許多負(fù)責(zé)托管工業(yè)物聯(lián)網(wǎng)資產(chǎn)的運(yùn)營(yíng)技術(shù)（ OT ）環(huán)境都面臨一個(gè)最大的問題：不僅要應(yīng)對(duì)工業(yè)物聯(lián)網(wǎng)設(shè)備數(shù)量的不斷增長(zhǎng)，還要支撐一些比較陳舊的工業(yè)控制系統(tǒng)（ ICS ），其中有些系統(tǒng)的運(yùn)行歷史已長(zhǎng)達(dá) 30 年之久。多年來，這其中的許多資產(chǎn)均已實(shí)現(xiàn)聯(lián)網(wǎng)，并很容易成為網(wǎng)絡(luò)惡意攻擊者的潛在目標(biāo)。這些老舊的設(shè)備通常部署在只強(qiáng)調(diào)高可用性和性能的平面網(wǎng)絡(luò)上，而安全方面卻考慮的很少。
在這些系統(tǒng)中發(fā)現(xiàn)漏洞并不總是意味著我們可通過推出補(bǔ)丁予以修復(fù)。對(duì)大批工業(yè)物聯(lián)網(wǎng)資產(chǎn)進(jìn)行修復(fù)，就意味著大批設(shè)備需要下線－而這對(duì)于嚴(yán)重依賴設(shè)備高可用性的關(guān)鍵基礎(chǔ)設(shè)施或生產(chǎn)線來說，絕對(duì)是不可取的。所以最終的結(jié)果就是，補(bǔ)丁程序往往被扔在一邊，而且隨著設(shè)備的老化，漏洞日積月累，由此給惡意攻擊者留下了可借以破壞工業(yè)物聯(lián)網(wǎng)資產(chǎn)的大量漏洞。
此外，思科 Talos 安全研究團(tuán)隊(duì)（這個(gè)團(tuán)隊(duì)的任務(wù)即在惡意攻擊者之前發(fā)現(xiàn)漏洞）的研究結(jié)果也表明，在工業(yè)物聯(lián)網(wǎng)設(shè)備中發(fā)現(xiàn)的漏洞數(shù)量正呈增長(zhǎng)趨勢(shì)�；仡櫿麄�(gè) 2019 年，Talos 指出，他們?nèi)暌还舶l(fā)布了 87 篇有關(guān) IoT 和 ICS 設(shè)備漏洞的報(bào)告－這也是 2019 年迄今為止報(bào)告發(fā)布數(shù)最多的類別。事實(shí)上，Talos 針對(duì)該領(lǐng)域發(fā)布的報(bào)告數(shù)量比排在第二位、同時(shí)也一直被惡意攻擊者視為主要目標(biāo)之一的桌面操作系統(tǒng)的報(bào)告數(shù)量高出了 23 個(gè)百分點(diǎn)。
在一個(gè)極速發(fā)展的領(lǐng)域中，出現(xiàn)這種情況并不值得驚訝。但是有一點(diǎn)很值得我們?nèi)ニ伎迹涸?OT 網(wǎng)絡(luò)中如何新增設(shè)備時(shí)，也同時(shí)考慮如何保護(hù)好 OT 網(wǎng)絡(luò)，以免這些設(shè)備帶來了新的挑戰(zhàn)導(dǎo)致攻擊面的擴(kuò)大。
所以，如果您所在的企業(yè)正在使用工業(yè)物聯(lián)網(wǎng)資產(chǎn)，那么有哪些威脅值得您加倍留意？您又該如何對(duì)設(shè)備進(jìn)行有效保護(hù)呢？
惡意攻擊者如何開始發(fā)起攻擊
好的方面是大多數(shù)工業(yè)物聯(lián)網(wǎng)資產(chǎn)并非直接暴露在互聯(lián)網(wǎng)空間，這意味著惡意攻擊者必須依靠其他方法才能訪問它們。事實(shí)上，在其他攻擊上使用的技術(shù)同樣也可被用于攻擊工業(yè)物聯(lián)網(wǎng)資產(chǎn)。
最常見的攻擊載體－電子郵件－在發(fā)動(dòng)此類攻擊時(shí)自然也適用。惡意攻擊者會(huì)試著收集有工業(yè)物聯(lián)網(wǎng)資產(chǎn)系統(tǒng)訪問權(quán)限的工程師、工廠負(fù)責(zé)人以及開發(fā)人員的相關(guān)信息，并將他們?cè)O(shè)定為網(wǎng)絡(luò)釣魚郵件的攻擊目標(biāo)。對(duì)這部分用戶中任何一位的電腦進(jìn)行攻擊，就算是找到了攻擊工業(yè)物聯(lián)網(wǎng)資產(chǎn)的最直接途徑。
未打過補(bǔ)丁的系統(tǒng)、設(shè)置過于簡(jiǎn)單或默認(rèn)的設(shè)備密碼、以及網(wǎng)絡(luò)維護(hù)承包商過于寬松的遠(yuǎn)程訪問策略，都為惡意攻擊者提供了入侵途徑。透過其中任意一個(gè)薄弱環(huán)節(jié)，惡意攻擊者都能找到若干種進(jìn)行橫向移動(dòng)以及獲取訪問權(quán)限的方法。
然而專門針對(duì) IoT 設(shè)備發(fā)起的威脅在現(xiàn)實(shí)中并不常見。有些威脅已經(jīng)對(duì)普通的物聯(lián)網(wǎng)設(shè)備發(fā)起了大規(guī)模攻擊，例如 Mirai 和 VPNFilter 。還有一些威脅，比如 Stuxnet ，專門以 PLC 為攻擊目標(biāo)。這類針對(duì)性較高的威脅當(dāng)然值得關(guān)注。但是，工業(yè)物聯(lián)網(wǎng)設(shè)備被攻擊者入侵并修改配置的可能性，遠(yuǎn)比被木馬或蠕蟲病毒感染的可能性要大得多。
如何讓企業(yè)運(yùn)營(yíng)陷入癱瘓？
假設(shè)惡意攻擊者的目標(biāo)是使某個(gè)特定企業(yè)陷入癱瘓，他或她首先會(huì)制作一封包含惡意 PDF 文件且具有迷惑性的釣魚郵件，然后將其偽裝成求職申請(qǐng)發(fā)送給公司的人力資源部門。當(dāng)負(fù)責(zé)求職申請(qǐng)的員工打開這個(gè) PDF 文件時(shí)，這臺(tái)電腦就可能遭到入侵。
惡意攻擊者在被入侵的網(wǎng)絡(luò)中橫向移動(dòng)，持續(xù)監(jiān)控網(wǎng)絡(luò)流量并掃描易受攻擊的系統(tǒng)，抓取用戶的登錄和認(rèn)證信息。如果沒有啟用 MFA 多因素認(rèn)證，攻擊者就會(huì)有機(jī)可乘。最后，攻擊者會(huì)想辦法控制域控服務(wù)器，并使用組策略對(duì)象（ GPO ）的方式向所有終端下發(fā)惡意軟件，從而在整個(gè) IT 網(wǎng)絡(luò)中進(jìn)行實(shí)施入侵。
由于在網(wǎng)絡(luò)分段上不夠完善，惡意攻擊者最終摸爬滾打地進(jìn)入了目標(biāo)企業(yè)的 OT 網(wǎng)絡(luò)。攻擊者進(jìn)入 OT 網(wǎng)絡(luò)后會(huì)立即執(zhí)行偵察，以便對(duì)網(wǎng)絡(luò)中的工業(yè)物聯(lián)網(wǎng)資產(chǎn)進(jìn)行標(biāo)記。這樣一來，它們就有機(jī)會(huì)發(fā)現(xiàn)這些資產(chǎn)中存在漏洞的服務(wù)，然后對(duì)其進(jìn)行攻擊，將其下線。
正常生產(chǎn)陷入停頓，企業(yè)經(jīng)營(yíng)被迫中斷。
我們?nèi)绾畏烙?/strong>
那么，如何從整體上保護(hù)您的物聯(lián)網(wǎng)資產(chǎn)和整個(gè) OT 網(wǎng)絡(luò)免受惡意攻擊，尤其是那些無法快速修復(fù)的高可用性資產(chǎn)？
網(wǎng)絡(luò)監(jiān)控通常是您可采取的最有效措施。但是一旦涉及工業(yè)物聯(lián)網(wǎng)資產(chǎn)，對(duì)網(wǎng)絡(luò)流量進(jìn)行被動(dòng)監(jiān)控就顯得尤為重要。主動(dòng)式監(jiān)控的方法由于會(huì)產(chǎn)生流量，還要通過網(wǎng)絡(luò)專門發(fā)送這些流量才能對(duì)其進(jìn)行觀察，因此會(huì)增大網(wǎng)絡(luò)負(fù)載，從而使設(shè)備性能受到影響，甚至發(fā)生故障。相比之下，被動(dòng)式掃描則是通過流量監(jiān)聽并記錄流量的特征，而不會(huì)將新的流量引入 OT 環(huán)境。
及時(shí)盤點(diǎn)網(wǎng)絡(luò)上的資產(chǎn)對(duì)于保障 IT 和 OT 網(wǎng)絡(luò)的安全也非常重要。被動(dòng)式監(jiān)控可幫助企業(yè)了解網(wǎng)絡(luò)上的資產(chǎn)，包括存在漏洞的設(shè)備以及非法設(shè)備。在對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行綜合全面地清點(diǎn)之后，您就能針對(duì)不同的資產(chǎn)組創(chuàng)建相應(yīng)的策略。
此外，對(duì)網(wǎng)絡(luò)進(jìn)行合理的分段也很重要。如果您還不清楚該如何對(duì)工業(yè)物聯(lián)網(wǎng)資產(chǎn)和 OT 網(wǎng)絡(luò)進(jìn)行合理的分段，那么全面的資產(chǎn)盤點(diǎn)以及相應(yīng)的策略會(huì)為您提供很大的幫助。但是對(duì)于攻擊意圖明確的攻擊者來說，那么這項(xiàng)措施對(duì)于阻止它們突破不同網(wǎng)區(qū)間的邊界可能起不到什么作用，但是起碼可以減緩它們的進(jìn)攻速度，從而為企業(yè)爭(zhēng)取更多的時(shí)間以采取應(yīng)對(duì)策略。
根據(jù) ISA 99 和 IEC 62443 的相關(guān)內(nèi)容，尋求您所在企業(yè)的可實(shí)施區(qū)域和渠道。
然而值得一提的是，許多工業(yè)物聯(lián)網(wǎng)資產(chǎn)都采用廣播和組播的網(wǎng)絡(luò)通信方式，參與此類通信的一臺(tái)或多臺(tái)設(shè)備會(huì)向網(wǎng)絡(luò)上的其他所有設(shè)備發(fā)送流量。如果采用過于激進(jìn)的網(wǎng)絡(luò)分段策略，則可能會(huì)帶來麻煩。要解決這個(gè)問題，就必須對(duì)網(wǎng)絡(luò)上的資產(chǎn)進(jìn)行全面的清點(diǎn)。此外，采用數(shù)據(jù)流鏡像的方法，能為我們了解哪些資產(chǎn)正在彼此通信，以及這些資產(chǎn)在整體上如何交互提供很大幫助。
為此我們強(qiáng)烈建議在發(fā)現(xiàn)漏洞后盡快對(duì)工業(yè)物聯(lián)網(wǎng)資產(chǎn)進(jìn)行修復(fù)。但是，如果無法在脫機(jī)狀態(tài)下修復(fù)設(shè)備，就務(wù)必強(qiáng)化對(duì)設(shè)備的洞察。所以要明確哪些設(shè)備絕對(duì)需要修復(fù)，您必須搞清楚您的網(wǎng)絡(luò)資產(chǎn)狀況以及具體的網(wǎng)絡(luò)布局。此外，分析工業(yè)物聯(lián)網(wǎng)的冗余度也是有意義的，因?yàn)樵诰S護(hù)過程中，您可參考這個(gè)數(shù)據(jù)關(guān)閉某臺(tái)設(shè)備，與此同時(shí)安排其他設(shè)備接管這臺(tái)設(shè)備的負(fù)載。
工業(yè)物聯(lián)網(wǎng)流量異常檢測(cè)也是一種非常有用的方法。這種方法能幫您找到不應(yīng)該發(fā)生的網(wǎng)絡(luò)異常行為，比如兩臺(tái)本不應(yīng)相互通信的工業(yè)物聯(lián)網(wǎng)設(shè)備、計(jì)劃外的固件更新、意外的配置更改等一系列異常情況。
最后介紹一種在 OT 環(huán)境中搜索和清除威脅的好方法－威脅追蹤。您首先主動(dòng)出擊尋找網(wǎng)絡(luò)中的惡意行為者，然后制定相應(yīng)的策略，并自動(dòng)執(zhí)行策略，經(jīng)過這一系列過程，您的網(wǎng)絡(luò)安全狀況將得到大幅改善。
思科安全防御之道
保護(hù)工業(yè)物聯(lián)網(wǎng)資產(chǎn)無疑是網(wǎng)絡(luò)安全領(lǐng)域比較棘手的任務(wù)之一。它不但涉及類型繁多的設(shè)備，且其中很多設(shè)備的運(yùn)行方式極具個(gè)性化，因此無法有效應(yīng)對(duì)因多個(gè)安全流程和程序引起的中斷。
但幸運(yùn)的是，思科推出的網(wǎng)絡(luò)安全系列產(chǎn)品，能夠?yàn)槟行Ы獬@方面的憂患。
- 思科 Cyber Vision 方案旨在幫助 OT 團(tuán)隊(duì)和網(wǎng)絡(luò)管理員全面洞察其網(wǎng)絡(luò)中的工業(yè)資產(chǎn)和應(yīng)用流程。這套方案內(nèi)嵌在思科工業(yè)網(wǎng)絡(luò)設(shè)備中，通過解碼各種工業(yè)協(xié)議對(duì)您的 OT 網(wǎng)絡(luò)進(jìn)行映射，并檢測(cè)異常流程或不應(yīng)該發(fā)生的資產(chǎn)修改行為。
- 思科身份服務(wù)引擎（ ISE ）借助基于思科 Cyber Vision 構(gòu)建起的資產(chǎn)清單來創(chuàng)建動(dòng)態(tài)安全組，并通過 TrustSec 自動(dòng)執(zhí)行分段策略。
- ISA 3000 是一款適用于惡劣環(huán)境的加固耐用型工業(yè)防火墻設(shè)備，可幫您執(zhí)行區(qū)域網(wǎng)路分段、檢測(cè)入侵行為并有效阻斷網(wǎng)絡(luò)威脅。
- 思科安全分析解決方案 Stealthwatch 通過整合行為建模、機(jī)器學(xué)習(xí)和全網(wǎng)威脅情報(bào)來檢測(cè)各種高級(jí)威脅。與思科 Cyber Vision 集成后，原本通過 Stealthwatch 獲得的全網(wǎng)可視性得以在工業(yè)物聯(lián)網(wǎng)基礎(chǔ)設(shè)施中廣泛延伸。
- 思科終端安全方案（ AMP for Endpoints ）專門用于保障 OT 環(huán)境中每個(gè)工程設(shè)計(jì)工作站的安全。
- 思科 Duo 多因素身份驗(yàn)證功能可防止惡意攻擊者通過橫向移動(dòng)獲取網(wǎng)絡(luò)上的系統(tǒng)訪問權(quán)限。
- 思科電子郵件安全解決方案可檢測(cè)專門針對(duì)工業(yè)物聯(lián)網(wǎng)設(shè)備操作者等角色發(fā)起的定向網(wǎng)絡(luò)釣魚電子郵件，從而防止惡意有效載荷訪問預(yù)期目標(biāo)。
最后，思科通過一套分層防護(hù)方案為您提供最出色的安全體驗(yàn)。例如，通過思科 Cyber Vision 自動(dòng)洞察所有工業(yè)設(shè)備，確保操作流程安全可靠。在與思科網(wǎng)絡(luò)安全系列產(chǎn)品集成后，它就能為 Stealthwatch 系統(tǒng)提供用于深入分析工業(yè)設(shè)備的上下文信息，同時(shí)梳理網(wǎng)絡(luò)流量的通信模式，以便借助基于 ISE 的細(xì)粒度的分段功能來實(shí)現(xiàn)策略的定義和執(zhí)行。
掃描二維碼 免費(fèi)測(cè)試網(wǎng)絡(luò)可視性，幫助您了解企業(yè)網(wǎng)絡(luò)中存在哪些風(fēng)險(xiǎn)。
