2020年，一個名為耶路撒(sa)冷電子(zi)軍(jun)(Jerusalem Electronic Army)的黑(hei)客組織在社交媒體上(shang)發布了幾(ji)條帖子(zi)，聲稱已經破壞了屬于以(yi)色列(lie)公共供水基礎(chu)設(she)施的控(kong)制系統。以(yi)色列(lie)國家網絡局(INCD)發出安(an)全警報，要求能源(yuan)和供水部門立即更改所有聯(lian)網連接控(kong)制系統的密碼，減少(shao)聯(lian)網連接，并確保安(an)裝最新版本(ben)的控(kong)制器。
后續的(de)(de)媒體報道披露了該次安全攻(gong)(gong)擊事件的(de)(de)一些細節，值得(de)關注的(de)(de)是(shi)黑客將SCADA(數據(ju)采集與監(jian)控)系(xi)統(tong)作為攻(gong)(gong)擊目(mu)標——工(gong)業(ye)(ye)從業(ye)(ye)者(zhe)都知道，數據(ju)采集和監(jian)測控制(zhi)是(shi)工(gong)業(ye)(ye)過程中極為重要(yao)的(de)(de)環節，它能幫助管(guan)理者(zhe)實時發現生產(chan)問(wen)題(ti)并(bing)調整(zheng)(zheng)生產(chan)計劃。可以說，作為工(gong)業(ye)(ye)控制(zhi)系(xi)統(tong)重要(yao)組成部分的(de)(de)SCADA的(de)(de)安全至關重要(yao)，一旦遭遇黑客攻(gong)(gong)擊，輕則某個(ge)(ge)工(gong)業(ye)(ye)領域受到重創，重則整(zheng)(zheng)個(ge)(ge)國家關鍵(jian)基礎(chu)設(she)施癱瘓。
好消息是，該組織最終沒(mei)有擾亂或破壞以色(se)列的供(gong)水，而(er)是在展示自己的能力，試(shi)圖發表(biao)政治或文化聲明。不過(guo)，類(lei)似的事件已經在全球范(fan)圍為工業運營的網絡(luo)安全敲響了警鐘。
上(shang)個月，羅(luo)克韋爾自動化(Rockwell Automation)發布了名(ming)為《工業運營中100多起網絡安全(quan)事件(jian)解剖》的調研(yan)報告，該份(fen)報告分析了122起網絡安全(quan)事件(jian)，其中包括對OT/ICS(工業控制系統)的直接威脅，每起安全(quan)事件(jian)都收集(ji)和審查(cha)了近100個數據點。
根據(ju)對這些安(an)全事件的分(fen)析，關鍵發現如下：
在過去短短幾年(nian)的時間內， OT/ICS 安全(quan)事件已(yi)超(chao)過 1991 年(nian)至 2000 年(nian)期(qi)間報(bao)告(gao)的總數。
能(neng)源行(xing)業受到的(de)安全攻(gong)擊(ji)最為集(ji)中(39%)，受到攻(gong)擊(ji)的(de)頻率是排行(xing)第二(er)垂(chui)直行(xing)業的(de)三倍多。
網絡釣魚仍然是最為流行的(de)攻擊(ji)技術 (34%)，這突顯了(le)安全策略(例如(ru)氣(qi)隙、網絡分段、隔離、零信任(ren)和安全意(yi)識培訓)對(dui)于降低風險的(de)重要性(xing)。
在超過一半的 OT/ICS 安全事(shi)件中，SCADA系(xi)統都被作為(wei)攻擊目(mu)標 (53%)，PLC則是第二常見的攻擊目(mu)標 (22%)。
超過(guo) 80% 的威(wei)脅者來(lai)自外部組織，但在大約三分之(zhi)一(yi)的安全(quan)事件中，內部人員無意中為威(wei)脅者打開(kai)了大門。
在(zai)報告調研(yan)的(de) OT/ICS 安全事(shi)件中，60% 導致運營中斷，40% 導致未經授權(quan)的(de)訪問或(huo)數據泄(xie)露。然而，安全攻擊的(de)損(sun)害超出(chu)了(le)受影響(xiang)的(de)企業范(fan)圍(wei)，因為(wei)更廣泛的(de)供應鏈在(zai) 65% 的(de)情(qing)況下也會受到(dao)影響(xiang)。
研究表(biao)明，在大多(duo)數OT事件中(zhong)，攻(gong)擊(ji)者首先進入IT網絡。所以加強 IT 系統的(de)(de)安全(quan)對于打擊(ji)關鍵基(ji)礎設施和制(zhi)造設施的(de)(de)網絡攻(gong)擊(ji)至關重要。
本文將對報告的精(jing)華(hua)內容進行編譯：
關鍵發現(1)
在(zai)最近短短幾年的時間里，OT/ICS 安全事件已超過 1991 年至 2000 年期(qi)間報告的總(zong)數。
在2022年，報告顯示，針對Modbus/TCP端口(kou)502(一種(zhong)常用的工業協議(yi))的對抗性偵察增加了2000%，這可能(neng)允許黑客控(kong)制物理設備并破壞OT操作。
安全(quan)攻擊事(shi)件(jian)的(de)數據(ju)和頻率(lv)增加，不僅(jin)是因為(wei)確實有更多目標(biao)遭受其(qi)害，還(huan)因為(wei)有更好的(de)檢測工具和能力來幫助識別(bie)安全(quan)攻擊事(shi)件(jian)。
下(xia)圖具體顯示(shi)了該份報(bao)告分析的(de)122起網絡安(an)全(quan)事件的(de)調(diao)查(cha)結果。
羅克韋爾(er)自動化(hua)發現：
美國和整個歐洲對OT網絡安(an)(an)全(quan)(quan)的(de)(de)監管正越來越強(qiang)，尤其(qi)是(shi)對涉(she)及關鍵基(ji)礎(chu)設(she)施(shi)領域的(de)(de)行業。更強(qiang)的(de)(de)監管意味著工業組織應該評估他們目前的(de)(de)網絡安(an)(an)全(quan)(quan)保護措施(shi)是(shi)否存在潛(qian)在漏洞(dong)，增加(jia)更多的(de)(de)主動安(an)(an)全(quan)(quan)措施(shi)以更好(hao)地保護他們的(de)(de)工業運營。
關鍵發現(2)
在本報告分析(xi)的所有安全事件中，60%的OT/ICS事故(gu)會導(dao)致運(yun)營(ying)中斷。
40%的OT/ICS事故(gu)會導致(zhi)未經授權(quan)的訪問或數據暴露。
在(zai)超過一(yi)半的(de)OT/ICS安(an)全(quan)事件中(zhong)(zhong)，SCADA系統都是攻擊(ji)目標(biao)，其次(ci)的(de)目標(biao)是PLC。中(zhong)(zhong)鋼協和美國(guo)(guo)國(guo)(guo)家安(an)全(quan)局在(zai)一(yi)份OT網絡安(an)全(quan)咨(zi)詢報告(gao)中(zhong)(zhong)對PLC的(de)攻擊(ji)提出(chu)了警告(gao)。
更廣(guang)泛(fan)的供應鏈在大約65%的時間內也會受到(dao)(dao)影響。一家(jia)日本(ben)汽車制(zhi)造(zao)(zao)商暫(zan)停了(le)14家(jia)工(gong)廠的28條生(sheng)產線的運營，至少持續了(le)一天。此前，該公司的一個關鍵(jian)供應鏈合(he)作伙伴——一家(jia)塑料零部件(jian)和電子元件(jian)制(zhi)造(zao)(zao)商——疑(yi)似遭到(dao)(dao)了(le)網絡(luo)攻(gong)擊。
關鍵發現(3)
如下圖所(suo)示的(de)(de)數據(ju)，能源行業受(shou)到的(de)(de)安全(quan)攻擊(ji)最為(wei)集中(39%)，受(shou)到攻擊(ji)的(de)(de)頻(pin)率(lv)是(shi)排行第二垂(chui)直行業的(de)(de)三倍多。正如所(suo)報道的(de)(de)那樣，基礎設施受(shou)到攻擊(ji)后(hou)可能造成(cheng)的(de)(de)巨大影(ying)響也為(wei)勒索軟件和(he)敵對勢力創造了更(geng)大的(de)(de)機會。然而，發電(dian)廠(chang)、變電(dian)站和(he)相關基礎設施也在(zai)逐步老化，其中許多甚至是(shi)在(zai)50年(nian)前建成(cheng)的(de)(de)，舊的(de)(de)基礎設施顯(xian)然在(zai)安全(quan)控制方(fang)面(mian)有所(suo)不足(zu)。
美國政(zheng)府已(yi)經認識到越來(lai)越多針對供水和廢水處理部門(men)的安全事件，并(bing)在相關(guan)部門(men)和其他關(guan)鍵(jian)基礎設施部門(men)實施了應急法規(gui)。
監管機構加(jia)強(qiang)報告要求是全(quan)球趨勢。政(zheng)府正在(zai)強(qiang)迫(po)公共和(he)(he)私營實體(ti)披露(lu)安全(quan)攻(gong)擊事件、數據被(bei)盜和(he)(he)贖金支付(fu)情況。歐盟的一(yi)項此類法規是《安全(quan)網絡(luo)和(he)(he)信息系統指令(ling)》。
關鍵發現(4)
超過80%的(de)安(an)全(quan)事件都(dou)始于IT系統(tong)(tong)的(de)威脅。這可以歸(gui)因于不斷增加的(de)互聯性;大(da)多數OT網絡通過IT網絡與外界通信(xin)。此外，攻(gong)擊(ji)者越來越多地利用面向互聯網的(de)系統(tong)(tong)，如人機(ji)界面(HMIs)和工程(cheng)工作站應用程(cheng)序，這些都(dou)是主(zhu)要的(de)攻(gong)擊(ji)目標。
這強調了在工業(ye)互(hu)聯(lian)不斷(duan)增(zeng)加的時代，建立(li)正(zheng)確的網絡(luo)架(jia)構以支持企業(ye)安(an)全的重(zhong)要性。如(ru)果不正(zheng)確地設置網絡(luo)、將OT網絡(luo)分隔(ge)并進(jin)行氣隙隔(ge)離，以及采用其他(ta)(ta)最佳(jia)實踐，如(ru)不斷(duan)進(jin)行員(yuan)工安(an)全意識培訓，告(gao)知(zhi)他(ta)(ta)們攻擊的潛(qian)在風(feng)險會增(zeng)加。
羅克韋爾自動化建議：
隨(sui)著安全意識的(de)進一步進化，對更(geng)強(qiang)大的(de)OT安全保(bao)護(hu)的(de)需求也(ye)在(zai)增加。僅僅在(zai)IT和(he)OT環(huan)境之間設置防(fang)火墻不再足以有(you)效地分隔(ge)IT和(he)OT網(wang)絡以防(fang)止攻擊(ji)。遠程訪問也(ye)是如(ru)此，攻擊(ji)者經常(chang)能(neng)夠輕易地規避標(biao)準做法，比(bi)如(ru)密碼。如(ru)果(guo)沒(mei)有(you)更(geng)強(qiang)大的(de)保(bao)護(hu)措(cuo)施，終端設備將有(you)可(ke)能(neng)被滲透。必須考慮(lv)額外的(de)對策，包括一個明(ming)確定(ding)義的(de)事件響應計劃，可(ke)以幫助您的(de)組(zu)織迅速應對和(he)從網(wang)絡安全事件中恢復元氣。
關鍵發現(5)
超(chao)過80%的(de)攻擊者來自(zi)組織(zhi)外(wai)部。
內(nei)部人(ren)員(yuan)(yuan)在超過三分之一的安全事件中扮演了(le)一個(ge)“間接(jie)”的角色(se)。內(nei)部人(ren)員(yuan)(yuan)的“間接(jie)”角色(se)主要是成(cheng)為釣魚攻擊(ji)的受害者。
在Cyentia的(de)(de)研究中，將近60%的(de)(de)攻(gong)擊者(zhe)來(lai)自與國家(jia)相關的(de)(de)團體。許多攻(gong)擊者(zhe)的(de)(de)身份和地理位置都被隱藏起(qi)來(lai)。威(wei)脅行(xing)為者(zhe)付(fu)出了巨(ju)大的(de)(de)努(nu)力來(lai)掩蓋(gai)這些信息。
報告顯示，發起安全(quan)攻擊(ji)最常見的動機是(shi)政治(zhi)或經濟驅動。
關鍵發現(6)
在本報告選取的(de)樣(yang)本中，歸因于(yu)國家相關團體的(de)攻(gong)擊(ji)比(bi)其他研究更高，幾乎占(zhan)所有(you)攻(gong)擊(ji)的(de)60%。在其他研究中——比(bi)如Cyentia研究院發現，只(zhi)有(you)略超過1%的(de)網(wang)絡攻(gong)擊(ji)事件(jian)可(ke)以歸因于(yu)國家行(xing)為。
然而(er)，令人驚(jing)訝(ya)的(de)是，考慮到國家(jia)相關團體通(tong)常想要影(ying)響(xiang)關鍵基(ji)礎設施、供應鏈、從關鍵系統中竊取(qu)數據，或者只是讓OT系統脫機，上述結論并非(fei)不合邏(luo)輯(ji)。
在2020年一次臭名昭著(zhu)的攻(gong)擊(ji)中(zhong)，俄羅斯政府支持(chi)的黑客利(li)用系(xi)(xi)統漏(lou)洞入侵了200多個系(xi)(xi)統。攻(gong)擊(ji)者(zhe)使用來(lai)自至少三個組(zu)織的憑(ping)證來(lai)執行(xing)攻(gong)擊(ji)，影響了多個美國(guo)政府系(xi)(xi)統、北約、英國(guo)和歐(ou)盟系(xi)(xi)統。結果，美國(guo)對俄羅斯實(shi)施了制裁。而滲透(tou)和泄(xie)露(lu)國(guo)際政府數據的影響需要數年時間才能完全消解。
關鍵發現(7)
釣魚在(zai)初(chu)始訪問(攻擊(ji))技(ji)術中一直(zhi)占據著最簡單、最成功(gong)的(de)地(di)位。釣魚已經發(fa)展到包括電(dian)子(zi)郵(you)件、在(zai)線、短信/文(wen)本消(xiao)息(xi)和(he)語音(yin)/電(dian)話等多個領(ling)域，使其(qi)成為網(wang)絡犯罪分子(zi)的(de)強(qiang)大武器。
外部遠(yuan)程服務在IT和(he)OT事件的初始訪問方(fang)法中排(pai)名(ming)第(di)二。雖然(ran)其意圖是為合(he)法用戶提供遠(yuan)程訪問權限，但自2020年以來，這已成為攻(gong)擊者的入口。
智(zhi)能(neng)(neng)目(mu)標(biao)：隨著攻擊者的(de)技術水平提升，網(wang)(wang)絡(luo)上(shang)的(de)任(ren)何“智(zhi)能(neng)(neng)”設(she)備(bei)都可(ke)能(neng)(neng)成為攻擊目(mu)標(biao)。使用實(shi)時網(wang)(wang)絡(luo)資產清(qing)單、全天候(hou)威脅(xie)檢測以及有關(guan)可(ke)移(yi)動媒體(ti)的(de)適當(dang)策略和(he)程序等最佳(jia)實(shi)踐，有助(zhu)于防止(zhi)IT攻擊轉向OT，從而有可(ke)能(neng)(neng)關(guan)閉組織(zhi)的(de)供應鏈、流程，甚(shen)至整(zheng)個(ge)物理工廠(chang)。
關鍵發現(8)
根(gen)據MITRE的說法(fa)，“ATT&CK for ICS側(ce)重于那些以攻(gong)(gong)擊(ji)工業(ye)控(kong)制(zhi)(zhi)系(xi)統(tong)為主(zhu)要目標，試(shi)圖(tu)干擾(rao)工業(ye)控(kong)制(zhi)(zhi)流程、破壞(huai)財產或通過攻(gong)(gong)擊(ji)工業(ye)控(kong)制(zhi)(zhi)系(xi)統(tong)來對(dui)人類造成臨時或永(yong)久傷害或死亡的對(dui)手。”
在IT環(huan)境中，攻(gong)擊通常從網(wang)絡發(fa)現開始，這用于幫助攻(gong)擊者(zhe)了(le)解資產的位置以及如何訪問它們。
在OT領域，攻(gong)(gong)擊者通(tong)常試圖直接(jie)影響工(gong)業(ye)流程。許多人試圖以獲取金錢為目的(de)，比如贖金，或(huo)(huo)是追求其他(ta)涉及經(jing)濟或(huo)(huo)軍事優勢的(de)結果。2022年，美國(guo)境內(nei)威(wei)脅行為者攻(gong)(gong)擊工(gong)業(ye)組織(zhi)的(de)數(shu)(shu)量增長了35%，導(dao)致同(tong)一時期內(nei)數(shu)(shu)據泄露事件增加了87%。
攻擊者使用橫(heng)向(xiang)工具傳輸，利(li)用遠程(cheng)服(fu)務和標準(zhun)應(ying)用層協議來(lai)操(cao)(cao)縱操(cao)(cao)作員(yuan)的(de)(de)視圖，并(bing)且在許多情況下(xia)接(jie)管(guan)特定的(de)(de)OT進程(cheng)。
關鍵發現(9)
數據(ju)泄(xie)露(lu)對企業的影響(xiang)最大。
當(dang)發生破壞業務的(de)攻(gong)擊時，影響是廣泛的(de)。即使沒有(you)wannacry式的(de)事件，組織也會受到(dao)負面影響。
讓我(wo)們(men)來看(kan)看(kan)這些(xie)ATT&CK分類的(de)影(ying)響——首先，我(wo)們(men)從MITRE企(qi)業(ye)框架進行(xing)比較(jiao)。在“通(tong)過C2通(tong)道(dao)外傳”的(de)攻擊中，攻擊者竊(qie)取數據，然后(hou)使用現有(you)的(de)命令和控制(zhi)通(tong)道(dao)將數據外傳，這是此類事(shi)件影(ying)響企(qi)業(ye)運營的(de)主(zhu)要方(fang)式。
另(ling)外兩種攻擊類型(xing)，“數(shu)據加密(mi)影(ying)響(xiang)”和“數(shu)據破(po)壞(huai)技術”，是網絡(luo)攻擊影(ying)響(xiang)企業(ye)的(de)(de)前(qian)三種方式。總的(de)(de)來說，下(xia)圖(tu)中(zhong)顯(xian)示的(de)(de)前(qian)三種MITRE攻擊和攻擊技術最常與勒(le)索軟件攻擊相關聯。
關鍵發現(10)
“操(cao)縱(zong)(zong)視圖(tu)”和(he)“操(cao)縱(zong)(zong)控制”是影響ICS環境的前兩(liang)種主(zhu)要方法。
進一步看，排名前(qian)三(san)的(de)ICS ATT&CK分類之一是“生(sheng)產(chan)力和(he)收入損(sun)失(shi)”。當我們將(jiang)這種方法與(yu)先前(qian)提到(dao)(dao)的(de)“操(cao)縱視(shi)圖(tu)”和(he)“操(cao)縱控(kong)制”的(de)攻擊類型(xing)聯(lian)系起(qi)來(lai)，可(ke)(ke)以(yi)清楚地看到(dao)(dao)在這些事件中(zhong)供(gong)應鏈可(ke)(ke)能(neng)會受到(dao)(dao)影響。如(ru)果惡意用(yong)戶操(cao)縱了(le)負責(ze)生(sheng)產(chan)的(de)OT/ICS系統的(de)視(shi)圖(tu)和(he)控(kong)制，他們還(huan)可(ke)(ke)能(neng)滲透并影響組織合作伙伴、供(gong)應商和(he)客(ke)戶的(de)整個(ge)產(chan)品供(gong)應鏈。
當我們回顧(gu)在非能源領域使用(yong)的技術時，供應鏈影響(xiang)是最常見的三個結(jie)果之一。這(zhe)種深遠(yuan)的影響(xiang)，遠(yuan)遠(yuan)超出(chu)了組(zu)織(zhi)(zhi)的邊界，因此對(dui)于(yu)各(ge)行各(ge)業的組(zu)織(zhi)(zhi)來(lai)說，保護自(zi)身(shen)免受網絡攻(gong)擊極其重(zhong)要。
寫在最后
隨著(zhu)越(yue)來越(yue)多(duo)的(de)系統、網絡和(he)設備(bei)連接到OT/ICS環境(jing)中，建(jian)立強大(da)的(de)現代OT/ICS安全(quan)(quan)計劃必(bi)須成為每個工業組織(zhi)維護安全(quan)(quan)、可靠運營(ying)和(he)持續可用(yong)性的(de)責(ze)任的(de)一部分。
報(bao)告的(de)最后，羅克韋爾(er)自動化也給出了一些加強OT安全的(de)建(jian)議：
專(zhuan)注于(yu)縱深防御，包括借鑒(jian)零信任(Zero Trust)和NIST網絡安全框架等。
通過更強(qiang)的密碼(ma)和多因素身(shen)份驗(yan)證來確保遠程訪(fang)問的安全性。
24/7 全天候(hou)監控威脅(xie)。
將(jiang)IT和OT網絡進行分(fen)隔，充(chong)分(fen)利用(yong)防火墻配置，以防止(zhi)IT攻(gong)擊滲(shen)透到OT環境(jing)中。
持續培訓內(nei)部員工，使其了(le)解最新(xin)的網絡釣魚詐騙，并學會如(ru)何(he)避免它(ta)們。
如需獲取報告全文，可關注公眾號【物聯網智(zhi)庫(ku)】，后(hou)臺回復關鍵(jian)字“羅克韋(wei)爾自動化報告”下載~
