品安科技
Advantechline
 

守護關鍵基礎設施 避免衝擊國計民生

伊朗核電廠的SCADA控制系統遭蠕蟲感染,造成1,000部濃縮鈾核子離心機癱瘓,因而引發軒然大波,此事件可謂物聯網安全的經典教材。Operatingsystems.co.in

伴隨萬物聯網的時代降臨,可以預見,網路攻擊範圍勢必日趨廣泛,包括工業控制系統、輸配電網路、環控系統、醫療系統、電信網路、國防系統乃至金融系統,一干重要基礎建設皆可能淪為駭客覬覦目標,不可不防。

論及物聯網安全,眾人關注的焦點,通常環繞在一些新興智慧型裝置,包含了智慧型溫度控制器、智慧型電視、智慧型穿戴裝置...等等,認為企業若將這些裝置視為無足輕重的小玩意,而未施予等同於BYOD行動裝置的嚴謹管理,便可能造成安全性危機。

持平而論,上述論調並非危言聳聽。經過國外研究調查,發現譬如穿戴式健身設備、網路攝影機、智慧型電視,乃至於各種具連線能力的醫療裝置...等消費型裝置,皆會持續不斷連結全球各地伺服器,即使裝置處於未被使用的狀態,也照樣連線,此一結果著實令人不安;但要說這些消費型裝置可能對企業構成翻天覆地的危害,其實也不盡然,因為企業意欲抵擋相關威脅,並非無計可施。

針對前述防護議題,專家建議,企業首要之務,便是竭盡所能找出所有存在於企業網路的裝置,且不僅是傳統IT設備,還包括穿戴式裝置、溫度控制器或電視等等非IT裝置,若自認現階段尚無十足防守能力,便應斷然將之移除,阻斷這些高風險裝置連結企業網路的所有路徑。

其次不可諱言,諸如溫度控制器、燈具或是HAVC空調設備等攸關企業辦公室環境的重要裝置,有些時候不得不具備聯網能力,以便在設備出現失效時,能夠由維護廠商從遠端進行故障排除,甚或允許維護廠商持續監測設備運作狀態,以期在顯現某些異常癥候時,提前進行預知保養,避免設備突如其來停止運作,對此企業亦需詳加檢視,與之簽訂維護合約的外部廠商究竟握有何等權限,假使察覺不恰當的權限授予情事,便應該立即檢討改正。

一般來說,企業只要確實做好上述步驟,便無需對物聯網安全過度驚恐,可以保留絕大多數的資源與心力,用以應付傳統資訊安全;畢竟隨著雲端虛擬化世代來臨,企業所需防範的安全威脅,絕對不僅止於物聯網層面。

關鍵基礎設施  蘊藏最大安全隱患

但撇開前述設備不談,真正可能對人類世界帶來殺傷力威脅的物聯網安全議題,其實發生在關鍵基礎設施。舉例來說,在2008年時,土耳其境內原本用於保護石油輸送管線設施的網路監視器,詎料淪為駭客賴以突破防線的切入點,藉由研究該攝影機的漏洞,找出可以上下其手的縫隙,接著從遠端將惡意程式佈於油管控制網路之內,繼而竊取管線閥門控制節點的最高權限,一來藉此改變油管之內部壓力,最終導致油管爆裂,二來也很聰明地將油管緊急通報系統予以關閉,如此一來油管的業主對於其設施遭外人入侵,甚至經由調整關鍵系統的參數釀成重大損害,在事發的第一時間都還渾然不覺。

更古老的例子,2003年時美國核電廠的監控系統,意外遭到Slammer蠕蟲感染,導致監控系統整整5個小時無法正常運作;同一年,美國頗負盛名的鐵路運輸公司CSX,其號誌與調度系統遭到電腦病毒感染,造成旅客及貨物運輸完全中斷。綜上所述,即使在物聯網名詞猶未問世之際,便已發生實質性物聯網安全事件,而且兩起事故對於整個國家社會造成的動盪效應,堪與2013年4月30日的南韓黑暗首爾事件等量齊觀。

直到2010年,可怕的物聯網安全事故再度上演!一座位在伊朗境內的核電廠,其所使用的西門子SCADA系統遭受Stuxnet蠕蟲感染,進而透過多重零時(Zero-day)攻擊,造成將近1,000部濃縮鈾核子離心機為之癱瘓。

有鑑於此,在2015年期間,台灣在時任行政院副院長張善政的主導下,首度為核二廠進行駭客入侵的模擬演練,旨在強化SCADA系統等關鍵基礎設施的安全防護;而在此之前,也就是2014年,行政院在進行網路攻防演練的過程中,已將通訊與交通等關鍵基礎設施列入情境演練對象,只因這些關鍵基礎設施攸關國計民生,絲毫沒有驟然停止運作的空間。

以2015年的核二廠演練為例,當時便設計了諸多劇本,包括了廠內植基於Windows伺服器作業平台的緊急應變系統ERF,於安裝修補程式時意外遭致病毒感染;DEH自動控制器的處理模組出現故障,而人機介面操作電腦也遭到病毒入侵,結果廠務人員藉由已遭感染的DEH人機介面執行指令時,又不小心觸發了惡意程式;有內部人員刻意竄改RCF Foxboro參數,造成核電廠內的再循環流量出現異狀...等等情境。

針對上述情境,要求現場人員必須在15分鐘內找出解決之道,如果找不出,就意謂出現了無法解決的盲點,需要再設法克服;而在演練過程中,核二廠人員原先所擬定的一些看似縝密的應變計畫,意外找出若干盲點,據此形成了進一步改善的動能,堪稱是頗具正面意義的收穫。

終端、通訊及雲端平台  皆有遭攻擊可能

一家資安業者的研究團隊,歸納出2016年有六大資安趨勢醞釀成形,包含了「勒索軟體持續發酵」、「威脅情報分享」、「次要受害者攻擊」、「零信任架構」、「物聯網入侵攻擊」、「網路犯罪立法」等項目;當然毫無疑問的,最令各行各業備感驚恐的重大趨勢,即在於物聯網入侵攻擊,而且視之為難以阻擋其發生的趨勢,主要是因為,包括Gartner、IDC及BI Intelligence等研究機構預估,從現在起至2020年期間,物聯網終端數量將達150~210億台,等於平均每天有超過550萬物件,持續接軌物聯網,對於駭客來說,面對如此龐大一群獵物,堪稱千載難逢佳機,豈有漠視之理?

專家指出,綜觀物聯網整體架構,其實除了終端裝置外,還包括了通訊媒介、後端系統,若以智慧家庭應用情境為例,也就是說,不管是門口對講機、電冰箱、燈具乃至感測器等終端裝置,無線射頻或無線網路等通訊媒介,或是雲端系統平台,通通都是物聯網的關鍵組成要素,也都有可能遭受攻擊,建議企業不妨仔細剖析各個組成元件可能遭到何等威脅,據此研擬防禦之道。

針對終端裝置,最大的安全漏洞源自於缺乏完整的資料保護機制,故導致機敏資訊竟以明文方式保存或傳送,讓駭客有機會從中攔截;此外,許多終端裝置僅使用簡單的預設密碼,未提供使用者修改密碼的空間,甚至將密碼存放於後門程式或內建隱藏帳號,遂讓駭客有機可乘,可藉由系統管理者之姿堂而皇之登入系統,將此終端裝置視為完完全全掌控的禁臠。

至於通訊媒介部份,乃在於現階段用於支撐物聯網應用的技術,無論是無線射頻、藍牙或近場通訊等等,同時間能夠傳送的頻寬與數據量都頗為有限,很難提供比較安全的通訊傳輸機制;此外論及後端的雲端平台,其由眾多主機所構成,據以承接大量終端設備所交付的耗時運算工作,然而一旦這群雲端主機遭到駭客入侵,便可能衍生資料外洩、終端裝置控制權旁落駭客之手等多重傷害。著眼於各層次的常見漏洞,企業須針對相關系統與資料善盡保護,並針對研發、管理等同仁,乃至一般員工實施相關教育訓練,期使資安風險降至最低。