由台積電「中毒」停擺帶來的工控安全啓示
台積電工廠病毒事件，帶來的教訓是慘痛的，據估算，其帶來的損失超過50億台幣（台積電官方預估此次病毒感染事件，將導致晶圓出貨延遲，以及成本增加，對公司第三季的營收影響約為百分之三，毛利率的影響，約為一個百分點）。
|
|
| 台積電遭病毒感染原因出爐：新機台安裝軟體時操作不慎| iThome |
雖然台積電一再強調，此次病毒感染事件，並非受到駭客攻擊，也不存在內鬼，而是新機台安裝過程中，發生操作失誤，沒有對其先隔離、確認無病毒再聯網，最終導致病毒大規模擴散。連網後受影響的機台無法運作，以及部分自動搬運系統，無法正常運作。
但不可否認，人為操作失誤的背後，是台積電工控系統安全保護體系的脆弱性。官方確認此次遭遇病毒為「WannaCry」的變種，造成感染後的機台宕機，或是重複開機，但並未受到勒索。眾所周知，WannaCry為一年前大規模爆發的病毒勒索事件，可以想見，一台新機違規操作，導致三個工廠業務停擺，這意味著工廠內的大多機台，並沒有有效的防禦體系，也沒有對1年前產生的WannaCry進行補丁操作（目前沒有證據表明此次變種會繞過針對WannaCry的防禦方法和補丁）。
當然，在小編對360工業互聯網安全事業部副總經理李航的採訪中，他指出工控系統對設備升級並非易事。一是大多生產線上的設備環境複雜，操作系統五花八門，硬體設備也新老不齊，所以一次升級可能造成業務中斷；二是為保證過程控制系統的可靠性，設備系統升級也面臨風險。
但是與之相矛盾的是，系統不打補丁更新，就會存在被攻擊的漏洞，即使是普通常見病毒也會遭受感染，可能造成Windows平台乃至控制網路的癱瘓，此次台積電事件足以說明瞭這一點。
尤其在如今的環境下，工控系統面臨的風險逐漸增大。在工業互聯網、「工業4.0」等政策驅動下，資訊技術（IT）和操作技術(OT)一體化，已成為必然趨勢。
隨著IT/OT一體化的發展，工業控制系統越來越多的採用通用硬體和通用軟體，工控系統的開放性與日俱增，系統安全漏洞和缺陷容易被病毒所利用，然而工業控制系統又涉及電力、水利、冶金、石油化工、核能、交通運輸、制藥以及大型製造行業，一旦遭受攻擊會帶來巨大的損失。
隨著IT/OT一體化的發展，工業控制系統越來越多的採用通用硬體和通用軟體，工控系統的開放性與日俱增，系統安全漏洞和缺陷容易被病毒所利用，然而工業控制系統又涉及電力、水利、冶金、石油化工、核能、交通運輸、制藥以及大型製造行業，一旦遭受攻擊會帶來巨大的損失。
李航對至小編表示，對如今的工業控制系統來說，很多「帶病運行」甚至是常態。
IT/OT融合帶來的安全挑戰
在今年年初工業控制系統安全國家地方聯合工程實驗室，與360威脅情報中心聯合發佈的，IT/OT一體化的工業資訊安全態勢報告中，就指出當工業互聯網的IT/OT進行融合時，帶來的安全挑戰。
除了來自外部的安全挑戰外，來自工業系統自身安全建設的不足，尤為嚴重。如果作為一名工控系統安全負責人，您是否又認識到這些問題：
1）工業設備資產的可視性嚴重不足
工業設備可視性不足，嚴重阻礙了安全策略的實施。要在工業互聯網安全的戰鬥中取勝，「知己」是重要前提。
許多工業協議、設備、系統在設計之初，並沒有考慮到在複雜網路環境中的安全性，而且這些系統的生命週期長、升級維護少也是巨大的安全隱憂。
許多工業協議、設備、系統在設計之初，並沒有考慮到在複雜網路環境中的安全性，而且這些系統的生命週期長、升級維護少也是巨大的安全隱憂。
2）很多工控設備缺乏安全設計
主要來自各類機床數控系統、PLC、運動控制器等所使用的控制協議、控制平台、控制軟體等方面，其在設計之初，可能未考慮完整性、身份校驗等安全需求，存在輸入驗證，許可、授權與訪問控制不嚴格，不當身份驗證，配置維護不足，憑證管理不嚴，加密算法過時等安全挑戰。
例如：數控系統所採用的操作系統，可能是基於某一版本Linux進行裁剪的，所使用的內核、文件系統、對外提供服務、一旦穩定均不再修改，可能持續使用多年，有的甚至超過十年，而這些內核、文件系統、服務多年所爆出的漏洞，並未得到更新，安全隱憂長期保留。
例如：數控系統所採用的操作系統，可能是基於某一版本Linux進行裁剪的，所使用的內核、文件系統、對外提供服務、一旦穩定均不再修改，可能持續使用多年，有的甚至超過十年，而這些內核、文件系統、服務多年所爆出的漏洞，並未得到更新，安全隱憂長期保留。
3）設備聯網機制缺乏安全保障
工業控制系統中越來也讀的設備，與網路相連。如各類數控系統、PLC、應用伺服器，透過有線網路或無線網路連接，形成工業網路；工業網路與辦公網路連接形成企業內部網路；企業內部網路與外面的雲平台連接、第三方供應鏈連接、客戶的網路連接。
由此產生的主要安全挑戰包括：網路數據傳遞過程的常見網路威脅（如：拒絕服務、中間人攻擊等），網路傳輸鏈路上的硬體和軟體安全（如：軟體漏洞、配置不合理等），無線網路技術使用帶來的網路防護邊界模糊等。
由此產生的主要安全挑戰包括：網路數據傳遞過程的常見網路威脅（如：拒絕服務、中間人攻擊等），網路傳輸鏈路上的硬體和軟體安全（如：軟體漏洞、配置不合理等），無線網路技術使用帶來的網路防護邊界模糊等。
4）IT和OT系統安全管理相互獨立互操作困難
隨著智能製造的網路化和數位化發展，工業與IT的高度融合，企業內部人員，如：工程師、管理人員、現場操作員、企業高層管理人員等，其「有意識」或「無意識」的行為，可能破壞工業系統、傳播惡意軟體、忽略工作異常等，因為網路的廣泛使用，這些挑戰的影響將會急劇放大；
而針對人的社會工程學、釣魚攻擊、郵件掃描攻擊等大量攻擊，都利用了員工無意洩露的敏感資訊。因此，在智慧製造+互聯網中，人員管理也面臨巨大的安全挑戰。
而針對人的社會工程學、釣魚攻擊、郵件掃描攻擊等大量攻擊，都利用了員工無意洩露的敏感資訊。因此，在智慧製造+互聯網中，人員管理也面臨巨大的安全挑戰。
5）生產數據面臨丟失、洩露、篡改等安全威脅
智慧製造工廠內部生產管理數據、生產操作數據，以及工廠外部數據等，各類數據的安全問題，不管數據是透過大數據平台儲存、還是分布在用戶、生產終端、設計伺服器等多種設備上，海量數據都將面臨數據丟失、洩露、篡改等安全威脅。
該怎樣提升工控系統安全防護等級？
認識到問題，當然要解決問題，李航給出了六步提升安全防護等級建議：
1、資產發現及梳理：對工控網路中的IT資產和OT資產，進行發現、辨識和梳理，定位資產類型、數量、位置等資訊，摸清互聯關係、網路拓撲和數據流向。
2、透過流量分析確定感染面：根據工控網路拓撲，在關鍵或核心交換節點上，部署採用最新威脅情報驅動的非侵入式被動流量監測手段，掌握工業網路運行現狀、進行即時流量檢測，發現威脅進行即時警告，並生成攻擊事件。
對於DNS管理相對集中的企業，還可以對DNS的流量，進行更精準的監測分析。透過對流量以及DNS流量的分析，確認威脅事件的感染面。
對於DNS管理相對集中的企業，還可以對DNS的流量，進行更精準的監測分析。透過對流量以及DNS流量的分析，確認威脅事件的感染面。
3、隔離感染面，防止威脅擴散：對於透過技術手段，確認威脅的感染面，盡快採取應急的隔離手段。根據工業網路的業務特點，對網路進行分區分域，在區域之間部署具有工業協議解析能力，和入侵監測能力的網關設備，針對特殊的工控通信協議進行解析，辨識並防禦其中的安全事件，佈置相關防禦策略，保障網路安全。
對工業網路上的工業主機升級可用補丁，部署基於白名單的工業主機防護軟體，保障端點安全。針對工業網路中應用的虛擬化主機進行統一管理，部署針對虛擬化技術特殊風險的虛擬主機防護軟體。
對工業網路上的工業主機升級可用補丁，部署基於白名單的工業主機防護軟體，保障端點安全。針對工業網路中應用的虛擬化主機進行統一管理，部署針對虛擬化技術特殊風險的虛擬主機防護軟體。
4、採取應急措施盡快恢復業務：在確定了威脅的感染面或威脅終端後，要採取應急措施盡快保證業務的恢復。可以在工控機上部署安全產品，進行威脅的處置，對於無法部署安全產品的終端，可以透過恢復備份的方式，盡快恢復業務。
5、透過網路監測設備，進行存量病毒和漏洞處置：一般情況下可以透過流量分析和漏洞掃描，對工控網路中的存量病毒和漏洞進行發現，進而透過安裝工控主機安全防護系統等手段，進行病毒和漏洞問題的處理。
對於一些運行著重要業務的工控機，應盡量避免漏洞掃描，可能引發的業務中斷的風險，可以透過威脅評估系統，對工控主機進行全面的安全評估。
對於一些運行著重要業務的工控機，應盡量避免漏洞掃描，可能引發的業務中斷的風險，可以透過威脅評估系統，對工控主機進行全面的安全評估。
6、建立或完善安全組織機構，實現安全營運：在一把手授權下，建立主管工業網路安全的組織機構、權責範圍、配合安全服務建立事前檢測，事中響應，事後分析的安全營中體系。透過對單次威脅事件的溯源分析，設計整改方案和檢查標準，進一步推進整改方案和檢查標準的落地並不斷完善、持續監測，形成安全營運的閉環。
小結
整體來說，採用工業互聯網或智慧製造策略，帶來的效益是巨大的，英飛凌曾介紹稱，得益於工業4.0的部署，其目前已收穫生產週期縮短50%、生產效率提升10%、能源成本每年降低100萬歐元。
尤其在政策的推動下，IT/OT融合正在加速，但隨之帶來的安全風險也是巨大的。做應用的認為自己在飛奔，做安全的其實看他們在裸奔。
同理，在享受工業互聯網「紅利」的同時，您又是否為安全做好準備了呢？
Reference: https://3smarket-info.blogspot.com/2018/08/blog-post_309.html
全站熱搜
留言列表
