2020年，一(yi)個(ge)名(ming)為耶(ye)路撒冷電子(zi)軍(Jerusalem Electronic Army)的黑客組織在社(she)交媒體上(shang)發(fa)布(bu)了幾(ji)條(tiao)帖(tie)子(zi)，聲(sheng)稱(cheng)已(yi)經破壞了屬于(yu)以色列公(gong)共(gong)供水(shui)基礎設施的控(kong)制(zhi)(zhi)系統。以色列國家網(wang)絡局(INCD)發(fa)出安全警報(bao)，要(yao)求(qiu)能源(yuan)和(he)供水(shui)部門立即更改所(suo)有聯(lian)(lian)網(wang)連接(jie)控(kong)制(zhi)(zhi)系統的密碼，減少聯(lian)(lian)網(wang)連接(jie)，并確保(bao)安裝最新(xin)版本的控(kong)制(zhi)(zhi)器。
后(hou)續的媒體報道披露了(le)該次安全攻(gong)擊(ji)事件的一(yi)(yi)些細節(jie)，值得關注(zhu)的是黑客(ke)將SCADA(數據(ju)采集(ji)與監(jian)控)系(xi)統(tong)作為(wei)攻(gong)擊(ji)目標——工業(ye)從業(ye)者(zhe)都(dou)知(zhi)道，數據(ju)采集(ji)和監(jian)測控制是工業(ye)過(guo)程(cheng)中極為(wei)重(zhong)要(yao)(yao)的環節(jie)，它能幫助管理者(zhe)實(shi)時發現生產問題并調整生產計劃。可以說，作為(wei)工業(ye)控制系(xi)統(tong)重(zhong)要(yao)(yao)組成部分(fen)的SCADA的安全至(zhi)關重(zhong)要(yao)(yao)，一(yi)(yi)旦遭遇黑客(ke)攻(gong)擊(ji)，輕則某個(ge)工業(ye)領域受(shou)到重(zhong)創，重(zhong)則整個(ge)國家關鍵基礎設施癱瘓(huan)。
好消(xiao)息是(shi)，該組織最終沒有擾亂或(huo)破壞以色列的供(gong)水，而是(shi)在展示自己的能力(li)，試圖發表政(zheng)治或(huo)文化(hua)聲(sheng)明。不過，類似的事(shi)件已經(jing)在全球范圍為工業運(yun)營的網絡安全敲(qiao)響(xiang)了(le)警鐘。
上(shang)個月，羅克韋爾自動化(Rockwell Automation)發(fa)布了(le)名(ming)為《工業運營中100多起(qi)(qi)網(wang)絡(luo)安全事(shi)件(jian)解剖》的調研報告，該份報告分析(xi)了(le)122起(qi)(qi)網(wang)絡(luo)安全事(shi)件(jian)，其中包括對OT/ICS(工業控制系(xi)統(tong))的直接(jie)威脅(xie)，每起(qi)(qi)安全事(shi)件(jian)都收集和審查(cha)了(le)近(jin)100個數據點。
根(gen)據對這(zhe)些安全事(shi)件的分析，關鍵發現(xian)如下：
在過(guo)去短(duan)短(duan)幾年(nian)(nian)的(de)時(shi)間內(nei)， OT/ICS 安全事(shi)件已超過(guo) 1991 年(nian)(nian)至 2000 年(nian)(nian)期間報告的(de)總數。
能(neng)源行業受(shou)到的安全攻擊(ji)最為(wei)集中(39%)，受(shou)到攻擊(ji)的頻率是排(pai)行第二垂(chui)直(zhi)行業的三倍多(duo)。
網絡釣魚仍然是最為流行(xing)的攻(gong)擊(ji)技術(shu) (34%)，這突顯了安全(quan)策(ce)略(例如氣隙、網絡分(fen)段、隔離、零信任和安全(quan)意識培訓)對于降低風險的重要(yao)性。
在超過一(yi)半(ban)的 OT/ICS 安(an)全事件中，SCADA系統(tong)都被作為(wei)攻擊目標 (53%)，PLC則是第(di)二常(chang)見的攻擊目標 (22%)。
超過 80% 的威(wei)脅者來自外部組織，但(dan)在大約(yue)三分之一的安全(quan)事件(jian)中，內部人員無意中為威(wei)脅者打開(kai)了大門。
在報告調研(yan)的(de) OT/ICS 安(an)全事件中，60% 導致運營中斷，40% 導致未經授權的(de)訪問或數據泄露。然而，安(an)全攻(gong)擊(ji)的(de)損害超出了(le)受影響(xiang)的(de)企業范圍(wei)，因為(wei)更廣泛的(de)供應鏈(lian)在 65% 的(de)情況(kuang)下也(ye)會受到影響(xiang)。
研究表(biao)明，在大多數OT事件中，攻擊者首先進入IT網絡(luo)。所(suo)以加強(qiang) IT 系統的安全對于(yu)打擊關鍵基(ji)礎設施(shi)和制造(zao)設施(shi)的網絡(luo)攻擊至(zhi)關重要。
本(ben)文將對報告的精(jing)華內(nei)容(rong)進行編譯：
關鍵發現(1)
在(zai)最近短短幾年的時(shi)間里，OT/ICS 安(an)全事件已超(chao)過 1991 年至 2000 年期間報告(gao)的總數(shu)。
在2022年，報告顯示(shi)，針對(dui)Modbus/TCP端口(kou)502(一種(zhong)常用的工業(ye)協議)的對(dui)抗性偵察增(zeng)加了2000%，這可能(neng)允許(xu)黑客控制(zhi)物理設備并破壞OT操作(zuo)。
安全攻擊(ji)事件的數據和(he)頻(pin)率增(zeng)加，不僅是因為確實有(you)更(geng)多(duo)目(mu)標(biao)遭受其害，還因為有(you)更(geng)好的檢(jian)測工具和(he)能力來(lai)幫(bang)助識別安全攻擊(ji)事件。
下圖具體(ti)顯示了(le)該份(fen)報告分(fen)析(xi)的(de)122起網絡安全事件的(de)調查(cha)結果(guo)。
羅克韋(wei)爾(er)自(zi)動化發(fa)現：
美國(guo)和整個歐(ou)洲(zhou)對OT網絡(luo)安全(quan)的(de)(de)監管正越來越強，尤其是(shi)對涉及關鍵基(ji)礎設(she)施領域(yu)的(de)(de)行業(ye)。更強的(de)(de)監管意味著工業(ye)組織應該(gai)評估他們目(mu)前的(de)(de)網絡(luo)安全(quan)保護措施是(shi)否存(cun)在潛(qian)在漏洞，增加更多(duo)的(de)(de)主動安全(quan)措施以(yi)更好(hao)地保護他們的(de)(de)工業(ye)運營。
關鍵發現(2)
在本報告分(fen)析的(de)(de)所(suo)有安全事件中，60%的(de)(de)OT/ICS事故會導致運營(ying)中斷。
40%的OT/ICS事故會(hui)導(dao)致未(wei)經(jing)授權的訪問或數據(ju)暴露(lu)。
在超過一半的(de)OT/ICS安(an)全(quan)事件中(zhong)，SCADA系統都是攻(gong)擊(ji)目標(biao)，其次的(de)目標(biao)是PLC。中(zhong)鋼協和美(mei)國(guo)(guo)國(guo)(guo)家安(an)全(quan)局在一份OT網(wang)絡安(an)全(quan)咨詢(xun)報(bao)告中(zhong)對PLC的(de)攻(gong)擊(ji)提出了警告。
更廣泛的(de)供應(ying)鏈在大(da)約65%的(de)時(shi)間內也會受到影(ying)響(xiang)。一(yi)家(jia)日本汽車制(zhi)造(zao)商暫停了14家(jia)工廠的(de)28條生產線的(de)運營，至少持續了一(yi)天。此前(qian)，該公司的(de)一(yi)個關鍵供應(ying)鏈合作伙伴——一(yi)家(jia)塑料零部(bu)件(jian)和電子元(yuan)件(jian)制(zhi)造(zao)商——疑似(si)遭(zao)到了網絡攻擊。
關鍵發現(3)
如下(xia)圖所示(shi)的(de)(de)數據，能(neng)源行業受到的(de)(de)安全攻(gong)擊(ji)最為集中(39%)，受到攻(gong)擊(ji)的(de)(de)頻率是排行第二垂直行業的(de)(de)三倍(bei)多(duo)。正如所報道的(de)(de)那樣，基(ji)(ji)礎設(she)施(shi)(shi)受到攻(gong)擊(ji)后(hou)可能(neng)造成的(de)(de)巨大影響也為勒索軟(ruan)件和敵(di)對勢力創造了更大的(de)(de)機會。然(ran)而，發(fa)電廠、變電站和相關基(ji)(ji)礎設(she)施(shi)(shi)也在逐步(bu)老化，其中許多(duo)甚至是在50年(nian)前建(jian)成的(de)(de)，舊的(de)(de)基(ji)(ji)礎設(she)施(shi)(shi)顯然(ran)在安全控制方面有所不(bu)足(zu)。
美國政府已經(jing)認識到越來越多(duo)針對供水(shui)和廢水(shui)處(chu)理部(bu)門的(de)安全(quan)事(shi)件，并在相關部(bu)門和其他關鍵基礎(chu)設施部(bu)門實(shi)施了應(ying)急法規。
監管機構(gou)加強(qiang)報告要求是全球趨勢。政府正(zheng)在強(qiang)迫(po)公共(gong)和(he)私(si)營實體披(pi)露安(an)全攻擊事(shi)件、數據被盜和(he)贖金支付情況。歐盟的(de)一項此類法規(gui)是《安(an)全網絡和(he)信息系統指令(ling)》。
關鍵發現(4)
超過80%的安全事件都(dou)始于IT系統(tong)的威脅(xie)。這可以歸因于不斷增加的互聯(lian)性;大多(duo)數OT網絡通過IT網絡與外界通信。此外，攻擊者越來越多(duo)地(di)利用面向(xiang)互聯(lian)網的系統(tong)，如人機(ji)界面(HMIs)和工程工作站應用程序(xu)，這些都(dou)是主要的攻擊目標。
這強調了在工業(ye)互(hu)聯(lian)不斷(duan)增(zeng)加(jia)(jia)的時代(dai)，建立正(zheng)確(que)的網(wang)絡(luo)架(jia)構以支持企業(ye)安全的重(zhong)要(yao)性(xing)。如果不正(zheng)確(que)地設置(zhi)網(wang)絡(luo)、將OT網(wang)絡(luo)分隔(ge)并進行氣隙隔(ge)離(li)，以及采用(yong)其他最(zui)佳(jia)實踐，如不斷(duan)進行員工安全意識(shi)培(pei)訓，告知(zhi)他們攻(gong)擊的潛在風險會增(zeng)加(jia)(jia)。
羅(luo)克韋(wei)爾自動化建議：
隨著安全意識的(de)(de)進一步進化，對更(geng)強(qiang)大的(de)(de)OT安全保(bao)護的(de)(de)需求也(ye)在增加。僅僅在IT和(he)(he)OT環(huan)境之間設置防(fang)火墻(qiang)不再足(zu)以(yi)有(you)效地分隔(ge)IT和(he)(he)OT網絡以(yi)防(fang)止攻(gong)擊。遠程(cheng)訪問(wen)也(ye)是(shi)如(ru)(ru)此，攻(gong)擊者經常能夠輕(qing)易地規避標準做法，比如(ru)(ru)密(mi)碼。如(ru)(ru)果沒有(you)更(geng)強(qiang)大的(de)(de)保(bao)護措施，終(zhong)端設備將(jiang)有(you)可(ke)能被滲(shen)透。必須(xu)考慮額外的(de)(de)對策，包括一個明確定義的(de)(de)事(shi)件(jian)響應(ying)計(ji)劃，可(ke)以(yi)幫助您的(de)(de)組織迅速應(ying)對和(he)(he)從網絡安全事(shi)件(jian)中恢復元(yuan)氣。
關鍵發現(5)
超過80%的攻(gong)擊者(zhe)來自組織外(wai)部。
內(nei)部(bu)人(ren)員在超過三(san)分之一的(de)(de)(de)安(an)全事件中(zhong)扮演(yan)了一個“間(jian)接”的(de)(de)(de)角(jiao)色(se)。內(nei)部(bu)人(ren)員的(de)(de)(de)“間(jian)接”角(jiao)色(se)主(zhu)要是成為釣魚攻擊的(de)(de)(de)受害(hai)者(zhe)。
在(zai)Cyentia的研究中，將(jiang)近60%的攻擊者來自與國家相關的團體。許多攻擊者的身份和地理(li)位置都被隱(yin)藏起來。威脅行為者付出了巨大(da)的努力來掩蓋這些信(xin)息(xi)。
報告顯示(shi)，發起安全攻(gong)擊最常見的動(dong)(dong)機是政治或經濟驅動(dong)(dong)。
關鍵發現(6)
在本報告選取的(de)樣本中(zhong)，歸因(yin)(yin)于國(guo)家(jia)相關團體的(de)攻擊(ji)比(bi)(bi)其他研究(jiu)(jiu)更高(gao)，幾乎占所(suo)有(you)攻擊(ji)的(de)60%。在其他研究(jiu)(jiu)中(zhong)——比(bi)(bi)如Cyentia研究(jiu)(jiu)院發(fa)現，只有(you)略超過1%的(de)網絡攻擊(ji)事件可以歸因(yin)(yin)于國(guo)家(jia)行(xing)為。
然而，令人驚訝(ya)的(de)是(shi)，考(kao)慮到國家相關(guan)團體(ti)通常想要(yao)影響(xiang)關(guan)鍵(jian)基(ji)礎設施、供應鏈、從(cong)關(guan)鍵(jian)系統(tong)中竊(qie)取數據，或者(zhe)只是(shi)讓OT系統(tong)脫機，上述結論并非不(bu)合邏輯。
在2020年一次(ci)臭(chou)名(ming)昭著的(de)攻擊(ji)(ji)中，俄(e)羅斯政府支持的(de)黑客(ke)利(li)用(yong)系(xi)統漏洞(dong)入侵(qin)了(le)200多個(ge)系(xi)統。攻擊(ji)(ji)者使(shi)用(yong)來自至(zhi)少三個(ge)組織的(de)憑證來執行攻擊(ji)(ji)，影(ying)響(xiang)了(le)多個(ge)美國政府系(xi)統、北約(yue)、英(ying)國和歐(ou)盟系(xi)統。結果(guo)，美國對俄(e)羅斯實(shi)施了(le)制裁。而滲透和泄露國際政府數據的(de)影(ying)響(xiang)需要數年時(shi)間才能完(wan)全消解。
關鍵發現(7)
釣魚在初始訪問(wen)(攻擊(ji))技術中一直占(zhan)據著最(zui)簡單、最(zui)成功的(de)地位。釣魚已經發(fa)展到包括(kuo)電子(zi)郵件、在線(xian)、短(duan)信/文本消(xiao)息和語音/電話等(deng)多個(ge)領(ling)域，使其成為網(wang)絡犯罪分子(zi)的(de)強(qiang)大(da)武器(qi)。
外部遠程(cheng)服務(wu)在IT和OT事件(jian)的(de)初始(shi)訪問方法中排名第二。雖然(ran)其意圖(tu)是為合法用戶提供遠程(cheng)訪問權限，但自2020年(nian)以(yi)來，這已成為攻擊者(zhe)的(de)入口。
智(zhi)能(neng)目標：隨著攻擊者的技術水平提升，網(wang)絡上的任(ren)何“智(zhi)能(neng)”設(she)備都可能(neng)成為(wei)攻擊目標。使用實時網(wang)絡資(zi)產清單、全天(tian)候威(wei)脅檢測以及有關(guan)(guan)可移動媒(mei)體的適當(dang)策(ce)略(lve)和(he)程序等最佳實踐，有助于防止IT攻擊轉向OT，從而(er)有可能(neng)關(guan)(guan)閉組織的供(gong)應鏈、流程，甚至整個物理工(gong)廠(chang)。
關鍵發現(8)
根據(ju)MITRE的說法，“ATT&CK for ICS側重(zhong)于那些以(yi)攻擊工(gong)(gong)業控制系(xi)統為主要目標，試圖干擾工(gong)(gong)業控制流程、破壞財(cai)產(chan)或通過(guo)攻擊工(gong)(gong)業控制系(xi)統來對(dui)人類造成(cheng)臨時或永久傷害或死亡(wang)的對(dui)手。”
在IT環(huan)境(jing)中，攻(gong)擊(ji)通常從(cong)網絡發現(xian)開始，這用于幫助攻(gong)擊(ji)者(zhe)了解資產的位置以及如何訪問它們。
在OT領域，攻擊(ji)者通(tong)常試圖直接影響工業流(liu)程。許多(duo)人(ren)試圖以獲(huo)取(qu)金錢(qian)為目的，比如(ru)贖(shu)金，或(huo)是追(zhui)求(qiu)其(qi)他涉及(ji)經(jing)濟或(huo)軍事優(you)勢的結果。2022年，美國境內威(wei)脅(xie)行為者攻擊(ji)工業組織的數(shu)量增長了(le)35%，導致(zhi)同一(yi)時期內數(shu)據泄露事件增加了(le)87%。
攻擊(ji)者(zhe)使(shi)用(yong)橫向工具傳輸，利用(yong)遠程服務和標準應用(yong)層協議(yi)來操縱操作(zuo)員的視圖(tu)，并且在許多(duo)情(qing)況下(xia)接管特(te)定的OT進(jin)程。
關鍵發現(9)
數據泄(xie)露對企業(ye)的影(ying)響最(zui)大。
當發生(sheng)破壞(huai)業務的攻擊時，影(ying)響是(shi)廣泛的。即(ji)使沒(mei)有(you)wannacry式的事件，組織也(ye)會受(shou)到負面影(ying)響。
讓我們來看(kan)看(kan)這(zhe)些(xie)ATT&CK分(fen)類(lei)的(de)影響——首先，我們從MITRE企業框架(jia)進行(xing)比(bi)較。在“通過(guo)C2通道外傳”的(de)攻擊中，攻擊者竊取數據，然后使用現有的(de)命(ming)令和控制通道將數據外傳，這(zhe)是此(ci)類(lei)事件(jian)影響企業運(yun)營的(de)主要方式。
另外兩種攻(gong)擊類型，“數據加密影(ying)響”和“數據破壞技術”，是網絡(luo)攻(gong)擊影(ying)響企業的(de)前三種方式(shi)。總的(de)來說，下圖中顯示的(de)前三種MITRE攻(gong)擊和攻(gong)擊技術最常與勒索(suo)軟(ruan)件攻(gong)擊相關(guan)聯。
關鍵發現(10)
“操縱視圖”和“操縱控(kong)制”是影響ICS環境的前兩種(zhong)主要方法。
進一(yi)步(bu)看(kan)，排名前三的ICS ATT&CK分類(lei)之一(yi)是“生(sheng)產力和收入損失”。當我們將這(zhe)種方法與先前提到(dao)的“操(cao)縱視圖”和“操(cao)縱控(kong)制”的攻擊類(lei)型聯系起來，可以清楚地(di)看(kan)到(dao)在這(zhe)些事件中供應鏈可能會受(shou)到(dao)影響。如果(guo)惡意用戶(hu)(hu)操(cao)縱了負責生(sheng)產的OT/ICS系統的視圖和控(kong)制，他們還(huan)可能滲透并(bing)影響組織合作伙(huo)伴、供應商和客戶(hu)(hu)的整個(ge)產品供應鏈。
當我(wo)們回顧(gu)在非能源領域使(shi)用的技術時(shi)，供應(ying)鏈影(ying)響是(shi)最常見(jian)的三個結果之一(yi)。這種深遠(yuan)的影(ying)響，遠(yuan)遠(yuan)超出了組織的邊界，因此對(dui)于各(ge)行(xing)各(ge)業的組織來說(shuo)，保護自身免受網絡攻擊極(ji)其重要。
寫在最后
隨著越(yue)來越(yue)多的(de)系統、網絡和設(she)備連接到OT/ICS環(huan)境中，建(jian)立強大(da)的(de)現代OT/ICS安(an)(an)全(quan)計劃必須成為每個工(gong)業(ye)組織維護安(an)(an)全(quan)、可(ke)靠運營和持續可(ke)用(yong)性的(de)責任的(de)一部分。
報告(gao)的(de)最后，羅克韋爾自動(dong)化也給出(chu)了(le)一(yi)些加(jia)強OT安全的(de)建議(yi)：
專(zhuan)注于縱深防御，包括借鑒零(ling)信任(ren)(Zero Trust)和NIST網絡(luo)安全框架等。
通過更強的密(mi)碼和多(duo)因素身份驗證來確(que)保遠程(cheng)訪問的安全性。
24/7 全天候監控威脅。
將IT和OT網絡進行分隔，充分利用防火墻(qiang)配置，以防止IT攻擊滲透到OT環境中(zhong)。
持(chi)續培訓內部員工，使其(qi)了(le)解(jie)最(zui)新的(de)網絡釣(diao)魚詐騙，并(bing)學會如何(he)避免它們。
如需獲取報告全文，可關注公眾號【物聯網智庫】，后臺回復關鍵字(zi)“羅克韋(wei)爾(er)自動化(hua)報(bao)告”下載~
