2016年3例嚴重工控安全事故經(jīng)驗教訓總結(jié)
?? ??
如今，隨著物理控制和電子系統(tǒng)的高度集成，在嚴峻的安全威脅形勢下，工業(yè)控制系統(tǒng)(ICS)安全事關國家關鍵基礎設施安全和民生安全，必須大力加強安全管理。在此，我們就2016年三次主要ICS事件進行討論，綜合專家意見，總結(jié)經(jīng)驗。
1 Operation GHOUL(食尸鬼)行動
2016年8月，卡巴斯基安全實驗室揭露了針對工控行業(yè)的“食尸鬼”網(wǎng)絡攻擊活動，攻擊通過偽裝阿聯(lián)酋國家銀行電郵，使用魚叉式釣魚郵件，對中東和其它國家的工控組織發(fā)起了定向網(wǎng)絡入侵。攻擊中使用鍵盤記錄程序HawkEye收集受害系統(tǒng)相關信息。
卡巴斯基目前發(fā)現(xiàn)了全球130多個受攻擊目標，大多為石化、海洋、軍事、航空航天和重型機械等行業(yè)，涉及西班牙、巴基斯坦、阿聯(lián)酋、印度、中國、埃及等國。攻擊使用的魚叉式郵件主要發(fā)送對象為目標機構(gòu)的高級管理人員，如銷售和市場經(jīng)理、財務和行政經(jīng)理、采購主管、工程師等。
觀點：必須注重人員安全意識問題
??Lane Thames??, Tripwire漏洞安全研究組專家。他認為，從“食尸鬼”行動可以看出，在安全防范時，必須要注重人員安全意識問題。
雖然這只是眾多攻擊中的一個案例，但可以看出工控行業(yè)在網(wǎng)絡安全方面遠遠落后于攻擊者。安全永遠是一個棘手的問題，不能只單純依靠技術來解決，人員因素同樣重要。技術和人員因素必須綜合考慮。我個人認為，要解決好這個問題，還有很長的路要走，因為在我們的安全教育模式中就沒有關注到這個問題。 短期內(nèi)，工控組織機構(gòu)應該對員工進行持續(xù)的網(wǎng)絡安全和意識安全培訓。長遠來看，應該從早期教育入手，加強相關的網(wǎng)絡安全教育培訓，讓年輕一代在懂得使用信息技術的同時，也能意識到網(wǎng)絡安全的重要性。 |
2 BLACKENERGY(黑暗力量)攻擊導致的斷電事故
2015年12月23日，烏克蘭電力供應商Prykarpattyaoblenergo通報了持續(xù)三個小時的大面積停電事故，受影響地區(qū)涉及伊萬諾-弗蘭科夫斯克、卡盧什、多利納等多個烏克蘭城市。后經(jīng)調(diào)查發(fā)現(xiàn)，停電事故為網(wǎng)絡攻擊導致。攻擊者使用附帶有惡意代碼的Excel郵件附件滲透了某電網(wǎng)工作站人員系統(tǒng)，向電網(wǎng)網(wǎng)絡植入了BlackEnergy惡意軟件，獲得對發(fā)電系統(tǒng)的遠程接入和控制能力。
?? ??
?? 
BlackEnergy木馬病毒，2007年被Arbor網(wǎng)絡公司首次發(fā)現(xiàn)，之后，該惡意軟件功能經(jīng)歷了多種變化，從相對簡單的DDoS到擁有模塊化結(jié)構(gòu)的Rootkit技術，再到后來的具有插件支持、遠程代碼執(zhí)行、數(shù)據(jù)采集等功能，在其最新升級版本中，還支持代理服務器、UAC繞過技術等。BlackEnergy在早期主要被黑客用于發(fā)送垃圾郵件、網(wǎng)上銀行詐騙等。
觀點：必須制訂和遵守安全規(guī)則
Pavel Ore?ki，Tripwire網(wǎng)絡安全專家，他認為此次攻擊表明，惡意郵件和垃圾郵件對某些組織機構(gòu)來說仍然是一種嚴重的安全威脅。
“BlackEnergy對烏克蘭造成的斷電事故讓人震驚，這恰好能直觀地說明，一個員工就能導致一場災難性事件發(fā)生。要是這種事情發(fā)生在核電站，無法想像其后果該有多嚴重。 此次事件中，攻擊原因是由于電站某工作人員收到了一封附帶惡意宏代碼的excel郵件文檔，在打開文檔時啟用了宏功能(enable macros)，導致了攻擊載體植入。而現(xiàn)如今，我們常常會收到大量類似的垃圾郵件。 如果忽視安全準則，點擊了這樣的惡意文檔，可能會讓企業(yè)資源系統(tǒng)(ERP)遭到攻擊者破壞，最終使業(yè)務陷入癱瘓，延遲，甚至會導致重購、重建等嚴重問題。 |
3 伊朗黑客攻擊美國大壩事件
2016年3月24日，美國司法部公開指責7名伊朗黑客入侵了紐約鮑曼水壩(Bowman Avenue Dam)的一個小型防洪控制系統(tǒng)。幸運的是，經(jīng)執(zhí)法部門后期調(diào)查確認，黑客還沒有完全獲得整個大壩計算機系統(tǒng)的控制權，僅只是進行了一些信息獲取和攻擊嘗試。這些伊朗黑客可能為伊朗伊斯蘭革命衛(wèi)隊服務，他們還涉嫌攻擊了包括摩根大通、美國銀行、紐約證券交易所在內(nèi)的46家金融機構(gòu)。
?? ??
觀點：組織機構(gòu)必須采取循序漸進的多重防護策略，同時要具備網(wǎng)絡運行快速恢復能力
Keirsten Brager,CISSP, CASP, Tripwire駐某大型電力設施工程師。她認為，該事件可能比較復雜，但組織機構(gòu)內(nèi)部可以采取有效的保護措施。事件報道中主要突出了三方面問題：第三方機構(gòu)感染了惡意軟件、僵尸網(wǎng)絡發(fā)起了對網(wǎng)站的DDoS攻擊、遠程入侵漏洞。雖然沒有任何一種解決方案是完美的，但一些深度防御策略可以緩解類似威脅風險。
惡意軟件：防御，檢測，響應
一些惡意軟件可能會逃避網(wǎng)絡安全的實時監(jiān)測，所以，組織機構(gòu)內(nèi)部須經(jīng)常升級和評估終端檢測防護能力。 部署WEB應用防火墻(WAF)，自動阻斷已知的WEB應用攻擊。 |
DDoS攻擊：檢測、緩解
一些惡意軟件可能會逃避網(wǎng)絡安全的實時監(jiān)測，所以，組織機構(gòu)內(nèi)部須經(jīng)常升級和評估終端檢測防護能力。 部署WEB應用防火墻（WAF），自動阻斷已知的WEB應用攻擊。 |
安全認證：多因素認證
伊朗黑客對紐約鮑曼水壩進行攻擊入侵的電腦系統(tǒng)未設置多因素認證; 對摩根大通等銀行關鍵基礎設施的攻擊，主要原因在于相關系統(tǒng)缺乏雙因素認證; 博思艾倫公司最新的威脅簡報指出，造成烏克蘭斷電事故的主要原因在于，黑客遠程滲透入侵了缺乏多因素認證的電網(wǎng)系統(tǒng)。 |
這些攻擊事件表明，最好的安全防護策略之一是針對遠程訪問的多因素身份認證。針對惡意軟件、DDoS和遠程入侵等攻擊，組織機構(gòu)內(nèi)部可以建立彈性的安全防御策略。但即使是最全面的部署防御也不是最安全最完美的。因此，對組織機構(gòu)來說，具備持續(xù)監(jiān)測響應能力，快速從網(wǎng)絡攻擊事件中恢復和運行才是最主要的。
總結(jié)
為應對未知安全事故，工控組織機構(gòu)可以通過加強雇員安全培訓、制訂安全規(guī)則、采取多種安全防護措施，最大程度地實現(xiàn)全方位安全防護目的。
