2020年，一個名為耶路撒冷電子(zi)軍(Jerusalem Electronic Army)的(de)黑客組(zu)織在社(she)交媒(mei)體上發布了幾(ji)條帖子(zi)，聲(sheng)稱已(yi)經破壞了屬于以(yi)色(se)列(lie)公(gong)共供水(shui)基礎設施的(de)控制(zhi)系統(tong)。以(yi)色(se)列(lie)國家(jia)網絡局(INCD)發出(chu)安全警報，要求能源和供水(shui)部門立即更改所(suo)有聯網連接(jie)控制(zhi)系統(tong)的(de)密碼，減少聯網連接(jie)，并確(que)保(bao)安裝(zhuang)最新版本的(de)控制(zhi)器。
后續的(de)媒(mei)體報道披露了該次安(an)全(quan)攻擊(ji)事件(jian)的(de)一(yi)些(xie)細節，值(zhi)得(de)關(guan)注的(de)是(shi)黑客(ke)(ke)將(jiang)SCADA(數據采集(ji)與監(jian)控)系統作為(wei)攻擊(ji)目標——工業(ye)從(cong)業(ye)者(zhe)都知(zhi)道，數據采集(ji)和監(jian)測控制(zhi)(zhi)是(shi)工業(ye)過程中極為(wei)重(zhong)(zhong)要的(de)環節，它能幫助管(guan)理者(zhe)實時發現生(sheng)產問題并調整生(sheng)產計劃。可以說，作為(wei)工業(ye)控制(zhi)(zhi)系統重(zhong)(zhong)要組成部分的(de)SCADA的(de)安(an)全(quan)至關(guan)重(zhong)(zhong)要，一(yi)旦遭遇黑客(ke)(ke)攻擊(ji)，輕則某個工業(ye)領域受到重(zhong)(zhong)創，重(zhong)(zhong)則整個國(guo)家關(guan)鍵(jian)基礎設施癱瘓。
好消息是，該組織最終(zhong)沒(mei)有擾(rao)亂或(huo)破(po)壞(huai)以色列的供(gong)水，而是在展示自己(ji)的能力，試圖發表政治或(huo)文化聲明。不過，類似(si)的事件已經(jing)在全球范圍為工業(ye)運(yun)營的網絡安全敲響了警鐘。
上個月，羅克韋爾自動化(Rockwell Automation)發布了(le)(le)名為《工(gong)業運營中100多起網絡(luo)安(an)(an)全事(shi)件(jian)解剖》的(de)調(diao)研(yan)報告，該(gai)份報告分析(xi)了(le)(le)122起網絡(luo)安(an)(an)全事(shi)件(jian)，其中包(bao)括對(dui)OT/ICS(工(gong)業控制系統)的(de)直接威脅，每(mei)起安(an)(an)全事(shi)件(jian)都收集和審查了(le)(le)近100個數據(ju)點(dian)。
根據(ju)對(dui)這(zhe)些(xie)安全(quan)事件的分析，關鍵發現(xian)如下：
在過去短短幾年(nian)的時(shi)間(jian)內， OT/ICS 安全(quan)事件已(yi)超過 1991 年(nian)至(zhi) 2000 年(nian)期間(jian)報告的總(zong)數。
能源行(xing)業受(shou)到的(de)安全攻(gong)擊最為集(ji)中(zhong)(39%)，受(shou)到攻(gong)擊的(de)頻(pin)率是排行(xing)第(di)二垂直行(xing)業的(de)三(san)倍(bei)多。
網絡釣魚仍(reng)然是最為流行的攻擊技術 (34%)，這突顯了安全策略(例(li)如氣隙、網絡分段(duan)、隔離(li)、零信任和安全意識培訓)對于降低風險的重要性。
在超過一(yi)半的 OT/ICS 安(an)全事件中，SCADA系(xi)統都(dou)被作(zuo)為(wei)攻(gong)(gong)擊目標 (53%)，PLC則是第二常見的攻(gong)(gong)擊目標 (22%)。
超(chao)過 80% 的威(wei)脅(xie)(xie)者(zhe)來(lai)自外部組織(zhi)，但在大(da)約(yue)三分(fen)之一的安全事件中，內部人員(yuan)無意中為(wei)威(wei)脅(xie)(xie)者(zhe)打開了大(da)門(men)。
在報(bao)告調(diao)研的(de)(de) OT/ICS 安全事件中，60% 導致運營中斷(duan)，40% 導致未經授權的(de)(de)訪問或數(shu)據(ju)泄露。然而，安全攻擊的(de)(de)損害(hai)超(chao)出了受(shou)影(ying)響(xiang)的(de)(de)企業范圍，因為更廣泛的(de)(de)供應鏈在 65% 的(de)(de)情況下也會受(shou)到影(ying)響(xiang)。
研究表明，在大多(duo)數(shu)OT事件中，攻(gong)擊(ji)者首先(xian)進(jin)入(ru)IT網絡。所以加強 IT 系統的安全對于打擊(ji)關鍵基礎設施和(he)制造設施的網絡攻(gong)擊(ji)至關重要。
本文將(jiang)對報告的精(jing)華內(nei)容(rong)進行編譯：
關鍵發現(1)
在(zai)最(zui)近(jin)短短幾年的時間里，OT/ICS 安(an)全事件已(yi)超過 1991 年至 2000 年期間報告的總數。
在(zai)2022年，報告顯示，針對Modbus/TCP端口(kou)502(一種常用(yong)的(de)工業協議)的(de)對抗性偵察增加了2000%，這可能允許(xu)黑客控制物理設備并(bing)破壞(huai)OT操作。
安(an)全攻擊(ji)事件(jian)的數據和頻率增加，不僅(jin)是(shi)因(yin)為確(que)實有更多目標遭受其害，還(huan)因(yin)為有更好的檢測(ce)工(gong)具和能力來幫助(zhu)識別安(an)全攻擊(ji)事件(jian)。
下圖具(ju)體顯(xian)示了該份(fen)報告分析的122起網絡(luo)安(an)全事(shi)件(jian)的調(diao)查結果(guo)。
羅克(ke)韋(wei)爾自(zi)動化發現：
美國(guo)和整個歐洲對(dui)OT網絡(luo)安(an)全的(de)(de)(de)(de)監管(guan)正越來(lai)越強，尤其(qi)是(shi)對(dui)涉及關鍵基礎設(she)施(shi)(shi)(shi)領域的(de)(de)(de)(de)行業(ye)(ye)。更強的(de)(de)(de)(de)監管(guan)意味(wei)著(zhu)工(gong)業(ye)(ye)組織應該評估(gu)他(ta)們(men)目(mu)前的(de)(de)(de)(de)網絡(luo)安(an)全保護措施(shi)(shi)(shi)是(shi)否存在潛(qian)在漏洞，增(zeng)加(jia)更多的(de)(de)(de)(de)主動安(an)全措施(shi)(shi)(shi)以更好(hao)地保護他(ta)們(men)的(de)(de)(de)(de)工(gong)業(ye)(ye)運營(ying)。
關鍵發現(2)
在本報告分(fen)析(xi)的所有安全(quan)事(shi)件(jian)中，60%的OT/ICS事(shi)故會導致運營中斷。
40%的OT/ICS事故會導致未經授(shou)權的訪問或數據暴露。
在超過一(yi)半的OT/ICS安(an)(an)全(quan)(quan)事件中(zhong)，SCADA系統都是(shi)攻(gong)擊目標，其(qi)次的目標是(shi)PLC。中(zhong)鋼協和美國(guo)(guo)國(guo)(guo)家安(an)(an)全(quan)(quan)局(ju)在一(yi)份OT網絡安(an)(an)全(quan)(quan)咨(zi)詢報告中(zhong)對PLC的攻(gong)擊提(ti)出了(le)警告。
更廣泛的供應鏈在大(da)約65%的時間內也會受(shou)到(dao)影(ying)響。一(yi)(yi)家日本汽(qi)車制(zhi)造商(shang)暫停了(le)(le)14家工廠的28條(tiao)生(sheng)產線的運營，至少持續了(le)(le)一(yi)(yi)天。此前，該(gai)公司的一(yi)(yi)個關(guan)鍵供應鏈合作(zuo)伙伴——一(yi)(yi)家塑(su)料(liao)零部件和(he)電子元件制(zhi)造商(shang)——疑似遭到(dao)了(le)(le)網絡(luo)攻擊。
關鍵發現(3)
如下圖所示的(de)數據，能源(yuan)行(xing)業受(shou)到的(de)安全(quan)攻擊最為集中(39%)，受(shou)到攻擊的(de)頻(pin)率是排行(xing)第二垂(chui)直行(xing)業的(de)三(san)倍多(duo)。正如所報道的(de)那樣，基(ji)礎設(she)施受(shou)到攻擊后可能造成(cheng)的(de)巨大影響也(ye)(ye)為勒索軟件和敵(di)對勢力創造了更大的(de)機會。然而，發電廠、變電站和相關(guan)基(ji)礎設(she)施也(ye)(ye)在(zai)(zai)逐步老化，其(qi)中許多(duo)甚至是在(zai)(zai)50年前建(jian)成(cheng)的(de)，舊的(de)基(ji)礎設(she)施顯然在(zai)(zai)安全(quan)控制方(fang)面有所不足。
美(mei)國政府已經認識到越來越多針(zhen)對供水和廢水處理(li)部(bu)門的安全事件，并在相關部(bu)門和其(qi)他關鍵(jian)基礎設施(shi)部(bu)門實施(shi)了應急法規。
監管機構加強報告要(yao)求是(shi)全(quan)球趨勢。政府正在(zai)強迫(po)公共和(he)私營實體披露安全(quan)攻擊(ji)事件、數據(ju)被盜和(he)贖金(jin)支付情況。歐(ou)盟的一項此(ci)類法規是(shi)《安全(quan)網(wang)絡和(he)信息(xi)系(xi)統(tong)指令》。
關鍵發現(4)
超過80%的安(an)全事(shi)件(jian)都(dou)(dou)始于IT系統的威脅。這可以歸因于不斷增(zeng)加的互(hu)聯性;大多數OT網絡(luo)通過IT網絡(luo)與外界通信。此外，攻(gong)(gong)擊(ji)者(zhe)越(yue)來(lai)越(yue)多地利用(yong)面(mian)向互(hu)聯網的系統，如人機界面(mian)(HMIs)和(he)工(gong)(gong)程工(gong)(gong)作站應用(yong)程序，這些都(dou)(dou)是(shi)主(zhu)要的攻(gong)(gong)擊(ji)目標。
這強(qiang)調(diao)了(le)在(zai)工(gong)業互聯不(bu)(bu)斷增加的時代，建立正確的網絡(luo)架構以(yi)支持企業安全(quan)的重要性。如果(guo)不(bu)(bu)正確地設置網絡(luo)、將OT網絡(luo)分隔并進行氣隙隔離，以(yi)及(ji)采用其他最佳實踐，如不(bu)(bu)斷進行員(yuan)工(gong)安全(quan)意識培訓，告知(zhi)他們攻(gong)擊的潛在(zai)風(feng)險會(hui)增加。
羅克韋爾自(zi)動(dong)化建議(yi)：
隨著安(an)全(quan)意識的(de)(de)(de)進一步進化，對(dui)更強(qiang)大(da)(da)的(de)(de)(de)OT安(an)全(quan)保(bao)護的(de)(de)(de)需求也在(zai)增加(jia)。僅僅在(zai)IT和(he)(he)OT環(huan)境之間設置防(fang)火墻不(bu)再(zai)足以(yi)有(you)效地分(fen)隔IT和(he)(he)OT網絡以(yi)防(fang)止攻擊(ji)。遠程(cheng)訪問也是如此，攻擊(ji)者經常能夠輕易地規避標準做(zuo)法，比如密碼(ma)。如果沒有(you)更強(qiang)大(da)(da)的(de)(de)(de)保(bao)護措施，終(zhong)端設備將有(you)可能被滲透。必須考慮額外的(de)(de)(de)對(dui)策，包(bao)括(kuo)一個明確定義(yi)的(de)(de)(de)事件(jian)響應計劃，可以(yi)幫助您(nin)的(de)(de)(de)組織迅速應對(dui)和(he)(he)從網絡安(an)全(quan)事件(jian)中(zhong)恢復(fu)元氣。
關鍵發現(5)
超過80%的攻(gong)擊者來自組織外部。
內部人(ren)員在超(chao)過三分之一(yi)的(de)(de)安(an)全(quan)事件(jian)中扮演了一(yi)個(ge)“間(jian)接”的(de)(de)角(jiao)色。內部人(ren)員的(de)(de)“間(jian)接”角(jiao)色主要是(shi)成(cheng)為(wei)釣魚攻擊的(de)(de)受(shou)害(hai)者。
在Cyentia的研究(jiu)中(zhong)，將近60%的攻擊者來(lai)自與國家相關的團體。許多攻擊者的身份和地理位置都被隱藏(zang)起來(lai)。威脅行為者付出了巨大的努力來(lai)掩蓋(gai)這些信息。
報(bao)告顯示，發起安(an)全攻擊最(zui)常見的動(dong)機(ji)是(shi)政治或經濟驅動(dong)。
關鍵發現(6)
在本報告選取的樣本中，歸(gui)因于(yu)國家(jia)相(xiang)關團體的攻擊(ji)(ji)比(bi)其他研(yan)(yan)究(jiu)更高，幾乎占所有(you)攻擊(ji)(ji)的60%。在其他研(yan)(yan)究(jiu)中——比(bi)如Cyentia研(yan)(yan)究(jiu)院發現，只有(you)略超過1%的網絡攻擊(ji)(ji)事件(jian)可以歸(gui)因于(yu)國家(jia)行(xing)為。
然而，令人驚訝的(de)是，考慮到國家(jia)相關(guan)(guan)團體通常想要(yao)影(ying)響關(guan)(guan)鍵(jian)基礎設施(shi)、供應(ying)鏈、從關(guan)(guan)鍵(jian)系統中竊取(qu)數(shu)據，或者只是讓(rang)OT系統脫機，上述(shu)結論(lun)并非不合邏輯。
在(zai)2020年(nian)一次臭名(ming)昭著(zhu)的攻(gong)(gong)擊(ji)中，俄羅(luo)斯政(zheng)府(fu)支持的黑客(ke)利(li)用系統漏洞(dong)入侵了200多(duo)個(ge)系統。攻(gong)(gong)擊(ji)者使用來自至少三個(ge)組織的憑證來執行(xing)攻(gong)(gong)擊(ji)，影(ying)響了多(duo)個(ge)美(mei)國政(zheng)府(fu)系統、北約、英國和(he)歐(ou)盟系統。結果，美(mei)國對(dui)俄羅(luo)斯實施了制裁。而滲透(tou)和(he)泄露國際(ji)政(zheng)府(fu)數(shu)據的影(ying)響需要數(shu)年(nian)時間才能完全消解。
關鍵發現(7)
釣魚(yu)(yu)在初始訪問(攻擊(ji))技(ji)術中一直占(zhan)據著最(zui)簡單、最(zui)成功的地位。釣魚(yu)(yu)已經發展到包括(kuo)電子郵件、在線(xian)、短信/文本(ben)消(xiao)息和語音/電話等多個(ge)領域，使其成為(wei)網絡犯罪分子的強大武器。
外部遠程服務(wu)在IT和OT事件的初始訪(fang)問(wen)方(fang)法(fa)中(zhong)排名第二。雖然其意圖(tu)是為合法(fa)用戶提供遠程訪(fang)問(wen)權限，但自2020年以來，這(zhe)已成為攻擊(ji)者的入口。
智能(neng)目標：隨著攻(gong)(gong)擊(ji)者(zhe)的(de)技術水平提升，網絡上的(de)任何“智能(neng)”設備都可能(neng)成為攻(gong)(gong)擊(ji)目標。使用(yong)實時網絡資產清單、全天候威(wei)脅(xie)檢(jian)測以及(ji)有關可移動媒體的(de)適當策略和程序等(deng)最(zui)佳實踐(jian)，有助于防止IT攻(gong)(gong)擊(ji)轉(zhuan)向OT，從而有可能(neng)關閉組織的(de)供(gong)應鏈、流程，甚至整(zheng)個(ge)物理工廠。
關鍵發現(8)
根據(ju)MITRE的(de)說法，“ATT&CK for ICS側(ce)重于那些以攻擊工業(ye)(ye)控制(zhi)系(xi)統(tong)為主要目標，試(shi)圖(tu)干擾工業(ye)(ye)控制(zhi)流程、破壞財產或(huo)通過攻擊工業(ye)(ye)控制(zhi)系(xi)統(tong)來(lai)對(dui)人(ren)類(lei)造成臨(lin)時或(huo)永久傷(shang)害或(huo)死(si)亡的(de)對(dui)手。”
在(zai)IT環境中，攻擊通常從網絡發(fa)現(xian)開(kai)始，這用(yong)于幫助攻擊者了解資產的位置以及如何訪問它們(men)。
在OT領域，攻(gong)擊(ji)(ji)者通常(chang)試圖(tu)直(zhi)接(jie)影響工業流程。許(xu)多人(ren)試圖(tu)以(yi)獲取金(jin)錢為目的，比如贖金(jin)，或(huo)(huo)是追求其他涉及經濟或(huo)(huo)軍事優勢的結果。2022年，美國境(jing)內威脅行為者攻(gong)擊(ji)(ji)工業組織(zhi)的數量增(zeng)長了35%，導(dao)致同一(yi)時期內數據泄(xie)露事件增(zeng)加了87%。
攻擊者使用橫(heng)向工具(ju)傳輸(shu)，利用遠程(cheng)服務和(he)標準應用層協議來操(cao)(cao)縱(zong)操(cao)(cao)作員(yuan)的視圖，并(bing)且(qie)在許多情況下接(jie)管(guan)特定的OT進程(cheng)。
關鍵發現(9)
數據泄(xie)露對企業的(de)影響最大。
當(dang)發生破壞業務的攻擊時，影響(xiang)(xiang)是廣泛的。即(ji)使沒有wannacry式的事件，組織也會受到(dao)負面影響(xiang)(xiang)。
讓我們來看(kan)看(kan)這些ATT&CK分類(lei)的(de)影響——首先，我們從MITRE企(qi)業(ye)(ye)框架進行比(bi)較(jiao)。在“通(tong)(tong)過C2通(tong)(tong)道外(wai)傳”的(de)攻擊(ji)中，攻擊(ji)者(zhe)竊取數(shu)據(ju)(ju)，然后使用現有的(de)命(ming)令和控制通(tong)(tong)道將數(shu)據(ju)(ju)外(wai)傳，這是此類(lei)事件影響企(qi)業(ye)(ye)運(yun)營(ying)的(de)主要方式。
另外兩種攻(gong)擊(ji)類型，“數據加密影(ying)(ying)響”和(he)(he)“數據破壞技術(shu)”，是網絡攻(gong)擊(ji)影(ying)(ying)響企業的(de)前三種方式。總的(de)來說，下圖中顯示(shi)的(de)前三種MITRE攻(gong)擊(ji)和(he)(he)攻(gong)擊(ji)技術(shu)最常與勒索軟件(jian)攻(gong)擊(ji)相關(guan)聯。
關鍵發現(10)
“操縱視圖”和“操縱控(kong)制”是影響(xiang)ICS環境的前兩種主要方法。
進一(yi)步看(kan)，排(pai)名前(qian)三的(de)ICS ATT&CK分類之一(yi)是(shi)“生產力和收入損失”。當我們將這種方法(fa)與先前(qian)提到(dao)的(de)“操(cao)縱視圖”和“操(cao)縱控(kong)制”的(de)攻擊類型聯系起來(lai)，可以清楚地(di)看(kan)到(dao)在這些事(shi)件(jian)中供(gong)應鏈(lian)可能(neng)會(hui)受到(dao)影響。如果惡意(yi)用(yong)戶操(cao)縱了負責生產的(de)OT/ICS系統的(de)視圖和控(kong)制，他們還(huan)可能(neng)滲透并影響組織合作伙伴、供(gong)應商和客戶的(de)整個產品供(gong)應鏈(lian)。
當我們回顧在非能源(yuan)領域使用(yong)的(de)技術時，供應鏈(lian)影響是最常見的(de)三個(ge)結果之(zhi)一。這種深遠(yuan)(yuan)的(de)影響，遠(yuan)(yuan)遠(yuan)(yuan)超出了組織的(de)邊(bian)界，因此對于各(ge)行(xing)各(ge)業的(de)組織來(lai)說，保護自身免受網絡攻擊極其重要。
寫在最后
隨著越來(lai)越多的(de)系統、網絡(luo)和設備連接(jie)到OT/ICS環境中，建立強大的(de)現代OT/ICS安(an)全計劃必(bi)須成(cheng)為每個工業組織維護安(an)全、可靠(kao)運營和持續(xu)可用性的(de)責任的(de)一部(bu)分。
報告(gao)的最后，羅克韋(wei)爾自動(dong)化也給出了一些加強(qiang)OT安全的建議：
專注于縱深防(fang)御，包括(kuo)借(jie)鑒(jian)零信任(Zero Trust)和NIST網絡(luo)安(an)全框架等(deng)。
通過更強的密碼和多因(yin)素身份驗證(zheng)來確保(bao)遠(yuan)程(cheng)訪(fang)問的安全性(xing)。
24/7 全天候(hou)監控威脅。
將(jiang)IT和OT網絡進行分隔，充分利用防火墻(qiang)配(pei)置(zhi)，以防止IT攻擊滲(shen)透到OT環(huan)境中。
持續培訓內(nei)部(bu)員(yuan)工，使其了解最新(xin)的網絡釣魚詐騙(pian)，并學(xue)會如何(he)避(bi)免它們。
如需獲取報告全文，可關注公眾號【物聯網智庫】，后臺(tai)回復(fu)關(guan)鍵(jian)字“羅克韋(wei)爾自動化(hua)報告”下載~
