工业控制系统攻击比勒索病毒更加可怕！

前言‍‍‍‍

遭受网络攻击的制造型企业往往涉及巨额赎金，以及随之而来的产线停产和监管审查，以下是近几年发生的制造业网络攻击事件，每家企业都被勒索上百万美元：

- 2020年，Campari Group，被要求支付1500万美元赎金
- 2021年，JBS食品公司，被要求支付1100万美元赎金
- 2020年，Harvest Food Distributors，被要求支付750万美元赎金
- 2021年，NEW Cooperative 公司，被要求支付590万美元赎金
- 2021年，Schreiber Foods，被要求支付250万美元赎金

而上述的例子仅仅是公开披露的冰山一角，根据第三方统计数据，从2018年到2023年的5年时间内，仅食品/饮料行业一共有157家公司遭受勒索软件攻击，造成了13.6亿美元的经济损失。

另一个更为严重的问题是：勒索软件虽臭名昭著，但它只影响安装Windows/Linux系统的IT类主机，且防范方法日渐成熟。而针对产线工业控制系统的攻击与勒索软件相比，不仅少为人知，且其危害性有过之而无不及。

此外，从IT系统发起的勒索软件攻击会打开访问工业控制设备的大门，更槽糕的是，老旧的、未受保护的PLC、SCADA和工业PC很容易成为攻击目标，导致产线设备完全瘫痪，进而影响企业效益。

工业控制系统是最佳的攻击目标

CISA（美国信息安全和基础设施安全局）在近期检测到伊朗针对美国供水和污水处理设施的攻击，主要目标为Unitronics PLC，就此问题，2023年11月28日CISA发布了一系列加固指南，其中包括：

- 更改Unitronics PLC的默认密码（默认是1111）
- 在远程访问产线网络时使用多因素验证技术
- 断开PLC和互联网的直接或间接连接

Tenable负责OT安全的首席技术顾问Marty Edwards说：“攻击PLC和类似的工控系统的事件会越来越常见，其危害性将远大于勒索病毒”。以水处理设施为例，可编程逻辑控制器（PLC）是执行所有任务的大脑，黑客如果获得了PLC的控制权限，他们就可以打开或关闭电机和水泵，操纵化学品的投放，写入软件程序逻辑炸弹，从而造成供水中断。

PLC或其他工控系统面临的问题

德国著名工业控制系统厂商Festo的信息安全专家Thomas Ruschival指出了PLC的几项安全隐患：

- PLC在部署时仅考虑了物理安全（锁在电柜内），但从未考虑网络层面的安全
- 很多PLC都有默认密码，而车间工程师通常共享一个用户账户（admin账户）
- 在PLC较长的寿命中，固件更新往往不做更新，暴露很多安全漏洞
- 缺少对PLC逻辑控制代码变更的审核

这些安全隐患的存在是因为PLC在设计之初从未将信息安全作为考虑的范围，具备PLC编程知识和程序软件的任何人都可以对其执行程序的上传、下载、删除、修改等操作。

虽然产线网络环境通常采取物理隔离网络，但随着工业4.0时代的到来，工业设备的互联互通越来越多，几乎没有一个网络是真正的物理隔离了，PLC更是无法独善其身，它的各种信息安全问题也被逐渐暴露出来。

修复关键的产线信息安全问题

对于如何解决PLC的一系列安全问题，IEC 62443也许可以作为不错的参考，该标准为工控产品制造商、设计人员和最终用户提供了明确的信息安全指导和标准实践，用户应该购买经过IEC 62443认证的工控产品，也可以对当前的生产设施进行认证。

什么是IEC 62443？

ISA/IEC 62443系列标准规定了实施和维护工业自动化和控制系统信息安全的要求和流程。为工业信息安全设定了最佳实践，并提供了评估安全性能水平的方法，它是应对工业网络安全挑战的整体方法，弥合了OT和IT之间信息安全建设的差距。同时，它为所有行业都设定了安全基线，包括智能楼宇、发电行业、医疗设备、运输、石油化工等。

参考IEC 62443，用户在选择PLC厂商时，可以从以下几个方面考量产品的安全性：

- 是否将安全性作为PLC的标准设计，例如安全启动程序、加密、网络访问规则
- 是否提供官方安全公告和漏洞补丁，是否提供定期的补丁更新
- 是否采用先进的身份验证方式（如多因子验证和RBAC）
- 是否有网络通讯安全措施

是否提供PLC安全操作的教育和培训除此之外，对于已经部署的PLC设备，用户可以选择安全可视化监控和审计方案对PLC进行持续的风险感知。

信息安全不是一蹴而就的工作，需要实施必要的解决方案并配合最佳的安全实践，正如Tenable负责OT安全的首席技术顾问Marty Edwards所说：“关键基础设施和制造业必须建立分层防御，遵循基本的安全实践，比如资产清单、漏洞评估，定期更改OT/IoT设备上的默认密码，还需要关注暴露在互联网的工业控制系统，因为人们为了便于远程操作或远程维护，会无意将设备暴露到了互联网，但往往没有充分评估这种行为的风险，企业应该采用外部攻击面管理（EASM）工具来识别此类资产。”

IDC制造业市场调研报告‍‍‍‍‍‍

全球知名市场调研公司IDC联合tenable中国团队近期发布了有关OT安全的Snapshot，详细阐述了"如何应对制造业 OT 安全风险，构筑可视化 IT/OT 融合安全环境"。

随着数字技术的发展，运营技术（OT）与信息技术（IT）加速融合，制造企业迈向工业互联化。在此大势下，工业控制技术发展进入“强化发展期”，工业互联网触点逐步下沉，助力企业全面互联提速。

“工业互联网”已逐步成为汽车制造、制药、电力、医药及食品、石油化工等重制造行业的生产运营中枢。平台与诸多工业控制设备相连接，导致企业安全的边界也随之扩大。脆弱的工业控制安全环境成为制约企业整体安全的最大挑战，“使企业在安全可视的环境下生产”已成为企业的数字化要务。

IDC 预测，到 2026 年，全球工业安全市场规模将达到 67.6 亿美元，五年复合增长率高达 28.4%。‍

IDC 认为，当前影响制造企业OT 安全的三大挑战分别是：

外部攻击：外部攻击的持续发生对企业机密数据保护构成挑战制造企业的生产与办公网络往往是分离的，然而生产却难逃影响；甚至多数企业反映，优先受到攻击的是OT 端，而非 IT 端；随着攻击手段的增强，网络威胁态势不容乐观，面对勒索软件攻击，企业迫切需要加强网络与 OT 安全举措。
内部病毒：内部病毒的横向传播和维护的缺乏对工业控制系统构成挑战企业的旧系统更易受到“已知 - 未知”漏洞影响；弱密码与访问控制不足将加大未授权访问对关键 OT 系统的影响；日志记录和监视功能不足，使得及时检测和异常响应变得困难；IT 和 OT 网络间的安全分段不足，会增加攻击者横向迁移的风险；第三方供应商系统不够安全，将导致正常的商业互访变成安全事件。
人为操作：在多样化的工控环境下，人为操作风险放大 OT 安全挑战心怀不满的员工可能成为风险的主要来源，并造成有意或无意的损害；人为操作错误（如配置错误、密码设定不当、没有更新补丁、没有报告高风险事件）的发生将会导致计划外停机、系统中断和其他不良后果；员工权限变化将导致未经授权的访问，或为恶意活动“留后门”；OT 和 IT 团队之间的沟通不畅可能滋生误解，进而导致安全措施难落实。