11類(lèi)漏洞易讓工業(yè)控制系統(tǒng)ICS受威脅

工業(yè)控制系統(tǒng)(ICS)隨處可見(jiàn)，從制造商品的自動(dòng)化機(jī)器到辦公樓的冷卻系統(tǒng)。

以前，ICS基于特定的操作系統(tǒng)和特定的通信協(xié)議是標(biāo)準(zhǔn)的。然而，近年來(lái)，通過(guò)實(shí)現(xiàn)基于通用OS和標(biāo)準(zhǔn)通信協(xié)議的網(wǎng)絡(luò)連接，降低了系統(tǒng)開(kāi)發(fā)成本并提高了生產(chǎn)率。

為了在當(dāng)今以市場(chǎng)為導(dǎo)向的經(jīng)濟(jì)中競(jìng)爭(zhēng)，企業(yè)和組織選擇能夠自動(dòng)管理流程的高效控制系統(tǒng)。ICS可以在制造，加工設(shè)施甚至發(fā)電廠中找到，它們?cè)诮?jīng)營(yíng)國(guó)家中發(fā)揮著至關(guān)重要的作用。另一方面，ICS引入的效率提高也帶來(lái)了新的安全問(wèn)題。實(shí)際上，威脅行動(dòng)者在攻擊這些公司時(shí)會(huì)獲得很多好處。對(duì)ICS的成功攻擊對(duì)任何組織都有嚴(yán)重影響。其中一些影響包括操作停工，設(shè)備損壞，經(jīng)濟(jì)損失，知識(shí)產(chǎn)權(quán)盜竊以及嚴(yán)重的健康和安全風(fēng)險(xiǎn)。

攻擊ICS的動(dòng)機(jī)

在選擇企業(yè)目標(biāo)時(shí)，威脅行為者有不同的動(dòng)機(jī)。在進(jìn)行攻擊時(shí)，這些威脅行為者往往受到經(jīng)濟(jì)利益，政治原因甚至軍事目標(biāo)的驅(qū)使。攻擊可能是由國(guó)家贊助的，也可能來(lái)自競(jìng)爭(zhēng)對(duì)手，有惡意目標(biāo)的內(nèi)部人員，甚至是黑客攻擊者。

最早發(fā)生ICS襲擊事件的一個(gè)例子發(fā)生在2005年，當(dāng)時(shí)有13家DaimlerChrystler美國(guó)汽車(chē)制造廠離線了將近一個(gè)小時(shí)。主要原因是利用Windows即插即用服務(wù)的Zotob PnP蠕蟲(chóng)感染?？偼C(jī)時(shí)間導(dǎo)致生產(chǎn)積壓，使公司損失數(shù)千美元。雖然攻擊與個(gè)人或網(wǎng)絡(luò)犯罪集團(tuán)無(wú)關(guān)，但網(wǎng)絡(luò)犯罪分子也可能被競(jìng)爭(zhēng)對(duì)手雇用，他們可以從攻擊造成的損害中獲益匪淺。

ICS是如何受到攻擊的?

攻擊ICS的第一階段通常涉及偵察，允許攻擊者調(diào)查環(huán)境。下一步將采用不同的策略，幫助攻擊者在目標(biāo)網(wǎng)絡(luò)中獲得立足點(diǎn)。此時(shí)的策略和策略與目標(biāo)攻擊高度相似。要發(fā)布惡意軟件，攻擊者將利用ICS的所有可能漏洞和特定配置。一旦識(shí)別并利用這些漏洞，攻擊的影響可能會(huì)導(dǎo)致某些操作和功能的更改或?qū)ΜF(xiàn)有控件配置的調(diào)整。

對(duì)ICS發(fā)起攻擊的復(fù)雜性取決于不同的因素，從系統(tǒng)的安全性到預(yù)期的影響(例如，破壞目標(biāo)ICS的拒絕服務(wù)攻擊比操縱服務(wù)和隱藏其立即更容易實(shí)現(xiàn)來(lái)自控制器的效果)。雖然攻擊者已經(jīng)有很多方法來(lái)破壞ICS，但隨著越來(lái)越多的設(shè)備被引入每個(gè)ICS環(huán)境，新戰(zhàn)術(shù)將繼續(xù)出現(xiàn)。

在ICS中利用了哪些漏洞?

由于所有ICS都涉及信息技術(shù)(IT)和運(yùn)營(yíng)技術(shù)(OT)，因此按類(lèi)別對(duì)漏洞進(jìn)行分組有助于確定和實(shí)施緩解策略。美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院(NIST)的ICS安全指南將這些類(lèi)別劃分為與政策和程序相關(guān)的問(wèn)題，以及各種平臺(tái)(例如，硬件，操作系統(tǒng)和ICS應(yīng)用程序)和網(wǎng)絡(luò)中發(fā)現(xiàn)的漏洞。

1. 政策和程序漏洞

?安全架構(gòu)和設(shè)計(jì)不足;

?對(duì)ICS環(huán)境進(jìn)行很少或沒(méi)有安全審核;

?ICS的安全策略不足;

?缺乏ICS特定的配置變更管理;

?沒(méi)有正式的ICS安全培訓(xùn)和意識(shí)計(jì)劃;

?缺乏安全執(zhí)法的行政機(jī)制;

?沒(méi)有ICS特定的操作連續(xù)性計(jì)劃;

?沒(méi)有為ICS環(huán)境的安全策略開(kāi)發(fā)特定或記錄的安全程序。

2. 平臺(tái)配置漏洞

?數(shù)據(jù)在便攜式設(shè)備上不受保護(hù);

?使用默認(rèn)系統(tǒng)配置;

?不存儲(chǔ)或備份關(guān)鍵配置;

?不維護(hù)操作系統(tǒng)和應(yīng)用程序安全補(bǔ)丁;

?操作系統(tǒng)和應(yīng)用程序安全補(bǔ)丁無(wú)需詳盡的測(cè)試即可實(shí)現(xiàn);

?諸如ICS用戶(hù)之類(lèi)的訪問(wèn)控制策略不足，具有太多特權(quán);

?在發(fā)現(xiàn)安全漏洞之后，可能無(wú)法開(kāi)發(fā)操作系統(tǒng)和供應(yīng)商軟件補(bǔ)丁;

?缺少足夠的密碼策略，意外密碼泄露，未使用密碼，使用默認(rèn)密碼或使用弱密碼。

3. 平臺(tái)硬件漏洞

?安全性變化測(cè)試不充分;

?關(guān)鍵組件缺乏冗余;

?ICS組件的不安全遠(yuǎn)程訪問(wèn);

?發(fā)電機(jī)或不間斷電源(UPS)缺乏備用電源;

?雙網(wǎng)絡(luò)接口卡連接網(wǎng)絡(luò);

?對(duì)關(guān)鍵系統(tǒng)的物理保護(hù)不足;

?未連接的資產(chǎn)連接到ICS網(wǎng)絡(luò);

?未經(jīng)授權(quán)的人員可以實(shí)際訪問(wèn)設(shè)備;

?環(huán)境控制的喪失可能導(dǎo)致硬件過(guò)熱;

?射頻和電磁脈沖(EMP)會(huì)導(dǎo)致電路中斷和損壞。

4. 平臺(tái)軟件漏洞

?針對(duì)ICS軟件的拒絕服務(wù)(DoS)攻擊;

未安裝入侵檢測(cè)/防御軟件;

?默認(rèn)情況下不啟用已安裝的安全功能;

?ICS軟件可能容易受到緩沖區(qū)溢出攻擊;

?錯(cuò)誤處理未定義，定義不明確或“非法”的網(wǎng)絡(luò)數(shù)據(jù)包;

?操作系統(tǒng)中未禁用不必要的服務(wù)，可能會(huì)被利用;

?沒(méi)有適當(dāng)?shù)娜罩竟芾?，這使得難以跟蹤安全事件;

OLE for Process Control(OPC)通信協(xié)議容易?受到遠(yuǎn)程過(guò)程調(diào)用(RPC)和分布式組件對(duì)象模型(DCOM)漏洞的影響;

?使用不安全的行業(yè)范圍的ICS協(xié)議，如DNP3，Modbus和Profibus;

?配置和編程軟件的身份驗(yàn)證和訪問(wèn)控制不充分;

?許多ICS通信協(xié)議通過(guò)傳輸介質(zhì)以明文形式傳輸消息;

?ICS軟件和協(xié)議的技術(shù)文檔很容易獲得，可以幫助攻擊者規(guī)劃成功的攻擊;

?不會(huì)實(shí)時(shí)監(jiān)控日志和端點(diǎn)傳感器，也不會(huì)快速識(shí)別安全漏洞。

5. 惡意軟件防護(hù)漏洞

?未安裝防病毒軟件;

?防病毒檢測(cè)簽名未更新;

?安裝在ICS環(huán)境中的防病毒軟件沒(méi)有經(jīng)過(guò)詳盡的測(cè)試。

6. 網(wǎng)絡(luò)配置漏洞

?弱網(wǎng)絡(luò)安全架構(gòu);

?密碼在傳輸過(guò)程中未加密;

?網(wǎng)絡(luò)設(shè)備配置未正確存儲(chǔ)或備份;

?密碼不會(huì)在網(wǎng)絡(luò)設(shè)備上定期更改;

?不使用數(shù)據(jù)流控制，例如訪問(wèn)控制列表(ACL);

?配置不當(dāng)?shù)木W(wǎng)絡(luò)安全設(shè)備，例如防火墻，路由器等的規(guī)則配置不正確。

7. 網(wǎng)絡(luò)硬件漏洞

?關(guān)鍵網(wǎng)絡(luò)缺乏冗余;

?網(wǎng)絡(luò)設(shè)備的物理保護(hù)不足;

?環(huán)境控制的喪失可能導(dǎo)致硬件過(guò)熱;

?非關(guān)鍵人員可以使用設(shè)備和網(wǎng)絡(luò)連接;

?不安全的USB和PS / 2端口，可用于連接未經(jīng)授權(quán)的拇指驅(qū)動(dòng)器，鍵盤(pán)記錄器等。

8. 網(wǎng)絡(luò)周邊漏洞

?沒(méi)有定義網(wǎng)絡(luò)安全邊界;

?防火墻不存在或配置不正確;

?用于非控制流量的ICS控制網(wǎng)絡(luò)，例如網(wǎng)頁(yè)瀏覽和電子郵件;

?控制網(wǎng)絡(luò)服務(wù)不在ICS控制網(wǎng)絡(luò)內(nèi)，例如DNS，DHCP由控制網(wǎng)絡(luò)使用，但通常安裝在公司網(wǎng)絡(luò)中。

9. 溝通漏洞

?未識(shí)別關(guān)鍵監(jiān)視和控制路徑;

用戶(hù)，數(shù)據(jù)或設(shè)備的身份驗(yàn)證不合標(biāo)準(zhǔn)或不存在;

?許多ICS通信協(xié)議都沒(méi)有內(nèi)置的完整性檢查，因此攻擊者可以輕松地操縱未檢測(cè)到的通信;

?標(biāo)準(zhǔn)的，記錄良好的協(xié)議用于純文本，例如嗅探Telnet，可以使用協(xié)議分析器分析和解碼FTP流量。

10. 無(wú)線連接漏洞

?客戶(hù)端和接入點(diǎn)之間的身份驗(yàn)證不足;

?客戶(hù)端和接入點(diǎn)之間的數(shù)據(jù)保護(hù)不足。

11. 網(wǎng)絡(luò)監(jiān)控和日志記錄漏洞

?沒(méi)有ICS網(wǎng)絡(luò)的安全監(jiān)控;

?防火墻和路由器日志不足會(huì)使跟蹤安全事件變得困難;

?每個(gè)ICS環(huán)境都可能包含弱點(diǎn)，具體取決于其配置和目的。ICS環(huán)境的大小也可能是一個(gè)因素環(huán)境越大，發(fā)生錯(cuò)誤的可能性就越大。ICS環(huán)境用現(xiàn)代系統(tǒng)取代原有系統(tǒng)，并引入了工業(yè)物聯(lián)網(wǎng)(IIoT)設(shè)備等工具，也可能使威脅行為者有更多的弱點(diǎn)。

工業(yè)物聯(lián)網(wǎng)及其如何影響ICS

隨著ICS的不斷現(xiàn)代化，越來(lái)越多的物聯(lián)網(wǎng)(IoT)設(shè)備被引入以提高生產(chǎn)力并增強(qiáng)系統(tǒng)控制。使用相關(guān)的物聯(lián)網(wǎng)設(shè)備; 過(guò)程控制，數(shù)據(jù)監(jiān)控以及與其他系統(tǒng)的通信變得更加簡(jiǎn)單。但是，當(dāng)智能設(shè)備用于此類(lèi)任務(wù)時(shí)，存在風(fēng)險(xiǎn)。

IIoT包含機(jī)器學(xué)習(xí)和大數(shù)據(jù)分析。它還利用傳感器數(shù)據(jù)，機(jī)器對(duì)機(jī)器(M2M)通信以及以前存在于工業(yè)環(huán)境中的自動(dòng)化技術(shù)。IIoT可以執(zhí)行數(shù)據(jù)聚合，預(yù)測(cè)分析，規(guī)范分析，數(shù)據(jù)增值，甚至創(chuàng)建新業(yè)務(wù)模型等任務(wù)。

類(lèi)似于智能手機(jī)的引入之后是與平臺(tái)相關(guān)的漏洞和惡意軟件的崛起，集成人類(lèi)物聯(lián)網(wǎng)(HIoT)和IIoT設(shè)備可能會(huì)產(chǎn)生類(lèi)似的問(wèn)題。實(shí)際上，在ICS環(huán)境中管理物聯(lián)網(wǎng)設(shè)備可能會(huì)給安全性帶來(lái)重大挑戰(zhàn)，因?yàn)槊總€(gè)設(shè)備都必須得到適當(dāng)?shù)姆烙捅Ｗo(hù)。如果不采用足夠的安全措施，整個(gè)ICS生態(tài)系統(tǒng)將極易受到攻擊。

使用IIoT還需要克服一些獨(dú)特的挑戰(zhàn)：

技術(shù)碎片使網(wǎng)絡(luò)流程復(fù)雜化。當(dāng)使用不同獨(dú)立操作系統(tǒng)的設(shè)備時(shí)，可能難以解決變化的修補(bǔ)調(diào)度。這方面的一個(gè)例子是ICS使用傳統(tǒng)系統(tǒng)和新軟件的混合。兩者不僅不能正常通信，威脅行為者也可能使用未打補(bǔ)丁的遺留系統(tǒng)中發(fā)現(xiàn)的漏洞進(jìn)入ICS網(wǎng)絡(luò)。

機(jī)器對(duì)機(jī)器(M2M)和物聯(lián)網(wǎng)應(yīng)用程序開(kāi)發(fā)很困難。與大規(guī)模生產(chǎn)的制造業(yè)HIoT不同，為ICS開(kāi)發(fā)M2M和物聯(lián)網(wǎng)應(yīng)用需要在硬件和軟件開(kāi)發(fā)，IT和通信方面擁有特殊技能。

傳統(tǒng)系統(tǒng)和傳統(tǒng)通信協(xié)議仍廣泛用于工業(yè)環(huán)境。遺留系統(tǒng)的一個(gè)例子是Windows 3.1，它仍然運(yùn)行程序DECOR。此外還有傳統(tǒng)的通信協(xié)議，包括PROFIBUS，目前仍在廣泛使用。這些系統(tǒng)必須通過(guò)基于標(biāo)準(zhǔn)的協(xié)議網(wǎng)關(guān)進(jìn)行集成，以便更輕松地發(fā)送和接收數(shù)據(jù)和命令。

雖然黑客入侵物聯(lián)網(wǎng)設(shè)備可能具有挑戰(zhàn)性，但有針對(duì)性的攻擊背后的威脅行為者既知識(shí)淵博又持久，這可能導(dǎo)致目標(biāo)網(wǎng)絡(luò)中的成功攻擊。除此之外，設(shè)備丟失也是數(shù)據(jù)泄露的主要原因。一個(gè)放錯(cuò)位置的設(shè)備可能會(huì)使網(wǎng)絡(luò)犯罪分子獲得穿透目標(biāo)網(wǎng)絡(luò)的必要訪問(wèn)權(quán)限。

網(wǎng)絡(luò)攻擊后對(duì)ICS組件的潛在影響

網(wǎng)絡(luò)攻擊對(duì)使用ICS的行業(yè)的影響取決于目標(biāo)的操作性質(zhì)或網(wǎng)絡(luò)犯罪分子追捕攻擊的動(dòng)機(jī)。下面列出的每種效果都可能被目標(biāo)公司的內(nèi)部客戶(hù)和外部客戶(hù)感受到。

系統(tǒng)，操作系統(tǒng)或應(yīng)用程序配置中的更改。當(dāng)系統(tǒng)被篡改時(shí)，可能會(huì)產(chǎn)生不必要或不可預(yù)測(cè)的結(jié)果。可以這樣做以掩蓋惡意軟件行為或任何惡意活動(dòng)。這也可能影響威脅行為者目標(biāo)的輸出。

更改可編程邏輯控制器(PLC)，遠(yuǎn)程終端單元(RTU)和其他控制器。與系統(tǒng)更改類(lèi)似，控制器模塊和其他設(shè)備的更改可能導(dǎo)致設(shè)備或設(shè)施損壞。這也可能導(dǎo)致過(guò)程故障并禁用對(duì)過(guò)程的控制。

向運(yùn)營(yíng)部門(mén)報(bào)告的錯(cuò)誤信息。此方案可能導(dǎo)致由于錯(cuò)誤信息而實(shí)施不需要的或不必要的操作。這樣的事件可能導(dǎo)致可編程邏輯的改變。這還可以幫助隱藏惡意活動(dòng)，包括事件本身或注入的代碼。

篡改安全控制。防止故障保險(xiǎn)柜的正常運(yùn)行以及其他保護(hù)措施使員工，甚至外部客戶(hù)的生命處于危險(xiǎn)之中。