DIGITIMES醫療月
MCU
 

強化工控安全 消弭智慧製造後顧之憂

半導體產業IT/OT一體化發展程度高,自動化程度也相對深,以致工控系統的開放性日趨提升,系統的安全漏洞容易遭惡意程式所利用。ExtremeTech

去(2018)年8月期間,一向被譽為資安模範生、優等生的某大晶圓製造廠,竟然驚傳因為資安SOP沒能執行到位,以致遭到變種WannaCry勒索病毒感染,隨之而來的機台當機、產線停擺,儘管看似僅短短2天,就已釀成逾新台幣50億元的高額損失,比起早先喧騰一時遠銀ATM遇駭盜領事件的約18億元,代價超出一倍以上,且衝擊範圍涵蓋新竹、台中、台南等多個重要生產基地,情節之嚴重可見一斑。

根據受害者的說法,這次病毒感染事件,並非起因於駭客攻擊,也不存在任何內神通外鬼的成份,純粹就是SOP沒做好,主要是新機台在安裝時,未按既定程序將它隔離並做好離線安全檢查,等於是未確認無毒即准許連結公司內部網路,才會導致病毒大幅擴散,造成一些生產機台、甚至無人搬運系統受到感染而無法正常運作,對整個生產線影響至鉅。

 點擊圖片放大觀看

如何佈建持續性的監測機制,達到工控網路、OT資產運行現狀的可視化,可謂製造業者當前的重大課題。Applied Risk

防護不周,讓老病毒展現強大殺傷力

總的來說,如果受害者所言屬實、沒有其他導致遇駭卻未曝光的真因,那麼此事件的癥結便是「人為操作失誤」,比起近幾年一些受到矚目的國際工控安全事件,「駭人聽聞」的程度其實不算高,但事件本身仍有許多值得探討及商榷之處,凸顯了該公司的工控系統安全防護體系的脆弱面。許多人都曉得,WannaCry是曾經引發大規模感染的知名勒索病毒,爆發時期讓人聞之色變,但之後災情趨於緩和,甚至市場上惡意攻擊的風向球已轉變為挖礦病毒等其他型態,顯見WannaCry不僅已褪流行,而且該有的系統補丁早已齊備。

詎料這支已經褪流行、早有補丁方案的病毒,仍能展現摧枯拉朽之勢,造成如此慘重的生產線停擺情節,這也意謂著,許多生產機台都缺乏有效的防護機制,也沒有針對系統漏洞執行修補,儘管在操作科技(Operation Technology;OT)世界,「可用性」是重中之重,像是安裝防護軟體、執行安全更新等可能干擾機台運作的舉措,確實難以執行,但持平而論,駭客、內賊或惡意程式不會因為你有這番痛點而手下留情,製造業如何在可用性、安全性之間找出最佳平衡,實為當務之急。

畢竟,伴隨數位轉型、工業4.0、工業物聯網(IIoT)、智慧製造等風潮蔚為顯學,OT與IT逐漸趨向一體化,彼此的串聯介接成為常態,代表OT不再像從前般封閉隔絕,勢必產生新的安全挑戰;更有甚者,工業控制系統不僅涉及製造業,亦和油、水、電、交通等關鍵基礎設施息息相關,一旦遭受侵襲,可想而知必定造成難以逆料的重大損失,所以必須對OT安全議題嚴陣以待。

晶圓製造廠的病毒感染事件,雖是不幸,但也在遺憾之中帶有一些正面意義,即是讓過去不太關注OT安全的人,都開始關注OT安全議題;比方說許多業者過去面對國際上已被廣泛採用的工控系統標準IEC 62443,顯得相對有距離感,甚至覺得事不關己,如今在購置工廠所用的裝置與設備時,已開始留意選購標的是否符合IEC 62443標準。

更值得慶幸的是,為了避免這次事件重覆上演,國際半導體產業設備與材料協會(SEMI)台灣分會已鎖定晶圓廠設備資安議題成立任務小組(Task Force),有意制定資安方面相關標準,好讓整個半導體產業供應商有所遵循;此提案已獲得國際SEMI會員投票同意,正式取得案號、開始撰寫草案,預期在今年內提出第一版草案。據悉,這份半導體資安標準其中涵蓋四個重點,分別是作業系統安全、網路安全、端點安全(包括防毒、應用程式白名單),以及資安監控。

然而專家認為,即使日後半導體資安標準出爐,也不代表相關業者僅需依照標準行事,就可遠離一切資安威脅,因為這套標準與過去大家熟知的許多ISO規範一樣,都是取決於會員的共識決,僅是最低標準而非嚴格規範,所以業者本身還有其他許多應該做的事,例如訂立許多配套的管理措施。

採取必要措施,提升工控網路安全

具體來說,意欲提高工控系統的防禦等級,有一些基本功課要做。首先,製造業者對於工控網路當中的IT與OT的系統或設備資產,必須進行詳實的盤點,以確認各項資產的型態、數量及位置等資訊,並且釐清不同資產之間的相互連結關係、網路拓撲架構及資料傳輸流向。

其次,有必要針對工控網路裡頭的核心交換節點上,佈建網路流量、甚至是DNS流量的監測機制,以便於全盤掌握工業網路的運行狀態,進而在發現威脅的當下,能夠即時提出告警。再者,應假使自己有一天可能遭受攻擊,所以必須想盡辦法限縮感染面,遏阻威脅的擴散,需要依據工業網路的業務特點,著手實施網路的分區分域,從而在區域之間部署工業協定的解析機制,以及入侵偵測系統,另外針對廠區內的關鍵機台,務必部署應用程式白名單、虛擬補丁等防護機制。

接下來,既然假設自己的工業現場有一天會遭到資安攻擊,也有能力確認感染範圍,下一步即需要採取應變措施,俾使工廠運作儘速回復正常,為此業主需要在工控電腦上部署資安產品,藉以施展威脅處置動作;當然,有一些端點設備未必都能容許佈建資安產品,因此業主不妨藉助類似備份、備援或災難復原等手段,讓這部份的端點儘快回復正常狀態。

另一方面,業主可考慮佈建流量分析、弱點掃描等資安工具,隨時發掘工控網路之中潛在的病毒與漏洞,然後搭配裝載於工控電腦上的防護軟體,針對這些病毒或漏洞採取必要的處置措施。

最後,業主應推動建立一個專責負責工控網路安全的組織架構,同時也為這個組織賦予明確的權責範圍,讓該組織能夠好整以暇地為工控網路環境,打造出扎實綿密的事前檢測、事中回應、事後鑑識分析的營運機制,藉以保障OT安全;與此同時,這個肩負工控網路安全重任的組織,亦需推動教育訓練工作,確使高階主管與OT人員提高資安風險意識,不再因為便宜行事而徒增惹禍上身的機率。

未來製造,雲端、物聯、數據蒐集已成關鍵。但是,當生產資訊出得去、外部攻擊進得來……您知道您的工廠,安全嗎?8/8登場的資安論壇,活動主題訂為「保障IIoT安全,加速智慧製造」,邀請中油資訊部經理分享工控系統安全管理經驗、工研院資通所專家探討高科技製造業資安標準,還有重量級業者趨勢、研華、四零四、精品…提出最新市場觀察與解決方案,全程參與聽眾有機會抽中PS4一台!免費活動,歡迎各界報名參加。 



  •     按讚加入DIGITIMES智慧應用粉絲團
更多關鍵字報導: 資訊安全 智慧製造