暴露面，包括将设备从面向公网的互联网断开。运营者应监控和记录远程访问，并在可能时使用按需远程访问。