Advantech
AutoTronics2020
 

建立工控資安流程並取得國際驗證 將威脅風險降至最低

安華聯網科技研發長劉建宗。

最近短短幾個月內,國內接連發生多起重大資安事件,包括五月期間大型石化公司和半導體封測廠遭勒索軟體感染,六月期間自動化設備廠遭勒索軟體感染、PCB大廠遭病毒感染,到了七月,穿戴裝置大廠亦遭勒索軟體攻擊。同時有愈來愈多針對工控設備設計的惡意程式被揭露,例如EKANS(Snake)針對GE的Historian,LogicLocker針對PLC,Triton針對Schneider的TriconexSIS控制器等。

安華聯網科技研發長劉建宗提醒製造業,不能輕忽資安威脅趨勢。這些浮上檯面的事件,其實只是冰山一角,智慧製造資安問題之多已超乎大家想像,平均每天就有2~4個相關攻擊事件。究其主因,首先是工廠採用的OS多為Windows,所以一些被設計為攻擊辦公室的病毒,同樣可感染工廠;其次工廠遭遇APT攻擊的頻率日益提升,且往往混雜不同攻擊手法,大幅增加偵測難度。

再者不少攻擊事件的苦主都有共通點,即是其網路(含辦公網路、服務網路、工控網路、開發網路等)未依據風險採取適當隔離,以致一個破口就能全境擴散。此外對於供應商的安全管理,普遍做得不到位。

肇因OT資安事件層出不窮,導致國內外皆有愈來愈多資安法規問世。例如國內半導體業者組成供應商安全聯盟,進而與SEMI合作制定半導體機台的資安標準,擬規定機台不得採用EOS的系統,並因應OT網路不關機、不干涉、不更新的運作慣性,思考安全漏洞的補強之道。

安華聯網科技參與智慧機械資通安全計畫,經過研究發現,許多業者並非不重視資安,但防護思維偏重「技術方案」,較輕忽管理面的資安意識;除此之外,多數業者現行資安方案未經驗證、亦無定期執行弱點掃描與滲透測試的制度,而且普遍缺乏持續改善的機制,針對委外廠商也缺少監督管理機制,這些都亟待改善。如何按部就班補強現有資安缺失?劉建宗建議可參照IEC62443標準,當做CheckList,假使工廠管理者想根據IEC62443而強化資安確保,則可依循IEC62443-2-4標準,並結合第三方背書。

安華聯網科技不僅成立國內第一間嵌入式設備安全檢測實驗室,也是台灣唯一經亞馬遜授權的資安檢測實驗室、亞洲第一個經美國CTIA授權的資安實驗室,已協助多家製造商建立工控資安流程、取得國際證書。

倘若製造商有意尋求協助、強化資安,安華聯網科技可提供四階段服務。第一階段為「現況評估」,盤點企業或製造商目前的資安成熟度;第二階段為「制度建立」,協助企業或製造商,能透過管理來實踐資安防護;第三階段為「資安驗證」,提供包括整體場域檢測、單一設備檢測、滲透測試、紅隊演練等各式服務;最後為「永續資安」,將協助企業將資安融入企業的文化與價值觀,達到持續改善、長期安全的目標。


  •     按讚加入DIGITIMES智慧應用粉絲團
更多關鍵字報導: 安華聯網 CTIA 設備聯網 物聯網資安