全球一年一度最大駭客與資安業者聚會--BlackHat USA及DEF CON於8月初在美國拉斯維加斯登場,為期一週的活動,大廠、新創齊聚針對資安趨勢進行交流,並進行產品展示。今年BlackHat USA開幕主題演講,Google工程總監Parisa Tabriz即以「今天網際網路的世界需要一個更具戰略性的協作計劃,擴大企業安全防禦的範圍」為題,指出資安領域複雜性已達歷史新高,資安方案提供商、企業本身、供應商,終端用戶,甚至政府單位都要試圖達成共識,不能再以打地鼠式的見招拆招修補漏洞,必須在產業鏈中公開透明以及協作才能使網路世界變得更加安全。另一方面,領導Google Project Zero安全漏洞狩獵團隊及擔任Chrome瀏覽器安全漏洞偵測負責人,號稱「資安公主」的Tabriz是業界有名的白帽駭客,她在演講中也以Google在進行Project Zero專案為例,揭露報告一千四百多項各式軟體、硬體漏洞的經驗與大家分享:很多簡單的遠端程式碼執行漏洞,可能是由上游供應商提供的模組上來的,而整合到現在的系統上才發生被滲透執行的危險。
因此製造業在引進智慧製造系統或是整合所有網路與生產次系統時,如果沒有清楚的掌握這些系統的版本、已知的弱點等資訊,沒有靠上、下游廠商間的資訊分享、掌握可能的威脅情資、確認系統潛在漏洞、解決系統補丁,就容易出現不斷中毒、掃毒,重灌系統等頭痛醫頭,腳痛醫腳的被動防禦工作了。
以下為你帶來分析智慧製造趨勢下,廠商可能面臨的資安問題。
作者:工研院徐富桂分析師
======
一、攻擊製造業背後的動機
根據過去製造業設備被攻擊的資安事件可以得知,攻擊者可能會有各種不同的動機,包括商業競爭和勒索財務,或只是想造成大規模的破壞的火力展示,甚至有時也可能只是為了好玩、沒有特別目的的攻擊。例如在可以歸類在「商業間諜事件」的案例中,對以研發工作為營運核心的高科技製造業而言,不管是產品研發或製程研發等機密資料、研發進度、生產配方、生產工序,資料外洩的後果可能不只是訂單的影響,甚至是市場上平白多出一個競爭對手,過去也發生過不少血淋淋的前例。這是造成防止資料外洩(DLP, Data Loss Prevention)資安解決方案在這幾年熱門的原因。另外,「錢」也是主要因素,去年的WannyCry蠕蟲攻擊,搭配完全匿名化的加密貨幣,不僅以快速的病毒式傳播,更以加密被攻擊者系統資料,要求比特幣做為贖金,造成全球不少的經濟損失。
二、製造業面對的新興資安問題
製造業所用的系統(特別是管理和監控生產設備的工業控制系統ICS),因為生產設備的特性,一般置於與外部網路實體隔離的「生產內網」而不容易遭受網路資安威脅。然而隨著網路智慧化生產管理的需求、設備即時監測管理需求,製造業者也逐漸將之前完全實體隔離的生產系統連上公司網路以增加效率,但也增加了被攻擊的機會。另外,以往的舊系統保護機制也可能在連網之後無法防禦層出不窮的新攻擊方式。此外,還有其他幾個影響製造業安全防護的問題:
1. 製造生產系統企業掌握度低:企業採購生產機台設備時,往往是軟硬體整套購買,包括內部軟體、周邊硬體和作業系統。為了避免影響設備的效能或功能,供應商甚至不會開放作業系統權限,並禁止企業資安及資訊人員安裝任何軟體或工具,除非供應商自行釋出更新,否則資安及資訊管理部門很難對這類機台的資安漏洞進行完整的修補以及檢查。此外,上游供應鏈廠商負責的新機台是否可以在出廠安裝前保證不會夾帶病毒?以及在安裝的客製化預載軟體以及安裝程序上會不會引入惡意程式?這些都是需留意的重點。
2. 工業控制系統(ICS)缺乏資安考量:許多工業生產設備原本操作於獨立的系統與隔離的環境中,所以在初期設計缺乏資安防護功能,如身份驗證和加密。這代表如果內部網路遭受入侵,常缺乏有效阻擋的機制,攻擊者可以輕易地進入生產製造系統的不同部分,包括監視和管理生產程序的控制器。當工業控制系統(ICS)遭受攻擊可能會導致作業停擺、設備損害、財務損失、智慧產權被竊及大量影響健康和安全的風險。
3. 製造生產系統更新速度緩慢:工廠生產設備端採用的作業系統一般都不是市面上可見的標準版本作業系統,往往因為有特殊的硬體驅動程式需求,或是客製化的應用程式要求,而採用由上游供應鏈廠商自行修改客製後的版本或是嵌入式版本。也因此在作業系統版本的漏洞修補及更新上與在外流通的標準版本作業系統有極大的時間落差。也就容易造成早已公佈的系統漏洞及修補程式在這些生產機台主機上無法即時更新,增加暴露在遭受入侵感染的危險期。
4. 製造業以生產維持穩定為原則:製造業主要目標是保持機器穩定運行。任何環境的改變(如加入增強的安全解決方案)都可能會影響生產程序。製造業管理者偏好只進行微小的改變,期望在加入可能影響運作的解決方案時保持正常運行以及可靠性。因此在可能需要進行工業控制系統(ICS)檢修和測試時必須需要更多的時間進行評估與實驗。
面臨上述四大製造業資安關鍵議題,企業可參考NIST(美國國家標準暨技術研究院,National Institute of Standards and Technology)的資安風險管理架構,對製造業場域進行防護:首先需確認資產,如製造設備內所包含硬體和作業系統的版本和客製化範圍,確實清楚掌握這些系統的版本、已知的弱點等資訊。第二從新機台入場前測試、上線之後再進行「漏洞掃描、滲透測試」等資安稽查動作,確實管理已知漏洞,降低由外部引入惡意程式的可能;第三是在操作階段必須適時在網路架構上安排更完整的網路資安防護設備或解決方案,不應認為「生產內網」為實體隔離而掉以輕心。最後在持續運作之後,也需要定期進行稽核,如更新生產機台的作業系統、修補漏洞、檢查網路架構是否修改等。上述風險管理措施都需要供應鏈中的上、中、下游生產設備原廠通力合作,提供透明的資訊,才能共同解決面臨的資安問題。
無獨有偶,在BlackHat USA會議前夕台灣高科技製造巨頭也爆發資安事件,也引起與會者針對智慧製造環境伴隨而來的資安挑戰進行熱烈討論。高科技製造業在引進智慧製造技術的同時,因應少量多樣客製化需求、製程節能減碳、虛實整合聯網製造等議題,都需要導入智慧化網路管理、即時感知系統、及資通訊服務平台等,而這些新增的平台、新增的介面以及委外的次系統都為製造業帶來資安風險的疑慮,因此「資安防護不再是企業獨善其身,完整的供應鏈資安防護體系才是萬全之道」。