工業資安成為嚴肅議題

不過，既然工業自動化與智慧化引入資訊與通訊科技，資安威脅自然也隨之而來。工業生產設施、物聯網、以及關鍵的產業基礎設施，成為駭客新一波鎖定攻擊的目標。

一堂要價數十億元學費的資安課

近期一家世界級的高科技公司，不慎讓病毒在廠區擴散，生產線被迫停機檢測數日，造成的出貨延遲、營收短少等影響，預估達新台幣數十億元之譜！對這家公司來說，金錢損失事小，商譽受損才是天大的打擊！除了立即與下單客戶密切協商新的交貨時程，儘快追上進度之外，CEO更得親率高階主管站上第一線，對監管機關、分析機構與媒體解釋事件始末和處理進度。可見工業資安威脅已經站上檯面，造成實際的傷害。

工業資安現況與挑戰

雖然此次事件直接的肇事原因，指向廠區安裝人員沒有按照SOP執行病毒檢測，就把新機台接上廠區內部網路，造成病毒擴散。但其呈現的背後結構性問題，正是OT（Operational Technology）領域，也就是工廠生產製造系統的安全防護難題。

對製造業而言，常認為只要將工廠生產系統的網段切開，與辦公OA網路及外部Internet隔離，加個防火牆，就能免於攻擊威脅。

但怕就怕禍起蕭牆之內！現今仍有許多基於WindowsXP/Windows7舊版作業系統的機台設備在生產線上運行。基於生產線穩定性的考量，這些機台設備多半保持當初導入時的設定，不敢輕易將作業系統升級，也未能落實安裝最新的漏洞修補程式，形同毫不設防。一旦攻擊感染源有機會侵入生產網路內部，反而更能恣意肆虐，一發不可收拾！

那，為什麼廠區內的OT機台設備，不能像IT管理辦公OA環境那樣，及時安裝該有的修補程式呢？

OT思維vs.IT思維

這肇因於IT與OT的不同思維：

現今IT領域的軟硬體系統幾乎已經標準化，只要修補檔釋出，IT部門人員就可開始透過標準化的機制快速進行更新，力求防堵最新的攻擊。而且辦公室環境的系統可以允許軟體升級、補強安全漏洞，以及安裝許多資安工具軟體來進行系統監控。甚至在萬不得已的情況下，對於強迫系統重開機這類狀況也有較大的容忍彈性。

OT部門的責任卻是確保生產線穩定運作，恨不得24小時不停機，謀求生產效率的極大化，在沒有必要的情況下是毋須變動，也幾乎不允許變動。況且過往針對OT領域的資安威脅並不大。在這樣的前提下，若為了資安目的，時常將機台設備停下來更新修補程式，對生產效率帶來的負面影響，遠大於系統被攻擊的潛在風險。

更進一步說，就算想對OT設備進行安全更新，也不是一件容易的事。

當初採購機台設備時，往往是軟硬體整套購買，包括內部應用軟體、周邊硬體和作業系統。不同廠牌的機台設備常有特殊規格的硬體/韌體元件，其驅動程式只能由原供應商提供，連搭載的作業系統也可能是廠商特製過的嵌入式版本。

為了避免影響設備的效能或功能，以及保固的考量，供應商甚至會鎖死OS權限，禁止客戶自行再安裝其他軟體或工具。即便機台搭載的作業系統已釋出新的修補檔，仍須依賴原供應商來安裝調整，由他們確保作業系統/驅動程式/應用程式間的相容性，才能劃清更新之後機台正常運作與否的責任歸屬。

萬一當初的設備供應商已經不再為早期機台設備提供技術支援，甚至是供應商公司已經停止營業，那OT部門就只能勉力維持現狀，不敢輕舉妄動。若是IT部門貿然對OT的機台設備動手更新卻出包的話，這責任可是任誰也扛不起的！

工業資安不只是工廠生產環境的事

其實，工業資安攻擊不只出現在工廠生產環境，也發生在實際運轉中的基礎設施系統，甚至是人們日常生活中使用到的智慧化IoT設備之中。

2010年，伊朗位於Natanz核設施工廠的西門子自動化設備被植入了Stuxnet病毒，控制了提鍊濃縮鈾的離心機，表面上回報狀況正常，實際上卻操控離心機使其高速運轉而損壞，也因此導致伊朗Buschehr核電廠啟動時程延誤數月之久。

2015年，克萊斯勒汽車傳出JeepCherokee越野車存在安全漏洞，駭客可入侵無線通訊系統，不但能隨意調控冷氣溫度、收音機音量以及雨刷等功能，還能操控方向盤及控制車速、追蹤行車路線。克萊斯勒被迫耗費巨資召回在美國售出、裝設有“uConnect”系統的140萬輛車，並對軟體進行更新。找出該漏洞的網路安全專家CharlieMiller則發文嘲諷：「到底是把車輛設計得更安全比較便宜？還是出事後才將車輛召回比較便宜？」

工業資安的基礎ABC

想做好工業資安，當然應該徹底了解工業界的現況與常見的挑戰，方能對症下藥。在此我們特別要推薦一篇「Securityattacksonindustrialcontrolsystems（對工業控制系統的安全攻擊）」文章，該文分析了對工業界的ICS（工業控制系統）、SCADA（資料蒐集與監控系統）、PLC（可程式邏輯控制器）常見的攻擊手法，並建議完整的防禦之道。希望在工業資安這個議題上，能夠協助讀者有更完整的視野。

對現代SCADA系統攻擊的途徑，首先可透過人工，或是讓SCADA控制主機感染病毒，去植入未經授權的控制程式。再來是對SCADA設備所在網段的通訊封包下手，因為SCADA使用的控制協議不具備加密機制，這可以讓攻擊者透過發送命令去控制SCADA設備。

目前常見的攻擊SCADA方式有：

˙Buffer overflows

˙Spear phishing

˙SQL injection

˙Distributed denial of service（DDoS）

˙Access controls等等。

對保護ICS系統而言，重要的防禦方向包含了：

˙詳細定義ICS相關的網路架構、應用程式、資料庫等等

˙阻絕任何可能的外部的侵入途徑，包含不安全的磁碟機、USB埠、無線網路、第三方網路等等

˙加強存取控制，除非經過事先允許，否則不應該容許任何外界網路接觸到ICS網路

˙使用點對點IPSec或SSL技術，通過VPN保護所有遠程訪問

˙管控ICS功能，只留下最必要的，減少出錯機會

˙部署縱深防禦安全方案，例如威脅管理與下一代防火牆等方案

˙針對ICS關鍵應用部署監控和日誌記錄

˙管理並記錄所有的配置更改

˙定期監管

˙定期備份，建立快速回復機制

˙導入Intrusion detection and prevention system（IDPS）解決方案

台灣產業對工業資安應有的對策

電子資通領域與自動化機械乃是台灣科技與製造業的強項，實不能輕忽工業資安對明星產業可能造成的危害。藉由近期這個事件，反而是重新審視工業資安威脅的契機。

台灣的產業切不可只求短線解決「工廠資安」的問題，應思考如何從源頭的產品設計、中間的生產環境、到後期產品實際應用情境，都將安全防禦思維融入其中，同時為攻擊造成損害之後應採取的事件回應SOP預作準備，才能從工業體系全局考慮整體的安全策略，將可能發生的威脅損失降至最低。

<本文作者：謝明君現為IBM資安防禦協理 >