2020年，一(yi)個名為耶(ye)路撒冷電子軍(Jerusalem Electronic Army)的(de)黑(hei)客組織在社交媒體上發布(bu)了幾(ji)條(tiao)帖(tie)子，聲稱已經破壞了屬(shu)于以色列(lie)公共供水基礎設施的(de)控制系統(tong)。以色列(lie)國家(jia)網(wang)絡局(INCD)發出安全(quan)警報，要求(qiu)能源和供水部門立即更改所有聯網(wang)連(lian)接控制系統(tong)的(de)密碼，減少聯網(wang)連(lian)接，并(bing)確保(bao)安裝最新版(ban)本的(de)控制器(qi)。
后續的(de)媒體報道(dao)披露(lu)了該次(ci)安全(quan)攻(gong)擊(ji)事件的(de)一些細節(jie)，值得關(guan)(guan)注的(de)是黑(hei)客將SCADA(數據采(cai)集與監控(kong))系(xi)統作為攻(gong)擊(ji)目標(biao)——工(gong)業從業者(zhe)都知道(dao)，數據采(cai)集和監測(ce)控(kong)制是工(gong)業過程中極為重(zhong)要(yao)的(de)環節(jie)，它能幫助管(guan)理者(zhe)實時(shi)發現生產問題并調整生產計(ji)劃(hua)。可以說，作為工(gong)業控(kong)制系(xi)統重(zhong)要(yao)組成部分的(de)SCADA的(de)安全(quan)至(zhi)關(guan)(guan)重(zhong)要(yao)，一旦(dan)遭遇黑(hei)客攻(gong)擊(ji)，輕則某個(ge)工(gong)業領域(yu)受到重(zhong)創，重(zhong)則整個(ge)國(guo)家關(guan)(guan)鍵(jian)基(ji)礎設施癱瘓。
好消息是(shi)(shi)，該組織最終沒有擾亂或破壞以色列(lie)的(de)供(gong)水，而是(shi)(shi)在展(zhan)示自己的(de)能力(li)，試圖發(fa)表政治或文化聲明(ming)。不過(guo)，類似的(de)事件已經在全球范圍為工業運營的(de)網絡安(an)全敲響了警鐘。
上個(ge)月，羅克韋(wei)爾自動化(Rockwell Automation)發布了(le)名為《工(gong)業(ye)運營中(zhong)100多起網(wang)絡安全(quan)事(shi)件解剖》的調研報告(gao)，該份報告(gao)分析了(le)122起網(wang)絡安全(quan)事(shi)件，其中(zhong)包括(kuo)對OT/ICS(工(gong)業(ye)控制系統)的直(zhi)接(jie)威脅，每起安全(quan)事(shi)件都收(shou)集和審查了(le)近100個(ge)數據點。
根據(ju)對這些(xie)安全事件的分析，關鍵發現如(ru)下：
在過去短短幾年的時間內， OT/ICS 安(an)全(quan)事件已(yi)超(chao)過 1991 年至(zhi) 2000 年期間報告(gao)的總數。
能源行業受到的(de)(de)安(an)全攻(gong)擊(ji)最(zui)為集中(39%)，受到攻(gong)擊(ji)的(de)(de)頻率(lv)是排行第二垂直行業的(de)(de)三倍多。
網(wang)絡(luo)(luo)釣(diao)魚(yu)仍(reng)然是最(zui)為(wei)流行(xing)的攻擊技術(shu) (34%)，這突(tu)顯了(le)安全(quan)策略(例如氣隙(xi)、網(wang)絡(luo)(luo)分段、隔離(li)、零信(xin)任和安全(quan)意識培訓)對于降(jiang)低風險的重要性。
在超過(guo)一半的 OT/ICS 安全事件中，SCADA系統都被作為(wei)攻擊目標 (53%)，PLC則是第二常見的攻擊目標 (22%)。
超過(guo) 80% 的(de)威脅者(zhe)來自外部(bu)組織，但在大(da)約三分之(zhi)一的(de)安全事件中，內部(bu)人員無意中為威脅者(zhe)打開了大(da)門(men)。
在報告(gao)調研的(de)(de) OT/ICS 安全(quan)事件(jian)中(zhong)，60% 導致運營(ying)中(zhong)斷(duan)，40% 導致未經(jing)授權的(de)(de)訪問或數據泄露。然而，安全(quan)攻(gong)擊(ji)的(de)(de)損害超出了受影(ying)響的(de)(de)企業范圍(wei)，因(yin)為更廣泛的(de)(de)供應鏈在 65% 的(de)(de)情(qing)況下也會(hui)受到影(ying)響。
研究表明，在(zai)大多數(shu)OT事件(jian)中(zhong)，攻擊(ji)者首(shou)先進入IT網絡(luo)。所以加強 IT 系統的(de)安全對于打擊(ji)關(guan)鍵基礎設(she)施和制造設(she)施的(de)網絡(luo)攻擊(ji)至關(guan)重要(yao)。
本文將(jiang)對報告(gao)的(de)精華內容進行編譯：
關鍵發現(1)
在最(zui)近(jin)短(duan)短(duan)幾年的時間里，OT/ICS 安全事件已超過 1991 年至 2000 年期(qi)間報告的總數(shu)。
在2022年，報告顯示，針對Modbus/TCP端口(kou)502(一種(zhong)常用的工業協議)的對抗性偵(zhen)察增加了(le)2000%，這可(ke)能允許黑客控制物理設(she)備并破壞OT操作(zuo)。
安(an)全攻擊(ji)事(shi)件(jian)的(de)數據和頻率(lv)增加，不僅是(shi)因為確實有更多目標遭受其(qi)害，還因為有更好(hao)的(de)檢測工具(ju)和能(neng)力來幫(bang)助識別安(an)全攻擊(ji)事(shi)件(jian)。
下圖(tu)具體顯示(shi)了該份報告分析的(de)122起網絡安全事件的(de)調查結果。
羅(luo)克韋(wei)爾自動化(hua)發現：
美(mei)國和整(zheng)個歐(ou)洲對(dui)OT網(wang)絡安(an)全的(de)監(jian)(jian)管正越來越強，尤其是對(dui)涉及關鍵(jian)基礎(chu)設施領域(yu)的(de)行業。更強的(de)監(jian)(jian)管意(yi)味著工(gong)業組織應(ying)該評估他(ta)們目前的(de)網(wang)絡安(an)全保護措施是否(fou)存在(zai)(zai)潛在(zai)(zai)漏洞，增加更多的(de)主動安(an)全措施以更好(hao)地保護他(ta)們的(de)工(gong)業運營。
關鍵發現(2)
在本(ben)報告分析的所有安全事件中，60%的OT/ICS事故會導致運(yun)營中斷(duan)。
40%的OT/ICS事故會導致未經授權的訪問或數據(ju)暴露。
在超過一(yi)半的(de)OT/ICS安(an)全(quan)事件中，SCADA系統(tong)都是攻(gong)擊目(mu)標，其次的(de)目(mu)標是PLC。中鋼協和美國國家安(an)全(quan)局在一(yi)份(fen)OT網絡安(an)全(quan)咨(zi)詢報告中對PLC的(de)攻(gong)擊提出了(le)警(jing)告。
更廣(guang)泛的(de)(de)供(gong)應鏈在(zai)大約(yue)65%的(de)(de)時間內也會受到影(ying)響。一(yi)家日本汽車制造商暫(zan)停了14家工廠的(de)(de)28條生(sheng)產線(xian)的(de)(de)運(yun)營，至少持(chi)續(xu)了一(yi)天。此前(qian)，該公司的(de)(de)一(yi)個關鍵供(gong)應鏈合(he)作伙伴(ban)——一(yi)家塑料零部件(jian)和電子(zi)元件(jian)制造商——疑似(si)遭到了網絡攻擊(ji)。
關鍵發現(3)
如下(xia)圖所示的(de)(de)數據，能源行(xing)業受到(dao)的(de)(de)安全攻(gong)擊(ji)(ji)(ji)最為集中(39%)，受到(dao)攻(gong)擊(ji)(ji)(ji)的(de)(de)頻率是排行(xing)第二垂(chui)直行(xing)業的(de)(de)三倍多。正如所報道的(de)(de)那樣，基(ji)(ji)礎(chu)設施受到(dao)攻(gong)擊(ji)(ji)(ji)后可能造(zao)成的(de)(de)巨(ju)大影響也為勒索軟件和(he)敵對勢力創造(zao)了更(geng)大的(de)(de)機會。然而，發(fa)電(dian)廠(chang)、變電(dian)站和(he)相關(guan)基(ji)(ji)礎(chu)設施也在(zai)(zai)逐步老(lao)化(hua)，其(qi)中許多甚至是在(zai)(zai)50年(nian)前(qian)建成的(de)(de)，舊(jiu)的(de)(de)基(ji)(ji)礎(chu)設施顯然在(zai)(zai)安全控(kong)制方面有(you)所不足(zu)。
美國政(zheng)府已經認識(shi)到越來(lai)越多(duo)針對供水和廢(fei)水處理(li)部門的安全(quan)事件，并在相(xiang)關部門和其他關鍵基礎設(she)施部門實施了應急法規。
監管機構加(jia)強報(bao)告要(yao)求是全(quan)(quan)球趨(qu)勢。政府正在強迫公共和(he)私(si)營實體披露(lu)安(an)全(quan)(quan)攻擊事件、數(shu)據被盜和(he)贖金(jin)支付情況。歐(ou)盟的一項此類法規是《安(an)全(quan)(quan)網絡和(he)信息(xi)系統指令》。
關鍵發現(4)
超過80%的(de)安全事件都(dou)始于IT系統(tong)的(de)威脅(xie)。這可以歸因(yin)于不斷增加的(de)互聯(lian)性;大多數OT網(wang)(wang)絡(luo)(luo)通過IT網(wang)(wang)絡(luo)(luo)與(yu)外界(jie)通信。此外，攻擊者越來越多地(di)利用面向互聯(lian)網(wang)(wang)的(de)系統(tong)，如人(ren)機界(jie)面(HMIs)和工(gong)程工(gong)作站應用程序，這些(xie)都(dou)是主要的(de)攻擊目標(biao)。
這(zhe)強調了在(zai)(zai)工業(ye)互聯(lian)不(bu)斷增(zeng)加(jia)的(de)(de)時代(dai)，建立正(zheng)(zheng)確的(de)(de)網(wang)絡架(jia)構以支持(chi)企業(ye)安全的(de)(de)重要(yao)性。如(ru)果不(bu)正(zheng)(zheng)確地設置網(wang)絡、將(jiang)OT網(wang)絡分隔并進行氣隙(xi)隔離，以及采用其(qi)他(ta)最(zui)佳實踐，如(ru)不(bu)斷進行員工安全意識培(pei)訓(xun)，告知他(ta)們(men)攻擊(ji)的(de)(de)潛在(zai)(zai)風險會增(zeng)加(jia)。
羅克韋爾自動化建議：
隨著(zhu)安(an)全(quan)(quan)意(yi)識(shi)的(de)(de)(de)進一步進化，對更強(qiang)大的(de)(de)(de)OT安(an)全(quan)(quan)保護的(de)(de)(de)需求(qiu)也在增加(jia)。僅僅在IT和(he)OT環境之間設(she)置(zhi)防(fang)火墻不再足以(yi)有效(xiao)地(di)分隔IT和(he)OT網絡(luo)以(yi)防(fang)止攻(gong)擊。遠(yuan)程(cheng)訪(fang)問也是(shi)如(ru)此，攻(gong)擊者經常能夠(gou)輕易(yi)地(di)規避(bi)標(biao)準做法(fa)，比如(ru)密碼。如(ru)果(guo)沒有更強(qiang)大的(de)(de)(de)保護措(cuo)施，終端設(she)備將有可能被滲透。必須考慮額外的(de)(de)(de)對策，包(bao)括一個(ge)明確定義的(de)(de)(de)事件響應計劃，可以(yi)幫助您的(de)(de)(de)組織迅速應對和(he)從網絡(luo)安(an)全(quan)(quan)事件中恢復元氣。
關鍵發現(5)
超過80%的攻擊者來自組織外部。
內部人員(yuan)在超(chao)過三分之一的(de)安全事件(jian)中(zhong)扮演了一個“間接”的(de)角(jiao)色。內部人員(yuan)的(de)“間接”角(jiao)色主要是成(cheng)為(wei)釣(diao)魚攻(gong)擊的(de)受(shou)害者。
在Cyentia的(de)研究(jiu)中，將近60%的(de)攻擊者來(lai)自與國(guo)家相關的(de)團(tuan)體(ti)。許多(duo)攻擊者的(de)身份和地理(li)位置都被隱藏起(qi)來(lai)。威脅(xie)行為者付出了巨大的(de)努(nu)力來(lai)掩蓋(gai)這些信息。
報告顯示，發起安(an)全(quan)攻擊最常見(jian)的動(dong)(dong)機是政治或(huo)經濟驅動(dong)(dong)。
關鍵發現(6)
在本(ben)報告選取(qu)的樣本(ben)中(zhong)，歸(gui)因于國家相關(guan)團體的攻擊(ji)(ji)比(bi)其他研究更高(gao)，幾乎占(zhan)所有攻擊(ji)(ji)的60%。在其他研究中(zhong)——比(bi)如Cyentia研究院發(fa)現，只有略超過(guo)1%的網絡攻擊(ji)(ji)事件可(ke)以歸(gui)因于國家行為。
然而，令人驚訝的是，考慮到國家相關團體通常想要影響關鍵基礎(chu)設施、供應鏈、從關鍵系統(tong)中竊取(qu)數(shu)據，或(huo)者只是讓(rang)OT系統(tong)脫機，上(shang)述結論并非不合邏輯。
在2020年一(yi)次(ci)臭(chou)名昭(zhao)著的(de)攻(gong)擊(ji)中，俄羅斯政(zheng)府(fu)支持的(de)黑客利用系(xi)統(tong)漏洞入侵了(le)200多(duo)個(ge)系(xi)統(tong)。攻(gong)擊(ji)者使用來自至少三個(ge)組織(zhi)的(de)憑證來執行攻(gong)擊(ji)，影(ying)響(xiang)了(le)多(duo)個(ge)美(mei)國(guo)政(zheng)府(fu)系(xi)統(tong)、北約(yue)、英(ying)國(guo)和歐盟系(xi)統(tong)。結果，美(mei)國(guo)對(dui)俄羅斯實(shi)施了(le)制(zhi)裁(cai)。而滲透和泄露(lu)國(guo)際政(zheng)府(fu)數據(ju)的(de)影(ying)響(xiang)需要數年時間才能完(wan)全消解(jie)。
關鍵發現(7)
釣魚在(zai)初始訪問(攻擊)技(ji)術中一(yi)直占(zhan)據著最簡單、最成功的地(di)位。釣魚已經發展(zhan)到包括電(dian)子(zi)郵件、在(zai)線、短信/文本消息和語(yu)音/電(dian)話(hua)等多個領域，使其成為網(wang)絡犯罪分子(zi)的強大武器。
外部遠程(cheng)服(fu)務在IT和(he)OT事件的初始訪問(wen)方法中(zhong)排名第二。雖然其(qi)意圖是為(wei)(wei)合法用(yong)戶提供遠程(cheng)訪問(wen)權限(xian)，但(dan)自2020年(nian)以來，這已(yi)成為(wei)(wei)攻(gong)擊者的入(ru)口。
智能(neng)目(mu)標：隨著(zhu)攻擊者的技術水(shui)平提升(sheng)，網絡上的任何“智能(neng)”設備都可能(neng)成為(wei)攻擊目(mu)標。使用實時(shi)網絡資產清單、全天候威(wei)脅檢測以及有關(guan)可移動媒體的適(shi)當策略和程序等最(zui)佳(jia)實踐，有助(zhu)于(yu)防止IT攻擊轉(zhuan)向(xiang)OT，從而有可能(neng)關(guan)閉組(zu)織(zhi)的供(gong)應鏈、流(liu)程，甚至(zhi)整個物理(li)工(gong)廠。
關鍵發現(8)
根據MITRE的說法，“ATT&CK for ICS側重于那些以(yi)攻(gong)擊工(gong)業控制(zhi)系統為主要(yao)目標，試圖(tu)干擾工(gong)業控制(zhi)流程、破壞財產或通過攻(gong)擊工(gong)業控制(zhi)系統來對人類造成臨時或永久傷害(hai)或死亡(wang)的對手。”
在(zai)IT環境(jing)中(zhong)，攻(gong)擊(ji)通常從網絡(luo)發現開始，這用于(yu)幫助(zhu)攻(gong)擊(ji)者(zhe)了解資產的位置以(yi)及如(ru)何訪問它們(men)。
在OT領域，攻擊(ji)者通常(chang)試圖(tu)直接影響(xiang)工(gong)業(ye)流程。許(xu)多人試圖(tu)以獲(huo)取金錢為(wei)目的(de)，比如(ru)贖金，或是追求其他涉及經濟或軍事優勢的(de)結果(guo)。2022年，美國(guo)境內威脅(xie)行為(wei)者攻擊(ji)工(gong)業(ye)組(zu)織的(de)數(shu)量(liang)增(zeng)長了35%，導致同一時期內數(shu)據(ju)泄露事件(jian)增(zeng)加了87%。
攻擊者使用橫向工具傳輸，利用遠程服(fu)務和標準(zhun)應用層協(xie)議來操(cao)縱操(cao)作(zuo)員(yuan)的視圖，并且在許多(duo)情況下接管特(te)定的OT進(jin)程。
關鍵發現(9)
數據(ju)泄露對企業的(de)影響最大。
當發生(sheng)破壞業(ye)務的(de)攻擊時，影響是廣泛的(de)。即使(shi)沒(mei)有wannacry式的(de)事件，組織也會受到負面影響。
讓我(wo)們來看看這些ATT&CK分類(lei)(lei)的(de)影(ying)響——首先(xian)，我(wo)們從MITRE企業框(kuang)架進(jin)行(xing)比較。在(zai)“通(tong)(tong)過C2通(tong)(tong)道(dao)外傳(chuan)(chuan)”的(de)攻擊中，攻擊者竊(qie)取(qu)數(shu)據(ju)，然后使用(yong)現有的(de)命令和控制通(tong)(tong)道(dao)將數(shu)據(ju)外傳(chuan)(chuan)，這是此類(lei)(lei)事件影(ying)響企業運營的(de)主(zhu)要方式。
另(ling)外兩種攻(gong)擊(ji)類型，“數(shu)據加密影響”和“數(shu)據破壞技術”，是網(wang)絡攻(gong)擊(ji)影響企業(ye)的前三種方式。總的來說，下圖(tu)中顯示的前三種MITRE攻(gong)擊(ji)和攻(gong)擊(ji)技術最(zui)常與勒(le)索軟(ruan)件攻(gong)擊(ji)相關聯。
關鍵發現(10)
“操縱視圖(tu)”和(he)“操縱控制”是影響ICS環(huan)境的(de)前兩(liang)種主要(yao)方法(fa)。
進一步看(kan)，排(pai)名前三的(de)ICS ATT&CK分類之(zhi)一是“生(sheng)產力和收(shou)入損失”。當我(wo)們(men)將(jiang)這種(zhong)方法與先前提到的(de)“操(cao)縱視圖(tu)”和“操(cao)縱控制”的(de)攻擊(ji)類型聯系起來，可(ke)(ke)以清楚地看(kan)到在這些事件中供應(ying)鏈(lian)可(ke)(ke)能會受到影(ying)響。如(ru)果惡意用戶操(cao)縱了(le)負責(ze)生(sheng)產的(de)OT/ICS系統的(de)視圖(tu)和控制，他們(men)還可(ke)(ke)能滲(shen)透并(bing)影(ying)響組織合作伙(huo)伴、供應(ying)商和客戶的(de)整個產品供應(ying)鏈(lian)。
當(dang)我們(men)回顧(gu)在非能源領(ling)域使用的(de)(de)技術(shu)時，供(gong)應鏈影響是最常見(jian)的(de)(de)三個結果之一(yi)。這種深(shen)遠的(de)(de)影響，遠遠超(chao)出了組織的(de)(de)邊(bian)界(jie)，因此對于各行各業的(de)(de)組織來(lai)說，保護(hu)自(zi)身免受網絡攻擊極其重要。
寫在最后
隨著越(yue)來越(yue)多(duo)的(de)系(xi)統(tong)、網絡和設備連(lian)接到OT/ICS環(huan)境中，建立強大(da)的(de)現代OT/ICS安全(quan)計劃必須成為每個工業組(zu)織維護安全(quan)、可靠運營和持續可用性的(de)責任的(de)一部(bu)分(fen)。
報(bao)告的(de)最后，羅克(ke)韋爾(er)自(zi)動化也給(gei)出(chu)了一些加(jia)強(qiang)OT安(an)全(quan)的(de)建議：
專注(zhu)于縱深防御，包括借鑒(jian)零信(xin)任(Zero Trust)和NIST網絡(luo)安全框架等。
通過更強的(de)密碼和多因素身份驗證(zheng)來(lai)確保遠(yuan)程訪問的(de)安(an)全性(xing)。
24/7 全(quan)天候(hou)監(jian)控威脅(xie)。
將IT和(he)OT網(wang)絡進行分隔，充分利用防火墻配置，以防止IT攻擊滲透到OT環境(jing)中。
持續培訓(xun)內部員工(gong)，使其了解最新的(de)網絡釣魚詐騙，并學(xue)會如何避免它(ta)們。
如需獲取報告全文，可關注公眾號【物聯網智(zhi)庫(ku)】，后臺回復(fu)關鍵字(zi)“羅克韋爾(er)自動化報(bao)告”下載~
