廠房機台成資安漏洞　OT安全思維迥異IT防禦

近期一家世界級的高科技公司，不慎讓病毒在廠區擴散，生產線被迫停機檢測數日，造成的出貨延遲、營收短少等影響，預估達新台幣數十億元之譜！對這家公司來說，金錢損失事小，商譽受損才是天大的打擊。除了立即與下單客戶密切協商新的交貨時程，儘快追上進度之外，CEO更得親率高階主管站上第一線，對監管機關、分析機構與媒體解釋事件始末和處理進度。

雖然此次事件直接的肇事原因，指向廠區安裝人員沒有按照SOP執行病毒檢測，就把新機台接上廠區內部網路，造成病毒擴散。但其呈現的背後結構性問題，正是OT（Operational Technology）領域，也就是工廠生產製造系統的安全防護難題。

OT思維 vs. IT思維

對製造業而言，常認為只要將工廠生產系統的網段隔開，與辦公OA網路及外部Internet隔離，加個防火牆，就能免於攻擊威脅，但怕就怕禍起蕭牆。現今仍有許多基於Windows XP/Windows 7舊版作業系統的機台設備在生產線上運行。基於生產線穩定性的考量，這些機台設備多半保持當初導入時的設定，不敢輕易將作業系統升級，也未能落實安裝最新的漏洞修補程式，形同毫不設防。一旦攻擊感染源有機會侵入生產網路內部，反而更能恣意肆虐，一發不可收拾！

為什麼廠區內的OT機台設備，不能像IT管理辦公OA環境那樣，及時安裝該有的修補程式呢？這肇因於IT與OT的不同思維。

現今IT領域的軟硬體系統幾乎已經標準化，只要修補檔釋出，IT部門人員就可開始透過標準化的機制快速進行更新，力求防堵最新的攻擊。而且辦公室環境的系統可以允許軟體升級、補強安全漏洞，以及安裝許多資安工具軟體來進行系統監控。甚至在萬不得已的情況下，對於強迫系統重開機這類狀況也有較大的容忍彈性。

▲工業生產設施、物聯網以及關鍵的產業基礎設施，已成為駭客新一波鎖定攻擊的目標。

OT部門的責任卻是確保生產線穩定運作，恨不得24小時不停機，謀求生產效率的極大化，非必要情況下毋須變動，也幾乎不允許變動。況且過往針對OT領域的資安威脅並不大。在這樣的前提下，若為了資安目的，時常將機台設備停下來更新修補程式，對生產效率帶來的負面影響，遠大於系統被攻擊的潛在風險。

責任歸屬成一大阻礙

更進一步說，就算想對OT設備進行安全更新，也不是一件容易的事。由於機台設備採購往往是軟硬體整套購買，包括內部應用軟體、周邊硬體和作業系統。不同廠牌的機台設備常有特殊規格的硬體／韌體元件，其驅動程式只能由原供應商提供，連搭載的作業系統也可能是廠商特製過的嵌入式版本。

為了避免影響設備的效能或功能，以及保固的考量，供應商甚至會鎖死OS權限，禁止客戶自行再安裝其他軟體或工具。即便機台搭載的作業系統已釋出新的修補檔，仍須依賴原供應商來安裝調整，由他們確保作業系統、驅動程式以及應用程式間的相容性，才能劃清更新之後機台正常運作與否的責任歸屬。

萬一當初的設備供應商已經不再為早期機台設備提供技術支援，甚至是供應商公司已經停止營業，那OT部門就只能勉力維持現狀，不敢輕舉妄動。若是IT部門貿然對OT的機台設備動手更新，一旦出現問題，責任可是任誰也扛不起的。

物聯網安全也應關注

其實，工業資安攻擊不只出現在工廠生產環境，也發生在實際運轉中的基礎設施系統，甚至是人們日常生活中使用到的智慧化IoT設備之中。

2010年，伊朗位於Natanz核設施工廠的西門子自動化設備被植入了Stuxnet病毒，控制了提煉濃縮鈾的離心機，表面上回報狀況正常，實際上卻操控離心機使其高速運轉而損壞，也因此導致伊朗Buschehr核電廠啟動時程延誤數月之久。

▲ 想做好工業資安，當然應該徹底了解工業界的現況與常見的挑戰，方能對症下藥。「Security attacks on industrial control systems （對工業控制系統的安全攻擊）」研究報告可協助讀者建立更完整的視野。

2015年，克萊斯勒汽車傳出Jeep Cherokee越野車存在安全漏洞，駭客可入侵無線通訊系統，不但能隨意調控冷氣溫度、收音機音量以及雨刷等功能，還能操控方向盤及控制車速、追蹤行車路線。克萊斯勒被迫耗費巨資召回在美國售出、裝設有「uConnect」系統的140萬輛車，並對軟體進行更新。找出該漏洞的網路安全專家Charlie Miller則發文嘲諷：「到底是把車輛設計得更安全比較便宜？還是出事後才將車輛召回比較便宜？」

瞭解攻擊手法才能知己知彼

想做好工業資安，當然應該徹底了解工業界的現況與常見的挑戰，方能對症下藥。在「Security attacks on industrial control systems （對工業控制系統的安全攻擊）」一文中分析了對工業界的ICS（工業控制系統）、SCADA（資料蒐集與監控系統）、PLC（可程式邏輯控制器）常見的攻擊手法，並建議完整的防禦之道，可協助讀者在工業資安這個議題上有更完整的視野。

一般而言，現代SCADA系統攻擊的途徑，首先可透過人工，或是讓SCADA控制主機感染病毒，植入未經授權的控制程式。再來是對SCADA設備所在網段的通訊封包下手，因為SCADA使用的控制協議不具備加密機制，這可以讓攻擊者透過發送命令去控制SCADA設備。

目前常見的攻擊 SCADA方式有：

‧ 緩衝區溢位（Buffer Overflows）攻擊

‧ 魚叉式網路釣魚（Spear Phishing）攻擊

‧ SQL資料隱碼（SQL Injection）攻擊

‧ 分散式阻斷服務（DDoS）攻擊

‧ 存取控制（Access Controls）等等

而在ICS系統保護方面，重要的防禦方向包含詳細定義ICS相關的網路架構、應用程式、資料庫等等；阻絕任何可能的外部的侵入途徑，包含不安全的磁碟機、USB埠、無線網路、第三方網路等；加強存取控制，除非經過事先允許，否則不應該容許任何外界網路接觸到ICS網路；使用點對點IPSec或SSL技術，透過VPN保護所有遠端瀏覽；管控ICS功能，只留下最必要的，減少出錯機會；部署縱深防禦安全方案，例如威脅管理與下一代防火牆等方案；針對ICS關鍵應用部署監控和日誌記錄；管理並記錄所有的配置更改；定期監管；定期備份，建立快速回復機制；以及導入入侵偵測與預防系統（IDPS）解決方案。

台灣產業因應對策

電子資通領域與自動化機械乃是台灣科技與製造業的強項，實不能輕忽工業資安對明星產業可能造成的危害。藉由近期這個事件，反而是重新審視工業資安威脅的契機。

台灣的產業切不可只求短線解決「工廠資安」的問題，應思考如何從源頭的產品設計、中間的生產環境、到後期產品實際應用情境，均將安全防禦思維融入其中，同時為攻擊造成損害之後應採取的事件回應SOP預做準備，才能從工業體系全局考慮整體的安全策略，將可能發生的威脅損失降至最低。

＜本文作者：吳明峰現為IBM資安防禦經理＞