如何防止智能楼宇的保安漏洞
楼宇自动化行业目前对楼宇控制系统的安全性存在合理的担忧，特别是在部署了先进技术的智能楼宇。我们在新闻中看到有关对私营公司、政府网络和互联网网站进行恶意网络攻击的报道。这样的袭击对建筑控制系统、建筑运营、居住者和业主意味着什么，这是一个问题。
由于资讯科技基础设施在楼宇控制系统的渗透增加，以及楼宇控制系统与其他系统的整合和互联程度提高，这种担忧在较新的楼宇中得到放大。随着我们在建筑物和电网之间实现双向通信，建筑物的潜在安全漏洞可以扩展到智能电网，当然也可能影响企业业务系统。最重要的安全问题更多地是关于网络安全，而不是物理安全，尽管这两者肯定是相关的。
简单地说，威胁就是有人可以通过一个不安全的网络渗透到一栋建筑的系统中，从而造成破坏、破坏、盗窃，甚至可能造成人员伤亡。对传统IT系统而言，威胁可能包括通讯中断、未授权访问敏感数据、知识产权被盗、设备中断(可能包括访问控制和视频监控等物理安全系统)、数据丢失和业务连续性障碍。对于其他建筑系统，如暖通空调控制、配电、照明、电梯等，威胁是关键建筑基础设施的中断，这也会阻碍或停止正常运行。
根据建筑用途和建筑控制系统，安全威胁可能与生命安全有关，例如扰乱关键医疗空间的应急电源、照明和暖通空调。对建筑系统的威胁不是假想的:2010年臭名昭著的Stuxnet网络攻击最终影响了可编程逻辑控制器(PLC)，这是一种经常在工业中使用的控制器，通常用于建筑电梯、泵、驱动器和照明设备。
一般来说，楼宇自动化行业和设施管理将楼宇控制网络的安全视为次要或三级问题。建筑管理系统(BMS)最流行的安全方法是隔离BMS——不让它连接到任何其他网络。但这只是一种虚假的安全感。BMS至少将有消防系统、暖通空调、门禁控制、电梯和可能的照明连接到它，可能允许从这些网络中的一个或这些网络中的一个设备进入。
一些建筑物可能会采取最低限度或部分的安全措施，但没有采取全面的安全措施，以减少网络的脆弱性。公平地说，大多数传统的建筑管理系统是不安全的。事实上，许多传统的BMS系统都有“后门”，允许BMS制造商或本地控制承包商监控、管理或更新系统。
的照片锁着的门所提供的caliber_3D/在上面
有趣的是，虽然最近的安全问题通常是关于较新的建筑，但带有遗留BMS系统的较老的建筑可能更容易受到攻击。遗留系统很可能运行旧的操作系统、数据库和网络浏览器，其中一些可能不再更新安全补丁。此外，老系统的漏洞是众所周知的，黑客们也很熟悉，因此可以减少攻击的工作量和时间。
自动化行业一直在努力为系统制定标准，从制造商的专有实现转向开放和透明的通信协议。开放标准有很多好处:产品的兼容性、定制化、避免局限于一个制造商、互操作性、有竞争力的成本、更多的支持选项，等等。
与此同时，开放和透明的标准似乎会增加BAS网络的脆弱性，基本上为黑客提供了评估漏洞和潜在攻击方法所需的所有信息。这就好比把车钥匙给了偷车贼。重要的是要注意，拥有专有协议并不能从本质上保证系统的安全。如果攻击是在BAS服务器或工作站上执行的，而不是直接在控制器上执行，则协议无关紧要。还有一些工具，如网关，用于集成到这些系统，也可以提供攻击途径。
然而，开放标准运动的一个好处是，它允许这些通信协议包含网络安全相关的属性。大多数主要的BAS标准都包含了一些安全机制。BACnet的安全方面可能是最先进的，而Modbus则是另一端，它没有固有的安全能力。
有两种主要的攻击场景需要考虑:一种是从建筑物局域网外部发起的远程攻击，一种是从局域网内部发起的本地攻击。前者更有可能出现，但也更容易缓和。第二种可能要危险得多，也更难处理。对BAS网络的网络攻击要么是针对该网络，试图访问或中断通信或数据交换，要么是BAS设备，即控制器、执行器和传感器。可以通过物理方式访问BAS网络，可能通过无线通信，但也可以通过网络设备，如受损的控制器。对设备的攻击很可能来自网络或对设备的物理操作。
下一个页面:防范安全漏洞的提示
- 在建筑中开发、测试和部署安全措施需要成为一个持续的过程，积极地融入建筑的运作。以下是关于第一步的一些建议:
- 指派专门的网络管理员建立控制系统，负责持续的网络安全。网络管理员应该协调安全努力和响应，以及内部和外部的协助。
- 如果设备管理部门带头努力，尽早与IT部门协调。采取全面的方法-评估每一个建筑系统，它的脆弱性，以及系统的损失或中断将对建筑运营和居住者意味着什么，以及财务影响。
- 确定可能的攻击途径，并监测正在进行的攻击的泄密迹象。先在楼宇自动化网络上应用资讯科技保安措施。
- 要理解，虽然IT安全措施是有价值的，但它们可能不适用于所有系统或楼宇控制系统的部分。例如，在字段或应用程序控制级别，您可能会发现控制器具有有限的处理能力和内存，并利用有限的带宽网络。不太可能是it类型安全的候选人。
- 为BAS设备所在区域或空间、BAS网线运行区域或空间提供物理安全保障。
- 加密您的网络通信。
- 保护任何无线网络
- 考虑到人身安全方面，最大的威胁来自内部:不满的员工、走捷径的人或带着自己的笔记本电脑等。制定有关密码、配置、设置和全面培训计划的政策。
确保对所有无法从网络访问或删除的数据库进行了安全备份。
在大多数情况下，攻击者会从最容易的目标开始，所以请考虑创建故意不安全的蜜罐系统，并监视它们的攻击迹象，以便让您知道什么时候有人正在攻击您的系统。
也许更重要的是，您还应该制定计划，以防预防失败和攻击正在进行。制定策略来识别正在进行的攻击，并关闭网络访问，vpn，服务器，甚至是由BAS网络控制器用于响应攻击的网络交换机端口。在大多数情况下，当与管理服务器断开连接时，控制器将继续按照时间表和传感器输入运行，这可能是比让攻击继续进行更好的选择。
部署一个只解决有限部分漏洞的安全程序是没有意义的。这只是承认一些系统不安全。全面确保建筑物的安全，不仅仅是门禁、视频监控、信息技术(IT)保安程序。它还必须包括建筑控制和自动化系统。控制系统属于不同类型的网络，从未有过全面的安全措施。但是，不断变化的新技术以及系统集成要求控制系统被置于安全的保护伞下。
如果你对这篇文章有意见或反馈，我们希望听到你在(电子邮件保护)．
典型的IT安全措施
强大的防火墙
用户身份验证
安全的无线
物理安全意识
企业场景下使用vpn备份策略
BAS数据通信的强加密网络硬件是安全数据中心入侵检测系统
可以捕获IP报文的设备
