今日頭條
官方微信
官方抖音
資訊頻道2010年，伊朗震網(wǎng)病毒事件爆光，揭開(kāi)了工業(yè)控制系統（“工控系統”）的“神秘面紗”，也拉開(kāi)了攻擊工控系統的序幕。隨后十年間爆發(fā)了眾多與工控系統關(guān)聯(lián)的安全事件，例如：針對電力、水利、能源、交通等基礎設施的定向攻擊或針對式攻擊（APT，advanced persistent threat），對社會(huì )秩序造成較大影響；針對生產(chǎn)制造等企業(yè)的定向攻擊，竊取商業(yè)機密，影響正常生產(chǎn)；撒網(wǎng)式攻擊，特別是2017年席卷全球的WannaCry勒索病毒，工控系統亦成為“疫”區，且在近兩年仍余波不斷。
此外，世界知名的黑客大會(huì )，如BlackHat、DefCon等，紛紛將工控安全納入議題；2020年1月世界高水平黑客大賽Pwn2Own更首次將工控納入比賽?？梢钥闯?，工控領(lǐng)域似乎正在成為“黑道”和“白道”的藍海，工控系統的漏洞和攻擊面也正隨著(zhù)工業(yè)互聯(lián)網(wǎng)的發(fā)展，更多的暴露于攻擊者。
本文將從黑客角度透析攻擊方式和路徑，識別工控環(huán)境中易于被利用漏洞和脆弱性。
01 工業(yè)控制系統的整體攻擊思路
攻擊目標
強目的性、針對式的攻擊通常是以破壞工控設備、造成工廠(chǎng)停產(chǎn)、工序異常、次品率增加，甚至火災爆炸等嚴重后果為目標?，F代工廠(chǎng)中，大部分現場(chǎng)生產(chǎn)設備都是由控制系統（如：PLC-可編程邏輯控制器、數控車(chē)床、DCS-分布式控制系統）進(jìn)行現場(chǎng)操作。因此，攻擊者的目標是通過(guò)直接或間接攻擊或影響控制系統而實(shí)現。下文將以工廠(chǎng)PLC舉例，闡述黑客對工控系統的攻擊思路。
攻擊場(chǎng)景
針對式直接攻擊
直接攻擊PLC，是指利用PLC存在的漏洞，或通過(guò)口令破解等方式繞過(guò)安全認證，成功控制PLC并進(jìn)行指令修改，實(shí)現攻擊目的。當前較多的PLC處于內網(wǎng)，尚不能通過(guò)互聯(lián)網(wǎng)直接訪(fǎng)問(wèn)，在此情景下，直接攻擊一般通過(guò)物理接觸PLC，或通過(guò)內部辦公網(wǎng)絡(luò )連接到PLC等方式而實(shí)現。隨著(zhù)工廠(chǎng)智能化的提升，設備實(shí)現互聯(lián)互通，大量PLC系統連入互聯(lián)網(wǎng)，將更易于黑客對PLC發(fā)起直接攻擊。
針對式間接攻擊
間接攻擊PLC，是指獲取PLC上一層監控系統（如HMI、IPC、SCADA等）的控制權，通過(guò)監控系統向PLC發(fā)送惡意指令，或干擾監控系統與PLC的正常通訊，實(shí)現攻擊目的。采用間接攻擊場(chǎng)景，通常是由于攻擊者無(wú)法直接接觸到控制系統，或對工廠(chǎng)內部PLC系統了解有限，因而轉向攻擊存在大量攻擊者熟悉的IT部件的過(guò)程與監控層系統。例如，攻擊者首先獲得IPC（工業(yè)計算機）的控制權，分析IPC和PLC之間的傳輸模式，構造惡意指令，通過(guò)IPC傳輸給PLC，間接影響PLC的正常工作或阻斷生產(chǎn)狀態(tài)的監控和預警。
非針對式攻擊
非針對式攻擊，或稱(chēng)為撒網(wǎng)式攻擊，是指惡意程序利用系統或網(wǎng)絡(luò )的共性漏洞，無(wú)差異化感染系統并在內網(wǎng)傳播，影響正常生產(chǎn)秩序。此類(lèi)攻擊場(chǎng)景雖然不針對工控系統，但由于目前工控環(huán)境的安全措施較為薄弱，使得撒網(wǎng)式攻擊在世界范圍內屢屢得手。撒網(wǎng)式攻擊通常以病毒或惡意程序為主，例如，攻擊者利用員工安全意識薄弱，發(fā)送釣魚(yú)郵件，感染接收者的電腦，再利用網(wǎng)絡(luò )環(huán)境的脆弱性，在辦公網(wǎng)快速傳播，再蔓延至生產(chǎn)網(wǎng)，感染具有共性漏洞的系統，如IPC等，影響生產(chǎn)或造成破壞。
攻擊途徑
工控系統的攻擊途徑大體包含內部發(fā)起和外部發(fā)起兩類(lèi)。內部發(fā)起又可分為自辦公網(wǎng)滲透到工廠(chǎng)網(wǎng)以及車(chē)間現場(chǎng)發(fā)起攻擊；外部發(fā)起包含針對式攻擊（如APT）和撒網(wǎng)式攻擊。
內部發(fā)起
辦公網(wǎng)為起點(diǎn)
在辦公網(wǎng)環(huán)境內，使用nmap等工具掃描和獲取網(wǎng)段和資產(chǎn)信息，特別是常規工控系統和IT系統端口，Siemens 102，modbus 502，EthernetIP 44818、445、3389等；
利用漏洞對識別出的系統進(jìn)行攻擊，包含嗅探、權限繞過(guò)或提升、重放攻擊、口令猜解、指令注入、永恒之藍漏洞利用、口令猜解等；
成功獲取系統控制權后，嘗試以該主機為跳板，使用Pass the Hash等方式滲透其他系統，找尋工控相關(guān)系統PLC、IPC和SCADA等，以實(shí)現攻擊目的；
若均未成功，轉向采用社會(huì )工程等方式進(jìn)一步獲取相關(guān)信息（如高權限賬號等）；
同時(shí)，考慮設法進(jìn)入工廠(chǎng)車(chē)間內部，轉為現場(chǎng)攻擊方式；
一些集成控制系統的中控平臺，或者內網(wǎng)的一些類(lèi)SCADA等組態(tài)控制系統的web應用端或者dll、dat容易被劫持后形成工程師站的提權。
車(chē)間現場(chǎng)為起點(diǎn)
在車(chē)間內發(fā)起攻擊工控系統是最為直接的方法，手段和選擇同樣是多樣化的：
進(jìn)入車(chē)間后，仔細觀(guān)察車(chē)間內的情況，尋找IPC或者控制系統的位置，為后續攻擊嘗試做準備。
攻擊嘗試一：
首選目標為控制系統（如PLC），尋找是否存在未上鎖，或者網(wǎng)線(xiàn)接口暴露在外的設備；
嘗試了解相關(guān)的控制系統基本信息，例如所使用的品牌，版本等；
嘗試使用電腦在現場(chǎng)連接控制系統，利用弱口令等脆弱性，嘗試惡意指令注入、權限繞過(guò)、重放攻擊等。
攻擊嘗試二：
嘗試對現場(chǎng)運行的IPC或者HMI進(jìn)行攻擊，例如對運行的IPC插入惡意U盤(pán)植入惡意程序；
針對未設置權限的IPC或者HMI直接操作，如修改控制系統的指令等惡意操作。
外部發(fā)起
針對式攻擊
APT 攻擊是典型的外部發(fā)起的針對式攻擊，攻擊過(guò)程包含
對目標企業(yè)進(jìn)行信息收集以初步了解該企業(yè)的基本情況；
利用Google、Baidu等搜索引擎尋找暴露在互聯(lián)網(wǎng)上的域名或服務(wù)器；
利用爬蟲(chóng)技術(shù)盡可能獲取網(wǎng)站所有鏈接、子域名、C段等；
嘗試對網(wǎng)站應用進(jìn)行高危漏洞利用，例如惡意文件上傳、命令執行、SQL注入、跨站腳本、賬戶(hù)越權等；
嘗試獲取網(wǎng)站webshell，再提升至服務(wù)器權限；
以該服務(wù)器為跳板打入內網(wǎng)環(huán)境，轉變?yōu)閮炔抗舻哪Ｊ剑?/p>
通過(guò)從互聯(lián)網(wǎng)搜索外網(wǎng)郵箱的用戶(hù)名，根據企業(yè)的特點(diǎn)，針對式地給這些用戶(hù)發(fā)送釣魚(yú)郵件，以中招的電腦為跳板打入內部環(huán)境，轉變?yōu)閮炔抗舻哪Ｊ剑?/p>
利用偽造門(mén)禁卡，或者偽裝參觀(guān)、面試人員或者尾隨內部員工的方式物理進(jìn)入企業(yè)內部，轉變成為內部攻擊的模式。
撒網(wǎng)式攻擊
利用Google和Baidu等搜索引擎找出暴露在互聯(lián)網(wǎng)上企業(yè)的域名，若發(fā)現可以利用的漏洞則轉為針對式攻擊；
利用社工，盡可能多收集企業(yè)的員工的郵箱，大批量發(fā)送釣魚(yú)郵件；
使用Shodan搜索引擎，針對暴露在互聯(lián)網(wǎng)上的工控系統發(fā)起攻擊，成功后轉為內部攻擊。
黑客攻擊鏈（Cyber Kill Chain）
一般來(lái)說(shuō)，攻擊者通常以低成本、撒網(wǎng)式的攻擊手段，如發(fā)送釣魚(yú)郵件等社工式，開(kāi)始攻擊嘗試。當受害者點(diǎn)開(kāi)附在釣魚(yú)郵件內的惡意鏈接或惡意程序時(shí)，“潘多拉之盒”就此打開(kāi)，攻擊者將嘗試攻陷受害者的設備，并以此設備為跳板，打入企業(yè)內網(wǎng)。如果工控網(wǎng)絡(luò )未能做到與辦公網(wǎng)絡(luò )的有效隔離，攻擊者可以在進(jìn)入辦公網(wǎng)絡(luò )后掃描并分析發(fā)現相關(guān)工控資產(chǎn)。當前許多工廠(chǎng)工控環(huán)境抵御網(wǎng)絡(luò )攻擊的能力較弱，大多存在弱口令，權限設置不當，共享賬號和密碼，補丁和脆弱性管理缺失，網(wǎng)絡(luò )隔離和防護不充分等高危漏洞，使得攻擊者利用這些漏洞，在企業(yè)工控網(wǎng)內大范圍、無(wú)阻攔、跨領(lǐng)域的對工控資產(chǎn)進(jìn)行攻擊，最終導致工業(yè)數據泄露、設備破壞、工序異常、次品率增加、火災爆炸甚至威脅員工安全等嚴重后果，形成完整的黑客攻擊鏈。
02 工業(yè)控制系統能否有效抵御攻擊？
工控系統能否有效阻擊黑客攻擊，取決于攻守雙方的準備和措施。目前來(lái)看，攻擊者更加積極研究工控系統漏洞和攻擊手段，而企業(yè)在當下更著(zhù)重于高效生產(chǎn)和數字化轉型，對工控安全的關(guān)注和投入相對滯后；加上工控系統的陳舊性和非標準性，使得暴露在攻擊者面前可利用的脆弱性較多，舉例如下：
組織與人員
未落實(shí)安全責任
管理層重視不足，部門(mén)間安全職責不清晰，無(wú)明確安全部門(mén)或崗位。
安全意識薄弱
員工對工控系統的安全意識相對薄弱，特別是生產(chǎn)或一線(xiàn)員工。傳統型企業(yè)的“隱匿式安全”（security by obscurity），認為嚴格物理安全和訪(fǎng)問(wèn)管理即可確保安全，認為未發(fā)生安全事件即是安全，這往往使得企業(yè)忽略對網(wǎng)絡(luò )安全的建設，未能及時(shí)補救隱患。
管理與監督
“經(jīng)驗式”管理
工控系統自身缺乏安全設計與考量，是很多企業(yè)存在的普遍現象，通過(guò)實(shí)施適當安全保障措施，可以有效彌補。但很多企業(yè)并沒(méi)有建立有效的安全策略和措施，僅依靠個(gè)人經(jīng)驗和歷史經(jīng)驗進(jìn)行管理。
應急響應機制缺失
缺少應急響應機制，出現突發(fā)事件時(shí)無(wú)法快速組織人力和部署應對措施來(lái)控制事件進(jìn)一步蔓延，并在最短時(shí)間內解決問(wèn)題和恢復生產(chǎn)。
缺少恰當的口令策略
未設置恰當的口令策略和管理，如弱口令，共享口令，多臺主機或設備共用一個(gè)口令，以及口令共享給第三方供應商等情形，增加密碼泄露風(fēng)險。
缺乏安全審計日志
系統出現安全事件后，無(wú)法追蹤和分析事件源頭和原因，以避免類(lèi)似情形的再次發(fā)生。
網(wǎng)絡(luò )與架構
“防君子式”網(wǎng)絡(luò )隔離
內部辦公網(wǎng)絡(luò )和工廠(chǎng)網(wǎng)絡(luò )缺乏有效隔離，未劃分安全域進(jìn)行防護，導致辦公網(wǎng)絡(luò )的攻擊或病毒蔓延至工廠(chǎng)網(wǎng)絡(luò )，造成生產(chǎn)影響。
不安全的通訊協(xié)議
工業(yè)控制協(xié)議非標準化，且大多存在安全隱患，例如CAN、DNP3.0、Modbus、IEC60870-5-101。
不安全的遠程訪(fǎng)問(wèn)
為方便維修工程師和供應商的遠程調試，未對遠程訪(fǎng)問(wèn)部署安全措施和監控，此類(lèi)遠程訪(fǎng)問(wèn)功能可能是攻擊者利用率最高的漏洞之一。
復雜的結構
工控系統的結構相對于IT環(huán)境而言更為復雜，攻擊面較多。典型的工控環(huán)境一般會(huì )有以下組成部件：控制器（PLC、數控車(chē)床、DCS）、SCADA系統、工業(yè)計算機、工業(yè)軟件、HMI、網(wǎng)絡(luò )、交換機、路由器、工業(yè)數據庫等，其中任意一個(gè)環(huán)節或者部件出現問(wèn)題就有可能導致整個(gè)工控系統被攻擊。
主機與設備
認證與授權
為了日常使用方便，重要控制系統未設置密碼、設置弱密碼或共用密碼，將密碼貼在現場(chǎng)機器上，這些“便利”往往也為攻擊者的入侵提供了極大的便利。
防病毒軟件
未安裝病毒防護軟件，未及時(shí)更新病毒庫，非正版軟件等。
操作系統陳舊性
現在的工廠(chǎng)環(huán)境中，使用越來(lái)越多的計算機系統，然而由于工業(yè)控制系統的更新迭代的時(shí)間相比于IT系統要長(cháng)很多，使得工業(yè)控制系統中存在大量陳舊的計算機系統，如windows xp、windows 2003等操作系統，存在大量可被攻擊利用的高危漏洞。
默認配置
許多工廠(chǎng)在安裝設備時(shí)，使用了默認口令、默認路徑，開(kāi)啟不必要且不安全的端口和服務(wù)等默認配置。
離線(xiàn)設備管理
對于離線(xiàn)設備，往往認為是安全的，忽視網(wǎng)絡(luò )安全保護措施。但隨著(zhù)企業(yè)數字化的推進(jìn)或在業(yè)務(wù)需要時(shí)進(jìn)行網(wǎng)絡(luò )連接時(shí)，此類(lèi)設備可能會(huì )成為安全體系的短板和缺口。
物理防護
硬件調試接口
重要控制系統的機架未上鎖，或暴露在外的調試接口未有效防護。
物理端口
未對IPC等通用接口進(jìn)行有效管理或禁用，如USB、PS/2等外部接口，可能存在設備未授權接入風(fēng)險，導致病毒感染或者程序非法修改。
外部人員訪(fǎng)問(wèn)
人員進(jìn)出車(chē)間管控不嚴，特別是外部人員，如供應商等。
上述匯總的可以被攻擊者利用的部分脆弱性，企業(yè)可結合自身業(yè)務(wù)特點(diǎn)予以關(guān)注，短期考慮針對高風(fēng)險漏洞采取一定的補償性措施，中長(cháng)期依據業(yè)務(wù)和數字化發(fā)展規劃，逐步建立起與業(yè)務(wù)和生產(chǎn)同步發(fā)展的工控安全管控體系。
來(lái)源：工業(yè)安全產(chǎn)業(yè)聯(lián)盟
北京市公安局海淀分局備案號：11010802023656號