作為工業(yè)網(wǎng)絡(luò)安全領(lǐng)域的一名工作者，我從未想過有一天網(wǎng)絡(luò)攻擊會(huì)成為電視節(jié)目黃金時(shí)段的主題。最近，美國《60分鐘》節(jié)目播了一段名為“Stuxnet:計(jì)算機(jī)蠕蟲病毒開啟了戰(zhàn)爭的新時(shí)代”的內(nèi)容。如果你還沒有看，我建議你一定要看一下。它很好地解釋了Stuxnet這一復(fù)雜惡意軟件，而且從直接參與解密和追蹤Stuxnet病毒的人那里了解這一病毒是很有趣的。
最近一些精心設(shè)計(jì)的ICS病毒和網(wǎng)絡(luò)攻擊，包括Night Dragon，Duqu以及 Nitro等都被發(fā)現(xiàn)了。它們主要是盜取知識(shí)產(chǎn)權(quán)，像油田投標(biāo)，SCADA操作數(shù)據(jù)，設(shè)計(jì)文檔以及能夠引發(fā)商業(yè)損失的其他信息。把注意力集中到工業(yè)數(shù)據(jù)泄漏是網(wǎng)絡(luò)攻擊的一種新形式，標(biāo)志著工業(yè)惡意軟件的發(fā)展進(jìn)入了一個(gè)新時(shí)代。
S4學(xué)術(shù)報(bào)告會(huì)上Ralph Langner演講時(shí)，Eric Byres正好在他后面。此圖來自“60分鐘”節(jié)目播出的有關(guān)Stuxnet的視頻.
病毒制造者為什么要攻擊ICS？
大多數(shù)人在思考蠕蟲病毒制造者和黑客們的動(dòng)機(jī)時(shí)，一般首先想到的是早期的網(wǎng)絡(luò)攻擊事件像Slammer蠕蟲以及Mafia-Boy攻擊等，其目的都是為了制造破壞。而Nitro和Duqu病毒則彰顯了另一個(gè)完全不同的攻擊目的-企圖微秒持久地盜取有價(jià)值的信息。然后利用這些信息來制造一些假冒產(chǎn)品或其它具有競爭力的產(chǎn)品，在石油和礦產(chǎn)勘探租約時(shí)出價(jià)高于競爭對(duì)手，或者協(xié)調(diào)營銷活動(dòng)與對(duì)手的新產(chǎn)品競爭。竊取信息對(duì)于商業(yè)間諜來說并不是什么新事物。它在網(wǎng)絡(luò)和網(wǎng)絡(luò)安全出現(xiàn)之前很早就已經(jīng)存在了。
如今， IP盜竊帶來的潛在利潤是十分巨大的。某消費(fèi)品公司估算從在運(yùn)營中的發(fā)生的IP竊取導(dǎo)致每年有大約十億美元的假冒商品在進(jìn)行生產(chǎn)和銷售。
這些蠕蟲病毒可能預(yù)示著隨后會(huì)對(duì)自動(dòng)化系統(tǒng)發(fā)起一些破壞性的攻擊，不過可以肯定的是Stuxnet病毒的設(shè)計(jì)者在真正制造蠕蟲病毒之前就從受害者那里收集到了詳細(xì)的過程信息。Duqu病毒是否預(yù)示著一個(gè)更大的破壞性攻擊? Symantec非常同意這一觀點(diǎn)。
值得注意的是Stuxnet的目標(biāo)是影響（濃縮鈾的）生產(chǎn)，而不是引發(fā)一場爆炸造成人員傷亡。因此，下一代惡意軟件的目標(biāo)很有可能是悄無聲息地停止世界上某個(gè)工廠或公共設(shè)施的生產(chǎn)。對(duì)于罪犯分子或者單一民族國家組織來說，影響競爭對(duì)手生產(chǎn)，賣空公司股份以及以制造破壞為由索取金錢都是有利可圖的行為.
為什么我們無法保障工廠遠(yuǎn)離Stuxnet變種病毒
許多安全專家建議唯一的解決方案就是回到自動(dòng)化系統(tǒng)完全隔離的時(shí)代。不幸的是，如今隔離控制系統(tǒng)已經(jīng)不再現(xiàn)實(shí)了。正如我在《ICS和SCADA的安全神話:使用網(wǎng)閘進(jìn)行安全防護(hù)》一文中解釋的那樣，現(xiàn)代工業(yè)及其依靠的技術(shù)都需要外界的電子信息才能運(yùn)營。切斷進(jìn)入工廠的一個(gè)數(shù)據(jù)來源，還有另外的（潛在的風(fēng)險(xiǎn)源）“sneaker-net”來代替它。
圖1: 進(jìn)入控制系統(tǒng)的可能途徑
目前，企業(yè)和政府通過禁令以及托管復(fù)雜繁重的作業(yè)流程來嘗試與這一趨勢(shì)抗衡。每次我們登機(jī)，排著長長的隊(duì)伍等待脫鞋安檢，然后洗發(fā)水被沒收時(shí)，我們都會(huì)看到這種策略的應(yīng)用。坦白說，對(duì)于乘坐飛機(jī)來講，我認(rèn)為這并不是有效的安全保障。
未來的道路
難道目前的情形就沒有希望了嗎?答案是否定的，但是ICS/ SCADA安全措施必須取得顯著的改進(jìn)。首先，企業(yè)需要接受一個(gè)觀點(diǎn)，那就是完全阻止控制系統(tǒng)感染也許是不可能的。對(duì)蠕蟲病毒制造者來說，有如此多可用的入侵途徑，因此在系統(tǒng)的整個(gè)生命周期中，一些資產(chǎn)很有可能會(huì)遭遇危害。所以，資產(chǎn)所有者和操作人員需要相應(yīng)地調(diào)整他們的安全方案，安全方案尤其需要做到以下幾點(diǎn):
·從風(fēng)險(xiǎn)評(píng)估開始，對(duì)構(gòu)成企業(yè)風(fēng)險(xiǎn)的威脅進(jìn)行量化并按影響程度排好序。
·考慮所有可能的感染途徑以及對(duì)應(yīng)的減緩策略，而不是只注意到某個(gè)單一的途徑，如USB密鑰，
·采取措施對(duì)控制網(wǎng)絡(luò)進(jìn)行分割來限制遭受危害后帶來的不良后果，
·采用適合ICS的入侵檢測(cè)技術(shù)來檢測(cè)攻擊，當(dāng)設(shè)備受到危害或者存在受到危害的風(fēng)險(xiǎn)時(shí)發(fā)出報(bào)警，
·目光看得長遠(yuǎn)一些，考慮超越傳統(tǒng)的網(wǎng)絡(luò)層防火墻，能對(duì)關(guān)鍵SCADA和ICS協(xié)議進(jìn)行深度包檢測(cè)的防火墻，
·重點(diǎn)保障處于最后防線的關(guān)鍵系統(tǒng)的安全，特別是安全集成系統(tǒng)(safety integrated system)，
·將安全評(píng)估和測(cè)試作為系統(tǒng)發(fā)展和周期維護(hù)過程的一部分。識(shí)別并改正潛在的缺陷，從而減少遭到成功攻擊的可能性.
·要求自動(dòng)化系統(tǒng)供應(yīng)商提供安全控制產(chǎn)品。
·努力工作，提高管理和技術(shù)團(tuán)隊(duì)的工業(yè)安全文化。
實(shí)施上述措施將會(huì)提高所有工業(yè)控制系統(tǒng)的“縱深防御”架構(gòu)。確實(shí)是企業(yè)當(dāng)務(wù)之急需要做的工作。否則的話，企業(yè)可能遭受網(wǎng)絡(luò)攻擊，從而作為頭條新聞出現(xiàn)在電視上。
聯(lián)系客服
