report
活動+

企業與工廠資安防護策略 成工業物聯網最佳後盾

  • 毛履兆
物聯網市場正從功能優先進入實用導向,使用者對資訊安全設計重視度,也將進一步推進到產業標準規範。IoT World

日前,台積電傳出電腦病毒感染事件,導致部分生產機台與設備當機,受影響範圍遍及台積電各廠區。消息一出引發製造業極大震撼,製造業標竿企業,竟然也在資安管理上栽跟頭。更引起各界對工業互聯網資訊安全的高度重視。

借鑒台積電病毒擴散事件

此次事件中,企業調查是新機台在安裝軟體的過程中操作失誤,在未完成病毒掃描偵測的作業前,讓新機台連網上線,以致發生WannaCry變種病毒擴散,造成了大規模設備停工,預估損失近1.7億美元。

如果,素來以管理精實著稱的台積電,都會發生生產機台病毒感染事件,顯見在資安防護工作上,即便建立了密不透風、滴水不漏的資安高牆,卻仍然會有百密一疏之處。對於一般管理不夠嚴謹、資訊防護資源欠缺,或者中小型企業來說,或許就更難以防堵病毒的惡意侵入了。

事實上,愈先進的廠房,使用的設備自動化程度愈高,系統也愈複雜。而高度自動化的設備,意外停機所遭受的影響與損失也會愈大。從台積電的案例中,我們不難理解,在物聯網應用強調M2M設備連網、系統高度連動的自動化環境下遭受病毒或駭客攻擊,那麼影響範圍和營運損失,恐怕是企業難以承受之重。

因此,在工廠逐步邁向工業物聯網(IIoT)全面連線生產環境下,企業對資訊防護的作為中,已不單純只是資訊人員的工作。從生產管理到資訊管理、甚至行銷、財務、總務等所有部門,從上到下的全體員工,都必須透過管理制度、觀念學習、制度規範等等手段,推動IIoT資訊安全的正確觀念,規範SOP行動標準,以共同抵禦來自四面八方的資安漏洞和可能威脅。

IIoT時代製造業紛築資安防火牆

PC時代,電腦病毒的出現,多是憤世嫉俗的玩家用來證明自己的破壞能力;隨著Internet的出現,有心人士將駭客當成賺錢工具;到了物聯網時代,企業及工廠的生產製造設備陸續連上雲端,物聯網設備目前的資安防護技術尚未完備,眾多的設備、閘道連結節點又可能存在許多未發現的漏洞。加上製造業相對缺乏資安保護意識與措施,企業和工廠仿佛就像一台忘了設定安全機制的提款機,隨時可能被駭客索求。

Gartner預測,到2020年時,全球使用中的連網物件數量將達到204億個,硬體總支出金額預計將達3兆美元。GSMA智庫預估,2025年全球的IIoT設備連接數量,將達到138億個,而IIoT在工廠的應用產值,預計可達3.7兆美元,而大中華地區的連接數約為41億個,約佔全球工業市場的3分之1。對駭客而言,可見有多大的資安商機在其中。

目前許多導入IIoT的公司並未落實資安防護策略,主要是因為營運科技(OT)與資訊科技(IT)的連結過程之間,因為二者標準協定的落差,造成整合上的困難,而這也是影響工廠數位轉型的主要因素。

OT與IT原本各司其職,而IIoT則促成了OT與IT環境走向融合互通,但因二者的本質、架構、協調標準並不相同,因此在融合過程中,現有針對IT系統設計的資安產品,已無法為IIoT的資安需求提供有效的防護。

而資安問題會成為製造業的高度風險,除了企業不瞭解IIoT潛藏威脅的嚴重性,以及OT與IT整合系統的防護技術尚不成熟外,還有第三個原因,就是缺乏資安執行計畫。

傳統工廠中的一些連網設備,例如機器手臂,過去少有資安事件問題發生;而機器手臂的核心作業系統,很多是使用模組化的開源程式碼(Open Source)進行開發,模組設計時並未考量資安防護,當跟其他裝置連結時,溝通介面就可能產生安全性漏洞。

據統計預測,企業在物聯網資安投資部分,隨著威脅的不斷升級,全球資安市場規模未來有上看千億美元的潛力。Gartner最新統計,2018年全球在資訊安全產品及服務支出的費用將超過1,140億美元,較2017年增加12.4%;預計2019年市場將持續成長8.7%,達1,240億美元。

IIoT入侵管道知己知彼

在IoT時代,萬物聯網背後的意義就是,愈來愈多裝置都會具備IP位置,都擁有連網能力,以辦公室為例,舉凡個人電腦、智能手機、網路印表機、網路鏡頭、網路電話、印表機、乃至照明系統、打卡鐘等,皆可能成為駭客入侵的入口,進一步擴散病毒。

而在工廠生產線部分,像是自動控制工具機、工業網路設備、資料獲取分析(SCADA)系統、物聯網感測端點 / 傳輸節點等,也都可能遭受入侵。

此外,在員工個人的網路安全行為部分,像是個人資通訊設備的使用(手機、筆電和隨身碟等)、網路釣魚、DDoS攻擊、Wi-Fi釣魚式攻擊,也是駭客常用的攻擊手法。

舉例來說,發生在封閉場域環境的台積電病毒事件,發生的主因是因為新機台安裝軟體的過程中,未作好防毒隔離措施,因此可能經由隨身碟導致病毒感染。

2016年,NweWorldHacker駭客組織使用Mirai病毒,感染了美國東部10萬部監控攝影機,對DNS服務供應商Dyn發動DDoS攻擊,讓許多網站停止服務,影響了近半個美國Internet。

2015年發生的烏克蘭大停電,起因是駭客對電廠員工進行網路釣魚,取得員工登入權,從遠端登入電廠系統後截斷電力,且更改密碼、關閉電話系統,讓員工無法登入重啟系統、也無法互相連絡。

2014年發生在德國鋼鐵廠的資安事件中,駭客駭入鋼鐵廠的工作網路中,取得鼓風爐控制權,造成巨大的損失;2010年伊朗核電廠發生Stuxnet蠕蟲感染事件,駭客借由Windows系統的Ink捷徑檔嵌入惡意程式,對西門子的自動化生產控制系統進行攻擊,所幸未對當時即將上線運作的核能發電系統造成影響。

駭客攻擊企業、工廠的案例不勝枚舉,因此企業除了必須注意網路防護,重視實體裝置與內部設備行為的防護,還要作好員工上網的觀念教育與行為規範,儘速建立從內到外的完整資安防禦網。

此外,設備製造商、基礎設施供應商亦應尋借助專業資安業者的協助,共同定義資安威脅的屬性與來源,強化網路架構設計,推出符合物聯網環境的防火牆解決方案。經由多方的共同努力和重視,有效降低IIoT的資安風險。

鞏固IIoT資安乃企業制勝之道

推動IIoT建置的關鍵之一,就是製造系統與資訊系統要作到完美連結,因此在資安策略的規劃上,不僅是資訊部門的工作,必須由OT、IT相關人員協力合作,重新建立物聯網架構的資安政策。

對於製造業來說,工廠內的生產製造系統就是企業營運命脈,對高度自動化、高度連動的物聯網生產線來說,任何設備一旦無預警故障停機,不止造成整條生產線的停擺,也會造成原物料、半成品的損失,影響到訂單延遲出貨的賠償問題、公司商譽損失等問題。

OT與IT在運作上本來就有明顯差異,各自需要不同的資安處理原則;因此,在推動IIoT資安時,不能忽視以製造系統穩定為前提,以及製造部門的管理特性和作業需求。製造業若要有效推動IIoT資安建置,大致可以注意下列四個重點:

首先,要作好設備資產的盤點工作。盤點項目在於機台廠牌、型號、韌體、軟體版本型號等等的清單統計,盤點重點則應針對工業控制系統、資料獲取與分析系統、資料庫結構等,分析出可能的弱點或漏洞,進行改善。

其次,在完成資產盤點之後,應配合標準生產SOP,檢視生產流程中所有可能遭受攻擊的弱點,預測駭客或病毒的攻擊流程和擴散方式,完成風險評估和威脅場景,建立資安威脅模型,然後進行漏洞掃描、滲透測試、類比攻擊、完成系統安全性驗證工作、危機處理演練。

第三,病毒技術與病毒變種日新月異,駭客攻擊手法令人防不勝防,因此在完成資產盤點、資安威脅模型後,也要隨時注意系統安全更新,調整資安威脅模型、並且作好人員的資安觀念訓練及安全作業的SOP、許可權管理。唯有隨時保持資安意識與能力的與時具進,才能防患於未然。

第四,在資安防護的工作上,莫存自掃門前雪的心態,企業應與各方資安單位保持互動,掌握專業領域最新的物聯網資安問題與技術,分享學習資安情報與策略作法,例如Critical Intelligence、ICSCERT、Infragard、IoTSF、ISAC、OWASP、SCADAHacker等組織。

各地積極研擬物聯網資安舉措

隨著物聯網應用的普及,病毒與駭客攻擊的案件頻傳,資安廠商積極布局物聯網資安服務外,產品與設備製造商也開始將資安防護列入技術研發重點。不只如此,各國與國際組織也正視物聯網資安問題,針對個資洩露、殭屍攻擊等問題,推動立法規範。

2017年美國發布《強化聯邦網路與關鍵基礎設施網路安全》命令,要求公私企業及政府單位必須分享駭客攻擊情資,8月再提出物聯網安全強化法案,規定機關單位採購物聯網設備時,必須符合網路安全操作標準安全需求。

歐盟組織在2017年則提出了聯網器材後門加密禁令,要求傳輸端點對點兩端都提供加密程式,並且禁止賣給終端使用者的聯網器材偷開後門。

大陸於2017年3月,中國聯通聯合眾多企業與研究機構在ITU-T SG20訂出全球第一個物聯網區塊鏈(Blockchain of Things;BOT)標準,定義去中心化的可信賴物聯網服務平台架構,用區塊鏈技術為物聯網資安問題提出一道解方。

台灣也在2017年底,公告《IPCAM資安產業標準及檢測規範》正式版,推動網路攝影機的安全驗證工作;並在2018年中發布IoT設備資安驗證標章制度,列為資安採購優先原則。

各地IoT產品規範紛紛上路,在法規要求下,未來廠商生產的設備需具備資安設計。物聯網市場正從功能優先進入實用導向,使用者對資訊安全設計重視度,也將進一步推進到產業標準規範,廠商也更積極重視設備的資安保護設計,及早建構產品優勢。

更多關鍵字報導: 資安 工業物聯網(IIoT)