許多負責(zé)托管工業(yè)物聯(lián)網(wǎng)資產(chǎn)的運營技術(shù)（ OT ）環(huán)境都面臨一個最大的問題：不僅要應(yīng)對工業(yè)物聯(lián)網(wǎng)設(shè)備數(shù)量的不斷增長，還要支撐一些比較陳舊的工業(yè)控制系統(tǒng)（ ICS ），其中有些系統(tǒng)的運行歷史已長達 30 年之久。多年來，這其中的許多資產(chǎn)均已實現(xiàn)聯(lián)網(wǎng)，并很容易成為網(wǎng)絡(luò)惡意攻擊者的潛在目標。這些老舊的設(shè)備通常部署在只強調(diào)高可用性和性能的平面網(wǎng)絡(luò)上，而安全方面卻考慮的很少。
在這些系統(tǒng)中發(fā)現(xiàn)漏洞并不總是意味著我們可通過推出補丁予以修復(fù)。對大批工業(yè)物聯(lián)網(wǎng)資產(chǎn)進行修復(fù)，就意味著大批設(shè)備需要下線－而這對于嚴重依賴設(shè)備高可用性的關(guān)鍵基礎(chǔ)設(shè)施或生產(chǎn)線來說，絕對是不可取的。所以最終的結(jié)果就是，補丁程序往往被扔在一邊，而且隨著設(shè)備的老化，漏洞日積月累，由此給惡意攻擊者留下了可借以破壞工業(yè)物聯(lián)網(wǎng)資產(chǎn)的大量漏洞。
此外，思科 Talos 安全研究團隊（這個團隊的任務(wù)即在惡意攻擊者之前發(fā)現(xiàn)漏洞）的研究結(jié)果也表明，在工業(yè)物聯(lián)網(wǎng)設(shè)備中發(fā)現(xiàn)的漏洞數(shù)量正呈增長趨勢�；仡櫿麄� 2019 年，Talos 指出，他們?nèi)暌还舶l(fā)布了 87 篇有關(guān) IoT 和 ICS 設(shè)備漏洞的報告－這也是 2019 年迄今為止報告發(fā)布數(shù)最多的類別。事實上，Talos 針對該領(lǐng)域發(fā)布的報告數(shù)量比排在第二位、同時也一直被惡意攻擊者視為主要目標之一的桌面操作系統(tǒng)的報告數(shù)量高出了 23 個百分點。
在一個極速發(fā)展的領(lǐng)域中，出現(xiàn)這種情況并不值得驚訝。但是有一點很值得我們?nèi)ニ伎迹涸?OT 網(wǎng)絡(luò)中如何新增設(shè)備時，也同時考慮如何保護好 OT 網(wǎng)絡(luò)，以免這些設(shè)備帶來了新的挑戰(zhàn)導(dǎo)致攻擊面的擴大。
所以，如果您所在的企業(yè)正在使用工業(yè)物聯(lián)網(wǎng)資產(chǎn)，那么有哪些威脅值得您加倍留意？您又該如何對設(shè)備進行有效保護呢？
惡意攻擊者如何開始發(fā)起攻擊
好的方面是大多數(shù)工業(yè)物聯(lián)網(wǎng)資產(chǎn)并非直接暴露在互聯(lián)網(wǎng)空間，這意味著惡意攻擊者必須依靠其他方法才能訪問它們。事實上，在其他攻擊上使用的技術(shù)同樣也可被用于攻擊工業(yè)物聯(lián)網(wǎng)資產(chǎn)。
最常見的攻擊載體－電子郵件－在發(fā)動此類攻擊時自然也適用。惡意攻擊者會試著收集有工業(yè)物聯(lián)網(wǎng)資產(chǎn)系統(tǒng)訪問權(quán)限的工程師、工廠負責(zé)人以及開發(fā)人員的相關(guān)信息，并將他們設(shè)定為網(wǎng)絡(luò)釣魚郵件的攻擊目標。對這部分用戶中任何一位的電腦進行攻擊，就算是找到了攻擊工業(yè)物聯(lián)網(wǎng)資產(chǎn)的最直接途徑。
未打過補丁的系統(tǒng)、設(shè)置過于簡單或默認的設(shè)備密碼、以及網(wǎng)絡(luò)維護承包商過于寬松的遠程訪問策略，都為惡意攻擊者提供了入侵途徑。透過其中任意一個薄弱環(huán)節(jié)，惡意攻擊者都能找到若干種進行橫向移動以及獲取訪問權(quán)限的方法。
然而專門針對 IoT 設(shè)備發(fā)起的威脅在現(xiàn)實中并不常見。有些威脅已經(jīng)對普通的物聯(lián)網(wǎng)設(shè)備發(fā)起了大規(guī)模攻擊，例如 Mirai 和 VPNFilter 。還有一些威脅，比如 Stuxnet ，專門以 PLC 為攻擊目標。這類針對性較高的威脅當然值得關(guān)注。但是，工業(yè)物聯(lián)網(wǎng)設(shè)備被攻擊者入侵并修改配置的可能性，遠比被木馬或蠕蟲病毒感染的可能性要大得多。
如何讓企業(yè)運營陷入癱瘓？
假設(shè)惡意攻擊者的目標是使某個特定企業(yè)陷入癱瘓，他或她首先會制作一封包含惡意 PDF 文件且具有迷惑性的釣魚郵件，然后將其偽裝成求職申請發(fā)送給公司的人力資源部門。當負責(zé)求職申請的員工打開這個 PDF 文件時，這臺電腦就可能遭到入侵。
惡意攻擊者在被入侵的網(wǎng)絡(luò)中橫向移動，持續(xù)監(jiān)控網(wǎng)絡(luò)流量并掃描易受攻擊的系統(tǒng)，抓取用戶的登錄和認證信息。如果沒有啟用 MFA 多因素認證，攻擊者就會有機可乘。最后，攻擊者會想辦法控制域控服務(wù)器，并使用組策略對象（ GPO ）的方式向所有終端下發(fā)惡意軟件，從而在整個 IT 網(wǎng)絡(luò)中進行實施入侵。
由于在網(wǎng)絡(luò)分段上不夠完善，惡意攻擊者最終摸爬滾打地進入了目標企業(yè)的 OT 網(wǎng)絡(luò)。攻擊者進入 OT 網(wǎng)絡(luò)后會立即執(zhí)行偵察，以便對網(wǎng)絡(luò)中的工業(yè)物聯(lián)網(wǎng)資產(chǎn)進行標記。這樣一來，它們就有機會發(fā)現(xiàn)這些資產(chǎn)中存在漏洞的服務(wù)，然后對其進行攻擊，將其下線。
正常生產(chǎn)陷入停頓，企業(yè)經(jīng)營被迫中斷。
我們?nèi)绾畏烙?/strong>
那么，如何從整體上保護您的物聯(lián)網(wǎng)資產(chǎn)和整個 OT 網(wǎng)絡(luò)免受惡意攻擊，尤其是那些無法快速修復(fù)的高可用性資產(chǎn)？
網(wǎng)絡(luò)監(jiān)控通常是您可采取的最有效措施。但是一旦涉及工業(yè)物聯(lián)網(wǎng)資產(chǎn)，對網(wǎng)絡(luò)流量進行被動監(jiān)控就顯得尤為重要。主動式監(jiān)控的方法由于會產(chǎn)生流量，還要通過網(wǎng)絡(luò)專門發(fā)送這些流量才能對其進行觀察，因此會增大網(wǎng)絡(luò)負載，從而使設(shè)備性能受到影響，甚至發(fā)生故障。相比之下，被動式掃描則是通過流量監(jiān)聽并記錄流量的特征，而不會將新的流量引入 OT 環(huán)境。
及時盤點網(wǎng)絡(luò)上的資產(chǎn)對于保障 IT 和 OT 網(wǎng)絡(luò)的安全也非常重要。被動式監(jiān)控可幫助企業(yè)了解網(wǎng)絡(luò)上的資產(chǎn)，包括存在漏洞的設(shè)備以及非法設(shè)備。在對網(wǎng)絡(luò)設(shè)備進行綜合全面地清點之后，您就能針對不同的資產(chǎn)組創(chuàng)建相應(yīng)的策略。
此外，對網(wǎng)絡(luò)進行合理的分段也很重要。如果您還不清楚該如何對工業(yè)物聯(lián)網(wǎng)資產(chǎn)和 OT 網(wǎng)絡(luò)進行合理的分段，那么全面的資產(chǎn)盤點以及相應(yīng)的策略會為您提供很大的幫助。但是對于攻擊意圖明確的攻擊者來說，那么這項措施對于阻止它們突破不同網(wǎng)區(qū)間的邊界可能起不到什么作用，但是起碼可以減緩它們的進攻速度，從而為企業(yè)爭取更多的時間以采取應(yīng)對策略。
根據(jù) ISA 99 和 IEC 62443 的相關(guān)內(nèi)容，尋求您所在企業(yè)的可實施區(qū)域和渠道。
然而值得一提的是，許多工業(yè)物聯(lián)網(wǎng)資產(chǎn)都采用廣播和組播的網(wǎng)絡(luò)通信方式，參與此類通信的一臺或多臺設(shè)備會向網(wǎng)絡(luò)上的其他所有設(shè)備發(fā)送流量。如果采用過于激進的網(wǎng)絡(luò)分段策略，則可能會帶來麻煩。要解決這個問題，就必須對網(wǎng)絡(luò)上的資產(chǎn)進行全面的清點。此外，采用數(shù)據(jù)流鏡像的方法，能為我們了解哪些資產(chǎn)正在彼此通信，以及這些資產(chǎn)在整體上如何交互提供很大幫助。
為此我們強烈建議在發(fā)現(xiàn)漏洞后盡快對工業(yè)物聯(lián)網(wǎng)資產(chǎn)進行修復(fù)。但是，如果無法在脫機狀態(tài)下修復(fù)設(shè)備，就務(wù)必強化對設(shè)備的洞察。所以要明確哪些設(shè)備絕對需要修復(fù)，您必須搞清楚您的網(wǎng)絡(luò)資產(chǎn)狀況以及具體的網(wǎng)絡(luò)布局。此外，分析工業(yè)物聯(lián)網(wǎng)的冗余度也是有意義的，因為在維護過程中，您可參考這個數(shù)據(jù)關(guān)閉某臺設(shè)備，與此同時安排其他設(shè)備接管這臺設(shè)備的負載。
工業(yè)物聯(lián)網(wǎng)流量異常檢測也是一種非常有用的方法。這種方法能幫您找到不應(yīng)該發(fā)生的網(wǎng)絡(luò)異常行為，比如兩臺本不應(yīng)相互通信的工業(yè)物聯(lián)網(wǎng)設(shè)備、計劃外的固件更新、意外的配置更改等一系列異常情況。
最后介紹一種在 OT 環(huán)境中搜索和清除威脅的好方法－威脅追蹤。您首先主動出擊尋找網(wǎng)絡(luò)中的惡意行為者，然后制定相應(yīng)的策略，并自動執(zhí)行策略，經(jīng)過這一系列過程，您的網(wǎng)絡(luò)安全狀況將得到大幅改善。
思科安全防御之道
保護工業(yè)物聯(lián)網(wǎng)資產(chǎn)無疑是網(wǎng)絡(luò)安全領(lǐng)域比較棘手的任務(wù)之一。它不但涉及類型繁多的設(shè)備，且其中很多設(shè)備的運行方式極具個性化，因此無法有效應(yīng)對因多個安全流程和程序引起的中斷。
但幸運的是，思科推出的網(wǎng)絡(luò)安全系列產(chǎn)品，能夠為您有效解除這方面的憂患。
- 思科 Cyber Vision 方案旨在幫助 OT 團隊和網(wǎng)絡(luò)管理員全面洞察其網(wǎng)絡(luò)中的工業(yè)資產(chǎn)和應(yīng)用流程。這套方案內(nèi)嵌在思科工業(yè)網(wǎng)絡(luò)設(shè)備中，通過解碼各種工業(yè)協(xié)議對您的 OT 網(wǎng)絡(luò)進行映射，并檢測異常流程或不應(yīng)該發(fā)生的資產(chǎn)修改行為。
- 思科身份服務(wù)引擎（ ISE ）借助基于思科 Cyber Vision 構(gòu)建起的資產(chǎn)清單來創(chuàng)建動態(tài)安全組，并通過 TrustSec 自動執(zhí)行分段策略。
- ISA 3000 是一款適用于惡劣環(huán)境的加固耐用型工業(yè)防火墻設(shè)備，可幫您執(zhí)行區(qū)域網(wǎng)路分段、檢測入侵行為并有效阻斷網(wǎng)絡(luò)威脅。
- 思科安全分析解決方案 Stealthwatch 通過整合行為建模、機器學(xué)習(xí)和全網(wǎng)威脅情報來檢測各種高級威脅。與思科 Cyber Vision 集成后，原本通過 Stealthwatch 獲得的全網(wǎng)可視性得以在工業(yè)物聯(lián)網(wǎng)基礎(chǔ)設(shè)施中廣泛延伸。
- 思科終端安全方案（ AMP for Endpoints ）專門用于保障 OT 環(huán)境中每個工程設(shè)計工作站的安全。
- 思科 Duo 多因素身份驗證功能可防止惡意攻擊者通過橫向移動獲取網(wǎng)絡(luò)上的系統(tǒng)訪問權(quán)限。
- 思科電子郵件安全解決方案可檢測專門針對工業(yè)物聯(lián)網(wǎng)設(shè)備操作者等角色發(fā)起的定向網(wǎng)絡(luò)釣魚電子郵件，從而防止惡意有效載荷訪問預(yù)期目標。
最后，思科通過一套分層防護方案為您提供最出色的安全體驗。例如，通過思科 Cyber Vision 自動洞察所有工業(yè)設(shè)備，確保操作流程安全可靠。在與思科網(wǎng)絡(luò)安全系列產(chǎn)品集成后，它就能為 Stealthwatch 系統(tǒng)提供用于深入分析工業(yè)設(shè)備的上下文信息，同時梳理網(wǎng)絡(luò)流量的通信模式，以便借助基于 ISE 的細粒度的分段功能來實現(xiàn)策略的定義和執(zhí)行。
掃描二維碼 免費測試網(wǎng)絡(luò)可視性，幫助您了解企業(yè)網(wǎng)絡(luò)中存在哪些風(fēng)險。
